RGPD en Italia en 2026: privacidad, cookies y denuncias

El RGPD se aplica desde 2018 y, aun así, en 2026 muchas empresas italianas siguen teniendo una política de privacidad copiada de una plantilla, un banner de cookies que no bloquea nada y ningún canal de denuncias. Las reglas básicas no han cambiado este año. Lo que ha cambiado son las indicaciones de las autoridades, los controles continúan y en Bruselas se negocia una reforma. Esta guía ordena lo que hace falta hoy, obligación por obligación.

Las normas de referencia

• RGPD (Reglamento (UE) 2016/679): los principios, los derechos de las personas y las obligaciones de quien trata datos personales.
• Código italiano de privacidad (Decreto Legislativo 196/2003, modificado por el Decreto Legislativo 101/2018): las normas italianas, entre ellas las de marketing, cookies y datos de los trabajadores.
• Directrices de la autoridad italiana de protección de datos (Garante) sobre cookies y herramientas de seguimiento (10 de junio de 2021), aplicables desde enero de 2022 y todavía en vigor.
• Decreto de protección de denunciantes (Decreto Legislativo 24/2023) y las directrices de la ANAC, la autoridad anticorrupción italiana.

1. La política de privacidad

Siempre que recojas datos personales debes decir a las personas quién los trata, para qué y durante cuánto tiempo (artículos 13 y 14 del RGPD). La información debe indicar:

• el responsable y sus datos de contacto, y el DPD si se ha designado;
• las finalidades y, para cada una, la base jurídica: contrato, obligación legal, consentimiento o interés legítimo (que debe explicarse);
• los destinatarios, incluidos los proveedores que tratan datos por tu cuenta (hosting, correo, CRM, software de gestión);
• las transferencias fuera de la Unión Europea, si las hay, y las garantías adoptadas;
• los plazos de conservación, en concreto y no con un genérico «durante el tiempo necesario»;
• los derechos del interesado, incluida la reclamación ante el Garante.

Una política en la web no basta: empleados, candidatos, clientes y proveedores necesitan cada uno su propio texto, y la videovigilancia, un cartel. El error más común es la plantilla genérica nunca actualizada, con proveedores que ya no se usan y sin los nuevos.

2. Banner y política de cookies

Las cookies técnicas, necesarias para que el sitio funcione, no requieren consentimiento, pero deben figurar en la política de cookies. Todo lo demás (píxeles publicitarios, perfilado, la mayoría de las analíticas de terceros, vídeos y mapas incrustados) solo puede activarse tras el consentimiento. Las directrices del Garante fijan reglas precisas para el banner:

• cerrar el banner con la X equivale a rechazar, y la X debe ser bien visible;
• aceptar y rechazar deben tener la misma relevancia: nada de un botón «Aceptar» destacado con el rechazo escondido;
• desplazarse por la página no es consentimiento;
• en la configuración detallada, las categorías no necesarias empiezan desactivadas;
• el muro de cookies, que solo deja entrar a quien acepta, es por regla general ilícito;
• el banner no vuelve a aparecer antes de seis meses, salvo que cambien las cookies utilizadas;
• la elección debe registrarse y poder modificarse en cualquier momento, por ejemplo con un enlace en el pie de página.

Las analíticas solo pueden equipararse a las cookies técnicas en condiciones estrictas: datos agregados solo para ese sitio, dirección IP enmascarada y un proveedor que no cruce los datos con otros. Con muchas herramientas de terceros estas condiciones son difíciles de demostrar, y el consentimiento sigue siendo la opción más prudente.

El defecto más frecuente no es el texto del banner sino su funcionamiento: el mensaje aparece, pero los scripts de seguimiento se ejecutan igualmente en la primera carga. Es también lo primero que se comprueba, porque bastan las herramientas de desarrollo del navegador.

Para los servicios estadounidenses (analítica, newsletter, nube) la referencia es el Marco de Privacidad de Datos UE-EE. UU., en vigor desde julio de 2023: las transferencias a empresas certificadas son lícitas. El Tribunal General de la UE lo confirmó en septiembre de 2025 (asunto T-553/23), pero el recurso ante el Tribunal de Justicia (C-703/25 P) sigue pendiente. Conviene saber qué proveedores están certificados y mantener las cláusulas contractuales tipo como plan de reserva.

