GDPR in azienda nel 2026: privacy, cookie e whistleblowing

Il GDPR si applica dal 2018, ma nel 2026 molte aziende italiane hanno ancora un'informativa copiata da un modello, un cookie banner che non blocca nulla e nessun canale per le segnalazioni whistleblowing. Le regole di base quest'anno non sono cambiate. Sono cambiate le indicazioni delle autorità, i controlli sono continui e a Bruxelles si discute di una riforma. Questa guida mette in fila cosa serve oggi, adempimento per adempimento.

Le regole di riferimento

• GDPR (Regolamento UE 2016/679): i principi, i diritti delle persone e gli obblighi di chi tratta dati personali.
• Codice privacy (d.lgs. 196/2003, aggiornato dal d.lgs. 101/2018): le regole italiane, tra cui marketing, cookie e trattamento dei dati dei lavoratori.
• Linee guida del Garante su cookie e strumenti di tracciamento (10 giugno 2021), applicabili da gennaio 2022 e tuttora in vigore.
• Decreto whistleblowing (d.lgs. 24/2023) e linee guida dell'ANAC.

1. L'informativa privacy

Ogni volta che raccogli dati personali devi dire alle persone chi li tratta, perché e per quanto tempo (artt. 13 e 14 GDPR). L'informativa deve indicare:

• il titolare e i suoi contatti, e il DPO se è stato nominato;
• le finalità e, per ciascuna, la base giuridica: contratto, obbligo di legge, consenso o legittimo interesse (che va spiegato);
• i destinatari, compresi i fornitori che trattano i dati per tuo conto (hosting, posta, CRM, gestionale);
• gli eventuali trasferimenti fuori dall'Unione europea e le garanzie adottate;
• i tempi di conservazione, in concreto e non con un generico «per il tempo necessario»;
• i diritti dell'interessato, compreso il reclamo al Garante.

Un'informativa sul sito non basta: servono testi distinti per dipendenti, candidati, clienti e fornitori, e un cartello per l'eventuale videosorveglianza. L'errore più comune è il modello generico mai aggiornato, con fornitori che non si usano più e servizi nuovi che mancano.

2. Cookie banner e cookie policy

I cookie tecnici, necessari a far funzionare il sito, non richiedono consenso, ma vanno indicati nella cookie policy. Tutto il resto (pixel pubblicitari, profilazione, la maggior parte delle statistiche di terze parti, video e mappe incorporati) può partire solo dopo il consenso. Le linee guida del Garante fissano regole precise per il banner:

• chiudere il banner con la X equivale a rifiutare, e la X deve essere ben visibile;
• accettare e rifiutare devono avere la stessa evidenza: niente pulsanti «Accetta» in risalto e rifiuto nascosto;
• lo scroll della pagina non vale come consenso;
• nelle scelte di dettaglio le categorie non necessarie partono disattivate;
• il cookie wall, cioè l'accesso al sito solo a chi accetta, è di regola illecito;
• il banner non si ripropone prima di sei mesi, salvo cambiamenti nei cookie usati;
• la scelta va registrata e deve poter essere cambiata in ogni momento, per esempio con un link nel footer.

Le statistiche possono essere equiparate ai cookie tecnici solo a condizioni strette: dati aggregati per il solo sito, indirizzo IP mascherato e fornitore che non incrocia i dati con altri. Con molti strumenti di terze parti queste condizioni non sono facili da dimostrare, e il consenso resta la scelta più prudente.

Il difetto più frequente non è il testo del banner ma il suo funzionamento: il messaggio compare, ma gli script di tracciamento partono comunque al primo caricamento. È anche la prima cosa che si controlla, perché basta aprire gli strumenti di sviluppo del browser.

Per i servizi americani (statistiche, newsletter, cloud) il riferimento è il Data Privacy Framework UE-USA, in vigore da luglio 2023: il trasferimento è lecito verso le aziende certificate. Il Tribunale dell'Unione lo ha confermato a settembre 2025 (causa T-553/23), ma il ricorso alla Corte di giustizia (C-703/25 P) è ancora pendente. Conviene sapere quali fornitori sono certificati e mantenere le clausole contrattuali standard come piano di riserva.

