FAQ Privacy e GDPR — Domande Frequenti

Question 1

La formazione GDPR è obbligatoria per i dipendenti che trattano dati personali?

Accepted Answer

Sì. Il Reg. UE 2016/679 (GDPR), agli artt. 29, 32 e 39, impone al titolare e al responsabile del trattamento di garantire che le persone autorizzate ad accedere ai dati personali siano formate e operino secondo istruzioni documentate. Il Garante Privacy italiano ha più volte confermato la natura obbligatoria della formazione del personale: la sua assenza configura una violazione del principio di accountability (art. 5.2 GDPR) ed è valutata dal Garante in sede sanzionatoria.

Question 2

Chi sono gli "autorizzati al trattamento" ai sensi dell’art. 29 del GDPR?

Accepted Answer

Sono le persone fisiche che, sotto l’autorità del titolare o del responsabile del trattamento, accedono e trattano dati personali nell’ambito delle proprie mansioni: tipicamente dipendenti, collaboratori, stagisti, somministrati. L’art. 2-quaterdecies del D.Lgs 196/2003 novellato dal D.Lgs 101/2018 disciplina la loro designazione, che deve avvenire per iscritto con istruzioni operative documentate. La formazione è il presupposto per poter validamente autorizzare al trattamento.

Question 3

Quanto dura un corso base di formazione privacy/GDPR per i dipendenti?

Accepted Answer

Non esiste una durata fissata per legge: la prassi, e gli orientamenti delle Autorità di controllo europee (EDPB), indicano un percorso base di 4-8 ore per gli autorizzati al trattamento, modulato in funzione della tipologia di dati trattati (comuni, particolari, giudiziari), del settore e dell’esposizione al rischio. Per figure più esposte (HR, marketing, IT, sanità) sono opportune sessioni più approfondite e specialistiche.

Question 4

Ogni quanto va aggiornata la formazione privacy aziendale?

Accepted Answer

Il GDPR non fissa una periodicità rigida, ma il principio di accountability (art. 5.2) impone di mantenere la formazione adeguata e attuale. La prassi consolidata, supportata dalle linee guida del Garante e dell’EDPB, è quella di un aggiornamento almeno annuale e di sessioni straordinarie in caso di modifiche normative, nuovi trattamenti, data breach, riorganizzazioni o introduzione di nuove tecnologie (es. AI Act, sistemi di videosorveglianza, biometrica).

Question 5

Qual è la differenza tra titolare, responsabile, sub-responsabile e autorizzato del trattamento?

Accepted Answer

Il titolare (art. 4.7 GDPR) determina finalità e mezzi del trattamento e ne assume la responsabilità complessiva. Il responsabile (art. 28) tratta i dati per conto del titolare sulla base di un contratto scritto (DPA - Data Processing Agreement). Il sub-responsabile è un fornitore di secondo livello che il responsabile può nominare con autorizzazione del titolare. L’autorizzato (art. 29 e art. 2-quaterdecies del D.Lgs 196/2003) è la persona fisica che opera sotto l’autorità del titolare o del responsabile e tratta i dati secondo istruzioni.

Question 6

Quando è obbligatorio nominare un DPO (Data Protection Officer)?

Accepted Answer

L’art. 37 del GDPR rende obbligatoria la nomina del DPO (o RPD - Responsabile della Protezione dei Dati) in tre casi: trattamento effettuato da un’autorità pubblica o organismo pubblico (esclusi i tribunali); attività principale del titolare/responsabile che consista in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; attività principale che consista nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali (art. 10). Il Garante e le linee guida EDPB WP243 chiariscono i concetti di "larga scala" e "monitoraggio sistematico".

Question 7

Quali sono le sanzioni previste dal GDPR per chi non rispetta gli obblighi?

Accepted Answer

L’art. 83 del GDPR prevede sanzioni amministrative pecuniarie su due fasce: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (il maggiore) per violazioni di obblighi del titolare/responsabile (es. registro trattamenti, sicurezza, data breach, DPO, DPIA); fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (il maggiore) per violazioni dei principi base del trattamento, delle basi giuridiche, dei diritti degli interessati e dei trasferimenti extra-UE. Il D.Lgs 101/2018 ha integrato anche sanzioni penali per fattispecie specifiche.

