GDPR.
Trattare lecitamente i dati personali, tutelare i diritti e dimostrare l'attuazione in modo tracciabile.
- Regolamento (UE) 2016/679 · BDSG
- Di Derya Altinay
- Aggiornato al: 22/10/2026
- Tempo di lettura: 9 min.
Risposta breve.
Il GDPR disciplina il trattamento dei dati personali nell'ambito europeo di applicazione. Le imprese necessitano di basi giuridiche adeguate, informazioni trasparenti, procedure per i diritti degli interessati e protezioni proporzionate ai rischi. L'art. 5 impone ai titolari la responsabilizzazione: devono dimostrare il rispetto dei principi. I responsabili del trattamento hanno obblighi propri e assistono il titolare.
GDPR: protezione dei dati oltre la sicurezza IT.
Il regolamento generale sulla protezione dei dati è diritto UE direttamente applicabile che tutela le persone fisiche nel trattamento dei loro dati personali. Il regolamento (UE) 2016/679 si applica dal 25 maggio 2018; GDPR è l'acronimo inglese. In Germania il quadro europeo è integrato in particolare dalla legge federale sulla protezione dei dati, BDSG, e da disposizioni settoriali.
Il GDPR chiede anzitutto se e per quale scopo un trattamento sia lecito. Una banca dati sicura non chiarisce ancora se le informazioni raccolte siano necessarie o per quanto tempo possano essere conservate. Gli art. 5 e 6 GDPR collegano principi e basi giuridiche; l'art. 32 riguarda, all'interno di tale quadro, la sicurezza del trattamento.
La protezione dei dati resta un compito continuo perché finalità, flussi di dati e servizi utilizzati cambiano. Ai sensi dell'art. 24 GDPR, il titolare deve adottare misure adeguate, verificarne l'adeguatezza e aggiornarle se necessario. Un documento compilato una sola volta non sostituisce questa valutazione continua.
A quali imprese si applica il GDPR.
Ai sensi dell'art. 2, il GDPR si applica al trattamento dei dati personali ivi previsto, indipendentemente dalle dimensioni dell'impresa. Comprende per esempio dati dei clienti, candidature o contenuti di assistenza contenenti dati personali. Anche i dati pseudonimizzati restano personali se una persona può essere identificata con informazioni aggiuntive; le informazioni realmente anonime vanno classificate diversamente.
L'ambito territoriale deriva dall'art. 3 GDPR. Oltre ai trattamenti nel contesto di uno stabilimento UE, possono rientrarvi determinate offerte a persone nell'UE o il monitoraggio del loro comportamento da parte di imprese extra-UE. La sola ubicazione del server o accessibilità di un sito non decide la questione.
Il ruolo viene determinato per l'attività concreta: i titolari decidono finalità e mezzi, i responsabili trattano dati per conto del titolare. Un'organizzazione può avere ruoli diversi secondo l'attività. Gli art. 26 e 28 GDPR richiedono accordi adeguati rispettivamente per contitolarità e trattamento per conto altrui; il solo titolo di un contratto non chiarisce il ruolo effettivo.
Requisiti GDPR per le imprese.
I requisiti GDPR collegano decisioni giuridiche e operatività effettiva del trattamento. Sette ambiti di lavoro offrono orientamento; gli ulteriori obblighi specifici dipendono da ruolo, dati, attività e rischi per le persone interessate.
Definire principi e basi giuridiche.
Gli art. 5 e 6 GDPR richiedono un trattamento lecito, limitato alle finalità e tracciabile. Limitate dati e conservazione al necessario e mantenete corrette le informazioni. Il consenso è una possibile base giuridica; i suoi presupposti vanno rispettati come quelli delle altre basi giuridiche.
Consentire trasparenza e diritti degli interessati.
Gli art. da 12 a 22 GDPR riguardano informazioni comprensibili e diritti come accesso, rettifica o cancellazione. I diritti hanno presupposti ed eccezioni differenti. Responsabilità, ricerca dei dati, verifica dell'identità e risposta sicura devono essere coerenti; una sola informativa privacy non gestisce una richiesta.
Organizzare responsabilità e fornitori.
