- Il GDPR è il Regolamento generale sulla protezione dei dati, cioè il Regolamento (UE) 2016/679. Stabilisce come la sua azienda può raccogliere e usare i dati personali e quali diritti hanno le persone a cui quei dati si riferiscono.
- Si applica in tutta l’Unione europea dal 25 maggio 2018. Art. 99
- In Italia lo completa il Codice in materia di protezione dei dati personali (il “Codice privacy”, d.lgs. 196/2003, aggiornato nel 2018), e a vigilare è il Garante per la protezione dei dati personali.
- È nato perché la legge europea precedente risaliva al 1995, prima dei social network e degli smartphone, e ogni Paese la applicava a modo suo.
- Riguarda anche le piccole imprese: basta avere un elenco di clienti, di dipendenti o di iscritti a una newsletter. Artt. 2 e 3
- Le sanzioni arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Art. 83, par. 5
Cos’è il GDPR
Il GDPR è la legge europea sulla protezione dei dati personali. È un regolamento, quindi in Italia si applica direttamente, così com’è scritto. Il Codice privacy, però, resta in vigore accanto al GDPR: dopo la riforma del 2018 disciplina i punti che il Regolamento lascia ai singoli Paesi e i poteri del Garante.
Per capire se un’attività della sua azienda rientra nel GDPR, bastano due definizioni.
Un dato personale è qualsiasi informazione su una persona identificabile: il nome, l’email, il numero cliente, la targa del furgone di un fornitore, l’indirizzo IP di chi visita il suo negozio online. Art. 4, punto 1
Il trattamento è quasi tutto ciò che si fa con quei dati: raccoglierli, conservarli, consultarli, inviarli per email, cancellarli. Un foglio Excel con l’elenco dei clienti è già un trattamento. Art. 4, punto 2
Restano fuori, invece, i contatti che tiene nella rubrica del telefono per uso personale. Art. 2, par. 2, lett. c)
In Italia l’autorità di controllo è il Garante. Ogni Paese dell’UE ne ha una, e tutte si coordinano nel Comitato europeo per la protezione dei dati (EDPB), che pubblica linee guida su come interpretare il Regolamento. Quando ha un dubbio di interpretazione, conviene partire dalle linee guida dell’EDPB e dai provvedimenti e dalle FAQ del Garante.
Perché è stato creato il GDPR
Il GDPR ha preso il posto della direttiva 95/46/CE, del 1995. I considerando, cioè il testo che precede gli articoli e spiega le intenzioni del legislatore, indicano quattro motivi per cambiarla.
La tecnologia aveva superato la legge del 1995
Nel 1995 pochi avevano l’email a casa. Vent’anni dopo, i dati di ognuno passavano per social network, negozi online, servizi cloud e aziende pubblicitarie che costruiscono profili. Il Regolamento indica nella “rapidità dell’evoluzione tecnologica” e nella globalizzazione i nuovi problemi da affrontare. Considerando 6
Ogni Paese aveva regole diverse
La direttiva del 1995 andava recepita, e ogni Paese scrisse la propria legge. L’Italia lo fece con la legge 675/1996, che istituì anche il Garante, e poi con il Codice privacy del 2003. Chi aveva un negozio online con clienti in Italia, Francia e Germania doveva fare i conti con tre regimi diversi per lo stesso tipo di cliente. I considerando del GDPR osservano che questa frammentazione creava incertezza giuridica e frenava il mercato interno. Considerando 9 e 10
La protezione dei dati è diventata un diritto fondamentale
Nel 2009, con il Trattato di Lisbona, la Carta dei diritti fondamentali dell’UE è diventata vincolante. L’articolo 8 stabilisce che “ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano”, e l’articolo 16 del Trattato sul funzionamento dell’UE ha dato all’Unione la base per legiferare con una regola unica. Considerando 1
Le persone avevano perso il controllo
Il Regolamento punta a dare a ciascuno il controllo dei propri dati personali e a creare la fiducia necessaria per far crescere l’economia digitale. Considerando 7 A spingere i negoziati sono state le rivelazioni del 2013 sulla sorveglianza di massa e, nel 2014, la sentenza della Corte di giustizia dell’UE sul “diritto all’oblio”.
Dalla proposta all’applicazione
| Data | Cosa è successo |
|---|---|
| 24 ott. 1995 | Adottata la direttiva 95/46/CE |
| 31 dic. 1996 | L’Italia approva la legge n. 675, che istituisce il Garante |
| 30 giu. 2003 | Approvato il Codice privacy (d.lgs. 196/2003) |
| 25 gen. 2012 | La Commissione europea propone il nuovo regolamento |
| 27 apr. 2016 | Il Parlamento europeo e il Consiglio adottano il GDPR |
| 25 mag. 2018 | Il GDPR si applica e la direttiva viene abrogata |
| 10 ago. 2018 | Il d.lgs. 101/2018 adegua il Codice privacy al GDPR |
Tra l’adozione e l’applicazione le aziende hanno avuto due anni per prepararsi. Molte si sono ridotte all’ultimo, a maggio 2018: da lì è partita la valanga di email per chiedere il consenso, che probabilmente ricorda.
