Il Codice Privacy, D.Lgs. 196/2003, continua ad applicarsi insieme al GDPR. Il D.Lgs. 101/2018 lo ha profondamente modificato per adeguare l’ordinamento italiano al regolamento europeo, ma non lo ha eliminato. Cookie, comunicazioni commerciali, compiti pubblici, organizzazione interna e alcune fattispecie penali richiedono ancora la lettura delle disposizioni nazionali pertinenti.
La domanda utile non è se scegliere il Codice oppure il GDPR, ma quale norma governa la specifica operazione. Un’informativa copiata da un modello precedente al 2018 può rinviare ad articoli abrogati; un modello basato soltanto sul GDPR può invece trascurare una regola italiana sulle email promozionali. Questa guida mostra come coordinare le fonti, comprese modifiche successive al 2018 e novità del 2026.
Leggere la versione vigente del Codice
Il testo vigente su Normattiva consente di controllare gli articoli e le modifiche. Il Garante pubblica anche un testo coordinato del Codice, utile per orientarsi, precisando che ha valore informativo e che i testi ufficiali sono quelli della Gazzetta Ufficiale. La versione disponibile, consultata a settembre 2026, comprende aggiornamenti fino ad aprile 2026.
Bisogna distinguere la data originaria del decreto dalla data della disposizione letta. Il Codice è del 2003, l’intervento di adeguamento principale è del 2018, ma alcune norme sono state modificate nel 2021, nel 2025 e nel 2026. Un richiamo generico al «Codice aggiornato al GDPR» non prova che il modello utilizzato recepisca anche questi interventi successivi.
Nella pratica, partite dal trattamento: chi raccoglie i dati, per quale finalità, in quale settore e attraverso quale canale. Verificate poi il GDPR, la disposizione nazionale pertinente e gli eventuali provvedimenti del Garante. Questo ordine evita di trasformare un articolo speciale in una regola generale per tutti i trattamenti. La disciplina delle comunicazioni elettroniche, per esempio, aggiunge condizioni che non si risolvono scegliendo liberamente una base dell’articolo 6.
Che cosa ha cambiato il D.Lgs. 101/2018
Il decreto di adeguamento ha abrogato numerose disposizioni e riscritto altre parti del Codice. Le regole generali su informative, diritti, titolari e responsabili si leggono ora anzitutto nel GDPR. I vecchi richiami agli articoli 7 o 13 del Codice non devono essere mantenuti come se quelle disposizioni fossero ancora la fonte ordinaria dei diritti e dell’informativa.
Il cambiamento riguarda anche la logica organizzativa. Il rispetto di un elenco storico di misure minime non esaurisce la sicurezza richiesta dall’articolo 32 del GDPR. Occorre valutare rischi, contesto e adeguatezza delle misure. Allo stesso tempo, il principio di responsabilizzazione non autorizza a ignorare prescrizioni nazionali o settoriali che continuano ad applicarsi alla specifica attività.
Un controllo utile sui documenti esistenti consiste nel verificare i rinvii normativi e le conseguenze operative. Se una procedura dice che ogni trattamento richiede consenso, il problema non si risolve sostituendo una citazione. Bisogna scegliere il fondamento corretto, aggiornare l’informativa e verificare che l’operazione reale corrisponda alla decisione. Gli esempi di consenso nel GDPR servono quando quella base è appropriata, senza farne una soluzione universale.
Articolo 2-ter: compiti pubblici e comunicazioni
L’articolo 2-ter disciplina il fondamento nazionale dei trattamenti per compiti di interesse pubblico o esercizio di pubblici poteri. Il comma 1 richiama norme di legge, regolamento o atti amministrativi generali. Ripetere che occorre sempre ed esclusivamente una legge o un regolamento descrive una formulazione incompleta rispetto al testo vigente.
Il comma 1-bis riguarda specifiche amministrazioni e società a controllo pubblico, con condizioni ed esclusioni, e consente il trattamento necessario per compiti pubblici o poteri attribuiti, nel rispetto dell’articolo 6 del GDPR. Non costituisce una delega illimitata a utilizzare qualsiasi dato disponibile. Occorre identificare il compito, la necessità e il collegamento tra quel compito e l’operazione progettata, oltre agli altri obblighi applicabili.