Question 8

Cos’è un data breach e in quanto tempo va notificato al Garante?

Accepted Answer

Un data breach (violazione di dati personali) è qualsiasi violazione di sicurezza che comporta accidentalmente o in modo illecito distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali (art. 4.12 GDPR). Ai sensi dell’art. 33 il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà degli interessati. Se il rischio è elevato, va comunicata anche agli interessati (art. 34).

Question 9

Cos’è il registro dei trattamenti previsto dall’art. 30 del GDPR e chi è obbligato a tenerlo?

Accepted Answer

Il registro delle attività di trattamento (art. 30) è il documento in cui titolare e responsabile descrivono i trattamenti effettuati: finalità, categorie di interessati e di dati, destinatari, trasferimenti extra-UE, termini di cancellazione, misure di sicurezza. È in linea di principio obbligatorio per tutti, con esonero per le imprese con meno di 250 dipendenti salvo che il trattamento possa presentare un rischio per i diritti degli interessati, non sia occasionale o riguardi categorie particolari o dati giudiziari: nella pratica quasi tutte le aziende sono tenute a redigerlo (Garante FAQ del 08/10/2018).

Question 10

Quando va effettuata una DPIA (Valutazione d’Impatto sulla Protezione dei Dati)?

Accepted Answer

La DPIA (art. 35 GDPR) è obbligatoria quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, in particolare in caso di valutazione sistematica e globale di aspetti personali basata su processi automatizzati (inclusa la profilazione), trattamento su larga scala di categorie particolari o di dati giudiziari, sorveglianza sistematica di zone accessibili al pubblico. Il Garante italiano ha pubblicato (provv. 11/10/2018) l’elenco dei trattamenti soggetti a DPIA obbligatoria, che comprende biometrica, geolocalizzazione, monitoraggio dei dipendenti, IoT, valutazioni del personale.

Question 11

Qual è la differenza tra base giuridica e consenso nel GDPR?

Accepted Answer

Il consenso (art. 6.1 lett. a) è solo una delle sei basi giuridiche che legittimano il trattamento di dati comuni; le altre sono: esecuzione di un contratto (lett. b), obbligo legale (lett. c), interesse vitale (lett. d), esecuzione di un compito di interesse pubblico (lett. e) e legittimo interesse (lett. f). Il titolare deve individuare la base giuridica più appropriata prima di iniziare il trattamento e documentarla. Il consenso, quando usato, deve essere libero, specifico, informato e inequivocabile (art. 4.11) e sempre revocabile.

Question 12

Che rapporto c’è tra il GDPR e il D.Lgs 196/2003 (Codice Privacy) italiano?

Accepted Answer

Il D.Lgs 196/2003 (Codice in materia di protezione dei dati personali) è stato profondamente novellato dal D.Lgs 101/2018 per adeguarlo al GDPR. Oggi le due fonti coesistono: il GDPR è la disciplina generale direttamente applicabile, mentre il Codice Privacy novellato contiene le disposizioni nazionali di adeguamento e armonizzazione (es. dati relativi alla salute, lavoro, marketing, comunicazioni elettroniche) e le sanzioni penali per specifiche fattispecie. Le linee guida e i provvedimenti del Garante completano il quadro normativo.

Question 13

Per inviare email di marketing serve sempre il consenso?

Accepted Answer

Per la maggior parte delle comunicazioni promozionali a soggetti interessati il consenso è la base giuridica richiesta dal GDPR (art. 6.1.a e art. 7) e dal D.Lgs 196/2003 (art. 130). Il consenso deve essere preventivo, esplicito, libero, informato e specifico per la finalità di marketing. È ammesso il soft spam (art. 130 c. 4 del Codice Privacy) verso clienti, per prodotti analoghi a quelli acquistati, con possibilità di opt-out semplice. Per il telemarketing si applicano regole specifiche e il Registro Pubblico delle Opposizioni (D.P.R. 178/2010).

Question 14

Cookie e GDPR: cosa serve esporre sul sito web?

