GDPR 2026: cosa cambia davvero per le PMI italiane

Nel 2024 un fornitore di servizi energetici italiano ha ricevuto una sanzione da 5 milioni di euro per una ragione apparentemente banale: mantenere dati dei clienti obsoleti, in violazione del principio di esattezza previsto dal GDPR (gdpr-ok.it). Nessun attacco hacker spettacolare, nessuna negligenza criminale — solo una lista contatti vecchia. Eppure il Garante ha colpito duramente. Perché nel 2026 il GDPR non perdona più le «piccole disattenzioni», e le PMI non sono più ai margini dell’attenzione ispettiva.

Punti chiave

• Nel 2024 il Garante ha adottato 835 provvedimenti e irrogato 24 milioni di euro di sanzioni.
• Le PMI sono nel mirino esattamente come le grandi aziende: asili nido, installatori di allarmi, fornitori di energia.
• AI, cookie e data breach sono i tre fronti caldi del 2026, con focus ispettivo annunciato per il secondo semestre.
• La checklist in 10 punti qui sotto è il minimo sindacale per ogni PMI italiana oggi.

Lo stato del GDPR nel 2026: cosa è cambiato rispetto all’entrata in vigore

Dal 2018 il GDPR è legge, ma il 2026 segna un salto qualitativo: il regolamento è ormai consolidato e l’interpretazione si è fatta più severa. Nel solo 2024 il Garante italiano ha adottato 835 provvedimenti complessivi, di cui 468 correttivi e sanzionatori, per un totale di 24 milioni di euro di sanzioni (gdpr-ok.it). I periodi di tolleranza sono finiti. L’EDPB sta inoltre lavorando nel biennio 2026–2027 al rafforzamento dei meccanismi di trasferimento dati e della cooperazione tra Autorità (edpb.europa.eu): significa più coordinamento, più controlli incrociati, più esposizione anche per realtà di piccole dimensioni.

Le sanzioni più comuni alle PMI italiane: i casi reali del Garante

Nel 2024 le sanzioni hanno colpito strutture ospedaliere, società di installazione allarmi, fornitori di energia e asili nido (gdpr-ok.it). Un campionario che copre quasi ogni settore produttivo. Gli errori ricorrenti sono tre:

• Dati inesatti o obsoleti — il caso dei 5 milioni al fornitore energetico è emblematico.
• Informativa inadeguata — mancanza di trasparenza al momento della raccolta dei dati.
• Assenza di procedure di notifica data breach — reazione improvvisata invece di protocollo scritto.

Le soglie sanzionatorie rimangono invariate: fino a 20 milioni di euro o il 4% del fatturato globale annuo, senza alcun ammorbidimento previsto (backup-dati.it).

Nuovi obblighi pratici: cookie, trattamento dati AI e data breach

Tre aree richiedono attenzione immediata nel 2026.

Cookie e tracciamento

L’enforcement sui consensi espliciti prosegue senza sosta. Il pre-consenso — banner pre-spuntati, consenso implicito per scorrimento — non è più tollerato e continua ad essere oggetto di provvedimenti.

Intelligenza artificiale

Il GDPR si applica a qualsiasi sistema AI che tratti dati personali (scuolatech.com). Il Garante italiano non ha ancora un provvedimento ad hoc sull’uso aziendale di LLM come ChatGPT, Claude o Gemini, ma applica il GDPR consolidato (mauriziofonte.it). Il precedente è già pesante: nel 2024 OpenAI è stata sanzionata con 15 milioni di euro per mancanza di base giuridica nel training di ChatGPT e informative insufficienti agli interessati (mauriziofonte.it). È atteso un focus ispettivo specifico sull’AI nel secondo semestre 2026. Aggiungici il Digital Omnibus AI Act (accordo provvisorio PE-Consiglio del 7 maggio 2026), che introduce il divieto esplicito di nudifier dal 2 dicembre 2026, e il quadro normativo si fa ancora più stringente (aipolicy.it). Il 6 maggio 2026 il Garante ha inoltre pubblicato un avvertimento ufficiale sull’uso in contesto professionale di servizi AI generativa capaci di manipolare immagini, voci o video di persone reali (aipolicy.it).

Data breach

La notifica al Garante è obbligatoria entro 72 ore dal momento in cui sei venuto a conoscenza della violazione (iusprivacy.eu). Se superi questo termine devi allegare i motivi del ritardo. Se il rischio per gli interessati è «elevato», sei obbligato a notificare anche loro direttamente (connectingitalia.it). Non avere un protocollo scritto e testato prima che accada qualcosa è il modo più sicuro per aggravare la sanzione.

Checklist GDPR 2026: i 10 punti che ogni PMI deve verificare oggi

Copia, stampa o salva questa lista. È il minimo sindacale per ogni PMI italiana nel 2026.

