Il GDPR si applica a qualsiasi organizzazione che raccoglie dati personali, senza soglie dimensionali. SYAGA CONSULTING vi aiuta a formalizzare un registro dei trattamenti, a inquadrare i vostri sub-responsabili, a rispondere ai questionari GDPR dei vostri clienti e assicuratori, e a realizzare una valutazione d'impatto quando necessaria.
Il GDPR è in vigore dal 2018, ma resta ampiamente non formalizzato nelle PMI
Non appena un'organizzazione raccoglie dati personali (clienti, dipendenti, prospect), è interessata. Esiste un'eccezione limitata per le organizzazioni con meno di 250 dipendenti il cui trattamento è occasionale, ma non copre un'attività commerciale regolare.
Molte PMI non hanno mai formalizzato il proprio registro, o lo hanno redatto una volta senza mai aggiornarlo, mentre i loro trattamenti, sub-responsabili e strumenti sono cambiati.
Un cliente, una banca o un assicuratore cyber chiede sempre più spesso ai propri fornitori di rispondere a un questionario sulla protezione dei dati (art. 28): sub-trattamento, cifratura, MFA, backup, registrazione, piano di incidente.
Redigere un registro, inquadrare sub-responsabili o predisporre una valutazione d'impatto richiede una competenza giuridica e tecnica incrociata che poche PMI hanno internamente.
Un metodo strutturato, adattato alla dimensione e al contesto reale della vostra organizzazione
Colloquio con il titolare o il referente GDPR. Identificazione dei trattamenti di dati personali (clienti, dipendenti, prospect, fornitori), degli strumenti utilizzati e dei sub-responsabili già in essere.
Redazione del registro delle attività di trattamento: finalità, basi giuridiche, categorie di dati e di interessati, destinatari, tempi di conservazione, misure di sicurezza.
Revisione o redazione delle clausole di sub-trattamento (art. 28) con i vostri fornitori, e preparazione delle risposte ai questionari GDPR inviati dai vostri clienti o assicuratori (misure tecniche e organizzative).
Consegna dei documenti e presentazione alla direzione. Se il vostro trattamento rientra in uno dei casi previsti dall'art. 35(3) del GDPR (profilazione con effetto giuridico, dati sensibili su larga scala, sorveglianza sistematica di una zona pubblica), viene realizzata o inquadrata con voi una valutazione d'impatto (DPIA).
Documenti adattati alla vostra organizzazione reale, non template generici
Registro completo conforme all'articolo 30 del GDPR.
Inquadramento contrattuale dei vostri fornitori ai sensi dell'articolo 28.
Realizzata unicamente quando l'articolo 35(3) del GDPR lo impone, o a titolo precauzionale su richiesta.
Preparazione delle risposte ai questionari inviati dai vostri clienti, banche o assicuratori cyber.
Stato dell'arte delle misure richieste dall'articolo 32 del GDPR.
I deliverable vi vengono consegnati in formati direttamente utilizzabili.
Il GDPR (Regolamento (UE) 2016/679) struttura il percorso RGPD-Express
Obbligo di tenere un registro, sia lato titolare del trattamento sia lato responsabile. L'esenzione prevista al 30.5 per le organizzazioni con meno di 250 dipendenti si applica solo ai trattamenti occasionali.
Inquadramento contrattuale di ogni responsabile che tratta dati per vostro conto: garanzie sufficienti, clausole obbligatorie, sub-trattamento successivo autorizzato per iscritto in via preventiva.
Misure tecniche e organizzative adeguate al rischio: pseudonimizzazione, cifratura, mezzi che garantiscono riservatezza e disponibilità, procedura di test e valutazione regolare.
Obbligatoria unicamente quando il trattamento è suscettibile di generare un rischio elevato: valutazione sistematica con effetto giuridico, dati sensibili su larga scala, o sorveglianza sistematica di una zona accessibile al pubblico.
Ogni organizzazione ha un perimetro di trattamenti diverso: la tariffa viene stabilita dopo l'inquadramento
Micro / PMI, perimetro di trattamenti semplice
PMI con più sub-responsabili e questionari ricorrenti
Organizzazione con trattamenti sensibili o regolamentazione settoriale
Quello che dice davvero il testo, tradotto in linguaggio semplice. Ogni punto rimanda al testo ufficiale.
È il testo europeo che disciplina la raccolta e l'utilizzo dei dati personali (clienti, dipendenti, prospect...). È stato adottato il 27 aprile 2016 e pubblicato nella Gazzetta ufficiale dell'Unione europea il 4 maggio 2016.
