GDPR per SaaS italiani — Best practice 2026
Come essere conformi al GDPR se sviluppi o usi software SaaS
Il GDPR (Regolamento UE 2016/679) e il Codice della Privacy italiano (D.Lgs. 196/2003 e successive modifiche) sono il framework di riferimento per qualsiasi attività che tratta dati personali in Italia e nell'UE. Per le PMI italiane che usano (o sviluppano) software SaaS, conoscere i ruoli (data controller vs processor), gli obblighi contrattuali (DPA), le misure di sicurezza tecniche e organizzative, la gestione dei data breach e il ruolo del DPO è essenziale per evitare sanzioni che possono arrivare fino a 4% del fatturato annuo o €20M. Questa guida copre le best practice 2026.
Data controller vs data processor — chi è chi
Quando usi un SaaS (es. 4b2b, Microsoft 365, Google Workspace) per gestire dati dei tuoi clienti, sei tu il data controller (decidi finalità e mezzi del trattamento). Il SaaS provider è il data processor (tratta i dati per conto tuo, secondo le tue istruzioni). Quando sviluppi un SaaS che gestisce dati dei tuoi clienti, sei tu il data processor — i tuoi clienti sono i data controller dei loro utenti finali. Quando gestisci dati direttamente di utenti finali (es. una newsletter aziendale), sei data controller di quei dati. Questa distinzione è critica per gli obblighi contrattuali (DPA), per chi risponde in caso di breach, per chi paga le sanzioni.
DPA (Data Processing Agreement) e sub-processor list
Ogni rapporto tra data controller e data processor deve essere regolato da un DPA — contratto specifico ex art. 28 GDPR che definisce: oggetto e durata del trattamento, finalità, tipologie di dati, categorie di interessati, obblighi del processor, misure di sicurezza. Il DPA è SEMPRE obbligatorio: niente DPA = non conformità immediata. Il processor deve anche pubblicare la sub-processor list (es. il provider hosting che usa per i tuoi dati): qualsiasi nuovo sub-processor richiede notifica al cliente con possibilità di opporsi. Best practice: verifica che il tuo SaaS abbia un DPA pronto da firmare e una sub-processor list pubblicamente accessibile.
Sicurezza tecnica e organizzativa
Art. 32 GDPR richiede misure tecniche e organizzative adeguate al rischio. Per un SaaS italiano nel 2026 questo significa minimum: 1) Cifratura at rest (AES-256) e in transit (TLS 1.3+), 2) Autenticazione MFA obbligatoria per accessi admin, 3) Backup criptati con ritenzione almeno 30 giorni, 4) Audit log immodificabile su ogni accesso a dati personali, 5) Penetration test annuale, 6) Vulnerability scanning continuo, 7) Pseudonimizzazione dove possibile, 8) ISO 27001 (best practice, anche se non obbligatoria), 9) Data center in UE (per evitare obblighi Standard Contractual Clauses per trasferimenti extra-UE), 10) Piano di disaster recovery testato.
Data breach — notifica al Garante e agli interessati
In caso di violazione dei dati personali (data breach), hai 72 ore per notificare il Garante della Privacy. La notifica al Garante è obbligatoria salvo che la violazione 'non comporti probabilmente un rischio per i diritti e le libertà' degli interessati. Se invece c'è 'elevato rischio', devi notificare anche gli interessati direttamente. La notifica deve descrivere: natura della violazione, dati interessati, numero interessati impattati, conseguenze probabili, misure adottate. Best practice: avere una procedura di gestione data breach scritta, formare il team su come riconoscere e segnalare incident, simulare almeno una volta all'anno la gestione di un breach.
Quando serve un DPO (Data Protection Officer)
Il DPO è obbligatorio per: 1) Pubbliche amministrazioni, 2) Soggetti la cui attività principale richiede 'monitoraggio regolare e sistematico' degli interessati su larga scala (es. social network, marketing online, ad-tech), 3) Soggetti che trattano 'categorie particolari' di dati (art. 9 GDPR: dati sanitari, biometrici, etnia, religione, orientamento sessuale, ecc.) o dati giudiziari su larga scala. Per la maggior parte delle PMI italiane il DPO non è obbligatorio, ma è fortemente consigliato per software SaaS B2C o che trattano dati sensibili. Il DPO può essere interno o esterno (outsourcing), deve avere competenze legali e tecniche, e accede direttamente al top management.
Domande frequenti
Devo avere un DPA con tutti i miei fornitori SaaS?
Sì. Qualunque fornitore che tratta dati personali per tuo conto (Microsoft, Google, Stripe, Mailchimp, 4b2b, hosting, ecc.) deve avere un DPA firmato. Verifica nei loro DPA aggiornati alle ultime SCC UE.
Posso conservare dati su server USA?
Con il Data Privacy Framework (luglio 2023) i trasferimenti USA sono di nuovo possibili con aziende certificate. Comunque, raccomandato preferire hosting UE per evitare future complicazioni e per principio di minimizzazione.
Quanto costa una sanzione GDPR?
Fino a 4% del fatturato annuo globale o €20M (massimo applicato). Per casi gravi (es. violazione di dati con perdita pubblica) il Garante ha sanzionato fino a €5-10M anche aziende italiane medie. Casi minori partono da qualche migliaio di euro.
Il GDPR si applica solo se ho dati di clienti UE?
Si applica se: 1) Sei stabilito in UE (qualunque cliente), 2) Tratti dati di interessati in UE anche se sei fuori. Una software house italiana con clienti USA è soggetta a GDPR per gli utenti UE dei suoi clienti.
Posso usare cookie analytics senza consenso?
No. Anche Google Analytics 4, dopo le decisioni del Garante italiano 2022, richiede consenso esplicito (opt-in) prima del caricamento dei cookie. Piattaforme alternative come Plausible o Matomo self-hosted possono operare senza consenso se configurate correttamente.
Soluzioni e settori correlati
Metti in pratica i contenuti di questa guida con soluzioni concrete 4b2b ed esempi specifici per settore.