Il Regolamento Generale sulla Protezione dei Dati (UE 2016/679) è entrato in vigore il 25 maggio 2016 ed è diventato pienamente applicabile il 25 maggio 2018. Nel 2026, a quasi dieci anni dalla sua entrata in vigore e a otto anni dalla piena applicabilità, ci si aspetterebbe un tessuto imprenditoriale italiano ormai a regime. La realtà, confermata dai piani ispettivi del Garante e dalle sanzioni pubblicate settimana dopo settimana, racconta un’altra storia: moltissime PMI, studi professionali, hotel e aziende del terziario continuano a trattare i dati personali senza le misure minime richieste dalla normativa.
Non si tratta più, come nei primi anni del GDPR, di semplici mancanze formali nell’informativa privacy. Il Garante ha spostato l’attenzione sulla sostanza: sistemi di controllo degli accessi che funzionano davvero, capacità di rilevare anomalie, canali di whistleblowing realmente riservati, misure di sicurezza proporzionate al rischio. Ed è proprio su questi aspetti sostanziali che si concentrano oggi le sanzioni più pesanti.
Chi è soggetto al GDPR
Un equivoco molto diffuso tra i titolari di piccole attività è pensare che il GDPR riguardi solo “le grandi aziende” o chi tratta dati particolarmente sensibili. In realtà il Regolamento si applica a qualunque soggetto, pubblico o privato, che tratti dati personali di persone fisiche residenti nell’Unione Europea, indipendentemente da:
- dimensione dell’organizzazione (vale anche per il libero professionista con un solo dipendente);
- settore merceologico (commercio, sanità, hospitality, call center, edilizia, servizi);
- sede legale, se i dati trattati riguardano persone che si trovano nell’UE;
- natura pubblica o privata dell’ente (comuni, scuole, ASL, associazioni, condomini).
Sono quindi soggetti agli obblighi GDPR: hotel e strutture ricettive che raccolgono dati degli ospiti, call center che trattano liste di contatti per il telemarketing, studi medici e odontoiatrici, negozi con sistemi di videosorveglianza, e-commerce, associazioni sportive, condomini con portineria video-sorvegliata, e ovviamente banche, assicurazioni ed enti pubblici che gestiscono banche dati sensibili.
Il piano ispettivo del Garante per il primo semestre 2026 (provvedimento n. 797 del 30 dicembre 2025) prevede almeno quaranta accertamenti mirati, con il supporto della Guardia di Finanza, focalizzati su enti pubblici, scuole, istituti di credito e su tutte le organizzazioni con più di cinquanta dipendenti tenute ad adottare i canali di whistleblowing previsti dal D.Lgs. 24/2023.
Le sanzioni previste dal Regolamento
L’articolo 83 del GDPR distingue due livelli sanzionatori, applicati in base alla natura, gravità e durata della violazione:
| Livello | Importo massimo | Esempi di violazione |
|---|---|---|
| Primo livello | 10.000.000 € oppure 2% del fatturato globale annuo, se superiore | Misure di sicurezza inadeguate, mancata tenuta del registro dei trattamenti, obblighi del titolare/responsabile non rispettati |
| Secondo livello | 20.000.000 € oppure 4% del fatturato globale annuo, se superiore | Violazione dei principi base del trattamento, mancanza di una base giuridica valida, violazione dei diritti degli interessati |
Oltre alle sanzioni pecuniarie, il Garante può disporre misure correttive (ammonimenti, ordini di conformazione, blocco del trattamento) e, in Italia, il Codice Privacy mantiene alcune fattispecie di natura penale per condotte particolarmente gravi, come il trattamento illecito di dati (art. 167) o la comunicazione e diffusione illecita (art. 168), con pene che possono arrivare alla reclusione.
