Il GDPR è il Regolamento generale sulla protezione dei dati dell’Unione europea. Stabilisce le regole da rispettare quando un’organizzazione raccoglie, usa, conserva, comunica o comunque tratta dati personali e attribuisce alle persone una serie di diritti sul modo in cui questi dati vengono utilizzati.
È entrato in vigore nel 2016 ed è direttamente applicabile dal 25 maggio 2018. Ma ridurlo a “privacy policy, cookie banner e consenso” porta spesso fuori strada. Il GDPR riguarda prima di tutto come un trattamento viene progettato, giustificato, documentato, protetto e gestito nel tempo.
Per un’azienda, un professionista o chi gestisce un sito web, quindi, la domanda utile non è semplicemente “ho i documenti GDPR?”. È piuttosto: so quali dati tratto, perché li tratto, su quale base giuridica, per quanto tempo, con quali soggetti e con quali misure di sicurezza?
Questa guida serve proprio a costruire quel quadro. Non sostituisce una valutazione legale sul singolo caso, ma permette di capire cosa prevede il GDPR, quali obblighi possono entrare in gioco e quali aspetti verificare concretamente.
GDPR: significato, cos’è e perché esiste
GDPR è l’acronimo inglese di General Data Protection Regulation. In italiano si parla anche di RGPD, cioè Regolamento generale sulla protezione dei dati.
Il riferimento normativo è il Regolamento (UE) 2016/679, il cui testo integrale è disponibile su EUR-Lex.
Il GDPR non disciplina semplicemente la “privacy” in senso generico. La sua materia centrale è la protezione delle persone fisiche rispetto al trattamento dei dati personali, insieme alla libera circolazione di tali dati nell’Unione europea.
Il passaggio importante è questo: la protezione dei dati non viene trattata come un adempimento da eseguire dopo aver progettato un’attività. Deve entrare nelle decisioni che determinano quali dati raccogliere, per quali finalità, con quali strumenti e con quali garanzie.
GDPR e privacy non sono esattamente la stessa cosa
Nel linguaggio comune “GDPR” e “privacy” vengono spesso usati come sinonimi. Tecnicamente è una semplificazione.
La privacy è un concetto più ampio. Il GDPR disciplina specificamente il trattamento dei dati personali e i diritti delle persone interessate. Inoltre, non è l’unica norma che può essere rilevante.
Per esempio, nel contesto di siti web, cookie e comunicazioni elettroniche entrano in gioco anche disposizioni specifiche della normativa ePrivacy e del Codice Privacy italiano. Per questo una scelta può dover essere valutata contemporaneamente sotto più norme.
GDPR e Codice Privacy italiano: qual è il rapporto
In Italia il GDPR convive con il Codice in materia di protezione dei dati personali, cioè il D.Lgs. 196/2003, adeguato al Regolamento europeo dal D.Lgs. 101/2018 e successivamente modificato.
Il testo coordinato del Codice Privacy pubblicato dal Garante permette di verificare le disposizioni nazionali applicabili insieme al Regolamento europeo.
Questo conta soprattutto negli ambiti in cui il GDPR lascia spazio alla normativa degli Stati membri o quando intervengono disposizioni italiane specifiche, come accade in alcuni trattamenti, nelle comunicazioni elettroniche e nell’uso di strumenti di tracciamento.
Quali dati protegge il GDPR e cosa significa “trattamento”
Per applicare correttamente il GDPR bisogna partire da due concetti: dato personale e trattamento.
Un dato personale è qualsiasi informazione riferita a una persona fisica identificata o identificabile. Non significa quindi soltanto nome, cognome o codice fiscale.
Possono essere dati personali anche un indirizzo IP, un identificativo online, un cookie ID, dati di localizzazione, cronologia degli acquisti o altre informazioni che, da sole o combinate, permettono di distinguere una persona. La Commissione europea include esplicitamente IP e cookie ID tra gli esempi di dati personali.