Accepted Answer

I cookie tecnici non richiedono consenso, mentre i cookie di profilazione e analytics non anonimi richiedono consenso preventivo, libero e specifico secondo le Linee Guida Cookie del Garante del 10/06/2021 (in vigore dal 10/01/2022). Sul sito vanno esposti un banner conforme (senza scrolling come accettazione, con pulsanti "accetta", "rifiuta" e "personalizza"), una cookie policy completa e una privacy policy ai sensi degli artt. 13-14 GDPR. Il consenso va tracciato e deve essere revocabile in qualsiasi momento.

Question 15

Quali sono le regole GDPR per la videosorveglianza in azienda e nei luoghi pubblici?

Accepted Answer

La videosorveglianza è disciplinata dal GDPR, dalle linee guida EDPB n. 3/2019, dal provvedimento generale del Garante 08/04/2010 e, in azienda, dall’art. 4 dello Statuto dei Lavoratori (L. 300/1970) come modificato dal D.Lgs 151/2015. Sono richiesti: base giuridica adeguata (di solito legittimo interesse), informativa ai sensi dell’art. 13 con cartelli a norma, durata di conservazione delle immagini limitata (di norma 24-72 ore, salvo esigenze specifiche), DPIA se la sorveglianza è sistematica o su larga scala, accordo sindacale o autorizzazione ITL per gli impianti in azienda.

Question 16

Cosa cambia con il D.Lgs 24/2023 sul whistleblowing in materia di privacy?

Accepted Answer

Il D.Lgs 24/2023, in attuazione della Direttiva UE 2019/1937, ha esteso a soggetti pubblici e privati l’obbligo di canali interni di segnalazione delle violazioni. I segnalanti e i soggetti coinvolti godono di una specifica tutela dei dati personali: l’identità del segnalante è riservata, l’accesso ai dati è strettamente limitato, vanno predisposti registro dei trattamenti dedicato, DPIA e specifiche misure di sicurezza. Il Garante Privacy ha pubblicato indicazioni operative il 24/07/2023 e la formazione del personale incaricato della gestione delle segnalazioni è considerata adempimento essenziale.

Question 17

Cosa sono le categorie particolari di dati ex art. 9 GDPR?

Accepted Answer

Sono i dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici intesi a identificare in modo univoco una persona, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale. Il loro trattamento è vietato salvo specifiche eccezioni dell’art. 9.2 GDPR (consenso esplicito, obblighi in materia di lavoro, interesse vitale, finalità sanitarie, ecc.) e richiede misure di sicurezza rafforzate. In ambito lavorativo (sorveglianza sanitaria, infortuni) trovano applicazione anche le tutele del Codice Privacy.

Question 18

Quali sono i diritti degli interessati riconosciuti dal GDPR?

Accepted Answer

Il Capo III del GDPR (artt. 12-23) riconosce all’interessato: diritto di informazione (artt. 13-14), accesso (art. 15), rettifica (art. 16), cancellazione/"oblio" (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20), opposizione (art. 21), diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati incluse profilazioni che producono effetti giuridici (art. 22). Il titolare deve rispondere entro un mese, prorogabile di due in casi complessi, e gratuitamente salvo richieste manifestamente infondate o eccessive.

Question 19

Quando un trasferimento di dati extra-UE è lecito dopo la sentenza Schrems II?

Accepted Answer

Dopo la sentenza CGUE Schrems II (C-311/18, 16/07/2020) i trasferimenti di dati personali al di fuori dello SEE sono leciti solo in presenza di: decisione di adeguatezza della Commissione (es. UK, Svizzera, Canada per il settore privato, USA per le aziende certificate al EU-US Data Privacy Framework dal 10/07/2023); garanzie adeguate ex art. 46 (Standard Contractual Clauses aggiornate giugno 2021, BCR, codici di condotta) integrate da Transfer Impact Assessment; deroghe ex art. 49 per situazioni specifiche. La formazione del personale che opera con cloud provider e fornitori extra-UE è essenziale.

Question 20

Il GDPR si applica anche alle piccole imprese (PMI, artigiani, professionisti)?