Sanzioni recenti: la fotografia del 2026
I provvedimenti pubblicati dal Garante negli ultimi mesi mostrano bene quanto il rischio sia concreto per aziende di ogni dimensione, non solo per i grandi gruppi:
- Enel Energia – 79,1 milioni di euro (febbraio 2024) per telemarketing selvaggio basato su liste acquisite senza consenso valido e per lacune nei sistemi che hanno permesso l’attivazione di contratti non richiesti;
- Intesa Sanpaolo – 31,8 milioni di euro (marzo 2026) per un data breach interno: un dipendente ha effettuato accessi non autorizzati per oltre due anni senza che la banca se ne accorgesse, con violazione degli obblighi di sicurezza e di notifica agli interessati;
- Poste Italiane e Postepay – oltre 12,5 milioni di euro (aprile 2026);
- The European House – Ambrosetti – 85.000 euro (maggio 2026) per un data breach che ha coinvolto oltre 61.000 persone, con password conservate in chiaro e comunicazione tardiva agli interessati;
- Azienda Ospedaliero-Universitaria Careggi – 80.000 euro per violazioni nella gestione del dossier sanitario;
- Sanzioni comprese tra i 50.000 e i 400.000 euro per PMI e realtà minori, spesso legate a videosorveglianza senza cartelli informativi, email aziendali gestite senza policy chiare o marketing basato su liste non consensate.
Il dato interessante per una PMI o per un call center è proprio l’ultimo punto: le sanzioni non colpiscono solo le multinazionali. Basta una telecamera senza cartello, un backup della posta elettronica aziendale attivato senza accordo sindacale, o una retention delle email troppo lunga (il Garante ha giudicato eccessivo un periodo di conservazione di 5 anni) per incorrere in un procedimento sanzionatorio.
⚠️ Attenzione: il Garante ha chiarito che gli account di posta elettronica individualizzati (nome.cognome@azienda.it) rientrano nella sfera personale del dipendente. Backup della posta e log di navigazione sono equiparati a strumenti di controllo a distanza e richiedono un accordo sindacale preventivo o l’autorizzazione dell’Ispettorato del Lavoro, ai sensi dell’art. 4 dello Statuto dei Lavoratori. Molte aziende, anche di piccole dimensioni, sono oggi esposte su questo fronte senza saperlo.
Perché tante aziende sono ancora indietro
Dopo quasi dieci anni, le cause del mancato adeguamento sono in genere sempre le stesse: il GDPR viene visto come un adempimento cartaceo da archiviare una volta fatto, e non come un processo da mantenere nel tempo. Cambiano i fornitori, si aggiungono nuovi strumenti (spesso basati su intelligenza artificiale), si aprono nuovi canali di raccolta dati, ma l’informativa e il registro dei trattamenti restano fermi a qualche anno prima. Nel frattempo il Garante ha alzato l’asticella: non basta più “avere i documenti”, bisogna dimostrare che le misure funzionano davvero.
Cosa fare e cosa evitare
| ✅ FARE | ❌ NON FARE |
|---|---|
| Aggiornare il registro dei trattamenti ogni volta che cambia un fornitore, un software o una finalità di trattamento | Considerare il registro dei trattamenti un documento “fatto una volta e chiuso” |
| Verificare che i sistemi di controllo accessi rilevino davvero le anomalie (log, alert, revisioni periodiche) | Fidarsi ciecamente delle dichiarazioni dei fornitori IT senza test o verifiche periodiche |
| Segnalare la videosorveglianza con cartelli conformi e conservare le informative aggiornate | Installare telecamere “provvisorie” senza informativa, anche solo per pochi giorni |
| Definire tempi di conservazione (retention) proporzionati per email, log e backup | Conservare email e log per anni “perché non si sa mai” |
| Notificare un data breach entro 72 ore e informare tempestivamente gli interessati se il rischio è elevato | Aspettare settimane o mesi prima di avvisare i clienti coinvolti in una violazione |
| Richiedere un accordo sindacale o l’autorizzazione dell’Ispettorato del Lavoro prima di attivare backup email o log di navigazione | Attivare strumenti di controllo a distanza senza le autorizzazioni previste dallo Statuto dei Lavoratori |
| Verificare la catena di consensi di ogni lista contatti acquistata o ceduta da terzi per il marketing | Utilizzare liste di contatti acquisite da agenzie esterne senza verificarne la provenienza e il consenso |
Conclusione
A quasi dieci anni dall’entrata in vigore del GDPR, il messaggio del Garante è chiaro: la fase delle verifiche puramente formali è finita. Oggi le ispezioni puntano alla sostanza, e le sanzioni — dalle decine di migliaia di euro per una PMI fino alle decine di milioni per i grandi gruppi — colpiscono chi non riesce a dimostrare che le proprie misure di sicurezza e organizzative funzionano davvero. Per qualunque azienda, indipendentemente dalle dimensioni, una revisione periodica dell’assetto privacy non è più rimandabile: è parte integrante della gestione del rischio d’impresa.
