GDPR misure tecniche di sicurezza: cosa serve davvero per evitare sanzioni

Disclosure: questo articolo contiene link di affiliazione. Se acquisti tramite questi link, NextGenTool.it riceve una commissione senza costi aggiuntivi per te. Le valutazioni restano indipendenti.

Ultimo aggiornamento: luglio 2026. I provvedimenti citati riportano il numero di documento web, per la verifica diretta sul sito del Garante. Articolo tecnico-divulgativo scritto da un ingegnere, non un parere legale: per la qualificazione giuridica dei trattamenti della tua azienda serve un DPO o un legale.

Chiedi a dieci titolari di PMI italiane se sono conformi al GDPR e nove risponderanno di sì. Chiedi loro cosa li rende conformi e la risposta sarà quasi sempre la stessa: privacy policy sul sito, banner cookie, informative firmate in un raccoglitore, forse un DPO esterno.

Tutta roba corretta. E tutta roba che non ha niente a che vedere con l'articolo 32, che non parla di documenti ma di sistemi: come sono conservate le password dei tuoi dipendenti, chi può accedere all'archivio clienti, se il backup che credi di avere si ripristina davvero, se ti accorgeresti di un accesso anomalo prima che i dati finiscano in vendita su un forum.

In termini che chi lavora in produzione capisce al volo: avere l'informativa privacy senza le misure dell'art. 32 è come tenere la dichiarazione di conformità CE in cassetto mentre il pulsante di emergenza non è cablato. Il documento è in ordine, l'impianto no — e in caso di incidente il documento non ti difende, dimostra che sapevi di avere un obbligo.

Nel 2026 il Garante sta sanzionando esattamente questo scarto: non le privacy policy mancanti, ma le credenziali in chiaro, l'MFA assente, i controlli che non esistono. Vediamo cosa serve davvero, con numeri reali.

Cosa dice davvero l'articolo 32 GDPR

Il paragrafo 1 impone a titolare e responsabile del trattamento di mettere in atto «misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio», tenendo conto dello stato dell'arte, dei costi di attuazione, della natura e delle finalità del trattamento, e della probabilità e gravità del rischio per i diritti delle persone fisiche. Poi elenca quattro elementi, introdotti dalla formula «tra le altre, se del caso»:

• a) pseudonimizzazione e cifratura dei dati personali;
• b) capacità di assicurare su base permanente riservatezza, integrità, disponibilità e resilienza dei sistemi;
• c) capacità di ripristinare tempestivamente disponibilità e accesso ai dati in caso di incidente fisico o tecnico;
• d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure adottate.

Il paragrafo 2 aggiunge il criterio di valutazione: contano in special modo i rischi derivanti da distruzione, perdita, modifica, divulgazione non autorizzata o accesso accidentale o illegale ai dati. Il paragrafo 4 chiude sul lato organizzativo: chi agisce sotto l'autorità del titolare non deve trattare dati se non istruito in tal senso.

Il punto che quasi tutti sbagliano

Il vecchio Codice Privacy italiano aveva un Allegato B con le misure minime di sicurezza: un elenco. Facevi le cose in elenco, eri a norma. Quel meccanismo non esiste più: il GDPR ha sostituito la soglia minima con il concetto di adeguatezza. Non c'è una lista sopra la quale sei automaticamente sufficiente, c'è un obbligo di risultato con l'onere di dimostrare che le misure scelte sono proporzionate al rischio concreto del tuo trattamento.

Chi ha lavorato su normative tecniche riconoscerà la differenza: è il passaggio da un approccio prescrittivo (rispetta questi parametri) a uno prestazionale (raggiungi questo obiettivo e dimostra come). La progettazione antincendio ha fatto lo stesso salto, e sposta l'onere della prova addosso a te. Conseguenza pratica: nessuno può venderti la conformità all'art. 32 in scatola, perché il software è uno strumento e l'adeguatezza è una proprietà del tuo sistema.

L'art. 32 vale anche per i tuoi fornitori

Dettaglio spesso ignorato: l'art. 32 si applica sia al titolare sia al responsabile del trattamento. Gestionale in cloud, consulente paghe, software house: tutti autonomamente obbligati.

