GDPR – Italia · ISO/IEC 27701:2025
Quanto è conforme la vostra organizzazione al GDPR e al Codice privacy?
85 requisiti in italiano: i 70 del Regolamento (principi, governo, liceità, trasparenza, diritti, progettazione, responsabili, sicurezza, violazioni, valutazione d'impatto, trasferimenti, situazioni particolari), letti con le linee guida dell'EDPB, più 15 requisiti sul Codice privacy e sui provvedimenti del Garante: persone autorizzate, amministratori di sistema, controlli sui lavoratori, videosorveglianza, cookie, marketing e Registro delle opposizioni, notifica delle violazioni, sanzioni. Ogni requisito è collegato ai controlli di ISO/IEC 27701:2025. Quadro normativo al 14/11/2026.
Nessun dato di questa valutazione è trasmesso a GoToCertify.
Come funziona
- Profilo: pochi dati e domande sì/no escludono i requisiti non applicabili.
- Assessment: un livello di maturità 0-4 per requisito, con evidenze e note.
- Dashboard: punteggio complessivo e % di conformità per area; con lo sblocco anche per fonte, per controllo e gap P1/P2 per area.
- Report: PDF di sintesi gratuito; con Pro il report completo con piano d'azione, linee guida, mappa dei controlli, roadmap ed export Excel.
85 requisiti · 15 aree di valutazione · mappato su ISO 27701 · 75-150 minuti
GDPR (Reg. (UE) 2016/679)Applicabile dal 25/05/2018 e invariato alla data del quadro: le modifiche del Digital Omnibus proposte a novembre 2025 sono ancora in negoziato e compaiono solo come note. Il regolamento (UE) 2025/2518 sulle procedure transfrontaliere si applica dal 02/04/2027.
Codice privacy e GaranteD.Lgs. 196/2003 nel testo vigente su Normattiva (comprese le modifiche della legge 182/2025), Statuto dei lavoratori, d.P.R. 26/2022 sul Registro delle opposizioni e i provvedimenti generali del Garante su amministratori di sistema, videosorveglianza, cookie, metadati della posta e notifica delle violazioni.
ISO/IEC 27701:2025La norma sul sistema di gestione della privacy, ora autonoma (pubblicata il 14/10/2025). Ogni requisito è collegato ai controlli delle tabelle A.1 (titolare), A.2 (responsabile) e A.3 (sicurezza) e ai punti 4-10: la mappa di copertura è una base per la Dichiarazione di applicabilità.
Aree di valutazione
- PRI – Principi e responsabilizzazione
I principi dell'art. 5 sono il metro di ogni altro obbligo e sono sanzionabili direttamente (art. 83, par. 5). Vanno tradotti in una politica di protezione dei dati e in decisioni documentate (finalità, base giuridica, conservazione), così da poter dimostrare la conformità a richiesta (art. 5, par. 2, e art. 24). - GOV – Governo, DPO e sistema di gestione
Assegnate responsabilità chiare: uno sponsor in direzione, il DPO dove è obbligatorio (art. 37), referenti privacy nelle funzioni. Un sistema di gestione della privacy (ISO/IEC 27701:2025, punti 4-7) dà la struttura: perimetro, registro normativo, pianificazione basata sul rischio, risorse e documenti sotto controllo. - ROP – Registro dei trattamenti e inventario dei dati
Il registro dell'art. 30 è la spina dorsale della responsabilizzazione e il primo documento che un'autorità chiede. Tenetelo vivo: collegatelo a sistemi, fornitori, conservazione e trasferimenti, e riesaminatelo a ogni nuovo progetto. - LAW – Liceità, consenso e categorie particolari
Ogni trattamento ha bisogno di una base dell'art. 6 documentata e scelta prima di iniziare; le categorie particolari richiedono anche una condizione dell'art. 9, par. 2. Il consenso deve rispettare l'art. 7 (libero, specifico, informato, inequivocabile, revocabile) e il legittimo interesse richiede un bilanciamento scritto (Linee guida EDPB 1/2024). - TRN – Trasparenza e informative
