Maurice Müller
Senior Content Manager
Maurice Müller è giornalista e content strategist con esperienza nei media cartacei e digitali. In Formalize trasforma temi complessi legati alla conformità e alla regolamentazione in contenuti chiari e pratici per i professionisti della conformità, del rischio e della sicurezza in tutta Europa.
Punti chiave:
La conformità al GDPR comprende ben più di informative sulla privacy e banner dei cookie: liceità del trattamento, diritti degli interessati, registri, valutazioni d’impatto sulla protezione dei dati (DPIA), sicurezza, fornitori e gestione delle violazioni dei dati personali.
Si applica alle organizzazioni nell’UE e a quelle di altri Paesi che offrono beni o servizi a persone nell’UE o ne monitorano il comportamento. La dimensione da sola non esonera nessuno.
Il titolare del trattamento è responsabile della conformità e della capacità di dimostrarla. Il responsabile della protezione dei dati (RPD) fornisce consulenza e svolge un ruolo di sorveglianza, ma non risponde personalmente di tale responsabilità.
Le sanzioni possono arrivare a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore, ma le autorità le stabiliscono caso per caso e dispongono di altri strumenti, dagli ammonimenti ai divieti di trattamento.
I cambiamenti sono in arrivo, ma per lo più non sono ancora legge. Il termine di 72 ore per la notifica delle violazioni resta in vigore, anche se il Digital Omnibus propone 96 ore.
Se si chiede a un’azienda se è conforme al GDPR, la risposta di solito è sì. Se però le si chiede di mostrare perché un determinato fornitore ha accesso ai dati dei clienti, quale base giuridica copre la campagna di marketing dell’ultimo trimestre o quando è stata riesaminata l’ultima valutazione d’impatto sulla protezione dei dati (DPIA), la risposta può richiedere settimane.
Sono queste ultime domande a contare. Il principio di responsabilizzazione del GDPR impone ai titolari del trattamento di rispettarne le norme e di essere in grado di dimostrarlo. Nella pratica, il regolamento smette di essere un testo giuridico da leggere una volta e diventa un insieme di processi da eseguire ogni giorno.
Cos’è la conformità al GDPR?
La conformità al GDPR significa rispettare gli obblighi del Regolamento (UE) 2016/679 che si applicano al modo in cui l’organizzazione tratta i dati personali, e conservare le prove per dimostrarlo. Il regolamento si applica nell’UE dal 25 maggio 2018 e, in quanto parte dello Spazio economico europeo, anche in Islanda, Liechtenstein e Norvegia.
Cosa comporta dipende da ciò che si fa con i dati personali, ma la maggior parte dei programmi copre gli stessi ambiti: una base giuridica per ogni attività di trattamento, informazioni chiare per le persone interessate, processi per i loro diritti, un Registro delle attività di trattamento (RoPA), valutazioni dei rischi, misure di sicurezza, supervisione dei fornitori e un modo per gestire le violazioni. Coinvolge persone, processi, tecnologia e documentazione, motivo per cui raramente è affidata a un solo team.
Due ruoli determinano tutto il resto. Il titolare del trattamento stabilisce perché e come vengono trattati i dati personali. Il responsabile del trattamento tratta i dati personali per conto del titolare, ad esempio un fornitore di servizi paghe o di servizi cloud. Un’organizzazione può agire come titolare per alcune attività e come responsabile per altre. Scopri come il software per la conformità al GDPR di Formalize aiuta i team a gestire registri, responsabilità e prove.
Chi deve conformarsi al GDPR?
