Ogni volta che accedi a un sito, compili un modulo o condividi un file online, i tuoi dati lasciano una traccia. In Italia, il quadro normativo che tutela la tua privacy digitale si chiama GDPR — e dal maggio 2018 ha cambiato le regole del gioco per cittadini e imprese.

4 articoli correlati

Legge attuale: GDPR (Reg. UE 2016/679) · In vigore dal: 25 maggio 2018 · Precedente: D.Lgs. 196/2003 · Autorità: Garante Privacy · Direttiva correlata: e-Privacy

Panoramica rapida

1Fatti confermati
2Evoluzioni in corso
  • Data Act europeo entrato in vigore nel gennaio 2024
  • Futuro del quadro normativo post-2025 ancora in definizione
3Segnale temporale
4Prospettive future
  • Nuovi adempimenti per imprese con l’evoluzione normativa UE
  • Maggiore attenzione a dati genetici e biometrici
Campo Valore
Normativa vigente GDPR Reg. UE 2016/679
Precedente codice D.Lgs. 196/2003 (aggiornato)
Sito ufficiale Garante www.garanteprivacy.it
Data GDPR 25/05/2018
Gazzetta UE GU L 119

Cosa si intende per privacy digitale?

Per privacy digitale si intende l’insieme di norme, strumenti e pratiche che tutelano le informazioni personali nell’ambiente online. Non si tratta solo di password o account social: riguarda qualsiasi dato che ti identifica o ti rende identificabile in rete — dal tuo indirizzo email al comportamento di navigazione.

Definizione base

Sono dati personali le informazioni che identificano o rendono identificabile una persona fisica (Garante Privacy – Definizioni ufficiali). Il Regolamento UE 2016/679, pubblicato sulla Gazzetta Ufficiale UE L 119 del 4 maggio 2016, stabilisce cosa rientra in questa categoria e come deve essere gestito.

Come funziona

Il Garante per la Protezione dei Dati Personali (GPDP) vigila su organizzazioni pubbliche e private, riceve reclami e gestisce le segnalazioni di data breach. Il suo intervento è lo strumento principale per tutelare i tuoi diritti quando un’azienda non rispetta le regole sulla privacy.

Contesto italiano

In Italia, la tutela della privacy digitale è affidata al Garante per la Protezione dei Dati Personali (GPDP), un’autorità amministrativa indipendente istituita dalla legge 675/1996 (Wikipedia – Garante Privacy). Il Garante controlla che i trattamenti di dati personali siano conformi alle norme e può vietare trattamenti illeciti.

La conseguenza pratica è che i cittadini italiani dispongono di un’unica autorità nazionale a cui rivolgersi per qualsiasi violazione della propria privacy digitale.

Qual è l’attuale legge sulla privacy in Italia?

La legge principale sulla privacy in Italia è oggi il GDPR (Regolamento Generale sulla Protezione dei Dati), entrato in vigore il 25 maggio 2018. Si applica direttamente in tutti i Paesi dell’Unione Europea e ha sostituito parzialmente il precedente Codice Privacy (D.Lgs. 196/2003).

GDPR come normativa principale

Il Regolamento UE 2016/679 abroga la precedente direttiva 95/46/CE e introduce regole uniformi per tutelare i diritti fondamentali nell’era digitale (Garante Privacy – Testo Regolamento). Il GDPR è operativo dal maggio 2018 in tutti gli Stati membri, Italia inclusa.

Ruolo del Garante Privacy

Il Garante per la Protezione dei Dati Personali è l’autorità competente per la coerente applicazione del GDPR in Italia, ai sensi dell’art. 2-bis del D.lgs. 196/2003 (Wikipedia – Garante Privacy). Tra i suoi poteri principali:

  • Poteri di indagine: richiedere informazioni, condurre verifiche, accedere a dati e locali (art. 58 GDPR)
  • Poteri correttivi: avvertimenti, ingiunzioni, divieti di trattamento
  • Sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato mondiale
  • Possibilità di ordinare la cancellazione di dati o la sospensione di flussi verso paesi terzi
In sintesi: Il Garante non è solo un registro di controllo: può effettivamente sanzionare le aziende che violano la privacy. Per i cittadini italiani, diventa il punto di riferimento concreto quando i propri diritti digitali vengono calpestati.

Qual è la differenza tra il GDPR e il 196/2003?

Il confronto tra il vecchio Codice Privacy italiano e il nuovo regolamento europeo mostra un cambiamento profondo nel modo in cui vengono tutelati i dati personali. Ecco le differenze principali organizzate per aspetti chiave.