La distinzione tra comunicazione e diffusione è particolarmente importante. Trasmettere informazioni a un soggetto determinato non equivale a pubblicarle su un sito accessibile a chiunque. L’articolo 2-ter contiene condizioni specifiche per le comunicazioni tra titolari e per la diffusione o comunicazione a destinatari che perseguono altre finalità. La possibilità di consultare internamente un dato non dimostra, da sola, la liceità della sua pubblicazione.
Per esempio, un ufficio comunale può avere bisogno di informazioni per gestire una prestazione. La pubblicazione integrale degli allegati della pratica richiede una verifica distinta di base, necessità e minimizzazione. Il fatto che la decisione amministrativa debba essere trasparente non rende automaticamente pertinenti recapiti privati o informazioni familiari contenuti nell’istruttoria. La guida per comuni e pubblica amministrazione approfondisce questo contesto.
Categorie particolari e dati relativi a reati
Per dati sanitari, genetici, biometrici e altre categorie dell’articolo 9, individuare una base dell’articolo 6 non basta: serve anche una condizione che consenta di superare il divieto dell’articolo 9. Il Codice interviene, tra l’altro, con gli articoli 2-sexies e 2-septies. La qualificazione del dato dipende anche da ciò che rivela: una causale o un riferimento documentale possono rendere conoscibile una condizione di salute.
L’articolo 2-sexies riguarda trattamenti necessari per motivi di interesse pubblico rilevante, con i requisiti previsti. L’articolo 2-septies disciplina misure di garanzia per dati genetici, biometrici e relativi alla salute e vieta la diffusione di questi dati. Non bisogna confondere il trattamento consentito a soggetti individuati con la messa a disposizione del pubblico. Neppure una finalità istituzionale elimina questa distinzione.
I dati relativi a condanne penali e reati seguono l’articolo 10 del GDPR e l’articolo 2-octies del Codice. Non sono semplicemente un’altra voce delle categorie particolari dell’articolo 9. Prima di richiedere un certificato o registrare informazioni giudiziarie, l’organizzazione deve verificare la specifica autorizzazione normativa e le garanzie, evitando di giustificare la raccolta con una generica esigenza di affidabilità.
Un inventario dei documenti richiesti a candidati, dipendenti e fornitori può far emergere raccolte eccessive. Chiedere un documento per consuetudine è diverso dal dimostrarne la necessità. Il controllo deve coinvolgere chi usa le informazioni: eliminare un campo dal modulo serve a poco se il medesimo documento viene poi richiesto informalmente per email e conservato fuori dai sistemi previsti.
Prescrizioni del Garante e regole deontologiche
Le vecchie autorizzazioni generali non sono tutte confluite indistintamente in un unico nuovo regime. Il provvedimento del 5 giugno 2019 sulle categorie particolari di dati individua prescrizioni in ambiti determinati, fra cui lavoro, organismi associativi, investigatori, dati genetici e ricerca. Occorre verificare il relativo campo di applicazione e gli aggiornamenti.
Un esempio è il provvedimento del 13 febbraio 2025, che modifica una prescrizione sul riutilizzo di campioni biologici e dati genetici per coordinarla con l’articolo 110. La presenza di un documento del 2019 nell’archivio del Garante non significa che ogni sua formulazione originaria resti immutata. La data e la disposizione modificata fanno parte della verifica.
Le regole deontologiche hanno una funzione distinta e riguardano specifici contesti, come giornalismo, ricerca storica o investigazioni difensive. Per uno studio legale, il trattamento di dati per difendere un diritto richiede di considerare le fonti pertinenti all’attività, senza trasformare la finalità difensiva in un’esenzione generale. La documentazione deve spiegare quale operazione è necessaria e quali informazioni sono effettivamente pertinenti.
Articolo 2-quaterdecies: incarichi e autorizzazioni interne
L’articolo 2-quaterdecies permette al titolare o al responsabile di attribuire specifici compiti a persone fisiche espressamente designate che operano sotto la propria autorità. Consente inoltre di individuare le modalità appropriate per autorizzare il trattamento. Non sostituisce il rapporto con un fornitore esterno disciplinato dall’articolo 28 del GDPR: ruoli interni e subcontrattazione rispondono a presupposti diversi.
