Regolamento generale sulla protezione dei dati (GDPR): riepilogo e checklist
Il Regolamento generale sulla protezione dei dati dell’UE (GDPR) disciplina il trattamento dei dati personali e stabilisce una normativa uniforme in materia di protezione dei dati per tutti gli Stati membri dell’UE. Molte imprese lo percepiscono soprattutto come un onere burocratico aggiuntivo, anche perché alcuni requisiti richiedono un’interpretazione nel singolo caso. Di seguito ti offriamo un riepilogo del GDPR e mettiamo a disposizione della tua azienda una checklist per il GDPR.
Riassunto
Il GDPR in sintesi:
- Il GDPR è un regolamento UE direttamente applicabile in tutti gli Stati membri dal 25 maggio 2018.
- In Italia è integrato dal Codice in materia di protezione dei dati personali, adeguato con il D.Lgs. 101/2018.
- Ogni trattamento di dati personali richiede una base giuridica, ad esempio il consenso, un contratto o un legittimo interesse.
- I principi chiave sono limitazione della finalità, minimizzazione dei dati, trasparenza e sicurezza.
- I gestori di siti web hanno bisogno di un’informativa sulla privacy completa e, per i cookie non tecnici, del consenso degli utenti.
- Le violazioni possono essere punite con sanzioni fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo, se superiore.
Che cos’è il GDPR?
Il Regolamento generale sulla protezione dei dati (RGPD o GDPR) crea un diritto uniforme in materia di protezione dei dati nell’UE e obbliga le aziende e chi gestisce siti web a trattare i dati personali in modo trasparente, sicuro e per finalità specifiche. È entrato in vigore a maggio 2016 con un periodo transitorio di due anni. Dal 25 maggio 2018 si applica in tutti gli Stati membri dell’UE: è direttamente applicabile e, in caso di conflitto, prevale sul diritto nazionale. Attraverso le cosiddette clausole di apertura, gli Stati membri possono integrare alcune norme. Da allora tutte le aziende e gli enti pubblici che trattano dati personali devono rispettare le regole del GDPR e attuare le misure corrispondenti.
Questo articolo offre un riepilogo di base del GDPR e spiega:
- perché il GDPR, in quanto regolamento, è immediatamente vincolante;
- quali obiettivi e principi di base vi stanno dietro;
- quali obblighi ne derivano nella pratica, dalla documentazione ai diritti degli interessati fino alle misure tecniche e organizzative;
- come il GDPR è integrato in Italia;
- quale ruolo svolge il responsabile della protezione dei dati e quali requisiti sono rilevanti per i siti web.
- Editor facile e intuitivo con supporto IA
- Immagini e testi d'effetto in pochi secondi
- Dominio, indirizzo e-mail e certificato SSL inclusi
Checklist per il GDPR: le misure più importanti per aziende e gestori di siti web
Se stai iniziando ad applicare il Regolamento generale sulla protezione dei dati, tieni presente che le misure necessarie variano da un’azienda all’altra. Tuttavia, ci sono alcune precauzioni che ogni azienda dovrebbe adottare. Le abbiamo raccolte in questa checklist per il GDPR.
✓ Tenere un registro delle attività di trattamento (finalità, basi giuridiche, tempi di conservazione, destinatari)
✓ Verificare e documentare le basi giuridiche (consenso, contratto, obbligo legale, legittimo interesse)
✓ Mantenere aggiornata l’informativa sulla privacy (sito web, negozio online, strumenti di tracciamento, fornitori terzi, moduli di contatto)
✓ Gestire correttamente il consenso (banner dei cookie, opt-in, possibilità di revoca, registrazione dei consensi)
✓ Garantire i diritti degli interessati (accesso, rettifica, cancellazione, opposizione, portabilità dei dati)
✓ Definire le responsabilità interne (referente per la protezione dei dati, canali chiari per richieste e incidenti)
✓ Nominare un responsabile della protezione dei dati (RPD/DPO), se richiesto dalla legge, oppure definire chiaramente le relative responsabilità
✓ Verificare e stipulare gli accordi con i responsabili del trattamento ai sensi dell’art. 28 GDPR (ad esempio hosting, newsletter, strumenti di analisi)
✓ Mettere in atto misure tecniche e organizzative adeguate (protezione degli accessi, cifratura, backup)
✓ Eseguire una valutazione d’impatto sulla protezione dei dati (DPIA) quando un trattamento presenta un rischio elevato per gli interessati
✓ Stabilire una procedura per le violazioni dei dati (notifica al Garante entro 72 ore)
✓ Prevedere verifiche e formazione regolari (collaboratori, strumenti, sviluppi normativi)
Il GDPR richiede che i dati personali siano protetti da trattamenti non autorizzati o illeciti. Per questo motivo, anche in ottica GDPR, consigliamo l’uso di un certificato SSL per il tuo sito web o il tuo negozio online.