1. Registro dei trattamenti — aggiornato, completo e disponibile su richiesta del Garante.
2. Informativa privacy — verificata e tracciabile per ogni canale: sito, moduli di contatto, newsletter, app.
3. Consensi — espliciti, registrati con data/ora/IP/versione dell’informativa, revocabili in un click. Zero pre-spuntature.
4. Pulizia dei dati — elimina liste dormienti e contatti obsoleti; verifica la data di origine di ogni dataset.
5. Procedura data breach — scritta, testata, con responsabile identificato e cronologia delle azioni da compiere entro le 72 ore.
6. Accordi con fornitori — Data Processing Agreement (DPA) esplicito in ogni contratto SaaS o di outsourcing che comporti trattamento dati.
7. Policy sull’uso di AI aziendale — se usi ChatGPT, Gemini, Claude o simili con dati dei clienti, serve una policy scritta con valutazione di conformità.
8. Audit annuale — almeno una verifica interna dei flussi dati critici; documentala.
9. Tracciamento dei consensi — ogni consenso deve essere archiviato con data, ora, IP e versione dell’informativa accettata.
10. Formazione del team — chiunque tocchi dati personali deve capire il GDPR in pratica, non solo sulla carta.

GDPR e strumenti digitali quotidiani: CRM, newsletter, Google Analytics

Non devi abbandonare gli strumenti che usi ogni giorno. Devi usarli correttamente.

• CRM — verifica che il contratto includa un DPA valido; conserva i dati solo finché sono necessari e cancellali su richiesta.
• Newsletter — opt-in esplicito obbligatorio. Il double-opt-in è il metodo più difendibile in caso di contestazione.
• Google Analytics — l’anonimizzazione degli IP è obbligatoria per la conformità; molte PMI non l’hanno ancora configurata. Se stai tracciando comportamenti di persone reali, serve consenso esplicito raccolto prima del tracciamento, non dopo.

Quando serve il DPO e quando puoi farne a meno: la risposta chiara

Il Data Protection Officer è obbligatorio in tre casi: sei un ente pubblico; il trattamento dei dati è il core business della tua azienda (profilazione su larga scala, marketing diretto sistematico); effettui monitoraggio sistematico di soggetti. Per la maggioranza delle PMI italiane, non è obbligatorio. Ma se gestisci molti dati sensibili (salute, dati finanziari, dati di minori) o operi in settori regolati, designare un consulente esterno come DPO è una scelta intelligente — e conveniente rispetto al rischio. In ogni caso, devi avere almeno una figura interna responsabile della conformità: qualcuno che sappia cosa fare se arriva un’ispezione o un data breach alle 23:00.

Domande frequenti

Le PMI sotto i 10 dipendenti sono esonerate dal GDPR nel 2026?

No. Non esiste alcuna soglia minima di dipendenti o fatturato. Il GDPR si applica a qualsiasi soggetto che tratti dati personali, indipendentemente dalle dimensioni. L’unica esenzione marginale riguarda la tenuta del registro dei trattamenti per attività occasionali e non rischiose — ma nella pratica quasi nessuna attività commerciale rientra in questa casistica.

Cosa rischia concretamente una piccola impresa in caso di data breach non notificato?

Sanzione amministrativa fino a 10 milioni di euro o il 2% del fatturato globale per omessa notifica entro le 72 ore. In più: rischio di contenzioso civile da parte degli interessati, danni reputazionali e perdita di clienti. Il danno indiretto spesso supera quello diretto.

Usare ChatGPT o altri AI con dati dei clienti è conforme al GDPR?

Non automaticamente. Devi verificare che lo strumento abbia un DPA valido, che non utilizzi i tuoi dati per il training del modello, e che offra garanzie adeguate di confidenzialità. Il Garante sta intensificando i controlli su questo fronte nel 2026 — e il precedente OpenAI (15 milioni di euro) chiarisce che non si tratta di un rischio teorico.

Quanto costa adeguarsi al GDPR per una PMI senza DPO interno?

Dipende dalla complessità dei trattamenti. Come ordine di grandezza: audit di conformità iniziale (500–2.000 €), aggiornamento delle policy e dell’informativa (300–800 €), configurazione corretta degli strumenti digitali (500–2.000 €). È un investimento una tantum — e notevolmente inferiore a qualsiasi sanzione, anche la più contenuta.

Il 2026 non è l’anno per rimandare. Il Garante ha pubblicato il piano ispettivo: intelligenza artificiale, cookie, data breach e trasferimenti internazionali sono i quattro fronti prioritari. Se non sei certo della tua situazione attuale, o hai dubbi su come mettere in regola il tuo stack digitale, non lasciare al caso. Una consulenza di poche ore può fare la differenza tra conformità e rischio concreto. Parliamone.