Il GDPR si applica più ampiamente di quanto molte organizzazioni pensino. Il suo ambito territoriale va ben oltre l’UE e solo poche attività ne restano del tutto escluse:
Situazione | Si applica il GDPR? | Cosa sapere |
|---|---|---|
Organizzazione stabilita nell’UE che tratta dati personali | Sì | Vale ovunque avvenga il trattamento, anche su server al di fuori dell’UE. |
Organizzazione al di fuori dell’UE che offre beni o servizi a persone nell’UE | Sì | Vale sia che l’offerta sia a pagamento sia che sia gratuita. In genere è obbligatorio designare un rappresentante nell’UE, salvo limitate eccezioni. |
Organizzazione al di fuori dell’UE che monitora il comportamento di persone nell’UE | Sì | Include, ad esempio, il tracciamento online e la profilazione. |
Responsabile del trattamento che agisce per conto di un titolare | Sì | I responsabili hanno obblighi diretti propri, tra cui sicurezza e tenuta dei registri. |
Piccola o media impresa (PMI) | Sì | Alcuni obblighi sono più leggeri, come l’esenzione dalla tenuta del registro per le organizzazioni con meno di 250 dipendenti, ma tale esenzione prevede eccezioni importanti. |
Persona fisica che agisce a titolo esclusivamente personale o domestico | No | L’esenzione per attività domestiche copre le attività private, non quelle commerciali. |
La dimensione dell’azienda non determina se il GDPR si applichi. Ciò che varia sono gli obblighi specifici applicabili, che dipendono dal trattamento e dal relativo rischio. Un’azienda le cui attività principali comportano il monitoraggio regolare e sistematico di persone su larga scala, ad esempio, deve designare un RPD e di norma avrà bisogno di DPIA. Una piccola impresa che gestisce semplici dati di contatto dei clienti di solito no.
Lista di controllo per la conformità al GDPR: come ottenere e mantenere la conformità
Una volta stabilito che il GDPR si applica, il lavoro si riduce a dieci passaggi, dalla mappatura dei dati al riesame del programma nel tempo:
1. Confermare se e come si applica il GDPR
Verificare l’ambito di applicazione, individuare dove si agisce come titolare e dove come responsabile del trattamento, e controllare se è necessario designare un RPD o un rappresentante nell’UE.
2. Mappare i dati personali trattati
Identify which personal data you hold, where it comes from, which systems store it, who can access it, and where it goes, including transfers outside the EEA.
3. Creare e mantenere il Registro delle Attività di Trattamento (RoPA)
L’articolo 30 del GDPR richiede un RoPA che riporti finalità, categorie di dati e di persone, destinatari, trasferimenti, periodi di conservazione e misure di sicurezza. Anche dove si applica l’esenzione per le piccole imprese, il RoPA è la struttura portante di tutto il resto di questo elenco.
4. Stabilire e documentare le basi giuridiche
Scegliere una delle sei basi giuridiche per ciascuna attività di trattamento: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico o legittimo interesse. Se ci si basa sul legittimo interesse, documentare il test di bilanciamento. Se ci si basa sul consenso, conservarne la prova. Per le categorie particolari di dati personali, come i dati relativi alla salute, serve anche una delle condizioni di cui all’articolo 9 del GDPR.
5. Fornire informative chiare sulla privacy
Spiegare alle persone cosa si fa con i loro dati, perché, su quale base giuridica e per quanto tempo, con un linguaggio comprensibile. Queste informazioni sono dovute al momento della raccolta dei dati o, se i dati si ottengono da terzi, al più tardi entro un mese.
6. Costruire processi per i diritti degli interessati
Le persone possono chiedere di accedere ai propri dati, rettificarli, cancellarli o trasferirli, limitare il trattamento od opporsi, e contestare determinate decisioni automatizzate. Il termine per rispondere è di un mese, prorogabile di ulteriori due mesi per le richieste complesse: per questo ogni richiesta ha bisogno di un referente, di una fase di verifica e di un modo per monitorare la scadenza.
7. Condurre le DPIA ove richiesto
La DPIA è obbligatoria quando il trattamento può comportare un rischio elevato per le persone, ad esempio in caso di profilazione estesa con effetti significativi o di trattamento su larga scala di dati sensibili. La nostra guida alla valutazione d’impatto sulla protezione dei dati (DPIA) spiega quando e come condurla.
8. Gestire i responsabili del trattamento e i fornitori terzi
Stipulare gli accordi previsti dall’articolo 28, verificare che i fornitori siano in grado di soddisfare i requisiti di sicurezza, approvare e tenere traccia dei loro sub-responsabili e assicurarsi che i trasferimenti al di fuori del SEE si basino su un meccanismo valido. Un approccio strutturato alla gestione dei fornitori terzi evita che tutto questo si disgreghi man mano che l’elenco dei fornitori cresce.
