Art. 32: non è un suggerimento
Il GDPR è in vigore dal 2018, ma l'Art. 32 resta il più frainteso dalle PMI italiane. Non chiede la perfezione: chiede misure "adeguate al rischio". Il problema è che il Garante Privacy ha iniziato a specificare cosa significa "adeguato", attraverso le sanzioni.
Cosa dice esattamente l'Art. 32
Il testo elenca quattro misure tecniche esplicite:
- Pseudonimizzazione e cifratura dei dati personali
- Riservatezza, integrità, disponibilità e resilienza permanenti dei sistemi
- Ripristino tempestivo della disponibilità dei dati in caso di incidente
- Procedure per testare e valutare regolarmente l'efficacia delle misure
Le sanzioni che fanno giurisprudenza
Nel 2025 il Garante ha riscosso oltre 37 milioni di euro di sanzioni, a fronte di 2.415 data breach notificati (Relazione sull'attività 2025). I casi più istruttivi per le PMI:
- ASL Napoli 3 Sud, 30.000€: VPN accessibile con sole credenziali e senza autenticazione a più fattori, rete non segmentata, log senza monitoraggio strutturato e piano di ripristino mai formalizzato. Il ransomware Sabbath ha esfiltrato e pubblicato i dati di 842.118 tra assistiti e dipendenti (provv. 28 settembre 2023).
- The European House - Ambrosetti, 85.000€: password degli utenti conservate in chiaro e interessati avvisati solo dopo l'intervento del Garante, a due mesi dalla scoperta della violazione, che ha coinvolto 61.670 persone (provv. 17 aprile 2026).
- E-commerce PMI, 50.000€: database clienti esposto su internet senza autenticazione. 180.000 record con dati di pagamento.
Il principio di proporzionalità
L'Art. 32 specifica che le misure devono tenere conto dello "stato dell'arte", dei costi di attuazione e della natura dei dati. Questo significa che una PMI non deve implementare le stesse misure di una banca, ma deve dimostrare di aver fatto una valutazione e implementato il ragionevole. MFA, backup cifrati, patching regolare e formazione sono ormai il minimo che il Garante si aspetta. Strumenti come Cipher aiutano a documentare questa valutazione del rischio in modo strutturato.
GDPR e NIS2: la convergenza
Con l'entrata in vigore della NIS2, GDPR e cybersecurity convergono. Le misure richieste dall'Art. 21 NIS2 e dall'Art. 32 GDPR si sovrappongono quasi completamente: risk assessment, incident response, cifratura, formazione, test. Implementare un framework unico che copra entrambi è l'approccio più efficiente, ed è proprio la logica alla base del percorso Blueprint.
Checklist pratica Art. 32
- Cifratura dei dati sensibili a riposo (AES-256) e in transito (TLS 1.3)
- Backup automatici, cifrati, testati mensilmente, conservati offsite
- MFA su tutti gli account con accesso a dati personali
- Patching critico entro 48 ore dalla pubblicazione CVE
- Log di accesso conservati per almeno 6 mesi
- Vulnerability assessment almeno semestrale
- Procedura di data breach notification documentata
Il GDPR non è un costo: è la baseline di sicurezza che protegge la vostra azienda. E con la NIS2, diventa ancora più centrale. Una soluzione XDR garantisce il monitoraggio continuo e la retention dei log richiesti da entrambe le normative.