Il GDPR non è cambiato nella sostanza, ma nel 2025-2026 sono arrivati chiarimenti importanti dal Garante italiano e dalla Corte di Giustizia UE. Ecco cosa sapere per essere compliant oggi.
1. Cookie banner — nuove regole
Il Garante italiano ha chiarito che il banner deve avere:
- "Accetta" e "Rifiuta" visivamente equivalenti (stesso peso, stesso colore, stessa dimensione)
- Nessun "accetta solo alcuni" che sia più visibile di "rifiuta tutti"
- Possibilità di chiudere senza accettare (la X deve rifiutare, non accettare implicitamente)
- Nessun cookie installato prima del consenso
- Revoca facile come il consenso
Chi usa banner con "Accetta" grande e "Rifiuta" nascosto in un link piccolo rischia sanzioni.
2. Google Analytics e trasferimento USA
Dal 2023, dopo le sentenze Schrems II, trasferire dati personali verso gli USA è problematico. Google Analytics 4 (che è su server USA) richiede:
- Consenso esplicito dell'utente
- Valutazione del trasferimento (DPIA semplificata)
- Alternative: Plausible, Fathom, Matomo self-hosted (non inviano dati fuori UE)
Se usi GA4 senza consenso o senza valutazione, sei a rischio sanzione. Molte PMI italiane stanno migrando a Plausible.
3. Dark pattern — sanzioni in arrivo
L'EDPB (Comitato Europeo Protezione Dati) ha emesso linee guida sui dark pattern: interfacce che ingannano l'utente.
Esempi vietati:
- Rifiutare il consenso richiede 3 click, accettare 1
- Opzione "Rifiuta" in colore grigio poco visibile
- Popup che non si chiude senza accettare
- Conto alla rovescia che mette pressione
Sanzioni previste: fino a 2% del fatturato annuo.
4. Consenso minori
In Italia, il consenso digitale per i servizi della società dell'informazione è valido dai 16 anni. Sotto i 16 anni serve consenso dei genitori.
5. Data breach — 72h notification
Obbligo confermato: entro 72h dalla scoperta di un data breach che comporta rischio per i diritti degli utenti, devi notificare il Garante.
Serve un registro delle violazioni anche se non vengono notificate.
6. Registro dei trattamenti — obblighi PMI
Il registro è obbligatorio per tutte le aziende con più di 250 dipendenti. Sotto i 250, è obbligatorio se:
- Il trattamento non è occasionale
- Tratti dati sensibili
- Tratti dati di minori
In pratica, quasi tutte le PMI italiane devono averlo. Un foglio Excel ben fatto è sufficiente.
7. AI e GDPR — il nuovo fronte 2026
Con l'AI Act in vigore, ci sono interazioni con il GDPR:
- Se usi AI per prendere decisioni sui clienti: serve consenso + spiegazione
- Se addestri AI su dati clienti: serve base giuridica
- Trasparenza: l'utente deve sapere quando parla con un'AI
- Diritto alla spiegazione: puoi essere chiamato a spiegare come l'AI ha deciso
Chi usa chatbot AI deve:
- Informare che è un'AI
- Salvare dati solo se necessario
- Permettere di parlare con un umano
Quanto costa mettersi in regola nel 2026
- Cookie banner aggiornato: 199-399€
- Privacy + Cookie Policy aggiornate: 299-499€
- Registro trattamenti base: 199-399€
- DPA con fornitori IT: 0€ (basta accettarli)
- Setup completo: 499-899€
- Consulenza legale specializzata: 800-2.500€
Checklist 2026
- ☐ Cookie banner conforme (Accetta = Rifiuta)
- ☐ Analytics con consenso O alternativa no-cookie
- ☐ Nessun dark pattern
- ☐ Verifica età se sito rivolto a minori
- ☐ Registro trattamenti aggiornato
- ☐ DPA firmati con fornitori IT
- ☐ Procedura data breach scritta
- ☐ Informativa AI (se usi AI)
- ☐ DPIA se fai profilazione
- ☐ Aggiornamento annuale documentazione
Il mio consiglio
Il GDPR è cambiato poco nella sostanza. È cambiato molto nell'applicazione concreta. Chi ha sistemato tutto nel 2018-2020 deve fare un check-up per il 2026.
Il costo di adeguamento è 500-900€. Il costo di una sanzione base è 3.000-15.000€.