RGPD-Express
Strutturate la vostra conformità GDPR
Gli articoli chiave del GDPR
Il GDPR (Regolamento (UE) 2016/679) struttura il percorso RGPD-Express
Art. 30 - Registro delle attività di trattamento
Obbligo di tenere un registro, sia lato titolare del trattamento sia lato responsabile. L'esenzione prevista al 30.5 per le organizzazioni con meno di 250 dipendenti si applica solo ai trattamenti occasionali.
Art. 28 - Responsabile del trattamento
Inquadramento contrattuale di ogni responsabile che tratta dati per vostro conto: garanzie sufficienti, clausole obbligatorie, sub-trattamento successivo autorizzato per iscritto in via preventiva.
Art. 32 - Sicurezza del trattamento
Misure tecniche e organizzative adeguate al rischio: pseudonimizzazione, cifratura, mezzi che garantiscono riservatezza e disponibilità, procedura di test e valutazione regolare.
Art. 35 - Valutazione d'impatto (DPIA)
Obbligatoria unicamente quando il trattamento è suscettibile di generare un rischio elevato: valutazione sistematica con effetto giuridico, dati sensibili su larga scala, o sorveglianza sistematica di una zona accessibile al pubblico.
Monitoraggio normativo - fonti ufficiali
Quello che dice davvero il testo, tradotto in linguaggio semplice. Ogni punto rimanda al testo ufficiale.
Il GDPR, cos'è esattamente?
È il testo europeo che disciplina la raccolta e l'utilizzo dei dati personali (clienti, dipendenti, prospect...). È stato adottato il 27 aprile 2016 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 4 maggio 2016.
Da quando si applica
Il regolamento è entrato in vigore venti giorni dopo la sua pubblicazione, ma è realmente applicabile solo dal 25 maggio 2018. È questa la data che conta per i vostri obblighi concreti.
Il registro dei trattamenti: il documento di base
Dovete tenere l'elenco di cosa fate con i dati personali: per quale scopo, con chi, per quanto tempo li conservate, come li proteggete. Esiste un'eccezione per le organizzazioni con meno di 250 dipendenti, ma solo se il trattamento è occasionale; un'attività commerciale regolare non ne beneficia.
È necessario nominare un responsabile della protezione dei dati (DPO)?
È obbligatorio solo in tre situazioni precise: siete un ente pubblico, oppure la vostra attività principale consiste nel monitorare persone in modo regolare e su larga scala, oppure nel trattare su larga scala dati sensibili. Al di fuori di questi casi, nominare un DPO resta facoltativo.
In caso di violazione dei dati: 72 ore per avvisare l'autorità
Se dati personali vengono persi, rubati o esposti, dovete informarne la CNIL (o l'autorità competente) entro e non oltre 72 ore da quando ne siete venuti a conoscenza, salvo che il rischio per gli interessati sia trascurabile. Dovete inoltre conservare una traccia scritta di ogni incidente.
Se il rischio è elevato, anche i vostri clienti o dipendenti devono essere avvisati
Quando una violazione di dati comporta un rischio elevato per gli interessati, dovete informarli direttamente, con un linguaggio chiaro e semplice. Potete essere esonerati da questa comunicazione se i dati erano cifrati o se avete già neutralizzato il rischio.
Le sanzioni in chiaro
In caso di violazione, la sanzione può arrivare fino a 10 milioni di euro (o al 2% del fatturato mondiale dell'azienda) per le violazioni più comuni, e fino a 20 milioni di euro (o al 4% del fatturato mondiale) per le violazioni più gravi ai diritti degli interessati; viene sempre applicato l'importo più elevato. L'importo reale dipende dalla gravità, dal carattere doloso o colposo della violazione e dalla cooperazione con l'autorità.
Chi è interessato dal GDPR?
La domanda che ci viene posta più spesso: "Riguarda davvero anche me, piccola organizzazione?" Risposta breve e documentata: sì, quasi sempre.
Il vero fattore scatenante: trattare un dato personale
Il GDPR si applica non appena un'organizzazione tratta, anche solo parzialmente in modo automatizzato, o in un archivio strutturato, un'informazione che si riferisce a una persona identificata o identificabile: nome, email, telefono, indirizzo IP, dati di localizzazione...
Concretamente, questo copre uno schedario clienti, le buste paga dei dipendenti, i CV ricevuti, una telecamera di videosorveglianza, una newsletter, un CRM o cookie di misurazione dell'audience.