Aspetto D.Lgs. 196/2003 GDPR (Reg. UE 2016/679)
Ambito applicativo Normativa nazionale italiana Applicabile in tutti i 27 Paesi UE
Base giuridica consenso Consenso implicito ammesso in molti casi Consenso esplicito, libero, informato e granulare
Diritti interessato Diritti previsti dal codice italiano Diritti estesi: accesso, rettifica, cancellazione, portabilità, opposizione
Notifica violazioni Non obbligatoria entro termini certi Obbligo di notifica al Garante entro 72 ore
Sanzioni Multe fino a 120.000 euro Multe fino a 20 milioni € o 4% fatturato globale
Rapporti con altre autorità Coordinamento nazionale Cooperazione obbligatoria tra autorità UE (meccanismo di coerenza)

Il pattern emergente è che il GDPR trasferisce il peso della tutela dal singolo Stato membro a un quadro europeo uniforme, con conseguenze più severe per le aziende che non si adeguano.

Variazioni introdotte

Il GDPR ha modificato in modo sostanziale la definizione di dati sensibili, includendo esplicitamente i dati genetici, biometrici e quelli relativi all’orientamento sessuale (art. 9 GDPR) (Garante Privacy – Dati sensibili). Il Codice Privacy 196/2003 è stato aggiornato per eliminare le parti in contrasto con il regolamento europeo.

Il risvolto pratico

Per le piccole imprese italiane, il GDPR ha comportato costi di adeguamento non indifferenti. Tuttavia, il regolamento introduce anche strumenti come i codici deontologici di settore che possono semplificare la compliance per categorie specifiche.

Impatto su imprese

Per le aziende italiane, il passaggio al GDPR ha significato ridefinire le informative sulla privacy, implementare procedure di gestione dei consensi e nominare figure responsabili come il DPO (Responsabile della Protezione dei Dati) quando richiesto. Le sanzioni più severe hanno spinto molte imprese a investire significativamente nella conformità.

L’implicazione per le imprese è chiara: chi non investe nella compliance rischia sanzioni che possono raggiungere il 4% del fatturato mondiale.

Quali sono i dati sensibili da non pubblicare?

Alcune categorie di dati richiedono una tutela rafforzata perché la loro diffusione potrebbe causare discriminazioni o danni gravi. Il GDPR definisce questi dati come “categorie particolari” e ne vieta il trattamento salvo specifiche eccezioni.

Tipi di dati sensibili

L’art. 9 GDPR elenca espressamente: origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale (Garante Privacy – Dati sensibili). Il trattamento di questi dati è vietato salvo consenso esplicito o altri motivi legittimi previsti dalla legge.

Esempi pratici

Nella vita quotidiana, i dati sensibili compaiono spesso in contesti sanitari (referti medici, prescrizioni), assicurativi (stato di salute per polizze vita) o lavorativi (appartenenza sindacale, convinzioni religiose per organizzazioni religiose). Pubblicarli online senza consenso espresso viola il GDPR e espone a sanzioni severe.

Attenzione

Anche la semplice condivisione di un documento sanitario su cloud non criptato o il reinserimento di dati medici in moduli online generici può configurare una violazione se non vengono rispettate le garanzie previste dall’art. 9 GDPR.

Quando è violazione della privacy?

Non tutte le violazioni della privacy sono uguali. Il GDPR introduce una definizione precisa — il data breach — e stabilisce procedure rigide per gestirle. Comprendere quando scatta l’allarme è fondamentale per cittadini e imprese.

Definizione di data breach

Un data breach è una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione o l’accesso non autorizzato a dati personali (Garante Privacy – Gestione data breach). Non importa se la violazione è dolosa o accidentale: ciò che conta è l’impatto sui dati personali.

Come riconoscerla

I casi più comuni di data breach in Italia includono: attacchi informatici con furto di dati, invio di email con allegati sbagliati contenenti informazioni personali, smarrimento di dispositivi con dati non criptati, accessi non autorizzati a sistemi aziendali. Il Garante gestisce le segnalazioni di data breach e pubblica linee guida deontologiche per settori specifici.

Cosa succede in pratica

Quando un’azienda subisce un data breach, deve valutare il rischio entro 24 ore e poi notificare il Garante entro 72 ore se la violazione comporta rischi per i diritti degli interessati. Se il rischio è elevato, anche i cittadini coinvolti devono essere informati direttamente.

Come proteggere la privacy digitale: passi pratici

Proteggere i propri dati online richiede attenzione e buone abitudini. Ecco una guida passo-passo per tutelarti nella vita digitale quotidiana in Italia.

