In breve
- Il consenso non serve per eseguire un contratto o rispettare un obbligo di legge: serve per marketing, profilazione e pochi altri casi.
- L’informativa va data prima di raccogliere i dati, in modo chiaro e facilmente accessibile.
- Il registro dei trattamenti è di fatto necessario per quasi tutte le attività, anche piccole, perché trattano dati in modo non occasionale.
- Commercialista, software in cloud, consulente del lavoro: chi tratta dati per tuo conto va nominato responsabile con un contratto.
- Alle richieste degli interessati (accesso, cancellazione, opposizione) si risponde entro un mese.
Ti riguarda? Quasi sicuramente sì
Il GDPR si applica a chiunque tratti dati personali per un’attività economica o professionale: nomi, email, telefoni, indirizzi, dati di pagamento, foto, dati sanitari, buste paga. Non ci sono esenzioni per le piccole imprese, solo alcune semplificazioni. Non si applica alle attività esclusivamente personali o familiari.
Le situazioni tipiche: anagrafica clienti e fatture, dipendenti e collaboratori, newsletter e social, sito web con moduli e cookie, telecamere, gestionali e cloud. Per ognuna servono le stesse domande: quali dati, per cosa, su che base, per quanto tempo, chi li vede, come sono protetti.
Consenso o no? Le basi giuridiche
| Base giuridica | Esempi | Serve il consenso? |
|---|---|---|
| Esecuzione di un contratto | Gestire ordini, appuntamenti, prestazioni richieste dal cliente. | No |
| Obbligo di legge | Fatture, contabilità, adempimenti fiscali e del lavoro, antiriciclaggio. | No |
| Legittimo interesse | Sicurezza dei locali, recupero crediti, alcune comunicazioni ai clienti su prodotti simili. | No, ma va valutato e documentato, e l’interessato può opporsi. |
| Consenso | Newsletter promozionali, profilazione, cessione dei dati a terzi per marketing, cookie non tecnici. | Sì, libero, specifico, documentabile e revocabile. |
Errori comuni: chiedere il consenso per tutto (confonde e non sostituisce la base corretta), caselle già spuntate, consenso al marketing come condizione per il servizio. Per i dati sanitari, i dati dei minori e le categorie particolari valgono regole più strette.
L’informativa: cosa deve contenere
- chi è il titolare e come contattarlo (ed eventualmente il DPO);
- quali dati raccogli e per quali finalità, con la base giuridica di ognuna;
- a chi li comunichi (fornitori, consulenti, enti) e se finiscono fuori dall’Unione europea;
- per quanto tempo li conservi, o con quali criteri;
- i diritti dell’interessato e come esercitarli, compreso il reclamo al Garante;
- se il conferimento è obbligatorio e cosa succede se non li fornisce.
Deve essere scritta in modo chiaro, non copiata da un modello generico: un’informativa che parla di trattamenti che non fai, o che dimentica quelli che fai, non è conforme. Servono informative diverse per clienti, dipendenti, candidati, fornitori e per il sito: per il sito vedi cookie e siti.
Registro dei trattamenti e nomine
Il registro dei trattamenti elenca, per ogni attività, finalità, categorie di dati e interessati, destinatari, tempi di conservazione e misure di sicurezza. La legge lo esclude solo per le organizzazioni sotto i 250 dipendenti con trattamenti occasionali e senza dati particolari: in pratica quasi nessuna attività con clienti e dipendenti ne è esclusa. È anche lo strumento più utile per capire cosa fai davvero.
Le nomine: i fornitori che trattano dati per conto tuo (commercialista, consulente del lavoro, gestionale in cloud, agenzia web) vanno nominati responsabili del trattamento con un contratto che fissa istruzioni e garanzie. I tuoi dipendenti che usano i dati vanno autorizzati e istruiti. Su DPO e registri c’è nomine e registri.
Misure di sicurezza adeguate
Il GDPR non dà una lista fissa: chiede misure adeguate al rischio. Per una piccola attività, il minimo ragionevole è:
- accessi personali con password robuste e verifica in due passaggi su email e gestionali;
- backup regolari, uno dei quali non collegato alla rete;
- aggiornamenti automatici, antivirus, cifratura dei portatili e dei telefoni aziendali;
- documenti cartacei chiusi a chiave, scrivanie pulite, distruzione sicura;
- regole scritte per i dipendenti e una breve formazione su phishing e uso dei dati.
