Il GDPR non ha una scadenza annuale unica: prevede termini che partono da un evento, come una violazione dei dati, una richiesta di un cliente o l’avvio di un nuovo trattamento. Il più noto è quello delle 72 ore per notificare un data breach al Garante; il più frequente è un mese per rispondere a chi esercita i propri diritti.
Il regolamento (UE) 2016/679 si applica dal 25 maggio 2018 e in Italia è affiancato dal Codice privacy aggiornato dal D.Lgs. 101/2018. Questa guida raccoglie i termini che un’azienda deve conoscere e tenere sotto controllo.
In sintesi
Scadenze GDPR
Termini a evento, non a calendario: vanno inseriti nelle procedure interne.
Data breach
Notifica al Garante entro 72 ore
Diritti degli interessati
Risposta entro 1 mese (+2 se complesso)
Nuovi trattamenti
Informativa e DPIA prima di iniziare
DPO
Dati di contatto comunicati al Garante
Registro
Sempre aggiornato, su richiesta del Garante
Conservazione
Solo per il tempo necessario
Le scadenze GDPR in una tabella mentale
Per ogni termine conviene sapere tre cose: cosa lo fa partire, chi deve agire e quale prova resta che lo si è rispettato. Ecco i principali:
Violazione dei dati: 72 ore
Dal momento in cui il titolare viene a conoscenza di un data breach con rischio per le persone (art. 33). Se il rischio è elevato, vanno avvisati anche gli interessati senza ritardo (art. 34).
Richieste degli interessati: 1 mese
Accesso, rettifica, cancellazione, portabilità, opposizione: risposta entro un mese, prorogabile di due mesi per richieste complesse, motivando la proroga (art. 12).
Responsabili esterni: 24–48 ore
Il fornitore che subisce un breach deve avvisare il titolare senza ingiustificato ritardo: nei contratti (art. 28) conviene fissare un termine preciso, spesso 24 o 48 ore.
Informativa: alla raccolta
Se i dati sono raccolti dall’interessato, l’informativa va data al momento della raccolta; se arrivano da terzi, entro un mese al massimo (artt. 13 e 14).
DPIA: prima del trattamento
La valutazione d’impatto va fatta prima di avviare trattamenti a rischio elevato, come videosorveglianza estesa, geolocalizzazione o profilazione (art. 35).
DPO: alla nomina
Se l’azienda è obbligata a nominare il DPO, ne pubblica i contatti e li comunica al Garante; ogni cambio va comunicato di nuovo (art. 37).
Termini continui: cosa va tenuto aggiornato
- Registro dei trattamenti (art. 30): va aggiornato a ogni nuovo trattamento e mostrato al Garante se lo chiede.
- Registro delle violazioni: ogni data breach va documentato, anche quando non serve notificarlo.
- Tempi di conservazione: i dati si cancellano o anonimizzano quando non servono più; servono regole scritte.
- Nomine e contratti: autorizzati interni e responsabili esterni vanno aggiornati quando cambiano persone e fornitori.
- Misure di sicurezza (art. 32): vanno riesaminate periodicamente, per esempio una volta l’anno o dopo un incidente.
- Formazione: chi tratta dati deve essere istruito; nella pratica si ripete almeno una volta l’anno.
Metodo pratico: un calendario di revisione annuale (registro, nomine, misure, formazione) più le procedure “a evento” per breach e richieste. Così nessun termine dipende dalla memoria di una persona.
Cosa fare entro le 72 ore di un data breach
01
Contenere
Isolare i sistemi coinvolti, cambiare le credenziali compromesse, fermare la diffusione.
02
Valutare
Quali dati, quante persone, quale rischio: riservatezza, integrità, disponibilità.
03
Decidere e notificare
Se c’è un rischio per le persone, notifica al Garante tramite la procedura online entro 72 ore; se mancano informazioni si notifica comunque e si integra dopo.
04
Comunicare
Se il rischio è elevato, avvisare gli interessati con un linguaggio chiaro e indicazioni pratiche.
05
Documentare
Registrare fatti, valutazioni e decisioni nel registro delle violazioni.
Molti breach partono da un’email: vedi la nostra guida phishing: cos’è e come riconoscerlo. Se l’azienda rientra nella NIS2 ci sono anche le notifiche al CSIRT Italia: vedi la pagina sulla direttiva NIS2.
Sanzioni: cosa si rischia se si mancano i termini
Il GDPR prevede sanzioni amministrative fino a 10 milioni di euro o il 2% del fatturato mondiale per violazioni come la mancata notifica di un breach, e fino a 20 milioni o il 4% per violazioni dei principi e dei diritti degli interessati (art. 83). L’importo reale dipende dalla gravità, dalla collaborazione e dalle misure adottate.
Più del rischio di sanzione, pesa la prova: davanti al Garante Privacy conta poter dimostrare procedure, registri e decisioni documentate. È il cuore della nostra consulenza GDPR.
Domande frequenti sulle scadenze GDPR
Esiste una scadenza annuale del GDPR?
No. Il GDPR non prevede un adempimento annuale fisso: i termini partono da eventi (breach, richieste, nuovi trattamenti). È buona pratica però una revisione annuale di registro, nomine, misure e formazione.
Entro quanto si notifica un data breach?
Entro 72 ore da quando il titolare ne è venuto a conoscenza, se la violazione comporta un rischio per i diritti e le libertà delle persone. Oltre le 72 ore va spiegato il motivo del ritardo.
Quanto tempo ho per rispondere a una richiesta di accesso ai dati?
Un mese dal ricevimento, prorogabile di altri due mesi se la richiesta è complessa o se le richieste sono numerose, informando l’interessato entro il primo mese.
Ogni quanto va aggiornato il registro dei trattamenti?
Ogni volta che cambia un trattamento. Non ha una scadenza fissa, ma deve essere sempre aggiornato e disponibile se il Garante lo richiede.
Quando serve la valutazione d’impatto (DPIA)?
Prima di iniziare trattamenti che possono presentare un rischio elevato per le persone, come monitoraggio sistematico, uso su larga scala di dati particolari o nuove tecnologie.
Consulenza GDPR
Vuoi un calendario GDPR su misura per la tua azienda?
Verifichiamo registro, nomine, informative e procedure per breach e richieste, e lasciamo un calendario di revisione chiaro.