Le rare eccezioni
Il GDPR non si applica in quattro casi precisi:
- un uso strettamente personale o domestico (la vostra rubrica privata, ad esempio)
- le attività al di fuori del campo di applicazione del diritto dell'Unione europea
- le attività degli Stati membri rientranti nella politica estera comune
- i trattamenti delle autorità per la prevenzione di reati penali (regime separato)
Non importa dove siete stabiliti
Il GDPR si applica non appena la vostra azienda ha una sede nell'Unione europea, o non appena vi rivolgete a persone che vi si trovano: proponendo loro beni o servizi (anche gratuiti), o monitorando il loro comportamento (profilazione, cookie di tracciamento).
La CNIL cita due esempi eloquenti: un'azienda francese che esporta esclusivamente verso il Marocco resta soggetta al GDPR non appena tratta dati di persone nell'UE; anche un sito e-commerce cinese che consegna in Francia deve rispettarlo.
Due ruoli possibili, due livelli di obblighi
Titolare del trattamento: l'organizzazione che decide perché e come vengono utilizzati i dati (la vostra azienda, un comune, un'associazione). Di norma siete voi.
Responsabile del trattamento: il fornitore che tratta questi dati su vostre istruzioni (hosting, software paghe, agenzia marketing...). Anch'esso ha propri obblighi, distinti dai vostri.
Aziende private
dalla micro impresa al grande gruppo, fin dal primo schedario clienti o dalla prima busta paga
Settore pubblico
comuni, enti locali, amministrazioni, strutture sanitarie
Associazioni, artigiani, liberi professionisti
professioni liberali, commercianti, startup: nessuna esenzione legata allo status
Le domande che un imprenditore si pone davvero
Niente gergo giuridico: le 7 domande più frequenti, una risposta semplice, e il testo ufficiale dietro ogni risposta.
Cliccate su una domanda per vedere la risposta e la sua fonte.
No. Il consenso è solo una delle sei opzioni. Il GDPR (articolo 6) autorizza anche il trattamento quando è necessario all'esecuzione di un contratto, al rispetto di un obbligo legale, alla salvaguardia di interessi vitali, a un compito di interesse pubblico, o al legittimo interesse della vostra azienda (ad esempio gestire il rapporto con un cliente esistente), purché i diritti della persona non prevalgano.
Dipende da chi contattate:
- Privati (B2C): consenso preventivo obbligatorio (casella da spuntare, mai pre-selezionata), salvo per riproporre un prodotto simile a un cliente già esistente.
- Professionisti (B2B): possibile senza consenso preventivo se il messaggio riguarda la loro attività, a condizione di averli informati e di lasciare loro un modo semplice per rifiutare.
In ogni caso: mittente identificabile e link di disiscrizione facile.
In generale sì, in particolare se i dati non servono più a nulla, se la persona ritira il proprio consenso, o se vi si oppone senza un motivo legittimo contrario da parte vostra. Potete invece rifiutare se dovete conservare questi dati per un obbligo legale, ad esempio una fattura da conservare 10 anni per la contabilità, o per difendervi in giudizio.
1 mese a decorrere dal ricevimento della richiesta. Questo termine può essere prorogato di 2 mesi se la richiesta è complessa o se ne ricevete molte, ma dovete avvisare la persona di questa proroga entro il mese iniziale.
Sì, ma non senza precauzioni. Tre casi possibili: il paese beneficia di una decisione ufficiale della Commissione europea che riconosce un livello di protezione adeguato; in mancanza, il vostro fornitore deve offrire garanzie adeguate (clausole contrattuali tipo, il più delle volte); oppure, solo per casi puntuali, si applica una deroga precisa (consenso esplicito, esecuzione di un contratto...).
Sì. La maggior parte dei cookie (pubblicità personalizzata, pulsanti di social network...) richiede un consenso preventivo del visitatore, dato liberamente, facile da revocare quanto da dare. Accettare le condizioni generali non conta come consenso valido. Alcuni cookie tecnici (carrello acquisti, autenticazione, preferenza della lingua) sono esentati da questo consenso.
La CNIL inizia generalmente con un controllo (in loco o online) e poi una diffida a mettersi in conformità entro un termine stabilito. Le sanzioni finanziarie esistono ma restano proporzionate alla dimensione dell'organizzazione: la CNIL ha ad esempio sanzionato piccole imprese tra 2 000 e 20 000 euro per violazioni relative alla sicurezza, ai cookie o al diritto di accesso, ben lontano dai massimali (fino a 20 milioni di euro o al 4% del fatturato mondiale per le violazioni più gravi).
