Sanzioni GDPR per le PMI: da cosa dipende il rischio reale

Quando scatta una sanzione GDPR (e cosa la fa pesare di più o di meno)

Prima di mettere in discussione qualcosa, mettiamo le cose in chiaro: il GDPR è una legge seria, e l’avvocato o il consulente privacy che ti segue fa un mestiere vero. È lui che presidia la norma, che scrive le informative giuste per la tua situazione, che ti dice cosa puoi e non puoi fare. È acqua pulita, e non è mai il problema. Quello che faccio in questa pagina è un’altra cosa: spiegarti, da imprenditore a imprenditore, da cosa dipende davvero il rischio di una sanzione GDPR — senza spaventarti con cifre e senza venderti la paura.

Partiamo dal momento in cui una sanzione GDPR può scattare. Non scatta a caso, e quasi mai dal nulla. Di solito c’è un innesco: un cliente che fa una segnalazione al Garante perché “non si è mai iscritto” o perché ha chiesto la cancellazione e non è successo niente; un controllo; oppure un incidente, un dato finito dove non doveva. Da lì parte un’istruttoria, e l’autorità guarda la tua situazione. Il punto chiave, quello che quasi nessuno ti dice, è che il sistema sanzionatorio GDPR non punisce in modo uguale tutti: pesa le circostanze. E quelle circostanze sono in gran parte cose pratiche, non cavilli da azzeccagarbugli.

Cosa fa pesare di più o di meno il rischio di una sanzione, in concreto? La gravità di quello che è successo e quante persone ha toccato. Il tipo di dati trattati — un dato sanitario o finanziario pesa più di un indirizzo email. Le misure che avevi adottato prima: se i dati erano protetti e in ordine, o se erano alla mercé di chiunque. Se c’è stato un danno reale per le persone. E quanto hai collaborato con il Garante quando ti ha chiesto conto. Tieni questi cinque elementi a mente, perché tornano: il rischio di una sanzione non è un’estrazione a sorte, è la somma di come tieni — o non tieni — i dati delle persone che si fidano di te.

Da cosa dipende l’entità del rischio (senza una tabella di importi che non ti serve)

Cominciamo dalla parte che ti tiene sveglio: “quanto rischio?”. Cerchi una tabella sanzioni GDPR con gli importi, una specie di listino della paura, per sapere a quanto ammonta il pericolo. Te lo dico onestamente: quella tabella, per una PMI, è quasi inutile. Non perché gli importi non esistano — esistono, e l’avvocato te li sa spiegare nel tuo caso — ma perché l’entità di una sanzione non si legge in una colonna fissa. Dipende dalle circostanze che abbiamo visto: gravità, dati coinvolti, misure adottate, danno, collaborazione. Due aziende con la stessa violazione formale possono trovarsi in posizioni molto diverse, a seconda di come tenevano i dati sotto.

Ed è qui che voglio essere chiaro su una cosa: io non sono un avvocato. L’interpretazione della norma, le informative, la base giuridica, la corrispondenza col Garante — tutto questo è terreno di chi cura la parte legale, e fa benissimo a curarlo. Cosa chiede davvero il GDPR alla tua azienda parte proprio da qui: il regolamento non è un mostro, ti chiede di sapere quali dati hai, dove sono, chi li tocca, e di poterli cancellare quando serve. Tradurre quella richiesta in documenti corretti è lavoro dell’avvocato. Non è il mio mestiere, e non te lo vendo.

Il punto, allora, è un altro. Se il quadro normativo è in mano a chi lo sa presidiare, da dove arriva il rischio per te? Non dal regolamento letto male — quasi mai. Arriva da sotto, dal modo in cui i dati vivono dentro la tua azienda. E quella parte lì, sotto le carte, non la sistema un altro documento. È esattamente la zona di cui nessuno ti parla quando cerchi “sanzioni GDPR”.

Non hai un problema con la norma. La norma la presidia l’avvocato, ed è acqua pulita. Hai un problema con i dati sparsi sotto, che nessun documento mette in ordine al posto tuo.

E qui c’è una distinzione che ti salva metà delle preoccupazioni, se la conosci. Una cosa è la conformità sulla carta — l’informativa giusta, il consenso scritto come si deve, il registro compilato. Quella la cura il legale, ed è necessaria. Altra cosa è la corrispondenza tra quella carta e la realtà: la carta dice “i dati di questo cliente sono in un posto, protetti, e li cancelliamo su richiesta”, mentre nella realtà quello stesso cliente vive in copia su sei programmi diversi. Trattare le due cose come se fossero la stessa — pensare che basti il documento giusto — è dove la PMI sbaglia. La via onesta è una sola: tenere allineato quello che dichiari con quello che succede davvero ai dati.

