GDPR per startup italiane: adempimenti, DPO e come evitare sanzioni

Articoli del GDPR letti nel testo pubblicato dal Garante per la protezione dei dati personali e Linee guida cookie del 10 giugno 2021 (Garante) il 12 novembre 2026. La pagina è informativa e non sostituisce la consulenza di un esperto di protezione dati. Norme e provvedimenti possono cambiare: controlla il sito del Garante.

Da dove partire: mappa dei dati

Prima di scrivere documenti, elenca che dati personali tratti, da chi, per cosa, con quali strumenti. Un modulo di contatto, un CRM, le email transazionali, il processore di pagamento, gli strumenti di analytics, un chatbot: ognuno è un trattamento. Questa mappa ti serve per tutto il resto: registro, informative, contratti con i fornitori, gestione dei data breach.

Basi giuridiche e informativa

L'art. 6 elenca le condizioni di liceità: consenso per una o più finalità specifiche; necessità per eseguire un contratto o misure precontrattuali; obbligo legale; interessi vitali; compito di interesse pubblico; legittimo interesse del titolare (con bilanciamento). Per ogni trattamento scegli una base e annotala. L'art. 13 dice cosa dire all'interessato quando raccogli i dati presso di lui, tra cui identità e contatti del titolare e finalità. È il contenuto della privacy policy. Per le newsletter e il marketing, vedi anche email marketing e GDPR.

Il registro dei trattamenti

Secondo l'art. 30 ogni titolare tiene un registro scritto, anche elettronico, con almeno: dati di contatto del titolare, finalità, categorie di interessati e di dati, categorie di destinatari (anche in paesi terzi), trasferimenti extra-UE con garanzie, termini di cancellazione e misure di sicurezza "ove possibile". Va messo a disposizione del Garante su richiesta.

Il paragrafo 5 esonera le imprese con meno di 250 dipendenti, tranne se il trattamento può presentare un rischio per i diritti e le libertà dell'interessato, non è occasionale o include categorie particolari di dati o dati su condanne penali. Poiché i trattamenti di una startup (clienti, utenti, newsletter) sono quasi sempre continuativi, l'esenzione di solito non ti aiuta: tieni il registro.

Privacy by design e by default

L'art. 25 impone misure tecniche e organizzative adeguate, come la pseudonimizzazione, per attuare in modo efficace i principi di protezione dei dati, come la minimizzazione, sia nella scelta dei mezzi sia durante il trattamento. Per impostazione predefinita devono essere trattati solo i dati necessari per ogni finalità, per quantità, portata, periodo di conservazione e accessibilità. In pratica: raccogli solo i campi che ti servono, non preselezionare consensi, limita chi in azienda vede i dati, usa dati pseudonimizzati negli ambienti di test.

Se un trattamento può presentare un rischio elevato, in particolare con nuove tecnologie, l'art. 35 richiede una valutazione d'impatto sulla protezione dei dati prima di iniziarlo.

Fornitori: il contratto dell'art. 28

Quando un fornitore (hosting, CRM, email, analytics) tratta dati per tuo conto, l'art. 28 richiede un contratto o altro atto giuridico che indichi materia, durata, natura e finalità del trattamento, tipo di dati e categorie di interessati, e che preveda tra l'altro che il fornitore tratti i dati solo su tue istruzioni documentate. Il responsabile non può ricorrere a un altro responsabile senza tua autorizzazione scritta. Controlla le condizioni (spesso un DPA online) di ogni strumento e conservale. Se trasferisci dati fuori dallo Spazio economico europeo, servono garanzie previste dal Capo V (tra cui le clausole tipo adottate dalla Commissione).

Cookie e strumenti di tracciamento

Le linee guida del Garante del 10 giugno 2021 (pubblicate in Gazzetta Ufficiale il 9 luglio 2021, con sei mesi dalla pubblicazione per adeguarsi) dicono, tra l'altro:

• Lo "scrolling" da solo non è mai un consenso valido per i cookie non tecnici (richiamando il parere EDPB 5/2020), ma può essere una componente di un processo più articolato.
• Il banner deve avere un comando di chiusura (la "X") che mantiene le impostazioni di default, cioè nessun cookie diverso dai tecnici, e deve avere evidenza grafica pari agli altri pulsanti.
• Il banner non va ripresentato a ogni visita: la nuova richiesta di consenso è possibile, tra gli altri casi, dopo almeno sei mesi dalla precedente presentazione.
• I cookie analytics sono assimilati ai tecnici, quindi senza consenso, solo con misure di minimizzazione: statistiche aggregate, un solo sito o app, senza combinare i dati con altre elaborazioni e senza consentire di isolare la singola persona. Se il tuo strumento di analytics non rispetta queste condizioni, serve il consenso.

Il testo della cookie policy e dell'informativa è nella guida alla privacy policy per startup.

Data breach: cosa e quando

L'art. 33 impone di notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne sei venuto a conoscenza, a meno che sia improbabile un rischio per i diritti e le libertà delle persone. Se non rispetti le 72 ore devi indicare i motivi del ritardo. Il fornitore (responsabile) deve informarti senza ingiustificato ritardo. L'art. 34 prevede la comunicazione agli interessati solo quando la violazione è suscettibile di presentare un rischio elevato. Le due cose sono diverse: la notifica al Garante è la regola, la comunicazione agli interessati è per i casi gravi. Prepara prima una procedura interna: chi decide, chi scrive, dove si annotano le violazioni.

Quando serve il DPO

L'art. 37 impone la designazione del responsabile della protezione dei dati quando il trattamento è fatto da un'autorità pubblica, quando le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala, oppure quando consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati su condanne penali e reati (art. 10). Una startup B2B con un CRM non rientra di norma nei casi; un'app di tracciamento, una piattaforma pubblicitaria o un servizio sanitario può rientrarci. Anche senza obbligo puoi nominarlo volontariamente. Non ho trovato fonti ufficiali sui compensi: chiedi preventivi.

Sanzioni

L'art. 83 distingue due livelli. Fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore, per violazioni degli obblighi del titolare e del responsabile (tra cui gli artt. 25-39). Fino a 20 milioni o 4%, se superiore, per violazioni dei principi di base del trattamento e delle condizioni sul consenso (artt. 5, 6, 7, 9), dei diritti degli interessati (artt. 12-22) e dei trasferimenti verso paesi terzi. L'importo effettivo tiene conto di gravità, durata, dolo o colpa, misure adottate, cooperazione con l'autorità e altri elementi.

Errori comuni

• Pensare che essere piccoli esoneri da tutto: il registro e i contratti dell'art. 28 valgono per tutti i trattamenti non occasionali.
• Installare analytics e pixel prima del consenso.
• Dimenticare di annotare il consenso e la sua base.
• Non sapere dove sono i dati dei fornitori e se escono dallo Spazio economico europeo.
• Scoprire un data breach e non sapere chi deve notificarlo.

Prossimi passi: contratti essenziali per startup, recesso del consumatore e guida fondativa startup Italia. Questa pagina ha scopo informativo e non sostituisce la consulenza di un esperto.

Fonti

• Garante privacy: testo del Regolamento (UE) 2016/679^[1]
• Garante privacy: Linee guida cookie e altri strumenti di tracciamento (10 giugno 2021)^[2]