Questa pagina è indirizzata ai vendor di software gestionale HR, piattaforme payroll e fornitori di servizi digitali che gestiscono dati sensibili dei dipendenti per più clienti. Scopri gli obblighi specifici del D.Lgs. 138/2024, le scadenze di registrazione ACN e come proteggere i dati dei tuoi clienti dal rischio di violazione.
I fornitori di software HR e servizi payroll che operano in Italia e gestiscono dati personali dei dipendenti per almeno due organizzazioni clienti devono conformarsi al D.Lgs. 138/2024. La qualifica di «entità importante» si applica indipendentemente dalle dimensioni dell'azienda fornitrice quando il servizio è critico per le operazioni dei clienti (presenze, buste paga, gestione benefit). La registrazione presso l'ACN è obbligatoria entro il 28 febbraio di ogni anno.
Il vostro sistema SaaS deve garantire isolamento logico e fisico completo tra i dati di clienti diversi. Ogni client deve accedere esclusivamente ai propri dati di payroll, presenze e dati personali dei dipendenti, anche in caso di compromissione di un'altra istanza. Implementate controlli di accesso basati su ruoli (RBAC) a livello di database e applicate cifratura end-to-end sui dati sensibili in transito e a riposo.
L'accesso amministrativo alle piattaforme payroll e HR deve essere protetto da autenticazione a più fattori (MFA) con dispositivi hardware (chiavi FIDO2, token fisici), non solo app mobili. Mantenete audit log dettagliati di ogni azione amministrativa, incluse modifiche a stipendi, eliminazione di record dipendenti e esportazioni di dati. Le credenziali amministrative non devono mai essere condivise e devono essere ruotate ogni 90 giorni.
Se una violazione di dati compromette informazioni personali di dipendenti gestite per conto di uno o più clienti, dovete notificare l'ACN (Agenzia per la Cybersicurezza Nazionale) entro 24 ore dal rilevamento. Se l'incidente riguarda una «entità importante», il termine diventa 72 ore per la valutazione della pertinenza. La notifica deve includere il numero di dipendenti coinvolti, le categorie di dati compromessi (stipendi, dati fiscali, dati biometrici se presenti) e le misure di contenimento già implementate.
Se il vostro servizio payroll si appoggia su fornitori terzi (servizi cloud, provider di autenticazione, gateway di pagamento stipendi), dovete certificare che questi rispettano lo stesso livello di protezione dei dati. Firmate accordi di elaborazione dati (Data Processing Agreement) che includano obblighi NIS2, clausole di audit e diritto di verifica dei controlli di sicurezza. Effettuate valutazioni di rischio annuali sui fornitori critici.
Al termine del contratto con un cliente, dovete garantire l'eliminazione completa e verificabile di tutti i dati personali e di payroll entro 30 giorni dalla risoluzione. Implementate una procedura formale che documenti la cancellazione (certificati di distruzione, log di eliminazione database), escludendo solo i dati ritenuti per obbligo legale (conservazione fiscale fino a 6 anni). Il cliente deve ricevere prova scritta della cancellazione dei propri dati.
La registrazione sulla piattaforma dell'ACN è obbligatoria entro il 28 febbraio di ogni anno se siete qualificati come «entità importante» secondo l'Allegato II del D.Lgs. 138/2024. La prima registrazione è stata aperta dal 1° gennaio 2025. Dovete fornire dettagli sui servizi offerti, il numero di clienti gestiti e i dati personali trattati.
Dovete notificare l'ACN entro 24 ore dal rilevamento della violazione. Se siete qualificati come «entità importante», il termine per la valutazione della pertinenza è di 72 ore. La notifica deve essere formale e deve includere il numero di dipendenti interessati, le categorie di dati compromessi (nomi, codici fiscali, stipendi, dati bancari) e le azioni di contenimento già avviate.
Per un'entità importante come un fornitore payroll, le sanzioni amministrative possono arrivare fino a 7 milioni di euro o il 1,4% del fatturato annuale globale, secondo quanto previsto dal D.Lgs. 138/2024. Le violazioni più gravi riguardano mancanza di isolamento dati cliente, assenza di audit logging, mancata notifica di incidenti e insufficiente protezione dell'accesso amministrativo.