9. Implementare misure di sicurezza adeguate e processi per le violazioni
Applicare misure di sicurezza proporzionate al rischio e prepararsi alle violazioni prima che si verifichino. Una violazione dei dati personali deve essere notificata all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza, a meno che sia improbabile che comporti un rischio per le persone; se il rischio per le persone è elevato, queste devono essere informate direttamente. Ogni violazione, notificata o meno, deve essere documentata in un registro interno. Collegare le violazioni alla gestione del rischio più ampia mostra dove i controlli devono migliorare.
10. Formare i dipendenti e riesaminare continuamente
Formare le persone che trattano dati personali e riesaminare regolarmente il programma. Nuovi sistemi, nuovi fornitori e nuovi usi dei dati, come l’IA, sono i momenti in cui registri e valutazioni diventano obsoleti più spesso.
Trasforma la lista di controllo in un programma operativo
Porta il tuo RoPA attuale, per quanto frammentato sia oggi. Ti mostreremo come questi dieci passaggi funzionano come flussi di lavoro, con responsabili e prove associati.
Quali sono i 7 principi del GDPR?
L’articolo 5 stabilisce sette principi su cui si basa tutto il resto. La terza colonna è dove la conformità diventa pratica: è ciò che si dovrebbe essere in grado di dimostrare se qualcuno lo chiede.
Principio | Cosa significa | Cosa si dovrebbe essere in grado di dimostrare |
|---|---|---|
Liceità, correttezza e trasparenza | Trattare i dati su una base giuridica valida, secondo modalità che le persone si aspetterebbero ragionevolmente, e informarle al riguardo | Basi giuridiche documentate e informative sulla privacy chiare |
Limitazione della finalità | Raccogliere i dati per finalità determinate e non riutilizzarli per finalità incompatibili | Finalità registrate per ciascuna attività e verifiche di compatibilità per i nuovi utilizzi |
Minimizzazione dei dati | Raccogliere solo ciò che la finalità richiede effettivamente | Una giustificazione per i campi di dati raccolti |
Esattezza | Mantenere i dati corretti e aggiornati | Processi per rettificare e aggiornare i dati |
Limitazione della conservazione | Conservare i dati solo per il tempo necessario | Un piano di conservazione e la prova che la cancellazione avviene |
Integrità e riservatezza | Proteggere i dati con misure di sicurezza adeguate | Controlli di accesso, misure di sicurezza e registri degli incidenti |
Responsabilizzazione | Assumersi la responsabilità di tutto quanto sopra ed essere in grado di dimostrarlo | Tutto quanto sopra, mantenuto aggiornato |
Chi è responsabile di garantire la conformità al GDPR?
Due aspetti si confondono facilmente: la responsabilizzazione e la responsabilità operativa.
La responsabilizzazione spetta al titolare del trattamento. L’organizzazione che decide perché e come i dati vengono trattati è responsabile del rispetto dei principi e della capacità di dimostrarlo. Nella pratica, ciò significa che la Direzione deve assicurarsi che esistano strutture, risorse e responsabilità adeguate.
I responsabili del trattamento hanno obblighi propri. Devono operare in base a un contratto con il titolare conforme all’articolo 28 del GDPR, mantenere una sicurezza adeguata, tenere propri registri e informare il titolare delle violazioni senza ingiustificato ritardo.
L’RPD fornisce consulenza e sorveglia. Informa l’organizzazione sui suoi obblighi, sorveglia la conformità, fornisce consulenza sulle DPIA e funge da punto di contatto per l’autorità di controllo. La designazione è obbligatoria in determinati casi, ad esempio per le autorità pubbliche o per le organizzazioni le cui attività principali comportano un monitoraggio su larga scala. Tuttavia l’RPD non assume personalmente la responsabilizzazione dell’organizzazione e non dovrebbe essere trattato come se lo facesse.
