Ogni volta che un cliente lascia la propria email, un dipendente firma un contratto o un fornitore invia una fattura, un'azienda tratta dati personali. Da ormai 8 anni tutto questo è disciplinato da un acronimo di cui molti imprenditori hanno sentito parlare, ma che pochi comprendono davvero: il GDPR.

Capire il GDPR è il primo passo per gestire correttamente la privacy ed evitare sanzioni che possono raggiungere il 4% del fatturato globale. In questo articolo spieghiamo in termini semplici il significato del GDPR, la sua origine europea, i 7 principi che lo fondano e cosa è cambiato concretamente per le PMI dal 25 maggio 2018.

Al termine avrai un quadro chiaro degli obblighi, delle opportunità e dei prossimi cambiamenti nel 2026, così da comprendere da dove iniziare per mettere a norma la tua organizzazione.

Che cos'è il GDPR: una definizione semplice

Il GDPR è il Regolamento Generale sulla Protezione dei Dati dell'Unione Europea, in vigore dal 25 maggio 2018. L'acronimo sta per General Data Protection Regulation e corrisponde al Regolamento UE 2016/679, approvato dal Parlamento Europeo il 27 aprile 2016.

In pratica, il GDPR è la legge europea che stabilisce come le aziende, i professionisti e le pubbliche amministrazioni devono raccogliere, conservare, utilizzare e proteggere i dati personali degli individui. Si applica a qualsiasi informazione che possa identificare direttamente o indirettamente una persona: nome, email, numero di telefono, indirizzo IP, dati sanitari, foto, preferenze di acquisto e molto altro.

La parola chiave da tenere a mente è accountability (responsabilizzazione): il GDPR impone alle aziende di dimostrare attivamente di rispettare le regole, non solo di dichiararlo. Questo è il vero cambiamento culturale introdotto dal Regolamento.

Dati personali e categorie particolari di dati: la differenza

Il GDPR distingue tra due grandi categorie di dati.

I dati personali comuni includono informazioni ordinarie come nome e cognome, indirizzo, codice fiscale, email aziendale, dati di navigazione e coordinate bancarie. Questi dati richiedono protezione, ma la loro raccolta segue regole standard.

Le categorie particolari di dati, comunemente chiamate anche dati sensibili, includono informazioni che meritano una protezione rafforzata: origine razziale ed etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla salute e orientamento sessuale. Anche i dati giudiziari rientrano in una categoria speciale. Il trattamento di queste informazioni richiede basi giuridiche più rigorose e misure di sicurezza rafforzate, spesso accompagnate da una specifica valutazione d'impatto.

Chi deve adeguarsi al GDPR

Il GDPR si applica a tutte le organizzazioni che trattano dati personali di persone che si trovano nell'Unione Europea, indipendentemente da dove si trovi la sede dell'azienda. Un e-commerce con sede negli Stati Uniti che vende a clienti dell'UE deve rispettare il GDPR esattamente come un negozio locale in una piccola città europea. L'ambito di applicazione comprende:

• Aziende private di qualsiasi dimensione, dalle ditte individuali alle multinazionali

• Pubbliche amministrazioni ed enti pubblici

• Liberi professionisti come avvocati, commercialisti, medici e consulenti

• Associazioni, fondazioni e organizzazioni del terzo settore

• Startup e imprese digitali con sede fuori dall'UE ma con clienti europei

L'unica esclusione riguarda il trattamento effettuato da una persona fisica per attività a carattere esclusivamente personale o domestico, come una rubrica telefonica privata.

L'origine del GDPR: perché l'Europa ha voluto una nuova legge

Il GDPR nasce dalla necessità di aggiornare una normativa vecchia di oltre 20 anni. La precedente Direttiva 95/46/CE risaliva al 1995, un'epoca in cui internet era agli albori, gli smartphone non esistevano e i social network erano fantascienza.

Con l'esplosione della tecnologia digitale, i flussi di dati personali sono cambiati radicalmente. Big data, cloud computing, intelligenza artificiale e piattaforme globali hanno reso obsoleto il vecchio sistema, basato su leggi nazionali differenti tra i 27 Stati membri. L'Unione Europea ha quindi deciso di sostituire la direttiva con un regolamento, ossia un atto giuridico direttamente e uniformemente applicabile in tutti i paesi dell'UE, senza necessità di leggi di recepimento nazionali.

