Uno dei miti più persistenti nel mondo imprenditoriale europeo è questo: «Siamo troppo piccoli perché il GDPR si applichi a noi». Si ripete nei gruppi Facebook, si sussurra tra imprenditori ed è dato per scontato ogni giorno da migliaia di PMI croate ed europee.
È completamente sbagliato.
Il GDPR si applica alla tua azienda indipendentemente da dimensione, fatturato o numero di dipendenti. Se raccogli, memorizzi o tratti dati personali di persone nell'UE — un invio di modulo di contatto, un'iscrizione a una newsletter, un ordine cliente — sei nell'ambito di applicazione. Punto.
Questa guida spiega cos'è davvero il GDPR, cosa richiede in linguaggio semplice, e i 7 passi pratici che ogni piccola impresa deve compiere nel 2026.
Cos'è il GDPR?
Il Regolamento generale sulla protezione dei dati (UE) 2016/679 — GDPR — è una legge dell'Unione Europea entrata in vigore il 25 maggio 2018. Ha sostituito un mosaico di leggi nazionali sulla protezione dei dati con un quadro unico e uniforme su come i dati personali devono essere raccolti, trattati, conservati ed eliminati.
I dati personali sono qualsiasi informazione riferita a una persona vivente identificata o identificabile. Include:
- Nomi, indirizzi email, numeri di telefono
- Indirizzi IP e identificatori dei cookie
- Dati di localizzazione
- Foto e riprese video
- Dati di contatto aziendali (quando usati per rivolgersi a singoli individui)
- Qualsiasi combinazione di dati che potrebbe identificare una persona
Se gestisci un sito con un modulo di contatto, tratti dati personali. Se invii una newsletter, tratti dati personali. Se usi Google Analytics, tratti dati personali. La soglia è bassa — deliberatamente.
Il GDPR si applica alle piccole imprese?
La risposta breve è sì — con un'eccezione ristretta.
L'articolo 30(5) del GDPR prevede un'esenzione limitata dall'obbligo di tenere registri scritti dettagliati delle attività di trattamento per organizzazioni con meno di 250 dipendenti, ma solo se il trattamento è:
- Occasionale (non sistematico o regolare)
- Improbabile che comporti un rischio per gli individui
- Privo di dati di categoria particolare (salute, religione, orientamento sessuale, ecc.)
Quell'esenzione è più ristretta di quanto la maggior parte delle PMI creda. Se invii regolarmente newsletter, gestisci un negozio e-commerce o usi strumenti di analisi, il tuo trattamento è sistematico — non occasionale. L'esenzione non si applica a te.
Tutti gli altri obblighi GDPR si applicano indipendentemente dalla dimensione dell'azienda. Questo include l'obbligo di avere una base giuridica per il trattamento, un'informativa privacy, un meccanismo di consenso ai cookie e la capacità di rispondere alle richieste degli interessati.
I dati sulle sanzioni confermano che non è teorico. Un rapporto 2024 dell'autorità slovacca per la protezione dei dati ha rilevato che il 62% delle multe GDPR di quell'anno sono andate ad aziende con meno di 50 dipendenti, con una multa media di 8.200 €. La multa più alta del periodo era di 94.000 € — inflitta a un negozio e-commerce che aveva gestito male le richieste degli interessati. Non sono cifre da grande impresa, ma sono decisive per una piccola azienda.
Le 7 richieste fondamentali del GDPR per la tua azienda
1. Una base giuridica per ogni attività di trattamento
Secondo l'articolo 6 del GDPR, non puoi trattare dati personali senza una base giuridica valida. Ci sono sei opzioni, ma per la maggior parte delle PMI ne rilevano solo due:
Consenso (art. 6(1)(a)) — La persona ha acconsentito chiaramente e attivamente al trattamento dei propri dati per uno scopo specifico. Serve per iscrizioni a newsletter, email di marketing e cookie non essenziali.
Legittimo interesse (art. 6(1)(f)) — Hai una ragione aziendale genuina che non è superata dai diritti dell'individuo. Si applica a cose come la registrazione base della sicurezza del sito o il trattamento dei dati di un modulo per rispondere a un messaggio.
La parola chiave è specifico. Non puoi usare un linguaggio vago come «per migliorare i nostri servizi». Ogni attività di trattamento ha bisogno del proprio scopo esplicito e documentato. I regolatori esaminano attivamente questo aspetto dal 2024.
2. Un'informativa privacy che spieghi davvero le cose
La tua informativa privacy non è una formalità — è un documento legale richiesto dagli articoli 13 e 14 del GDPR. Deve dire ai visitatori:
- Quali dati personali raccogli e perché
- La base giuridica di ogni attività di trattamento
- Per quanto tempo conservi i dati
- Con chi li condividi (inclusi strumenti di terze parti come Mailchimp, Google Analytics, Stripe)
- I loro diritti secondo il GDPR (accesso, cancellazione, portabilità, opposizione)
- Come contattarti per una richiesta sui dati
- Il diritto di reclamare presso un'autorità di controllo
Un'informativa privacy generica copiata da internet quasi certamente non soddisfa questi requisiti. Deve essere specifica per la tua azienda e per i tuoi flussi di dati reali.
3. Un banner cookie conforme
Se il tuo sito usa cookie oltre a quelli strettamente necessari al funzionamento — e quasi ogni sito lo fa — ti serve un meccanismo di consenso.
Il consenso deve essere libero, specifico, informato e inequivocabile. Questo significa:
- Nessuna casella preselezionata
- Nessun linguaggio tipo «continuando a navigare, acconsenti»
- Un'opzione Rifiuta genuina e altrettanto visibile accanto ad Accetta
- Controlli granulari per categoria di cookie
Lo trattiamo in dettaglio nel nostro articolo complementare: I 5 errori più comuni nei banner cookie.
4. Un meccanismo per i diritti degli interessati
Il GDPR dà agli individui otto diritti sui propri dati personali. I più esercitati sono:
- Diritto di accesso (art. 15): Il diritto di ricevere una copia di tutti i dati personali che detieni su di loro
- Diritto alla cancellazione (art. 17): Il «diritto all'oblio» — richiedere la cancellazione dei propri dati
- Diritto alla portabilità (art. 20): Ricevere i propri dati in un formato leggibile da macchina
- Diritto di opposizione (art. 21): Opporsi al trattamento basato su legittimo interesse
Devi essere in grado di rispondere a queste richieste entro 30 giorni, gratuitamente. Serve un meccanismo chiaro — un indirizzo email dedicato o un modulo web — per inviare richieste. Nasconderlo in una lunga informativa privacy non è sufficiente.
5. Accordi con terze parti (DPA art. 28)
Ogni strumento di terze parti che tratta dati personali per tuo conto — la tua piattaforma email, il tuo CRM, il tuo hosting, il tuo strumento di analisi — è un «responsabile del trattamento» secondo il GDPR. Serve un accordo di trattamento dati (DPA) con ciascuno.
La buona notizia è che la maggior parte dei fornitori SaaS affidabili ha già DPA disponibili nei propri termini di servizio o documentazione legale. Devi verificarli, confermarli e documentarli.
6. Un inventario di cookie e dati
Non puoi proteggere dati di cui non conosci l'esistenza. Il principio di responsabilizzazione del GDPR (art. 5(2)) richiede di poter dimostrare la conformità — cosa che inizia dal sapere quali dati raccogli, dove vanno e per quanto tempo li conservi.
Per la maggior parte delle piccole imprese, è un semplice documento che elenca:
- Quali dati personali raccogli
- Da dove provengono (moduli del sito, email, telefono)
- Chi li tratta (tu, strumenti di terze parti)
- Per quanto tempo li conservi
- Dove sono memorizzati (UE/non-UE)
7. Un piano di risposta alle violazioni
Secondo l'articolo 33 del GDPR, se subisci una violazione di dati personali — un attacco hacker, un'email inviata per errore alla persona sbagliata, un laptop perso — devi notificare la tua autorità di controllo entro 72 ore. In Croazia, è l'AZOP (Agencija za zaštitu osobnih podataka).
Questo non significa avere un team complesso di risposta agli incidenti. Per una piccola impresa significa sapere: cosa costituisce una violazione, chi contattare (AZOP: azop.hr) e quali informazioni includere in una notifica.
Miti comuni sfatati
«Non abbiamo un ufficio nell'UE quindi il GDPR non si applica.»
Sbagliato. Il GDPR si applica a qualsiasi organizzazione che tratta dati di residenti UE, indipendentemente da dove ha sede l'organizzazione. Un'azienda statunitense con clienti UE rientra nell'ambito.
«Raccogliamo solo indirizzi email aziendali, non personali.»
Gli indirizzi email aziendali nel formato firstname.lastname@company.com sono dati personali. Il GDPR si applica.
«Usiamo un banner cookie quindi siamo conformi.»
Avere un banner non equivale ad avere un banner conforme. La maggior parte dei banner cookie che verifichiamo presenta almeno due o tre violazioni. Vedi il nostro articolo sui cookie per i dettagli.
«Il GDPR conta solo per le grandi aziende.»
I dati sulle sanzioni in tutta l'UE mostrano costantemente che le PMI sono sempre più nel mirino. Le autorità slovacca e spagnola per la protezione dei dati hanno inflitto più multe alle piccole imprese che alle grandi nel 2024.
Cosa succede se non ti adegui?
Le conseguenze della non conformità rientrano in tre categorie:
Multe regolatorie — fino a 20 milioni € o il 4% del fatturato annuo globale, a seconda di quale sia maggiore, per violazioni gravi. Per violazioni minori, fino a 10 milioni € o il 2% del fatturato. Per una PMI con 1 milione € di fatturato, il livello superiore rappresenta 40.000 €.
Danno reputazionale — le violazioni dei dati e le azioni di enforcement GDPR sono pubbliche. I tuoi concorrenti, clienti e partner possono vederle.
Rischio contrattuale B2B — i clienti più grandi richiedono sempre più che i loro fornitori e prestatori dimostrino la conformità al GDPR come condizione per fare affari. La non conformità può costarti contratti.
Da dove iniziare
Il punto di partenza più efficace è un audit di conformità — capire cosa fai attualmente, quali sono le lacune e cosa va corretto. Non deve essere costoso o complesso.
Puoi eseguire un audit gratuito del tuo sito ora stesso usando lo strumento in cima a questa pagina. Verifica 10 requisiti GDPR critici in meno di 30 secondi e ti dà un elenco prioritizzato di cosa correggere.
Se vuoi aiuto per implementare le correzioni, o semplicemente qualcuno che riveda la tua informativa privacy e la configurazione dei cookie in linguaggio semplice senza gergo legale — è esattamente ciò che fa GDPRGard. Prenota una consulenza gratuita →
Questo articolo ha scopo informativo e non costituisce consulenza legale. Per situazioni di conformità complesse, consulta un professionista qualificato per la protezione dei dati o un avvocato.
Leggi anche: