Question 1

Chi deve adeguarsi al GDPR?

Accepted Answer

Tutte le organizzazioni — imprese, professionisti, enti pubblici, associazioni, scuole — che trattano dati personali di persone fisiche nell'Unione Europea, a prescindere dalle dimensioni.

Question 2

È obbligatorio il registro dei trattamenti?

Accepted Answer

Sì, salvo limitate eccezioni. Anche le PMI con meno di 250 dipendenti devono tenerlo quando il trattamento non è occasionale o include dati particolari (es. salute, dati giudiziari).

Question 3

Quando serve una DPIA (valutazione d'impatto)?

Accepted Answer

Quando un trattamento presenta un rischio elevato per i diritti e le libertà degli interessati: ad esempio profilazione su larga scala, videosorveglianza estesa, dati biometrici, sistemi di AI o trattamenti su minori.

Question 4

Quando è necessario il DPO?

Accepted Answer

Quando il trattamento è svolto da un'autorità o organismo pubblico, quando le attività principali richiedono monitoraggio sistematico su larga scala o trattamento su larga scala di dati particolari (art. 37 GDPR).

Question 5

Quanto costa una consulenza privacy?

Accepted Answer

Dipende dalla dimensione dell'organizzazione, dal numero e dalla tipologia di trattamenti. Dopo un primo incontro gratuito propongo sempre un preventivo chiaro e onnicomprensivo, senza voci nascoste.

Question 6

Come si gestisce un data breach?

Accepted Answer

Va valutato entro 72 ore se notificarlo al Garante e, in caso di rischio elevato, anche agli interessati. È fondamentale aver predisposto una procedura interna e un registro delle violazioni.

Question 7

Cosa rischio se non sono in regola con il GDPR?

Accepted Answer

Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, oltre a richieste di risarcimento, blocchi del trattamento e danni reputazionali.

Question 8

Il consenso è sempre necessario?

Accepted Answer

No. Il consenso è solo una delle sei basi giuridiche previste dall'art. 6 GDPR. Spesso il trattamento è legittimo grazie a contratto, obbligo di legge, interesse legittimo o esecuzione di compiti di interesse pubblico.

Question 9

Devo nominare i miei fornitori IT come responsabili del trattamento?

Accepted Answer

Sì, ogni fornitore che tratta dati personali per tuo conto (cloud, gestionali, hosting, agenzie) deve essere nominato responsabile ex art. 28 GDPR con apposito atto giuridico.

Question 10

Il sito web deve avere informativa e cookie banner?

Accepted Answer

Sì. Servono un'informativa privacy completa e, se vengono utilizzati cookie non tecnici, un cookie banner conforme alle linee guida del Garante del 2021.

Question 11

Posso usare modelli scaricati da internet?

Accepted Answer

Sconsigliato. I modelli generici raramente rispecchiano i trattamenti reali e, in caso di controllo, possono peggiorare la posizione del Titolare. La documentazione va costruita sui processi effettivi.

Question 12

Quanto dura un percorso di adeguamento?

Accepted Answer

In media da 6 a 12 settimane per una PMI, in base a complessità e disponibilità interna. Il sistema poi va mantenuto nel tempo con verifiche periodiche.

Question 13

Posso fare formazione privacy online?

Accepted Answer

Sì. Le sessioni online sono valide a tutti gli effetti, vengono registrate e documentate per dimostrare l'adempimento dell'obbligo formativo.

Question 14

Chi è il Titolare del trattamento?

Accepted Answer

È la persona fisica o giuridica che, da sola o insieme ad altri, determina finalità e mezzi del trattamento. Per un'azienda, di norma, coincide con la società stessa.

Question 15

Le scuole devono avere il DPO?

Accepted Answer

Sì. Le istituzioni scolastiche pubbliche e gli enti pubblici in generale sono obbligati a designare un DPO.

Question 16

Posso conservare i CV ricevuti spontaneamente?

Accepted Answer

Sì, ma solo per il tempo necessario alla selezione, con informativa chiara al candidato e una procedura di cancellazione documentata.

Question 17

Le associazioni e gli enti del terzo settore devono adeguarsi?

Accepted Answer

Sì. Anche se non hanno scopo di lucro, trattano dati di soci, donatori, volontari e beneficiari e sono soggette al GDPR.

Question 18

Cosa fare in caso di richiesta di accesso ai dati da parte di un interessato?

Accepted Answer

Va riscontrata entro 30 giorni (prorogabili a 90 in casi complessi) fornendo le informazioni richieste o motivando l'eventuale rifiuto. È utile avere una procedura interna pronta.

Question 19

La videosorveglianza richiede adempimenti specifici?

Accepted Answer

Sì: informativa con cartello, valutazione di necessità e proporzionalità, tempi di conservazione limitati, spesso una DPIA e, in ambito lavorativo, accordo sindacale o autorizzazione.

Question 20

Il DPO può essere interno o esterno?

Accepted Answer

Entrambe le opzioni sono valide. Il DPO esterno garantisce indipendenza, esperienza trasversale e continuità, particolarmente adatto a PMI, scuole ed enti.

Question 21

Cosa include il supporto continuativo?

Accepted Answer

Assistenza telefonica e via email, aggiornamento documentale, gestione data breach, partecipazione a riunioni, formazione periodica e report annuale.

Domande frequenti su privacy e GDPR.

Hai un dubbio specifico?