Nel provvedimento del 26 febbraio 2026 (doc. web 10234928) il Garante ha sanzionato una software house per un'anomalia in un applicativo di rilevazione presenze che ha reso visibili al personale di aziende sanitarie le richieste di assenza dei colleghi, incluse quelle riconducibili a permessi ex legge 104/1992. Il rilievo: la società, «in ragione della sua esperienza tecnica nel settore», avrebbe dovuto disporre di procedure per testare regolarmente l'efficacia delle misure — e l'anomalia è emersa solo dopo le segnalazioni dei dipendenti, non da controlli autonomi. Sanzione di 32.000 euro, sul solo art. 32.

Le misure tecniche minime attese

Il GDPR non fissa un minimo. Ma i provvedimenti del Garante, letti in serie, fissano di fatto un'aspettativa: misure la cui assenza viene sistematicamente contestata. È questo il riferimento operativo utile, ed è verificabile.

1. Niente credenziali in chiaro

È la contestazione più frequente, e la più costosa in rapporto alla banalità del rimedio. Con il provvedimento del 17 aprile 2026 (doc. web 10252460) il Garante ha sanzionato per 85.000 euro una società di consulenza dopo un accesso non autorizzato che ha coinvolto dati anagrafici, di contatto e credenziali di autenticazione di 61.670 interessati: le credenziali erano conservate in gran parte in chiaro, e lo erano da oltre due anni. Violazioni accertate agli artt. 5, 32 e 34.

Sullo storage delle password esiste anche un riferimento tecnico italiano esplicito: le Linee guida «Funzioni crittografiche – Conservazione delle password», adottate da Garante e Agenzia per la Cybersicurezza Nazionale con provvedimento n. 594 del 7 dicembre 2023. Ti toccano se sviluppi o fai sviluppare un'applicazione con login, e indicano l'uso di algoritmi di password hashing con parametri adeguati anziché di funzioni di hash generiche — misure che il Garante considera necessarie in particolare quando sono coinvolte password di un numero significativo di utenti, di utenti con accesso a banche dati di particolare rilevanza o dimensioni, o di utenti che trattano sistematicamente categorie particolari di dati.

2. Controllo degli accessi e autenticazione a più fattori

L'MFA non è nominata nell'art. 32, ma è diventata un'aspettativa di fatto per gli accessi remoti. Nel provvedimento del 17 aprile 2026 relativo a un'azienda sanitaria (doc. web 10250180), colpita da ransomware con esfiltrazione di dati sanitari, il Garante ha contestato tre carenze: assenza di rilevazione tempestiva dell'incidente, assenza di autenticazione a più fattori sull'accesso VPN, insufficienza del sistema di correlazione dei log. Sanzione di 10.000 euro, ridotta per la notifica tempestiva e la collaborazione.

Il corollario riguarda anche gli accessi interni. Nel provvedimento del 26 marzo 2026 (doc. web 10234984), su un dipendente di un istituto bancario che ha effettuato accessi abusivi ai dati di oltre 3.500 clienti in due anni, l'Autorità ha rilevato che servivano misure idonee a prevenire, rilevare e segnalare tempestivamente accessi sospetti, «ancorché formalmente compatibili con i profili autorizzativi rilasciati ai dipendenti». Il permesso formale non basta: serve accorgersi dell'uso anomalo di un permesso legittimo.

3. Gestione strutturata delle credenziali

È la misura che nel 2026 ha ricevuto il riconoscimento più esplicito. Con il provvedimento del 14 maggio 2026 (doc. web 10263796, reso pubblico con la newsletter dell'Autorità del 16 luglio 2026) il Garante ha sanzionato un operatore telefonico per 1.715.600 euro. Il vettore d'ingresso non è stato un exploit sofisticato: attaccanti spacciatisi per tecnici dell'assistenza hanno convinto telefonicamente gli addetti di due punti vendita a concedere l'accesso remoto ai sistemi. Risultato: esfiltrazione dei dati di oltre 365.000 clienti, con dati sui metodi di pagamento (IBAN, bollettini, carte parzialmente oscurate) per 41.359 di essi.