Il lavoro operativo è distribuito in tutta l’azienda. I team legali e privacy interpretano le norme, IT e sicurezza proteggono i sistemi, le risorse umane (RU) gestiscono i dati dei dipendenti, l’ufficio acquisti gestisce i fornitori e il marketing documenta finalità, basi giuridiche e consenso delle campagne, ove richiesto. La conformità al GDPR funziona quando ciascuno di questi team sa quale parte gli compete.
GDPR e IA: quali sono i requisiti di conformità?
L’uso dell’IA non sospende il GDPR. Ogni volta che un sistema di IA tratta dati personali, nell’addestramento, nei prompt digitati dalle persone o negli output che produce, il regolamento si applica integralmente.
Alcuni requisiti sono particolarmente importanti:
Una base giuridica per ogni fase: sviluppare un modello e utilizzarlo sono attività di trattamento distinte. Il parere 28/2024 del Comitato europeo per la protezione dei dati (EDPB) conferma che il legittimo interesse può essere una base valida, ma solo dopo un test in tre fasi documentato, e che un modello addestrato su dati personali non è automaticamente anonimo.
Limitazione della finalità e minimizzazione dei dati: i dati raccolti per l’assistenza clienti non diventano automaticamente dati di addestramento per un nuovo modello.
Trasparenza: le persone devono sapere quando e come l’IA tratta i loro dati.
DPIA: le nuove tecnologie che trattano dati personali su larga scala rientrano spesso nella soglia di rischio elevato.
Decisioni automatizzate: l’articolo 22 del GDPR limita le decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono in modo analogo significativamente sulle persone. Dove tali decisioni sono consentite, le persone hanno il diritto di ottenere l’intervento umano e di contestare la decisione.
Fornitori di IA: un fornitore di IA esterno agisce spesso come responsabile del trattamento, il che chiama in causa i contratti ai sensi dell’articolo 28 e, di frequente, anche i trasferimenti internazionali.
Il Regolamento sull’IA dell’UE (AI Act) aggiunge requisiti propri, senza sostituire nessuno di questi. A seguito del Digital Omnibus sull’IA, i suoi obblighi per i sistemi ad alto rischio si applicano dal 2 dicembre 2027 per i sistemi autonomi e dal 2 agosto 2028 per l’IA integrata in prodotti regolamentati. La nostra pagina sull’AI Act spiega come i due testi si combinano.
Quali sono le sanzioni per la non conformità al GDPR?
Le sanzioni pecuniarie fanno notizia, ma le autorità di controllo dispongono di strumenti più ampi. Possono emettere avvertimenti e ammonimenti, ordinare a un’organizzazione di conformare il trattamento, limitarlo temporaneamente o definitivamente e sospendere i trasferimenti di dati al di fuori del SEE. Le persone possono inoltre chiedere il risarcimento dei danni causati da una violazione.
Quando le autorità infliggono una sanzione, l’articolo 83 del GDPR stabilisce due livelli massimi:
Livello | Sanzione massima | Violazioni tipiche |
|---|---|---|
Livello inferiore | 10 milioni di euro o il 2 % del fatturato mondiale totale annuo, se superiore | Obblighi come registri, sicurezza, DPIA e il ruolo dell’RPD |
Upper tier | 20 milioni di euro o il 4 % del fatturato mondiale totale annuo, se superiore | I principi fondamentali, le basi giuridiche, i diritti degli interessati e i trasferimenti internazionali |
Si tratta di massimali, non di punti di partenza. Le autorità decidono caso per caso, valutando la natura, la gravità e la durata della violazione, se sia stata intenzionale o colposa, che cosa ha fatto l’organizzazione per limitare il danno e quanto ha collaborato. Un programma ben documentato non esclude una sanzione, ma le misure adottate e il modo in cui si collabora sono tra i fattori che le autorità prendono in considerazione.