Ma la conformità sulla carta è solo metà della storia. Perché anche con i documenti più puliti, se sotto i dati sono sparsi, il giorno della domanda non sai rispondere. Di questo secondo problema nessuno ti parla.

Quando arriva la domanda «chi ha avuto accesso? dove sta? l’avete cancellato?»

Mettiamo che tu abbia le carte a posto: informativa scritta da un legale, consenso raccolto come si deve. Resta il fatto che i dati delle persone, dentro la tua azienda, non vivono in un posto solo. Vivono ovunque. Ed è qui che nasce il guaio vero, quello operativo, di cui le sanzioni violazione GDPR sono solo la spia.

Pensa al momento in cui arriva la domanda. Un cliente, un suo avvocato, o direttamente il Garante ti chiede tre cose semplici, che hanno tutto il diritto di chiederti: chi ha avuto accesso a questo dato? Dove sta, fisicamente? L’avete cancellato quando ve l’ho chiesto? Tre domande a cui dovresti saper rispondere in giornata. E invece apri il gestionale. Poi il CRM, se ce l’hai. Poi la casella email con lo storico. Poi l’Excel del commerciale, che però è sul suo portatile. Poi la chat dell’ufficio. Lo stesso dato vive contemporaneamente in dieci posti diversi — ed è la definizione di un Frankenstein operativo: dieci pezzi cuciti a mano, ognuno con la sua copia di un’informazione che non torna mai uguale, e nessuno che parla con l’altro.

Il risultato lo conosci anche se non l’hai mai chiamato così. Non sai dire chi, nel tuo team, ha visto o esportato quel dato nell’ultimo mese, perché nessuno tiene un registro. Non sai con certezza dove sta, perché sta in sei punti. Hai cancellato il cliente dal gestionale, ma il suo profilo resta acceso nel tool di email e una sua copia dorme in un foglio che nessuno apre da mesi. E proprio lì, in quella incapacità di rispondere con sicurezza, si apre l’esposizione: non perché tu sia un truffatore, ma perché non puoi dimostrare di aver trattato bene i dati. La piscina bucata non perde solo contatti: perde anche la prova di averli trattati come si deve.

Il modo più rapido per dirlo: una PMI esposta non è quella che ha letto male il regolamento, è quella che, alla domanda “dove sta questo dato e chi l’ha toccato?”, non sa rispondere perché i dati sono sparsi su dieci software. Lo si risolve facendo confluire i dati in un posto unico dove ogni contatto vive una volta sola — un database tuo, sotto il tuo controllo, con un registro di chi accede a cosa, da cui gli altri strumenti pescano invece di tenere ciascuno la sua copia scollegata.

Da cosa dipende il rischio: la PMI «alla rinfusa» e quella in ordine

	Dati sparsi su dieci software	Un database unico e tuo, con registro
”Chi ha avuto accesso a questo dato?”	Non lo sai: nessuno tiene traccia	Un registro lo dice, con nome e data
”Dove sta questo dato?”	In sei posti, mai allineati	In un posto solo, sotto il tuo controllo
”L’avete cancellato?”	Forse, ma restano copie sparse	Una cancellazione sola, davvero completa
Conformità sulla carta	Dice una cosa diversa dalla realtà	Allineata a quello che fai davvero
Misure adottate (peso sul rischio)	“Ci fidavamo del buon senso”	Dimostrabili: accessi, registro, ordine
Se arriva una segnalazione	Rincorri i dati senza una risposta pronta	Apri un punto solo e mostri tutto
Cosa hai in mano	Dieci copie parziali e nessuna prova	Un dato vero, governabile, dimostrabile

Letta così, sparisce la domanda sbagliata (“a quanto ammonta la multa?”) e resta quella giusta: il giorno in cui qualcuno mi chiede dove sta un dato e chi l’ha toccato, ho una risposta pronta e dimostrabile, o ho dieci software sparsi e una speranza?

Testa la tua azienda →

Prima di comprare un’altra informativa o un altro consulente per le carte, scopri a che punto sei davvero: il voto GDPR della tua azienda in pochi minuti, gratis e senza carta di credito.

