Consulenza GDPR: privacy in regola con i documenti che servono davvero.
Molte aziende hanno informative copiate e un registro mai aggiornato. Ti aiuto a mettere ordine nei trattamenti, a scrivere documenti che rispecchiano la realtà e soprattutto ad applicare misure di sicurezza concrete, perché il GDPR chiede protezione reale, non solo carta.
Il GDPR riguarda chiunque tratti dati personali
Clienti, dipendenti, fornitori, contatti dal sito: quasi ogni attività tratta dati personali e ha obblighi precisi.
PMI e professionisti
Chi decide perché e come trattare i dati: registro, informative, basi giuridiche, sicurezza e gestione delle richieste degli interessati.
Fornitori IT, SaaS, consulenti
Chi tratta dati per conto dei clienti deve garantire sicurezza e sottoscrivere un contratto ex art. 28. È sempre più spesso un requisito per vincere i clienti.
Chi usa l'intelligenza artificiale
Inserire dati di clienti o dipendenti in strumenti di IA richiede base giuridica, informazione, contratti con il fornitore e spesso una valutazione d'impatto (DPIA).
Dalla mappatura alla privacy che funziona
Le durate sono indicative per una PMI e dipendono dal numero e dal tipo di trattamenti.
Mappatura dei trattamenti
Quali dati tratti, perché, dove si trovano, chi vi accede e a chi li trasmetti.
Registro e basi giuridiche
Registro dei trattamenti (art. 30), basi giuridiche e tempi di conservazione per ogni finalità.
Informative, nomine e contratti
Informative per clienti, dipendenti e sito; autorizzazioni del personale; contratti art. 28 con i fornitori.
Misure tecniche e data breach
Controlli di sicurezza proporzionati (art. 32), procedura e registro dei data breach (artt. 33–34).
DPIA e trasferimenti extra-UE
Valutazioni d'impatto dove necessarie e verifica dei trasferimenti verso fornitori fuori dall'UE.
Revisione e formazione
Aggiornamento del registro, verifica delle misure e formazione del personale.
Il "Digital Omnibus" proposto dalla Commissione nel novembre 2025 potrebbe cambiare alcune regole (ad esempio i tempi di notifica dei data breach e i cookie), ma non è ancora legge: oggi valgono le regole attuali del GDPR.
Consulenza GDPR in sei passi
Gap analysis privacy
Verifica di documenti, processi e misure esistenti rispetto al GDPR e al Codice privacy, con priorità chiare.
Registro dei trattamenti
Un registro vero, leggibile e aggiornabile, che diventa la base per tutto il resto.
Informative e cookie
Informative chiare e un sito conforme alle linee guida del Garante sui cookie, senza banner inutili.
Fornitori e trasferimenti
Contratti art. 28, verifica dei fornitori cloud e dei trasferimenti extra-UE.
Sicurezza e data breach
Misure tecniche concrete, procedura di gestione dei data breach e simulazione delle 72 ore.
Formazione e supporto continuo
Formazione per ruolo e un punto di riferimento quando arrivano richieste degli interessati o dubbi operativi.
GDPR, sicurezza e IA in un unico sistema
La sicurezza è un requisito (art. 32)
Il GDPR chiede misure tecniche e organizzative adeguate al rischio. Qui la mia esperienza in sicurezza delle informazioni (CISSP, ISO 27001) fa la differenza: non solo documenti, ma controlli che funzionano.
Un'unica base documentale
- Registro dei trattamenti e inventario dei sistemi di IA allineati.
- DPIA che rispondono anche ai requisiti dell'AI Act.
- Misure di sicurezza riutilizzabili per NIS2 e ISO 27001.
Cosa si rischia
Violazione di principi, basi giuridiche, diritti degli interessati o regole sui trasferimenti extra-UE.
Violazione degli obblighi di titolare e responsabile: sicurezza, registro, data breach, DPO.
Il Garante può anche limitare o vietare un trattamento: spesso l'impatto più grave per l'attività.
Si applica l'importo più alto. Gli interessati possono inoltre chiedere il risarcimento del danno (art. 82).
GDPR: le domande che mi fanno più spesso
Una piccola azienda deve tenere il registro dei trattamenti?
L'esenzione per chi ha meno di 250 dipendenti vale solo se i trattamenti sono occasionali, non a rischio e senza dati particolari. Chi gestisce dipendenti e clienti in modo continuativo, cioè quasi tutti, deve tenerlo. Ed è comunque la base per dimostrare la conformità.
Devo nominare un DPO?
È obbligatorio per enti pubblici e per chi, come attività principale, monitora persone su larga scala o tratta su larga scala dati particolari. Molte PMI non ne hanno l'obbligo, ma serve comunque una persona di riferimento per la privacy.
Entro quanto va notificato un data breach?
Al Garante entro 72 ore da quando se ne viene a conoscenza, salvo che sia improbabile un rischio per le persone. Se il rischio è elevato vanno avvisati anche gli interessati. Ogni violazione va comunque documentata nel registro interno.
Il cookie banner del mio sito è a norma?
Secondo le linee guida del Garante il rifiuto deve essere facile quanto l'accettazione, lo scroll non vale come consenso e i cookie tecnici non richiedono consenso. Spesso la soluzione migliore è eliminare i tracciamenti superflui, come ho fatto su questo sito.
Usiamo ChatGPT con dati dei clienti: è un problema per il GDPR?
Può esserlo. Servono una base giuridica, un'informativa che lo preveda, un contratto adeguato con il fornitore, la verifica dei trasferimenti extra-UE e regole interne su quali dati inserire. Spesso conviene anonimizzare o usare versioni aziendali dei servizi.
La consulenza è disponibile anche online?
Sì. Lavoro da Bagni di Lucca (LU) con aziende in tutta Italia, in presenza in Toscana e da remoto ovunque.
Fonti: Regolamento (UE) 2016/679, D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018, Linee guida del Garante sui cookie (2021), proposta di Regolamento "Digital Omnibus" (novembre 2025). Contenuto informativo, non costituisce parere legale. Aggiornato a novembre 2026.
Sicurezza e conformità, in un unico percorso
Mettiamo in ordine la tua privacy
Una prima verifica per capire dove sei e cosa serve davvero.