Cosa sta cambiando: il GDPR nel 2026 e nel 2027
Il nucleo del GDPR non è cambiato dal 2018, ma vale la pena seguire tre sviluppi:
Nuove norme sull’applicazione transfrontaliera, dal 2 aprile 2027: il Regolamento (UE) 2025/2518 armonizza il modo in cui le autorità gestiscono i casi transfrontalieri, con termini per le indagini e diritti procedurali più chiari per le organizzazioni coinvolte. Non modifica ciò che il GDPR richiede, ma mira a rendere più rapida l’applicazione transfrontaliera.
Il Digital Omnibus, ancora una proposta. Pubblicato dalla Commissione europea a novembre 2025, restringerebbe la definizione di dati personali, estenderebbe a 96 ore il termine di notifica per le violazioni ad alto rischio, introdurrebbe un Single Entry Point per la segnalazione degli incidenti e chiarirebbe il legittimo interesse per l’IA. A settembre 2026 è ancora in prima lettura: le commissioni del Parlamento europeo non hanno votato e il Consiglio non ha concordato la propria posizione negoziale. Fino alla sua adozione si applicano le norme vigenti.
I trasferimenti verso gli Stati Uniti. Il Data Privacy Framework UE-USA resta valido dopo che il Tribunale dell’UE lo ha confermato a settembre 2025, ma è pendente un ricorso dinanzi alla Corte di giustizia. La pressione è aumentata dopo la sentenza della Corte suprema degli Stati Uniti di giugno 2026 sull’indipendenza della Federal Trade Commission, l’agenzia che fa rispettare i principi del quadro, in seguito alla quale l’organizzazione per la privacy noyb ha chiesto alla Commissione di revocarlo. Le organizzazioni che vi fanno affidamento dovrebbero verificare che ogni destinatario abbia una certificazione attiva e che questa copra i dati in questione, e sapere quale sarebbe la loro alternativa.
Software per la conformità al GDPR: cos’è e come scegliere
Il software per la conformità al GDPR aiuta le organizzazioni a gestire in un unico luogo le parti ricorrenti di un programma sulla privacy: il RoPA, le DPIA, le richieste degli interessati, le valutazioni dei fornitori, i registri delle violazioni e la documentazione che li collega. Non rende conforme un’organizzazione da solo. Le decisioni restano alle persone, ma il software rende molto più semplice mantenerle aggiornate e mostrarle quando richiesto.
Nel confrontare le soluzioni, alcune domande sono più utili di un elenco di funzionalità:
Copre i processi effettivi, dal RoPA alla gestione delle violazioni, o solo una parte?
Gestisce le attività ricorrenti, come promemoria di riesame, scadenze delle richieste e rivalutazioni dei fornitori?
Può essere usato anche da chi non fa parte del team privacy, tra cui RU, IT e ufficio acquisti?
Può produrre prove su richiesta, con una traccia di audit di chi ha deciso cosa e quando?
Funziona insieme agli altri framework, come lo standard ISO/IEC 27001 o la direttiva NIS2, se si gestiscono anche questi?
Non esiste un unico software per la conformità al GDPR migliore in assoluto. La scelta giusta dipende da quante attività di trattamento si svolgono, da quanti team sono coinvolti e da cos’altro si deve gestire. Per la categoria più ampia, consulta la nostra guida al software per la gestione della conformità.
Come Formalize supporta la conformità al GDPR
La piattaforma Formalize è pensata per la parte della conformità al GDPR che non finisce mai: mantenere aggiornati RoPA, richieste e fornitori, e tenere insieme le prove.
Un RoPA con flussi di lavoro guidati allineati all’articolo 30 del GDPR, collegato ai fornitori e ai sub-responsabili ed esportabile in PDF o Excel.
Richieste degli interessati tracciate dalla ricezione alla chiusura, con consegna sicura dei dati e cancellazione dopo un periodo stabilito.
Audit dei fornitori configurabili e flussi di lavoro per le DPIA e per le valutazioni d’impatto del trasferimento (TIA).
Gestione del rischio e degli incidenti, comprese le violazioni dei dati personali, insieme a framework come lo standard ISO/IEC 27001 e la direttiva NIS2 nello stesso sistema.
Più di 8.000 organizzazioni utilizzano i prodotti di Formalize. Consulta i prezzi per scoprire i piani disponibili.