Il Regolamento (UE) 2016/679 (“GDPR”) resta la spina dorsale della protezione dei dati in Europa. Nel 2025 la conformità è sempre più sostanziale: le autorità chiedono prove concrete (accountability), chiarezza nelle basi giuridiche e controlli su cookie, trasferimenti extra-UE e utilizzi dell’IA. Questa guida riunisce i principi cardine, i temi caldi 2025 e gli adempimenti essenziali per aziende e PA. (Garante Privacy)
🏛️ I 7 principi cardine (art. 5 GDPR)
- Liceità, correttezza e trasparenza — scegliere una base giuridica valida e informare in modo chiaro l’interessato.
- Limitazione della finalità — scopi specifici ed espliciti; riusi solo se compatibili o con nuova base.
- Minimizzazione dei dati — trattare solo ciò che è adeguato, pertinente e limitato allo scopo.
- Esattezza — mantenere i dati aggiornati e correggere quelli inesatti.
- Limitazione della conservazione — definire periodi di retention e poi cancellare/anonimizzare.
- Integrità e riservatezza — misure tecniche e organizzative proporzionate al rischio.
- Accountability — essere conformi e dimostrarlo (registri, DPIA, policy, evidenze). (Garante Privacy)
🚀 Focus 2025: cosa è davvero sotto i riflettori
1) Cookie, “consent-or-pay” e dark patterns
Le Linee guida cookie 2021 del Garante impongono banner con rifiuto facile quanto l’accettazione, stop ai percorsi fuorvianti e valutazione caso per caso dei cookie wall. Nel 2024 l’EDPB (Parere 08/2024) ha chiarito che i modelli “paga o acconsenti” delle grandi piattaforme devono offrire una reale alternativa senza pubblicità comportamentale per poter parlare di consenso libero. (Garante Privacy)
Cosa fare ora
- Banner con pulsanti Accetta/Rifiuta allo stesso livello; niente caselle preselezionate.
- Log dei consensi e prova dell’informazione resa; revisione periodica delle tecnologie di tracciamento. (Garante Privacy)
2) Trasferimenti extra-UE e Data Privacy Framework (DPF)
Dal 10 luglio 2023 è in vigore la decisione di adeguatezza per il DPF: i dati possono fluire verso aziende USA certificate senza ulteriori garanzie (art. 45). Il 3 settembre 2025 il Tribunale dell’UE ha respinto il ricorso Latombe, confermando la validità del DPF; resta la possibilità di appello alla CGUE. Se il destinatario non è certificato, si usano SCC + TIA e, se necessario, misure supplementari. (European Commission)
3) IA e GDPR: come coordinare l’AI Act
L’AI Act (Reg. UE 2024/1689) è stato pubblicato in Gazzetta il 12 luglio 2024; entra in vigore nel 2024, con applicazione scaglionata e data generale al 2 agosto 2026 (piena effettività entro il 2027). Serve allineare DPIA, basi giuridiche e governance dei dataset (attenzione alle decisioni automatizzate ex art. 22 GDPR). (EUR-Lex)
⚙️ Obblighi essenziali (operativi)
DPO/RPD: quando è obbligatorio e come comunicarlo
Obbligo per PA; per chi effettua monitoraggio regolare e sistematico su larga scala; o tratta categorie particolari/dati giudiziari su larga scala. Pubblica i contatti del DPO e comunicali al Garante tramite la procedura telematica (art. 37(7) GDPR). (Garante Privacy)
Registro delle attività (art. 30)
Documento chiave dell’accountability: obbligatorio >250 dipendenti e anche sotto soglia se il trattamento non è occasionale, presenta rischi o riguarda dati sensibili/giudiziari. Mantenerlo aggiornato e disponibile su richiesta. (Garante Privacy)
DPIA (art. 35)
Valutazione prima di trattamenti ad alto rischio (monitoraggi su larga scala, biometria, alcune applicazioni di IA). Verificare l’Elenco italiano dei trattamenti che richiedono DPIA e documentare mitigazioni ed esiti. (Garante Privacy)
Data breach (violazioni di dati personali)
- Notifica al Garante entro 72 ore dall’avvenuta conoscenza, motivando eventuali ritardi.
- Comunicazione agli interessati se il rischio è elevato.
In Italia la notifica avviene tramite procedura telematica dedicata. Prevedere playbook, esercitazioni e conservare le evidenze. (Garante Privacy)
Privacy by design & by default
Integrare la protezione dati sin dalla progettazione e impostare per default il minimo necessario (impostazioni, ruoli, retention), con evidenze tecniche e organizzative a supporto. (Garante Privacy)
💶 Sanzioni ed enforcement
Il GDPR prevede sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale (si applica l’importo maggiore), oltre a ordini inibitori e impatti operativi/reputazionali. I provvedimenti e le relazioni del Garante mostrano particolare attenzione a cookie, data breach, nomine ex art. 28, DPIA e governance documentale. (Garante Privacy)
✅ Checklist rapida 2025
- Mappa dei trattamenti: finalità → basi giuridiche → categorie dati/soggetti → retention → misure → fornitori.
- Registro (art. 30): ownership, versioning, aggiornamenti periodici. (Garante Privacy)
- Cookie & consenso: banner simmetrico, niente dark patterns, log dei consensi. (Garante Privacy)
- Trasferimenti: verifica certificazione DPF; in alternativa SCC+TIA e misure supplementari. (European Commission)
- DPIA: consulta l’Elenco nazionale, aggiorna le DPIA su IA/biometria. (Garante Privacy)
- Incident readiness: playbook, canali interni, test, rispetto 72 ore. (Garante Privacy)
- AI governance: ruoli, dataset, trasparenza, test bias; allineamento con AI Act. (EUR-Lex)
❓ FAQ rapide
Il modello “consent-or-pay” è lecito?
Solo con vera libertà di scelta e un’alternativa reale (senza pubblicità comportamentale), valutata caso per caso, specie per grandi piattaforme. Banner ingannevoli non sono conformi. (EDPB)
Quando serve la DPIA?
Quando il trattamento presenta alto rischio (es. monitoraggi su larga scala, biometria, alcune applicazioni di IA) e nei casi indicati dall’Elenco italiano. (Garante Privacy)
Come trasferire dati negli USA nel 2025?
Se il destinatario è certificato DPF, trasferisci su base di adeguatezza (art. 45). Altrimenti SCC + TIA e misure supplementari. Il 3/9/2025 il Tribunale UE ha confermato la validità del DPF. (European Commission)
Come comunico il DPO al Garante?
Pubblica i contatti e invia la comunicazione online tramite la procedura telematica dedicata. (Garante Privacy)
📚 Fonti ufficiali (selezione)
- Garante Privacy – Portale GDPR & principi, registro, DPIA, data breach. (Garante Privacy)
- Linee guida cookie 10.06.2021 (doc. web n. 9677876). (Garante Privacy)
- EDPB – Parere 08/2024 “Consent or Pay” e comunicati. (EDPB)
- DPF: pagina Commissione UE & decisione di adeguatezza; sentenza GC 03.09.2025 (Latombe). (European Commission)
- AI Act: testo su EUR-Lex e factsheet timeline Parlamento europeo. (EUR-Lex)
Disclaimer – NormaLexy.com
Questo contenuto ha finalità informative e non costituisce consulenza legale. Per una valutazione specifica della tua organizzazione, rivolgiti a un professionista.