Dati personali e categorie particolari
Non tutti i dati richiedono lo stesso livello di cautela.
Il GDPR individua categorie di dati che possono rivelare, per esempio, origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici utilizzati per identificare una persona, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale.
Per queste categorie il trattamento è soggetto a condizioni più stringenti.
Esiste poi una disciplina specifica anche per i dati relativi a condanne penali e reati.
Questo significa che una semplice rubrica clienti e una piattaforma che gestisce dati sanitari non possono essere trattate come problemi di compliance equivalenti, anche se entrambe ricadono nel GDPR.
Dati pseudonimizzati e dati anonimi non sono la stessa cosa
Un altro errore frequente è considerare automaticamente anonimi i dati ai quali è stato tolto il nome.
Se un dato è stato pseudonimizzato ma può ancora essere ricondotto alla persona utilizzando informazioni aggiuntive, resta un dato personale e continua a ricadere nel GDPR.
Un dato realmente anonimizzato, invece, deve essere stato trasformato in modo tale che la persona non sia più identificabile. La differenza è importante perché pseudonimizzazione e anonimizzazione producono conseguenze giuridiche diverse.
Cosa significa “trattare” un dato personale
Il trattamento non coincide con la sola raccolta.
Raccogliere, registrare, organizzare, conservare, consultare, modificare, utilizzare, comunicare, combinare, limitare, cancellare o distruggere dati personali sono tutte operazioni che possono costituire trattamento.
Un form di contatto tratta dati. Un CRM tratta dati. Una casella email aziendale può trattare dati. Anche i log di un server possono contenere informazioni riconducibili agli utenti.
Per questo il GDPR non riguarda soltanto il database principale dell’azienda: riguarda l’intero percorso del dato.
A chi si applica il GDPR
Il GDPR non è una normativa riservata alle grandi imprese.
Può applicarsi ad aziende, professionisti, associazioni, enti pubblici, organizzazioni non profit e altre realtà che effettuano trattamenti di dati personali nell’ambito delle attività contemplate dal Regolamento.
La Commissione europea chiarisce l’ambito di applicazione del GDPR anche per organizzazioni stabilite fuori dall’Unione.
Aziende e organizzazioni stabilite nell’Unione europea
In linea generale, il GDPR si applica quando un’organizzazione tratta dati personali nell’ambito delle attività di uno stabilimento nell’UE, indipendentemente dal luogo fisico in cui viene materialmente effettuato il trattamento.
Questo evita che la semplice scelta di un server collocato altrove possa sottrarre automaticamente un trattamento alle regole europee.
Quando riguarda anche aziende fuori dall’Europa
Anche un’organizzazione non stabilita nell’Unione può rientrare nell’ambito del GDPR se offre beni o servizi a persone che si trovano nell’UE oppure ne monitora il comportamento nei casi previsti dal Regolamento.
Il criterio, quindi, non è soltanto “dove ha sede l’azienda”.
Un ecommerce extra-UE progettato per vendere sistematicamente a clienti europei o un servizio che monitora il comportamento di utenti nell’Unione può dover affrontare obblighi GDPR.
Essere una piccola azienda non significa essere esenti
Le dimensioni dell’organizzazione possono incidere su alcuni obblighi, ma non esiste un’esenzione generale per piccole imprese o professionisti.
Un esempio particolarmente importante riguarda il registro delle attività di trattamento. L’articolo 30 prevede una deroga per organizzazioni con meno di 250 dipendenti, ma la deroga non opera automaticamente: entrano in gioco anche frequenza del trattamento, rischio per diritti e libertà, categorie particolari di dati e dati relativi a condanne penali.
La conseguenza pratica è semplice: “siamo meno di 250” non basta per concludere che il registro non serve.