Accepted Answer

Sì. Il GDPR si applica a tutti i titolari del trattamento, indipendentemente dalla dimensione, quando trattano dati personali nell’esercizio dell’attività professionale o commerciale (art. 2). Per le imprese con meno di 250 dipendenti il GDPR prevede solo un alleggerimento sul registro dei trattamenti (art. 30.5), che però resta dovuto se i trattamenti non sono occasionali o riguardano categorie particolari. Adempimenti come informativa, basi giuridiche, sicurezza, gestione data breach, diritti degli interessati e formazione del personale si applicano integralmente.

Question 21

La formazione privacy e quella sulla sicurezza sul lavoro sono collegate?

Accepted Answer

Sono ambiti normativi distinti ma complementari: la formazione sicurezza deriva dal D.Lgs 81/08 (art. 37 e Accordo Stato-Regioni), quella privacy dal Reg. UE 2016/679 e dal D.Lgs 196/2003 novellato. Molte attività in materia di salute e sicurezza comportano il trattamento di dati personali e di categorie particolari dei lavoratori (sorveglianza sanitaria, infortuni, near miss, dati biometrici per il controllo accessi). È opportuno coordinare entrambi i percorsi formativi, condividere il registro dei trattamenti con RSPP e medico competente e impostare un sistema di gestione integrato.

Question 22

Cosa sono i ruoli di contitolarità del trattamento (art. 26 GDPR)?

Accepted Answer

L’art. 26 GDPR disciplina i casi in cui due o più titolari determinano congiuntamente finalità e mezzi del trattamento. La contitolarità richiede un accordo scritto che definisca in modo trasparente le rispettive responsabilità, in particolare rispetto all’esercizio dei diritti dell’interessato e alle informative ex artt. 13-14. L’interessato può comunque esercitare i suoi diritti nei confronti di ciascun contitolare. La giurisprudenza UE (es. Wirtschaftsakademie, Fashion ID) ha esteso il concetto a piattaforme social, plugin e cobranding, rendendo essenziale la corretta qualificazione dei ruoli e la formazione specialistica.

FAQ Privacy e GDPR — Domande Frequenti

1La formazione GDPR è obbligatoria per i dipendenti che trattano dati personali?

2Chi sono gli "autorizzati al trattamento" ai sensi dell’art. 29 del GDPR?

3Quanto dura un corso base di formazione privacy/GDPR per i dipendenti?

4Ogni quanto va aggiornata la formazione privacy aziendale?

5Qual è la differenza tra titolare, responsabile, sub-responsabile e autorizzato del trattamento?

6Quando è obbligatorio nominare un DPO (Data Protection Officer)?

7Quali sono le sanzioni previste dal GDPR per chi non rispetta gli obblighi?

8Cos’è un data breach e in quanto tempo va notificato al Garante?

9Cos’è il registro dei trattamenti previsto dall’art. 30 del GDPR e chi è obbligato a tenerlo?

10Quando va effettuata una DPIA (Valutazione d’Impatto sulla Protezione dei Dati)?

11Qual è la differenza tra base giuridica e consenso nel GDPR?

12Che rapporto c’è tra il GDPR e il D.Lgs 196/2003 (Codice Privacy) italiano?

13Per inviare email di marketing serve sempre il consenso?

14Cookie e GDPR: cosa serve esporre sul sito web?

15Quali sono le regole GDPR per la videosorveglianza in azienda e nei luoghi pubblici?

16Cosa cambia con il D.Lgs 24/2023 sul whistleblowing in materia di privacy?

17Cosa sono le categorie particolari di dati ex art. 9 GDPR?

18Quali sono i diritti degli interessati riconosciuti dal GDPR?

19Quando un trasferimento di dati extra-UE è lecito dopo la sentenza Schrems II?

20Il GDPR si applica anche alle piccole imprese (PMI, artigiani, professionisti)?

21La formazione privacy e quella sulla sicurezza sul lavoro sono collegate?

22Cosa sono i ruoli di contitolarità del trattamento (art. 26 GDPR)?

