Benchmark GDPR 2026: punteggi di maturità per settore

Cerca "punteggio di maturità GDPR per settore" e troverai un mucchio di tabelle piene di numeri — e quasi nessuna che dica da dove arrivano davvero quei numeri. Nessuna autorità di controllo, e nessuna società di ricerca, pubblica un punteggio di maturità GDPR verificato per SaaS, ospitalità, sanità, e-commerce, servizi finanziari e servizi professionali, messi a confronto. Quindi ne abbiamo costruito uno, a partire da due dataset che esistono davvero e sono pubblicati in modo indipendente: il 2026 Data Breach Investigations Report di Verizon, e il GDPR Enforcement Tracker Report 2026 di CMS. Questo articolo mostra la classifica risultante, la formula esatta che c'è dietro e — cosa più importante — ogni punto in cui la formula deve piegarsi per far entrare sei settori in dati che non erano pensati per questo confronto.

La classifica

Ogni settore riceve un punteggio da 0 a 100, costruito su due componenti: quanto spesso un incidente di sicurezza monitorato è effettivamente diventato una violazione di dati confermata in quel settore (Verizon), e quanto spesso le autorità hanno effettivamente inflitto una sanzione GDPR a quel settore (CMS). Entrambe sono normalizzate rispetto agli altri cinque settori qui — un punteggio è una posizione relativa all'interno di questo specifico confronto tra sei settori, non un voto di promozione/bocciatura in termini assoluti.

Servizi finanziari ottiene il punteggio più alto su entrambe le componenti; e-commerce il più basso su entrambe. Ospitalità e servizi professionali si basano ciascuno su una sola componente — vedi sotto.

Come è costruito il punteggio

Due componenti, ciascuna con fonte indipendente, ciascuna normalizzata da 0 a 100 sui sei settori, poi mediate.

Componente A — Gravità degli incidenti di sicurezza. Fonte: il 2026 Data Breach Investigations Report di Verizon (19ª edizione, che copre gli incidenti da novembre 2024 a ottobre 2025, classificati per codice di settore NAICS). Per ogni settore, è la quota di incidenti di sicurezza monitorati che sono degenerati in una violazione di dati confermata — quanto spesso un evento di sicurezza si traduce davvero in una divulgazione non autorizzata una volta che si verifica.

Componente B — Esposizione all'applicazione del GDPR. Fonte: il GDPR Enforcement Tracker Report 2026 di CMS (7ª edizione, con dati aggiornati all'1 marzo 2026, che monitora 3.202 sanzioni per un totale di 6,31 mld di €). Per ogni settore, è il numero di sanzioni GDPR inflitte finora nella categoria settoriale CMS più vicina — quanto spesso le autorità agiscono davvero contro quel settore.

Punteggio composito = la media della Componente A e della Componente B, ciascuna normalizzata min-max sui sei settori. Dove per un settore è disponibile solo una componente utilizzabile, il punteggio composito si basa unicamente su quella componente.

Settore per settore

1. Servizi finanziari — 78/100

Il settore con le migliori prestazioni su entrambe le misure. Il dataset Verizon 2026 mostra che i servizi finanziari convertono solo 1 incidente monitorato su 3 in una violazione confermata — il 34%, di gran lunga il tasso più basso tra tutti i settori qui presenti — pur collocandosi a metà classifica per volume di applicazione del GDPR: 307 sanzioni per un totale di 87,6 mln di € nella categoria CMS Finance, Insurance and Consulting.

2. Ospitalità — 68/100 (sostituto regionale)

Il minor numero di sanzioni GDPR tra tutti i settori monitorati da CMS — 91 in totale, 22,7 mln di € complessivi. Ma due terzi di esse (53 su 91) derivano da un'unica mancanza ricorrente: la videosorveglianza illecita in ristoranti, bar e hotel. Si tratta di una singola lacuna di controllo, risolvibile, non di un problema di conformità diffuso. Verizon non ha pubblicato un report a sé stante per l'ospitalità nel rapporto 2026, quindi la componente sicurezza di questo punteggio sostituisce con la media regionale EMEA complessiva del rapporto — segnalato qui e nella tabella dati più sotto.

3. SaaS e tecnologia — 53/100 (sostituto ampio)

A metà classifica su entrambe le misure prese singolarmente — ma il numero di applicazione principale del settore, circa 4,0 mld di € di sanzioni cumulative nella categoria CMS Media, Telecoms and Broadcasting, è dominato da una manciata di casi su scala da grande piattaforma (Meta e TikTok ne rappresentano la maggior parte). Contato per numero di azioni di applicazione anziché in euro, il settore appare anonimo; contato per importo totale sanzionato, appare catastrofico. È esattamente questo divario il motivo per cui questo punteggio usa il numero di sanzioni, non l'importo totale — vedi Limiti.

4. Servizi professionali — 40/100 (una sola componente)

CMS non ha una categoria di applicazione dedicata a società di consulenza, studi legali, commercialisti o altre società di servizi professionali — la categoria più vicina le raggruppa con i servizi finanziari, il che conterebbe due volte le stesse sanzioni su due settori. Questo punteggio si basa quindi solo sui dati di sicurezza Verizon: 2.558 violazioni confermate su 3.578 incidenti monitorati, un tasso di conversione del 71%.