I principi fondamentali del GDPR
Le singole regole del GDPR hanno una logica comune. L’articolo 5 stabilisce i principi che devono guidare il trattamento dei dati.
| Principio | Cosa significa in pratica |
|---|---|
| Liceità, correttezza e trasparenza | Il trattamento deve avere un fondamento giuridico ed essere comprensibile e corretto nei confronti della persona. |
| Limitazione della finalità | I dati devono essere raccolti per finalità determinate, esplicite e legittime. |
| Minimizzazione | Bisogna raccogliere solo i dati realmente necessari per quella finalità. |
| Esattezza | I dati devono essere corretti e, quando necessario, aggiornati. |
| Limitazione della conservazione | I dati non vanno mantenuti identificabili più a lungo di quanto giustificato dalla finalità. |
| Integrità e riservatezza | Servono misure adeguate contro perdita, distruzione, accesso o trattamento non autorizzato. |
| Accountability | Il titolare deve rispettare le regole ed essere in grado di dimostrarlo. |
La Commissione europea riassume questi principi e il loro significato operativo.
L’ultimo punto, l’accountability o responsabilizzazione, è quello che cambia maggiormente il modo di pensare la compliance.
Non basta dichiarare che un trattamento è corretto. Devi poter mostrare come sei arrivato a quella conclusione e quali misure hai adottato per mantenerlo corretto nel tempo.
Le basi giuridiche del trattamento: il consenso non serve sempre
Uno dei miti più resistenti sul GDPR è che ogni trattamento richieda il consenso.
Non è così.
L’articolo 6 prevede sei basi giuridiche per rendere lecito un trattamento di dati personali. La scelta dipende dalla finalità e dalle circostanze concrete.
| Base giuridica | Quando può essere pertinente |
|---|---|
| Consenso | Quando la persona compie una scelta realmente libera, specifica, informata e inequivocabile. |
| Contratto | Quando il trattamento è necessario per eseguire un contratto o misure precontrattuali richieste dall’interessato. |
| Obbligo legale | Quando una norma impone al titolare di effettuare quel trattamento. |
| Interessi vitali | Quando il trattamento è necessario per proteggere interessi vitali di una persona. |
| Interesse pubblico / pubblici poteri | Quando il trattamento è necessario per un compito di interesse pubblico o per l’esercizio di pubblici poteri. |
| Legittimo interesse | Quando esiste un interesse legittimo perseguibile e non prevalgono interessi, diritti o libertà fondamentali dell’interessato. |
L’EDPB spiega le sei basi giuridiche e le relative condizioni.
Quando il consenso è davvero la scelta corretta
Il consenso è appropriato quando la persona deve poter scegliere realmente se accettare o rifiutare il trattamento.
Per essere valido deve essere, tra le altre cose, libero, specifico, informato e inequivocabile. Se la persona non ha una vera possibilità di scelta o subisce conseguenze ingiustificate rifiutando, il consenso può essere una base fragile o non valida.
Deve inoltre poter essere revocato.
Questo rende evidente perché aggiungere una checkbox non risolve automaticamente un problema di liceità.
Quando chiedere il consenso può essere persino sbagliato
Immagina un ecommerce che deve utilizzare nome e indirizzo del cliente per consegnare un prodotto acquistato.
Il trattamento di quei dati non deve essere trasformato artificialmente in qualcosa che dipende dal consenso dell’utente: può essere necessario per eseguire il contratto.
Allo stesso modo, alcuni dati devono essere conservati perché una disposizione di legge lo richiede.
La logica corretta è quindi:
finalità → necessità del trattamento → base giuridica appropriata
non:
dato personale → checkbox di consenso.
Titolare, responsabile, DPO e altri soggetti: chi fa cosa
Capire i ruoli è essenziale perché il GDPR attribuisce responsabilità differenti a soggetti differenti.
Il titolare del trattamento
Il titolare determina le finalità e i mezzi del trattamento.
In termini semplici, è il soggetto che decide perché vengono utilizzati determinati dati e, nei limiti previsti dalla normativa, come viene organizzato quel trattamento.
Un’azienda che raccoglie i dati dei propri clienti per gestire ordini e assistenza è normalmente titolare di quei trattamenti.
