Protezione dati 2026: obblighi e sanzioni

Accountability, non mera modulistica

La protezione dei dati non coincide con informative, consensi e registri conservati in un fascicolo. Il principio di accountability richiede che il titolare scelga misure adeguate al rischio, le attui e sappia dimostrarne l'efficacia. La documentazione è necessaria, ma deve descrivere processi reali: chi accede ai dati, perché, per quanto tempo, attraverso quali fornitori e con quale risposta in caso di errore o attacco.

La mappa delle fonti parte dal GDPR e dal Codice Privacy italiano. Può poi estendersi, secondo attività e qualificazione del soggetto, a NIS2, DORA, Data Act, AI Act, whistleblowing, CAD, regole sanitarie ed EHDS. Non tutte queste norme si applicano a tutti: sovrapporle senza un'analisi di perimetro produce costi e una falsa sensazione di conformità.

Il nucleo: GDPR e Codice Privacy

Ogni trattamento deve rispettare liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. La base dell'art. 6 GDPR va individuata per ciascuna finalità; per categorie particolari di dati occorre anche una condizione dell'art. 9. Il consenso non è una base universale e, quando esiste uno squilibrio o un obbligo legale, può essere inappropriato.

Trasparenza e inventario

Informative degli artt. 13-14 coerenti con i flussi effettivi; inventario di sistemi, destinatari e conservazione; procedure per diritti e cancellazione.

Registro art. 30

L'eccezione per organizzazioni con meno di 250 addetti è stretta: non opera se il trattamento non è occasionale, può presentare rischio o riguarda dati degli artt. 9 o 10. Nella pratica il registro resta spesso necessario.

Fornitori e sicurezza

Il responsabile va scelto e regolato ai sensi dell'art. 28. Le misure dell'art. 32 devono essere proporzionate: controllo accessi, MFA, cifratura ove pertinente, log, backup, patching e test.

Rischio e governance

Privacy by design e by default dall'art. 25; DPIA per trattamenti probabilmente ad alto rischio; DPO nei casi dell'art. 37, con indipendenza, risorse e accesso alla direzione.

Una violazione dei dati personali va valutata e documentata. Se presenta rischio per le persone, il titolare notifica il Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore; se il rischio è elevato può essere necessaria anche la comunicazione agli interessati. Per trasferimenti fuori dallo SEE occorre verificare decisione di adeguatezza o garanzie dell'art. 46, svolgere le valutazioni necessarie e controllare la catena dei subfornitori.

Cookie e tecnologie equivalenti restano disciplinati dall'art. 122 del Codice Privacy e dalla direttiva ePrivacy: quelli non tecnici richiedono normalmente consenso preventivo, scelta granulare e possibilità di revoca. Un banner non corregge tracciamenti già attivati prima della scelta.

Chi deve fare cosa

Professionisti e imprese

Devono distinguere dati di clienti, dipendenti, contatti e utenti; definire basi e tempi; governare collaboratori, cloud, software e marketing; verificare trasferimenti e sicurezza. Dimensioni ridotte non eliminano gli obblighi quando i trattamenti sono continuativi, sensibili o rischiosi. L'uso di AI generativa aggiunge la necessità di controllare input, addestramento, conservazione, riuso e localizzazione dei provider.

Pubbliche amministrazioni

Le PA designano il DPO e devono coordinare GDPR, Codice dell'amministrazione digitale, indicazioni AgID e requisiti ACN. Trasparenza amministrativa non significa pubblicazione indiscriminata: base normativa, pertinenza, minimizzazione, indicizzazione e durata online vanno valutate. La NIS2 si aggiunge soltanto per le amministrazioni incluse nel perimetro nazionale.

Strutture sanitarie

I dati sanitari sono categorie particolari ex art. 9. Cura, obblighi sanitari e interesse pubblico possono fornire condizioni diverse dal consenso, ma non eliminano trasparenza e sicurezza. Registro, DPO nei casi previsti, DPIA, profilazione degli accessi, autenticazione, segregazione dei ruoli, log e controlli periodici sono centrali; il Fascicolo sanitario elettronico segue inoltre la disciplina nazionale dedicata.

L'EHDS è entrato in vigore, ma la sua applicazione generale inizia il 26 marzo 2027, con ulteriori fasi successive: non va presentato come obbligo pienamente operativo oggi.