5. Sanità — 33/100

Quasi ogni incidente di sicurezza monitorato nel dataset sanità di Verizon è diventato una violazione confermata — 1.438 su 1.492, un tasso di conversione del 96%, il più alto tra tutti i settori qui presenti. In parte ciò riflette obblighi di notifica rigorosi che svolgono il loro compito, più che una sicurezza singolarmente debole (maggiori dettagli più sotto) — ma lascia comunque alla sanità il minor margine di errore non appena inizia un incidente. CMS ha monitorato 265 sanzioni GDPR contro il settore, per un totale di 32,3 mln di €.

6. E-commerce — 12/100 (sostituto ampio)

Il punteggio più basso in questo confronto, su entrambe le componenti: il settore GDPR sanzionato più intensamente e frequentemente per numero di casi — 588 sanzioni, 394 mln di € in totale, nella categoria CMS Industry and Commerce — a cui si aggiunge un tasso di conversione delle violazioni dell'81%, ben sopra la media. Quella categoria CMS è più ampia del puro e-commerce, il che probabilmente trascina parte di quel peso da casi limitrofi di vendita al dettaglio e manifattura.

I dati alla base

Nessuno di questi sei settori corrisponde esattamente al sistema di categorie proprio di nessuna delle due fonti. La tabella sotto mostra esattamente quale categoria pubblicata è stata usata come sostituto per ciascun settore obiettivo.

* Verizon non ha pubblicato un report a sé stante per Accommodation & Food Services (NAICS 72) nel rapporto 2026; i dati mostrati sono la media regionale EMEA complessiva del rapporto, usata come sostituto più vicino dalla stessa fonte. † CMS non ha una categoria di applicazione dedicata ai servizi professionali/di consulenza separata dai servizi finanziari.

Da leggere prima di citare questi dati

• Queste sono corrispondenze sostitutive, non equivalenze esatte. Nessuna delle due fonti pubblica dati per "SaaS", "e-commerce" o "servizi professionali" in quanto tali — ogni settore obiettivo è approssimato con la categoria pubblicata più vicina, e questa approssimazione è imperfetta in entrambe le direzioni.
• L'ospitalità non ha un report DBIR a sé stante nel 2026. Il suo dato di gravità sicurezza è la media regionale EMEA complessiva del rapporto, non un numero specifico per il settore alberghiero.
• I servizi professionali non hanno una categoria di applicazione GDPR dedicata nella tassonomia di CMS, quindi quel punteggio si basa solo sui dati di sicurezza Verizon.
• È il numero di sanzioni, non il loro importo totale, a determinare la Componente B — nello specifico per evitare che tre casi su scala da grande piattaforma (due contro Meta, uno contro TikTok) facciano dipendere il punteggio di un intero settore da tre aziende non rappresentative dell'azienda tipica di quel settore.
• Un alto tasso di conversione delle violazioni non è puramente un fallimento della sicurezza. I settori con obblighi di notifica rigorosi — in particolare la sanità — confermano una quota più alta di incidenti come violazioni quasi per definizione. Lo stesso rapporto Verizon avverte che i confronti tra settori sono condizionati da "requisiti normativi e di segnalazione variabili" e da dimensioni del campione diverse per settore.
• I punteggi sono relativi a questo specifico confronto tra sei settori, non un giudizio assoluto di conformità, e nulla di tutto ciò sostituisce un vero audit condotto da un DPO per una singola organizzazione.

In sintesi

Servizi finanziari ed e-commerce si trovano agli estremi opposti di questa classifica per un motivo davvero interessante: i servizi finanziari mostrano il tasso di conversione delle violazioni più basso tra tutti i settori monitorati da Verizon, mentre l'e-commerce cumula sia un alto tasso di conversione sia il maggior numero di casi di applicazione del GDPR. Nessuno dei due estremi riguarda davvero "quanto" un'azienda tipica di quel settore sia conforme al GDPR sulla carta — riguarda il modo in cui il volume di dati e incidenti di ciascun settore interagisce con autorità che lo monitorano attivamente. Il numero che vale la pena trarre da questo articolo non è la posizione in classifica del tuo settore. È la riga della tabella dati che assomiglia di più alla tua attività.

Prenota una consulenza gratuita con GDPRGard →

Fonti

• Verizon — 2026 Data Breach Investigations Report (sintesi, approfondimenti Healthcare e Retail)
• CMS — GDPR Enforcement Tracker Report 2026 (edizione 2025/2026, dati aggiornati all'1 marzo 2026)
• DLA Piper — GDPR Fines and Data Breach Survey, gennaio 2026
• Cisco — 2026 Data and Privacy Benchmark Study

Leggi anche:

• GDPR nel 2026: sanzioni record, una riforma in corso, e cosa fare ora
• Dimentica il regolamento IA — il GDPR già oggi multa le aziende per errori legati all'IA
• Il Digital Omnibus dell'UE nel dettaglio: cosa cambia davvero per il GDPR, e cosa si è appena bloccato