Le informative devono essere concise, comprensibili, facilmente accessibili e complete (artt. 12-14). Usate informative a più livelli, tenete un'unica fonte per ogni trattamento e rivedetele quando cambiano finalità, destinatari, conservazione o trasferimenti. - DSR – Diritti degli interessati e decisioni automatizzate
Alle richieste si risponde entro un mese (prorogabile di due), con una verifica dell'identità proporzionata al rischio. Mappate dove stanno i dati, così che accesso, cancellazione e portabilità si possano eseguire fino in fondo, e individuate ogni decisione presa unicamente con mezzi automatizzati (art. 22). - PBD – Privacy by design, minimizzazione e conservazione
Inserite controlli privacy nelle metodologie di progetto, acquisto e sviluppo (art. 25). Le impostazioni predefinite devono trattare solo il necessario; un piano di conservazione con cancellazione o anonimizzazione automatica è il controllo che manca più spesso. - PRC – Responsabili, sub-responsabili e contratti
Il titolare sceglie responsabili che offrono garanzie sufficienti e li vincola con un contratto dell'art. 28, par. 3; il responsabile agisce solo su istruzione documentata, governa i sub-responsabili e assiste il titolare. La tabella A.2 di ISO/IEC 27701:2025 copre il lato del responsabile. - SEC – Sicurezza del trattamento
L'art. 32 chiede misure tecniche e organizzative adeguate al rischio. La tabella A.3 di ISO/IEC 27701:2025 elenca i controlli di sicurezza più rilevanti per i dati personali: accessi, crittografia, log, backup, dispositivi e supporti, sviluppo sicuro e gestione degli incidenti. - BRN – Gestione delle violazioni dei dati personali
Rilevate, valutate e documentate ogni violazione; notificate al Garante entro 72 ore, salvo che sia improbabile un rischio (art. 33), e informate gli interessati quando il rischio è elevato (art. 34). Provate la procedura con esercitazioni. La proposta Digital Omnibus (96 ore, soglia del rischio elevato) non è ancora legge. - DPI – Valutazione d'impatto e consultazione preventiva
Esaminate ogni trattamento nuovo o modificato rispetto all'art. 35, par. 3, ai nove criteri dell'EDPB (WP248 rev.01) e all'elenco del Garante (provv. n. 467 dell'11 ottobre 2018). Se il rischio residuo resta elevato, consultate il Garante prima di iniziare (art. 36). - TRF – Trasferimenti internazionali
Mappate ogni trasferimento e trasferimento successivo, compresi accesso remoto e assistenza cloud. Usate l'adeguatezza (compreso il Data Privacy Framework UE-USA per i destinatari certificati), le clausole tipo 2021/914 con una valutazione del trasferimento, o le norme vincolanti d'impresa; le deroghe dell'art. 49 solo in via occasionale. - SPC – Situazioni particolari
Lavoratori, minori, marketing diretto e strumenti di tracciamento, addestramento di IA con dati personali hanno condizioni specifiche: art. 88 e norme nazionali sul lavoro, soglia di età dell'art. 8 (14 anni in Italia), opposizione dell'art. 21, par. 2, consenso per i cookie e Parere EDPB 28/2024 sui modelli di IA. - AUD – Formazione, audit e miglioramento continuo
Formazione per tutto il personale (art. 39, par. 1, lett. b), audit interni periodici, riesami della direzione e azioni correttive trasformano un progetto una tantum in un programma che dura, e sono le prove che l'autorità pesa quando fissa una sanzione (art. 83, par. 2). - ITA – Codice privacy e provvedimenti del Garante
Il d.lgs. 196/2003, riscritto dal d.lgs. 101/2018, completa il Regolamento dove questo lascia spazio agli Stati: persone autorizzate e designate, categorie particolari e dati giudiziari, lavoro, cookie e comunicazioni promozionali, persone decedute, sanzioni penali. A questo si aggiungono i provvedimenti generali del Garante ancora applicati (amministratori di sistema, videosorveglianza, cookie, metadati della posta elettronica). Sono i punti su cui si concentrano ispezioni e sanzioni in Italia.