Importante: non si tratta di una direttiva, ma di un regolamento
Le norme europee seguono spesso un percorso lungo. Quando l’UE adotta una direttiva, gli Stati membri dispongono di un periodo di tempo per recepirla nel proprio ordinamento nazionale. Possono quindi passare anni prima che le aziende siano effettivamente tenute ad applicarla.
Un regolamento funziona in modo diverso: non deve essere recepito, ma si applica direttamente e in modo uniforme in tutti gli Stati membri. Il GDPR non fa eccezione: non è una direttiva, ma un regolamento. Ha sostituito la Direttiva 95/46/CE sulla protezione dei dati del 1995, che ogni Paese aveva recepito in modo diverso.
Integrazioni: le clausole di apertura e il Codice Privacy italiano
I regolamenti europei hanno la precedenza sulle leggi nazionali e prevalgono in caso di contrasto. Tuttavia, il GDPR prevede alcune clausole di apertura che consentono ai legislatori nazionali di introdurre disposizioni specifiche in determinati ambiti. In Italia, questo spazio di manovra è stato utilizzato con il Decreto legislativo 10 agosto 2018, n. 101, entrato in vigore il 19 settembre 2018, che ha adeguato il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) al GDPR. Il Codice Privacy non sostituisce il regolamento europeo, ma lo integra con norme nazionali, ad esempio in materia di trattamenti per motivi di interesse pubblico, consenso dei minori ai servizi online (in Italia a partire da 14 anni), rapporti di lavoro, regole deontologiche e poteri del Garante per la protezione dei dati personali.
Anche in Italia, quindi, le aziende devono rispettare sia il GDPR sia le disposizioni nazionali del Codice Privacy. Per supportare imprese, enti e professionisti, il Garante per la protezione dei dati personali mette a disposizione il testo coordinato del Codice e numerosi materiali informativi.
Obiettivo: armonizzare la protezione dei dati nell’Unione Europea
L’obiettivo principale del GDPR è l’armonizzazione della protezione dei dati in tutta l’Unione Europea. A differenza della direttiva del 1995, applicata in modo diverso da un Paese all’altro, il regolamento lascia poco spazio a soluzioni nazionali divergenti.
Un altro obiettivo essenziale è rispondere ai profondi cambiamenti tecnologici degli ultimi anni. Un esempio è il trattamento dei dati biometrici, sempre più diffuso in ambiti come la sicurezza o l’autenticazione. Questi dati rientrano nelle categorie particolari di dati personali e devono essere trattati in modo sicuro, trasparente e per una finalità chiaramente definita. Se i dati vengono utilizzati per finalità diverse da quelle originarie e non compatibili con esse, il GDPR pone limiti chiari al loro trattamento.
Se dei dati personali che ti riguardano sono pubblicati online, puoi chiedere a Google di rimuoverli. In questo caso si applica il diritto all’oblio.
I principi fondamentali del GDPR
Un riepilogo del GDPR deve partire dalle regole sul trattamento dei dati personali. È qui che si sono verificati i cambiamenti più importanti: con il GDPR la protezione dei dati delle persone fisiche è stata rafforzata in modo significativo.
Un cambiamento centrale riguarda il principio di responsabilizzazione (accountability): le aziende devono essere in grado di dimostrare in ogni momento quali dati raccolgono, per quale finalità e come li trattano. Nella pratica, questo comporta soprattutto un impegno maggiore in termini di documentazione e controllo interno.
