Per una PMI italiana, scegliere un software GDPR significa decidere quale lavoro rendere controllabile: aggiornare il registro, seguire le richieste delle persone, governare i fornitori e documentare gli incidenti. La dimensione dell’impresa, da sola, non indica quali moduli servano né quanto sia sensato spendere. Un’impresa con pochi dipendenti ma molti clienti e fornitori può avere processi più articolati di un’azienda più grande. Questa guida propone un metodo di scelta e un caso dimostrativo; i prezzi dei singoli fornitori vanno verificati in offerte datate.
Il punto di partenza: obblighi e processo reale
Il Regolamento (UE) 2016/679 non impone di acquistare un software. Impone al titolare di rispettare i principi e di poterlo dimostrare, secondo gli articoli 5, paragrafo 2, e 24. Il software può rendere più semplice attribuire responsabilità, trovare informazioni aggiornate e conservare le decisioni. Non sceglie automaticamente la base giuridica, il periodo di conservazione o la risposta corretta a un interessato. Prima di confrontare prodotti, descrivi i trattamenti che esistono davvero e le persone che li seguono.
Prendi una piccola azienda che vende online e impiega trenta persone. I dati dei clienti si trovano nel negozio, nell’assistenza, nel gestionale delle fatture e nella piattaforma di spedizione. I dati del personale passano da paghe, selezione e controllo degli accessi. L’inventario non coincide con l’elenco delle applicazioni: uno stesso trattamento può usare più sistemi, mentre un sistema può sostenere più finalità. Chiedi al responsabile di ogni funzione chi aggiorna le informazioni quando cambia un fornitore, si introduce un nuovo uso dei dati o si conclude un rapporto contrattuale.
L’articolo 30, paragrafo 5, per le imprese sotto 250 dipendenti
La soglia dei 250 addetti non crea un’esenzione generale. L’articolo 30, paragrafo 5, non elimina l’obbligo di registro quando il trattamento può presentare un rischio per i diritti e le libertà delle persone, non è occasionale oppure riguarda categorie particolari di dati o dati relativi a condanne e reati. La FAQ del Garante sul registro chiarisce anche un punto utile per le PMI: in certi casi l’obbligo può essere circoscritto alle specifiche attività per cui ricorrono queste condizioni. Non trasformare quindi la deroga in «nessun registro», né ogni singolo trattamento in una prova automatica che l’intera impresa abbia identici obblighi documentali.
Il Garante mette a disposizione modelli semplificati per titolari e responsabili. Parti da quelli se i trattamenti sono pochi e i cambiamenti facili da controllare. Per il metodo di compilazione, consulta il modello di registro dei trattamenti. Un prodotto diventa più interessante quando più uffici devono aggiornare le stesse informazioni, quando i ruoli di titolare e responsabile convivono o quando bisogna ricostruire rapidamente la storia delle modifiche. Chiedi che il prodotto mantenga distinti i registri dei due ruoli: l’articolo 30, paragrafi 1 e 2, prevede contenuti differenti.
Quali funzioni valutare per prime
Il primo test riguarda il registro. Cerca campi coerenti con l’articolo 30, una persona responsabile di ogni scheda, uno stato delle informazioni ancora da verificare e un’esportazione utilizzabile. La base giuridica è un’informazione di responsabilizzazione utile e il Garante ne consiglia l’indicazione, ma non figura tra i campi espressamente elencati nell’articolo 30, paragrafo 1. Non valutare la qualità di un prodotto contando solo i campi: prova a modificare uno scopo e a vedere se il proprietario della scheda sa che la precedente informativa va riesaminata.
Il secondo test riguarda le richieste degli interessati. Gli articoli 12 e 15 stabiliscono forma, tempi e contenuto della risposta. Il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese dal ricevimento; in caso di complessità o numero delle richieste può prorogare di altri due mesi, informando la persona della proroga e delle ragioni entro il primo mese. Un registro di richieste, assegnazioni e prove di invio aiuta. Nessuna dashboard sostituisce il controllo dell’identità quando sussistono ragionevoli dubbi, la ricerca dei dati nei sistemi effettivi e la valutazione dei diritti altrui.
Il terzo test riguarda i fornitori. Non ogni fornitore è un responsabile del trattamento: occorre verificare se tratta dati personali per conto della PMI. Quando lo è, l’articolo 28 richiede un contratto o altro atto giuridico vincolante con contenuti precisi, istruzioni, garanzie e disciplina dei sub-responsabili. Il software dovrebbe permettere di collegare servizio, trattamento, atto e revisione; non presumere che una funzione chiamata «contratti» faccia un controllo giuridico delle clausole. La guida al contratto con il responsabile del trattamento aiuta a preparare un caso dimostrativo.
Infine, valuta incidenti e valutazioni d’impatto in base al rischio. L’articolo 33 richiede la notifica all’autorità senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza di una violazione che non sia improbabile comporti un rischio per le persone. Non tutte le violazioni sono notificabili, ma tutte devono essere documentate dal titolare ai sensi del paragrafo 5. La DPIA è necessaria quando un trattamento è suscettibile di presentare un rischio elevato, non per ogni dato del personale o per la sola presenza di dati sanitari. Uno strumento utile lascia spazio al giudizio documentato.