Gli art. da 24 a 30 GDPR disciplinano obblighi organizzativi, protezione dei dati fin dalla progettazione, ruoli e registri. Il trattamento per conto altrui dell'art. 28 richiede, oltre a una base contrattuale adeguata, garanzie sufficienti del fornitore. Nella valutazione rientrano i sub-responsabili e i percorsi dei dati effettivamente utilizzati, non solo le condizioni generali di contratto.
Tradurre l'art. 32 GDPR in misure efficaci.
Le misure tecniche e organizzative devono creare un livello di sicurezza adeguato al rischio. L'art. 32 GDPR considera contesto del trattamento, stato dell'arte, costi, probabilità e gravità delle possibili conseguenze per le persone. Secondo il rischio, vi rientrano protezione degli accessi, cifratura, capacità di ripristino e verifica regolare dell'efficacia; un elenco universale fisso non basta.
Verificare rischi particolari e consulenza.
La valutazione d'impatto sulla protezione dei dati dell'art. 35 GDPR è necessaria prima del trattamento quando questo può presentare un rischio elevato per diritti e libertà. Verificate inoltre i presupposti per la nomina di un responsabile della protezione dei dati ai sensi dell'art. 37 e, in via integrativa, del § 38 BDSG. La funzione consultiva non sostituisce la responsabilità del trattamento.
Valutare e notificare le violazioni dei dati personali.
L'art. 33 GDPR richiede in linea di principio la notifica all'autorità competente, salvo che sia improbabile un rischio per diritti e libertà. L'art. 34 disciplina separatamente la comunicazione agli interessati in caso di probabile rischio elevato. I responsabili del trattamento informano il titolare senza ingiustificato ritardo; la documentazione dell'incidente resta un obbligo autonomo.
Proteggere separatamente i trasferimenti verso paesi terzi.
Il capo V GDPR pone requisiti aggiuntivi per i trasferimenti verso paesi terzi. Verificate destinatari effettivi, accessi e meccanismo di trasferimento pertinente. Un trasferimento lecito non sostituisce né la base giuridica del trattamento né gli altri obblighi di protezione dei dati; anche l'hosting nell'UE non risponde a tutte le domande sugli accessi esterni.
L'attuazione GDPR come processo continuo.
Delimitare trattamenti e ruoli.
Come avvio pratico, rilevate finalità, interessati, dati, sistemi e destinatari di un'attività concreta e chiarite chi è responsabile di ciascuna decisione.
Verificare liceità e informazioni.
Valutate basi giuridiche, necessità e conservazione e confrontate il trattamento effettivo con le informazioni fornite agli interessati.
Valutare rischi e obblighi specifici.
Prima di introdurre o modificare sostanzialmente un trattamento, verificate i rischi per le persone e i presupposti per DPIA, responsabile della protezione dei dati, trattamento per conto altrui e trasferimenti verso paesi terzi.
Attuare e verificare le misure.
Collegate decisioni giuridiche e organizzative a misure tecniche adatte e verificate, per esempio, che regole di accesso, cancellazione e ripristino funzionino nel servizio considerato.
Preparare concretamente diritti e incidenti.
Provate come vengono riconosciute, inoltrate, valutate e gestite nei termini le richieste e le violazioni dei dati personali, compresi i passaggi tra imprese e fornitori.
Aggiornare la documentazione con i cambiamenti.
Aggiornate decisioni ed evidenze quando cambiano finalità, destinatari o rischi e definite chi segue le misure aperte e avvia la verifica successiva.
Evidenze GDPR e certificazione volontaria.
Ai sensi dell'art. 5, par. 2 GDPR, responsabilizzazione significa poter spiegare e dimostrare il rispetto dei principi. I documenti adatti possono comprendere registri dei trattamenti, basi giuridiche motivate, contratti, informative, DPIA e verifiche delle protezioni. Conta che rappresentino il trattamento reale e rendano riconoscibile quale decisione sia stata presa su quale base.
L'autorità di protezione dei dati ha poteri di indagine e correttivi ai sensi dell'art. 58 GDPR. La documentazione dovrebbe quindi essere reperibile, comprensibile e aggiornata. Il regolamento non istituisce un obbligo generale di certificazione con cui un'impresa possa esaurire definitivamente il proprio lavoro sulla protezione dei dati; la responsabilità resta al titolare e ai rispettivi soggetti obbligati.
