"SONO A POSTO CON LA PRIVACY". Ma lo sei davvero?

Quante volte senti dire da un imprenditore, un commerciante o un professionista: "Sì, ho già l'informativa sul sito, siamo a posto"?

È una frase ricorrente. Ed è, quasi sempre, sbagliata.

Non perché chi la pronuncia sia in malafede. Ma perché avere un'informativa sul sito web — per di più generata automaticamente da un sistema preimpostato — è appena la punta dell'iceberg di una conformità che il GDPR richiede in modo ben più articolato e strutturato.

Questo articolo vuole offrire una bussola: non per spaventare, ma per aiutarti a capire dove sei davvero rispetto agli obblighi di legge.

L'informativa sul sito: necessaria, ma non sufficiente

Sì, il sito web è uno dei fronti su cui il GDPR impone attenzione. Ma è solo uno dei tanti. L'informativa pubblicata online riguarda i dati degli utenti che visitano il sito — e già su questo punto i problemi sono frequenti: banner cookie non conformi alle linee guida del Garante del 2021, form di contatto privi di consenso adeguato, assenza di una chiara identificazione del titolare del trattamento.

Ma anche se il sito fosse impeccabile, resterebbe aperta la domanda più importante: e tutto il resto?

Il GDPR non è una questione di sito web

Il Regolamento Europeo 2016/679 (GDPR) impone un sistema di accountability — ovvero di responsabilizzazione attiva — che riguarda l'intera organizzazione aziendale. Significa che non basta dichiarare di rispettare la privacy: occorre dimostrarlo, con atti concreti, documentazione aggiornata e misure tecniche e organizzative adeguate.

Cosa significa nella pratica? Significa che ogni azienda, studio professionale o ente che tratta dati personali — e praticamente tutti lo fanno, ogni giorno — deve fare i conti con una serie di adempimenti che vanno ben oltre la pagina "Privacy Policy" del sito.

Cosa manca davvero: la mappa degli adempimenti

Ecco un quadro dei principali obblighi che molto spesso vengono ignorati o sottovalutati.

Il Registro dei Trattamenti

L'art. 30 del GDPR prevede che il titolare del trattamento tenga un Registro delle attività di trattamento: un documento in cui vengono descritti tutti i trattamenti effettuati, le loro finalità, le categorie di dati coinvolte, i soggetti destinatari, i tempi di conservazione e le misure di sicurezza adottate.

Attenzione: sebbene il Regolamento lo renda formalmente obbligatorio per le organizzazioni con più di 250 dipendenti, le eccezioni riducono di fatto l'esclusione a pochi casi — e il Garante considera il registro uno strumento essenziale di accountability anche per le realtà più piccole. Non averlo, o averlo incompleto, è uno dei punti di maggiore vulnerabilità in sede ispettiva.

Le Informative per Dipendenti, Collaboratori e Fornitori

Il sito web raccoglie dati dei visitatori. Ma la tua azienda raccoglie e tratta ogni giorno i dati di dipendenti, collaboratori, clienti, fornitori, candidati alle selezioni. Per ciascuna di queste categorie è necessaria un'informativa specifica e personalizzata, non un documento generico copiato da internet

Un'informativa ambigua, incompleta o non aggiornata non è solo un problema formale: è una violazione del GDPR che espone al rischio di sanzioni.

Le Nomine dei Responsabili del Trattamento

Ogni volta che un'azienda affida a soggetti esterni il trattamento di dati personali — il consulente HR, la società di elaborazione buste paga, il provider di posta elettronica, il commercialista, il software gestionale in cloud — deve formalizzare per iscritto questa relazione con un atto di nomina a Responsabile del trattamento ai sensi dell'art. 28 GDPR.

Senza questa nomina, il trattamento è irregolare. Eppure è uno degli adempimenti più sistematicamente dimenticati

Le Designazioni degli Autorizzati al Trattamento

Chi accede ai dati in azienda? Con quali autorizzazioni? I dipendenti e i collaboratori che trattano dati personali nell'esercizio delle proprie mansioni devono essere formalmente designati come autorizzati al trattamento e devono ricevere istruzioni precise su come operare. Questo non è un documento "burocratico": è la base per dimostrare che i dati sono gestiti in modo controllato e consapevole.

La Formazione del Personale

Il GDPR non si adempie una volta sola. Richiede una cultura della protezione dei dati che permei l'organizzazione. La formazione dei dipendenti non è una formalità: è uno strumento concreto per ridurre il rischio di data breach causati da errori umani — e ricordiamo che nel 2024 il Garante italiano ha ricevuto 2.204 notifiche di data breach, con una media di 6 al giorno.