I 7 principi del GDPR
Quasi tutte le regole del GDPR discendono da sette principi. Nel dubbio su un certo uso dei dati, lo confronti con questa tabella. Art. 5
| Principio | Cosa significa per la sua azienda |
|---|---|
| Liceità, correttezza e trasparenza | Le serve un motivo previsto dalla legge per usare i dati, e deve dire alle persone cosa ne fa. |
| Limitazione della finalità | Usa i dati per lo scopo per cui li ha raccolti. L’email lasciata per ricevere la fattura non può essere usata, così com’è, per la newsletter. |
| Minimizzazione dei dati | Chiede solo ciò che le serve: per consegnare un divano, la data di nascita del cliente è superflua. |
| Esattezza | Corregge i dati sbagliati. |
| Limitazione della conservazione | Stabilisce per quanto tempo conservare ogni tipo di dato, e poi lo cancella. |
| Integrità e riservatezza | Protegge i dati da accessi non autorizzati, perdite e invii alla persona sbagliata. |
| Responsabilizzazione | È in grado di dimostrare, con documenti, che rispetta gli altri sei. |
L’ultimo principio è quello che pesa di più nel lavoro quotidiano, perché richiede registri, procedure e la prova che le decisioni sono state prese con criterio. Art. 5, par. 2
Le sei basi giuridiche
Per usare dati personali la sua azienda ha bisogno di almeno una base giuridica: consenso, esecuzione di un contratto, obbligo legale, interessi vitali, interesse pubblico o legittimo interesse. Art. 6, par. 1
Molti credono che il GDPR imponga di chiedere il consenso per tutto. Per fatturare a un cliente, però, la base è il contratto, insieme all’obbligo di legge di emettere fattura. Chiedere il consenso sarebbe anzi un errore, perché il cliente potrebbe revocarlo.
I diritti delle persone
Clienti, dipendenti e chiunque altro di cui tratta i dati (gli interessati) possono rivolgerle diverse richieste. Di regola ha un mese per rispondere. Art. 12, par. 3
| Diritto | Cosa può chiedere la persona | Articolo |
|---|---|---|
| Informazione | Sapere chi tratta i dati, per cosa e per quanto tempo | 13 e 14 |
| Accesso | Una copia dei dati e la spiegazione di come vengono usati | 15 |
| Rettifica | La correzione dei dati sbagliati | 16 |
| Cancellazione | La cancellazione dei dati, in certi casi (“diritto all’oblio”) | 17 |
| Limitazione | Il blocco dell’uso dei dati mentre si risolve una contestazione | 18 |
| Portabilità | I dati in un formato da portare a un altro servizio | 20 |
| Opposizione | Lo stop all’uso dei dati per certi fini, come il marketing diretto | 21 |
| Decisioni automatizzate | Non essere sottoposta a una decisione presa solo da un sistema, con effetti importanti | 22 |
Se le è arrivata un’email che chiede “una copia di tutti i dati che avete su di me”, la persona sta esercitando il diritto di accesso, e il mese per rispondere è già partito. Nella guida Diritto di accesso e cancellazione spieghiamo cosa fare giorno per giorno, con risposte modello.
Cosa chiede il GDPR alla sua azienda
In una PMI gli obblighi che si presentano per primi sono di solito questi. Li elenchiamo nell’ordine in cui le consigliamo di affrontarli.
- Sapere quali dati ha, per cosa li usa e dove si trovano. A questo serve il registro dei trattamenti, da cui dipende quasi tutto il resto. Art. 30 La guida Registro dei trattamenti spiega come compilarlo, e può partire dal nostro modello Excel gratuito.
- Informare le persone con un’informativa privacy chiara sul sito, nei moduli e nei contratti. Art. 13
- Avere una procedura per le richieste di accesso, rettifica e cancellazione, e tenerne traccia. Il registro delle richieste di accesso e cancellazione calcola già le scadenze.
- Sapere cosa fare quando qualcosa va storto. Se un data breach comporta un rischio per le persone, ha 72 ore per notificarlo al Garante, fine settimana compreso, con la procedura telematica disponibile sul sito dell’Autorità. Art. 33 La guida Data breach: cosa fare nelle prime 72 ore la accompagna ora per ora.