La designazione dovrebbe essere coerente con le mansioni e con gli accessi effettivi. Una persona che gestisce la fatturazione non deve ottenere automaticamente tutte le funzionalità disponibili al personale sanitario o alle risorse umane. Le istruzioni devono descrivere i limiti delle operazioni, i destinatari ammessi e il comportamento da seguire in caso di richieste anomale. Il modello di nomina e istruzioni agli autorizzati può aiutare a organizzare questi elementi.
Occorre poi gestire cambi di mansione, assenze prolungate e cessazione del rapporto. Una lettera firmata all’assunzione non aggiorna automaticamente le autorizzazioni tecniche dopo un trasferimento. È utile attribuire a un responsabile operativo il controllo che le modifiche concordate arrivino ai sistemi e conservare evidenze delle verifiche. Sono scelte organizzative da proporzionare al contesto, non una forma obbligatoria identica per tutte le imprese.
Il DPO o responsabile della protezione dei dati svolge compiti di consulenza e sorveglianza quando designato. Non diventa per questo il titolare di tutti i trattamenti o il gestore necessario di ogni account. La corretta distribuzione delle responsabilità rende possibile segnalare una carenza senza confondere chi la controlla con chi deve correggerla.
Articoli 122 e 130: canale e finalità contano
L’articolo 122 riguarda l’archiviazione di informazioni nel terminale dell’utente e l’accesso a informazioni già archiviate. Il campo è più ampio della sola parola «cookie». Il consenso informato è la regola, con eccezioni per la trasmissione della comunicazione o per ciò che è strettamente necessario a erogare un servizio della società dell’informazione esplicitamente richiesto dall’utente.
Un servizio considerato utile dall’editore non è per questo strettamente necessario per l’utente. Prima di configurare il banner bisogna sapere quali strumenti sono attivi, quali operazioni compiono e quando si avviano. Le linee guida del Garante del 10 giugno 2021 spiegano la disciplina di cookie e altri strumenti di tracciamento; la nostra guida alle regole italiane sui cookie ne sviluppa l’applicazione operativa.
L’articolo 130 disciplina le comunicazioni indesiderate. Per chiamate automatizzate senza operatore ed email, SMS e altri mezzi elettronici indicati, le finalità promozionali richiedono il consenso, salve le specifiche eccezioni. Un interesse commerciale legittimo non permette di ignorare la regola speciale sul canale. Per le telefonate con operatore occorre coordinare le disposizioni applicabili, comprese quelle sul Registro pubblico delle opposizioni.
L’eccezione del comma 4, spesso chiamata «soft spam», riguarda l’email fornita nel contesto della vendita di un prodotto o servizio, utilizzata per la vendita diretta di propri prodotti o servizi analoghi. La persona deve essere adeguatamente informata e poter rifiutare agevolmente e gratuitamente, alla raccolta e in ogni comunicazione. Non è un’autorizzazione generale per indirizzi acquistati, altre società del gruppo o qualunque canale di contatto.
Per verificare una campagna, ricostruite quindi provenienza dell’indirizzo, vendita precedente, analogia dell’offerta e gestione dell’opposizione. Un collegamento di disiscrizione non sana l’assenza dei presupposti iniziali. Le sanzioni del Garante nel telemarketing mostrano perché la responsabilità non si esaurisce nell’affidare la campagna a un intermediario: anche istruzioni, selezione e controllo della filiera devono essere esaminati.
Diritti: limitazioni motivate, non rifiuti automatici
I diritti ordinari si fondano sul GDPR. L’articolo 2-undecies del Codice consente limitazioni in ipotesi definite, quando l’esercizio possa provocare un pregiudizio effettivo e concreto agli interessi tutelati. Una generica controversia o una dichiarazione di riservatezza non bastano a bloccare qualsiasi richiesta. Bisogna collegare il rischio alle informazioni richieste e verificare se una risposta parziale sia possibile.