Il processo di approvazione è stato lungo e complesso, richiedendo oltre 4 anni di negoziati tra Commissione, Parlamento e Consiglio Europeo. Il testo finale ha cercato di bilanciare due esigenze: tutelare i diritti fondamentali dei cittadini e promuovere la libera circolazione dei dati all'interno del mercato unico digitale.

Tappe fondamentali

Ecco le date chiave che hanno segnato la nascita e l'evoluzione del GDPR:

• 25 gennaio 2012: la Commissione Europea presenta la proposta di riforma

• 27 aprile 2016: approvazione finale del Regolamento UE 2016/679

• 24 maggio 2016: entrata in vigore formale del Regolamento

• 25 maggio 2018: piena applicazione in tutti gli Stati membri, con scadenza per l'adeguamento

• 19 settembre 2018: entra in vigore in Italia il Decreto Legislativo 101/2018, che armonizza il Codice Privacy nazionale con il GDPR

Da allora, il Comitato Europeo per la Protezione dei Dati (EDPB) ha pubblicato decine di linee guida che chiariscono l'applicazione pratica del Regolamento in scenari specifici come il marketing, la videosorveglianza, i cookie e i trasferimenti internazionali.

Il ruolo delle autorità nazionali per la protezione dei dati

Ogni Stato membro dell'UE ha la propria autorità di controllo. In Italia, ad esempio, è il Garante per la Protezione dei Dati Personali, istituito nel 1997. Con il GDPR, i poteri di queste autorità si sono ampliati: oggi vigilano sull'applicazione del Regolamento, ricevono i reclami dei cittadini, effettuano ispezioni e possono imporre sanzioni amministrative pecuniarie molto pesanti.

Queste autorità pubblicano regolarmente provvedimenti, FAQ e modelli operativi che fungono da riferimento pratico per le aziende. Le loro decisioni spesso creano precedenti e guidano interi settori economici, dalla sanità al marketing digitale, dalla videosorveglianza alle risorse umane.

I 7 principi fondamentali del GDPR

Il GDPR si sviluppa su 7 principi generali elencati all'Articolo 5, che fungono da bussola per ogni attività di trattamento dei dati. Il rispetto di questi principi è la base per essere conformi.

Liceità, correttezza e trasparenza

Ogni attività di trattamento deve avere una valida base giuridica tra quelle previste dall'Articolo 6: il consenso dell'interessato, l'esecuzione di un contratto, un obbligo di legge, la salvaguardia di interessi vitali, l'interesse pubblico o il legittimo interesse del titolare. Il trattamento deve essere corretto nei confronti dell'interessato e trasparente: la persona deve sapere chi tratta i suoi dati, per quali scopi e come. Da qui deriva l'obbligo dell'informativa privacy, un documento chiaro e completo che ogni azienda deve fornire prima di raccogliere i dati.

Limitazione della finalità

I dati raccolti per uno scopo specifico non possono essere utilizzati per finalità diverse e incompatibili. Se raccogli l'email di un cliente per inviargli la conferma d'ordine, non puoi usarla automaticamente per newsletter promozionali senza un ulteriore consenso. Questo principio impone di definire preventivamente ed esplicitamente le finalità del trattamento e di rispettarle nel tempo.

Minimizzazione dei dati

È necessario raccogliere solo i dati strettamente necessari per conseguire la finalità dichiarata. Se per iscrivere un utente a una newsletter è sufficiente l'indirizzo email, chiedere anche la data di nascita, la professione e l'indirizzo di casa viola il principio di minimizzazione. Questo approccio riduce anche i rischi in caso di violazione dei dati (data breach): meno informazioni si conservano, minore è il danno potenziale.

Esattezza

I dati devono essere esatti e aggiornati. Il titolare del trattamento deve adottare procedure per correggere o cancellare tempestivamente i dati inesatti. L'interessato ha il diritto di chiedere la rettifica in qualsiasi momento e l'azienda deve rispondere entro un mese.

Limitazione della conservazione

I dati devono essere conservati solo per il tempo strettamente necessario alle finalità del trattamento. Definire tempi di conservazione ragionevoli e documentarli nel registro delle attività di trattamento è un obbligo specifico. Al termine del periodo, i dati devono essere cancellati o resi anonimi in modo irreversibile.