Comprare un altro documento non abbassa il rischio se sotto i dati restano ovunque

Qui arriviamo al punto che conta per chi ha un’azienda, ed è l’errore che, in silenzio, costa più di tutti. Quando la paura della sanzione GDPR ti prende, il riflesso è uno solo: “compro l’adempimento”. Un’informativa nuova, un consulente che mette a posto le carte, un modulo da firmare. E mettere a posto le carte è giusto e necessario — è il lavoro dell’avvocato, è acqua pulita. Ma se ti fermi lì, hai sistemato il documento, non la situazione.

Pensaci. Puoi avere l’informativa scritta dal miglior studio legale del tuo settore e restare esposto uguale, se sotto i dati delle persone vivono ancora sparsi su dieci software che non si parlano. La carta dice una cosa — “trattiamo i dati così, li cancelliamo su richiesta, sappiamo chi li tocca” — e il backend ne dice un’altra. E quella distanza tra quello che dichiari e quello che succede davvero è esattamente dove la sanzione trova spazio: il giorno della domanda, non puoi dimostrare che la carta dice il vero. Comprare un altro documento non chiude quella distanza. La chiude solo mettere i dati in ordine sotto.

E c’è il secondo conto, quello che paghi ogni giorno anche se nessuno ti controlla mai. Tenere i dati sparsi ti costa lavoro: ogni volta che un cliente chiede una copia o una cancellazione, parte una caccia al tesoro su sei programmi, e tu perdi mezza giornata sperando di non aver dimenticato un posto. È lo stesso ordine che si costruisce nel percorso della guida madre dell’adeguamento per le PMI: si parte dal capire quali dati raccogli, dove vivono, chi li tocca. Il principio è lo stesso che applico ovunque: il dato vive in un posto solo, tuo, con un registro di chi accede. Non una PMI con più carte in ordine: una PMI dove il dato non si perde — e non ti espone — tra un software e l’altro.

La carta dice una cosa, il backend ne dice un’altra. Quella distanza è dove la sanzione trova spazio. Comprare un altro documento non la chiude: la chiude mettere i dati in ordine sotto.

Cinque domande oneste sui dati della tua azienda

Non serve una consulenza da migliaia di euro per capire se il tuo rischio GDPR è in realtà un problema di dati sparsi. Bastano cinque domande, e le risposte le sai già.

1. Se domani un cliente ti chiede chi, nel tuo team, ha avuto accesso ai suoi dati nell’ultimo mese, sai rispondere — o non c’è nessun registro?
2. Sai dire, di getto, in quanti posti diversi vive oggi il dato di un singolo cliente — o lo scopri solo quando devi cercarlo?
3. Se un cliente ti chiede di cancellare i suoi dati, lo fai davvero in tutti i posti dove sono, o resta sempre una copia da qualche parte?
4. Quello che la tua informativa dichiara corrisponde a come tratti davvero i dati, o la carta dice una cosa e il backend ne dice un’altra?
5. Le misure che proteggono i dati delle tue persone le potresti dimostrare a chi te le chiede, o ti affidi al buon senso di chi usa i programmi?

Se a queste domande hai risposto con un sospiro, non sei nei guai: sei nella situazione di quasi tutte le PMI italiane. La differenza la fa misurare con precisione dove sei, invece di tirare a indovinare e comprare un altro documento. E questo lo puoi fare adesso, da solo, in pochi minuti.

GDPR Quick Audit · il voto di conformità del tuo sistema

Rispondi a poche domande sulla tua azienda — dove tieni i dati dei clienti, chi vi accede, come gestisci cancellazioni e richieste, cosa dichiara la tua informativa — e in pochi minuti hai un voto chiaro su quanto sei in ordine e dove sei scoperto. Niente gergo da avvocato, solo dove intervenire per primo per abbassare davvero il rischio.

Inserisci i dati e parti. Senza carta di credito. Il risultato lo salvi nella tua Officina con la sola email, se vuoi tenertelo.

Calcola il tuo voto GDPR · gratis →

Il voto è il punto di partenza. Dice dove sei oggi e dove sei esposto; cosa farne, lo decidi tu.

Le domande che ti stai facendo adesso

Quando scatta una sanzione GDPR per una PMI?

Quasi mai dal nulla. Di solito c’è un innesco: una segnalazione di un cliente al Garante, un controllo, oppure un incidente con i dati. Da lì parte un’istruttoria e l’autorità guarda la tua situazione. Il punto è che il sistema sanzionatorio GDPR non punisce tutti allo stesso modo: pesa le circostanze concrete — la gravità, i dati coinvolti, le misure che avevi adottato, l’eventuale danno e quanto hai collaborato. Non è un’estrazione a sorte: è la somma di come tenevi i dati.

Da cosa dipende l’entità di una sanzione GDPR?