La limitazione deve rispettare necessità, proporzionalità e durata; l’articolo prevede condizioni per la comunicazione all’interessato e la possibilità di esercizio tramite il Garante. Le limitazioni per ragioni di giustizia hanno una disciplina specifica nell’articolo 2-duodecies. La procedura sul diritto di accesso GDPR deve permettere di distinguere questi casi dalla semplice difficoltà tecnica nel reperire i dati.
Quando non si dà seguito alla richiesta, l’articolo 12, paragrafo 4, richiede di comunicare senza ritardo, e al più tardi entro un mese dal ricevimento, i motivi e le possibilità di reclamo e ricorso, ferme le specifiche limitazioni legalmente applicabili. L’analisi interna dovrebbe identificare chi decide l’eventuale restrizione e quando deve essere riesaminata, evitando che una sospensione motivata oggi diventi permanente per inerzia.
La novità 2026 sulle notifiche delle microimprese
Il decreto-legge 19/2026, convertito dalla legge 50/2026, ha introdotto l’articolo 2-quaterdecies.1. La disposizione riguarda le imprese con meno di cinque dipendenti e prevede una specifica procedura per adempiere all’articolo 33 del GDPR, da disciplinare con provvedimento del Garante mediante strumenti guidati di autovalutazione e assistenza semplificata. La soglia specifica non coincide con ogni definizione di microimpresa usata in altre normative.
Questa previsione non elimina il criterio di rischio né estende il termine europeo. Quando la violazione deve essere notificata, il titolare procede senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza; l’eventuale ritardo va motivato. La notifica non è richiesta quando è improbabile un rischio per diritti e libertà, ma tutte le violazioni di dati personali vanno documentate.
Prima dell’invio bisogna verificare le modalità operative pubblicate dal Garante, senza dedurre dal solo articolo l’esistenza di uno specifico modulo già attivo. La comunicazione della violazione agli interessati è un distinto adempimento, legato al rischio elevato e alle condizioni dell’articolo 34. Una procedura nazionale agevolata non rende equivalenti questi due destinatari.
Sanzioni e revisione dei documenti
I poteri correttivi del Garante derivano anzitutto dall’articolo 58 del GDPR; il Codice, in particolare l’articolo 166, integra la disciplina nazionale. Accanto alle sanzioni amministrative esistono fattispecie penali specifiche. L’articolo 167 richiede le condotte previste, la finalità di profitto o danno e il nocumento all’interessato: non ogni violazione del GDPR costituisce automaticamente quel reato.
Gli articoli 167-bis e 167-ter riguardano, con i rispettivi requisiti, comunicazione o diffusione illecita e acquisizione fraudolenta di archivi su larga scala. Il rapporto tra conseguenze penali e amministrative richiede un esame concreto delle norme e delle garanzie applicabili. È fuorviante presentarlo come una somma automatica di pene e multe per qualsiasi errore documentale.
Per aggiornare la conformità, utilizzate il registro dei trattamenti come punto di orientamento e verificate le fonti specifiche di ogni attività. Informative, autorizzazioni, campagne e procedure di risposta devono raccontare lo stesso trattamento effettivo. Una revisione utile produce decisioni applicabili: dati da non raccogliere, destinatari da escludere, accessi da modificare o comunicazioni da sospendere fino alla verifica.
Domande frequenti
Il Codice del 2003 è stato abrogato dal GDPR?
No. Molti articoli sono stati abrogati o modificati, ma il Codice continua a contenere disposizioni nazionali applicabili insieme al regolamento. Occorre usare la versione vigente dell’articolo pertinente, non una copia del testo originario.
Basta ottenere il consenso per rispettare il Codice?
No. Il consenso è appropriato soltanto nei casi in cui soddisfa i requisiti e la disciplina applicabile. Non elimina minimizzazione, sicurezza, limiti settoriali o condizioni di trattamento delle categorie particolari. Alcuni trattamenti hanno un diverso fondamento e non devono essere presentati come facoltativi se non lo sono.
Le vecchie autorizzazioni del Garante sono tutte ancora utilizzabili?
Non indistintamente. Vanno verificate le prescrizioni compatibili individuate dopo il 2018, i successivi aggiornamenti e le regole deontologiche pertinenti. La presenza di un documento nell’archivio storico non ne dimostra l’applicabilità integrale al trattamento attuale.