Enti religiosi

L'art. 9, par. 2, lett. d), consente a fondazioni, associazioni o organismi senza scopo di lucro con finalità religiose di trattare, con adeguate garanzie e nei limiti interni previsti, dati di membri, ex membri e contatti regolari. Non è un'esenzione generale. L'art. 91 preserva regole confessionali complete già esistenti, purché rese conformi al GDPR e soggette a un'autorità di controllo indipendente. Attività sanitarie, scolastiche, assistenziali o commerciali ricadono nei regimi ordinari pertinenti.

Finanza e assicurazioni

Per le entità finanziarie incluse, DORA è applicabile dal 17 gennaio 2025 e impone governance del rischio ICT, gestione e reporting degli incidenti, test di resilienza e presidio dei fornitori ICT. Il GDPR continua a operare sui dati personali: resilienza operativa e protezione dati sono coordinate, non alternative.

Normative connesse applicabili oggi

NIS2 e decreto legislativo 138/2024

La NIS2 non è universale: settore, dimensione, tipologia e inserimento nell'elenco ACN determinano la qualifica di soggetto essenziale o importante. Il decreto richiede governance degli organi, misure di gestione del rischio cyber, sicurezza della supply chain e flussi di incidente. Per un incidente significativo il percorso comprende pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale; non sostituisce la distinta analisi del data breach GDPR. Le organizzazioni interessate devono presidiare anche gli adempimenti ACN e le scadenze operative 2026 comunicate nel portale NIS.

DORA, Data Act e whistleblowing

DORA si applica dal 17 gennaio 2025 alle entità finanziarie indicate dal regolamento. Il Data Act si applica dal 12 settembre 2025 e regola accesso e uso dei dati dei prodotti connessi, clausole contrattuali e switching cloud; al 25 agosto 2026 non risultava ancora una disciplina sanzionatoria italiana organica da descrivere come definitivamente completa.

Il d.lgs. 24/2023 sul whistleblowing richiede canali riservati, limitazione degli accessi, tempi di conservazione e informative coerenti. Registrare ogni segnalazione o ampliare i destinatari “per sicurezza” contrasta con minimizzazione e need-to-know.

AI Act: cosa è già applicabile

Al 25 agosto 2026 sono applicabili, tra l'altro, divieti dell'art. 5, alfabetizzazione AI, governance e obblighi per i modelli di AI per finalità generali, nonché le disposizioni generali entrate in applicazione. Il Regolamento (UE) 2026/1744 ha rinviato le sezioni centrali sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi dell'art. 6, par. 2, e Allegato III; al 2 agosto 2028 per quelli collegati alla normativa di prodotto dell'art. 6, par. 1. La legge italiana 132/2025 integra il quadro nazionale, ma non trasforma ogni utilizzo di AI in sistema ad alto rischio.

EHDS: preparazione, non piena applicazione

Il Regolamento (UE) 2025/327 ha istituito lo spazio europeo dei dati sanitari. La prima data generale è il 26 marzo 2027, seguita da applicazioni graduali. Nel 2026 è ragionevole preparare interoperabilità, governance e tracciabilità, senza attribuire al regolamento obblighi che non sono ancora applicabili.

Sanzioni: massimali, criteri e differenze

Gli importi seguenti sono massimali edittali, non sanzioni automatiche. Gravità, durata, dolo o colpa, danno, cooperazione, precedenti, misure correttive, vantaggio economico, dimensione e fatturato incidono sul caso concreto. Massimali di discipline diverse non si sommano meccanicamente.

GDPR e Codice Privacy

Art. 83: fino a 10 milioni di euro o 2% del fatturato mondiale; per la fascia superiore, fino a 20 milioni o 4%. In Italia le PA non sono esenti. Il Codice conserva fattispecie penali specifiche: ad esempio il trattamento illecito dell'art. 167 richiede, oltre alla violazione delle disposizioni richiamate, dolo specifico e nocumento; comunicazione o acquisizione su larga scala hanno elementi propri. Non ogni violazione privacy è reato.

NIS2 nazionale

Per le violazioni principali: essenziali privati fino a 10 milioni o 2%, minimo un ventesimo del massimo; importanti fino a 7 milioni o 1,4%, minimo un trentesimo. PA essenziali: 25.000–125.000 euro; PA importanti: fascia ridotta di un terzo. Per le violazioni del comma 10 dell'art. 38: 0,1% essenziali, 0,07% importanti; PA essenziali 10.000–50.000 euro, PA importanti con riduzione di un terzo.

