In breve
- L’azienda che usa lo strumento è titolare del trattamento; il fornitore del software è responsabile e va nominato con un contratto (l’articolo 28 del GDPR lo chiede).
- Il modo più efficace di ridurre i rischi è mettere meno dati: niente documenti d’identità, dati sanitari o valutazioni personali nei commenti di un’attività.
- Permessi, ospiti esterni e cancellazione a fine progetto sono scelte organizzative, non tecniche: vanno decise e riviste, non lasciate al valore predefinito.
Un gestionale di progetti sembra un posto neutro: attività, scadenze, colonne. In pratica contiene molti dati personali — i nomi e i contatti delle persone del team e dei clienti, chi ha fatto cosa e quando, commenti che parlano di persone, allegati che a volte contengono documenti. Sono trattamenti di dati personali a tutti gli effetti, e il GDPR (regolamento UE 2016/679) si applica.
Questa guida non è una consulenza legale: è la lista delle cose che, in un’azienda o in uno studio, si decidono una volta e poi reggono. Quali dati entrano, chi è titolare e chi responsabile, cosa deve esserci nel contratto con il fornitore, come si gestiscono accessi e ospiti, cosa fare a fine progetto e cosa cambia se i dati stanno fuori dall’Unione Europea.
01Quali dati personali finiscono in un gestionale di progetti
| Tipo di dato | Esempio | Attenzione |
|---|---|---|
| Dati del team | Nome, email aziendale, ruolo, attività assegnate, orari di attività | Sono dati dei dipendenti: valgono le regole sull’informativa e sui controlli |
| Dati dei clienti e dei contatti | Referente, telefono, indirizzo, contenuti dei documenti | Spesso l’azienda li tratta come titolare; a volte come responsabile del cliente |
| Contenuti liberi | Commenti, descrizioni, messaggi | È qui che finiscono i dati che nessuno aveva previsto |
| Allegati | Contratti, visure, fotografie, a volte documenti d’identità | Sono la parte più rischiosa e la più facile da evitare |
| Dati particolari | Motivi di salute scritti in un commento, appartenenza sindacale | Categorie particolari (art. 9 GDPR): non vanno messi in un gestionale di progetti |
02Titolare, responsabile e il contratto con il fornitore
- Titolare del trattamento è la tua azienda: decide perché e come si trattano i dati.
- Responsabile del trattamento è il fornitore del software, che tratta i dati per conto tuo. L’articolo 28 del GDPR richiede un contratto scritto che disciplini oggetto, durata, finalità, tipi di dati, obblighi di riservatezza e sicurezza, uso di altri responsabili, assistenza nelle richieste degli interessati e cosa succede ai dati alla fine.
- Sub-responsabili: chi ospita i server, chi manda le email di notifica, chi fa assistenza. Il fornitore deve dichiararli e avvisare quando cambiano.
- Registro dei trattamenti (art. 30): l’obbligo ha eccezioni per le realtà sotto i 250 dipendenti, che però non si applicano quando il trattamento non è occasionale — come è, di fatto, la gestione del personale e dei clienti. In pratica quasi tutte le aziende lo tengono.
Da chiedere al fornitore, prima di firmare
- Il contratto di nomina a responsabile (DPA), con l’elenco dei sub-responsabili.
- Dove sono i server e dove vengono fatte le copie di sicurezza.
- Come si esportano tutti i dati, in che formato e con quali costi.
- Cosa succede ai dati alla cessazione: cancellazione o restituzione, e in quanto tempo.
- Come vengono comunicate le violazioni di dati, e in quanto tempo.
- Chi del fornitore può accedere ai dati e a quali condizioni (assistenza, manutenzione).
03Permessi, ospiti e clienti
| Situazione | Scelta prudente |
|---|---|
| Progetti che riguardano persone (selezione, valutazioni, contenziosi) | Progetto riservato, con i soli membri necessari |
| Clienti che vogliono vedere l’avanzamento | Ospite su un solo progetto, con permesso di commento o sola lettura |
| Fornitori e collaboratori esterni | Accesso al singolo progetto, tolto alla fine della collaborazione |
| Chi lascia l’azienda | Accesso disattivato subito, attività riassegnate, sessioni chiuse |
| Progetti aperti a tutto il workspace | Vanno bene per il lavoro ordinario, non per quello che contiene dati sensibili |
La revisione degli accessi è un lavoro di dieci minuti ogni trimestre: si guarda l’elenco delle persone attive, si disattiva chi non c’è più, si controllano gli ospiti esterni rimasti dentro a progetti chiusi. È anche una delle prime cose che un cliente attento chiede in un questionario sui fornitori.