I principi più importanti in sintesi:
- Liceità del trattamento: il trattamento di dati personali è consentito solo se esiste una base giuridica, ad esempio il consenso, l’esecuzione di un contratto, un obbligo legale o un legittimo interesse. In mancanza di una base giuridica, il trattamento è vietato.
- Limitazione della finalità: le aziende possono raccogliere e trattare dati solo per finalità determinate, esplicite e legittime, da definire fin dall’inizio. Ad esempio, i dati raccolti per l’esecuzione di un contratto non possono essere utilizzati per scopi pubblicitari senza un’ulteriore base giuridica. Un trattamento per finalità diverse è ammesso solo se compatibile con quella originaria o se esiste una nuova base giuridica.
- Minimizzazione dei dati: le aziende devono raccogliere solo i dati necessari. Vale il principio: il meno possibile, ma tutti quelli necessari. Non è consentito raccogliere dati “per scorta”.
- Trasparenza: il trattamento deve essere chiaro e comprensibile per gli interessati. Questo significa, da un lato, un’informativa sulla privacy comprensibile e, dall’altro, il rispetto dei diritti degli interessati, come il diritto di accesso ai propri dati.
- Integrità e riservatezza: le aziende devono proteggere i dati personali con misure tecniche e organizzative adeguate contro accessi non autorizzati, perdita o manipolazione. Il GDPR non prescrive misure specifiche, ma richiede che siano adeguate al rischio e al tipo di dati trattati.
Chi è interessato dal GDPR: aziende e responsabili della protezione dei dati
Il GDPR tutela in primo luogo le persone i cui dati vengono trattati: clienti, utenti e cittadini in generale. Ha inoltre un impatto diretto sul trattamento dei dati dei dipendenti. Per questo quasi tutte le aziende sono interessate su più livelli: per i dati del personale e per quelli di clienti, fornitori e visitatori del proprio sito web.
Il GDPR ha una particolare rilevanza per i responsabili della protezione dei dati (RPD, in inglese Data Protection Officer o DPO). La nomina è obbligatoria se:
- il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico;
- le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
- le attività principali consistono nel trattamento su larga scala di categorie particolari di dati (art. 9 GDPR, ad esempio dati sanitari) o di dati relativi a condanne penali e reati (art. 10 GDPR).
In Italia non esiste una soglia legata al numero di dipendenti: decisivi sono la natura, l’ambito e la scala dei trattamenti. Una soglia di questo tipo esiste invece in altri Paesi, ad esempio in Germania.
L’RPD informa e consiglia l’azienda e i collaboratori, sorveglia l’osservanza del GDPR, fornisce pareri sulla valutazione d’impatto e funge da punto di contatto con il Garante. Deve poter operare in modo indipendente e i suoi dati di contatto vanno comunicati al Garante. Le sue competenze sono sempre più richieste e il suo ruolo all’interno delle aziende si è rafforzato negli ultimi anni.
GDPR: effetti per aziende e gestori di siti web
Il GDPR non ha stravolto la protezione dei dati, ma ha introdotto molti cambiamenti concreti che le aziende devono integrare nei propri processi fin dall’inizio, secondo il principio della privacy by design. Di seguito trovi gli obblighi più importanti, in particolare per il commercio online e la gestione di siti web.
Sicurezza dei dati e organizzazione aziendale
- Valutazione d’impatto sulla protezione dei dati (DPIA): è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, ad esempio in caso di trattamento su larga scala di dati sanitari o di monitoraggio sistematico. L’azienda deve analizzare i rischi e documentare le misure adottate per ridurli. Il tema è rilevante anche quando si utilizzano servizi cloud, che spesso comportano il trattamento di grandi quantità di dati personali.
- Dati dei dipendenti: anche il trattamento dei dati del personale è disciplinato. In Italia, oltre al GDPR, si applicano le disposizioni del Codice Privacy e le norme giuslavoristiche, ad esempio sui controlli a distanza dei lavoratori.
- Responsabile della protezione dei dati: deve essere nominato nei casi descritti sopra. L’obbligo non dipende dalle dimensioni dell’azienda, ma dal tipo di dati trattati e dalle attività svolte.
