Quando un’azienda raccoglie un indirizzo e-mail, installa cookie o conserva i dati dei clienti, deve sapere quali regole applicare davvero. In Italia il riferimento non è una sola norma, ma un sistema coordinato che stabilisce basi giuridiche, obblighi organizzativi, diritti degli interessati e misure di sicurezza. Qui chiarisco cosa prevede la disciplina attuale e come tradurla in comportamenti pratici per imprese, professionisti e utenti.
Il quadro privacy italiano si basa su regole europee e nazionali coordinate
- GDPR è la norma europea principale e si applica dal 25 maggio 2018.
- Il Codice Privacy italiano resta in vigore, ma deve essere letto insieme al Regolamento europeo.
- Ogni trattamento richiede una base giuridica, non sempre il consenso.
- Le richieste degli interessati devono ricevere risposta entro un mese, salvo proroga motivata.
- Un data breach rischioso può richiedere una notifica al Garante entro 72 ore.
Qual è la legge privacy in vigore in Italia nel 2026
La risposta più corretta è che la protezione dei dati personali dipende soprattutto da due pilastri. Il primo è il Regolamento UE 2016/679, noto come GDPR o RGPD, direttamente applicabile in tutti gli Stati membri. Il secondo è il Decreto legislativo 196/2003, cioè il Codice in materia di protezione dei dati personali, aggiornato dal Decreto legislativo 101/2018.
| Riferimento | Funzione pratica |
|---|---|
| Regolamento UE 2016/679 | Definisce principi, basi giuridiche, diritti, responsabilità e sanzioni applicabili al trattamento dei dati. |
| D.lgs. 196/2003 | Adatta la disciplina europea all’ordinamento italiano e regola alcuni ambiti specifici. |
| Articolo 122 del Codice Privacy | Disciplina l’uso di cookie e altri strumenti di tracciamento nei dispositivi degli utenti. |
| Provvedimenti e linee guida del Garante | Chiariscono come applicare le norme in settori e situazioni concrete, per esempio cookie, videosorveglianza e marketing. |
La vecchia legge 675/1996 ha avuto un ruolo storico, ma non è oggi il riferimento operativo principale. Anche l’espressione “legge sulla privacy” è quindi utile nel linguaggio comune, mentre per lavorare correttamente bisogna consultare il GDPR, il Codice Privacy e le regole specifiche del settore.
Questo sistema si applica a imprese, professionisti, associazioni, enti pubblici e, in molti casi, anche a organizzazioni che hanno sede fuori dall’Unione europea ma offrono servizi a persone che si trovano nell’UE. La sede dell’azienda, da sola, non basta a stabilire se il GDPR sia applicabile.
Cosa deve fare concretamente un’azienda
La conformità non consiste nel pubblicare una pagina chiamata “privacy policy” e dimenticarsene. Il titolare del trattamento deve poter dimostrare quali dati raccoglie, per quale scopo, con quale base giuridica, per quanto tempo li conserva e chi può consultarli.
Informativa chiara e dati raccolti con criterio
L’informativa deve spiegare in modo comprensibile identità e contatti del titolare, finalità, categorie di dati, base giuridica, tempi di conservazione, destinatari e diritti dell’interessato. Un testo molto lungo e pieno di formule legali non è automaticamente corretto: se il lettore non capisce cosa succede ai suoi dati, la trasparenza è debole.
Il principio di minimizzazione impone di raccogliere solo le informazioni necessarie. Se per inviare una fattura serve l’indirizzo, non è giustificato chiedere anche dettagli personali privi di una funzione concreta. Nella pratica, questo è uno degli errori più frequenti nei moduli online.
Registro dei trattamenti e responsabilità
Il registro dei trattamenti aiuta a fotografare i flussi di dati dell’organizzazione. Dovrebbe indicare, tra le altre cose, clienti e dipendenti coinvolti, fornitori utilizzati, trasferimenti verso Paesi terzi, sistemi di conservazione e misure di sicurezza.