Da fattori pratici, non solo da un cavillo. Pesano la gravità della violazione e quante persone ha toccato, il tipo di dati trattati (un dato sanitario o finanziario pesa più di un’email), le misure di sicurezza che avevi messo prima, se c’è stato un danno reale e quanto hai collaborato col Garante. Per questo una “tabella sanzioni GDPR” con gli importi serve a poco a una PMI: l’entità non si legge in una colonna fissa, dipende da come tenevi i dati sotto.

Mi metto al sicuro dalle sanzioni comprando una nuova informativa?

La carta giusta è necessaria, ed è giusto farla scrivere da chi cura la parte legale. Ma non basta. Se l’informativa dichiara una cosa — “sappiamo dove sono i dati, chi li tocca, e li cancelliamo su richiesta” — e nella realtà i dati sono sparsi su dieci software, quella distanza tra carta e realtà è dove l’esposizione resta. Comprare un altro documento non abbassa il rischio se sotto i dati restano ovunque. Lo abbassa metterli in ordine.

Io non sono a norma: rischio davvero la multa?

Nessuno serio te lo dice prima di aver guardato come tieni i dati. Il rischio non dipende da un sì/no astratto, ma da quelle circostanze concrete: cosa tratti, come lo proteggi, se sai rispondere quando qualcuno chiede dove sta un dato e chi l’ha toccato. Una PMI che ha i dati in ordine, con un registro degli accessi, è in una posizione molto diversa da una che li tiene sparsi su laptop e fogli, anche a parità di documenti.

Come abbasso concretamente il rischio di una sanzione GDPR?

Mettendo i dati in un posto solo, tuo, con un registro di chi vi accede. Così, quando arriva la domanda — chi ha avuto accesso, dove sta il dato, l’avete cancellato — hai una risposta pronta e dimostrabile, e le misure adottate (che pesano sul rischio) le puoi mostrare invece di raccontarle. La parte legale resta dell’avvocato; io tolgo la causa operativa del problema, i dati sparsi che non sai governare.

Da dove inizio, senza impegno?

Dagli strumenti diagnostici gratuiti: misuri il voto GDPR della tua azienda — dove stanno i dati, chi vi accede, cosa dichiari — in pochi minuti, senza carta di credito e senza parlare con nessuno. Poi, se ha senso, ne parliamo.

Puoi continuare a comprare documenti sperando che bastino, con i dati ancora sparsi su dieci software. Oppure puoi sapere, con un numero, da cosa dipende davvero il tuo rischio.

Smetti di temere la multa. Inizia a sapere dove stanno i dati e chi li tocca.

La maggior parte degli imprenditori che mi scrive non ha un problema con il regolamento. La norma la presidia il loro avvocato, che fa un mestiere vero e porta acqua pulita. Hanno un problema con i dati sparsi sotto: clienti, contatti e storici finiti su gestionali, email, fogli e chat che non si parlano. E quando arriva la domanda — chi ha avuto accesso a questo dato, dove sta, l’avete cancellato — non sanno rispondere. Lì, non nel regolamento, si apre l’esposizione.

Un’informativa nuova non lo risolve, perché descrive una realtà che resta caotica. Un consulente che mette a posto le carte è necessario, ma non basta se sotto i dati restano ovunque: la carta dice una cosa, il backend ne dice un’altra, e quella distanza è dove la sanzione trova spazio. Lo risolve un sistema dove i dati vivono in un posto solo, tuo, con un registro di chi li tocca. Lì il rischio cala davvero, perché alla domanda hai una risposta pronta e dimostrabile. È lo stesso lavoro di ordine che ho fatto per Zone Riflesse, dove sei archivi sparsi sono diventati un database unico per oltre 10.000 allievi: prima sai dove sta ogni dato e chi vi accede, poi smetti di essere esposto.

Non ti chiedo di firmare niente e non ti chiedo di credermi. Non sono un avvocato e non ti vendo la conformità garantita: l’interpretazione legale la cura chi di dovere. Io tolgo la causa operativa del rischio — i dati sparsi — così che il lavoro legale diventi semplice e una risposta al Garante sia pronta. Ti chiedo solo di guardare il voto GDPR della tua azienda, gratis, in pochi minuti. Se quello che vedi ti suona familiare, andiamo avanti. Se non fa per te, chiudiamo qui senza rancore.

La multa non è la tua ansia. La tua ansia è non saper dire dove stanno i dati e chi li tocca. Mettili in ordine!

Testa la tua azienda →

Strumenti gratuiti. Senza carta di credito. Senza parlare con nessuno.