04Lo strumento di lavoro non è uno strumento di controllo
Un gestionale di progetti registra chi fa cosa e quando: è inevitabile, e serve a far funzionare il lavoro. Il confine è nell’uso che se ne fa. L’articolo 4 dello Statuto dei lavoratori (legge 300/1970) prevede che gli strumenti da cui derivi anche la possibilità di controllo a distanza si installino solo per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio, previo accordo sindacale o autorizzazione dell’Ispettorato; esclude da questa procedura gli strumenti usati dal lavoratore per rendere la prestazione e quelli di registrazione degli accessi e delle presenze, ma richiede in ogni caso che le informazioni raccolte siano utilizzabili solo se al lavoratore è stata data adeguata informazione sulle modalità d’uso e di effettuazione dei controlli, nel rispetto della disciplina sulla privacy.
- Scrivi nell’informativa cosa registra lo strumento e per quali scopi lo userete (organizzare il lavoro, stimare, rendicontare ai clienti).
- Non usare i dati per scopi diversi da quelli dichiarati: usare la cronologia delle attività per misurare la produttività individuale è un altro trattamento, e va valutato a parte.
- Conserva quanto serve: il Garante, sul tema vicino dei metadati della posta elettronica, ha indicato che la raccolta e conservazione dei soli metadati necessari al funzionamento dell’infrastruttura può avvenire di norma per un periodo limitato di pochi giorni, comunque non superiore a 21; è un’indicazione su un altro tipo di dato, ma dà la misura dell’approccio.
- Coinvolgi chi di dovere: dove ci sono rappresentanze sindacali, parlarne prima evita contenziosi dopo.
Il tema dei controlli sui dipendenti è più ampio di questa guida: lo tratta per esteso la guida di Omega People su controlli a distanza e privacy dei dipendenti.
05Dove stanno i dati e cosa cambia fuori dall’Unione Europea
Trasferire dati personali fuori dallo Spazio economico europeo è possibile, ma richiede una base giuridica fra quelle previste dal capo V del GDPR: una decisione di adeguatezza della Commissione europea, oppure garanzie adeguate come le clausole contrattuali standard. Per gli Stati Uniti, dal 10 luglio 2023 esiste la decisione di adeguatezza sul EU-US Data Privacy Framework, che vale per i fornitori certificati: il Tribunale dell’Unione europea ha respinto il ricorso che ne chiedeva l’annullamento il 3 settembre 2025 (causa Latombe), ma la pronuncia è stata impugnata davanti alla Corte di giustizia.
- Se il fornitore è extra-UE, chiedi su quale base avviene il trasferimento e, nel caso degli Stati Uniti, se l’azienda è certificata nel Data Privacy Framework.
- Se i dati restano nell’Unione, il tema non sparisce del tutto: controlla dove stanno le copie di sicurezza e da dove viene fatta l’assistenza.
- Documenta la scelta: nel registro dei trattamenti si indicano anche i trasferimenti e le garanzie.
06A fine progetto: conservare, archiviare, cancellare
- 1
Decidi per quanto tempo serve tenerlo
Un progetto chiuso serve per il riuso e per eventuali contestazioni; i tempi utili si definiscono per categoria di dato, non a caso.
- 2
Archivia invece di lasciare aperto
Un progetto archiviato esce dalla vista quotidiana e dagli accessi ordinari.
- 3
Togli gli ospiti
Il cliente e i collaboratori esterni non devono restare dentro un progetto per anni.
- 4
Cancella gli allegati che non servono
Soprattutto i documenti che contengono dati di persone fisiche.
- 5
Ricorda che il cestino non è la cancellazione
Quello che è nel cestino è ancora lì: la cancellazione definitiva è un gesto a parte.
Con Omega
I dati di progetto in Omega Work
- Dati su server in Unione Europea, con una copia di sicurezza al giorno, e un contratto sul trattamento dei dati (DPA) fra i documenti legali.
- Progetti pubblici al workspace, riservati al team o privati, e ruoli distinti: modifica, commento, sola lettura.
- Gli ospiti vedono solo i progetti e le attività condivisi con loro: è il modo di far entrare un cliente senza aprirgli il resto.
- Dall’amministrazione si disattiva una persona, si cambiano i ruoli e si chiudono le sessioni aperte.
- Cestino con ripristino per progetti e attività, esportazione delle attività in CSV, e sola lettura — non cancellazione — se l’abbonamento si ferma.
