FAQ Privacy e GDPR — Domande Frequenti
Tutto sulla formazione privacy e sugli obblighi GDPR per aziende, dipendenti autorizzati al trattamento, DPO e PMI, con riferimenti al Reg. UE 2016/679 e al D.Lgs 196/2003 novellato dal D.Lgs 101/2018
1La formazione GDPR è obbligatoria per i dipendenti che trattano dati personali?
Sì. Il Reg. UE 2016/679 (GDPR), agli artt. 29, 32 e 39, impone al titolare e al responsabile del trattamento di garantire che le persone autorizzate ad accedere ai dati personali siano formate e operino secondo istruzioni documentate. Il Garante Privacy italiano ha più volte confermato la natura obbligatoria della formazione del personale: la sua assenza configura una violazione del principio di accountability (art. 5.2 GDPR) ed è valutata dal Garante in sede sanzionatoria.
2Chi sono gli "autorizzati al trattamento" ai sensi dell’art. 29 del GDPR?
Sono le persone fisiche che, sotto l’autorità del titolare o del responsabile del trattamento, accedono e trattano dati personali nell’ambito delle proprie mansioni: tipicamente dipendenti, collaboratori, stagisti, somministrati. L’art. 2-quaterdecies del D.Lgs 196/2003 novellato dal D.Lgs 101/2018 disciplina la loro designazione, che deve avvenire per iscritto con istruzioni operative documentate. La formazione è il presupposto per poter validamente autorizzare al trattamento.
3Quanto dura un corso base di formazione privacy/GDPR per i dipendenti?
Non esiste una durata fissata per legge: la prassi, e gli orientamenti delle Autorità di controllo europee (EDPB), indicano un percorso base di 4-8 ore per gli autorizzati al trattamento, modulato in funzione della tipologia di dati trattati (comuni, particolari, giudiziari), del settore e dell’esposizione al rischio. Per figure più esposte (HR, marketing, IT, sanità) sono opportune sessioni più approfondite e specialistiche.
4Ogni quanto va aggiornata la formazione privacy aziendale?
Il GDPR non fissa una periodicità rigida, ma il principio di accountability (art. 5.2) impone di mantenere la formazione adeguata e attuale. La prassi consolidata, supportata dalle linee guida del Garante e dell’EDPB, è quella di un aggiornamento almeno annuale e di sessioni straordinarie in caso di modifiche normative, nuovi trattamenti, data breach, riorganizzazioni o introduzione di nuove tecnologie (es. AI Act, sistemi di videosorveglianza, biometrica).
5Qual è la differenza tra titolare, responsabile, sub-responsabile e autorizzato del trattamento?
Il titolare (art. 4.7 GDPR) determina finalità e mezzi del trattamento e ne assume la responsabilità complessiva. Il responsabile (art. 28) tratta i dati per conto del titolare sulla base di un contratto scritto (DPA - Data Processing Agreement). Il sub-responsabile è un fornitore di secondo livello che il responsabile può nominare con autorizzazione del titolare. L’autorizzato (art. 29 e art. 2-quaterdecies del D.Lgs 196/2003) è la persona fisica che opera sotto l’autorità del titolare o del responsabile e tratta i dati secondo istruzioni.
6Quando è obbligatorio nominare un DPO (Data Protection Officer)?
L’art. 37 del GDPR rende obbligatoria la nomina del DPO (o RPD - Responsabile della Protezione dei Dati) in tre casi: trattamento effettuato da un’autorità pubblica o organismo pubblico (esclusi i tribunali); attività principale del titolare/responsabile che consista in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; attività principale che consista nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali (art. 10). Il Garante e le linee guida EDPB WP243 chiariscono i concetti di "larga scala" e "monitoraggio sistematico".
7Quali sono le sanzioni previste dal GDPR per chi non rispetta gli obblighi?
L’art. 83 del GDPR prevede sanzioni amministrative pecuniarie su due fasce: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (il maggiore) per violazioni di obblighi del titolare/responsabile (es. registro trattamenti, sicurezza, data breach, DPO, DPIA); fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (il maggiore) per violazioni dei principi base del trattamento, delle basi giuridiche, dei diritti degli interessati e dei trasferimenti extra-UE. Il D.Lgs 101/2018 ha integrato anche sanzioni penali per fattispecie specifiche.
8Cos’è un data breach e in quanto tempo va notificato al Garante?
Un data breach (violazione di dati personali) è qualsiasi violazione di sicurezza che comporta accidentalmente o in modo illecito distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali (art. 4.12 GDPR). Ai sensi dell’art. 33 il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà degli interessati. Se il rischio è elevato, va comunicata anche agli interessati (art. 34).
9Cos’è il registro dei trattamenti previsto dall’art. 30 del GDPR e chi è obbligato a tenerlo?
