Raccolta Dati

Registro dei trattamenti (Art. 30) Critico

Hai un registro documentato di tutte le attivita' di trattamento dati personali.

Base giuridica identificata (Art. 6) Critico

Ogni trattamento ha una base giuridica valida (consenso, contratto, interesse legittimo, ecc.).

Principio di minimizzazione (Art. 5) Alto

Raccogli solo i dati strettamente necessari per la finalita' dichiarata.

Finalita' specificate (Art. 5) Alto

Le finalita' del trattamento sono esplicite, legittime e determinate prima della raccolta.

Privacy by Design (Art. 25) Medio

La protezione dei dati e' integrata nei sistemi e processi fin dalla progettazione.

Consenso

Consenso libero, specifico, informato (Art. 7) Critico

Il consenso e' inequivocabile, ottenuto tramite azione positiva, non preselezionato.

Prova del consenso conservata Alto

Hai un sistema per documentare quando e come l'utente ha dato il consenso.

Revoca del consenso facilitata (Art. 7) Alto

Il recesso dal consenso e' semplice quanto il conferirlo.

Cookie banner conforme Alto

Il cookie banner non utilizza dark pattern e distingue tra cookie necessari e facoltativi.

Minori: consenso genitoriale (Art. 8) Medio

Per i servizi rivolti a minori sono previsti meccanismi di verifica e consenso parentale.

Diritti degli Interessati

Diritto di accesso (Art. 15) Critico

Puoi fornire copia dei dati trattati entro 30 giorni dalla richiesta.

Diritto di rettifica (Art. 16) Alto

Esiste una procedura per correggere dati inesatti o incompleti.

Diritto alla cancellazione (Art. 17) Critico

Puoi cancellare i dati quando richiesto, salvo obblighi legali di conservazione.

Diritto alla portabilita' (Art. 20) Alto

Puoi fornire i dati in formato strutturato, leggibile da macchina e interoperabile.

Diritto di opposizione (Art. 21) Alto

L'interessato puo' opporsi al trattamento per marketing diretto o interesse legittimo.

Risposte entro 30 giorni Alto

Hai processi per rispondere alle richieste degli interessati entro i termini di legge.

Sicurezza

Misure tecniche adeguate (Art. 32) Critico

Dati cifrati in transito (HTTPS/TLS) e a riposo, accessi protetti.

Pseudonimizzazione e cifratura Alto

I dati sensibili sono pseudonimizzati o cifrati per ridurre i rischi.

Valutazione del rischio (Art. 32) Alto

Esegui regolarmente valutazioni dei rischi per la sicurezza dei dati.

DPIA per trattamenti rischiosi (Art. 35) Medio

Hai eseguito una Valutazione d'Impatto per trattamenti ad alto rischio.

Backup e disaster recovery Medio

Hai procedure documentate per backup, ripristino e continuita' operativa.

DPO e Organizzazione

DPO nominato (se obbligatorio, Art. 37) Alto

Se obbligatorio, il Data Protection Officer e' nominato e i dati di contatto pubblicati.

Responsabili esterni contrattualizzati (Art. 28) Critico

Tutti i fornitori che trattano dati per tuo conto hanno firmato un DPA conforme.

Formazione del personale Medio

Il personale che tratta dati personali e' formato sulle normative privacy.

Policy interne aggiornate Basso

Esistono policy interne sulla protezione dei dati, regolarmente revisionate.

Violazioni dei Dati

Procedura di risposta agli incidenti Critico

Hai un piano documentato per la gestione delle violazioni dei dati personali.

Notifica all'Autorita' entro 72 ore (Art. 33) Critico

Sai come e quando notificare il Garante in caso di data breach rilevante.

Notifica agli interessati (Art. 34) Alto

Sei in grado di notificare agli interessati le violazioni che comportano rischi elevati.

Log degli incidenti Alto

Tieni un registro di tutte le violazioni, anche quelle non notificate.

