Le normative sulla privacy.
Spiegate senza tecnicismi.
Cosa chiedono, cosa comportano e perché ignorarle costa più che adeguarsi.
Una guida pratica per chi gestisce un’azienda, non per chi studia legge.
GDPR: il regolamento europeo sulla protezione dei dati.
In vigore dal 25 maggio 2018. Si applica a qualsiasi organizzazione che tratta dati personali di cittadini europei, indipendentemente da dove ha sede.
COSA CHIEDE
- Registro dei trattamenti: documentare quali dati raccogli, perché e come li usi
- Consenso informato: le persone devono sapere che usi i loro dati e accettarlo esplicitamente
- Contratti con i fornitori (DPA): ogni fornitore che tratta dati per te deve firmare un contratto specifico (art. 28)
- Misure di sicurezza adeguate: protezione tecnica e organizzativa dei dati
- Notifica data breach: in caso di violazione, avvisare il Garante entro 72 ore
COSA COMPORTA NON FARLO
- Sanzioni fino al 4% del fatturato globale annuo o €20 milioni (si applica la cifra più alta)
- Responsabilità personale del titolare del trattamento in caso di data breach
- Danno reputazionale: il Garante pubblica le sanzioni sul proprio sito
- Perdita di fiducia da parte di clienti, pazienti e partner commerciali
In parole semplici: se raccogli dati di persone, clienti, dipendenti, pazienti, fornitori, devi farlo in modo trasparente, sicuro e controllato. E devi essere in grado di dimostrarlo.
In Italia il GDPR è applicato e vigilato dal Garante per la Protezione dei Dati Personali.
Nel 2023 e 2024 il Garante ha emesso sanzioni significative in particolare verso strutture sanitarie e aziende che avevano documentazione formale ma procedure reali inesistenti.
Approfondimento: I principi fondamentali del GDPR
Il GDPR si basa su 7 principi fondamentali (art. 5) che regolano qualsiasi trattamento di dati personali:
Liceità, correttezza e trasparenza — I dati devono essere trattati in modo lecito e trasparente rispetto all’interessato.
Limitazione della finalità — I dati raccolti per uno scopo specifico non possono essere usati per scopi diversi senza una nuova base legale.
Minimizzazione dei dati — Si raccolgono solo i dati strettamente necessari alla finalità dichiarata.
Esattezza — I dati devono essere aggiornati e corretti. I dati inesatti devono essere cancellati o rettificati.
Limitazione della conservazione — I dati non possono essere conservati più a lungo del necessario.
Integrità e riservatezza — I dati devono essere protetti da accessi non autorizzati, perdite o distruzioni.
Responsabilizzazione (Accountability) — Il titolare del trattamento deve essere in grado di dimostrare il rispetto di tutti i principi. Non basta adeguarsi: bisogna documentarlo.
AI Act: il primo regolamento europeo sull’intelligenza artificiale.
In vigore dal 1° agosto 2024, con scadenze progressive fino al 2027.
Classifica i sistemi di AI per livello di rischio e stabilisce obblighi diversi per ciascuna categoria.
INACCETTABILE
Sistemi vietati: manipolazione comportamentale, social scoring, riconoscimento biometrico in spazi pubblici.
ALTO RISCHIO
Obbligo di conformità piena: AI diagnostica, scoring creditizio, selezione del personale, sistemi critici.
RISCHIO LIMITATO
Obbligo di trasparenza: chatbot, deepfake, sistemi che interagiscono con persone devono dichiararlo.
RISCHIO MINIMO
Nessun obbligo specifico: filtri antispam, AI nei videogiochi, strumenti di produttività standard.
CHI È COINVOLTO IN SANITÀ
- Software di refertazione automatizzata radiologica
- Sistemi di supporto alla diagnosi clinica
- AI per triage e scoring del rischio paziente
- Strumenti di telemedicina con analisi automatizzata
OBBLIGHI PER I SISTEMI AD ALTO RISCHIO
- Valutazione di conformità prima della messa in uso
- Documentazione tecnica dettagliata del sistema
- Supervisione umana obbligatoria sulle decisioni AI
- Registrazione nell'EU AI Act database
Se la tua azienda usa strumenti di intelligenza artificiale, per diagnosi, per selezione del personale, per scoring del credito, per sistemi di sorveglianza, potresti già essere soggetto all’AI Act senza saperlo.
Approfondimento: Scadenze AI Act e cosa fare adesso
L’AI Act prevede un’entrata in vigore progressiva:
Febbraio 2025 — Vietati i sistemi AI a rischio inaccettabile.
Agosto 2025 — Obblighi di alfabetizzazione AI per chi usa sistemi nei contesti lavorativi.
Agosto 2026 — Obblighi pieni per i sistemi ad alto rischio, inclusi quelli sanitari.
Agosto 2027 — Estensione ad altri sistemi ad alto rischio elencati nell’Allegato I.
La finestra di adeguamento è ancora aperta, ma l’adeguamento richiede mesi. Le strutture sanitarie che utilizzano AI diagnostica devono iniziare adesso la valutazione dei propri sistemi per arrivare pronte alla scadenza del 2026.
NIS2: la direttiva europea
sulla sicurezza informatica.