Scadenze normative
| Date | Source | Status | |
|---|---|---|---|
| 27/11/2008 | Garante | Provvedimento del Garante sugli amministratori di sistema (modificato il 25/06/2009) | In vigore |
| 25/05/2018 | GDPR | Regolamento (UE) 2016/679 applicabile in tutti gli Stati membri | In vigore |
| 19/09/2018 | Codice privacy | In vigore il d.lgs. 101/2018, che adegua il Codice privacy al Regolamento | In vigore |
| 16/07/2020 | CGUE | Schrems II (C-311/18): Privacy Shield invalido; valutazione del trasferimento richiesta per gli strumenti dell'art. 46 | In vigore |
| 01/07/2021 | Garante | Notifica delle violazioni al Garante solo con la procedura telematica dei servizi online | In vigore |
| 09/01/2022 | Garante | Termine di adeguamento alle Linee guida su cookie e altri strumenti di tracciamento del 10/06/2021 (sei mesi dalla pubblicazione nella Gazzetta Ufficiale n. 163 del 09/07/2021) | In vigore |
| 27/01/2022 | Codice privacy | D.P.R. 26/2022: nuovo regolamento del Registro pubblico delle opposizioni, per le numerazioni nazionali fisse e mobili e per la posta cartacea | In vigore |
| 10/07/2023 | Commissione | Decisione di adeguatezza (UE) 2023/1795 sul Data Privacy Framework UE-USA; confermata dal Tribunale il 03/09/2025 (T-553/23); impugnazione C-703/25 P pendente davanti alla Corte di giustizia | In vigore – da seguire |
| 06/06/2024 | Garante | Documento di indirizzo sui metadati della posta elettronica dei lavoratori (conservazione di pochi giorni, orientativamente non oltre 21) | In vigore |
| 14/10/2025 | ISO | Pubblicata ISO/IEC 27701:2025; transizione di tre anni, i certificati dell'edizione 2019 perdono validità il 31/10/2028 | In vigore – transizione |
| 02/04/2027 | Regolamento procedurale GDPR | Applicabile il regolamento (UE) 2025/2518: gestione armonizzata dei reclami transfrontalieri, diritto di essere sentiti, termini | Futuro – prepararsi |
| 02/12/2027 | AI Act (modificato dal Reg. (UE) 2026/1744) | Obblighi per i sistemi ad alto rischio dell'allegato III (personale, credito, istruzione); coordinamento con l'art. 22 del GDPR e con la valutazione d'impatto | Futuro |
| Da definire | Digital Omnibus (proposta) | Proposta della Commissione del 19/11/2025 che modifica GDPR ed ePrivacy (notifica entro 96 ore con soglia del rischio elevato, dati pseudonimizzati, elenchi per la valutazione d'impatto, cookie). Mandato del Consiglio del 21/10/2026; posizione del Parlamento attesa; NON adottata | Proposta – da seguire |
| Da definire | Omnibus IV (proposta) | Proposta COM(2025) 501 del 21/05/2025: registro dei trattamenti sotto i 750 dipendenti solo per trattamenti ad alto rischio (art. 30, par. 5). Adozione non risultante al 13/11/2026 | Proposta – da seguire |
| Da definire | Codice privacy | Procedura semplificata di notifica delle violazioni per le imprese con meno di cinque dipendenti (art. 2-quaterdecies.1 del Codice): da disciplinare con provvedimento del Garante | Da seguire |
Domande frequenti
Il self-assessment GDPR – Italia è gratuito?
Sì. Questionario, punteggio, dashboard con il punteggio per area e PDF di sintesi sono gratuiti e non richiedono registrazione; le risposte restano nel browser e non vengono mai inviate ai nostri server. Sbloccando questo assessment (18 € per 45 giorni, facoltativo) si aggiungono il report PDF completo con piano d'azione e linee guida, la dashboard di dettaglio (per fonte, per controllo, gap per area), il tracciamento delle evidenze, il confronto con valutazioni precedenti e l'export Excel; GoToCertify Pro (39 € per 45 giorni) sblocca tutti gli assessment e la vista multi-framework.
Su quale standard è mappato l'assessment GDPR – Italia?
Ogni requisito è collegato ai controlli della ISO/IEC 27701:2025. La mappa di copertura prodotta dallo strumento può essere usata come base per la Dichiarazione di Applicabilità.
Come si calcola la percentuale di conformità?
Ogni requisito applicabile riceve un livello di maturità da 0 (non avviato) a 4 (pienamente conforme). La percentuale di conformità è il rapporto tra punteggio ottenuto e massimo ottenibile. Le priorità P1/P2/P3 combinano criticità e livello.
A chi è rivolto?
Alle funzioni compliance, legale, sicurezza IT e risk management delle organizzazioni italiane; è un'autovalutazione e non costituisce parere legale.
Quanto è aggiornato il contenuto normativo?
Il quadro normativo è aggiornato al 2026-11-14 (versione 1.0). Le proposte non ancora adottate sono indicate come tali. I riferimenti rimandano alle fonti ufficiali (Gazzetta Ufficiale, Normattiva, EUR-Lex).