Il responsabile del trattamento
Il responsabile tratta dati personali per conto del titolare.
Un fornitore cloud, una piattaforma software o un outsourcer possono assumere questo ruolo quando elaborano dati seguendo le istruzioni del titolare.
Il rapporto non dovrebbe essere dedotto semplicemente dal nome commerciale del fornitore. Conta la funzione concreta svolta nel trattamento.
La Commissione europea descrive la differenza tra titolare, contitolare e responsabile.
Quando un soggetto opera come responsabile, il rapporto con il titolare deve essere disciplinato secondo l’articolo 28 del GDPR.
Contitolari del trattamento
Due o più soggetti possono essere contitolari quando determinano congiuntamente finalità e mezzi di un trattamento.
Non basta che due aziende collaborino perché diventino automaticamente contitolari. È necessario verificare il ruolo effettivo che ciascuna svolge nelle decisioni sul trattamento.
Quando serve un Data Protection Officer
Il DPO, o Responsabile della protezione dei dati, non è obbligatorio per qualunque azienda.
Tra i casi previsti dal GDPR rientrano le autorità e gli organismi pubblici, salvo specifiche eccezioni, e le organizzazioni le cui attività principali comportano monitoraggio regolare e sistematico degli interessati su larga scala oppure trattamento su larga scala di particolari categorie di dati o di dati relativi a condanne penali e reati.
La Commissione europea riepiloga i casi in cui è necessaria la nomina del DPO.
Quindi anche qui la domanda corretta non è “quanti dipendenti ho?”, ma che tipo di trattamenti svolgo e con quale scala?
Quali diritti riconosce il GDPR alle persone
Il GDPR non impone soltanto obblighi alle organizzazioni. Attribuisce agli interessati strumenti per conoscere e, in determinate circostanze, controllare il trattamento dei loro dati.
| Diritto | Cosa permette di fare |
|---|---|
| Informazione | Sapere chi tratta i dati, per quale scopo, su quale base e con quali condizioni. |
| Accesso | Ottenere conferma del trattamento e accedere ai propri dati e alle informazioni previste dal GDPR. |
| Rettifica | Far correggere dati inesatti o incompleti. |
| Cancellazione | Richiedere la cancellazione nei casi previsti; non è un diritto assoluto. |
| Limitazione | Limitare temporaneamente o in specifiche circostanze alcune operazioni di trattamento. |
| Portabilità | Ricevere determinati dati in formato strutturato e trasferirli, quando ne ricorrono le condizioni. |
| Opposizione | Opporsi a determinati trattamenti, con regole diverse a seconda della base e della finalità. |
| Decisioni automatizzate | Ottenere le tutele previste quando una decisione significativa si basa esclusivamente su trattamenti automatizzati nei casi disciplinati dall’articolo 22. |
La Commissione europea offre una panoramica dei diritti riconosciuti dal GDPR.
Il diritto alla cancellazione non significa “cancellare sempre tutto”
Il cosiddetto diritto all’oblio viene spesso descritto in modo troppo assoluto.
Esistono circostanze nelle quali una persona può ottenere la cancellazione dei propri dati, ma esistono anche situazioni in cui il titolare può o deve continuare a conservarli, per esempio quando intervengono obblighi legali o altre condizioni previste dal Regolamento.
Per questo la gestione dei diritti non dovrebbe essere improvvisata quando arriva una richiesta: l’organizzazione dovrebbe aver già definito chi la riceve, chi la valuta, dove vengono cercati i dati e quali sistemi devono essere coinvolti.
Quanto tempo c’è per rispondere
In linea generale, il titolare deve rispondere alle richieste di esercizio dei diritti senza ingiustificato ritardo e entro un mese dalla ricezione, ferma restando la disciplina completa prevista dall’articolo 12 per casi particolari.
La Commissione descrive anche le modalità di gestione delle richieste e della verifica dell’identità.