Approfondimenti per le aziende in sicurezza informatica. Se qualcosa va storto (furto di un portatile, email inviata alla persona sbagliata, attacco informatico) scattano obblighi precisi: violazione dei dati.
Per quanto tempo conservare i dati
I dati si tengono solo finché servono allo scopo per cui li hai raccolti, poi si cancellano o si anonimizzano. Alcuni riferimenti pratici:
| Dati | Tempo indicativo |
|---|---|
| Fatture e scritture contabili | 10 anni, per gli obblighi civilistici e fiscali |
| Dati per la gestione del rapporto con il cliente | Durata del rapporto, poi i termini di prescrizione dei diritti (di solito 10 anni) |
| Curriculum di candidati non assunti | Pochi mesi, salvo consenso a conservarli più a lungo |
| Immagini di videosorveglianza | Di norma 24–72 ore, salvo esigenze specifiche motivate |
| Dati per marketing | Finché il consenso è valido e il cliente è attivo; il Garante ha indicato in passato limiti come 24 mesi per alcuni trattamenti promozionali |
Scrivi i tempi nel registro e nell’informativa e programma una pulizia periodica: archivi pieni di dati vecchi sono un rischio in caso di attacco.
Dipendenti, collaboratori e strumenti di lavoro
- Ai dipendenti va data un’informativa specifica su buste paga, presenze, sorveglianza sanitaria, strumenti aziendali.
- Email aziendale, internet, GPS sui veicoli e telecamere non possono essere usati per il controllo a distanza dell’attività dei lavoratori se non nei limiti dello Statuto dei lavoratori: per telecamere e GPS servono un accordo sindacale o l’autorizzazione dell’Ispettorato, e in ogni caso un regolamento interno chiaro.
- I dati sanitari dei dipendenti li tratta il medico competente: il datore riceve solo il giudizio di idoneità.
- Chi usa i dati in azienda va autorizzato per iscritto e istruito; i collaboratori esterni con accesso ai dati vanno nominati responsabili.
Le richieste degli interessati
Clienti, dipendenti e chiunque di cui tratti i dati possono chiedere di accedere ai propri dati, correggerli, cancellarli, limitarne l’uso, opporsi al marketing o riceverli in un formato portabile. Devi rispondere entro un mese (prorogabile in casi complessi, motivandolo), gratuitamente. Una richiesta ignorata è uno dei motivi più frequenti di reclamo al Garante. Prepara una procedura semplice: chi la riceve, come si verifica l’identità, chi risponde.
Controlli e sanzioni
Il Garante può intervenire su reclamo o d’ufficio. Le sanzioni massime arrivano a 20 milioni di euro o al 4% del fatturato mondiale, ma per le piccole imprese contano di più i criteri di proporzionalità: gravità, durata, collaborazione, misure adottate. Tra i casi sanzionati più spesso: telecamere senza informativa o puntate su spazi pubblici, marketing senza consenso, mancata risposta all’interessato, dati sanitari trattati senza cautele, siti con cookie senza banner corretto. Oltre alle sanzioni, l’interessato può chiedere il risarcimento del danno.
Cosa fa il consulente su Intervento
Descrivi la tua attività, che dati tratti e con quali strumenti, e allega informative o documenti che hai già. L’orientamento gratuito ti dice quali sono le lacune più importanti. Con l’Esperto un consulente privacy verificato ti risponde per iscritto entro 4 ore: cosa ti manca, in che ordine sistemarlo e cosa puoi fare da solo. Con il livello Soluzione prepara informative, registro e nomine su misura, su preventivo; per un supporto continuo c’è l’abbonamento per le aziende.
Questa guida descrive gli obblighi generali del GDPR in vigore al 20 ottobre 2026. Sanità, scuole, banche, videosorveglianza e trattamenti su larga scala hanno regole e provvedimenti specifici del Garante: indica sempre il tuo settore.