La società ha sostenuto che si trattasse di errore umano isolato, riferendo poi che gli addetti conservavano le credenziali in chiaro. Il Garante non ha accolto quella lettura e ha ordinato, tra le misure correttive, l'introduzione di sistemi di gestione delle credenziali (password manager) per gli operatori dei punti vendita, con password robuste e rotazione periodica, la protezione dei certificati digitali e delle relative chiavi, procedure formalizzate per l'intero ciclo di vita di credenziali e certificati, e controlli più stretti su API e richieste anomale.

Nessuna norma obbliga a comprare un password manager. Ma quando l'Autorità di controllo lo prescrive come misura correttiva in un caso di credenziali in chiaro, quello strumento entra nello "stato dell'arte" che l'art. 32 chiede di considerare.

Sul piano operativo il ragionamento è banale: se tre persone condividono l'accesso al gestionale, al pannello dell'hosting e all'home banking, quelle credenziali stanno oggi in un file Excel, in un blocco note o in una chat. Un gestore di credenziali per team come NordPass chiude il problema con vault cifrato, condivisione controllata, revoca immediata in offboarding e log delle attività — precisamente il tipo di evidenza utile in sede ispettiva. 1Password copre lo stesso perimetro con un'impostazione diversa: il confronto è in NordPass vs 1Password, l'analisi estesa in NordPass per team italiani.

Ai fini dell'art. 32 non conta la marca: conta che le credenziali aziendali non stiano in chiaro e che l'accesso sia revocabile.

4. Capacità di rilevare tempestivamente una violazione

Sottovalutatissima. Il Garante la fa derivare direttamente dall'art. 32, par. 1, lett. b).

Nel provvedimento del 29 aprile 2026 (doc. web 10251777), su un'azienda sanitaria colpita dal gruppo ransomware Rhysida con esfiltrazione di dati di 95.362 interessati — inclusi dati sanitari, giudiziari e sull'origine etnica — l'Autorità ha accertato la violazione degli artt. 5, par. 1, lett. f) e 32, par. 1 proprio perché mancavano misure adeguate a individuare tempestivamente una violazione.

Per una PMI questo non significa comprare un SOC. Significa log conservati, allarmi su eventi anomali (accessi fuori orario, download massivi, tentativi ripetuti di autenticazione) e qualcuno con il compito formale di guardarli. La differenza tra accorgersi di un incidente in due ore e accorgersene quando arriva la mail di riscatto è tutta lì.

5. Backup testati, non backup esistenti

L'art. 32, par. 1, lett. c) chiede la capacità di ripristinare tempestivamente i dati. Non di averne una copia.

Un backup non verificato è un'ipotesi, non una misura. Il minimo difendibile: regola 3-2-1, almeno una copia non sovrascrivibile o offline — il ransomware moderno cerca e cifra i backup raggiungibili in rete — e un test di ripristino documentato con data ed esito. Senza verbale del test, in sede ispettiva il backup non esiste.

Attenzione al punto che genera più falsa sicurezza: il backup protegge la disponibilità, non la riservatezza. Se i dati sono stati anche esfiltrati, averli ripristinati in tre ore non elimina la violazione.

6. Cifratura e pseudonimizzazione dove applicabili

L'art. 32 le nomina esplicitamente, ma con la clausola «se del caso». Non sono obbligatorie in assoluto: lo diventano quando il rischio le rende adeguate.

Per una PMI il perimetro ragionevole è: cifratura dei dischi su portatili e dispositivi mobili (un notebook rubato con l'archivio clienti in chiaro è un data breach; lo stesso notebook con disco cifrato di norma non lo è), cifratura in transito, protezione degli accessi remoti. Su quest'ultimo punto una VPN aziendale come NordVPN copre il tratto di rete quando il personale lavora da reti non controllate — utile, ma va detto con chiarezza che una VPN non è di per sé una misura di conformità all'art. 32: è un componente della cifratura in transito, uno dei tanti.

