In breve
- Fatture, appuntamenti e buste paga non richiedono il consenso: la base è il contratto o la legge.
- Registro dei trattamenti: per il Garante lo deve tenere chi ha almeno un dipendente o tratta dati sanitari dei clienti.
- Commercialista, consulente del lavoro, gestionale in cloud: serve un contratto da responsabile.
- Il DPO, per una piccola attività, di regola non è obbligatorio, e le certificazioni GDPR sono volontarie.
- Le multe a piccole realtà vanno da 1.000 a 20.000 euro: quasi sempre per informative copiate, foto o messaggi senza consenso, richieste ignorate.
La checklist essenziale, in ordine di priorità
- Fai l’elenco dei dati che tratti
Clienti (anagrafica, fatture, appuntamenti, schede), dipendenti, fornitori, contatti del sito, newsletter, telecamere. Per ognuno annota dove sono (gestionale, cloud, telefono, carta) e chi li vede. È la base di tutto il resto.
- Scrivi le informative
Una per i clienti, una per i dipendenti e collaboratori, una per il sito; ai fornitori basta di solito una clausola nel contratto o nell’ordine. Devono descrivere quello che fai davvero, non un modello generico.
- Compila il registro dei trattamenti
Anche un foglio di calcolo va bene: finalità, dati, persone interessate, destinatari, tempi di conservazione, misure di sicurezza. Il Garante ha un modello semplificato per le piccole imprese.
- Firma i contratti con i fornitori
Ogni fornitore che tratta dati per tuo conto va nominato responsabile del trattamento. Molti fornitori di software hanno già un accordo da accettare online: scaricalo e conservalo.
- Autorizza e istruisci chi lavora con te
Un foglio firmato da ogni dipendente o collaboratore, con quali dati può usare e le regole da seguire: password personali, niente dati sul telefono privato, cosa fare se qualcosa va storto.
- Metti in sicurezza e prepara le procedure
Password e verifica in due passaggi, backup, aggiornamenti. Poi due procedure di mezza pagina: come rispondere alle richieste delle persone e cosa fare in caso di violazione dei dati.
Obbligatorio, consigliato, inutile: la tabella
| Adempimento | Per una piccola attività |
|---|---|
| Informative (articoli 13 e 14) | Obbligatorie, per ogni categoria di persone, prima di raccogliere i dati. |
| Base giuridica per ogni trattamento | Obbligatoria. Il consenso solo quando serve. |
| Registro dei trattamenti | Obbligatorio nella maggior parte dei casi (vedi sotto); comunque raccomandato. |
| Contratti con i responsabili esterni | Obbligatori per ogni fornitore che tratta dati per te. |
| Autorizzazione di dipendenti e collaboratori | Obbligatoria; meglio per iscritto, con istruzioni. |
| Misure di sicurezza | Obbligatorie, adeguate al rischio. |
| Registro delle violazioni | Obbligatorio se ne capita una, anche se non la notifichi. |
| DPO (responsabile della protezione dei dati) | Di regola non obbligatorio. |
| Valutazione d’impatto (DPIA) | Solo per trattamenti ad alto rischio; rara nelle piccole attività. |
| Certificazione GDPR | Volontaria: nessuna legge la impone. |
| DPS (documento programmatico sulla sicurezza) | Abolito dal 2012. |
Come scrivere le informative e scegliere la base giuridica lo spiega la guida su GDPR e informative. Qui ci concentriamo su cosa ti serve davvero e su dove sbagliano più spesso le piccole attività.
Quando il consenso non serve (e chiederlo è un errore)
Molte attività fanno firmare ai clienti un modulo di consenso per tutto. È inutile e può creare problemi: se il cliente revoca il consenso, sembra che tu debba smettere di fatturargli. Non serve il consenso per:
- gestire appuntamenti, ordini e prestazioni richieste: la base è il contratto;
- fatture, contabilità, buste paga, sicurezza sul lavoro: la base è l’obbligo di legge;
- i dati sanitari che uno studio medico o dentistico usa per curare il paziente: la base è la cura, sotto il segreto professionale.
Il consenso serve invece per il marketing, le foto e i video dei clienti sui social, la cessione dei dati a terzi per pubblicità. Attenzione ai dati sanitari raccolti fuori da uno studio medico, come allergie e patologie annotate da un centro estetico: chiedi solo quelli che servono davvero al trattamento e fatti consigliare sulla base giuridica. Il consenso deve essere separato per ogni scopo, mai pre-spuntato, mai condizione per avere il servizio. Non serve la firma del cliente sull’informativa: basta poter dimostrare di averla data, per esempio con un cartello in negozio, un link nella conferma di prenotazione o una copia consegnata.