- Firmare un contratto con i fornitori che trattano dati per suo conto (i responsabili del trattamento), come il software di fatturazione o la piattaforma di email marketing. Art. 28
- Verificare se deve nominare un responsabile della protezione dei dati (RPD o DPO). La nomina è obbligatoria per gli enti pubblici e per le organizzazioni la cui attività principale consiste nel monitorare persone su larga scala o nel trattare dati sensibili su larga scala. Art. 37 I dati di contatto del DPO vanno comunicati al Garante con una procedura online. Molte PMI non obbligate si affidano comunque a un DPO esterno. Se invece lei è un consulente che segue più aziende, abbiamo scritto apposta per lei la guida DPO esterno con più clienti.
Cosa c’è di diverso in Italia
Accanto al GDPR, il Codice privacy e altre leggi italiane fissano alcune regole che una PMI deve conoscere:
| Tema | Regola in Italia |
|---|---|
| Età del consenso ai servizi online | 14 anni; al di sotto, il consenso lo presta chi esercita la responsabilità genitoriale (art. 2-quinquies del Codice) |
| Dati delle persone decedute | I diritti possono essere esercitati da chi ha un interesse proprio o agisce a tutela dell’interessato, salvo che quest’ultimo l’abbia vietato per iscritto (art. 2-terdecies del Codice) |
| Videosorveglianza e controlli sui lavoratori | Servono un accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro (art. 4 dello Statuto dei lavoratori, richiamato dall’art. 114 del Codice) |
| Telemarketing | Prima di chiamare a fini commerciali va consultato il Registro pubblico delle opposizioni |
| Sanzioni penali | Oltre alle sanzioni del Garante, alcuni trattamenti illeciti sono reati (artt. 167 e seguenti del Codice) |
Il GDPR sta cambiando?
Il testo del 2016 resta in vigore, ma l’UE sta discutendo modifiche che alleggeriscono alcuni obblighi, soprattutto per le imprese più piccole.
Il pacchetto Omnibus IV, proposto a maggio 2025, estende l’esenzione dal registro dei trattamenti: l’accordo provvisorio di giugno 2026 la porta alle organizzazioni con meno di 1.000 persone. Il Digital Omnibus, di novembre 2025, interviene invece sulla notifica dei data breach e sulle richieste di accesso eccessive.
Nessuna di queste modifiche si applica ancora: oggi valgono le regole in vigore. Seguiamo ogni passaggio nell’articolo Digital Omnibus: cosa vuole cambiare Bruxelles su data breach e diritto di accesso.
Domande frequenti
Il GDPR si applica alle piccole imprese?
Sì. Si applica a qualsiasi organizzazione che tratta dati personali, a prescindere dalle dimensioni. Chi ha meno di 250 dipendenti è in parte esentato dal registro dei trattamenti, ma resta soggetto a tutte le altre regole. Art. 30, par. 5
Che differenza c’è tra GDPR e Codice privacy?
Il GDPR è la norma europea e si applica direttamente; il Codice privacy è la legge italiana che lo integra. Il Codice fissa a 14 anni l’età del consenso online, regola i poteri del Garante e punisce come reato alcuni trattamenti illeciti. Vanno rispettati entrambi.
Il GDPR si applica alle aziende fuori dall’UE?
Sì, se offrono beni o servizi a persone che si trovano nell’UE o ne monitorano il comportamento, per esempio con la pubblicità mirata. Art. 3, par. 2
Chi controlla il GDPR in Italia?
Il Garante per la protezione dei dati personali. Al Garante si notifica un data breach, ed è sempre al Garante che un cliente può presentare reclamo.
Serve sempre il consenso per usare dati personali?
No, il consenso è solo una delle sei basi giuridiche. Per fatturare, spedire un ordine o elaborare le buste paga, la base è il contratto o un obbligo di legge. Art. 6, par. 1
Fonti
- Regolamento (UE) 2016/679 (GDPR), considerando 1, 6, 7, 9 e 10; artt. 2-6, 12-22, 28, 30, 33, 37, 83 e 99 (EUR-Lex)
- Direttiva 95/46/CE (EUR-Lex)
- Carta dei diritti fondamentali dell’Unione europea, art. 8 (EUR-Lex)
- Trattato sul funzionamento dell’Unione europea, art. 16 (EUR-Lex)
- Proposta della Commissione COM(2012) 11 (EUR-Lex)
- Codice in materia di protezione dei dati personali (d.lgs. 196/2003) (Normattiva)
- Garante, testo del Codice privacy
- Garante, data breach e FAQ sul RPD in ambito privato
- EDPB, sito ufficiale
Aggiornato: 24 ottobre 2026. Questo articolo è un’informazione generale e non sostituisce una consulenza legale su un caso concreto.