La pseudonimizzazione ha applicazione più limitata, ma diventa rilevante in casi frequenti: statistiche interne, ambienti di test popolati con dati reali (pratica diffusissima e rischiosa), dataset condivisi con consulenti esterni.

7. Procedura di test periodico

L'art. 32, par. 1, lett. d) impone una procedura per testare e valutare regolarmente l'efficacia delle misure: è l'unico punto dell'articolo che descrive un processo e non uno stato. Cadenza minima sostenibile: revisione annuale degli accessi, test di ripristino semestrale, verifica periodica delle password debole o riutilizzate, aggiornamento del registro dei trattamenti a ogni cambio di fornitore o applicativo. Un controllo che non si ripete non è un controllo: misuri, ottimizzi, ripeti.

Sanzioni reali in Italia: cosa dicono i numeri

Il "fino a 20 milioni di euro o 4% del fatturato" è vero, ma va letto con precisione — e quasi nessun articolo sul tema lo fa.

I due massimali, e perché l'art. 32 sta in quello più basso

L'art. 83 GDPR prevede due soglie distinte:

• Paragrafo 4 — fino a 10 milioni di euro o 2% del fatturato mondiale annuo, se superiore: violazione degli obblighi di titolare e responsabile ai sensi degli artt. 8, 11, da 25 a 39, 42 e 43. L'art. 32 sta qui.
• Paragrafo 5 — fino a 20 milioni di euro o 4%: violazione dei principi di base (artt. 5, 6, 7, 9), dei diritti degli interessati (artt. 12-22), delle regole sui trasferimenti extra-UE e degli ordini dell'Autorità.

Le misure di sicurezza inadeguate, da sole, ricadono quindi nel massimale da 10 milioni/2%. Il riferimento ai 20 milioni non è però un'esagerazione: nella prassi del Garante la contestazione dell'art. 32 arriva quasi sempre accompagnata dall'art. 5, par. 1, lett. f) — integrità e riservatezza — che sta nel paragrafo 5. È lo schema dei due provvedimenti sanitari citati sopra.

Quanto si paga davvero

Dalla Relazione annuale presentata al Parlamento il 2 luglio 2026, sull'attività 2025: 807 provvedimenti collegiali, di cui 506 correttivi e sanzionatori, con oltre 37 milioni di euro di sanzioni riscosse (+54,5% sui 24,4 milioni del 2024). Nello stesso anno sono state notificate 2.415 violazioni di dati personali (+10%), di cui 1.901 da soggetti privati.

Il dato che dovrebbe interessare chi legge è nella sintesi ufficiale dell'Autorità: nel settore privato i casi notificati hanno interessato soprattutto piccole e medie imprese, professionisti e società dei settori telecomunicazioni, energia, banche e servizi. Non è un tema da multinazionali.

L'ordine di grandezza effettivo, nei provvedimenti su sicurezza del primo semestre 2026:

• Fascia bassa — poche migliaia di euro. Nel provvedimento del 18 giugno 2026 (doc. web 10268672) una testata online gestita da una ditta individuale è stata sanzionata per 2.075 euro per omessa notifica di una violazione derivante da attacchi informatici, mancata adozione di misure adeguate e assenza di informativa. Tra le attenuanti, esplicitamente, le limitate condizioni economiche del titolare.
• Fascia media — decine di migliaia. 32.000 euro per la software house dell'applicativo presenze; 85.000 euro per le credenziali in chiaro; 100.000 euro nel provvedimento del 29 aprile 2026 (doc. web 10263964) su un gestore di identità digitale, per misure inadeguate e accesso troppo ampio degli operatori.
• Fascia alta — milioni. 1.715.600 euro per l'operatore telefonico; 31,8 milioni nel caso bancario del 26 marzo 2026. Come riferimento assoluto, la sanzione più alta mai applicata dall'Autorità resta quella da 79.107.101 euro a Enel Energia (provvedimento n. 81 dell'8 febbraio 2024), per telemarketing illecito e gravi carenze di sicurezza delle banche dati; il Tribunale di Roma ha rigettato l'opposizione con sentenza pubblicata il 18 settembre 2025 e l'appello risulta pendente.