3. Las demás obligaciones del RGPD

Registro de actividades de tratamiento

Es obligatorio a partir de 250 empleados. Por debajo de ese umbral lo es si el tratamiento no es ocasional, si afecta a categorías especiales de datos (como los de salud) o a datos penales, o si entraña un riesgo. En la práctica casi todas las empresas con empleados lo necesitan, porque la gestión del personal es continua. El Garante lo recomienda de todos modos a todas, como el documento que demuestra que se sabe qué datos se tratan.

Proveedores, autorizaciones y seguridad

Quien trata datos por tu cuenta (asesoría laboral, empresa de software, proveedor de nube, agencia web) debe ser designado encargado del tratamiento mediante contrato (artículo 28). El personal debe estar autorizado e instruido. La seguridad debe ser adecuada al riesgo (artículo 32): accesos personales, autenticación en dos pasos, actualizaciones y copias de seguridad verificadas.

Brechas de datos

Una brecha que suponga un riesgo para las personas debe notificarse al Garante en un plazo de 72 horas desde que se tiene conocimiento de ella. Si el riesgo es alto, también hay que avisar a los afectados. Toda brecha, incluso la no notificada, debe anotarse en un registro interno.

EIPD y DPD

La evaluación de impacto (EIPD) es necesaria para los tratamientos de alto riesgo: videovigilancia extensa, geolocalización de empleados, perfilado a gran escala. El DPD es obligatorio para los organismos públicos y para quien, como actividad principal, observa personas a gran escala o trata a gran escala categorías especiales de datos o datos penales. Para las demás pymes es opcional.

Trabajadores

Las cámaras y las herramientas que permiten un control a distancia requieren un acuerdo sindical o la autorización de la inspección de trabajo (artículo 4 del Estatuto de los Trabajadores italiano). Para el correo de empresa, el Garante fija en 21 días el plazo a partir del cual conservar los metadatos de los correos de los empleados exige, en general, las mismas garantías.

Marketing

Los correos promocionales requieren consentimiento. La excepción es el llamado soft spam: puedes escribir a tus clientes sobre productos similares a los que ya compraron, siempre que puedan oponerse en cualquier momento. Antes de llamar hay que consultar el registro italiano de oposición (Registro pubblico delle opposizioni), que desde 2022 incluye también los móviles. Las listas compradas a terceros deben verificarse, porque el telemarketing sigue siendo uno de los sectores más sancionados por el Garante también en 2026.

Las multas del RGPD llegan a 20 millones de euros o al 4 % del volumen de negocio anual mundial, si esta cifra es superior. Para una pyme el riesgo más realista es una inspección iniciada por una reclamación: un antiguo empleado, un cliente molesto, una newsletter a la que nadie se había suscrito.

4. Canal de denuncias: quién debe tenerlo

El Decreto Legislativo 24/2023 obliga a habilitar un canal interno para denunciar infracciones a:

• las empresas que en el último año han tenido una media de al menos 50 empleados, con contrato indefinido o temporal;
• las empresas que han adoptado un modelo organizativo conforme al Decreto Legislativo 231/2001, sea cual sea su tamaño;
• algunos sectores regulados por las normas europeas a las que remite el decreto, como servicios financieros, prevención del blanqueo y seguridad del transporte, incluso por debajo de 50 empleados.

El canal debe admitir denuncias escritas, también mediante una plataforma informática, y orales, por teléfono o mensaje de voz. A petición del denunciante debe ser posible una reunión presencial. Se habilita tras consultar a la representación de los trabajadores y se confía a una persona u oficina autónoma y formada, o a un proveedor externo. Las empresas de hasta 249 empleados pueden compartirlo. Quien lo gestiona debe:

• acusar recibo en un plazo de 7 días;
• dar respuesta en un plazo de 3 meses;
• garantizar la confidencialidad de la identidad del denunciante, de las personas implicadas y del contenido, también con cifrado;
• publicar información clara sobre el canal en una sección específica de la web y hacerla visible en el lugar de trabajo.

