In sintesi. Adeguarsi al GDPR è un percorso, non un documento: registro dei trattamenti, basi giuridiche, informative ex artt. 13-14, consenso, gestione dei diritti degli interessati, DPA ex art. 28 con i fornitori, valutazione della nomina del DPO, misure di sicurezza e procedura per il data breach (notifica entro 72 ore), DPIA per i trattamenti a rischio elevato, sito a norma (privacy policy e cookie banner), email marketing e trasferimenti di dati extra-UE. Le sanzioni (art. 83) arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, e fino a 20 milioni o al 4% per le violazioni più gravi.
«Adeguarsi al GDPR» non significa scaricare un’informativa da internet e dimenticarsene. Il Regolamento europeo sulla protezione dei dati impone un percorso — fatto di analisi, documenti e misure — che ogni impresa o professionista che tratta dati personali deve costruire e mantenere nel tempo. Questa guida mette in fila gli adempimenti essenziali, con i rinvii agli approfondimenti dedicati a ciascuno.
A chi si applica il GDPR
Il GDPR (Regolamento UE 2016/679) si applica a chiunque tratti dati personali: aziende di ogni dimensione, professionisti, associazioni, enti. Riguarda il titolare del trattamento (chi decide finalità e mezzi) e il responsabile (chi tratta per suo conto). La sua portata è extraterritoriale: vincola anche operatori extra-UE che offrono beni o servizi a persone nell’Unione. In pratica, quasi nessuna realtà ne è fuori.
I principi e la responsabilizzazione
Tutto ruota attorno ai principi dell’articolo 5: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. A questi si aggiunge il principio di responsabilizzazione (accountability): non basta rispettare le regole, occorre poterlo dimostrare. È il cambio di prospettiva del GDPR, ed è la ragione per cui l’adeguamento produce documenti e procedure.
Gli adempimenti, passo per passo
- Mappare i trattamenti nel registro dei trattamenti: è il punto di partenza, la fotografia di quali dati si trattano, perché e come.
- Individuare la base giuridica di ciascun trattamento (consenso, contratto, obbligo legale, legittimo interesse…).
- Predisporre le informative ex artt. 13-14 per clienti, fornitori, dipendenti, utenti del sito.
- Raccogliere il consenso dove è la base corretta, nei modi richiesti (libero, specifico, informato, dimostrabile).
- Gestire i diritti degli interessati (accesso, rettifica, cancellazione, opposizione) con procedure di risposta nei termini.
- Nominare i responsabili del trattamento (fornitori cloud, software, agenzie) con il contratto ex art. 28 (DPA).
- Valutare la nomina del DPO, obbligatoria in determinati casi.
- Adottare misure di sicurezza adeguate e una procedura per il data breach (notifica entro 72 ore).
- Svolgere la valutazione d’impatto (DPIA) per i trattamenti a rischio elevato.
- Mettere a norma il sito web: privacy policy e cookie banner corretti.
- Curare il marketing: l’email marketing richiede consenso o soft spam nei limiti di legge.
- Disciplinare i trasferimenti di dati fuori dall’UE (adeguatezza, clausole standard).
All’elenco vanno poi aggiunti gli adempimenti legati a strumenti specifici: chi ha installato telecamere in negozio, in magazzino o negli ambienti di lavoro deve rispettare anche le regole su videosorveglianza e privacy, un terreno particolarmente delicato quando le riprese possono riguardare i dipendenti.
Le sanzioni
Il GDPR prevede sanzioni amministrative su due fasce (art. 83): fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per le violazioni meno gravi, e fino a 20 milioni o al 4% per quelle più gravi (si applica l’importo maggiore). Ma il rischio non è solo economico: un data breach mal gestito o un reclamo all’autorità incidono sulla reputazione e sulla fiducia di clienti e partner.
Un processo, non un documento
L’errore più comune è trattare la privacy come un adempimento una tantum. L’adeguamento è invece un processo continuo: i trattamenti cambiano, si aggiungono fornitori e strumenti, evolvono le tecnologie (si pensi all’intelligenza artificiale) e la normativa. Il sistema documentale va tenuto vivo e aggiornato: è questo, più di ogni singolo modulo, che dimostra la conformità.
Cosa dice la giurisprudenza
Sul piano dell’enforcement, l’accountability non è un principio astratto: si misura su informative complete e dati conservati per il tempo strettamente necessario. Un recente provvedimento del Garante per la protezione dei dati personali (provv. 14 maggio 2026, n. 347, doc. web 10259296; reso noto con la Newsletter n. 548 del 17 giugno 2026) ha irrogato una sanzione di 180.000 euro per un’informativa lacunosa sulla raccolta di dati sanitari e per una conservazione (sette anni) sproporzionata rispetto alla finalità: la conferma che trasparenza (artt. 12-13) e limitazione della conservazione (art. 5, par. 1, lett. e)) sono obblighi sostanziali, non formalità documentali. Sul versante del risarcimento, la Corte di giustizia dell’Unione europea (4 maggio 2023, causa C-300/21, Österreichische Post) ha chiarito che la mera violazione del GDPR non basta a fondare il diritto al risarcimento ex art. 82: occorrono tre condizioni cumulative — violazione, danno concreto e nesso causale — ferma restando l’assenza di una soglia minima di gravità del danno non patrimoniale. Per le imprese il messaggio è duplice: l’adeguamento documentale riduce il rischio sanzionatorio del Garante, mentre la difesa in sede risarcitoria passa dalla prova (o dalla contestazione) del danno concreto.
Costruire e mantenere un adeguamento solido richiede metodo e una visione d’insieme. Affianchiamo aziende e professionisti in tutto il percorso nella consulenza in materia di privacy e GDPR.
Domande frequenti
Il GDPR vale anche per una piccola impresa? Sì: si applica a prescindere dalle dimensioni, ogni volta che si trattano dati personali. Cambia l’intensità di alcuni adempimenti, non l’obbligo di rispettarlo.
Basta la privacy policy del sito? No: è solo un tassello. L’adeguamento richiede registro, basi giuridiche, informative, gestione dei diritti, sicurezza e altro.
Quanto si rischia con una violazione? Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi, oltre al danno reputazionale.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.