Il registro delle attività di trattamento (art. 30) è il documento in cui titolare e responsabile descrivono i trattamenti effettuati: finalità, categorie di interessati e di dati, destinatari, trasferimenti extra-UE, termini di cancellazione, misure di sicurezza. È in linea di principio obbligatorio per tutti, con esonero per le imprese con meno di 250 dipendenti salvo che il trattamento possa presentare un rischio per i diritti degli interessati, non sia occasionale o riguardi categorie particolari o dati giudiziari: nella pratica quasi tutte le aziende sono tenute a redigerlo (Garante FAQ del 08/10/2018).
10Quando va effettuata una DPIA (Valutazione d’Impatto sulla Protezione dei Dati)?
La DPIA (art. 35 GDPR) è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, in particolare in caso di valutazione sistematica e globale di aspetti personali basata su processi automatizzati (inclusa la profilazione), trattamento su larga scala di categorie particolari o di dati giudiziari, sorveglianza sistematica di zone accessibili al pubblico. Il Garante italiano ha pubblicato (provv. 11/10/2018) l’elenco dei trattamenti soggetti a DPIA obbligatoria, che comprende biometrica, geolocalizzazione, monitoraggio dei dipendenti, IoT, valutazioni del personale.
11Qual è la differenza tra base giuridica e consenso nel GDPR?
Il consenso (art. 6.1 lett. a) è solo una delle sei basi giuridiche che legittimano il trattamento di dati comuni; le altre sono: esecuzione di un contratto (lett. b), obbligo legale (lett. c), interesse vitale (lett. d), esecuzione di un compito di interesse pubblico (lett. e) e legittimo interesse (lett. f). Il titolare deve individuare la base giuridica più appropriata prima di iniziare il trattamento e documentarla. Il consenso, quando usato, deve essere libero, specifico, informato e inequivocabile (art. 4.11) e sempre revocabile.
12Che rapporto c’è tra il GDPR e il D.Lgs 196/2003 (Codice Privacy) italiano?
Il D.Lgs 196/2003 (Codice in materia di protezione dei dati personali) è stato profondamente novellato dal D.Lgs 101/2018 per adeguarlo al GDPR. Oggi le due fonti coesistono: il GDPR è la disciplina generale direttamente applicabile, mentre il Codice Privacy novellato contiene le disposizioni nazionali di adeguamento e armonizzazione (es. dati relativi alla salute, lavoro, marketing, comunicazioni elettroniche) e le sanzioni penali per specifiche fattispecie. Le linee guida e i provvedimenti del Garante completano il quadro normativo.
13Per inviare email di marketing serve sempre il consenso?
Per la maggior parte delle comunicazioni promozionali a soggetti interessati il consenso è la base giuridica richiesta dal GDPR (art. 6.1.a e art. 7) e dal D.Lgs 196/2003 (art. 130). Il consenso deve essere preventivo, esplicito, libero, informato e specifico per la finalità di marketing. È ammesso il soft spam (art. 130 c. 4 del Codice Privacy) verso clienti, per prodotti analoghi a quelli acquistati, con possibilità di opt-out semplice. Per il telemarketing si applicano regole specifiche e il Registro Pubblico delle Opposizioni (D.P.R. 178/2010).
14Cookie e GDPR: cosa serve esporre sul sito web?
I cookie tecnici non richiedono consenso, mentre i cookie di profilazione e analytics non anonimi richiedono consenso preventivo, libero e specifico secondo le Linee Guida Cookie del Garante del 10/06/2021 (in vigore dal 10/01/2022). Sul sito vanno esposti un banner conforme (senza scrolling come accettazione, con pulsanti "accetta", "rifiuta" e "personalizza"), una cookie policy completa e una privacy policy ai sensi degli artt. 13-14 GDPR. Il consenso va tracciato e deve essere revocabile in qualsiasi momento.
15Quali sono le regole GDPR per la videosorveglianza in azienda e nei luoghi pubblici?
La videosorveglianza è disciplinata dal GDPR, dalle linee guida EDPB n. 3/2019, dal provvedimento generale del Garante 08/04/2010 e, in azienda, dall’art. 4 dello Statuto dei Lavoratori (L. 300/1970) come modificato dal D.Lgs 151/2015. Sono richiesti: base giuridica adeguata (di solito legittimo interesse), informativa ai sensi dell’art. 13 con cartelli a norma, durata di conservazione delle immagini limitata (di norma 24-72 ore, salvo esigenze specifiche), DPIA se la sorveglianza è sistematica o su larga scala, accordo sindacale o autorizzazione ITL per gli impianti in azienda.
16Cosa cambia con il D.Lgs 24/2023 sul whistleblowing in materia di privacy?
Il D.Lgs 24/2023, in attuazione della Direttiva UE 2019/1937, ha esteso a soggetti pubblici e privati l’obbligo di canali interni di segnalazione delle violazioni. I segnalanti e i soggetti coinvolti godono di una specifica tutela dei dati personali: l’identità del segnalante è riservata, l’accesso ai dati è strettamente limitato, vanno predisposti registro dei trattamenti dedicato, DPIA e specifiche misure di sicurezza. Il Garante Privacy ha pubblicato indicazioni operative il 24/07/2023 e la formazione del personale incaricato della gestione delle segnalazioni è considerata adempimento essenziale.