Il registro non è un adempimento puramente burocratico. Quando nasce un problema, permette di capire rapidamente quali dati sono coinvolti e chi deve intervenire. Le piccole imprese possono adottare strumenti semplici, purché siano aggiornati e coerenti con i trattamenti effettivi.
Sicurezza, fornitori e valutazione del rischio
Il GDPR richiede misure tecniche e organizzative adeguate al rischio. Tra le più comuni rientrano autenticazione a più fattori, backup verificati, aggiornamento dei software, controllo degli accessi, cifratura quando appropriata e formazione del personale.
Un fornitore che tratta dati per conto dell’azienda, come un servizio cloud o una piattaforma per newsletter, deve essere scelto con attenzione e disciplinato da un contratto da responsabile del trattamento. Firmare il contratto standard del fornitore senza controllare dove vengono conservati i dati e quali subfornitori intervengono lascia scoperta una parte importante della responsabilità.
Per trattamenti potenzialmente pericolosi, come profilazione su larga scala, videosorveglianza estesa o uso di dati sanitari, può servire una valutazione d’impatto. Il Responsabile della protezione dei dati, chiamato anche RPD o DPO, è obbligatorio solo in determinate situazioni, non per ogni azienda indistintamente.
Il consenso non è l’unica base giuridica
Molte organizzazioni chiedono il consenso per qualsiasi cosa, ma questo approccio è spesso sbagliato. Il trattamento può essere lecito anche quando è necessario per eseguire un contratto, rispettare un obbligo di legge, proteggere interessi vitali, svolgere un compito di interesse pubblico oppure perseguire un legittimo interesse adeguatamente bilanciato.
| Situazione | Base normalmente utilizzabile |
|---|---|
| Invio di una fattura | Obbligo legale e gestione del rapporto contrattuale |
| Spedizione di un prodotto acquistato | Esecuzione del contratto |
| Newsletter promozionale | Di regola consenso, salvo specifiche eccezioni per clienti già acquisiti |
| Prevenzione di frodi | Legittimo interesse, con valutazione di necessità e proporzionalità |
| Trattamento di dati sanitari | Condizioni più rigorose e una specifica eccezione prevista dalla legge |
Quando il consenso è necessario, deve essere libero, specifico, informato e revocabile. Non è valido nasconderlo dentro condizioni generali, usare caselle preselezionate o rendere molto più difficile il rifiuto rispetto all’accettazione.
La revoca deve essere semplice quanto la prestazione del consenso. Se l’utente ha aderito con un clic, non è ragionevole obbligarlo a inviare una raccomandata per cambiare idea. Il consenso, inoltre, non sana una raccolta di dati eccessiva né autorizza finalità diverse da quelle comunicate.
Marketing e profilazione richiedono attenzione
Inviare comunicazioni commerciali, creare segmenti di pubblico e analizzare il comportamento degli utenti sono operazioni diverse. Un modulo che raccoglie l’e-mail per una richiesta di assistenza non dovrebbe trasformarsi automaticamente in un’iscrizione a campagne promozionali.
La profilazione consiste nell’analisi automatizzata dei dati per valutare o prevedere aspetti della persona, come interessi, preferenze o comportamento. Più l’analisi è invasiva e più diventa importante spiegare i criteri usati, limitare i dati e verificare se sia necessaria una valutazione d’impatto.
Quali diritti può esercitare l’interessato
Il GDPR attribuisce alle persone un controllo concreto sui propri dati. L’interessato può chiedere accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione. In alcune situazioni può anche contestare una decisione basata esclusivamente su un trattamento automatizzato.
La richiesta non deve seguire formule complicate. Può essere inviata al titolare tramite e-mail o altro canale indicato nell’informativa, descrivendo con sufficiente chiarezza i dati o il trattamento interessato. L’azienda deve facilitare l’esercizio del diritto e non creare ostacoli inutili.
