Siamo nel 2026. Il GDPR non è più novità, eppure continua a sorprendere le PMI italiane con sanzioni che avrebbero potuto evitare. Non per mancanza di volontà, ma per una combinazione di fraintendimenti, procrastinazione e sottovalutazione del rischio.
In questi anni di assessment e audit presso decine di aziende, abbiamo visto ricorrere gli stessi errori, sempre gli stessi. Errori che non sono tecnici, ma organizzativi e culturali. Errori che costano caro, sia in termini di multa che di reputazione.
Questo articolo raccoglie i 5 sbagli più frequenti che vediamo ancora oggi nelle PMI e nelle PA, e soprattutto come rimediare, concretamente.
1. Confondere il GDPR con la cybersecurity (e trascurare entrambi)
Il primo errore è pensare che il GDPR sia un problema di IT, da delegare al tecnico che gestisce i server. Non è così.
Il GDPR è un framework di governance dei dati. La cybersecurity è uno strumento per proteggerli. Sono complementari, non sinonimi.
Molte PMI investono in firewall e antivirus (giusto), ma poi non hanno:
- Un registro dei trattamenti documentato
- Una policy di accesso ai dati chiara
- Un processo per rispondere alle richieste di diritti degli interessati
- Una procedura di data breach notification
Come rimediare: Il GDPR inizia dalla mappatura. Prima di qualsiasi strumento, rispondi a queste domande: quali dati trattiamo? Chi vi accede? Per quanto tempo li conserviamo? Chi sono i responsabili? Documenta tutto. Solo dopo, proteggi con la tecnologia.
2. Non avere un Data Protection Officer (o averne uno “fantasma”)
L’articolo 37 del GDPR è chiaro: se sei una PA o tratti dati su larga scala, devi designare un DPO. Molte PMI lo fanno sulla carta, ma il DPO non ha tempo, budget, o accesso alle decisioni aziendali.
Il risultato? Un ruolo che esiste formalmente ma non funziona. E quando arriva il Garante, la responsabilità ricade comunque su di te.
Come rimediare: Se hai designato un DPO (interno o esterno), assicurati che:
- Abbia accesso diretto al management
- Riceva risorse sufficienti (tempo, budget, strumenti)
- Sia coinvolto nelle decisioni che impattano i dati (nuovi progetti, fornitori, policy)
- Possa operare in indipendenza, senza conflitti di interesse
Se sei una PMI piccola e non rientra negli obblighi, almeno designa un referente interno per la compliance. Non lasciare il tema orfano.
3. Avere consensi “generici” e non specifici
Questo è classico: un checkbox in fondo alla pagina di registrazione che dice “accetto la privacy policy”. Boom, consenso raccolto.
No. Il GDPR richiede consensi granulari, liberi, specifici e informati. Se usi i dati per email marketing, analytics e profilazione, servono tre consensi separati, ognuno con una descrizione chiara di cosa farai con quei dati.
Senza questo, il Garante considera il consenso invalido, e tu sei esposto a sanzioni.
Come rimediare: Rivedi i tuoi moduli di consenso. Ogni finalità di trattamento deve avere una checkbox separata. Scrivi in linguaggio semplice, non in legalese. Conserva prove del consenso (timestamp, IP, versione della policy). Se usi cookie, implementa un banner conforme (no cookie wall).
4. Non gestire correttamente i dati dei dipendenti e dei fornitori
Molte PMI pensano che il GDPR riguardi solo i clienti. Sbagliato. I dati dei dipendenti, dei fornitori, dei candidati sono ugualmente protetti.
Eppure vediamo ancora:
- Elenchi di email dei dipendenti condivisi in CC (non BCC) nelle comunicazioni aziendali
- CV dei candidati conservati senza una base legale e senza informativa
- Dati di fornitori gestiti in fogli Excel non protetti
- Accesso ai dati personali senza necessità (il principio di minimizzazione)
Come rimediare: Applica il GDPR anche internamente. Crea policy chiare per:
- Come gestire i dati dei dipendenti (accesso, conservazione, cancellazione)
- Come trattare i CV (se non assumi, cancella dopo 6 mesi)
- Come condividere dati con fornitori (contratti di trattamento, NDA)
- Chi ha accesso a cosa (principio del least privilege)
5. Non avere un piano per rispondere ai data breach
Un data breach non è una questione di “se” ma di “quando”. Eppure molte PMI non hanno un piano per gestirlo.
Quando accade (un ransomware, un account compromesso, un file lasciato online), il panico prende il sopravvento. E in quel caos, si commettono errori che peggiorano la situazione: non si notifica il Garante in tempo, non si comunicano i rischi agli interessati, non si raccolgono le prove.
Risultato: multa doppia, perdita di fiducia, danno reputazionale.
Come rimediare: Crea un incident response plan. Deve contenere:
- Chi contattare (IT, management, legale, Garante)
- Come rilevare il breach (log, alert, segnalazioni)
- Come contenere il danno (isolamento, backup)
- Come notificare (timeline: 72 ore al Garante, senza indebito ritardo agli interessati)
- Come documentare tutto (fondamentale per la difesa)
Fai un drill almeno una volta all’anno. Non basta scrivere il piano, devi praticarlo.
Bonus: il falso mito della “conformità una tantum”
Un errore trasversale: pensare che il GDPR sia un progetto con una fine. “Facciamo l’audit, sistemiamo tutto, e poi siamo a posto.”
No. Il GDPR è un processo continuo. Le tecnologie cambiano, i tuoi trattamenti evolvono, le minacce aumentano. La conformità richiede monitoraggio costante, aggiornamenti periodici, formazione ricorrente.
Le aziende che gestiscono bene il GDPR lo vedono come un vantaggio competitivo, non come un costo. Perché la fiducia dei clienti vale più di qualsiasi multa evitata.
Cosa fare adesso
Se riconosci la tua azienda in uno di questi errori, non sei solo. E non è troppo tardi per correggerli.
Il primo passo è sempre lo stesso: una mappatura onesta dello stato attuale. Cosa stai facendo bene? Dove sei esposto? Quali rischi puoi permetterti di ignorare, e quali no? Non serve indovinare: bastano poche ore di assessment per saperlo con certezza.
Scopri dove sei esposto: richiedi la verifica di conformità al GDPR
Leggi anche: Perché una boutique legaltech: sicurezza e diritto sotto lo stesso tetto · Wazuh: il SIEM open source che porta il SOC alla portata delle PMI · NIS2: sei davvero fuori dal perimetro?