Il regolamento è entrato in vigore venti giorni dopo la sua pubblicazione, ma è realmente applicabile solo dal 25 maggio 2018. È questa la data che conta per i vostri obblighi concreti.
Dovete tenere l'elenco di cosa fate con i dati personali: per quale scopo, con chi, per quanto tempo li conservate, come li proteggete. Esiste un'eccezione per le organizzazioni con meno di 250 dipendenti, ma solo se il trattamento è occasionale; un'attività commerciale regolare non ne beneficia.
È obbligatorio solo in tre situazioni precise: siete un ente pubblico, oppure la vostra attività principale consiste nel monitorare persone in modo regolare e su larga scala, oppure nel trattare su larga scala dati sensibili. Al di fuori di questi casi, nominare un DPO resta facoltativo.
Se dati personali vengono persi, rubati o esposti, dovete informarne la CNIL (o l'autorità competente) entro e non oltre 72 ore da quando ne siete venuti a conoscenza, salvo che il rischio per gli interessati sia trascurabile. Dovete inoltre conservare una traccia scritta di ogni incidente.
Quando una violazione di dati comporta un rischio elevato per gli interessati, dovete informarli direttamente, con un linguaggio chiaro e semplice. Potete essere esonerati da questa comunicazione se i dati erano cifrati o se avete già neutralizzato il rischio.
In caso di violazione, la sanzione può arrivare fino a 10 milioni di euro (o al 2% del fatturato mondiale dell'azienda) per le violazioni più comuni, e fino a 20 milioni di euro (o al 4% del fatturato mondiale) per le violazioni più gravi ai diritti degli interessati; viene sempre applicato l'importo più elevato. L'importo reale dipende dalla gravità, dalla buona fede e dalla cooperazione con l'autorità.
La domanda che ci viene posta più spesso: "Riguarda davvero anche me, piccola organizzazione?" Risposta breve e documentata: sì, quasi sempre.
Il GDPR si applica non appena un'organizzazione tratta, anche solo parzialmente in modo automatizzato, o in un archivio strutturato, un'informazione che si riferisce a una persona identificata o identificabile: nome, email, telefono, indirizzo IP, dati di localizzazione...
Concretamente, questo copre uno schedario clienti, le buste paga dei dipendenti, i CV ricevuti, una telecamera di videosorveglianza, una newsletter, un CRM o cookie di misurazione dell'audience.
Il GDPR non si applica in quattro casi precisi:
Il GDPR si applica non appena la vostra azienda ha una sede nell'Unione europea, o non appena vi rivolgete a persone che vi si trovano: proponendo loro beni o servizi (anche gratuiti), o monitorando il loro comportamento (profilazione, cookie di tracciamento).
La CNIL cita due esempi eloquenti: un'azienda francese che esporta esclusivamente verso il Marocco resta soggetta al GDPR non appena tratta dati di persone nell'UE; anche un sito e-commerce cinese che consegna in Francia deve rispettarlo.
Titolare del trattamento: l'organizzazione che decide perché e come vengono utilizzati i dati (la vostra azienda, un comune, un'associazione). Di norma siete voi.
Responsabile del trattamento: il fornitore che tratta questi dati su vostre istruzioni (hosting, software paghe, agenzia marketing...). Anch'esso ha propri obblighi, distinti dai vostri.
Aziende private
dalla micro impresa al grande gruppo, fin dal primo schedario clienti o dalla prima busta paga
Settore pubblico
comuni, enti locali, amministrazioni, strutture sanitarie
Associazioni, artigiani, liberi professionisti
professioni liberali, commercianti, startup: nessuna esenzione legata allo status
Niente gergo giuridico: le 7 domande più frequenti, una risposta semplice, e il testo ufficiale dietro ogni risposta.
Cliccate su una domanda per vedere la risposta e la sua fonte.
No. Il consenso è solo una delle sei opzioni. Il GDPR (articolo 6) autorizza anche il trattamento quando è necessario all'esecuzione di un contratto, al rispetto di un obbligo legale, alla salvaguardia di interessi vitali, a un compito di interesse pubblico, o al legittimo interesse della vostra azienda (ad esempio gestire il rapporto con un cliente esistente), purché i diritti della persona non prevalgano.
Dipende da chi contattate:
In ogni caso: mittente identificabile e link di disiscrizione facile.
In generale sì, in particolare se i dati non servono più a nulla, se la persona ritira il proprio consenso, o se vi si oppone senza un motivo legittimo contrario da parte vostra. Potete invece rifiutare se dovete conservare questi dati per un obbligo legale, ad esempio una fattura da conservare 10 anni per la contabilità, o per difendervi in giudizio.
1 mese a decorrere dal ricevimento della richiesta. Questo termine può essere prorogato di 2 mesi se la richiesta è complessa o se ne ricevete molte, ma dovete avvisare la persona di questa proroga entro il mese iniziale.
Sì, ma non senza precauzioni. Tre casi possibili: il paese beneficia di una decisione ufficiale della Commissione europea che riconosce un livello di protezione adeguato; in mancanza, il vostro fornitore deve offrire garanzie adeguate (clausole contrattuali tipo, il più delle volte); oppure, solo per casi puntuali, si applica una deroga precisa (consenso esplicito, esecuzione di un contratto...).
Sì. La maggior parte dei cookie (pubblicità personalizzata, pulsanti di social network...) richiede un consenso preventivo del visitatore, dato liberamente, facile da revocare quanto da dare. Accettare le condizioni generali non conta come consenso valido. Alcuni cookie tecnici (carrello acquisti, autenticazione, preferenza della lingua) sono esentati da questo consenso.
La CNIL inizia generalmente con un controllo (in loco o online) e poi una diffida a mettersi in conformità entro un termine stabilito. Le sanzioni finanziarie esistono ma restano proporzionate alla dimensione dell'organizzazione: la CNIL ha ad esempio sanzionato piccole imprese tra 2 000 e 20 000 euro per violazioni relative alla sicurezza, ai cookie o al diritto di accesso, ben lontano dai massimali (fino a 20 milioni di euro o al 4% del fatturato mondiale per le violazioni più gravi).
Il GDPR non è nato nel 2018 e da allora non è rimasto immutato. Ecco, in ordine, ciò che è già accaduto (e che resta la regola del gioco oggi) e ciò che è ancora in discussione a Bruxelles - con, per ogni tappa, il testo ufficiale che lo dimostra.
Il Parlamento europeo e il Consiglio adottano il Regolamento (UE) 2016/679, il GDPR. fonte EUR-Lex ↗
Il testo è pubblicato nella Gazzetta ufficiale dell'Unione europea (GU L 119, pagine 1-88). fonte EUR-Lex ↗
Il regolamento "entra in vigore il ventesimo giorno successivo alla pubblicazione" (art. 99). Esiste giuridicamente, ma la sua applicazione effettiva alle imprese è ancora differita di due anni - il tempo per organizzarsi. fonte CNIL, art. 99 ↗
A partire da questa data, tutte le organizzazioni che trattano dati personali di residenti europei devono essere realmente conformi, non solo "sulla carta". È questa la data da ricordare. fonte CNIL, art. 99 ↗
La legge n. 2018-493 adegua il diritto francese al GDPR e recepisce la direttiva "polizia-giustizia" (2016/680), basandosi sulla legge Informatique et Libertés del 1978. fonte Légifrance ↗
L'ordinanza n. 2018-1125 completa l'allineamento della legge Informatique et Libertés con il GDPR e la direttiva 2016/680. fonte Légifrance ↗
Due anni dopo la sua entrata in applicazione, la Commissione pubblica la sua prima relazione: il GDPR raggiunge i suoi obiettivi, ma sono necessari miglioramenti (armonizzazione tra paesi, cooperazione tra autorità). fonte EUR-Lex (COM 2020) ↗
La Corte di giustizia dell'Unione europea invalida il "Privacy Shield" che disciplinava i trasferimenti di dati verso gli Stati Uniti: le garanzie statunitensi sull'accesso delle autorità pubbliche ai dati non sono ritenute sufficienti. fonte EUR-Lex ↗
Entrano in vigore nuovi modelli di clausole per disciplinare i trasferimenti di dati fuori UE, con un periodo di transizione di 15 mesi per sostituire i vecchi contratti già firmati. fonte EUR-Lex (2021/914) ↗
La Commissione adotta la decisione di adeguatezza "EU-US Data Privacy Framework", che sostituisce il Privacy Shield invalidato nel 2020 e mette nuovamente in sicurezza i trasferimenti verso le aziende statunitensi certificate. fonte EUR-Lex (2023/1795) ↗
Netto aumento delle sanzioni verso le grandi aziende tecnologiche, ma persistono divergenze tra le autorità nazionali. La Commissione raccomanda di accompagnare meglio le PMI. fonte EUR-Lex (COM 2024) ↗
La Commissione propone, nel suo pacchetto di semplificazione del mercato unico, di estendere a 750 dipendenti (invece di 250) la deroga alla tenuta completa del registro dei trattamenti (art. 30), limitata ai trattamenti "ad alto rischio". Si tratta di una proposta, non ancora un testo in vigore. fonte Commissione europea ↗
Il Consiglio e il Parlamento europeo raggiungono un accordo politico su regole procedurali supplementari per armonizzare il modo in cui le autorità di controllo nazionali cooperano nelle indagini transfrontaliere. L'adozione formale e la pubblicazione nella Gazzetta ufficiale restano da confermare. fonte Commissione europea ↗
Calendario elaborato a partire da fonti ufficiali (EUR-Lex, CNIL, Légifrance, Commissione europea) consultate il 18 luglio 2026. Le ultime due tappe sono proposte o accordi politici in corso - le aggiorneremo non appena saranno formalmente adottate e pubblicate nella Gazzetta ufficiale. Questa è una sintesi didattica e non costituisce un parere legale.