Gli obblighi GDPR per aziende e professionisti
Non esiste una singola lista di documenti che renda automaticamente un’organizzazione conforme.
Gli obblighi dipendono dai trattamenti effettuati, dalla base giuridica, dalla natura dei dati, dai soggetti coinvolti e dal rischio per le persone.
Esistono però alcuni elementi che ricorrono molto spesso.
Informativa privacy: spiegare il trattamento, non riempire una pagina
Quando il GDPR richiede di informare l’interessato, l’informativa deve permettergli di capire cosa sta accadendo ai suoi dati.
Tra le informazioni che possono essere richieste rientrano identità e contatti del titolare, finalità, basi giuridiche, destinatari, eventuali trasferimenti, tempi o criteri di conservazione, diritti dell’interessato e altre informazioni previste dagli articoli 13 e 14.
L’obiettivo non dovrebbe essere creare un documento il più lungo possibile.
Una buona informativa deve essere trasparente, comprensibile e coerente con i trattamenti reali. Se descrive strumenti che non esistono o ne omette altri effettivamente utilizzati, la qualità formale del testo serve a poco.
Registro delle attività di trattamento
Il registro previsto dall’articolo 30 permette di documentare trattamenti, finalità, categorie di dati e interessati, destinatari, trasferimenti, tempi di cancellazione quando disponibili e una descrizione generale delle misure di sicurezza.
Non va confuso con l’informativa privacy.
L’informativa parla all’interessato; il registro è uno strumento interno di governance e accountability.
Proprio per questo, anche quando deve essere valutata un’eventuale deroga all’obbligo formale, mappare i trattamenti resta una delle attività più utili per capire cosa accade davvero ai dati.
Privacy by design e privacy by default
La protezione dei dati dovrebbe essere considerata fin dalla progettazione di un processo o servizio.
È il principio della data protection by design.
La protezione by default richiede invece che le impostazioni predefinite siano coerenti con la minimizzazione e con le finalità previste: non si dovrebbero raccogliere, esporre o conservare più dati di quanto necessario soltanto perché il software consente di farlo.
Un esempio semplice è un modulo che richiede dieci campi quando per rispondere alla richiesta dell’utente ne bastano tre.
Il problema non si risolve spiegando nella privacy policy che vengono raccolti dieci dati: prima bisogna chiedersi se servano davvero.
DPIA: quando il rischio richiede una valutazione d’impatto
La valutazione d’impatto sulla protezione dei dati, o DPIA, è richiesta quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone.
Non è quindi un documento obbligatorio per qualsiasi attività.
La Commissione europea indica alcuni casi tipici che richiedono una DPIA, tra cui determinate forme di profilazione e valutazione sistematica, trattamenti su larga scala di dati sensibili e monitoraggio sistematico su larga scala di aree accessibili al pubblico.
La valutazione deve avvenire prima del trattamento ad alto rischio, non come giustificazione scritta dopo che il sistema è già stato messo in produzione.
Misure tecniche e organizzative di sicurezza
Il GDPR non prescrive una password, un firewall o un algoritmo di cifratura universale.
L’articolo 32 richiede misure tecniche e organizzative adeguate al rischio, considerando elementi come stato dell’arte, costi, natura del trattamento e possibili conseguenze per le persone.
In un sito WordPress questo può tradursi, a seconda del rischio, in gestione seria degli aggiornamenti, controllo degli accessi, autenticazione forte, backup, limitazione dei privilegi, monitoraggio e protezione da vulnerabilità. La nostra guida sulla sicurezza WordPress approfondisce il lato tecnico, che però non sostituisce la valutazione GDPR del trattamento.
La sicurezza non equivale alla conformità, ma una conformità priva di sicurezza è difficilmente sostenibile.
Data breach: non significa soltanto “mi hanno hackerato”
Una violazione dei dati personali può derivare da un attacco informatico, ma anche da perdita, alterazione, indisponibilità, comunicazione o accesso non autorizzato.
Un allegato inviato alla persona sbagliata può quindi creare un problema di data breach anche senza malware.