Approfondisci il corso Privacy e GDPR

Corso Privacy/GDPR per provincia

Guide e approfondimenti

Altre FAQ sulla Formazione

FAQ Sicurezza sul Lavoro — Domande Frequenti

FAQ HACCP — Domande Frequenti sull’Igiene Alimentare

FAQ RSPP e ASPP — Domande Frequenti

FAQ Antincendio — Domande Frequenti sulla Formazione

FAQ Primo Soccorso — Domande Frequenti

FAQ Lavori in Quota — Domande Frequenti

FAQ Carrelli Elevatori — Domande Frequenti

FAQ Corso Preposti — Domande Frequenti

FAQ Corso Dirigenti — Domande Frequenti

FAQ Formazione Lavoratori — Generale e Specifica

FAQ Validità e Riconoscimento degli Attestati

FAQ Rischio Elettrico PES PAV PEI — Domande Frequenti

FAQ PLE Piattaforme di Lavoro Elevabili — Domande Frequenti

FAQ Spazi Confinati e Ambienti Sospetti di Inquinamento

FAQ RLS Rappresentante dei Lavoratori per la Sicurezza

FAQ HACCP Alimentaristi — Livelli e Validità Regionale

FAQ Movimentazione Manuale dei Carichi (MMC)

FAQ Gru a Torre e Gru per Autocarro — Domande Frequenti

FAQ Corsi Amianto — Addetti e Coordinatori Rimozione

FAQ Videoterminali (VDT) — Formazione e Sorveglianza

FAQ Coordinatore della Sicurezza nei Cantieri (CSP/CSE)

FAQ Aggiornamento Antincendio — D.M. 02/09/2021

FAQ Datore di Lavoro RSPP — Domande Frequenti

FAQ Formazione Finanziata — Fondi Interprofessionali

FAQ Aggiornamento Formazione Sicurezza — Scadenze per Figura

FAQ Sicurezza nei Cantieri — Titolo IV D.Lgs 81/08

FAQ DVR — Documento di Valutazione dei Rischi

FAQ Sorveglianza Sanitaria e Medico Competente

FAQ DPI — Dispositivi di Protezione Individuale

FAQ Patente a Crediti per i Cantieri

FAQ Accordo Stato-Regioni 17 aprile 2025 sulla Formazione

FAQ Attestati di Formazione — Validità e Riconoscimento

FAQ Formazione dei Neoassunti — Tempistiche e Responsabilità

FAQ Stress Lavoro-Correlato — Valutazione Obbligatoria

FAQ Rumore e Vibrazioni — Agenti Fisici (Titolo VIII)

FAQ Formazione dei Lavoratori Stranieri — Comprensione della Lingua

FAQ Idoneità Sanitaria — Visita Medica e Giudizio

FAQ DPI di Terza Categoria — Addestramento Obbligatorio

FAQ Lavori in Quota — Cadute dall’Alto e Protezioni

FAQ Segnaletica di Sicurezza — Titolo V del D.Lgs 81/08

FAQ Gestione delle Emergenze ed Evacuazione

FAQ Appalti e DUVRI — Sicurezza nei Contratti d’Appalto

FAQ Rischio Biologico — Esposizione ad Agenti Biologici

FAQ Rischio Chimico e Cancerogeno — Agenti Pericolosi

FAQ Lavoro Notturno e a Turni — Tutele e Sorveglianza

FAQ Formazione Particolare e Aggiuntiva — Preposti, Dirigenti e Addestramento

FAQ Attrezzature di Lavoro — Obblighi d’Uso e Manutenzione (Titolo III)

FAQ Luoghi di Lavoro — Requisiti di Salute e Sicurezza (Titolo II)

FAQ Cassetta di Primo Soccorso e Presidi — DM 388/2003

FAQ Verifiche Periodiche delle Attrezzature di Lavoro — Art. 71 D.Lgs 81/08

FAQ Tutela delle Lavoratrici Madri e Gravidanza — D.Lgs 151/2001

FAQ Formazione del RLS — Rappresentante dei Lavoratori per la Sicurezza

FAQ Infortuni sul Lavoro e Denuncia all’INAIL — Obblighi e Termini