3. Gli altri adempimenti GDPR

Registro dei trattamenti

È obbligatorio sopra i 250 dipendenti. Sotto questa soglia lo diventa se il trattamento non è occasionale, se riguarda categorie particolari di dati (come quelli sanitari) o dati giudiziari, o se presenta rischi. In pratica quasi ogni azienda con dipendenti ne ha bisogno, perché la gestione del personale è continua. Il Garante lo raccomanda comunque a tutti, perché è il documento che dimostra di sapere quali dati si trattano.

Fornitori, autorizzazioni e sicurezza

Chi tratta dati per tuo conto (consulente del lavoro, software house, cloud, agenzia web) va nominato responsabile del trattamento con un contratto (art. 28). Il personale va autorizzato e istruito. La sicurezza deve essere adeguata al rischio (art. 32): accessi personali, autenticazione a due fattori, aggiornamenti e backup verificati.

Data breach

Una violazione che comporta un rischio per le persone va notificata al Garante entro 72 ore da quando se ne viene a conoscenza. Se il rischio è elevato vanno avvisati anche gli interessati. Ogni violazione, anche non notificata, va annotata in un registro interno.

DPIA e DPO

La valutazione d'impatto (DPIA) serve per i trattamenti a rischio elevato: videosorveglianza estesa, geolocalizzazione dei dipendenti, profilazione su larga scala. Il DPO è obbligatorio per gli enti pubblici e per chi, come attività principale, monitora persone su larga scala o tratta su larga scala categorie particolari di dati o dati giudiziari. Per le altre PMI è facoltativo.

Lavoratori

Telecamere e strumenti che consentono un controllo a distanza richiedono un accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro (art. 4 dello Statuto dei lavoratori). Per la posta aziendale il Garante indica in 21 giorni il periodo oltre il quale la conservazione dei metadati delle email dei dipendenti richiede, in generale, le stesse garanzie.

Marketing

Le email promozionali richiedono il consenso. L'eccezione è il cosiddetto soft spam: puoi scrivere ai tuoi clienti per prodotti analoghi a quelli già acquistati, purché possano opporsi in ogni momento. Prima di telefonare va consultato il Registro pubblico delle opposizioni, che dal 2022 copre anche i cellulari. Le liste acquistate da terzi vanno verificate, perché il telemarketing resta tra i settori più sanzionati dal Garante anche nel 2026.

Le sanzioni del GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore. Per le PMI il rischio più concreto è un'ispezione nata da un reclamo: un ex dipendente, un cliente infastidito, una newsletter a cui nessuno si era iscritto.

4. Whistleblowing: chi deve avere un canale di segnalazione

Il d.lgs. 24/2023 obbliga ad attivare un canale interno per le segnalazioni di illeciti:

• le aziende che nell'ultimo anno hanno avuto una media di almeno 50 dipendenti, a tempo indeterminato o determinato;
• le aziende che hanno adottato un modello organizzativo 231, qualunque sia la loro dimensione;
• alcuni settori regolati dalle norme europee richiamate dal decreto, come servizi finanziari, antiriciclaggio e sicurezza dei trasporti, anche sotto i 50 dipendenti.

Il canale deve permettere segnalazioni scritte, anche tramite piattaforma informatica, e orali, per telefono o messaggio vocale. Su richiesta deve essere possibile un incontro diretto. Va istituito sentite le rappresentanze sindacali e affidato a una persona o a un ufficio autonomo e formato, oppure a un soggetto esterno. Le aziende fino a 249 dipendenti possono condividerlo. Chi lo gestisce deve:

• dare avviso di ricevimento entro 7 giorni;
• fornire un riscontro entro 3 mesi;
• garantire la riservatezza dell'identità del segnalante, delle persone coinvolte e dei contenuti, anche con la crittografia;
• pubblicare informazioni chiare sul canale in una sezione dedicata del sito e renderle visibili nei luoghi di lavoro.