Whistleblowing

ANAC può applicare 10.000–50.000 euro per ritorsioni, ostacolo, violazione della riservatezza o mancanza/inadeguatezza dei canali; 5.000–30.000 euro per mancata verifica e analisi delle segnalazioni; 500–2.500 euro nei casi previsti per responsabilità del segnalante.

AI Act

Art. 99: fino a 35 milioni o 7% per pratiche vietate; 15 milioni o 3% per altri obblighi indicati; 7,5 milioni o 1% per informazioni inesatte. Per le PMI vale il minore dei due massimali. I modelli GPAI hanno un regime distinto, affidato alla vigilanza dell'AI Office, con sanzioni fino al 3% del fatturato mondiale annuo.

DORA

Non esiste un unico massimo trasversale. Il d.lgs. 23/2025 differenzia autorità, soggetti e condotte: tra gli esempi ricorrono, secondo il settore, massimi fino a 5 milioni di euro per persone fisiche e fino a 5 milioni o al 10% del fatturato per persone giuridiche. Il dato non è estendibile a ogni entità: va consultata la disposizione settoriale applicabile.

Data Act

L'art. 40 richiede sanzioni effettive, proporzionate e dissuasive e prevede il coordinamento con le autorità privacy per i dati personali. In assenza, alla data di questo articolo, di un assetto italiano organico definitivamente ricostruibile, non è corretto importare automaticamente i massimali GDPR per ogni violazione del Data Act.

Checklist operativa 2026

Inventario e registro: trattamenti, sistemi, ruoli, dati, finalità, conservazione, destinatari e trasferimenti.
Basi e informative: matrice artt. 6 e 9; informative coerenti; procedure per diritti e reclami.
Fornitori: due diligence, accordi art. 28, subresponsabili, localizzazione, cancellazione, audit e uscita.
Accessi e sicurezza: minimo privilegio, MFA, log, patching, backup, test di ripristino e segregazione.
Conservazione: tempi motivati, cancellazione verificabile e sospensioni per contenzioso documentate.
Valutazioni: screening DPIA e valutazione completa ove necessaria; rischio AI e diritti fondamentali se pertinente.
Incident plan: playbook coordinato per 72 ore GDPR e, se applicabile, 24/72 ore NIS2, con evidenze e responsabilità.
Trasferimenti e AI: Paesi, garanzie, provider, input, output, training, retention, BYOK e opzioni locali.
Persone e controllo: formazione per ruolo, simulazioni, audit periodici, azioni correttive e reporting alla direzione.

Plicum: un approccio privacy-first verificabile nei suoi elementi pubblici

L'analisi della documentazione pubblica di Plicum / SmartPDF mostra un modello local-first: il produttore dichiara 38 strumenti, dei quali 32 eseguiti sul dispositivo. Le eccezioni descritte comprendono due operazioni sui server Plicum — Office→PDF e HTML→PDF — e due funzioni con provider AI, riassunto e traduzione, oltre ad altre funzioni opzionali.

Il server è dichiarato a Francoforte, nell'UE. Prima dell'invio all'AI l'utente può visualizzare e approvare il contenuto; la pseudonimizzazione avviene localmente e la mappa dei segnaposto non viene inviata. Sono dichiarate scelta del provider e opzioni BYOK. Nella sessione pubblica esaminata non sono emersi cookie di profilazione; Stripe è indicato per il pagamento. Questi elementi rendono più leggibili i flussi e valorizzano minimizzazione e privacy by design.

I limiti restano sostanziali. Pseudonimizzazione non significa anonimizzazione; il riconoscimento dei dati non è completo. Server e provider richiedono comunque base giuridica, valutazione dell'art. 28, verifica dei trasferimenti e due diligence. Non risultano pubblicati certificati ISO, report SOC 2 o audit indipendenti; l'analisi della documentazione e dell'interfaccia pubblica non è un audit del backend e non dimostra automaticamente la conformità al GDPR.

Non risultano fonti indipendenti sufficienti a documentare un primato mondiale, né quel claim compare nei materiali pubblici esaminati. Il valore verificabile non è quindi una pretesa di “prima al mondo”, ma il disegno local-first e la trasparenza dichiarata sui passaggi nei quali il documento lascia il dispositivo.

Esamina Plicum Apri l'app

Fonti ufficiali e documentazione

Link verificati il 25 agosto 2026. I primi riferimenti sono fonti istituzionali; gli ultimi tre sono documentazione del produttore Plicum e non fonti indipendenti.

Protezione dei dati nel 2026: obblighi, sanzioni e nuovi standard operativi