Raccolta Dati

Registro dei trattamenti (Art. 30) Critico

Hai un registro documentato di tutte le attivita' di trattamento dati personali.

Base giuridica identificata (Art. 6) Critico

Ogni trattamento ha una base giuridica valida (consenso, contratto, interesse legittimo, ecc.).

Principio di minimizzazione (Art. 5) Alto

Raccogli solo i dati strettamente necessari per la finalita' dichiarata.

Finalita' specificate (Art. 5) Alto

Le finalita' del trattamento sono esplicite, legittime e determinate prima della raccolta.

Privacy by Design (Art. 25) Medio

La protezione dei dati e' integrata nei sistemi e processi fin dalla progettazione.

Consenso

Consenso libero, specifico, informato (Art. 7) Critico

Il consenso e' inequivocabile, ottenuto tramite azione positiva, non preselezionato.

Prova del consenso conservata Alto

Hai un sistema per documentare quando e come l'utente ha dato il consenso.

Revoca del consenso facilitata (Art. 7) Alto

Il recesso dal consenso e' semplice quanto il conferirlo.

Cookie banner conforme Alto

Il cookie banner non utilizza dark pattern e distingue tra cookie necessari e facoltativi.

Minori: consenso genitoriale (Art. 8) Medio

Per i servizi rivolti a minori sono previsti meccanismi di verifica e consenso parentale.

Diritti degli Interessati

Diritto di accesso (Art. 15) Critico

Puoi fornire copia dei dati trattati entro 30 giorni dalla richiesta.

Diritto di rettifica (Art. 16) Alto

Esiste una procedura per correggere dati inesatti o incompleti.

Diritto alla cancellazione (Art. 17) Critico

Puoi cancellare i dati quando richiesto, salvo obblighi legali di conservazione.

Diritto alla portabilita' (Art. 20) Alto

Puoi fornire i dati in formato strutturato, leggibile da macchina e interoperabile.

Diritto di opposizione (Art. 21) Alto

L'interessato puo' opporsi al trattamento per marketing diretto o interesse legittimo.

Risposte entro 30 giorni Alto

Hai processi per rispondere alle richieste degli interessati entro i termini di legge.

Sicurezza

Misure tecniche adeguate (Art. 32) Critico

Dati cifrati in transito (HTTPS/TLS) e a riposo, accessi protetti.

Pseudonimizzazione e cifratura Alto

I dati sensibili sono pseudonimizzati o cifrati per ridurre i rischi.

Valutazione del rischio (Art. 32) Alto

Esegui regolarmente valutazioni dei rischi per la sicurezza dei dati.

DPIA per trattamenti rischiosi (Art. 35) Medio

Hai eseguito una Valutazione d'Impatto per trattamenti ad alto rischio.

Backup e disaster recovery Medio

Hai procedure documentate per backup, ripristino e continuita' operativa.

DPO e Organizzazione

DPO nominato (se obbligatorio, Art. 37) Alto

Se obbligatorio, il Data Protection Officer e' nominato e i dati di contatto pubblicati.

Responsabili esterni contrattualizzati (Art. 28) Critico

Tutti i fornitori che trattano dati per tuo conto hanno firmato un DPA conforme.

Formazione del personale Medio

Il personale che tratta dati personali e' formato sulle normative privacy.

Policy interne aggiornate Basso

Esistono policy interne sulla protezione dei dati, regolarmente revisionate.

Violazioni dei Dati

Procedura di risposta agli incidenti Critico

Hai un piano documentato per la gestione delle violazioni dei dati personali.

Notifica all'Autorita' entro 72 ore (Art. 33) Critico

Sai come e quando notificare il Garante in caso di data breach rilevante.

Notifica agli interessati (Art. 34) Alto

Sei in grado di notificare agli interessati le violazioni che comportano rischi elevati.

Log degli incidenti Alto

Tieni un registro di tutte le violazioni, anche quelle non notificate.

Trasferimenti Internazionali

Identificazione trasferimenti extra-SEE (Capp. V) Alto

Sai se e quando trasferisci dati a paesi al di fuori dello Spazio Economico Europeo.

Meccanismo di trasferimento adeguato (Art. 46) Critico

Usi SCC, BCR, o altri strumenti approvati per i trasferimenti verso paesi terzi.

Clausole contrattuali standard aggiornate Alto

Le SCC utilizzate sono quelle adottate dalla Commissione nel 2021 o successive.

Azioni Critiche Prioritarie

Registro dei trattamenti (Art. 30)
Base giuridica identificata (Art. 6)
Consenso libero, specifico, informato (Art. 7)
Diritto di accesso (Art. 15)
Diritto alla cancellazione (Art. 17)
Misure tecniche adeguate (Art. 32)
Responsabili esterni contrattualizzati (Art. 28)
Procedura di risposta agli incidenti
Notifica all'Autorita' entro 72 ore (Art. 33)
Meccanismo di trasferimento adeguato (Art. 46)

Tutti gli strumenti

Come utilizzare GDPR Compliance Checker

Scroll through the 7 categories

The checklist is organized into 7 areas: data collection, consent, data subject rights, security, Data Protection Officer and organization, data breaches, international transfers.

Click on existing elements

Click on each voice to mark it as compliant. Each item has a severity level (critical, high, medium, low) indicating how urgent it is to fill the potential gap.

Check your score and critical actions

Score banner at the top shows overall percentage and compliance level. The "Critical Priority Actions" panel lists items still to be completed with critical severity.

Generate and copy the report

Click "Generate Report" to get a textual summary with score by category and priority actions, then copy it into your notes to share with the team or DPO.

Suggerimenti

Always start with harsh criticism; it's those that expose you to immediate sanctions.
Repeat the checklist periodically (e.g., every 6 months) because processes and suppliers change over time.
Use the copied report as a basis for updating the treatment record (Article 30), not as a substitute.

Domande frequenti

How is percentage of compliance calculated?

The ratio of the number of checked voices as conforming to the total of 33 checklist voices across all 7 categories, not weighted by severity: one critical voice and one low-priority voice count equally in the percentage score.

What changes between Non Conformity, Partially Conformity, Substantially Conformity and Fully Conformity levels?

Score thresholds: Below 40% Nonconformity, 40-69% Partially Conformity, 70-89% Substantially Conformity, 90% and above Fully Conformed. Even with a high score, always check critical action priority panels.

Why do some items have severity levels of "critical" and others "low"?

Conciseness is key — similar length as severity. Severity reflects the risk of sanctions and operational gravity of absence of that measure: treatment registry, legal basis, DPA with suppliers or breach notification within 72 hours are critical because their lack exposes to direct sanctions. Low-severity voices (e.g., updated internal policies) are good practices but less urgent.

Does the generated report have legal value or is it an auto-certification?

No, it's an internal self-assessment report to quickly identify gaps. It does not replace a compliance audit conducted by a DPO or legal advisor, and is not proof of compliance with the Guarantor.

Are data entered in this checklist saved or sent elsewhere?

No, the state of the checklist lives only in the browser session: it is not sent to any server and gets lost when reloading the page (unless you copy the generated report first).