Una VPN è obbligatoria secondo il GDPR?

Molte aziende europee credono che l'uso di una rete privata virtuale (VPN) sia un obbligo di legge previsto dal Regolamento generale sulla protezione dei dati. È un equivoco molto diffuso — e comprensibile, dato che fornitori di VPN, vendor IT e persino alcuni blog di settore ripetono l'affermazione senza mai rimandare al testo reale della norma.

Il GDPR non impone esplicitamente a ogni azienda europea di usare una VPN. Richiede invece alle organizzazioni di attuare misure tecniche e organizzative adeguate per proteggere i dati personali, scelte in base ai rischi delle proprie specifiche attività di trattamento. Una VPN può essere una di queste misure. Non è mai l'intera risposta.

Il mito: «Abbiamo una VPN, quindi siamo conformi»

Cerca «obbligo VPN GDPR» e troverai numerose pagine che lasciano intendere che la VPN sia una casella da spuntare su un modulo di conformità. Non lo è. Da nessuna parte nel Regolamento (UE) 2016/679 una VPN, o qualsiasi altro prodotto specifico, è resa obbligatoria. Il regolamento è deliberatamente neutrale dal punto di vista tecnologico — indica alle organizzazioni quale risultato devono raggiungere, non quale strumento acquistare.

Questa distinzione conta più di quanto sembri. Una mentalità da checklist («abbiamo comprato una VPN, siamo a posto») è esattamente il tipo di approccio formale da cui il GDPR intendeva allontanarsi. Le autorità di controllo valutano se le misure adottate fossero adeguate al rischio reale — non se sia stato acquistato un prodotto specifico.

Cosa richiede davvero l'art. 32 del GDPR

La disposizione chiave è l'art. 32 — Sicurezza del trattamento. Richiede a titolari e responsabili del trattamento di attuare un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché della probabilità e gravità del rischio per le persone interessate.

L'art. 32, paragrafo 1, elenca specificamente quattro categorie di misure che le organizzazioni devono considerare:

• La pseudonimizzazione e la crittografia dei dati personali
• La riservatezza, integrità, disponibilità e resilienza permanenti dei sistemi di trattamento
• La capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati dopo un incidente
• Una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure di sicurezza

Nota cosa non compare in quell'elenco: la VPN, nominata come tale. Questo significa che la conformità GDPR non può essere ridotta a una regola semplice del tipo «abbiamo una VPN, quindi siamo conformi al GDPR». L'art. 32 chiede un risultato — una sicurezza adeguata, basata sul rischio — e lascia la scelta degli strumenti all'organizzazione.

Quando una VPN diventa una misura adeguata?

Pur non essendo universalmente obbligatoria, una VPN può senz'altro costituire una misura di sicurezza adeguata non appena si osserva il reale profilo di rischio di un'organizzazione. Si pensi a un'azienda i cui dipendenti lavorano regolarmente da remoto e accedono a database clienti, sistemi HR, piattaforme CRM o applicazioni interne contenenti dati personali. Connettersi tramite Wi-Fi pubblico non protetto — in un bar, un aeroporto, un hotel o uno spazio di coworking — espone quel traffico a rischi di intercettazione che una rete d'ufficio chiusa non ha.

I dati lo confermano. Ricerche di settore recenti stimano che il 52% degli incidenti di sicurezza del 2025 abbia coinvolto il dispositivo o la connessione di un lavoratore da remoto, con il 78% delle organizzazioni che ha segnalato almeno un incidente di sicurezza legato al lavoro da remoto nell'ultimo anno. Separatamente, circa il 29% dei lavoratori da remoto ammette di usare il Wi-Fi pubblico per lavoro senza VPN almeno una volta al mese. Le violazioni con una componente di lavoro da remoto costano anche di più e richiedono più tempo per essere contenute — un'analisi stima il divario in 1,07 milioni di dollari in più in media e 58 giorni in più per il contenimento.

Anche i regolatori europei sono stati espliciti su questo punto. Le linee guida dell'EDPB sul telelavoro raccomandano di predisporre una VPN per evitare di esporre direttamente i servizi interni a internet, con autenticazione a due fattori sulla connessione VPN stessa dove possibile. ENISA va oltre, raccomandando che le applicazioni aziendali siano raggiungibili solo tramite canali crittografati come VPN SSL o IPSec, combinati con l'autenticazione multifattore sul portale di accesso.

In altre parole: i regolatori non dicono «compra una VPN». Dicono «metti in sicurezza l'accesso remoto ai dati personali, ed ecco un controllo che svolge bene questo compito». Una VPN configurata correttamente crea un canale di comunicazione protetto tra il dispositivo di un dipendente e i sistemi aziendali — ma resta un solo livello, non l'intera barriera.

VPN non equivale a conformità GDPR

Questa distinzione è fondamentale per le aziende europee. Un'azienda potrebbe distribuire una VPN di livello enterprise a tutto il personale e continuare a non soddisfare le aspettative di sicurezza del GDPR se le mancano:

• L'autenticazione multifattore
• Controlli degli accessi solidi basati sui ruoli
• Una crittografia adeguata dei dati a riposo, non solo in transito
• Il monitoraggio della sicurezza e la registrazione dei log
• Una gestione regolare delle vulnerabilità e delle patch
• La formazione dei dipendenti su sicurezza e phishing
• Procedure di backup e disaster recovery
• Un processo documentato di risposta agli incidenti
• Test di sicurezza regolari (art. 32, par. 1, lett. d)
• Politiche adeguate e registri delle attività di trattamento

Una VPN non protegge automaticamente un'azienda da phishing, malware, credenziali rubate, dispositivi compromessi, permessi eccessivi dei dipendenti o applicazioni di terze parti mal protette — e il phishing resta, secondo alcune stime, il principale vettore di attacco iniziale contro i lavoratori da remoto, coinvolto in circa il 43% dei tentativi di violazione del 2025. Una VPN cifra il tubo; non fa nulla riguardo a ciò che vi transita se una credenziale è già stata rubata.

Come appare davvero l'applicazione della norma

È utile vedere quanto costano in pratica le «misure di sicurezza inadeguate», perché i casi relativi all'art. 32 raramente ruotano attorno all'assenza di una VPN in particolare — ruotano attorno all'assenza di una sicurezza proporzionata nel complesso. Le sanzioni GDPR cumulative nell'UE hanno ormai superato circa 7,1 miliardi di euro, di cui circa 1,2 miliardi di euro solo nel 2025, e le autorità di protezione dei dati registrano oggi una stima di 443 notifiche di violazione al giorno — un aumento del 22% su base annua. Un esempio spesso citato è la multa da 27 milioni di euro alla telco francese Free Mobile, un caso costruito direttamente su violazioni degli art. 5(1)(f) e 32, e non sull'assenza di un singolo prodotto.

Lo schema seguito dai regolatori è costante: una violazione fa scattare un'indagine, ma la sanzione dipende dal fatto che le misure di sicurezza in essere fossero adeguate al rischio — non dall'assenza di un particolare strumento nominato. Una VPN può ridurre la probabilità dell'incidente scatenante. Da sola non può soddisfare lo standard che gli investigatori applicano realmente.

Abbinare una VPN a un controllo degli accessi solido

La conformità GDPR non riguarda solo la crittografia del traffico — riguarda anche chi può accedere ai dati in primo luogo. Le password deboli o riutilizzate restano una delle cause profonde più comuni delle violazioni di dati, con o senza VPN. Abbinare una VPN a un gestore di password rafforza:

• L'igiene delle credenziali in tutto il team
• La gestione degli accessi e l'applicazione del principio del privilegio minimo
• La protezione dagli attacchi di credential stuffing
• La conformità all'art. 25 — la protezione dei dati fin dalla progettazione e per impostazione predefinita

Insieme, una connessione crittografata e un controllo degli accessi disciplinato formano una postura di sicurezza basata sul rischio molto più credibile di ciascuna misura presa singolarmente.

Allora, la tua azienda dovrebbe usare una VPN?

La domanda giusta secondo il GDPR non è mai stata «Una VPN è obbligatoria?». È piuttosto:

Per alcune organizzazioni — team da remoto o ibridi, aziende che trattano dati dei clienti su reti pubbliche, o società con personale che viaggia spesso — una VPN è una parte davvero importante di quella risposta. Per altre, un'architettura di sicurezza alternativa (accesso zero-trust, endpoint irrobustiti, un assetto interamente basato in ufficio con una rete chiusa) può offrire una protezione equivalente o superiore senza alcuna VPN.

Il GDPR segue un approccio basato sul rischio, non un approccio da checklist. Una misura di sicurezza merita il proprio posto perché affronta efficacemente un rischio identificato — non perché suona sicura su una pagina di vendita.

In sintesi

No, il GDPR non rende obbligatorio l'uso di una VPN per ogni azienda europea. Ma se la tua organizzazione tratta dati personali da remoto, opera su più sedi, si affida a reti pubbliche o dà ai dipendenti accesso remoto a sistemi sensibili, una VPN può essere una misura tecnica e organizzativa molto preziosa. In definitiva, la conformità GDPR consiste nel dimostrare che la tua organizzazione ha valutato i propri rischi e attuato controlli di sicurezza proporzionati a tali rischi — una VPN può sostenere questo obiettivo, ma non può garantirlo da sola.

Prenota una consulenza gratuita con GDPRGard →

Leggi anche:

• Come una VPN rafforza la conformità GDPR nel 2026: una guida pratica
• Perché ogni azienda SaaS ha bisogno di una DPIA prima delle funzioni IA
• GDPR nel 2026: sanzioni record, una riforma in corso, e cosa fare ora