Altri assessment
- EU AI Act – Reg. (UE) 2024/1689 con il Digital Omnibus – mappato su ISO/IEC 42001:2023. Per organizzazioni di tutta l'UE (contenuti in inglese).
- GDPR – Regolamento (UE) 2016/679 e linee guida EDPB – mappato su ISO/IEC 27701:2025 (contenuti in inglese).
- NIS2 Directive – Direttiva (UE) 2022/2555 e Reg. di esecuzione 2024/2690 – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
- DORA – Regolamento (UE) 2022/2554 e RTS/ITS – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in inglese).
- AI Act – Italia – AI Act, L. 132/2025, D.Lgs. 160/2026 e 179/2026 – mappato su ISO/IEC 42001:2023 (contenuti in italiano).
- NIS2 – Italia – D.Lgs. 138/2024 e misure di sicurezza di base ACN (Det. 379907/2025): registrazione, organi di amministrazione, 37-43 misure, notifica al CSIRT Italia – mappato su ISO/IEC 27001:2022 (contenuti in italiano, filtro per funzione aziendale).
- DORA – Banche italiane – Regolamento (UE) 2022/2554, RTS/ITS, Circ. 285 Banca d'Italia (51 aggiornamento) e D.Lgs. 23/2025 – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in italiano, filtro per funzione aziendale).
- Whistleblowing – Italia – D.Lgs. 24/2023 e Linee guida ANAC: chi è obbligato, canale interno e gestore, tempi di gestione, riservatezza, dati personali, divieto di ritorsione, sanzioni e modello 231 – 52 requisiti in italiano, riferiti ai punti di ISO 37002:2021.
- Parità di genere – UNI/PdR 125 – UNI/PdR 125:2022: i 33 indicatori (KPI) nelle sei aree, con punti e pesi, e il sistema di gestione per la certificazione della parità di genere; rapporto biennale e benefici di legge – 60 requisiti in italiano, con le semplificazioni per micro e piccole organizzazioni.
- ISO/IEC 27001 readiness – Gap analysis del SGSI rispetto a ISO/IEC 27001:2022 – clausole 4-10 e 93 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
- ISO/IEC 42001 readiness – Gap analysis del sistema di gestione dell'IA rispetto a ISO/IEC 42001:2023 – clausole 4-10 e 38 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
- ISO/IEC 20000-1 / ITSM maturity – Gap analysis del SMS rispetto a ISO/IEC 20000-1:2018 e maturità dei processi ITSM, con riferimenti alle pratiche ITIL, in vista della certificazione (contenuti in inglese).
- Swiss nFADP (nLPD) – Nuova Legge federale sulla protezione dei dati (nLPD, RS 235.1) e Ordinanza OPDa (RS 235.11) – mappata su ISO/IEC 27701:2025 (contenuti in inglese).
- EU laws for Swiss companies – Quali leggi UE si applicano a un'azienda svizzera: GDPR, AI Act, NIS2, DORA, Cyber Resilience Act, Data Act e Digital Services Act – verifica rapida di applicabilità e prontezza (contenuti in inglese).
- NIST CSF 2.0 – NIST Cybersecurity Framework 2.0 – maturità per funzione (Govern, Identify, Protect, Detect, Respond, Recover) con i Tier NIST, mappato su ISO/IEC 27001:2022 (contenuti in inglese).
- SOC 2 Type II readiness – SOC 2 Type II readiness – gap analysis sui Trust Services Criteria AICPA (Security, Availability, Confidentiality, Processing Integrity, Privacy), mappata su ISO/IEC 27001:2022 (contenuti in inglese).
- HIPAA Security Risk Assessment – HIPAA (USA): Security Rule, Breach Notification Rule e obblighi principali della Privacy Rule (45 CFR 160 e 164) per studi medici, cliniche e fornitori che trattano dati sanitari – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
Strumento di autovalutazione a scopo informativo: non costituisce parere legale. I requisiti riassumono con parole proprie il Regolamento, il Codice privacy e i provvedimenti del Garante: fanno fede i testi ufficiali (EUR-Lex, Normattiva, Gazzetta Ufficiale, sito del Garante), da verificare anche per riferimenti e date (quadro al 14/11/2026). Le norme di settore (sanità, credito, pubblica amministrazione, comunicazioni elettroniche) non sono trattate in modo completo. Nessun dato di questa valutazione è trasmesso a GoToCertify. © 2026 GoToCertify.