Il registro dei trattamenti: quasi sempre sì
Sulla carta il GDPR esonera dal registro chi ha meno di 250 dipendenti. Ma l’esonero cade se il trattamento non è occasionale, presenta rischi o riguarda dati sanitari o giudiziari. Il Garante ha chiarito che il registro lo devono tenere, tra gli altri:
- esercizi commerciali, pubblici o artigianali con almeno un dipendente, o che trattano dati sanitari dei clienti (parrucchieri, ottici, tatuatori);
- liberi professionisti con almeno un dipendente o che trattano dati sanitari o giudiziari (commercialisti, avvocati, medici, farmacisti);
- associazioni che trattano dati particolari, come quelli sulla salute o sulle convinzioni religiose dei soci.
Si può tenere su carta o in formato elettronico, e il Garante lo raccomanda comunque a tutti: è anche il primo documento che ti chiederebbe in un controllo. Su modello e compilazione vedi registro dei trattamenti: come compilarlo.
Cosa sta cambiando. Con il pacchetto di semplificazione Omnibus IV, del maggio 2025, la Commissione europea ha proposto di alzare la soglia a 750 dipendenti, mantenendo l’obbligo solo per i trattamenti ad alto rischio. Consiglio e Parlamento hanno raggiunto un accordo provvisorio sul pacchetto il 9 giugno 2026, ma al 9 novembre 2026 il testo non è ancora stato adottato né pubblicato: oggi vale la regola attuale. Anche dopo, tenere il registro resterà il modo più semplice per dimostrare di essere in regola.
Chi va nominato responsabile esterno
Chi tratta dati per conto tuo, seguendo le tue istruzioni, va nominato responsabile del trattamento con un contratto o un atto scritto che fissa cosa può fare, la riservatezza, la sicurezza, l’obbligo di avvisarti in caso di violazione e la cancellazione dei dati a fine rapporto. Esempi tipici:
- il consulente del lavoro che fa le buste paga;
- il commercialista, di regola, per la contabilità che tiene per te;
- il gestionale in cloud per agenda, fatture o cartelle cliniche, l’hosting del sito, il servizio di newsletter;
- il tecnico informatico che accede ai tuoi computer e la ditta che gestisce le telecamere.
Non vanno nominati quelli che usano i dati per scopi propri, come la banca o il corriere. I grandi fornitori di software mettono l’accordo nelle condizioni di servizio: non devi scriverlo tu, ma devi sapere dove si trova e se i dati finiscono fuori dall’Unione europea.
Sicurezza: il minimo che ti chiederebbero
L’articolo 32 del GDPR non dà una lista, chiede misure adeguate al rischio. Per una piccola attività il minimo difendibile è: un account per persona, mai condiviso; password lunghe e verifica in due passaggi su email, gestionale e social; backup automatici, uno dei quali scollegato dalla rete; aggiornamenti e antivirus attivi; telefono e portatile con blocco schermo e cifratura; schede cartacee in un armadio chiuso. Se qualcosa va storto, hai 72 ore per valutare e notificare: segui il piano di data breach: cosa fare nelle prime 72 ore.
Il DPO è obbligatorio solo per enti pubblici e per chi, come attività principale, controlla persone su larga scala o tratta su larga scala dati sanitari o giudiziari. Il singolo medico, il dentista, il piccolo studio o il negozio di regola non ne hanno bisogno.
Le richieste dei clienti: un mese per rispondere
Chiunque può chiederti di vedere i suoi dati, correggerli, cancellarli o smettere di ricevere pubblicità. Hai un mese per rispondere, prorogabile di altri due nei casi complessi spiegandone il motivo, e di regola gratis. Rispondi per iscritto: una telefonata non si può dimostrare. Se non puoi cancellare tutto, per esempio perché le fatture vanno conservate 10 anni, dillo e spiega perché.
Newsletter, WhatsApp e messaggi promozionali
- Email, SMS, WhatsApp promozionali: serve il consenso, separato e documentato. Per il Garante vale anche per app di messaggistica e social.
- Soft spam: puoi mandare email promozionali senza consenso solo all’indirizzo che il cliente ti ha dato comprando qualcosa, solo per prodotti o servizi simili, se lo hai informato al momento della raccolta e in ogni email può dire no. Vale per l’email, non per SMS e WhatsApp.
- Pixel nelle newsletter: dal 29 ottobre 2026, con le linee guida del Garante, sapere chi ha aperto la singola email richiede il consenso; le statistiche aggregate e anonime delle aperture sono ammesse. Controlla le impostazioni del servizio che usi. Se le tue email finiscono nello spam, vedi email nello spam.
