Questa pagina è indirizzata ai vendor di software gestionale HR, piattaforme payroll e fornitori di servizi digitali che gestiscono dati sensibili dei dipendenti per più clienti. Scopri gli obblighi specifici del D.Lgs. 138/2024, le scadenze di registrazione ACN e come proteggere i dati dei tuoi clienti dal rischio di violazione.
I fornitori di software HR e servizi payroll non rientrano nella categoria «fornitori di servizi digitali» dell'Allegato II del D.Lgs. 138/2024, che copre solo mercati online, motori di ricerca, piattaforme di social network e servizi di registrazione di nomi a dominio; non esiste alcuna norma che li qualifichi come «entità importante» in base al numero di organizzazioni clienti servite. La registrazione presso l'ACN è obbligatoria entro il 28 febbraio di ogni anno per i soggetti effettivamente rientranti nell'ambito di applicazione.
Il vostro sistema SaaS deve garantire isolamento logico e fisico completo tra i dati di clienti diversi. Ogni client deve accedere esclusivamente ai propri dati di payroll, presenze e dati personali dei dipendenti, anche in caso di compromissione di un'altra istanza. Implementate controlli di accesso basati su ruoli (RBAC) a livello di database e applicate cifratura end-to-end sui dati sensibili in transito e a riposo.
L'accesso amministrativo alle piattaforme payroll e HR deve essere protetto da autenticazione a più fattori (MFA) con dispositivi hardware (chiavi FIDO2, token fisici), non solo app mobili. Mantenete audit log dettagliati di ogni azione amministrativa, incluse modifiche a stipendi, eliminazione di record dipendenti e esportazioni di dati. Le credenziali amministrative non devono mai essere condivise e devono essere ruotate ogni 90 giorni.
Se una violazione di dati compromette informazioni personali di dipendenti gestite per conto di uno o più clienti, dovete notificare l'ACN (Agenzia per la Cybersicurezza Nazionale) entro 24 ore dal rilevamento come preallarme. Entro 72 ore dovete inviare la notifica dell'incidente con una valutazione iniziale, indipendentemente dalla qualifica di entità essenziale o importante. La notifica deve includere il numero di dipendenti coinvolti, le categorie di dati compromessi (stipendi, dati fiscali, dati biometrici se presenti) e le misure di contenimento già implementate.
Se il vostro servizio payroll si appoggia su fornitori terzi (servizi cloud, provider di autenticazione, gateway di pagamento stipendi), dovete certificare che questi rispettano lo stesso livello di protezione dei dati. Firmate accordi di elaborazione dati (Data Processing Agreement) che includano obblighi NIS2, clausole di audit e diritto di verifica dei controlli di sicurezza. Effettuate valutazioni di rischio annuali sui fornitori critici.
Al termine del contratto con un cliente, dovete garantire l'eliminazione completa e verificabile di tutti i dati personali e di payroll entro 30 giorni dalla risoluzione. Implementate una procedura formale che documenti la cancellazione (certificati di distruzione, log di eliminazione database), escludendo solo i dati ritenuti per obbligo legale. Il cliente deve ricevere prova scritta della cancellazione dei propri dati.
La registrazione sulla piattaforma dell'ACN è obbligatoria entro il 28 febbraio di ogni anno se siete qualificati come «entità importante» secondo l'Allegato II del D.Lgs. 138/2024. La prima registrazione è stata aperta dal 1° gennaio 2025. Dovete fornire dettagli sui servizi offerti, il numero di clienti gestiti e i dati personali trattati.
Dovete notificare l'ACN entro 24 ore dal rilevamento della violazione come preallarme. Entro 72 ore dovete inviare la notifica dell'incidente con una valutazione iniziale, indipendentemente dalla qualifica di entità essenziale o importante. La notifica deve essere formale e deve includere il numero di dipendenti interessati, le categorie di dati compromessi (nomi, codici fiscali, stipendi, dati bancari) e le azioni di contenimento già avviate.
Per un'entità importante come un fornitore payroll, le sanzioni amministrative possono arrivare fino a 7 milioni di euro o il 1,4% del fatturato annuale globale, secondo quanto previsto dal D.Lgs. 138/2024. Le violazioni più gravi riguardano mancanza di isolamento dati cliente, assenza di audit logging, mancata notifica di incidenti e insufficiente protezione dell'accesso amministrativo.