- Obbligo di notifica: in caso di violazione dei dati personali (data breach), il titolare deve notificarla al Garante entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone. Se la violazione presenta un rischio elevato, deve informare anche gli interessati senza ingiustificato ritardo.
- Responsabilità e sanzioni: in caso di violazioni, il Garante può imporre sanzioni fino a 20 milioni di euro o al 4 % del fatturato mondiale annuo dell’esercizio precedente, se superiore.
Protezione dei dati personali
- Obbligo di documentazione: in base al principio di accountability, le aziende devono poter dimostrare la propria conformità attraverso una documentazione interna. Questo include il registro delle attività di trattamento, con finalità, categorie di dati, destinatari e tempi di conservazione, da esibire al Garante su richiesta.
- Privacy by design: la protezione dei dati deve essere considerata fin dalla progettazione di processi e sistemi. Non basta adottare misure a posteriori: prodotti e servizi devono essere concepiti in modo da trattare il minor numero possibile di dati personali.
- Privacy by default: le impostazioni predefinite devono essere quelle più rispettose della privacy. Così gli utenti non devono modificare impostazioni complesse per limitare il trattamento dei propri dati.
- Basi giuridiche: ogni trattamento deve fondarsi su una base giuridica valida. Se si ricorre al consenso, questo deve essere libero, specifico, informato e inequivocabile e deve poter essere revocato in qualsiasi momento con la stessa facilità con cui è stato dato.
- Limitazione della conservazione: i dati personali possono essere conservati solo per il tempo necessario alla finalità per cui sono stati raccolti. Quando la base giuridica viene meno, ad esempio con la revoca del consenso, i dati devono essere cancellati o anonimizzati.
- Diritto di accesso e diritto alla cancellazione: gli interessati hanno il diritto di sapere quali dati un’azienda tratta su di loro e come li utilizza. Possono inoltre chiederne la cancellazione. Il “diritto all’oblio” vale anche nei confronti dei motori di ricerca come Google, che su richiesta devono rimuovere determinati risultati se ne ricorrono i presupposti.
Cookie e tracciamento
Per i siti web, le regole sui cookie sono particolarmente importanti. In Italia si applicano l’art. 122 del Codice Privacy, che recepisce la direttiva ePrivacy, e le linee guida del Garante sui cookie e altri strumenti di tracciamento del 10 giugno 2021. I cookie tecnici non richiedono il consenso; i cookie di profilazione e gli altri strumenti di tracciamento sì. Il banner deve consentire di rifiutare con la stessa facilità con cui si accetta, ad esempio tramite una “X” per chiuderlo senza prestare il consenso. Lo scrolling da solo non vale come consenso.
Che cosa è cambiato con il GDPR
Le novità più importanti introdotte dal GDPR per i gestori di siti web sono le seguenti:
- l’ampio obbligo di documentazione (accountability);
- requisiti più rigorosi per le basi giuridiche e il consenso;
- i principi di privacy by design e privacy by default;
- l’ampliamento del diritto di accesso e del diritto alla cancellazione;
- il diritto alla portabilità dei dati;
- obblighi di informazione più ampi, ad esempio per l’informativa sulla privacy;
- il divieto di condizionare il consenso;
- sanzioni molto elevate.
Informativa sulla privacy e divieto di condizionare il consenso
Due temi interessano in modo particolare i gestori di siti web: l’informativa sulla privacy e il divieto di condizionare il consenso.
Che cos’è un’informativa sulla privacy?
È il testo con cui un’azienda informa i propri utenti su come tratta i loro dati personali. È obbligatoria su ogni sito web che raccoglie dati personali. Online si trovano molti modelli, ma vanno sempre adattati al caso concreto. L’informativa va distinta dal consenso, che indica l’accettazione attiva di un determinato trattamento da parte dell’utente.
L’articolo 13 del GDPR stabilisce un elenco preciso di informazioni obbligatorie, tra cui l’identità del titolare, le finalità e la base giuridica del trattamento, i tempi di conservazione e i diritti degli interessati. L’informativa deve essere redatta in un linguaggio semplice e chiaro e deve essere facilmente accessibile.