Integrità e riservatezza

I dati devono essere protetti con misure tecniche e organizzative adeguate contro trattamenti non autorizzati, perdita accidentale, distruzione o danno. Crittografia, backup, controllo degli accessi, aggiornamento dei sistemi e formazione del personale sono le misure più comuni. Il livello di protezione deve essere proporzionato al rischio: i dati sanitari richiedono tutele maggiori rispetto a un semplice elenco di email aziendali.

Accountability (Responsabilizzazione)

È il principio più innovativo. Il titolare del trattamento deve essere in grado di comprovare il rispetto di tutti gli altri principi. Non basta essere conformi: occorre poterlo dimostrare tramite documentazione, registri, procedure, valutazioni d'impatto e formazione documentata. È il passaggio da un modello burocratico a uno gestionale, basato sull'analisi del rischio e sulla capacità di rendere conto delle proprie scelte.

Cosa è cambiato concretamente per le imprese

Prima del 25 maggio 2018, la privacy nella maggior parte dei paesi UE era regolata da vecchie leggi nazionali che richiedevano adempimenti formali, spesso poco più di scartoffie archiviate e dimenticate. Con il GDPR l'approccio è cambiato profondamente: meno moduli predefiniti, più responsabilità sostanziale.

Le aziende hanno dovuto ripensare interi processi organizzativi. Non basta più compilare un foglio e metterlo in un cassetto: serve un sistema vivo di gestione della privacy che accompagni ogni attività aziendale, dalla raccolta del CV di un candidato alla gestione della newsletter, dalla videosorveglianza aziendale ai backup dei server.

I cambiamenti più significativi riguardano cinque aree operative: la documentazione obbligatoria, i diritti degli interessati, i ruoli di responsabilità, la gestione degli incidenti e le sanzioni.

Nuovi documenti obbligatori

Le aziende devono predisporre e tenere aggiornato un set documentale che include:

• Registro delle attività di trattamento: un elenco strutturato di tutti i trattamenti di dati personali effettuati dall'azienda, con finalità, categorie di dati, destinatari e tempi di conservazione

• Informative privacy aggiornate per clienti, dipendenti, fornitori, candidati e visitatori del sito web

• Nomine dei responsabili del trattamento (i fornitori esterni che trattano dati per conto dell'azienda)

• Valutazione d'Impatto sulla Protezione dei Dati (DPIA) per i trattamenti ad alto rischio

• Procedure interne per la gestione dei data breach, l'esercizio dei diritti e la conservazione dei dati

• Registri della formazione erogata al personale

Nuovi diritti per gli interessati

Il GDPR ha rafforzato e ampliato i diritti dei cittadini. Ogni cittadino può esercitare:

• Il diritto di accesso ai propri dati

• Il diritto di rettifica in caso di dati inesatti

• Il diritto alla cancellazione, noto come diritto all'oblio

• Il diritto di limitazione del trattamento

• Il diritto alla portabilità dei dati in un formato strutturato

• Il diritto di opposizione al trattamento

• Il diritto di non essere sottoposto a processi decisionali automatizzati

Le aziende devono rispondere alle richieste entro un mese, prorogabile a 3 mesi nei casi più complessi, e devono farlo gratuitamente. Ignorare o gestire male una richiesta espone l'azienda a reclami al Garante e a sanzioni.

Il ruolo del DPO

Il Regolamento ha introdotto la figura del Responsabile della Protezione dei Dati (RPD o DPO, Data Protection Officer). La sua nomina è obbligatoria per le pubbliche amministrazioni, per i soggetti che effettuano un monitoraggio sistematico su larga scala e per chi tratta dati particolari su larga scala. Molte PMI, pur non essendovi obbligate, scelgono di nominare un DPO su base volontaria per avere un punto di riferimento competente e strutturato sulla materia.

Sanzioni GDPR: cosa rischiano le aziende non a norma

Le sanzioni sono uno degli aspetti che hanno reso celebre il GDPR a livello globale. Vengono calcolate in base al fatturato globale annuo dell'azienda e possono raggiungere cifre molto elevate.

Il Regolamento prevede due livelli di sanzioni amministrative pecuniarie. Le violazioni meno gravi, come la mancata tenuta del registro dei trattamenti o la mancata nomina del DPO, possono comportare multe fino a 10 milioni di euro o al 2% del fatturato globale annuo. Le violazioni più gravi, come il mancato rispetto dei principi fondamentali o dei diritti degli interessati, possono arrivare fino a 20 milioni di euro o al 4% del fatturato globale annuo. Si applica sempre l'importo più elevato tra i due.

