“Il GDPR è roba da grandi aziende, noi siamo piccoli.” È una delle frasi più pericolose che si sentono negli uffici delle PMI italiane, perché è falsa. Il GDPR non guarda al fatturato né al numero di dipendenti: si applica a chiunque tratti dati personali. E praticamente ogni azienda lo fa, ogni giorno — clienti, fornitori, dipendenti, contatti dal sito, newsletter.

In sintesi

• Il GDPR si applica a chiunque tratti dati personali, a prescindere dalla dimensione.
• Gli obblighi più dimenticati: registro dei trattamenti, informative reali, cookie a norma.
• In caso di violazione può scattare la notifica al Garante entro 72 ore (Garante Privacy).
• Sanzioni fino a 20 milioni di euro o il 4% del fatturato globale annuo (Reg. UE 2016/679, art. 83).

Cosa sono davvero i “dati personali”?

Più cose di quante pensi. Il GDPR considera dato personale qualsiasi informazione che identifichi una persona: nome, email, telefono, indirizzo IP, dati di fatturazione (Reg. UE 2016/679, art. 4). Non solo i dati “sensibili”. Se hai un gestionale clienti o anche solo una rubrica di contatti commerciali, stai trattando dati personali e il Regolamento ti riguarda.

Perché il registro dei trattamenti è il documento più trascurato?

Perché è quello di base, e proprio per questo viene ignorato. Quasi tutte le aziende devono tenere un registro delle attività di trattamento (art. 30 GDPR): quali dati raccolgono, per quale finalità, dove li conservano, per quanto e con chi li condividono. Non è un orpello: è la fotografia di come gestisci i dati, e tipicamente il primo documento richiesto in caso di controllo del Garante.

Informative chiare e aggiornate

Ogni punto in cui raccogli dati — sito, modulo di contatto, newsletter, modulo cartaceo — deve avere un’informativa chiara su come quei dati verranno usati. Le informative copiate da altri siti o scaricate da un modello generico non proteggono e possono aggravare la posizione dell’azienda, perché dichiarano cose che non corrispondono alla realtà.

Consenso e gestione dei cookie

Il banner dei cookie non è un fastidio da liquidare con un “Accetta tutto”. Deve permettere di accettare o rifiutare in modo reale e simmetrico, e i cookie non essenziali (profilazione, marketing) non vanno attivati prima del consenso. È uno degli aspetti più controllati e più sbagliati: un punto da curare quando si realizza o rifà un sito web aziendale.

Sicurezza dei dati: dove GDPR e cybersecurity si incontrano

Il Regolamento impone misure “adeguate” a proteggere i dati (art. 32): backup, controllo degli accessi, cifratura dove necessario, protezione dei sistemi. Non sono solo buone pratiche: sono obblighi normativi. Un’azienda che subisce una fuga di dati per misure inadeguate risponde anche sul piano della conformità. Per questo la nostra checklist di sicurezza è anche un aiuto alla compliance.

Come si gestisce un data breach?

In caso di violazione dei dati personali, in molti casi scatta l’obbligo di notifica al Garante entro 72 ore, e talvolta di informare le persone coinvolte (Garante Privacy). Settantadue ore passano in fretta nel pieno di un’emergenza: avere già pronta una procedura che dica chi fa cosa è la differenza tra una gestione ordinata e un secondo disastro dopo il primo.

GDPR, NIS2 e AI Act: normative che si avvicinano

Per un numero crescente di aziende, agli obblighi del GDPR si affiancano quelli della direttiva NIS2. Le due normative condividono la stessa logica: proteggere dati e sistemi con misure concrete e dimostrabili. E chi usa l’intelligenza artificiale deve tenere d’occhio anche l’AI Act, che si aggiunge al GDPR (non lo sostituisce) con obblighi di trasparenza e alfabetizzazione. La consapevolezza, però, resta bassa: nel 2025 le PMI italiane si fermano a 55 punti su 100 sulla sicurezza (ACN — Cyber Index PMI 2025). Non sai se rientri nella NIS2? Usa il nostro albero decisionale.

Come ti aiuta Aeon Lab

Essere in regola con il GDPR non è solo un esercizio legale di scartoffie: è un intreccio tra aspetti giuridici e misure tecniche concrete. Con il nostro servizio di compliance e cybersecurity, come MSSP di Roma traduciamo gli obblighi in misure reali:

• Misure di sicurezza adeguate (art. 32): backup, accessi, cifratura, protezione sistemi.
• Procedura di data breach pronta all’uso (notifica 72 ore).
• Gestione cookie e consenso sul sito, a norma.
• Allineamento GDPR–NIS2–AI Act con un unico referente.

Per gli aspetti puramente legali è sempre opportuno affiancare un consulente specializzato; noi copriamo il lato tecnico. Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Fai il punto sulla compliance — consulenza gratuita →

Domande frequenti

Una ditta individuale o un piccolo studio devono rispettare il GDPR?

Sì. Il GDPR si applica in base al trattamento di dati personali, non alla dimensione dell’attività. Anche una ditta individuale che gestisce clienti, fornitori e contatti tratta dati personali e deve rispettare gli obblighi, dal registro dei trattamenti alle informative alla sicurezza.

Il registro dei trattamenti è obbligatorio anche per le piccole imprese?

Nella pratica sì, per quasi tutte. L’esenzione per chi ha meno di 250 dipendenti è molto limitata e decade se il trattamento non è occasionale o riguarda categorie particolari di dati. È il primo documento richiesto in un controllo: conviene averlo aggiornato.

Quali sono le sanzioni del GDPR?

Il Regolamento prevede sanzioni fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, a seconda della gravità (art. 83). Oltre alla sanzione, però, il danno concreto è spesso l’incidente stesso: perdita di dati, blocco operativo e danno reputazionale.

GDPR e NIS2 sono la stessa cosa?

No, ma si integrano. Il GDPR protegge i dati personali; la NIS2 la sicurezza di reti e sistemi. Molte misure coincidono (backup, accessi, gestione incidenti). Se rientri nella NIS2, conviene affrontarle insieme per non duplicare il lavoro.

In breve

Il GDPR riguarda anche la più piccola delle imprese, perché si applica al trattamento dei dati, non al fatturato. Gli obblighi più trascurati — registro, informative reali, cookie a norma, sicurezza adeguata, procedura di data breach — sono anche quelli più controllati. Compliance e sicurezza, qui, vanno a braccetto.

Fonti

• Garante per la protezione dei dati personali: garanteprivacy.it
• Regolamento (UE) 2016/679 (GDPR) — EUR-Lex: eur-lex.europa.eu
• ACN — Rapporto Cyber Index PMI 2025 (Confindustria–Generali–PoliMi): acn.gov.it