Quando una violazione può comportare un rischio per i diritti e le libertà delle persone, il titolare deve valutare la notifica all’autorità di controllo. L’articolo 33 prevede, quando la notifica è dovuta, che venga effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione.
La comunicazione diretta agli interessati segue invece condizioni differenti, legate in particolare al rischio elevato.
Il punto operativo è avere una procedura prima dell’incidente: rilevazione, escalation, valutazione del rischio, documentazione e decisione.
Trasferimenti di dati fuori dallo Spazio economico europeo
Quando dati personali vengono trasferiti verso un paese terzo o un’organizzazione internazionale, non basta guardare dove si trova legalmente il fornitore.
Bisogna capire dove vanno realmente i dati e quale meccanismo rende legittimo il trasferimento, quando richiesto.
Il GDPR disciplina questi trasferimenti nel Capo V attraverso decisioni di adeguatezza, garanzie appropriate e specifiche deroghe.
È un controllo particolarmente importante quando un’azienda utilizza infrastrutture cloud, CRM, strumenti di marketing, piattaforme di assistenza o altri servizi internazionali.
GDPR e sito web: cosa deve controllare davvero chi gestisce un sito
Per un sito web il GDPR diventa concreto nel momento in cui si smette di guardare soltanto il banner e si ricostruisce il percorso dei dati.
Un sito apparentemente semplice può comunicare con hosting, CDN, strumenti analytics, sistemi antispam, piattaforme newsletter, gateway di pagamento, CRM, servizi video, social network e decine di plugin.
Il controllo corretto parte quindi dall’inventario.
Form di contatto e richieste di preventivo
Un form raccoglie normalmente almeno nome, email e contenuto del messaggio. Può raccogliere anche telefono, azienda, allegati, indirizzo IP o altri dati.
Per ciascun campo bisogna chiedersi:
- serve realmente per gestire la richiesta?
- qual è la finalità?
- qual è la base giuridica?
- dove viene memorizzato?
- chi può accedervi?
- viene copiato anche in email, CRM o servizi esterni?
- per quanto tempo viene conservato?
Il consenso non va inserito automaticamente come base giuridica solo perché il modulo contiene dati personali.
Se l’utente chiede un preventivo, per esempio, possono entrare in gioco misure precontrattuali. Se dopo la richiesta si vuole utilizzare il suo indirizzo per finalità di marketing ulteriori, la situazione cambia.
Un unico checkbox non trasforma due finalità diverse nello stesso trattamento.
Cookie e strumenti di tracciamento
Cookie e GDPR sono collegati, ma non coincidono.
Il GDPR disciplina il trattamento dei dati personali; cookie e tecnologie analoghe sono soggetti anche a regole specifiche sulle comunicazioni elettroniche.
Il Garante ha pubblicato linee guida e FAQ su cookie e altri strumenti di tracciamento.
In Italia, i cookie tecnici necessari non richiedono il consenso preventivo previsto per altri strumenti. Per cookie e identificatori utilizzati per finalità ulteriori bisogna invece valutare le condizioni previste dalla disciplina applicabile.
Anche alcuni strumenti analytics possono essere assimilati ai tecnici soltanto rispettando determinate condizioni: “analytics” non significa automaticamente “senza consenso”.
Se vuoi capire il funzionamento tecnico prima di affrontare la configurazione, nella nostra guida sui cookie spieghiamo cosa sono e come interagiscono con il browser.
Analytics, advertising e script di terze parti
Uno degli errori più comuni nell’audit privacy di un sito è limitarsi a controllare ciò che appare visivamente nella pagina.
Il browser può effettuare richieste a domini esterni per analytics, advertising, mappe, video, font, CAPTCHA, widget social, live chat e altri servizi.
La domanda non è soltanto “c’è un cookie?”.
Bisogna verificare:
quale servizio viene contattato → quali informazioni riceve → per quale finalità → con quale base → quando viene attivato → dove tratta i dati → quale ruolo assume il fornitore
Questo approccio evita di costruire tutta la compliance attorno al nome della tecnologia.
Newsletter ed email marketing
Una newsletter mette insieme almeno due problemi differenti: trattamento dei dati personali e regole specifiche sulle comunicazioni promozionali elettroniche.
Bisogna quindi distinguere la semplice gestione di un rapporto o servizio dall’utilizzo dell’indirizzo per finalità commerciali.
L’errore da evitare è utilizzare un unico consenso generico per qualunque futura comunicazione.
Finalità, base giuridica, informativa, possibilità di opposizione o revoca e disciplina specifica del marketing devono essere valutate in relazione al caso concreto.
Plugin, hosting, CRM e servizi cloud
Installare un plugin o collegare un SaaS può aggiungere nuovi destinatari e nuovi flussi di dati senza che il front-end del sito cambi in modo evidente.
Un modulo può salvare informazioni nel database WordPress, inviarle via email e contemporaneamente sincronizzarle con un CRM.
Un sistema antispam può inviare dati a un servizio esterno.
Un backup può replicare l’intero database su un’infrastruttura diversa.
Per questo, quando valuti un fornitore, non guardare soltanto la pagina “privacy” del vendor. Verifica che ruolo assume, quali dati tratta, per quali finalità, dove vengono trattati, quali sub-responsabili utilizza e quali garanzie contrattuali sono applicabili.
Log, sicurezza e dati tecnici
Un indirizzo IP può essere un dato personale. Anche informazioni che sembrano puramente tecniche possono quindi ricadere nella mappa dei trattamenti.
Questo non significa che devi smettere di mantenere log di sicurezza.
Significa che devi sapere perché li conservi, chi può consultarli, quanto a lungo vengono mantenuti e quali misure li proteggono.
La stessa logica vale per backup e ambienti di staging: copiare un database di produzione significa spesso copiare anche dati personali.
Come adeguarsi al GDPR: una checklist operativa
Un percorso di adeguamento efficace parte dai trattamenti, non dai template.
1. Mappa i dati e i trattamenti
Fai l’inventario di ciò che raccogli e usa realmente.
Considera clienti, lead, dipendenti, fornitori, utenti registrati, newsletter, ecommerce, supporto, sistemi di sicurezza, analytics e qualsiasi altro processo pertinente.
Segui il dato dal punto di raccolta fino alla cancellazione.
2. Definisci finalità e basi giuridiche
Per ogni trattamento scrivi chiaramente perché esiste.
Poi individua la base giuridica appropriata.
Se non riesci a spiegare la finalità senza formule vaghe come “migliorare i servizi”, probabilmente devi definire meglio il trattamento.
3. Identifica ruoli e fornitori
Stabilisci chi è titolare, chi opera come responsabile, dove esistono eventuali contitolarità e quali soggetti ricevono dati.
Verifica i fornitori uno per uno: non dare per scontato che tutti abbiano lo stesso ruolo.
4. Riduci i dati non necessari
Controlla moduli, database, esportazioni, CRM, file condivisi e integrazioni.
Ogni dato raccolto “perché potrebbe servire” aumenta superficie di rischio, complessità e responsabilità.
La minimizzazione è spesso il miglior intervento sia giuridico sia tecnico.
5. Allinea informative e realtà
Confronta le informative esistenti con la mappa effettiva dei trattamenti.
Strumenti aggiunti negli anni, plugin sostituiti, nuovi fornitori e modifiche ai processi possono rendere obsoleto un documento che formalmente sembra ancora perfetto.
6. Definisci tempi di conservazione
“Li conserviamo per sempre, nel caso servano” non è una politica.
Per ogni categoria di dati definisci un periodo o un criterio coerente con finalità e obblighi applicabili.
Poi verifica che i sistemi consentano realmente di applicarlo.
7. Organizza l’esercizio dei diritti
Stabilisci chi riceve le richieste, come viene verificata l’identità, dove devono essere cercati i dati e chi è autorizzato a prendere le decisioni.
