Quando un’azienda raccoglie un indirizzo email, registra un ordine o installa un cookie, sta già trattando dati personali. Capire il significato del GDPR serve quindi a sapere quali regole applicare, quali diritti proteggere e quali errori possono costare caro, soprattutto a chi gestisce un sito, un e-commerce o attività di marketing.
Il GDPR trasforma la privacy in una responsabilità concreta
- GDPR significa General Data Protection Regulation, cioè regolamento generale sulla protezione dei dati.
- Si applica al trattamento dei dati personali di persone che si trovano nell’Unione europea.
- Ogni trattamento deve avere una base giuridica, uno scopo chiaro e tempi di conservazione definiti.
- Le persone hanno diritti come accesso, rettifica, cancellazione e opposizione.
- Le sanzioni possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.
Che cosa significa davvero GDPR
GDPR è l’acronimo di General Data Protection Regulation, il Regolamento generale sulla protezione dei dati personali dell’Unione europea. Si tratta del Regolamento UE 2016/679, adottato nel 2016 e applicabile dal 25 maggio 2018.
La sua funzione non è vietare alle aziende di raccogliere informazioni, ma stabilire come possano farlo in modo lecito, trasparente e proporzionato. Un nome, un numero di telefono, un indirizzo IP, una fotografia o un dato relativo agli acquisti possono rientrare nella nozione di dato personale se permettono di identificare, direttamente o indirettamente, una persona.
Il regolamento vale anche per imprese che hanno sede fuori dall’Unione europea, quando offrono servizi a persone che si trovano nell’UE o ne monitorano il comportamento online. Per questo un sito americano, un software cloud o una piattaforma pubblicitaria internazionale possono rientrare negli obblighi europei.
In Italia il GDPR si affianca al Codice in materia di protezione dei dati personali, aggiornato dal decreto legislativo 101/2018. Il Garante per la protezione dei dati personali resta l’autorità nazionale di controllo e può intervenire con provvedimenti, controlli e sanzioni.
Quali dati protegge e quando si applica
La protezione riguarda i dati riferiti a persone fisiche, non quelli relativi in quanto tali a società o enti. La distinzione, però, non è sempre così netta. L’email personale di un amministratore può essere un dato personale, mentre un indirizzo generico come “info@azienda.it” normalmente non identifica una persona specifica.
Dati comuni e dati particolari
Tra i dati personali comuni rientrano nome, cognome, indirizzo, telefono, email, identificativi online, dati di localizzazione e informazioni sugli acquisti. Esistono poi categorie più delicate, definite dati particolari, come quelli sanitari, biometrici, genetici, relativi all’origine razziale o etnica, alle convinzioni religiose e all’orientamento sessuale.
Il trattamento di queste categorie richiede condizioni più rigorose. Una palestra, per esempio, potrebbe dover gestire informazioni mediche, mentre un’azienda che organizza eventi non può raccogliere dati sulla salute dei partecipanti solo perché potrebbero risultare interessanti in futuro.
Trattamento significa molto più che archiviare
Nel linguaggio del GDPR, “trattamento” comprende quasi ogni operazione eseguita sui dati. Rientrano quindi raccolta, consultazione, modifica, analisi, comunicazione, trasferimento e cancellazione.
Questo dettaglio cambia il modo di ragionare sulla privacy. Anche una semplice esportazione di contatti verso una piattaforma di newsletter è un trattamento e deve essere valutata sotto il profilo della sicurezza, della trasparenza e della base giuridica.
I principi che guidano ogni trattamento
Il GDPR non si riduce a una privacy policy pubblicata sul sito. La regola centrale è la responsabilizzazione, o accountability: il titolare deve poter dimostrare di avere scelto procedure adeguate e coerenti con i rischi.