Una prova pratica uguale per tutti i venditori
Prepara tre scenari anonimi o con dati fittizi. Nel primo la PMI introduce un nuovo sistema di assistenza clienti: il responsabile deve descrivere finalità, categorie, destinatari, conservazione e misure generali. Nel secondo un cliente chiede accesso ai dati conservati tra negozio e assistenza. Nel terzo un fornitore cambia un sub-responsabile. Fai eseguire le azioni durante la dimostrazione, non limitarti alla presentazione. Registra ciò che viene fatto automaticamente, ciò che richiede un dipendente e ciò che resta fuori dal pacchetto offerto.
Per il registro verifica se una modifica diventa visibile subito o richiede approvazione, se la precedente versione resta recuperabile e se l’esportazione distingue titolare e responsabile. Per la richiesta prova a segnare il giorno di ricezione, assegnare attività alle funzioni e conservare la risposta. Per il fornitore chiedi dove si trovano autorizzazione dei sub-responsabili, contratto applicabile e prova della revisione. Una demo riuscita con dati semplici non dimostra che il prodotto si colleghi automaticamente a tutti i sistemi dell’impresa: chiedi evidenza delle integrazioni incluse nell’offerta.
Il costo va calcolato sul lavoro effettivo
Un confronto serio somma licenza, configurazione, migrazione, formazione, manutenzione interna, moduli aggiuntivi, supporto e uscita dal servizio. Non esiste una fascia mensile affidabile per tutte le PMI italiane: contratti e perimetri cambiano. Chiedi a ogni fornitore un prezzo scritto per lo stesso scenario, con durata, imposte, numero di utenti, società comprese, limiti di volume, aumenti e termini di recesso. Se l’offerta include consulenza, separa il prezzo del parere professionale da quello della piattaforma. La guida al costo del software GDPR approfondisce il calcolo senza trasformare un esempio in tariffario. Per costruire una scheda di confronto uguale per offerte diverse, usa anche il confronto documentato tra due piattaforme come esempio di domande su perimetro, prova delle funzioni e condizioni contrattuali: non sostituisce la verifica delle offerte ricevute dalla PMI.
Supponi, solo per esercizio, che una soluzione richieda 4 800 euro annui e 60 ore iniziali di lavoro interno, mentre un’altra richieda 3 600 euro annui, 2 000 euro di avviamento e 40 ore interne. Con una valorizzazione ipotetica di 45 euro l’ora, nel primo anno il totale sarebbe 7 500 euro per la prima e 7 400 per la seconda, prima della manutenzione. Dopo tre anni, con canoni invariati e senza ulteriori voci, i totali divergono. Ma basta una funzione extra o un trasferimento dati oneroso per cambiare il risultato. Sono numeri inventati per mostrare il metodo, non prezzi di mercato o promesse di risparmio.
Hosting, accessi e trasferimenti
Chiedere la sede dei server è utile, ma non basta a concludere che non esistano trasferimenti verso paesi terzi. Occorre verificare l’accesso del supporto, i sub-responsabili, le copie di sicurezza e gli eventuali strumenti collegati. Una sede nell’UE non risolve da sola l’analisi del capo V del GDPR; una sede fuori dall’UE non rende il trattamento automaticamente illecito. Chiedi al venditore un elenco aggiornato dei destinatari, delle località e dei meccanismi giuridici applicabili e fai valutare i rischi concreti al titolare. Questo controllo è anche una domanda di costo: può richiedere lavoro aggiuntivo, clausole e revisione periodica.
Valuta accessi interni e assistenza. Può il responsabile delle risorse umane vedere solo le schede pertinenti? Il consulente esterno può proporre una modifica senza approvarla al posto del titolare? È possibile eliminare le autorizzazioni quando un incaricato cambia ruolo? Queste domande si verificano con account di prova e con il contratto. Un elenco di certificazioni del fornitore, se disponibile, non prova da solo che il flusso specifico della PMI sia corretto.
Chi decide e chi mantiene le informazioni
Il titolare resta responsabile delle scelte sul trattamento. Un DPO/RPD è obbligatorio nei casi dell’articolo 37, per esempio per autorità e organismi pubblici, per monitoraggio regolare e sistematico su larga scala come attività principale o per trattamento su larga scala di categorie particolari e dati penali come attività principale. La sola qualifica di PMI non decide la questione. Se è nominato, il DPO svolge i compiti degli articoli 38 e 39 con indipendenza; non diventa automaticamente il proprietario di ogni decisione operativa. Consulta la guida alla nomina del DPO/RPD per esaminare il caso.
In pratica, assegna un proprietario al registro delle attività commerciali, uno alle risorse umane e uno alle relazioni con i fornitori. Stabilisci chi riceve le richieste, chi raccoglie i dati e chi approva la risposta. Se queste responsabilità non sono chiare prima dell’acquisto, il software rischia di diventare un archivio di schede lasciate a metà. Una breve revisione periodica e un controllo quando cambia il processo sono più utili di un progetto di importazione perfetto ma mai aggiornato.