Oltre alle sanzioni economiche, vi sono conseguenze indirette spesso più dannose: la perdita di reputazione, l'obbligo di notificare pubblicamente la violazione dei dati, le richieste di risarcimento danni individuali e collettive, e il potere del Garante di bloccare determinati trattamenti.

Esempi reali di sanzioni

Il Garante Italiano, così come le altre autorità nazionali europee, ha emesso numerose sanzioni di rilievo negli ultimi anni. Compagnie di telecomunicazioni, utility, piattaforme digitali, ospedali e comuni sono stati sanzionati per violazioni che spesso riguardano telemarketing aggressivo, mancanza di consenso, informative inadeguate, violazioni di dati non segnalate e videosorveglianza illecita. Queste decisioni sono pubbliche e rappresentano una risorsa preziosa per comprendere quali comportamenti evitare e come strutturare i propri processi.

Come ridurre il rischio di sanzioni

La strategia più efficace è dimostrare di aver adottato un approccio serio e documentato alla conformità. In caso di ispezione o di violazione dei dati, il Garante valuta l'atteggiamento complessivo dell'azienda: disporre di documentazione aggiornata, formazione del personale, procedure operative e adeguate misure tecniche può ridurre notevolmente l'importo della sanzione o portare a un semplice ammonimento.

Data breach: cos'è e come gestirlo

Un data breach è un incidente di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Può derivare da un attacco informatico, ma anche da un errore umano, come l'invio di un'email al destinatario sbagliato o lo smarrimento di un laptop aziendale.

Il GDPR impone al titolare del trattamento di notificare la violazione al Garante entro 72 ore dal momento in cui ne viene a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti delle persone. Se la violazione presenta un rischio elevato, anche gli individui coinvolti devono essere informati direttamente, con un linguaggio chiaro e indicazioni pratiche su come proteggersi.

Gestire correttamente un data breach richiede una procedura interna predefinita che coinvolga l'IT, l'ufficio legale, la comunicazione e la direzione. Improvvisare entro le 72 ore è impossibile: prepararsi in anticipo è fondamentale.

Documentare gli incidenti

Anche gli incidenti che non vengono notificati al Garante devono essere registrati in un registro interno dei data breach, descrivendo l'evento, le sue cause, i dati coinvolti, le misure adottate e la valutazione del rischio. Questo registro è uno dei documenti più richiesti in fase di ispezione e dimostra la capacità dell'azienda di monitorare e gestire gli incidenti in modo strutturato.

GDPR e siti web: cookie, form e newsletter

Ogni sito web aziendale è un punto di raccolta di dati personali e ricade quindi sotto l'applicazione del GDPR. Le tre aree più critiche sono: i cookie, i moduli di contatto e l'iscrizione alla newsletter.

I cookie richiedono un cookie banner conforme che consenta agli utenti di accettare, rifiutare o personalizzare le proprie scelte prima dell'attivazione di qualsiasi cookie non tecnico. Le linee guida del Garante di giugno 2021 hanno chiarito che lo scorrimento della pagina o la semplice navigazione non equivalgono al consenso, e che rifiutare deve essere facile quanto accettare.

I moduli di contatto devono includere un'informativa privacy specifica, una casella di consenso dove necessario e la raccolta dei soli dati essenziali. Le newsletter richiedono un consenso esplicito, separato da altre finalità, preferibilmente con un sistema di double opt-in e la possibilità di disiscriversi in qualsiasi momento.

Videosorveglianza e GDPR

Anche le telecamere aziendali rientrano nel GDPR. Le aziende devono esporre un'informativa breve prima dell'area videosorvegliata, valutare la proporzionalità del trattamento, limitare la conservazione delle immagini a pochi giorni (generalmente 24-72 ore, salvo specifiche esigenze motivate) e proteggere adeguatamente i sistemi di registrazione. Il Garante ha pubblicato linee guida dettagliate e sanzionato ripetutamente impianti installati senza queste tutele.

GDPR e ISO 27001: perché integrare i due sistemi

La norma internazionale ISO 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni. Molte delle misure richieste dal GDPR trovano nella ISO 27001 uno strumento operativo concreto: analisi dei rischi, controllo degli accessi, gestione degli incidenti, crittografia, formazione e gestione dei fornitori.