17Cosa sono le categorie particolari di dati ex art. 9 GDPR?
Sono i dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici intesi a identificare in modo univoco una persona, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale. Il loro trattamento è vietato salvo specifiche eccezioni dell’art. 9.2 GDPR (consenso esplicito, obblighi in materia di lavoro, interesse vitale, finalità sanitarie, ecc.) e richiede misure di sicurezza rafforzate. In ambito lavorativo (sorveglianza sanitaria, infortuni) trovano applicazione anche le tutele del Codice Privacy.
18Quali sono i diritti degli interessati riconosciuti dal GDPR?
Il Capo III del GDPR (artt. 12-23) riconosce all’interessato: diritto di informazione (artt. 13-14), accesso (art. 15), rettifica (art. 16), cancellazione/"oblio" (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20), opposizione (art. 21), diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati incluse profilazioni che producono effetti giuridici (art. 22). Il titolare deve rispondere entro un mese, prorogabile di due in casi complessi, e gratuitamente salvo richieste manifestamente infondate o eccessive.
19Quando un trasferimento di dati extra-UE è lecito dopo la sentenza Schrems II?
Dopo la sentenza CGUE Schrems II (C-311/18, 16/07/2020) i trasferimenti di dati personali al di fuori dello SEE sono leciti solo in presenza di: decisione di adeguatezza della Commissione (es. UK, Svizzera, Canada per il settore privato, USA per le aziende certificate al EU-US Data Privacy Framework dal 10/07/2023); garanzie adeguate ex art. 46 (Standard Contractual Clauses aggiornate giugno 2021, BCR, codici di condotta) integrate da Transfer Impact Assessment; deroghe ex art. 49 per situazioni specifiche. La formazione del personale che opera con cloud provider e fornitori extra-UE è essenziale.
20Il GDPR si applica anche alle piccole imprese (PMI, artigiani, professionisti)?
Sì. Il GDPR si applica a tutti i titolari del trattamento, indipendentemente dalla dimensione, quando trattano dati personali nell’esercizio dell’attività professionale o commerciale (art. 2). Per le imprese con meno di 250 dipendenti il GDPR prevede solo un alleggerimento sul registro dei trattamenti (art. 30.5), che però resta dovuto se i trattamenti non sono occasionali o riguardano categorie particolari. Adempimenti come informativa, basi giuridiche, sicurezza, gestione data breach, diritti degli interessati e formazione del personale si applicano integralmente.
21La formazione privacy e quella sulla sicurezza sul lavoro sono collegate?
Sono ambiti normativi distinti ma complementari: la formazione sicurezza deriva dal D.Lgs 81/08 (art. 37 e Accordo Stato-Regioni), quella privacy dal Reg. UE 2016/679 e dal D.Lgs 196/2003 novellato. Molte attività in materia di salute e sicurezza comportano il trattamento di dati personali e di categorie particolari dei lavoratori (sorveglianza sanitaria, infortuni, near miss, dati biometrici per il controllo accessi). È opportuno coordinare entrambi i percorsi formativi, condividere il registro dei trattamenti con RSPP e medico competente e impostare un sistema di gestione integrato.
22Cosa sono i ruoli di contitolarità del trattamento (art. 26 GDPR)?
L’art. 26 GDPR disciplina i casi in cui due o più titolari determinano congiuntamente finalità e mezzi del trattamento. La contitolarità richiede un accordo scritto che definisca in modo trasparente le rispettive responsabilità, in particolare rispetto all’esercizio dei diritti dell’interessato e alle informative ex artt. 13-14. L’interessato può comunque esercitare i suoi diritti nei confronti di ciascun contitolare. La giurisprudenza UE (es. Wirtschaftsakademie, Fashion ID) ha esteso il concetto a piattaforme social, plugin e cobranding, rendendo essenziale la corretta qualificazione dei ruoli e la formazione specialistica.
Approfondisci il corso Privacy e GDPR
Corso Privacy/GDPR per provincia
Sedi e modalità FAD attive nelle principali province italiane.
Guide e approfondimenti
Altre FAQ correlate
FAQ Validità e Riconoscimento degli Attestati
13 domande
FAQ Aggiornamento Formazione Sicurezza — Scadenze per Figura
16 domande
FAQ Corsi E-Learning — Come Funziona la Formazione Online sulla Sicurezza
12 domande
FAQ Sanzioni per Mancata Formazione sulla Sicurezza — Art. 55 e 18 D.Lgs 81/08
11 domande
FAQ Formazione Finanziata — Fondi Interprofessionali
6 domande
FAQ INAIL e Finanziamento della Formazione Sicurezza: OT23 e Agevolazioni
7 domande
Hai altre domande?
Il nostro team di esperti è a tua disposizione per rispondere a qualsiasi dubbio sulla formazione obbligatoria.
Contattaci Ora