Io considero questi principi il vero punto di partenza, perché aiutano a decidere anche nei casi non previsti da un modello precompilato.
| Principio | Che cosa richiede | Esempio pratico |
|---|---|---|
| Liceità e trasparenza | Informare le persone e avere una base giuridica valida. | Spiegare perché si raccolgono i dati in un modulo di contatto. |
| Limitazione della finalità | Usare i dati per scopi determinati e dichiarati. | Non trasformare automaticamente una richiesta di assistenza in consenso marketing. |
| Minimizzazione | Raccogliere solo le informazioni necessarie. | Non chiedere la data di nascita per inviare una fattura. |
| Esattezza | Mantenere i dati aggiornati e correggere quelli errati. | Consentire al cliente di modificare i propri recapiti. |
| Limitazione della conservazione | Non conservare i dati oltre il tempo giustificato. | Eliminare contatti inattivi quando non esiste più una finalità valida. |
| Integrità e riservatezza | Proteggere i dati da accessi, perdite o divulgazioni non autorizzate. | Usare autenticazione forte, backup e autorizzazioni differenziate. |
Un errore che incontro spesso è confondere la conformità con la presenza di molti documenti. In realtà, una procedura semplice ma applicata ogni giorno vale più di una cartella piena di modelli che nessuno aggiorna.
Le basi giuridiche e il consenso
Ogni trattamento deve poggiare su una delle basi giuridiche previste dal regolamento. Il consenso è soltanto una possibilità, non la risposta automatica a ogni attività che coinvolge dati personali.
- Consenso, quando la persona accetta liberamente un trattamento specifico e può revocare la scelta.
- Contratto, quando il trattamento è necessario per fornire un prodotto o un servizio richiesto.
- Obbligo legale, per esempio nella gestione della contabilità e degli adempimenti fiscali.
- Interesse legittimo, se l’interesse dell’organizzazione è concreto e non prevalgono i diritti della persona.
- Interessi vitali, in situazioni eccezionali legate alla protezione della vita o dell’incolumità.
- Compito di interesse pubblico, soprattutto per autorità e soggetti che svolgono funzioni pubbliche.
Per una newsletter promozionale, ad esempio, il consenso deve essere distinto dall’accettazione delle condizioni di vendita. Una casella già selezionata o una formula vaga come “accetto tutto” non dimostrano una scelta libera, informata e inequivocabile.
Anche l’interesse legittimo richiede un ragionamento documentato. Se un negozio online invia un messaggio operativo relativo a un ordine, la necessità contrattuale è intuitiva; se invece vuole profilare il cliente per campagne pubblicitarie personalizzate, la valutazione diventa molto più delicata.
Cookie e strumenti di analisi meritano un’attenzione separata. Non tutti i cookie hanno la stessa funzione e non tutti richiedono lo stesso percorso di consenso, ma chiamare “tecnici” strumenti che profilano gli utenti è una scorciatoia rischiosa.
Che cosa devono fare aziende e professionisti
Il titolare del trattamento è il soggetto che decide finalità e modalità dell’uso dei dati. Il responsabile, invece, tratta quei dati per conto del titolare, come accade spesso con fornitori di hosting, software gestionali, servizi cloud, piattaforme email e consulenti esterni.
La prima attività utile è creare un registro dei trattamenti, cioè una mappa delle informazioni raccolte, delle finalità, dei destinatari, dei tempi di conservazione e delle misure di sicurezza. Per molte organizzazioni è obbligatorio, mentre per le realtà più piccole può essere comunque lo strumento più pratico per capire dove si trovano i rischi.
Leggi anche: Consenso privacy GDPR, come renderlo valido e dimostrarlo
Una verifica operativa in sei passaggi
- Inventariare i dati raccolti da sito, CRM, moduli, software e documenti cartacei.
- Indicare per ogni attività la finalità e la relativa base giuridica.
- Controllare informative, moduli di consenso e preferenze marketing.
- Verificare i contratti con i fornitori che accedono ai dati.
- Stabilire tempi realistici di conservazione e cancellazione.