La cifra che fa paura - « 20 milioni di euro » - circola ovunque, ma non dice come funziona davvero. Ecco, con il supporto di fonti ufficiali, chi sanziona, come, e per quali importi reali.
oppure fino al 2% del fatturato annuo mondiale dell'azienda (viene applicato l'importo più elevato tra i due).
Livello applicabile alle violazioni «comuni»: registro dei trattamenti, sicurezza dei dati, obblighi del responsabile del trattamento, mancata valutazione d'impatto...
oppure fino al 4% del fatturato annuo mondiale (idem, viene applicato l'importo più elevato tra i due).
Livello applicabile alle violazioni più gravi: assenza di base giuridica, violazione dei diritti degli interessati, trasferimenti illegali fuori UE...
Non è la CNIL « generale » a sanzionare, ma un organo distinto e indipendente: la formation restreinte, composta da 5 membri e da un presidente diverso dal presidente della CNIL. È essa sola a istruire i fascicoli e a comminare le sanzioni. Le decisioni più importanti vengono rese pubbliche.
L'articolo 83 del GDPR impone alla CNIL di tenere conto di diversi criteri prima di fissare una sanzione, in particolare:
| Data | Organizzazione | Importo | Motivo |
|---|---|---|---|
| 21/01/2019 | Google LLC | 50 M € | Mancanza di trasparenza, assenza di consenso valido per la pubblicità personalizzata |
| 07/12/2020 | Amazon Europe Core | 35 M € | Cookie depositati senza consenso preventivo |
| 31/12/2021 | Google LLC / Google Ireland | 150 M € | Rifiutare i cookie più complicato che accettarli |
| 31/12/2021 | Facebook Ireland (Meta) | 60 M € | Stesso motivo: rifiuto dei cookie reso troppo difficile |
| 17/10/2022 | Clearview AI | 20 M € | Riconoscimento facciale senza base giuridica, rifiuto di cooperare |
| 10/11/2022 | Discord Inc. | 800 000 € | Conservazione eccessiva dei dati, sicurezza e informazione insufficienti |
| 15/06/2023 | Criteo | 40 M € | Violazioni relative al consenso sui cookie e ai diritti degli interessati |
La CNIL sanziona anche piccole e medie organizzazioni, ma con importi non paragonabili a quelli dei gruppi internazionali. Solo nelle delibere di dicembre 2025, si trovano ad esempio: 5 000 € per una società di gestione alberghiera (videosorveglianza non conforme), 7 000 € e 5 000 € per due società editrici di giornali (cookie non validi), 10 000 € per una società di trasporto merci aeroportuale (videosorveglianza illecita), oppure 20 000 € per un'università (finalità non rispettate). All'altro capo della scala, una società del settore terziario è stata sanzionata per 3,5 M € lo stesso mese per un cumulo di violazioni gravi (sicurezza, trasparenza, cookie). L'importo segue la gravità e la dimensione, non il contrario.
In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio economico europeo, l'autorità di protezione dei dati (il vostro interlocutore GDPR) e l'autorità nazionale di cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni « da confermare » segnalano una fonte ufficiale non ancora consolidata a oggi.
Scriveteci per un inquadramento iniziale e un preventivo personalizzato, senza impegno.
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu