Il GDPR e in vigore dal 25 maggio 2018, ma secondo il Garante Privacy italiano molte PMI sono ancora lontane dalla conformita piena. Le sanzioni nel 2022 in Europa hanno superato i 2,9 miliardi di euro. Non e piu un rischio teorico.

Errore 1: registro dei trattamenti assente o obsoleto

Il registro delle attivita di trattamento e obbligatorio per la maggior parte delle aziende. Deve documentare: quali dati si raccolgono, perche, per quanto tempo, chi li gestisce, dove vengono trasferiti. Molte aziende lo hanno compilato nel 2018 e non lo hanno mai aggiornato.

Errore 2: cookie banner non conformi

Il Garante italiano ha sanzionato decine di siti per cookie banner che non rispettano i requisiti: consenso pre-spuntato, pulsante rifiuta assente o nascosto, cookie traccianti caricati prima del consenso.

Errore 3: fornitori non censiti come data processor

Ogni fornitore che tratta dati personali per conto dell'azienda deve essere nominato responsabile del trattamento con un contratto specifico (DPA). Cloud provider, software HR, CRM SaaS, newsletter provider: tutti devono avere un DPA firmato.

Errore 4: breach notification trascurata

In caso di violazione dei dati, il GDPR richiede notifica al Garante entro 72 ore dalla scoperta se il breach comporta rischio per le persone. Molte PMI non hanno un processo definito e perdono ore preziose in un momento di emergenza.

Errore 5: formazione del personale inesistente

Il personale che tratta dati personali deve essere formato e consapevole dei rischi. Non basta consegnare una policy: serve formazione periodica, documentata, con test di verifica.