Testare internamente la procedura è spesso più utile che scoprirne i limiti quando arriva la prima richiesta reale.
8. Valuta sicurezza e rischio
Controlla accessi, privilegi, backup, patch, cifratura quando appropriata, procedure interne e rischio delle singole attività.
Per un sito WordPress può essere utile affiancare la valutazione privacy a un vero audit della sicurezza del sito web.
Se il trattamento può comportare un rischio elevato, verifica se è necessaria una DPIA.
9. Prepara la gestione dei data breach
Definisci un processo che consenta di sapere rapidamente:
- cosa è successo;
- quali dati sono coinvolti;
- quante persone possono essere interessate;
- quali conseguenze sono plausibili;
- quali misure sono state prese;
- se è necessaria la notifica;
- se è necessaria la comunicazione agli interessati.
Con sole 72 ore potenzialmente disponibili per la notifica all’autorità, la procedura non può essere inventata durante l’incidente.
10. Ripeti il controllo quando cambia qualcosa
La conformità non è un progetto che termina con la pubblicazione della privacy policy.
Nuovi software, nuovi form, campagne pubblicitarie, migrazioni cloud, funzioni AI, plugin, CRM o procedure aziendali possono modificare i trattamenti.
La domanda da integrare nei cambiamenti dovrebbe diventare:
questa novità cambia quali dati trattiamo, perché, con chi o con quale rischio?
Se la risposta è sì, anche la governance privacy deve essere rivalutata.
Sanzioni GDPR: quanto si rischia davvero
Il GDPR prevede poteri correttivi diversi dalla sola sanzione economica.
Un’autorità di controllo può, a seconda del caso, intervenire con avvertimenti, ammonimenti, ordini, limitazioni o divieti del trattamento e sanzioni amministrative pecuniarie.
L’articolo 83 prevede due principali livelli massimi.
Per alcune violazioni il limite può arrivare a 10 milioni di euro oppure, per le imprese, al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Per altre violazioni, comprese quelle relative ai principi fondamentali, ai diritti degli interessati e a determinati trasferimenti internazionali, il limite può raggiungere 20 milioni di euro oppure il 4% del fatturato mondiale totale annuo, se superiore.
Ma leggere soltanto quei numeri porta a un’altra semplificazione.
Il massimo non è la multa automatica
Le autorità devono valutare le circostanze del caso e applicare sanzioni effettive, proporzionate e dissuasive.
Tra i fattori considerati rientrano natura, gravità e durata della violazione, carattere doloso o colposo, misure adottate per ridurre il danno, grado di responsabilità e cooperazione con l’autorità.
Questo è il motivo per cui la conformità non dovrebbe essere trattata come una strategia per “evitare la multa massima”.
L’obiettivo più utile è costruire un sistema in cui i trattamenti siano giustificabili, controllabili e documentabili.
Conclusione
Il modo più semplice per capire se stai affrontando correttamente il GDPR è smettere per un momento di guardare i documenti.
Prendi un singolo trattamento — per esempio un form di preventivo — e prova a rispondere a queste domande:
quali dati raccolgo? Perché? Qual è la base giuridica? Dove finiscono? Chi li riceve? Quanto li conservo? Come li proteggo? Come può esercitare i propri diritti la persona interessata?
Se non riesci a rispondere, il problema non è soltanto scrivere una privacy policy migliore.
Devi prima capire il trattamento.
Questo è il punto centrale del GDPR: non dimostrare di avere una serie di documenti, ma essere in grado di dimostrare che i dati personali vengono trattati secondo una logica precisa, proporzionata e controllabile.
Per un sito web il primo passo concreto è quindi mappare form, cookie, tracker, plugin, fornitori, database, email, log e backup. Una volta ricostruito quel flusso, informative, contratti, consensi, misure di sicurezza e procedure smettono di essere adempimenti isolati e diventano parti dello stesso sistema.