WhatsApp Business va bene per confermare appuntamenti e rispondere ai clienti: lì la base è il contratto. Alcune regole pratiche: usa un numero e un telefono dell’attività, non quello personale; per le comunicazioni a più clienti usa le liste broadcast, che non mostrano i numeri, e mai i gruppi; non inviare referti, foto di pazienti o documenti delicati senza necessità; indica nell’informativa che usi WhatsApp, un servizio di un fornitore extra UE. Se il telefono viene perso o rubato, può essere una violazione dei dati.
Hai telecamere in negozio o in studio? Con i dipendenti servono accordo sindacale o autorizzazione dell’Ispettorato: vedi telecamere sul posto di lavoro.
Le multe vere a piccole attività
Il massimo teorico è 20 milioni di euro o il 4% del fatturato, ma il Garante gradua la sanzione su gravità, durata e dimensioni. Alcuni casi recenti:
| Chi | Cosa è successo | Sanzione |
|---|---|---|
| Microimpresa con sito (2026) | Informativa copiata da un modello generico in inglese, senza finalità, basi giuridiche e tempi di conservazione. | 1.000 € e ammonimento |
| Centro di medicina estetica (2024) | Video di una paziente riconoscibile sui social senza consenso specifico. | 8.000 € |
| Due medici (2025) | Indirizzi dei pazienti usati per la campagna elettorale; email con tutti i destinatari visibili. | 10.000 € ciascuno |
| Piccola società (2025) | Lettere promozionali senza base giuridica, informativa inadeguata, richieste gestite solo al telefono. | 15.000 € |
| Medico (2024) | Ricette lasciate in un contenitore fuori dallo studio, leggibili da chiunque. | 20.000 € |
| Azienda (2025) | Casella email dell’ex amministratore lasciata attiva e inoltrata; richiesta di accesso ignorata. | 40.000 € |
Sono informative di facciata, foto e messaggi senza consenso, dati in vista, richieste ignorate: non pignolerie. Di regola si può chiudere pagando la metà della sanzione entro 30 giorni, e chi ha subito un danno può chiedere anche il risarcimento.
Un esempio concreto: il centro estetico
Elena ha un centro estetico con due dipendenti, agenda in cloud, WhatsApp per gli appuntamenti, foto «prima e dopo» su Instagram e una newsletter mensile. In un pomeriggio con il suo consulente sistema tutto:
- toglie il modulo «acconsento al trattamento dei dati» per gli appuntamenti e mette un’informativa chiara alla cassa e nel messaggio di conferma;
- per le foto prepara un consenso separato e specifico, revocabile, con l’indicazione di dove saranno pubblicate;
- compila il registro: con due dipendenti è obbligatorio;
- scarica gli accordi da responsabile del gestionale e del servizio newsletter e firma quello con il consulente del lavoro;
- passa WhatsApp su un telefono del centro, attiva la verifica in due passaggi e smette di usare i gruppi;
- imposta la newsletter con statistiche solo aggregate e invia ai vecchi iscritti senza consenso documentato una richiesta di conferma.
Cosa fa il consulente privacy su Intervento
Descrivi la tua attività, quante persone lavorano con te, che strumenti usi e allega le informative che hai. L’orientamento gratuito ti dice quali lacune contano di più. Con l’Analisi ottieni una lettura automatica dei documenti. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa ti manca davvero, cosa puoi eliminare, in che ordine procedere. Con il livello Soluzione, su preventivo, prepara informative, registro e nomine su misura.
Norme e fonti
Regole controllate il 9 novembre 2026 sui testi ufficiali.
- Regolamento (UE) 2016/679 (GDPR), articoli 6, 12-14, 28-30, 32-34, 37, 42 e 83
- Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), articoli 2-quaterdecies, 130 e 166
- Garante privacy, Registro delle attività di trattamento: chi è obbligato e FAQ
- Garante privacy, Linee guida in materia di attività promozionale e contrasto allo spam, 4 luglio 2013
- Garante privacy, Linee guida sull’uso dei tracking pixel nelle email, provvedimento del 17 aprile 2026
- Garante privacy, provvedimento del 23 settembre 2026 (informativa generica di una microimpresa)
- Garante privacy, newsletter del 14 febbraio 2024 (medico e centro di medicina estetica)
Questo articolo fa parte della guida
GDPR per piccole imprese e professionisti: cosa devi fare davveroObblighi GDPR per piccole imprese, studi e professionisti: informativa, consenso, registro dei trattamenti, nomine, sicurezza e sanzioni. In pratica.Le regole descritte valgono al 9 novembre 2026. Le semplificazioni UE sul registro (Omnibus IV) e sul resto del GDPR (Digital Omnibus) sono ancora in corso di approvazione. Sanità, scuole, trattamenti su larga scala e dati di minori hanno regole più strette: indica sempre il tuo settore. Le sanzioni citate sono esempi e non prevedono l’esito di altri casi.
