GDPR per le piccole imprese: gli obblighi che spesso vengono dimenticati

«Il GDPR è roba da grandi aziende, noi siamo piccoli.» È una delle frasi più pericolose che si sentono negli uffici delle PMI italiane, perché è falsa. Il GDPR non guarda al fatturato né al numero di dipendenti: si applica a chiunque tratti dati personali in un’attività professionale. E ogni azienda lo fa, ogni giorno. Clienti, fornitori, dipendenti, contatti dal sito, iscritti alla newsletter.

Questo articolo mette in fila gli obblighi che le piccole imprese dimenticano più spesso. Per ognuno trovi l’articolo del Regolamento e cosa serve in concreto per coprirlo. Non è una guida legale: è la mappa con cui si entra in un’azienda la prima volta.

Cosa sono davvero i «dati personali»?

Più cose di quante pensi. Il GDPR considera dato personale qualsiasi informazione riferita a una persona fisica identificata o identificabile (art. 4, n. 1). Nome, email, telefono, dati di fatturazione, ma anche identificativi online come l’indirizzo IP (considerando 30). I dati di una società non sono dati personali; quelli del suo referente sì. Non solo i dati «sensibili», che il Regolamento chiama categorie particolari (art. 9). Se hai un gestionale clienti, una rubrica di contatti commerciali o un modulo sul sito, tratti dati personali e il Regolamento ti riguarda.

Vale anche per i dati dei dipendenti e dei collaboratori: buste paga, presenze, email aziendali. È il trattamento che quasi nessuna piccola impresa mette nel registro, perché «sono i nostri».

Perché il registro dei trattamenti è il documento più trascurato?

Perché è quello di base, e proprio per questo viene ignorato. L’articolo 30 chiede un registro delle attività di trattamento: quali dati raccogli, di chi, per quale finalità, dove li conservi, per quanto e con chi li condividi. La deroga per chi ha meno di 250 dipendenti esiste. Il paragrafo 5 però la esclude quando il trattamento non è occasionale o riguarda categorie particolari di dati. Clienti, fornitori e dipendenti non sono trattamenti occasionali. Nella pratica, il registro serve a quasi tutte le imprese.

Non deve essere un documento legale. Una tabella con i trattamenti, i dati, le finalità, i fornitori, i tempi di conservazione e le misure di sicurezza copre l’obbligo. Soprattutto, ti dice dove sono i dati quando un cliente chiede di cancellarli o quando qualcosa va storto. Da lì un controllo capisce tutto il resto.

Le informative sono scritte per la tua azienda o copiate?

Se le hai copiate, non ti proteggono. Ogni punto in cui raccogli dati deve avere un’informativa: sito, modulo di contatto, newsletter, modulo cartaceo, contratto (art. 13; art. 14 se i dati arrivano da terzi). L’articolo 13 dice cosa deve contenere. Chi è il titolare, perché raccogli i dati e su quale base. A chi li comunichi e se li trasferisci fuori dall’Unione. Per quanto li conservi e quali diritti ha la persona. Le informative copiate da altri siti o scaricate da un modello generico non proteggono. Dichiarano cose che non corrispondono alla realtà, e in un controllo pesano più dell’assenza.

Il segnale più comune di un’informativa mai riletta è un riferimento superato. Il Privacy Shield, cancellato dalla Corte di giustizia nel luglio 2020, oppure il Codice privacy nella versione precedente al 2018. Se lo trovi nella tua, è stata scritta anni fa e nessuno l’ha più guardata.

Il banner dei cookie è a norma?

Il banner dei cookie non è un fastidio da liquidare con un «Accetta tutto». La norma è l’articolo 122 del Codice privacy; le Linee guida del Garante del 10 giugno 2021 chiedono che i cookie non necessari partano solo dopo una scelta esplicita. Il banner deve permettere di accettare, di scegliere in modo granulare e di chiudere con una X che lascia le impostazioni predefinite. Lo scorrimento della pagina e la frase «continuando a navigare acconsenti» non valgono dal 2022.

È uno degli aspetti più controllati e più sbagliati, perché chiunque può verificarlo in un minuto dall’esterno. È anche il primo punto da curare quando si realizza o rifà un sito web aziendale. Le dieci verifiche del sito, cookie compresi, le trovi nella guida al GDPR del sito web.