Con le linee guida sui canali interni (delibera n. 478 del 26 novembre 2025) l'ANAC ha chiarito che posta elettronica ordinaria e PEC non sono adeguate di per sé. Sono ammesse solo con misure di sicurezza aggiuntive, scelte in base a una valutazione del rischio. Nella maggior parte dei casi una piattaforma dedicata con crittografia è la soluzione più semplice da dimostrare.

Il whistleblowing è anche un trattamento di dati personali. Il modello di gestione va definito sulla base di una DPIA, segnalanti e persone coinvolte vanno informati, e le segnalazioni si conservano per non più di cinque anni dalla chiusura della procedura. L'ANAC può sanzionare da 10.000 a 50.000 euro chi non ha istituito il canale, chi ha procedure non conformi, chi compie ritorsioni e chi viola la riservatezza.

5. Accanto al GDPR: NIS2 e accessibilità

NIS2 (d.lgs. 138/2024). Riguarda le aziende dei settori e delle dimensioni previsti dal decreto, che devono registrarsi presso l'Agenzia per la cybersicurezza nazionale (ACN); la registrazione si aggiorna ogni anno, dal 1° gennaio al 28 febbraio. Per chi è stato inserito nell'elenco nel 2025, l'obbligo di notificare gli incidenti è operativo da gennaio 2026: pre-notifica entro 24 ore, notifica entro 72. Le misure di sicurezza di base vanno adottate entro 18 mesi dalla comunicazione dell'Agenzia, per la maggior parte entro ottobre 2026.

Accessibilità (d.lgs. 82/2022, European Accessibility Act). Dal 28 giugno 2025 l'e-commerce e gli altri servizi rivolti ai consumatori indicati dal decreto, come quelli bancari e di trasporto, devono essere accessibili anche alle persone con disabilità. Le microimprese che forniscono servizi sono escluse; la vigilanza spetta all'AgID.

Cosa potrebbe cambiare

A novembre 2025 la Commissione europea ha proposto il «Digital Omnibus», che sposterebbe nel GDPR le regole sui cookie, esenterebbe dal consenso alcune misurazioni statistiche e introdurrebbe il rifiuto con un clic. A ottobre 2026 la proposta è ancora all'esame delle commissioni del Parlamento europeo: oggi non cambia nulla, e il banner resta necessario.

Più avanti è l'«Omnibus IV» per le piccole imprese a media capitalizzazione. La proposta della Commissione estende l'esenzione dal registro dei trattamenti alle organizzazioni fino a 750 dipendenti e la limita ai trattamenti a rischio elevato. Il testo concordato a giugno 2026 attende il voto del Parlamento, previsto a novembre. Fino alla pubblicazione nella Gazzetta ufficiale dell'UE resta valida la regola attuale.

La compliance che regge a un controllo è quella che corrisponde a ciò che l'azienda fa davvero: un'informativa impeccabile non serve se il banner lascia partire i tracker prima del consenso.

Checklist

• Informative aggiornate per sito, clienti, dipendenti e candidati
• Cookie banner che blocca i tracker fino al consenso, con «Rifiuta» visibile quanto «Accetta»
• Cookie policy con l'elenco reale dei cookie, allineata al banner
• Registro dei trattamenti e contratti con i fornitori che trattano dati
• Procedura per i data breach e registro delle violazioni
• Canale whistleblowing, se dovuto, con piattaforma sicura, DPIA e pagina dedicata sul sito
• Consensi per newsletter e marketing documentati
• Verifica degli obblighi NIS2 e di accessibilità

Conclusione

La conformità al GDPR non è un documento da firmare una volta: è un insieme di testi, configurazioni e procedure da tenere allineati a come lavora l'azienda. La parte che riguarda il sito (informative, banner, cookie policy, moduli di contatto) è anche la più visibile, e spesso la prima a essere controllata.

Questo articolo ha scopo informativo, è aggiornato al 12 ottobre 2026 e non costituisce consulenza legale.