Quando un foglio di calcolo è ancora adeguato
Il foglio di calcolo non è vietato dal GDPR. Può funzionare se le attività sono poche, le persone che le aggiornano sono identificate, gli accessi sono limitati e le modifiche vengono controllate. Un modello del Garante offre una base concreta. La difficoltà cresce quando un dato va mantenuto coerente in più documenti o quando nessuno sa quale versione sia valida. Misura questo problema prima di presumere che una licenza lo eliminerà: una piattaforma può avere un processo di approvazione, ma qualcuno deve comunque fornire l’informazione esatta.
Una soluzione più ampia può essere giustificata se emergono richieste frequenti, molti fornitori, più società o cambiamenti continui nei trattamenti. Valuta però il prodotto acquistato, non la categoria astratta. La comparazione dei software di conformità GDPR serve per definire criteri; il contratto e la demo del caso reale devono confermarli. Se in futuro cambi fornitore, poter esportare schede, allegati e decisioni evita di ripartire da zero.
Controlla la prova prima di firmare
Prima della decisione, chiedi una breve cartella di accettazione con l’offerta, l’elenco delle funzioni viste nella demo, le limitazioni emerse e il contratto sul trattamento dei dati. Per ogni funzione importante indica chi l’ha provata e quale risultato ha prodotto. Se la gestione delle richieste è stata soltanto mostrata in una presentazione, scrivi che manca una prova operativa. Questo evita che un’affermazione commerciale diventi, per errore, un requisito già soddisfatto. La guida al diritto di accesso fornisce un caso concreto per verificare una risposta, senza promettere che il prodotto la prepari da solo.
Valuta anche la qualità dell’assistenza nel caso difficile. Chiedi come aprire un problema se un’esportazione contiene dati incompleti, se un fornitore cambia sub-responsabile o se il titolare deve documentare una violazione. Il venditore può fornire supporto tecnico, ma non sempre consulenza legale; la distinzione deve risultare dall’offerta. Quando il processo richiede un parere, individua chi nell’impresa o fuori dall’impresa può formularlo. Una chat di supporto veloce non sostituisce questa responsabilità.
Verifica dopo l’avvio ciò che era stato promesso
Dopo il primo periodo di utilizzo, scegli una scheda del registro modificata, una richiesta ricevuta e un fornitore aggiornato. Confronta ciascun caso con i criteri della selezione: l’informazione è corretta, l’approvazione è visibile e gli allegati si trovano? Se il personale continua a tenere una seconda tabella perché la piattaforma è difficile da usare, il problema va risolto prima di acquistare altri moduli. Se una funzione non era inclusa, tratta la sua aggiunta come una nuova decisione di spesa.
La revisione è utile anche per la durata di conservazione. Una scheda compilata bene al momento della migrazione può diventare errata dopo una modifica del servizio. La limitazione della conservazione richiede scelte per finalità e dati effettivi; il promemoria del software non decide il termine. Chiedi al proprietario del trattamento di confermare la regola e il fatto che sia applicata nei sistemi di origine. Questa verifica rende la piattaforma un aiuto alla gestione continua, non un archivio di fotografie del giorno del lancio.
Domande frequenti
Una PMI deve comprare un software GDPR?
No. Il regolamento non prescrive uno strumento. Devi però poter rispettare gli obblighi applicabili e dimostrarlo. Scegli il mezzo in base a volume, cambiamento, responsabilità e qualità delle informazioni.
Il registro è sempre obbligatorio sotto i 250 dipendenti?
La deroga dell’articolo 30, paragrafo 5, è qualificata. La FAQ del Garante spiega sia le condizioni che possono far scattare l’obbligo, sia la possibilità di limitare il registro alle attività pertinenti in determinate situazioni. Valuta i trattamenti concreti.
Un servizio ospitato nell’UE elimina ogni problema di trasferimento?
No. Analizza anche accessi da paesi terzi, sub-responsabili e servizi collegati. La località dei server è un elemento della verifica, non la sua conclusione.
Il software sostituisce il DPO o il consulente?
No. Può aiutare a organizzare informazioni e prove. La designazione del DPO dipende dall’articolo 37; le valutazioni giuridiche e le decisioni sul rischio restano a persone competenti e al titolare.
Conclusione
Per scegliere un software GDPR per una PMI italiana, usa i trattamenti e i cambiamenti dell’impresa come unità di misura. Prima verifica cosa va documentato, poi prova con gli stessi casi registro, richieste, fornitori e incidenti. Confronta offerte scritte sull’intero costo e controlla esportazione, accessi e contratto. Il prodotto migliore è quello che rende il lavoro della tua impresa verificabile e sostenibile, senza promettere automatismi che l’organizzazione non ha dimostrato.
Fonti giuridiche e istituzionali verificate il 27 settembre 2026.