Tempi e limiti della risposta
Il titolare deve rispondere entro un mese dal ricevimento della richiesta. Il termine può essere prorogato di altri due mesi nei casi complessi o quando le richieste sono numerose, ma l’interessato deve essere informato della proroga e dei motivi entro il primo mese.
Il diritto alla cancellazione non è assoluto. Un’azienda può dover conservare alcuni documenti per obblighi fiscali, contabili o di legge, anche se la persona chiede di eliminare i propri dati. La risposta corretta, in questo caso, distingue ciò che può essere cancellato da ciò che deve rimanere conservato.
Se la risposta non arriva o non è soddisfacente, la persona può rivolgersi al Garante per la protezione dei dati personali oppure all’autorità giudiziaria. Prima di arrivare a questo punto, consiglio di conservare copia della richiesta, della data di invio e delle comunicazioni ricevute.
Cookie, data breach e trasferimenti fuori dall’UE
Le attività digitali fanno emergere obblighi specifici che spesso vengono sottovalutati. Un sito può usare cookie tecnici necessari senza consenso, ma per cookie di profilazione o strumenti analoghi serve normalmente una scelta preventiva, documentabile e realmente libera.
Il banner deve offrire un rifiuto semplice e visibile quanto l’accettazione. Lo scrolling da solo non dimostra necessariamente un consenso valido, mentre un cookie wall è ammissibile solo in condizioni particolari, quando esiste un’alternativa effettiva e non discriminatoria.
Che cosa accade dopo una violazione
Un data breach non è soltanto un attacco hacker. Può consistere nella perdita di un computer, nell’invio di una e-mail al destinatario sbagliato, nell’accesso abusivo a un gestionale o nella cancellazione accidentale di dati.
L’azienda deve valutare il rischio per i diritti delle persone e documentare ogni violazione. Quando il rischio è rilevante, la notifica al Garante va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta. Se il rischio per gli interessati è elevato, può essere necessaria anche una comunicazione diretta alle persone coinvolte.
La velocità dipende dalla preparazione precedente. Un piano di risposta dovrebbe indicare chi blocca l’incidente, chi raccoglie le evidenze, chi valuta il rischio e chi comunica con clienti e autorità. Aspettare di capire tutto prima di attivarsi è una scelta pericolosa, perché le prime ore sono decisive.
Leggi anche: Data privacy framework in azienda - come costruirlo davvero
Servizi cloud, AI e fornitori stranieri
Quando i dati vengono trasferiti o resi accessibili fuori dallo Spazio economico europeo, l’azienda deve verificare il presupposto giuridico del trasferimento e le garanzie applicabili. Non basta sapere che il fornitore ha sede in Europa: occorre controllare anche subfornitori, assistenza tecnica e localizzazione effettiva dei dati.
Lo stesso ragionamento vale per gli strumenti di intelligenza artificiale. Inserire in un servizio pubblico nomi, contratti, referti o informazioni riservate può creare un trattamento ulteriore e non autorizzato. Io partirei sempre da una regola semplice: usare dati anonimizzati o minimizzati, definire cosa viene conservato dal fornitore e impedire che informazioni sensibili finiscano in strumenti non valutati.
La verifica finale che rende la privacy davvero applicabile
Per capire se un’organizzazione è sulla strada giusta, controllo prima di tutto cinque elementi: mappa dei dati, informative aggiornate, basi giuridiche documentate, fornitori verificati e procedure per richieste e incidenti. Se uno di questi manca, la conformità rischia di essere solo apparente.
La protezione dei dati non è un documento da preparare una volta l’anno, ma un processo collegato alle decisioni operative. Ogni nuovo software, campagna marketing, progetto di analytics o strumento AI dovrebbe passare da una breve valutazione preventiva. È questo passaggio, più di qualsiasi formula standard, che permette di ridurre rischi, costi e sorprese per il business.