Hai un contratto con chi tratta i dati per te?

Consulente del lavoro, commercialista, hosting, piattaforma di newsletter, gestionale in cloud, agenzia che gestisce il sito. Ognuno tratta dati dei tuoi clienti o dei tuoi dipendenti per conto tuo. L’articolo 28 chiede che il rapporto sia regolato da un contratto o altro atto giuridico. I contenuti sono fissati: istruzioni, riservatezza, sicurezza, subfornitori, cancellazione a fine servizio.

Per i grandi fornitori il contratto esiste già, dentro i termini di servizio, e va solo trovato e conservato. Per il consulente o l’agenzia locale spesso non c’è nulla di scritto: è il caso in cui va fatto firmare. Se il fornitore ha sede fuori dall’Unione, serve anche una base per il trasferimento (artt. 44 e seguenti). Per gli Stati Uniti: la certificazione al Data Privacy Framework o le clausole contrattuali standard.

Se un cliente chiede di vedere o cancellare i suoi dati, chi risponde?

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione: gli articoli da 15 a 21 danno alle persone diritti precisi. L’articolo 12 fissa il termine per rispondere, di regola un mese. Il problema non è rispondere. È sapere in quali sistemi stanno i dati: gestionale, newsletter, CRM, posta, backup. Cancellare dal gestionale e dimenticare la piattaforma di newsletter è il modo classico per trasformare una richiesta ordinaria in un reclamo.

Serve un canale dichiarato nell’informativa, una persona che riceve le richieste e una lista dei sistemi da toccare. Tre righe, non un progetto.

Quali misure di sicurezza chiede l’articolo 32?

Misure «adeguate» al rischio, tenuto conto dello stato dell’arte e dei costi. L’articolo 32 cita espressamente la cifratura, la capacità di ripristinare la disponibilità dei dati e la verifica regolare dell’efficacia delle misure. Tradotto: backup con ripristino provato, controllo degli accessi, aggiornamenti, cifratura dove serve. Non sono opzionali. Un’azienda che subisce una fuga di dati per misure inadeguate risponde anche sul piano della conformità.

Il Garante lo ha messo per iscritto nel 2024: l’uso di software di base obsoleti, senza più aggiornamenti di sicurezza, «non risulta pienamente conforme» all’art. 5, par. 1, lett. f), e all’art. 32 (provvedimento n. 621/2024). Per questo la nostra checklist di sicurezza è anche un aiuto alla compliance. La regola del backup 3-2-1 è la prima misura da mettere in fila.

Come si gestisce un data breach?

In caso di violazione dei dati personali, l’articolo 33 chiede la notifica al Garante entro 72 ore da quando ne sei venuto a conoscenza. L’eccezione è il caso in cui un rischio per le persone sia improbabile. Se il rischio è elevato, l’articolo 34 chiede di avvisare anche gli interessati. Settantadue ore passano in fretta nel pieno di un’emergenza. Avere già pronta una procedura che dica chi fa cosa è la differenza tra una gestione ordinata e un secondo disastro dopo il primo.

Chi rientra nella NIS2 ha un obbligo parallelo con tempi ancora più stretti: lo abbiamo descritto nel runbook delle 24 e 72 ore. Le due procedure si scrivono insieme.

Gli obblighi in una tabella

Elaborazione Aeon Lab sul Regolamento (UE) 2016/679, sull’art. 122 del Codice privacy e sulle Linee guida del Garante del 10 giugno 2021.

GDPR, NIS2 e AI Act: normative che si avvicinano

Per un numero crescente di aziende, agli obblighi del GDPR si affiancano quelli della direttiva NIS2. Le due normative condividono la stessa logica: proteggere dati e sistemi con misure concrete e dimostrabili. Chi usa l’intelligenza artificiale deve tenere d’occhio anche l’AI Act, che si aggiunge al GDPR con obblighi di trasparenza e alfabetizzazione. La consapevolezza, però, resta bassa. Nel 2025 le PMI italiane si fermano a 55 punti su 100 nell’indice di consapevolezza cyber (ACN, Cyber Index PMI 2025).