Recepita in Italia con il D.Lgs. 138/2024.
Amplia il perimetro della precedente NIS e include per la prima volta esplicitamente il settore dei trasporti e della logistica.
CHI È SOGGETTO A NIS2
- Trasporto merci stradale (spedizionieri, corrieri, logistica) con 50+ dipendenti o €10M+ di fatturato
- Trasporto aereo, ferroviario e marittimo
- Energia, acqua, infrastrutture digitali, sanità pubblica
- Fornitori critici nella supply chain di settori essenziali
COSA OBBLIGA A FARE
- Misure di sicurezza informatica proporzionate al rischio
- Piano di gestione degli incidenti e business continuity
- Notifica degli incidenti significativi entro 24–72 ore
- Sicurezza della supply chain e dei fornitori
CHI È SOGGETTO A NIS2
Le aziende enterprise che affidano la logistica a fornitori esterni stanno inserendo nei capitolati la conformità NIS2 come requisito obbligatorio. Chi è già in regola vince gare che le altre aziende non possono nemmeno fare. La conformità non è solo un obbligo, è un differenziante commerciale concreto nei confronti dei clienti più grandi.
NIS2 non riguarda solo la cybersecurity nel senso tecnico.
Riguarda la capacità di un’organizzazione di continuare a operare quando qualcosa va storto e di dimostrarlo ai propri clienti.
Approfondimento: Sanzioni NIS2 e responsabilità del management
NIS2 introduce per la prima volta la responsabilità diretta del management in caso di inadempienza:
Sanzioni amministrative per le “entità essenziali” (grandi operatori di settori critici): fino al 2% del fatturato globale annuo o €10 milioni.
Sanzioni per “entità importanti” (PMI dei settori inclusi): fino all’1,4% del fatturato globale o €7 milioni.
Responsabilità del management: i dirigenti possono essere ritenuti personalmente responsabili e sospesi temporaneamente dall’incarico in caso di violazioni gravi.
In Italia, l’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità di vigilanza per NIS2. Le organizzazioni soggette devono registrarsi sulla piattaforma ACN.
DPO esterno: chi è, cosa fa e perché è importante.
Il Data Protection Officer (DPO), in italiano Responsabile della Protezione dei Dati (RPD), è una figura prevista e disciplinata dal GDPR.
Non è un consulente qualsiasi: ha responsabilità e poteri precisi stabiliti dalla legge.
🎯 Monitoraggio della conformità
Verifica continuativa che l’organizzazione rispetti GDPR, AI Act, NIS2 e le disposizioni del Garante. Non solo al momento dell’adeguamento, ma ogni giorno.
🎓 Formazione del personale
Forma e sensibilizza il personale che tratta dati. La maggior parte degli incidenti privacy nasce da errori umani, non da attacchi informatici.
🏛️ Interfaccia con il Garante
È il punto di contatto ufficiale con il Garante Privacy in caso di ispezioni, richieste di informazioni o notifiche di data breach.
QUANDO È OBBLIGATORIO
- Tutte le autorità e gli organismi pubblici
- Strutture sanitarie: cliniche, poliambulatori, RSA, laboratori (trattano dati di salute su larga scala)
- Organizzazioni che monitorano sistematicamente persone su larga scala
- Chi tratta dati particolari (salute, origine etnica, orientamento sessuale) su larga scala
PERCHÉ IL DPO ESTERNO CONVIENE
- Competenza specializzata senza il costo di una figura interna a tempo pieno
- Indipendenza garantita: il DPO deve essere libero da conflitti di interesse (art. 38 GDPR)
- Aggiornamento continuo incluso: segue l'evoluzione normativa per te
- Scalabilità: si adatta alle esigenze reali dell'organizzazione nel tempo
Il DPO non è un adempimento burocratico.
È il presidio che garantisce che la tua organizzazione conosca i propri rischi, li gestisca correttamente e sia in grado di dimostrarlo, sempre.
Approfondimento: I requisiti del DPO secondo il GDPR
Il GDPR (artt. 37–39) stabilisce i compiti specifici del DPO:
Informazione e consulenza — Il DPO informa e consiglia il titolare del trattamento, i responsabili e i dipendenti in merito agli obblighi derivanti dal GDPR e dalla normativa applicabile.
Sorveglianza — Monitora il rispetto del GDPR, di altre disposizioni dell’UE o degli Stati membri e delle politiche del titolare in materia di protezione dei dati personali, inclusa l’attribuzione delle responsabilità.
Valutazione d’impatto (DPIA) — Fornisce pareri sulla valutazione d’impatto sulla protezione dei dati e ne sorveglia lo svolgimento, ove richiesto.
Cooperazione con il Garante — Funge da punto di contatto con il Garante per la Protezione dei Dati Personali per tutte le questioni connesse al trattamento.
Il DPO deve possedere una conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. Non è richiesta una specifica qualifica formale, ma il GDPR richiede che il DPO sia in grado di assolvere i propri compiti in modo indipendente.
Parliamo della tua situazione.
Per questo esiste la call gratuita: per capire insieme cosa ha senso fare nel tuo caso specifico.
ti risponderò entro 24 ore · nessun costo · nessun impegno · tutta Italia
Preferisci scrivere? clicca qui