La lettura onesta per una PMI

Il Garante modula sulla capacità economica: una ditta individuale non prende 85.000 euro. Ma prende una sanzione, con pubblicazione del provvedimento sul sito dell'Autorità — indicizzata, con il nome dell'azienda, permanentemente.

Soprattutto, la multa è raramente il costo principale. Per una PMI il conto vero è l'interruzione dell'attività, il ripristino, gli obblighi di notifica entro 72 ore e di comunicazione agli interessati quando il rischio è elevato, l'esposizione a richieste risarcitorie ex art. 82 e la perdita di contratti B2B: il questionario di sicurezza del cliente è ormai un requisito di gara.

Quello che i numeri non sostengono è l'idea che sotto una certa dimensione si sia fuori dal radar. La gran parte dei procedimenti nasce da reclami e da notifiche spontanee di data breach, non da controlli a campione. Basta un ex dipendente, un cliente irritato, o un tuo stesso obbligo di notifica.

E il rapporto con NIS2?

Il confronto tra GDPR e NIS2 — perimetro soggettivo, obblighi sovrapposti, come si combinano in caso di incidente — è già trattato per esteso nella guida di riferimento: NIS2 per PMI italiane: obblighi 2026.

Qui basti la sintesi: l'art. 32 GDPR ti riguarda sempre, se tratti dati personali, a prescindere da settore e dimensione; NIS2 solo se rientri nel perimetro soggettivo. Molte PMI stanno investendo tempo a capire se sono in NIS2 mentre sono già inadempienti sull'art. 32, che non ha soglie.

Checklist pratica per una PMI italiana

Ordinata per rapporto tra riduzione del rischio e sforzo. L'obiettivo non è la perfezione: è poter dimostrare un percorso.

Livello 1 — entro un mese

1. Inventario degli accessi. Tutti i sistemi che trattano dati personali (gestionale, CRM, mail, cloud storage, e-commerce, paghe, videosorveglianza) e, per ciascuno, chi ha le credenziali. Nella maggior parte delle PMI questo elenco non esiste, e da solo fa emergere due o tre account di ex dipendenti.
2. Eliminare le credenziali in chiaro. File Excel, note sul telefono, post-it, chat: tutto in un gestore credenziali per team, con condivisione per gruppi anziché per persona.
3. MFA su tutto ciò che è esposto a internet. Mail, VPN, accesso remoto, pannelli di amministrazione, home banking. Priorità assoluta su qualunque altro investimento in sicurezza.
4. Revoca immediata in uscita. Offboarding scritto: chi disattiva cosa, entro quanto, con quale evidenza.

Livello 2 — entro tre mesi

5. Backup con almeno una copia offline o immutabile e primo test di ripristino documentato (data, cosa è stato ripristinato, quanto tempo ha richiesto, esito).
6. Cifratura dei dischi su tutti i portatili e dispositivi mobili aziendali.
7. Log attivi e conservati sui sistemi principali, con un responsabile nominato che li verifica periodicamente.
8. Privilegi minimi. Nessun utente amministratore per il lavoro ordinario; accesso ai dati limitato a chi ne ha bisogno per la funzione.

Livello 3 — entro sei mesi

9. Verifica dei fornitori. Per ogni responsabile del trattamento: contratto ex art. 28 ed evidenza delle misure di sicurezza. Se un fornitore non sa risponderti, quello è già un rischio da documentare.
10. Procedura di data breach scritta e conosciuta: chi si accorge, chi decide, chi notifica, entro quali tempi. Le 72 ore dell'art. 33 sono poche se la prima riunione la si fa il giorno dell'incidente.
11. Formazione del personale con registro delle presenze. Nel caso da 1,7 milioni il vettore era una telefonata: nessuna misura tecnica compensa un addetto che concede l'accesso remoto a uno sconosciuto.
12. Calendario dei test ex art. 32, par. 1, lett. d): cosa si verifica, con che cadenza, chi firma.

Regola trasversale: ai fini dell'accountability, ogni misura senza data e firma non è stata adottata. Stesso principio del registro di manutenzione: l'intervento non tracciato equivale all'intervento non fatto.