- Formare le persone che gestiscono email, clienti, pagamenti e assistenza.
La privacy by design significa integrare la protezione dei dati già nella progettazione di un servizio, non aggiungerla dopo il lancio. In pratica può voler dire limitare i campi di un form, separare i dati identificativi dalle statistiche o impostare di default la visibilità più prudente.
Il responsabile della protezione dei dati, noto come DPO, non è obbligatorio per ogni impresa. Diventa necessario, tra gli altri casi, quando le attività principali comportano monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di categorie particolari di dati.
Se un trattamento può presentare un rischio elevato per le persone, può servire una valutazione d’impatto, chiamata DPIA. È una verifica preventiva che analizza rischi, necessità e misure di protezione, particolarmente importante per sistemi di profilazione, videosorveglianza estesa o uso innovativo di dati sensibili.
Diritti delle persone, violazioni e sanzioni
Il GDPR attribuisce agli interessati un ruolo attivo. Una persona può chiedere di sapere quali dati vengono trattati, ottenere la rettifica di informazioni errate, domandare la cancellazione quando ne ricorrono i presupposti e opporsi a determinati trattamenti.
- Diritto di accesso ai dati e alle informazioni sul loro utilizzo.
- Diritto di rettifica dei dati inesatti o incompleti.
- Diritto alla cancellazione, spesso chiamato diritto all’oblio, nei casi previsti.
- Diritto alla limitazione del trattamento in determinate circostanze.
- Diritto alla portabilità dei dati forniti, quando il trattamento è automatizzato e basato su consenso o contratto.
- Diritto di opposizione, in particolare rispetto al marketing diretto.
Il titolare deve normalmente rispondere alle richieste entro un mese. Il termine può arrivare a tre mesi per richieste complesse, ma la persona deve essere informata del ritardo e delle sue ragioni.
Una violazione dei dati, o data breach, comprende perdita, distruzione, alterazione, divulgazione o accesso non autorizzato. In presenza di un rischio per i diritti e le libertà delle persone, il titolare deve valutare la notifica al Garante entro 72 ore da quando viene a conoscenza della violazione; se il rischio è elevato, può essere necessario informare anche gli interessati.Le sanzioni amministrative possono raggiungere 20 milioni di euro o il 4% del fatturato mondiale annuo, scegliendo il valore più alto nei casi previsti. L’importo reale dipende da fattori come gravità, durata, numero di persone coinvolte, intenzionalità, cooperazione e misure adottate.
Il rischio economico, però, non è l’unico problema. Un incidente mal gestito può compromettere fiducia, reputazione e continuità operativa. Per questo consiglio di predisporre prima una procedura interna, con ruoli, contatti e passaggi chiari, invece di improvvisare durante l’emergenza.Il GDPR come leva per decisioni digitali migliori
Interpretare la privacy solo come un costo porta spesso a investimenti confusi e adempimenti scollegati dal business. Un approccio più utile consiste nel chiedersi quali dati servano davvero, chi debba accedervi e quale valore producano rispetto al rischio che introducono.
Ridurre la raccolta può migliorare anche l’esperienza utente. Un modulo più breve aumenta la chiarezza, un CRM ordinato evita duplicati e una politica di conservazione definita riduce i dati inutili che potrebbero finire nelle mani sbagliate.Il punto non è promettere una sicurezza assoluta, impossibile da garantire. La buona gestione consiste nel conoscere i propri trattamenti, documentare le scelte e correggere rapidamente le debolezze.
Per chi gestisce un’attività in Italia, la domanda più utile non è soltanto “ho una privacy policy?”. È piuttosto “posso spiegare, per ogni dato, perché lo raccolgo, quanto lo conservo, chi lo utilizza e come proteggo la persona?”. Quando la risposta è chiara, il GDPR smette di essere un acronimo astratto e diventa una regola concreta per lavorare meglio.