En sus directrices sobre los canales internos (resolución n.º 478 de 26 de noviembre de 2025), la ANAC aclaró que el correo electrónico ordinario y el certificado (PEC) no son adecuados por sí solos. Solo se admiten con medidas de seguridad adicionales, elegidas a partir de una evaluación del riesgo. En la mayoría de los casos, una plataforma específica con cifrado es la solución más fácil de justificar.

El canal de denuncias también es un tratamiento de datos personales. El modelo de gestión debe basarse en una EIPD, hay que informar a denunciantes y personas implicadas, y las denuncias se conservan como máximo cinco años desde el cierre del procedimiento. La ANAC puede imponer multas de 10.000 a 50.000 euros a quien no haya habilitado el canal, tenga procedimientos no conformes, tome represalias o viole la confidencialidad.

5. Junto al RGPD: NIS2 y accesibilidad

NIS2 (Decreto Legislativo 138/2024). Afecta a las empresas de los sectores y tamaños previstos en el decreto, que deben registrarse ante la Agencia Nacional de Ciberseguridad (ACN); el registro se actualiza cada año, del 1 de enero al 28 de febrero. Para las incluidas en la lista en 2025, la obligación de notificar incidentes se aplica desde enero de 2026: alerta temprana en 24 horas, notificación en 72. Las medidas de seguridad básicas deben adoptarse en los 18 meses siguientes a la comunicación de la Agencia, para la mayoría antes de octubre de 2026.

Accesibilidad (Decreto Legislativo 82/2022, Ley Europea de Accesibilidad). Desde el 28 de junio de 2025, el comercio electrónico y los demás servicios para consumidores que enumera el decreto, como los bancarios y de transporte, deben ser accesibles para las personas con discapacidad. Las microempresas que prestan servicios están exentas; la supervisión corresponde a la AgID, la agencia digital italiana.

Qué podría cambiar

En noviembre de 2025 la Comisión Europea propuso el «Digital Omnibus», que trasladaría al RGPD las normas sobre cookies, eximiría del consentimiento algunas mediciones de audiencia e introduciría el rechazo con un clic. En octubre de 2026 la propuesta sigue en las comisiones del Parlamento Europeo: hoy no cambia nada y el banner sigue siendo necesario.

Más avanzado está el «Ómnibus IV» para las pequeñas empresas de mediana capitalización. La propuesta de la Comisión extiende la exención del registro de actividades a las organizaciones de hasta 750 empleados y la limita a los tratamientos de alto riesgo. El texto acordado en junio de 2026 espera la votación del Parlamento, prevista para noviembre. Hasta su publicación en el Diario Oficial de la UE se aplica la regla actual.

El cumplimiento que resiste una inspección es el que corresponde a lo que la empresa hace de verdad: una política de privacidad impecable no sirve de nada si el banner deja que los rastreadores se activen antes del consentimiento.

Lista de comprobación

• Políticas de privacidad actualizadas para la web, clientes, empleados y candidatos
• Un banner de cookies que bloquea los rastreadores hasta el consentimiento, con «Rechazar» tan visible como «Aceptar»
• Una política de cookies con la lista real de cookies, coherente con el banner
• Un registro de actividades y contratos con los proveedores que tratan datos
• Un procedimiento para brechas de datos y un registro de incidentes
• Un canal de denuncias, cuando sea obligatorio, con plataforma segura, EIPD y página específica en la web
• Consentimientos documentados para newsletter y marketing
• Una revisión de las obligaciones de NIS2 y de accesibilidad

Conclusión

Cumplir el RGPD no es firmar un documento una vez: es un conjunto de textos, configuraciones y procedimientos que deben seguir el ritmo de cómo trabaja la empresa. La parte que afecta a la web (políticas de privacidad, banner, política de cookies, formularios de contacto) es también la más visible, y a menudo la primera que se revisa.

Este artículo tiene carácter informativo, está actualizado al 12 de octubre de 2026 y no constituye asesoramiento jurídico.