INFO & CONTATTI
Studio legale tech per compliance e tutela digitale
Studio legale Tamburri & Di Cosmo
P.Iva: 16114231000 - 17710101001
Domicilio digitale: marilena.tamburri@legalmail.it - noemidicosmo@pec.it
Studio legale operante nel diritto digitale, governance e compliance normativa applicata alle nuove tecnologie.
Tech Data Law
Studio Legale Tamburri & Di Cosmo
info@TechDataLaw.it
N.B. Tutte le immagini contenute all'interno del presente sito web sono state realizzate con l'ausilio di strumenti ai. L'originalità dei prompt generativi, in accordo con le condizioni contrattuali di riferimento, consente di spenderne la legittima titolarità. Pertanto, tutti i diritti sono riservati.
+39 351 587 7178
Tech Data Law - Studio Legale Tamburri & Di Cosmo @ All Right Reserved 2026
COS'è IL GDPR
Il GDPR è il Regolamento (UE) 2016/679 e, in Italia, si coordina con il Codice Privacy di cui al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018
GDPR in sintesi
Il GDPR impone a imprese, professionisti e operatori digitali di trattare i dati personali in modo lecito, trasparente e sicuro. Gli adempimenti principali comprendono informativa privacy, base giuridica, registro trattamenti, misure di sicurezza, gestione dei data breach e, nei casi previsti, valutazione d’impatto. In caso di violazioni, il Garante può applicare misure correttive e sanzioni amministrative molto elevate, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo
Chi è obbligato
Sono generalmente tenuti agli adempimenti GDPR:
-Titolari del trattamento, cioè chi decide finalità e mezzi del trattamento.
-Responsabili del trattamento, cioè chi tratta dati per conto del titolare.
-Autorizzati/incaricati che operano sotto istruzioni del titolare o del responsabile.
-Professionisti, imprese, studi e piattaforme digitali che raccolgono o usano dati personali tramite siti web, moduli, newsletter, CRM, e-commerce o servizi digitali.
Adempimenti per gli operatori
Gli operatori devono in particolare:
-fornire l’informativa privacy agli interessati, secondo gli artt. 13 e 14 GDPR;
-individuare una base giuridica del trattamento;
-tenere il registro dei trattamenti quando richiesto, ai sensi dell’art. 30 GDPR;
-adottare misure di sicurezza adeguate, art. 32 GDPR;
-gestire eventuali data breach e notifiche, artt. 33 e 34 GDPR;
-effettuare, nei casi previsti, la valutazione d’impatto art. 35 GDPR;
-regolare i rapporti con eventuali responsabili esterni tramite accordi conformi all’art. 28 GDPR;
Diritti degli utenti
Gli utenti, cioè gli interessati, possono esercitare i diritti previsti dal GDPR, tra cui:
-accesso ai dati;
-rettifica;
-cancellazione;
-limitazione del trattamento;
-opposizione;
-portabilità dei dati, nei casi previsti;
-revoca del consenso, quando il trattamento si basa sul consenso.
Sanzioni per mancata conformità
Chi non si adegua può andare incontro a:
-provvedimenti correttivi del Garante, come ammonimenti, ingiunzioni, limitazioni o divieti di trattamento;
-sanzioni amministrative pecuniarie che, nei casi più gravi, possono arrivare fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore, secondo l’art. 83 GDPR.
Cos'è la NIS 2
La NIS 2 è la direttiva europea che rafforza la sicurezza informatica delle organizzazioni operanti in settori critici o rilevanti. Impone misure di prevenzione, gestione del rischio, continuità operativa, controllo dei fornitori e notifica degli incidenti, con responsabilità dirette anche in capo al management.
NIS 2 in sintesi
La NIS 2 è la direttiva europea che potenzia la cybersecurity nelle imprese e negli enti operanti in settori considerati critici o altamente critici. L’obiettivo è alzare il livello comune di sicurezza in tutta l’Unione, rendendo più rigorosi gli obblighi di prevenzione, gestione degli incidenti e controllo interno.
A chi si applica:
-La direttiva riguarda, in particolare:
-soggetti essenziali, cioè enti operanti nei settori più critici o di maggior dimensione;
-soggetti importanti, cioè imprese e operatori rilevanti nei settori coperti dalla norma;
-imprese pubbliche e private che svolgono attività in ambiti come energia, trasporti, sanità, digitale, infrastrutture ICT, banche, acqua, PA e altri settori indicati dalla direttiva.
Cosa impone
La NIS 2 richiede alle organizzazioni di adottare misure di sicurezza tecniche, organizzative e procedurali adeguate. In pratica, non basta avere strumenti informatici: serve anche una governance interna, una gestione del rischio e un sistema di risposta agli incidenti.
Obblighi principali:
-Analisi e gestione dei rischi di sicurezza
-Politiche interne di cybersecurity
-Continuità operativa e gestione delle crisi
-Sicurezza della supply chain e dei fornitori
-Notifica degli incidenti significativi entro i termini previsti
-Responsabilità degli organi di vertice e supervisione interna
Cosa si intende per :
-Governance: Definire ruoli, responsabilità e controllo interno
-Risk management: Valutare e trattare i rischi cyber
-Incident reporting: Segnalare tempestivamente gli incidenti rilevanti
-Business continuity: Garantire continuità dei servizi essenziali
-Supply chain: Verificare affidabilità di fornitori e partner
-Accountability: Coinvolgere management e vertici aziendali
Conseguenze della mancata conformità
In caso di inosservanza, la direttiva prevede sanzioni e poteri di vigilanza più incisivi rispetto al passato. Per i soggetti essenziali il regime sanzionatorio può essere più severo, mentre per i soggetti importanti restano comunque previste misure correttive e multe rilevanti.
Perché è importante
La NIS 2 non è solo una norma tecnica, ma un vero modello di governance del rischio cyber. Per questo interessa non solo l’IT, ma anche direzione, compliance, legale, HR, acquisti e management.