Il calendario del GDPR, in chiaro
Il GDPR non è nato nel 2018 e da allora non è rimasto immutato. Ecco, in ordine, ciò che è già accaduto (e che resta la regola del gioco oggi) e ciò che è ancora in discussione a Bruxelles - con, per ogni tappa, il testo ufficiale che lo dimostra.
Già in vigore oggi
- Il GDPR si applica pienamente dal 25 maggio 2018 - è QUESTA la data che conta per i vostri obblighi.
- La legge francese "Informatique et Libertés" è stata aggiornata di conseguenza (2018).
- Le nuove clausole contrattuali tipo per i trasferimenti fuori UE sono in vigore dalla fine del 2022.
- Il quadro per il trasferimento dei dati verso gli Stati Uniti (Data Privacy Framework) è in vigore da luglio 2023.
Ancora in discussione, non ancora obbligatorio
- Un alleggerimento del registro dei trattamenti (art. 30) per le organizzazioni con meno di 750 dipendenti, proposto dalla Commissione nel maggio 2025 - non ancora un testo in vigore.
- Un regolamento per armonizzare le procedure tra autorità di controllo nazionali nelle indagini transfrontaliere - accordo politico nel giugno 2025, adozione formale non confermata a oggi.
- Non fidatevi di questi annunci per rinviare la vostra messa in conformità: la base del 2018 resta la regola finché nulla viene pubblicato nella Gazzetta ufficiale.
Il testo viene adottato
Il Parlamento europeo e il Consiglio adottano il Regolamento (UE) 2016/679, il GDPR. fonte EUR-Lex ↗
Pubblicazione ufficiale
Il testo è pubblicato nella Gazzetta ufficiale dell'Unione europea (GU L 119, pagine 1-88). fonte EUR-Lex ↗
Entrata in vigore giuridica
Il regolamento "entra in vigore il ventesimo giorno successivo alla pubblicazione" (art. 99). Esiste giuridicamente, ma la sua applicazione effettiva alle imprese è ancora differita di due anni - il tempo per organizzarsi. fonte CNIL, art. 99 ↗
Il GDPR si applica pienamente
A partire da questa data, tutte le organizzazioni che trattano dati personali di residenti europei devono essere realmente conformi, non solo "sulla carta". È questa la data da ricordare. fonte CNIL, art. 99 ↗
La legge francese viene aggiornata
La legge n. 2018-493 adegua il diritto francese al GDPR e recepisce la direttiva "polizia-giustizia" (2016/680), basandosi sulla legge Informatique et Libertés del 1978. fonte Légifrance ↗
La legge del 1978 viene interamente riscritta
L'ordinanza n. 2018-1125 completa l'allineamento della legge Informatique et Libertés con il GDPR e la direttiva 2016/680. fonte Légifrance ↗
1° bilancio della Commissione europea
Due anni dopo la sua entrata in applicazione, la Commissione pubblica la sua prima relazione: il GDPR raggiunge i suoi obiettivi, ma sono necessari miglioramenti (armonizzazione tra paesi, cooperazione tra autorità). fonte EUR-Lex (COM 2020) ↗
Sentenza "Schrems II"
La Corte di giustizia dell'Unione europea invalida il "Privacy Shield" che disciplinava i trasferimenti di dati verso gli Stati Uniti: le garanzie statunitensi sull'accesso delle autorità pubbliche ai dati non sono ritenute sufficienti. fonte EUR-Lex ↗
Nuove clausole contrattuali tipo
Entrano in vigore nuovi modelli di clausole per disciplinare i trasferimenti di dati fuori UE, con un periodo di transizione di 15 mesi per sostituire i vecchi contratti già firmati. fonte EUR-Lex (2021/914) ↗
Nuovo quadro UE - Stati Uniti
La Commissione adotta la decisione di adeguatezza "EU-US Data Privacy Framework", che sostituisce il Privacy Shield invalidato nel 2020 e mette nuovamente in sicurezza i trasferimenti verso le aziende statunitensi. fonte EUR-Lex (2023/1795) ↗
2° bilancio della Commissione europea
Netto aumento delle sanzioni verso le grandi aziende tecnologiche, ma persistono divergenze tra le autorità nazionali. La Commissione raccomanda di accompagnare meglio le PMI. fonte EUR-Lex (COM 2024) ↗
Proposta di alleggerimento per le PMI
La Commissione propone, nel suo pacchetto di semplificazione del mercato unico, di estendere a 750 dipendenti (invece di 250) la deroga alla tenuta completa del registro dei trattamenti (art. 30), limitata ai trattamenti "ad alto rischio". Si tratta di una proposta, non ancora un testo in vigore. fonte Commissione europea ↗
Accordo su regole procedurali comuni
Il Consiglio e il Parlamento europeo raggiungono un accordo politico su regole procedurali supplementari per armonizzare il modo in cui le autorità di controllo nazionali cooperano nelle indagini transfrontaliere. L'adozione formale e la pubblicazione nella Gazzetta ufficiale restano da confermare. fonte Commissione europea ↗
Calendario elaborato a partire da fonti ufficiali (EUR-Lex, CNIL, Légifrance, Commissione europea) consultate il 18 luglio 2026. Le ultime due tappe sono proposte o accordi politici in corso. Questa è una sintesi didattica e non costituisce un parere legale.
