GDPR per startup: da dove partire
Il Regolamento UE 2016/679 (GDPR) si applica a qualsiasi organizzazione che tratta dati personali di cittadini europei, indipendentemente dalle dimensioni. Che tu abbia tre dipendenti o trecento, se raccogli email, dati di pagamento o comportamenti utente su un'app, sei soggetto al GDPR. Ignorarlo non è un'opzione: le sanzioni del Garante per la Protezione dei Dati Personali (GPDP) arrivano fino al 4% del fatturato globale annuo o 20 milioni di euro, importo maggiore.
Il Registro dei trattamenti
Il primo adempimento concreto è il Registro delle attività di trattamento (art. 30 GDPR). È un documento interno che elenca ogni flusso di dati personali: chi li raccoglie, con quale finalità, su quale base giuridica, per quanto tempo li conservi e a chi li trasmetti (inclusi fornitori SaaS esteri come AWS, Stripe, Mailchimp).
Per ogni trattamento specifica:
- Finalità (es. fatturazione, marketing, assistenza clienti)
- Base giuridica (consenso, contratto, legittimo interesse, obbligo legale)
- Categorie di dati e di interessati
- Periodo di conservazione
- Eventuali trasferimenti extra-UE e garanzie adottate (Standard Contractual Clauses)
Non è un documento da pubblicare sul sito, ma il Garante può richiederlo in caso di ispezione. Tienilo aggiornato ogni volta che aggiungi un nuovo strumento (CRM, analytics, chatbot).
Privacy by design e privacy by default
Il GDPR impone che la protezione dei dati sia integrata nel prodotto fin dalla progettazione, non aggiunta a posteriori. In pratica significa:
- Raccogliere solo i dati strettamente necessari (data minimization)
- Impostare di default le opzioni più privacy-friendly (niente checkbox pre-spuntate)
- Pseudonimizzare i dati utente nei database di test e sviluppo
- Documentare le scelte architetturali che impattano sulla privacy (Data Protection Impact Assessment se il trattamento è ad alto rischio)
Cookie policy e consenso
Dal 2022 il Garante italiano ha adottato le Linee guida sui cookie che richiedono un consenso granulare e preventivo per i cookie di profilazione. Il banner deve:
- Consentire il rifiuto con la stessa semplicità dell'accettazione (no dark patterns)
- Non accettare cookie se l'utente chiude la finestra senza scegliere
- Offrire una gestione delle preferenze modificabile in ogni momento
I cookie analytics di prima parte (solo statistiche aggregate, IP anonimizzato) sono esenti dal consenso se configurati correttamente. Google Analytics 4 senza anonimizzazione non lo è.
- Registro dei trattamenti aggiornato
- Privacy policy e cookie policy sul sito
- Consenso GDPR-compliant per newsletter e profilazione
- DPA (Data Processing Agreement) firmato con ogni fornitore SaaS
- Procedura di gestione delle violazioni (data breach entro 72 ore al Garante)
- Valutare la nomina del DPO se trattamenti ad alto rischio o su larga scala
Quando il DPO è obbligatorio
Il Data Protection Officer (DPO) è obbligatorio in tre casi (art. 37 GDPR):
- Sei un'autorità pubblica
- Effettui monitoraggio sistematico e su larga scala di individui (es. app di tracciamento, piattaforme adtech)
- Tratti categorie particolari di dati (salute, dati genetici, politici, religiosi) su larga scala
La maggior parte delle startup B2B early stage non ha l'obbligo formale. Tuttavia nominare un DPO (anche esterno, circa 2.000-5.000 euro/anno per una figura consulenziale) è una scelta di governance che facilita i contratti enterprise e dimostra maturità ai VC.
Sanzioni e come evitarle
Il GPDP ha comminato sanzioni anche a startup con fatturati limitati. Le violazioni più comuni riguardano cookie non conformi, newsletter senza consenso documentabile e mancanza di DPA con fornitori. La miglior difesa è la documentazione: registra ogni scelta, tieni traccia dei consensi, aggiorna il registro quando cambi strumenti.
In caso di data breach, hai 72 ore per notificare il Garante (se il rischio per gli interessati è elevato) e dovrai comunicarlo anche agli interessati stessi se il rischio è alto.
Prossimi passi
Consulta anche la guida ai contratti essenziali per startup e la pagina sulla redazione della privacy policy. Per il contesto normativo completo sulla tua struttura societaria, parti dalla guida fondativa startup Italia.