Che cos’è il divieto di condizionare il consenso?
Il consenso deve essere libero. Non è quindi valido se l’esecuzione di un contratto o la fornitura di un servizio viene subordinata al consenso a un trattamento che non è necessario per quel contratto o servizio. Un esempio: se per concludere un acquisto è obbligatorio iscriversi anche alla newsletter, il consenso alla newsletter non è libero e quindi non è valido.
Presta particolare attenzione agli obblighi di documentazione, alle basi giuridiche, ai tempi di conservazione e ai diritti di accesso e cancellazione. Anche nuove normative europee e nazionali possono introdurre ulteriori requisiti per aziende e gestori di siti web.
Effetti del GDPR su aziende e consumatori
Dalla sua applicazione nel 2018, il GDPR ha avuto un impatto notevole sia sulle aziende sia sugli utenti. Ecco un riepilogo degli sviluppi principali.
Le PMI sono ancora in fase di adeguamento
L’applicazione del GDPR rappresenta una sfida considerevole soprattutto per le PMI. Molte aziende segnalano difficoltà legate a interpretazioni non sempre chiare, risorse di personale limitate e obblighi di documentazione crescenti. Per molte di loro, la conformità non è un progetto una tantum, ma un processo continuo.
Effetti sull’economia digitale internazionale
Il GDPR ha avuto ripercussioni anche al di fuori dell’UE. Nei primi mesi dopo il 25 maggio 2018, alcuni siti di notizie statunitensi hanno bloccato gli utenti europei o ridotto la propria offerta; nel frattempo, la maggior parte dei fornitori internazionali ha adeguato i propri servizi ai requisiti europei.
Il GDPR ha inoltre contribuito al cosiddetto “effetto Bruxelles”: molte normative sulla privacy nate fuori dall’UE, come il California Consumer Privacy Act, si ispirano al modello europeo. Le grandi piattaforme come Alphabet (Google) e Meta sono da tempo sotto la lente delle autorità di controllo. Nell’UE la protezione dei dati è un diritto fondamentale, mentre negli Stati Uniti la normativa resta frammentata e si basa in gran parte su leggi dei singoli Stati.
I trasferimenti di dati verso Paesi terzi sono ammessi solo con garanzie adeguate, ad esempio sulla base di una decisione di adeguatezza della Commissione europea, come il Data Privacy Framework UE-USA, o di clausole contrattuali standard.
Sanzioni e controlli: una realtà consolidata
Le sanzioni per violazione del GDPR sono ormai una realtà in tutta l’UE. Anche il Garante italiano interviene con frequenza, in particolare in materia di intelligenza artificiale, marketing, videosorveglianza e sicurezza dei dati. Nel 2025, ad esempio, ha sanzionato con 5 milioni di euro la società che gestisce il chatbot Replika, contestando tra l’altro la mancanza di una base giuridica e di un sistema efficace di verifica dell’età; il provvedimento è stato impugnato. Diverse sanzioni elevate vengono contestate davanti ai giudici: nel marzo 2026, ad esempio, il Tribunale di Roma ha annullato la sanzione di 15 milioni di euro inflitta a OpenAI per ChatGPT, ritenendo competente l’autorità capofila irlandese in base al meccanismo dello sportello unico.
Le aziende devono quindi essere consapevoli che la conformità non è facoltativa: le violazioni possono comportare sanzioni elevate e danni alla reputazione.
Truffe legate al GDPR
Già subito dopo l’entrata in vigore del GDPR si sono moltiplicati i tentativi di truffa via e-mail che, con il pretesto di presunte violazioni della privacy, chiedono pagamenti o contengono allegati dannosi. È importante diffidare di questi messaggi, non aprire allegati sospetti e verificare sempre il mittente.
Con la legge 23 settembre 2025, n. 132, in vigore dal 10 ottobre 2025, l’Italia ha adottato una propria legge sull’intelligenza artificiale che integra l’AI Act europeo. Per i trattamenti di dati personali con sistemi di IA restano comunque centrali le regole del GDPR.
Ti preghiamo di osservare la nota legale relativa a questo articolo.