Cybersecurity per la tua professione

Gli approfondimenti operativi del cluster:

• NIS2 per PMI italiane: obblighi 2026 — perimetro soggettivo, adempimenti e scadenze.
• NordVPN per PMI italiane — accessi remoti e cifratura in transito.
• NordPass per team italiani — gestione delle credenziali aziendali e offboarding.
• NordPass vs 1Password: confronto per PMI — quale gestore per quale struttura.
• Kaspersky per PMI italiane — protezione endpoint e rischio fornitore.

Domande frequenti

Il GDPR obbliga esplicitamente a usare un password manager?

No. L'art. 32 non nomina strumenti specifici, impone un obiettivo di sicurezza adeguata al rischio. Ma nel provvedimento del 14 maggio 2026 (doc. web 10263796) il Garante ha prescritto l'introduzione di sistemi di gestione delle credenziali come misura correttiva in un caso di credenziali conservate in chiaro: quando l'Autorità indica uno strumento come rimedio, quello strumento entra nello "stato dell'arte" che l'art. 32 impone di considerare. Non è obbligatorio, ma se hai credenziali condivise in chiaro e nessuna misura alternativa equivalente, sei in una posizione difficile da difendere.

Quali sono le misure tecniche minime GDPR per una PMI con cinque dipendenti?

Il GDPR non fissa un minimo dimensionale, fissa un criterio di adeguatezza al rischio: per cinque persone che trattano dati di clienti e dipendenti si traduce ragionevolmente in MFA su tutti i servizi esposti a internet, credenziali in un vault cifrato anziché in chiaro, cifratura dei dischi dei portatili, backup con copia offline e test di ripristino documentato, privilegi minimi, log attivi, procedure scritte di offboarding e di data breach. Tutte misure realizzabili con budget da PMI. A costo zero non è realizzabile la documentazione: senza quella, le misure non sono dimostrabili.

Se subisco un ransomware ma ho i backup e ripristino tutto, devo comunque notificare al Garante?

Il ripristino risolve la disponibilità, non elimina automaticamente l'obbligo. L'art. 33 impone la notifica all'Autorità entro 72 ore dalla conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati — valutazione da fare e documentare caso per caso, con un DPO o un legale. Nei ransomware moderni c'è quasi sempre anche esfiltrazione prima della cifratura, quindi una violazione di riservatezza che i backup non sanano. Nei provvedimenti 2026 il Garante ha valorizzato la tempestività della notifica come attenuante: notificare conviene.

Il Garante ha mai sanzionato una piccola impresa italiana per misure di sicurezza inadeguate?

Sì, e regolarmente. Nel provvedimento del 18 giugno 2026 (doc. web 10268672) una testata online gestita da una ditta individuale è stata sanzionata per 2.075 euro per omessa notifica di una violazione derivante da attacchi informatici e mancata adozione di misure adeguate; le limitate condizioni economiche del titolare hanno operato come attenuante nella quantificazione, non come esimente. La dimensione incide sull'importo, non sull'esistenza dell'obbligo — e i provvedimenti sono generalmente pubblicati con il nome del soggetto sanzionato.

Sanzioni GDPR: si arriva davvero a 20 milioni di euro per un'azienda italiana?

Il massimale dell'art. 83, par. 5 esiste, e in Italia è stato largamente superato dove il 4% del fatturato risulta più alto: la sanzione più elevata applicata dal Garante è di 79.107.101 euro (provvedimento n. 81 dell'8 febbraio 2024). Ma quei casi riguardano trattamenti massivi presso grandi operatori. Nel 2025 l'Autorità ha riscosso poco più di 37 milioni su 506 provvedimenti correttivi e sanzionatori: la media per provvedimento è di alcune decine di migliaia di euro, e per le realtà piccole gli importi applicati per carenze di sicurezza vanno tipicamente da poche migliaia ad alcune decine di migliaia di euro.

Admeto Verde, Founder NextGenTool.it, "Ingegnere Industriale, 15 anni di esperienza in PMI strutturate". Motto: "Il digital che funziona ha le stesse regole di una catena di produzione: misuri, ottimizzi, ripeti."