Il Garante Privacy italiano ha emesso sanzioni per €28 milioni nel 2024. La maggior parte colpisce PMI che pensavano di essere troppo piccole per essere nel mirino. Sbagliato.
Negli ultimi quattro anni abbiamo condotto audit GDPR per 38 PMI italiane — studi legali, cliniche odontoiatriche, agenzie immobiliari, e-commerce, studi commercialisti, strutture ricettive. In nessuno dei casi l'azienda era completamente a posto. In molti casi, non lo sapevano.
Non scrivo questo per spaventare. Lo scrivo perché la distanza tra "pensiamo di essere compliance" e "siamo compliance" è quasi sempre colmabile in 30–60 giorni con un percorso strutturato — e la tranquillità che ne deriva vale molto più del costo dell'adeguamento.
Nel novembre 2023, il Garante Privacy italiano ha sanzionato un'agenzia immobiliare con sede a Roma per €40.000. Non un data breach spettacolare, non una violazione massiccia. Semplicemente: newsletter inviate senza consenso documentato, cookie banner non conforme, e assenza di un registro dei trattamenti.
Quarantamila euro per tre problemi che, con le indicazioni giuste, avremmo risolto in due settimane. Questo caso ha cambiato il tono delle conversazioni con i nostri clienti — da "dobbiamo farlo perché è obbligatorio" a "vogliamo farlo perché il rischio è reale".
Dalla nostra esperienza di audit: Il 94% delle PMI italiane che abbiamo analizzato aveva almeno uno dei seguenti problemi: cookie banner non conforme (bottone "accetta" più visibile del "rifiuta"), mancanza di base giuridica documentata per la newsletter, oppure nessun Data Processing Agreement firmato con i fornitori cloud. Il terzo problema è il più sottovalutato.
Le linee guida del Garante del 2022 sono molto specifiche: il bottone di rifiuto deve essere ugualmente visibile e accessibile al bottone di accettazione. Niente pre-spuntati. Niente "accetta e chiudi" come unica opzione visibile. Niente cookie non essenziali caricati prima del consenso.
In oltre l'80% degli audit, troviamo un banner che viola almeno una di queste regole — spesso perché è stato installato anni fa e mai aggiornato alle nuove linee guida. Il rischio non è teorico: il Garante ha già sanzionato siti per cookie banner non conformi.
Avere una lista di email non significa avere il consenso per inviarci marketing. Il GDPR richiede che il consenso sia documentato: quando è stato dato, con quale testo, con quale opzione. Se il tuo CRM non registra queste informazioni per ogni contatto, sei esposto.
La situazione che vediamo più spesso: una lista da 3.000 contatti costruita negli anni con biglietti da visita, registrazioni a eventi, moduli cartacei, form web — senza che nessuno abbia mai distinto tra chi ha esplicitamente accettato la newsletter e chi no. Quella lista è un problema GDPR.
Questo è il problema più ignorato. Se usi Google Workspace, Dropbox, un CRM SaaS, una piattaforma di email marketing, un software gestionale in cloud — ognuno di questi fornitori tratta dati personali dei tuoi clienti per conto tuo. Il GDPR richiede che tu abbia con ognuno di loro un Data Processing Agreement (DPA) firmato.
Google e Microsoft lo gestiscono automaticamente nell'accettazione dei termini di servizio — ma devi sapere dove trovarlo e conservarne documentazione. Altri fornitori più piccoli potrebbero non averlo nemmeno pronto. In un audit, chiediamo sempre: "Mostratemi i DPA firmati con i vostri fornitori cloud." La risposta più comune è silenzio.
Quando conduciamo un audit per una PMI, il processo è strutturato in tre fasi:
Il risultato finale: registro dei trattamenti aggiornato, bozze di privacy policy e cookie policy adeguate, checklist per i DPA fornitori, e — se richiesto — supporto nell'implementazione tecnica delle misure di sicurezza.
Un ransomware che cifra i file aziendali è simultaneamente un incidente di sicurezza informatica e una violazione GDPR — perché i dati personali dei clienti sono stati resi inaccessibili senza autorizzazione. Dal momento in cui scopri l'incidente, hai 72 ore per notificarlo al Garante. Se non hai una procedura pronta, queste 72 ore diventano un caos.
Nelle PMI che seguiamo, il lavoro di GDPR e sicurezza informatica va sempre di pari passo: non ha senso avere documenti compliance perfetti se i sistemi non sono sicuri, e non ha senso avere sistemi sicuri se in caso di incidente non sai cosa fare nei termini di legge.
Per una PMI con 5–20 dipendenti che parte da zero, un percorso di adeguamento GDPR realistico richiede 4–8 settimane e comprende:
Il costo di adeguamento per una PMI standard è significativamente inferiore alla sanzione minima che il Garante può comminare — e dà all'azienda una posizione credibile con clienti sempre più attenti alla privacy dei propri dati.
Effettuiamo audit GDPR e sicurezza informatica per PMI. Deliverable scritti, priorità chiare, prezzi fissi. Nessuna sorpresa.
We use cookies to improve your experience, analyse traffic and personalise content. Some cookies are essential; others help us with analytics and advertising. Cookie Policy · Privacy Policy