Integrare GDPR e ISO 27001 permette di unire le forze: si costruisce un unico sistema che risponde sia agli obblighi normativi europei sia ai requisiti dello standard internazionale, molto apprezzato da clienti e partner soprattutto nei settori tecnologico, sanitario e finanziario.

La certificazione ISO 27001 non è obbligatoria per conformarsi al GDPR, ma rappresenta la prova più solida di aver adottato misure di sicurezza adeguate. In caso di violazione dei dati o di ispezione, la certificazione costituisce un forte elemento attenuante che dimostra l'approccio responsabile dell'azienda.

Sinergia con altri standard

Oltre alla ISO 27001, il GDPR si integra bene con la ISO 9001 sulla qualità, la ISO 42001 sui sistemi di gestione dell'intelligenza artificiale e la Direttiva NIS 2 sulla cybersecurity. Costruire un sistema di gestione integrato consente di risparmiare tempo, ridurre la duplicazione documentale e presentare sul mercato una postura di conformità completa.

Cosa succederà nel 2026 a proposito di GDPR?

Il quadro normativo europeo sulla protezione dei dati continua a evolversi. Il 2026 ha già iniziato a portare e porterà diverse novità che le aziende devono iniziare a monitorare fin da subito.

La proposta di semplificazione del GDPR per le PMI, presentata dalla Commissione Europea nel 2025 all'interno del pacchetto Omnibus sulla semplificazione digitale, è in fase avanzata. L'obiettivo è alleggerire gli oneri documentali per le aziende con meno di 750 dipendenti, mantenendo del tutto intatti i principi di tutela degli interessati. Le semplificazioni riguarderanno il registro dei trattamenti, alcune valutazioni d'impatto e gli obblighi di notifica in casi a basso rischio.

Al contempo, entrerà pienamente in vigore l'AI Act dell'UE, che si intreccerà con il GDPR ogni volta che i sistemi di intelligenza artificiale tratteranno dati personali. Le aziende che utilizzano l'AI per selezione del personale, marketing predittivo, credit scoring o assistenza clienti dovranno gestire i due quadri normativi in modo coordinato.

Proseguirà anche l'attuazione del Data Act e del Data Governance Act, che ridefiniscono il modo in cui i dati non personali e industriali possono essere condivisi nel mercato unico europeo. Pur non modificando direttamente il GDPR, richiedono un aggiornamento delle procedure interne di gestione dei dati.

GDPR novità 2026: come prepararsi

Per affrontare i prossimi con serenità, conviene effettuare un check-up completo del proprio sistema privacy. Rivedere le informative, il registro dei trattamenti, le procedure di gestione dei data breach, la formazione del personale e le misure tecniche di sicurezza permette di partire da una base solida su cui innestare le nuove regole. Chi rimanda rischia di farsi trovare impreparato proprio nel momento in cui il quadro si fa più complesso.

Metti a norma la tua azienda con Complaion

Capire il GDPR è il primo passo. Applicarlo concretamente in azienda richiede metodo, competenze e strumenti adeguati. Complaion affianca le PMI nell'intero percorso di adeguamento al GDPR: analisi iniziale, redazione della documentazione, formazione del personale, procedure operative, gestione dei data breach e monitoraggio continuo. Grazie alla nostra piattaforma digitale e a Lead Auditor dedicati, riduciamo drasticamente i tempi di adeguamento rispetto ai metodi tradizionali, rendendoti conforme in poche settimane anziché in molti mesi.

Ogni progetto viene costruito sulla reale situazione della tua azienda: settore, dimensioni, processi e punto di partenza. Richiedi una consulenza gratuita e un preventivo personalizzato a Complaion e scopri come mettere in sicurezza i dati della tua organizzazione con un partner esperto al tuo fianco.

Domande frequenti sul GDPR

Il GDPR si applica anche a piccole imprese e liberi professionisti?

Sì, il GDPR si applica a chiunque tratti dati personali nell'ambito della propria attività, indipendentemente dalle dimensioni. Anche una ditta individuale con un solo dipendente, un artigiano con clienti privati o un libero professionista devono rispettare il Regolamento. Cambiano le procedure operative e la complessità della documentazione, ma i principi fondamentali sono gli stessi per tutti. Alcuni obblighi, come la nomina del DPO, dipendono dalla natura dei trattamenti e non dalle dimensioni aziendali.