Trasferimenti Internazionali

Identificazione trasferimenti extra-SEE (Capp. V) Alto

Sai se e quando trasferisci dati a paesi al di fuori dello Spazio Economico Europeo.

Meccanismo di trasferimento adeguato (Art. 46) Critico

Usi SCC, BCR, o altri strumenti approvati per i trasferimenti verso paesi terzi.

Clausole contrattuali standard aggiornate Alto

Le SCC utilizzate sono quelle adottate dalla Commissione nel 2021 o successive.

Azioni Critiche Prioritarie

Registro dei trattamenti (Art. 30)
Base giuridica identificata (Art. 6)
Consenso libero, specifico, informato (Art. 7)
Diritto di accesso (Art. 15)
Diritto alla cancellazione (Art. 17)
Misure tecniche adeguate (Art. 32)
Responsabili esterni contrattualizzati (Art. 28)
Procedura di risposta agli incidenti
Notifica all'Autorita' entro 72 ore (Art. 33)
Meccanismo di trasferimento adeguato (Art. 46)

Tutti gli strumenti

Come utilizzare GDPR Compliance Checker

1. Scorri le 7 categorie

La checklist e' organizzata in 7 aree: raccolta dati, consenso, diritti degli interessati, sicurezza, DPO e organizzazione, violazioni dei dati, trasferimenti internazionali.

2. Spunta gli elementi gia' in essere

Clicca su ogni voce per segnarla come conforme. Ogni item ha una severita' (critico, alto, medio, basso) che indica quanto e' urgente colmare l'eventuale gap.

3. Controlla lo score e le azioni critiche

Lo score banner in alto mostra la percentuale complessiva e il livello di conformita'. Il pannello "Azioni Critiche Prioritarie" elenca gli item a severita' critica ancora da completare.

4. Genera e copia il report

Premi "Genera Report" per ottenere un riepilogo testuale con punteggio per categoria e azioni prioritarie, poi copialo negli appunti per condividerlo con il team o il DPO.

Suggerimenti

Parti sempre dalle voci a severita' critica: sono quelle che espongono al rischio sanzionatorio piu' immediato.
Ripeti la checklist periodicamente (es. ogni 6 mesi) perche' processi e fornitori cambiano nel tempo.
Usa il report copiato come base per aggiornare il registro dei trattamenti (Art. 30), non come sostituto.

Domande frequenti

Come si calcola la percentuale di conformita'?

E' il rapporto tra il numero di voci spuntate come conformi e il totale delle 33 voci della checklist, su tutte e 7 le categorie. Non e' ponderato per severita': una voce critica e una a bassa priorita' contano allo stesso modo nel punteggio percentuale.

Cosa cambia tra i livelli Non Conforme, Parzialmente Conforme, Sostanzialmente Conforme e Pienamente Conforme?

Sono soglie sullo score complessivo: sotto il 40% Non Conforme, tra 40% e 69% Parzialmente Conforme, tra 70% e 89% Sostanzialmente Conforme, dal 90% in su Pienamente Conforme. Anche con uno score alto, verifica sempre il pannello delle azioni critiche prioritarie.

Perche' alcuni item hanno severita' "critico" e altri "basso"?

La severita' riflette il rischio sanzionatorio e la gravita' operativa dell'assenza di quella misura: registro dei trattamenti, base giuridica, DPA con i fornitori o notifica breach entro 72 ore sono critici perche' la loro mancanza espone a sanzioni dirette. Le voci a bassa severita' (es. policy interne aggiornate) sono buone pratiche ma meno urgenti.

Il report generato ha valore legale o e' un'autocertificazione?

No, e' un report di autovalutazione ad uso interno per identificare rapidamente le lacune. Non sostituisce un audit di conformita' condotto da un DPO o consulente legale, ne' costituisce prova di conformita' verso il Garante.

I dati inseriti nella checklist vengono salvati o inviati altrove?

No, lo stato della checklist vive solo nella sessione del browser: non viene inviato a nessun server e si perde ricaricando la pagina (a meno di copiare prima il report generato).