Come ti aiuta Aeon Lab

Essere in regola con il GDPR è un intreccio tra aspetti giuridici e misure tecniche concrete. La parte legale la scrive un consulente privacy. Con il nostro servizio di compliance e cybersecurity, come MSSP di Roma traduciamo gli obblighi in misure reali:

• Misure di sicurezza adeguate (art. 32): backup con ripristino provato, accessi con secondo fattore, aggiornamenti, protezione dei sistemi.
• Mappa dei fornitori e dei flussi di dati, per il registro e per i contratti.
• Procedura di data breach pronta all’uso, scritta insieme a quella NIS2 dove serve.
• Verifica del sito: cookie, moduli, strumenti di terze parti, ambienti di test esposti. È il primo passo del test GDPR del sito.
• Allineamento GDPR, NIS2 e AI Act con un unico referente.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Fai il punto sulla compliance, consulenza gratuita →

Domande frequenti

Una ditta individuale o un piccolo studio devono rispettare il GDPR?

Sì. Il GDPR si applica in base al trattamento di dati personali, non alla dimensione dell’attività. Anche una ditta individuale che gestisce clienti, fornitori e contatti tratta dati personali. Deve rispettare gli obblighi, dal registro dei trattamenti alle informative alla sicurezza.

Il registro dei trattamenti è obbligatorio anche per le piccole imprese?

Nella pratica sì, per quasi tutte. La deroga per chi ha meno di 250 dipendenti (art. 30, par. 5) decade se il trattamento non è occasionale o riguarda categorie particolari di dati. Clienti, fornitori e dipendenti non sono trattamenti occasionali. È il primo documento richiesto in un controllo: conviene averlo aggiornato.

Serve il DPO a una piccola impresa?

Di solito no. Il responsabile della protezione dei dati (art. 37) è obbligatorio per gli enti pubblici e in due casi privati. Quando l’attività principale è il monitoraggio regolare e sistematico delle persone su larga scala, o il trattamento su larga scala di categorie particolari di dati. Una PMI con clienti, fornitori e dipendenti non rientra. Conviene però scrivere perché non rientra: è la valutazione stessa a proteggerti.

Quali sono le sanzioni del GDPR?

Due fasce, entrambe «fino al maggiore tra». Per registro, contratti con i fornitori, sicurezza e notifiche: 10 milioni di euro e il 2% del fatturato mondiale annuo (art. 83, par. 4). Per principi, informative, diritti delle persone e trasferimenti: 20 milioni e il 4% (par. 5). La gravità incide sull’importo effettivo, non sulla scelta del massimale. Oltre alla sanzione, però, il danno concreto è spesso l’incidente stesso: perdita di dati, blocco operativo e danno reputazionale.

GDPR e NIS2 sono la stessa cosa?

No, ma si integrano. Il GDPR protegge i dati personali; la NIS2 la sicurezza di reti e sistemi. Molte misure coincidono (backup, accessi, gestione incidenti). Se rientri nella NIS2, conviene affrontarle insieme per non duplicare il lavoro.

In breve

Il GDPR riguarda anche la più piccola delle imprese, perché si applica al trattamento dei dati, non al fatturato. Gli obblighi più trascurati sono sei: registro, informative scritte per la tua azienda, cookie a norma, contratti con i fornitori, procedura per i diritti delle persone, procedura per le 72 ore. Sono anche i più controllati. Compliance e sicurezza, qui, sono lo stesso lavoro. La procedura per le 72 ore è spiegata nella guida al data breach sul sito.

Pubblicato il 15 maggio 2026. Ultimo aggiornamento: 19 ottobre 2026.

Fonti

• Codice privacy (D.Lgs. 196/2003), art. 122, testo vigente su Normattiva: normattiva.it
• Regolamento (UE) 2016/679 (GDPR), EUR-Lex: eur-lex.europa.eu — artt. 2, 4, 9, 12-14, 15-21, 28, 30, 32, 33, 34, 37, 44-49, 83.
• Garante per la protezione dei dati personali, Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021: garanteprivacy.it
• Garante, provvedimento n. 621 del 17 ottobre 2024 (software obsoleti e art. 32): garanteprivacy.it
• ACN, Rapporto Cyber Index PMI 2025 (Confindustria, Generali, PoliMi): acn.gov.it