Dall’entrata in vigore del GDPR (Regolamento UE 2016/679) nel maggio 2018 sono arrivate due generazioni di aggiornamenti — e per il 2026 entrano in vigore nuove linee guida EDPB su sistemi AI, archivi cloud fuori UE e conservazione della telemetria. Le multe per le PMI italiane per violazioni GDPR sono cresciute negli anni 2023-2025 del 320%. Ecco una checklist pratica in 20 punti che nel 2026 ogni azienda può gestire senza un DPO esterno.
Perché la conformità GDPR conviene anche a un’azienda di 15 persone
Argomenti del tipo “il GDPR non ci riguarda, siamo una piccola azienda” nel 2026 non valgono più. Il Garante della Privacy italiano ha confermato nel suo rapporto annuale per il 2024 che il 62% delle multe è andato ad aziende con meno di 50 dipendenti. Multa media: 8.200 EUR. La più alta in IT: 94.000 EUR (e-commerce, gestione errata delle richieste degli interessati).
Oltre alle multe esiste un altro rischio: i contratti B2B. Le grandi aziende oggi richiedono DPA (Data Processing Agreement) e audit di sicurezza da tutti i fornitori. Se non ha conformità, perde gare.
Suggerimento: Il GDPR non è un progetto una tantum. È un processo continuo. La checklist va eseguita una volta all’anno, idealmente nel Q1 dopo la chiusura fiscale, quando rivede comunque i processi.
Checklist GDPR in 20 punti per la PMI italiana (2026)
Basi e documentazione (1 – 5)
1. Ha un registro aggiornato delle attività di trattamento (art. 30 GDPR)? Tabella Excel con elenco: tipo di dati, finalità, base giuridica, periodo di conservazione, destinatari. Obbligatorio per ogni azienda oltre 250 persone — e in pratica anche per le più piccole che trattano dati sensibili.
2. Ha in ogni contratto un consenso correttamente informato o un’altra base giuridica secondo l’art. 6 GDPR? Newsletter di marketing → consenso opt-in. Fatture → legittimo interesse + obbligo di legge.
3. Ha le Informazioni sul trattamento dei dati personali (privacy notice) aggiornate sul sito e nelle reception? Almeno 13 punti secondo l’art. 13 GDPR. Concrete, non “secondo la legge trattiamo i suoi dati”.
4. Ha firmato DPA con tutti i responsabili del trattamento (provider cloud, commercialista, agenzia HR, fornitore IT)? GDPR art. 28 — il contratto scritto è obbligatorio. Per il 2026 verifichi se il DPA copre anche i sub-processor AI (ChatGPT, Claude, ecc.).
5. Ha designato una persona responsabile (DPO o contatto interno)? Il DPO è obbligatorio per trattamento su larga scala di dati sensibili (sanità, biometria, giustizia). Per le PMI di solito basta un contatto interno — ma deve essere definito e pubblicamente accessibile.
Misure tecniche (6 – 12)
6. I suoi dati sono ospitati in UE? Server fuori UE = problema Schrems II. Dopo il fallimento dell’US-EU Data Privacy Framework nel 2023, per le PMI la scommessa sicura è hosting esclusivamente in UE (idealmente DE, FR, IT). Verifichi dove gira il suo ERP, CRM e email. Più sul nostro approccio nella pagina sicurezza.
7. Ha la 2FA attiva per tutti gli account amministrativi? La password “admin123” nel 2026 non basta. Obbligatoria de facto se ha accesso a dati personali di oltre 1.000 persone.
8. Ha backup regolari e un recovery plan testato? Test di ripristino almeno 2 volte all’anno. Gli attacchi ransomware alle PMI italiane sono cresciuti nel 2024 del 180%.
9. Cifra i dati personali a riposo (at rest) e in transito (in transit)? HTTPS ovunque. AES-256 o equivalente per i database. Per categorie sensibili (sanitarie, finanziarie) bonus all’audit.
10. Ha un audit log che registra l’accesso ai dati personali? “Chi, quando, quale record ha visto / modificato.” Senza di esso non passerà un audit B2B serio né la risposta a un breach. Modulario fornisce questo audit log nativamente — più info sulla pagina sicurezza.
11. Ha politiche di retention e cancellazione automatica allo scadere del periodo? Norme italiane: fatture 10 anni, dati personali 50 anni (pensione), consensi marketing fino a revoca o 24 mesi.
12. Ha pseudonimizzazione o anonimizzazione dove possibile? Es. analytics web senza indirizzi IP, dashboard interna con hash ID dei dipendenti.
Processi (13 – 17)
13. Ha un processo definito per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione)? Termine: 1 mese, prorogabile a 3 in casi complessi. Chi in azienda riceve l’email, chi verifica l’identità, chi esegue la cancellazione?
14. Ha un piano di risposta agli incidenti di sicurezza (data breach)? 72 ore per la notifica al Garante. In pratica ha <24h prima che l’incidente si propaghi. Template + persona responsabile + piano di comunicazione.
15. Ha un team formato? Almeno una formazione annuale per tutti coloro che trattano dati personali. Un e-learning di 2 ore basta per le basi.
16. Verifica i nuovi fornitori (vendor due diligence)? Domande per SaaS: Dove ospitano? Hanno ISO 27001 / SOC 2? Quale struttura sub-processor hanno? Hanno DPA pronti?
17. Ha la DPIA (Data Protection Impact Assessment) per trattamenti a rischio? Obbligatoria per monitoraggio sistematico, trattamento di categorie sensibili su larga scala, decisioni automatizzate. Nel 2026 anche per alcuni casi d’uso AI (vedi AI Act).
Specificità 2026 (18 – 20)
18. Mappa i sistemi AI e i modelli che trattano dati personali? Nuove linee guida EDPB 2025: se un modello AI tratta dati personali (chatbot, HR assist, AI scoring), deve avere DPIA + trasparenza.
19. Ha regole chiare per l’uso di AI generativa (ChatGPT, Claude, Copilot)? I dipendenti comunemente copiano dati dei clienti in strumenti AI pubblici. Policy + whitelist + account enterprise risolvono il problema.
20. Ha un processo pronto per audit GDPR (interno o esterno)? Annualmente esegua la checklist, ogni 2 anni audit esterno. Il protocollo torna utile nelle gare.
Multe più frequenti in IT per il 2023 – 2025
| Violazione | Multa media | Frequenza |
|---|---|---|
| Consenso marketing mancante/errato | 3.200 EUR | Massima |
| Nessuna risposta a richiesta dell’interessato | 5.800 EUR | Alta |
| DPA mancante con responsabile | 4.500 EUR | Alta |
| Data breach senza notifica | 12.000 EUR | Media |
| Misure tecniche inadeguate | 8.400 EUR | Media |
Suggerimento: L’investimento più economico ed efficace nel GDPR nel 2026 è avere un sistema ERP/CRM con audit log nativo, hosting UE e DPA firmato. Copre automaticamente 10 dei 20 punti di questa checklist.
Conclusione
La conformità GDPR non è uno spauracchio — è disciplina. La checklist di 20 punti sopra una PMI italiana media la completa in 2-4 giorni di lavoro. Le multe partono da migliaia di EUR e il regolatore nel 2026 è più attivo che mai. Aggiunga la pressione dei clienti B2B per DPA e certificati di sicurezza e ha un business case completo.
Le serve un sistema ERP/CRM che gestisca il GDPR nativamente — hosting UE, audit log, politiche di retention automatiche? Veda il dettaglio delle nostre misure di sicurezza o ci contatti tramite consulenza gratuita. Le prepareremo un ambiente GDPR-ready in 2 settimane.