Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
«La legge non protegge chi dorme sui propri diritti»: il brocardo vigilantibus iura subveniunt non riguarda solo chi agisce, ma anche chi deve difendersi da una contestazione. Per il titolare del trattamento ai sensi del GDPR, "dormire" significa aver firmato i documenti nel 2018 e non averli più rivisti. Per molte PMI venete, è esattamente questa la situazione.
Il problema non è la malafede. È la percezione distorta di cosa significhi essere "a posto" con il Regolamento UE 2016/679. La compliance GDPR è stata spesso presentata — e venduta — come un evento: si fanno i documenti, si nominano i responsabili, si installa il cookie banner, e il problema è chiuso. La giurisprudenza del 2026 dimostra che questo approccio espone l'impresa a un rischio concreto, misurato in sanzioni che per le PMI si collocano mediamente tra i 2.000 e i 50.000 euro, con punte ben superiori nei casi di violazioni strutturali.
Vale la pena partire da una premessa che gli altri commentatori tendono a trascurare: il piano ispettivo del Garante per il primo semestre 2026 è stato approvato e i controlli proseguono regolarmente nonostante le recenti difficoltà organizzative dell'Autorità. Questo significa che il rischio di essere ispezionati non è teorico. Significa anche che chi non ha aggiornato la propria documentazione dal 2018 o dal 2020 si trova in una posizione di vulnerabilità strutturale.
Il primo errore: credere che i documenti firmati proteggano dalle sanzioni
La prima trappola in cui cadono le PMI è di natura processuale prima ancora che sostanziale. La Corte di Cassazione con la sentenza del 17 gennaio 2026 n. 984 (Pres. Tricomi, Rel. Pazzi) ha sancito il carattere perentorio del termine di 120 giorni per l'esercizio del potere sanzionatorio del Garante Privacy. Questo orientamento è stato confermato anche in sede di merito: con la sentenza n. 205 del 4 marzo 2026, il Tribunale di Bolzano ha dichiarato il Garante per la protezione dei dati personali decaduto dal potere sanzionatorio per superamento dei termini decadenziali, annullando di conseguenza l'ordinanza-ingiunzione oggetto di opposizione.
Questi precedenti sono importanti — e alcuni studi li enfatizzano come una specie di "scudo" a disposizione delle imprese — ma rischiano di trasmettere un messaggio sbagliato. La difesa procedurale sul termine di 120 giorni è uno strumento utile dopo che la sanzione è già stata irrogata. Non sostituisce la prevenzione. La vicenda riveste un interesse generale perché segnala il consolidamento nella giurisprudenza di merito di un indirizzo avviato dalla nota pronuncia Cass., Sez. I, ma è un argomento difensivo, non una garanzia di impunità. La PMI che si affida solo a questo profilo processuale è una PMI che ha già subito il procedimento ispettivo, sopportando i costi legali e il danno reputazionale connessi.
Il punto cruciale è un altro: la sentenza n. 22791/2026 della Cassazione distingue il procedimento di reclamo dal procedimento sanzionatorio del Garante privacy, chiarendo che i ritardi nella conclusione del primo non fanno decadere il potere di irrogare sanzioni. In altri termini, anche se il procedimento si trascina, il potere sanzionatorio rimane integro. La finestra di rischio non si chiude con il tempo.
Il secondo errore che merita attenzione riguarda la gestione delle richieste degli interessati — i cosiddetti DSAR, acronimo di Data Subject Access Request. Nella pratica delle PMI venete, queste richieste arrivano spesso per email, vengono inoltrate al titolare o all'ufficio amministrativo, e restano senza risposta per settimane. Non per malafede, ma perché non esiste una procedura interna codificata.
Su questo punto, la Corte di Giustizia dell'Unione Europea è intervenuta con una pronuncia che cambia il quadro operativo. La sentenza CGUE del 19 marzo 2026 (causa C-526/24) ha confermato che l'eccezione prevista dall'articolo 12, paragrafo 5, GDPR si applica in modo restrittivo. Tradotto: il titolare del trattamento non può rifiutare di rispondere a una DSAR limitandosi a sospettare che l'interessato voglia fare causa. Non si può pretendere che l'interessato giustifichi la sua richiesta. Il sospetto che voglia fare causa, anche se fondato, non è di per sé sufficiente per qualificare la richiesta come eccessiva.
Per la PMI questo ha una conseguenza pratica precisa: la sentenza CGUE del 19 marzo 2026 ha chiarito che l'articolo 82 GDPR si applica anche alla cattiva gestione delle DSAR, non solo ai data breach. Il risarcimento del danno, quindi, non è più ancorato solo a un incidente informatico o a una violazione eclatante. Rispondere in ritardo o in modo incompleto a una semplice richiesta di accesso ai dati espone l'impresa a un reclamo al Garante e a un'azione civile di risarcimento. Questo è il profilo più sottovalutato dalla PMI veneta media.
Il secondo errore: i fornitori terzi non monitorati
C'è un'area di rischio che la letteratura di settore cita spesso in astratto ma che raramente viene affrontata con concretezza: la catena dei responsabili esterni del trattamento. Ogni PMI che usa un software gestionale in cloud, un servizio di email marketing, un provider di pagamenti online o una società di logistica che gestisce indirizzi di consegna ha un responsabile del trattamento esterno ai sensi dell'art. 28 GDPR. Una piccola impresa conforme al GDPR si basa su sei elementi essenziali: informative privacy adeguate, basi giuridiche definite, registro dei trattamenti, nomine dei responsabili esterni, misure di sicurezza idonee e una procedura per i data breach.
