GDPR: un obbligo per tutti, una certificazione solo per i trattamenti.
Il GDPR vale per chiunque tratti dati personali. Non esiste una «certificazione GDPR» dell’azienda: l’art. 42 prevede certificazioni volontarie dei trattamenti, con schemi approvati. Europrivacy è stato il primo sigillo europeo approvato dall’EDPB, e in Italia Accredia accredita chi lo certifica.
Cos’è
Dati trattati con una base, protetti, e diritti rispettati.
Il GDPR fissa le regole per trattare i dati personali: principi, basi giuridiche, diritti degli interessati, sicurezza, trasferimenti fuori dall’Unione. Una certificazione ex art. 42 riguarda i trattamenti, non l’azienda nel suo insieme, e non riduce la responsabilità del titolare.
A chi serve
- Chiunque tratti dati personali di clienti, dipendenti o pazienti
- Chi tratta dati per conto di altri, come responsabile del trattamento
- Chi vuole dimostrare un trattamento con una certificazione approvata
- Chi ha la ISO/IEC 27001 e vuole sapere cosa copre e cosa no
Cosa chiede, e cosa rischi
Sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore, per principi, basi giuridiche, diritti e trasferimenti; fino a 10 milioni o al 2% per gli altri obblighi.
Reg. (UE) 2016/679, art. 83(4) e 83(5)Una certificazione approvata può servire al titolare per dimostrare di rispettare i suoi obblighi, e l’autorità ne tiene conto quando decide una sanzione.
Reg. (UE) 2016/679, art. 24(3) e art. 83(2)(j)Europrivacy è stato il primo sigillo europeo approvato dall’EDPB; in Italia Accredia accredita gli organismi che lo certificano.
EDPB, parere 28/2022; Accredia, Europrivacy
Il percorso
Cosa devi fare, in ordine.
- 1
Mappare i trattamenti
Quali dati, di chi, per cosa, con quale base giuridica e per quanto tempo.
- 2
Misure di sicurezza
Misure tecniche e organizzative adeguate al rischio, e le valutazioni d’impatto dove servono.
- 3
Diritti e violazioni
Risposte agli interessati nei tempi, e le violazioni dei dati notificate al Garante entro 72 ore quando serve.
- 4
Certificazione, se la vuoi
Per singoli trattamenti, con uno schema approvato ex art. 42 e un organismo accreditato. Dura al massimo tre anni.
10ISO
Come ti aiuterà 10ISO
Il lavoro che si ripete lo faranno gli agenti; le decisioni restano a te e a chi ti accompagna. 10ISO è in arrivo: questo è quello che stiamo costruendo.
- Registro dei trattamenti, nomine e valutazioni d’impatto: arriveranno con 10DPO, l’espansione di 10Safety per la protezione dei datiIn arrivo
- Le evidenze in comune con la ISO/IEC 27001, caricate una voltaIn arrivo
- Le violazioni dei dati registrate con i tempi di notificaIn arrivo
- Il percorso verso una certificazione ex art. 42, trattamento per trattamentoIn arrivo
Domande
Le domande che arrivano per prime su GDPR.
Esiste una «certificazione GDPR» dell’azienda?
No: si certificano i trattamenti, con schemi approvati ex art. 42. Europrivacy è stato il primo sigillo europeo approvato dall’EDPB, e in Italia Accredia accredita chi lo certifica.
Se sono certificato evito le sanzioni?
No: la certificazione non riduce la responsabilità del titolare. L’autorità però ne tiene conto quando decide l’importo di una sanzione.
ISDP©10003 vale come certificazione GDPR?
È uno schema accreditato da Accredia, ma al 28/09/2026 non compare nel registro EDPB dei meccanismi approvati ex art. 42, quindi non ha quel valore.
Fonti
Ogni riferimento di questa scheda viene da una di queste fonti, controllate il 28/09/2026. Se una legge o una norma cambia, la scheda si aggiorna.
Fonti
- Regulation (EU) 2016/679, GDPR (EUR-Lex) (si apre in una nuova scheda)
- Garante privacy — certificazione e accreditamento (si apre in una nuova scheda)
- EDPB — Opinion 28/2022 on the Europrivacy criteria of certification (si apre in una nuova scheda)
- EDPB — Register of certification mechanisms, seals and marks (si apre in una nuova scheda)
- Accredia — Europrivacy (si apre in una nuova scheda)
- Accredia — protezione dei dati personali (ISDP©10003) (si apre in una nuova scheda)
Lista d’attesa
Ti scriviamo quando 10ISO apre.
Un minuto: chi sei, la tua email e la norma che ti interessa. Non è un abbonamento e non ti chiediamo una carta.