Le sanzioni GDPR, in chiaro
La cifra che fa paura - « 20 milioni di euro » - circola ovunque, ma non dice come funziona davvero. Ecco, con il supporto di fonti ufficiali, chi sanziona, come, e per quali importi reali.
oppure fino al 2% del fatturato annuo mondiale dell'azienda (viene applicato l'importo più elevato tra i due).
Livello applicabile alle violazioni «comuni»: registro dei trattamenti, sicurezza dei dati, obblighi del responsabile del trattamento, mancata valutazione d'impatto...
oppure fino al 4% del fatturato annuo mondiale (idem, viene applicato l'importo più elevato tra i due).
Livello applicabile alle violazioni più gravi: assenza di base giuridica, violazione dei diritti degli interessati, trasferimenti illegali fuori UE...
Chi decide? La formation restreinte della CNIL
Non è la CNIL « generale » a sanzionare, ma un organo distinto e indipendente: la formation restreinte, composta da 5 membri e da un presidente diverso dal presidente della CNIL. È essa sola a istruire i fascicoli e a comminare le sanzioni. Le decisioni più importanti vengono rese pubbliche.
Cosa fa variare l'importo reale
L'articolo 83 del GDPR impone alla CNIL di tenere conto di diversi criteri prima di fissare una sanzione, in particolare:
- la gravità, la natura e la durata della violazione
- il carattere doloso o la semplice negligenza
- le misure già adottate per ridurre il danno
- la cooperazione con la CNIL e le violazioni precedenti
- le categorie di dati interessati
Prima della sanzione: una risposta graduata (articolo 58 del GDPR)
- Avvertimento
- Richiamo all'ordine
- Diffida
- Ingiunzione di messa in conformità
- Sanzione amministrativa (art. 83)
| Data | Organizzazione | Importo | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Mancanza di trasparenza, assenza di consenso valido per la pubblicità personalizzata |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookie depositati senza consenso preventivo |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Rifiutare i cookie più complicato che accettarli |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Stesso motivo: rifiuto dei cookie reso troppo difficile |
| 17/10/2022 | Clearview AI | 20 M € | Riconoscimento facciale senza base giuridica, rifiuto di cooperare |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservazione eccessiva dei dati, sicurezza e informazione insufficienti |
| 15/06/2023 | Criteo | 40 M € | Violazioni relative al consenso sui cookie e ai diritti degli interessati |
E per un'organizzazione più modesta? Importi proporzionati
La CNIL sanziona anche piccole e medie organizzazioni, ma con importi non paragonabili a quelli dei gruppi internazionali. Solo nelle delibere di dicembre 2025, si trovano ad esempio: 5 000 € per una società di gestione alberghiera (videosorveglianza non conforme), 7 000 € e 5 000 € per due società editrici di giornali (cookie non validi), 10 000 € per una società di trasporto merci aeroportuale (videosorveglianza illecita), oppure 20 000 € per un'università (finalità non rispettate). All'altro capo della scala, una società del settore terziario è stata sanzionata per 3,5 M € lo stesso mese per un cumulo di violazioni gravi (sicurezza, trasparenza, cookie). L'importo segue la gravità e la dimensione, non il contrario.
La vostra autorità di controllo, in base al vostro paese
In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio economico europeo, l'autorità di protezione dei dati (il vostro interlocutore GDPR) e l'autorità nazionale di cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni « da confermare » segnalano una fonte ufficiale non ancora consolidata a oggi.
Il vostro Microsoft 365: il punteggio gratuito
SYAGA Audit legge la configurazione di sicurezza del vostro Microsoft 365 e vi consegna un punteggio gratuito, punto per punto. È sola lettura: nei limiti dei diritti che Microsoft consente di concedere per la sola lettura, e anche dove un diritto permetterebbe di agire, noi ci limitiamo a leggere. Questo punteggio non sostituisce un audit svolto da un professionista indipendente.