FAQ GDPR e Situazioni Comuni
D: Devo applicare il GDPR anche se i miei clienti sono fuori UE?
R: Il GDPR si applica se:
La tua azienda è nell'UE (indipendentemente da dove sono i clienti)
Offri beni/servizi a persone nell'UE
Monitori comportamento di persone nell'UE
D: Posso inviare newsletter a clienti esistenti senza consenso?
R: Dipende dalla base giuridica:
Con consenso: sempre possibile
Senza consenso: solo se c'è "legittimo interesse" e hai raccolto i dati in contesto commerciale esistente
Best practice: chiedi sempre consenso esplicito per essere sicuro
D: Per quanto tempo posso conservare i dati?
R: Dipende dalla finalità e da obblighi legali:
Dati fatturazione: 10 anni (obbligo fiscale Italia)
Dati marketing: finché c'è consenso attivo
Dati clienti inattivi: valuta cancellazione dopo 2-3 anni inattività
Definisci una policy specifica per la tua azienda
D: Cosa faccio se ricevo una violazione dati (data breach)?
R: Il GDPR richiede:
Notifica al Garante Privacy entro 72 ore (se rischio per diritti interessati)
Notifica agli interessati coinvolti (se alto rischio)
Documentare la violazione nel registro delle violazioni
Prepara un piano di risposta data breach prima che accada.
D: Devo nominare un DPO (Data Protection Officer)?
R: Obbligatorio se:
Sei ente pubblico
Attività principali richiedono monitoraggio regolare su larga scala
Tratti su larga scala categorie particolari di dati sensibili
Altrimenti è facoltativo ma raccomandato.
D: Posso trasferire dati fuori UE (es. cloud USA)?
R: Sì, ma serve:
Clausole contrattuali standard (SCC)
Binding Corporate Rules (BCR)
Certificazione Privacy Shield (non più valido)
Decisione adeguatezza UE per quel paese
Consulta un legale per trasferimenti extra-UE.