La DPIA (Valutazione d'Impatto)

Per alcune tipologie di trattamento che presentano rischi elevati per i diritti e le libertà degli interessati, il GDPR impone di effettuare preventivamente una Data Protection Impact Assessment (DPIA). Si tratta di una valutazione strutturata che analizza i rischi del trattamento e le misure per mitigarli. Molte aziende non sanno nemmeno di doverne fare una.

Le Misure di Sicurezza Tecniche e Organizzative

Il GDPR richiede l'adozione di misure di sicurezza adeguate alla natura e al rischio dei trattamenti. Non esiste una lista tassativa: il principio è quello della proporzionalità e dell'approccio basato sul rischio. Ma "adeguato" non significa "nulla di fatto". Significa, ad esempio, politiche di gestione delle password, cifratura dei dati sensibili, backup, controllo degli accessi, procedure in caso di violazione dei dati.

I numeri parlano chiaro

Non si tratta di scenari teorici. Nel 2024, il Garante per la protezione dei dati personali italiano ha adottato 835 provvedimenti, di cui 468 correttivi e sanzionatori, per un totale di 24 milioni di euro in sanzioni. Le sanzioni per violazioni del GDPR in Italia nel 2024 hanno raggiunto complessivamente i 237,3 milioni di euro, collocando il Paese al quinto posto in Europa.

Dal 2018 ad oggi, le sanzioni in Europa hanno superato i 5,88 miliardi di euro. Le violazioni più frequentemente contestate? Mancanza di base giuridica per il trattamento, informative carenti, assenza di notifica dei data breach entro 72 ore, mancata nomina dei responsabili del trattamento.

"Ma io sono una piccola azienda..."

È uno degli argomenti più usati. Ed è comprensibile: il GDPR può sembrare scritto per le grandi multinazionali. In realtà, il principio di proporzionalità non esonera le piccole imprese dagli obblighi sostanziali — lo modula semmai nelle forme e nelle modalità di adempimento.

Le sanzioni inflitte dal Garante negli ultimi anni hanno colpito Comuni, istituti scolastici, piccole imprese, studi professionali. Nessuno è automaticamente escluso dall'obbligo di conformità.

Il rischio non è solo la multa

Spesso si pensa alla privacy come a una questione di sanzioni pecuniarie. In realtà, le conseguenze di una gestione inadeguata dei dati personali sono più ampie:

·       Rischio reputazionale: una violazione dei dati o una segnalazione al Garante possono danneggiare in modo duraturo la fiducia di clienti e partner.[9]

·       Rischio contrattuale: molte grandi aziende e pubbliche amministrazioni richiedono oggi ai propri fornitori la dimostrazione di una conformità GDPR effettiva, come condizione per instaurare o mantenere il rapporto commerciale.

·       Rischio di data breach: senza misure di sicurezza adeguate e senza procedure interne chiare, il rischio di subire una violazione dei dati — con tutti gli obblighi di notifica che ne conseguono — è concreto e crescente.

La conformità non è un evento, è un processo

Ecco forse la cosa più importante da capire: la protezione dei dati personali non è un adempimento "one shot". Non ci si "mette a posto" una volta per tutte. Il GDPR impone un approccio continuo e dinamico: le misure adottate vanno monitorate, aggiornate e adattate all'evoluzione dei trattamenti e dei rischi.

Un'informativa scritta tre anni fa e mai aggiornata — magari prima di avviare un nuovo servizio, di adottare un nuovo software gestionale o di assumere personale — potrebbe non essere più conforme. I contratti con i fornitori vanno verificati. Il registro dei trattamenti va tenuto aggiornato. La formazione va ripetuta.

Come capire dove si è davvero: la Gap Analysis

Il punto di partenza per chiunque voglia fare chiarezza sulla propria situazione reale è una Gap Analysis Privacy: un'analisi strutturata che misura lo scarto tra la situazione attuale e i requisiti del GDPR, individuando le aree critiche e le azioni correttive necessarie.

Non è un documento di condanna: è una fotografia oggettiva, uno strumento di lavoro per costruire — o ricostruire — un sistema di compliance solido, sostenibile e adeguato alla realtà specifica dell'organizzazione.

Questo articolo ha finalità informativa e non costituisce consulenza legale. Le informazioni contenute riflettono la normativa vigente al momento della pubblicazione.

Per approfondire la tua situazione specifica e valutare il livello di conformità della tua organizzazione, è possibile contattare lo Studio all'indirizzo privacy231cp@gmail.com