  1. Verifica se i tuoi dati sono considerati sensibili — I dati sanitari, biometrici, genetici e quelli relativi all’orientamento sessuale rientrano nelle categorie protette dall’art. 9 GDPR e richiedono una tutela rafforzata.
  2. Controlla le impostazioni privacy dei tuoi account — Su social network e servizi online, limita la visibilità delle informazioni personali. Google, Meta e altri big tech offrono pannelli di controllo dedicati.
  3. Attiva l’autenticazione a due fattori — Protegge i tuoi account anche se la password viene compromessa. Molti servizi la offrono gratuitamente nelle impostazioni di sicurezza.
  4. Usa password diverse per ogni servizio — Un gestore di password (password manager) ti aiuta a memorizzarle senza ricorrere a combinazioni banali come “123456”.
  5. Scegli provider con sedi operative in UE — Garantisce l’applicazione del GDPR e semplifica l’esercizio dei tuoi diritti in caso di problemi.
  6. Limita la condivisione di dati non necessari — Ogni volta che compili un modulo online, chiediti se tutte le informazioni richieste sono davvero indispensabili.
  7. Conosci i tuoi diritti e come esercitarli — Puoi richiedere al titolare del trattamento l’accesso ai tuoi dati, la loro rettifica o cancellazione. Il modello va inviato direttamente all’azienda, non al Garante (Garante Privacy – Modulistica).
In sintesi: La protezione della privacy digitale inizia da te. Controlla le impostazioni, usa password robuste, e non esitare a esercitare i tuoi diritti quando un’azienda non rispetta le regole. Per i cittadini italiani, il Garante può sanzionare chi viola la normativa, ma la prima difesa resta la prevenzione personale.

Letture correlate: Reati Informatici Italia · Ecommerce Italia

Fonti aggiuntive

youtube.com, garanteprivacy.it, garanteprivacy.it, youtube.com, garanteprivacy.it

Copertura correlata: normative GDPR protezione fördjupar bilden av Privacy Digitale Italia: Normative GDPR e Protezione.

Da non perdere

Domande frequenti

Cos’è un data breach?

Un data breach è una violazione di sicurezza che comporta la distruzione, perdita, modifica, divulgazione o accesso non autorizzato a dati personali. Il Garante gestisce le segnalazioni e può imporre sanzioni al responsabile del trattamento.

Come segnalare una violazione della privacy in Italia?

Puoi presentare un reclamo al Garante per la Protezione dei Dati Personali ai sensi dell’art. 77 GDPR. Il reclamo è lo strumento principale per chi lamenta violazioni della propria privacy. Il modello è disponibile sul sito del Garante (Garante Privacy – Modulistica).

Quali diritti ho con il GDPR?

Hai diritto ad accedere ai tuoi dati, richiederne la rettifica, la cancellazione (“diritto all’oblio”), la limitazione del trattamento, la portabilità verso un altro fornitore e ad opporti al trattamento. Per esercitarli, invia richiesta scritta al titolare del trattamento.

Il D.Lgs. 196/2003 è completamente abrogato?

No. Il Codice Privacy (D.Lgs. 196/2003) è stato parzialmente sostituito dal GDPR. Le parti non in contrasto con il regolamento europeo restano in vigore. Il Garante precisa che si applica la normativa ibrida costituita dal Codice Privacy e dal GDPR.

Quali sono le sanzioni per violazioni della privacy?

Il Garante può applicare sanzioni amministrative pecuniarie fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo per le violazioni più gravi (art. 83 GDPR). Le sanzioni per il mancato rispetto degli obblighi possono arrivare a 10 milioni di euro o al 2% del fatturato.

Come proteggere i dati sensibili online?

Limita la condivisione di dati sanitari, biometrici o relativi all’orientamento sessuale. Usa servizi con crittografia end-to-end, autenticatori multipli e verifica sempre chi richiede i tuoi dati e perché. Evita di pubblicare documenti personali su piattaforme pubbliche.

Chi è il Garante della Privacy?

Il Garante per la Protezione dei Dati Personali (GPDP) è un’autorità amministrativa indipendente istituita nel 1996. Vigila sull’applicazione del GDPR in Italia, riceve reclami, conduce ispezioni e applica sanzioni. È l’unica autorità italiana preposta alla vigilanza sulla protezione dei dati personali.

Sono dati personali le informazioni che identificano o rendono identificabile una persona fisica.

— Garante Privacy (Autorità ufficiale)

Il Regolamento (UE) 2016/679 (articolo 9) ha incluso nella nozione di dati sensibili anche i dati genetici, i dati biometrici e quelli relativi all’orientamento sessuale.

— Garante Privacy (Autorità ufficiale)

Per i cittadini italiani, la privacy digitale non è più un optional. Il GDPR ha alzato l’asticella della protezione, ma ha anche creato nuove responsabilità: sapere cosa sono i tuoi diritti, come esercitarli e quando segnalare un’azienda al Garante. La prossima volta che qualcuno ti chiede dati non necessari, ricorda: hai il diritto di dire no.