Qual è la differenza tra titolare del trattamento e responsabile del trattamento?

Il titolare del trattamento (data controller) è colui che determina le finalità e i mezzi del trattamento dei dati, ossia l'azienda o il professionista che raccoglie e utilizza i dati per i propri scopi. Il responsabile del trattamento (data processor) è invece un soggetto esterno che tratta i dati per conto del titolare, come un fornitore di servizi cloud, il consulente del lavoro o un'agenzia di email marketing. Tra titolare e responsabile deve sempre essere stipulato un apposito contratto di nomina che disciplini il trattamento, come previsto dall'Articolo 28 del GDPR.

Il consenso è sempre obbligatorio per trattare i dati personali?

No, il consenso è solo una delle 6 basi giuridiche previste dal GDPR. Molti trattamenti si fondano su altre basi, come l'esecuzione di un contratto (es. i dati necessari per emettere una fattura), l'obbligo di legge (es. la conservazione delle scritture contabili), il legittimo interesse (in casi specifici documentati) o l'interesse pubblico. Il consenso è richiesto in casi specifici come l'invio di newsletter promozionali, l'uso di cookie non tecnici o il trattamento di categorie particolari di dati senza altre basi giuridiche.

Cosa devo fare se subisco un attacco informatico con perdita di dati?

Attiva immediatamente la procedura interna di gestione del data breach, valuta l'entità della violazione e il rischio per le persone, notifica l'evento al Garante entro 72 ore dal momento in cui ne vieni a conoscenza tramite il portale dedicato e, se il rischio è elevato, informa direttamente i soggetti coinvolti. L'incidente deve sempre essere registrato nel registro interno delle violazioni, anche quando non è dovuta la notifica al Garante. Avere una procedura predefinita e un team formato è indispensabile per rispettare i tempi strettissimi imposti dalla legge.

Posso conservare i dati dei clienti per sempre?

No, il principio di limitazione della conservazione impone che i dati siano conservati solo per il tempo strettamente necessario alle finalità del trattamento. I tempi variano a seconda del dato e dello scopo: i dati fiscali e contabili vanno conservati per 10 anni per obbligo di legge, i contratti generalmente per la durata della prescrizione ordinaria per eventuali tutele legali, i dati di marketing di solito per periodi molto più brevi. Ogni azienda deve definire i propri tempi di conservazione nel registro dei trattamenti e applicarli con regolarità.

Il GDPR impone di avere un DPO?

La nomina del DPO è obbligatoria solo in tre casi: pubbliche amministrazioni ed enti pubblici, attività principali che consistono nel monitoraggio sistematico su larga scala degli interessati, e attività principali che consistono nel trattamento su larga scala di categorie particolari di dati. La maggior parte delle PMI non è obbligata, ma può scegliere di nominarlo su base volontaria. Anche senza DPO, qualcuno all'interno o all'esterno dell'azienda deve vigilare con competenza sulla materia.

Qual è la sanzione minima prevista dal GDPR?

Il GDPR non prevede un importo minimo per le sanzioni, ma stabilisce criteri di proporzionalità. Il Garante valuta la gravità, la durata e la natura della violazione, il numero di interessati coinvolti, il danno subìto, il grado di responsabilità, le misure adottate per attenuare il danno, i precedenti e la cooperazione dimostrata. Le sanzioni possono anche essere sostituite da ammonimenti nei casi minori, specialmente se l'azienda dimostra un atteggiamento serio e collaborativo. L'importo massimo può raggiungere i 20 milioni di euro o il 4% del fatturato globale annuo.

Cosa cambierà con la semplificazione del GDPR per le PMI prevista per il 2026?

La proposta di semplificazione mira ad alleggerire il carico documentale per le aziende con meno di 750 dipendenti, riducendo alcuni adempimenti come la tenuta del registro per le attività a basso rischio e semplificando alcune valutazioni d'impatto. I principi fondamentali del GDPR rimarranno immutati, così come i diritti dei cittadini e l'obbligo di garantire la sicurezza dei dati. Le PMI dovranno comunque mantenere un sistema solido di gestione della privacy, ma potranno beneficiare di procedure più snelle in specifiche situazioni.