La nomina del responsabile esterno non è un adempimento una tantum. È un rapporto contrattuale che deve essere verificato periodicamente. Il problema concreto è questo: molte PMI hanno firmato i DPA (Data Processing Agreement) richiesti dai provider nel 2018, al momento dell'entrata in vigore del GDPR, e non li hanno mai più aggiornati. Nel frattempo i provider hanno cambiato sede legale, sono stati acquisiti da società extra-UE, hanno modificato le proprie infrastrutture tecniche. Il titolare del trattamento — cioè l'imprenditore — rimane responsabile per le violazioni commesse dal responsabile esterno che non abbia adeguatamente monitorato.
Il Garante ha sanzionato più volte questo profilo nel corso del 2026. Il provvedimento n. 237/2026 contro Poste Italiane ha contestato una raccolta sistematica dei dati di utilizzo delle app, ritenuta eccedente rispetto alle finalità dichiarate nell'informativa privacy. La violazione rilevata — eccesso rispetto alle finalità dichiarate — è esattamente il tipo di problema che emerge quando il titolare non verifica periodicamente cosa fanno i propri fornitori tecnologici con i dati che gli vengono messi a disposizione. La dimensione dell'impresa cambia, ma il principio si applica a qualsiasi scala.
Vi è poi un ulteriore profilo che merita riflessione critica e che gli articoli generici sul GDPR tendono a ignorare: il rapporto tra adeguamento documentale e responsabilità per il danno cagionato agli interessati. Dalla formulazione dell'art. 82 GDPR emerge chiaramente che l'esistenza di un danno subito costituisce una delle condizioni del diritto al risarcimento, così come l'esistenza di una violazione del GDPR e di un nesso di causalità tra tale danno e tale violazione, essendo queste tre condizioni cumulative. Questo significa che la mera violazione formale non genera automaticamente risarcimento. Ma significa anche che l'imprenditore non può considerarsi "al sicuro" solo perché l'interessato non ha ancora fatto causa: il nesso causale tra una cattiva gestione dei dati e un danno — anche non patrimoniale — può essere dimostrato e quantificato in sede giudiziale.
Rawls, in Una teoria della giustizia, osservava che le istituzioni giuste non si costruiscono sull'intenzione, ma sulle regole che producono risultati equi indipendentemente dalle intenzioni dei singoli. La riflessione è applicabile al GDPR: non rileva che l'imprenditore non volesse violare la privacy dei propri clienti. Rileva se le regole operative che ha adottato erano idonee a prevenire la violazione, e se le ha effettivamente applicate.
Cosa fare concretamente — e cosa evitare
Il punto di partenza non è la revisione dell'informativa sul sito web. È la mappatura dei trattamenti: l'adeguamento inizia da un elenco di quali dati l'azienda raccoglie, dove li conserva, chi vi accede e per quanto tempo. Da questa mappa discendono tutti gli altri adempimenti. Senza mappatura aggiornata, qualsiasi documento è una dichiarazione vuota.
Il secondo passaggio riguarda il registro dei trattamenti. Sotto i 250 dipendenti il registro è dovuto quando il trattamento è non occasionale, presenta rischi o riguarda dati particolari come quelli sanitari. La gestione del personale rientra quasi sempre in questi casi, quindi nella pratica il registro conviene tenerlo: è anche la prova di conformità più immediata. Per la PMI veneta manifatturiera, artigianale o commerciale che gestisce dipendenti, clienti e fornitori, l'obbligo di registro è la regola, non l'eccezione.
Il terzo passaggio è la revisione dei DPA con i fornitori terzi: verificare che i contratti esistenti siano ancora validi, che il fornitore sia ancora stabilito in UE o garantisca trasferimenti adeguati, e che le finalità del trattamento dichiarate nel contratto corrispondano a quelle effettive.
Il quarto passaggio — quello più spesso trascurato — è la procedura per la gestione delle richieste degli interessati. Ogni PMI dovrebbe avere in ordine cinque cose prima che una richiesta arrivi: la mappatura dei trattamenti e dei sistemi che contengono dati personali, il registro dei trattamenti e una procedura interna scritta, un'informativa privacy aggiornata, la formazione del personale che tratta dati, un consulente privacy di riferimento già attivo.
Un elemento spesso trascurato è la distinzione tra adeguamento documentale e conformità sostanziale. Non basta "avere i documenti": serve una compliance privacy concreta, aggiornata e verificabile. Il Garante, nelle proprie ispezioni, non si limita a controllare se esiste l'informativa privacy. Verifica se l'informativa corrisponde ai trattamenti effettivamente in corso, se le misure di sicurezza indicate sono effettivamente operative, se il personale è stato formato e se esiste una procedura di gestione dei data breach che l'azienda saprebbe attivare in caso di incidente.
Questo è il punto critico che distingue un adeguamento reale da uno fittizio: la documentazione descrive una realtà operativa che deve esistere. Se quella realtà non esiste, i documenti aggravano la posizione del titolare perché dimostrano che era consapevole degli obblighi e non li ha adempiuti.
L'adeguamento al GDPR per una PMI non è un progetto da completare una volta sola. È un sistema di presidio continuo che richiede aggiornamenti periodici, verifica dei fornitori, risposta tempestiva alle richieste degli interessati e manutenzione delle misure di sicurezza. Chi lo affronta con questo metodo trasforma un obbligo normativo in un vantaggio competitivo: la fiducia di clienti e partner nella gestione dei dati è, nel mercato attuale, un elemento di differenziazione che vale la pena costruire con serietà.
Redazione - Staff Studio Legale MP