La certificazione dell'art. 42 GDPR è volontaria e riguarda operazioni di trattamento secondo criteri approvati. Ai sensi del par. 4 non riduce la responsabilità legale; il par. 7 ne limita la durata a un massimo di tre anni, con possibilità di rinnovo. Un certificato di sicurezza delle informazioni non equivale automaticamente a tale certificazione di protezione dei dati.
La decisione di notificare una violazione dei dati personali va dimostrata separatamente. L'art. 33 prevede una notifica senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo l'eccezione legata al rischio. La documentazione del par. 5 comprende anche le violazioni non notificate; la comunicazione dell'art. 34 segue la propria soglia di rischio e le eccezioni ivi previste.
Approfondimenti sul blog.
- GDPR e sicurezzaCollegare trattamenti, valutazione giuridica e misure di protezione nell'operatività.
- Verificare il trattamento per conto altruiConfrontare gli impegni contrattuali con i percorsi effettivi dei dati del fornitore.
- Notificare una violazione dei dati personaliPreparare più in dettaglio valutazione dell'incidente, decisione di notifica e documentazione.
- Gestire le richieste di accessoOrganizzare ricerca, verifica e trasmissione sicura della risposta.
GDPR e altri framework.
ISO 27001 sostiene l'organizzazione della sicurezza delle informazioni, ma non sostituisce la verifica di basi giuridiche e diritti degli interessati. NIS2 ha destinatari e obblighi di notifica propri; un incidente può richiedere valutazioni distinte secondo entrambi i quadri giuridici. L'EU AI Act integra i requisiti per determinati sistemi di IA senza sostituire la verifica della protezione dei dati nei trattamenti personali.
In Secani.
Secani offre un profilo di protezione dei dati per ruoli, contesto del trattamento e trasferimenti, oltre a un catalogo redazionale di verifica GDPR. Il profilo registra informazioni aziendali e sostiene una ricognizione strutturata. La valutazione specialistica del trattamento effettivo e della sua liceità resta un compito autonomo; il profilo non è un'autorizzazione dell'autorità né una verifica legale automatica.
Prossimo passo.
Iniziate da un trattamento chiaramente delimitato, per esempio la gestione delle richieste di assistenza. Descrivete finalità, dati, interessati, servizi coinvolti e destinatari e verificate con gli specialisti competenti la base giuridica adatta. Registrate poi quali protezioni e procedure per diritti e incidenti sono effettivamente necessarie.
Fonti.
- Regolamento (UE) 2016/679: regolamento generale sulla protezione dei dati
- BfDI: GDPR – BDSG, Info 1, aggiornato a marzo 2026
- Commissione europea: ambito di applicazione e ruoli del GDPR
- Commissione europea: principi del trattamento
- Commissione europea: obblighi delle imprese
- EDPB: sicurezza dei dati personali
- EDPB: violazioni dei dati personali
- EDPB: diritti degli interessati
- § 38 BDSG: responsabili della protezione dei dati degli organismi non pubblici
Domande frequenti.
No. L'art. 6 GDPR prevede diverse basi giuridiche con presupposti propri. La base adeguata dipende da finalità concreta e circostanze; requisiti aggiuntivi, per esempio per categorie particolari di dati, richiedono verifiche separate.
No. Ai sensi dell'art. 33 GDPR, la notifica all'autorità può essere omessa se è improbabile che la violazione comporti un rischio per diritti e libertà. La violazione va comunque documentata; la comunicazione agli interessati dell'art. 34 richiede una valutazione distinta.
No. Un ISMS può sostenere la sicurezza del trattamento, ma non risponde automaticamente alle questioni di base giuridica, trasparenza o diritti degli interessati. Il suo ambito e il trattamento effettivo richiedono verifiche separate.
Sì, se il trattamento rientra nell'ambito materiale e territoriale. Le sole dimensioni aziendali non creano un'esenzione generale; singoli obblighi dipendono da presupposti aggiuntivi.
Organizzare la protezione dei dati in modo tracciabile.
Scoprite il profilo di protezione dei dati e il catalogo redazionale GDPR in Secani.
Questa pagina offre un inquadramento generale e non sostituisce la verifica giuridica del caso concreto. Fanno fede le disposizioni vigenti e il trattamento specifico.