GDPR in Italia: come si integrano Codice Privacy e Garante

Il GDPR non funziona in modo diverso in Italia rispetto al resto dell'Unione Europea. Il Regolamento (UE) 2016/679 si applica direttamente, esattamente come scritto, a qualsiasi organizzazione che tratti i dati personali di persone che si trovano in Italia. Ciò che cambia da uno Stato membro all'altro è lo strato di diritto nazionale che vi si sovrappone, e in Italia questo strato è genuinamente attivo.

Questa pagina non è un'introduzione generale al GDPR. Per i meccanismi del Regolamento in sé, le basi giuridiche, i diritti degli interessati, il principio di responsabilizzazione, consulta la nostra guida al GDPR e la più ampia panoramica sulla privacy dei dati in Italia. Quanto segue è lo strato specificamente italiano: come il Codice Privacy si relaziona al Regolamento, cosa fa concretamente il Garante, e le poche regole che esistono solo perché l'Italia ha scelto di aggiungerle.

Informazioni verificate il 21 luglio 2026. Questa pagina fornisce informazioni legali di carattere generale e non costituisce una consulenza legale per un caso specifico.

Effetto diretto del GDPR, e un Codice Privacy modificato, non sostituito

Il Reg. UE 2016/679, il GDPR, si applica direttamente in ogni Stato membro dell'UE senza necessità di recepimento nel diritto nazionale. L'Italia disponeva già di una propria legge sulla protezione dei dati, il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), che precede il GDPR di oltre un decennio.

Anziché abrogarlo, l'Italia lo ha modificato. Il D.Lgs. 10 agosto 2018, n. 101 ha riscritto ampie parti del Codice Privacy, in vigore dal 19 settembre 2018, per allinearlo al Regolamento anziché duplicarlo o contraddirlo. L'art. 2 del Codice Privacy, nella sua formulazione attuale, ne dichiara chiaramente lo scopo: esiste «per l'adeguamento dell'ordinamento nazionale alle disposizioni del regolamento», cioè per adattare il diritto italiano al Regolamento.

Il risultato sono due testi che si integrano anziché competere tra loro. Il GDPR fornisce la sostanza: le basi giuridiche, i diritti, gli obblighi di responsabilizzazione, i massimali sanzionatori. Il Codice Privacy fornisce il dettaglio nazionale che il Regolamento lascia deliberatamente agli Stati membri: chi lo fa rispettare, l'età a partire dalla quale un minore può prestare il consenso, cosa succede ai dati di una persona deceduta, e alcune regole settoriali che il Regolamento non tocca affatto.

Il Garante, in breve, e dove si trova la procedura completa

Il Garante per la protezione dei dati personali è l'autorità che vigila su entrambi i testi normativi in Italia. Supervisiona la conformità, conduce indagini, e può ordinare a un'organizzazione di modificare le proprie modalità di trattamento dei dati o di pagare una sanzione amministrativa.

Se stai cercando specificamente come presentare un reclamo, la denuncia formale, la nostra pagina di approfondimento sul Garante tratta per intero la procedura, i termini, e cosa l'autorità può e non può fare per un singolo reclamante. Questa pagina presuppone quel contesto e si concentra invece su ciò che è specificamente italiano nelle regole sostanziali.

Scenario: i dati di una persona deceduta

Il GDPR in sé non dice nulla sui dati di una persona deceduta. La questione è lasciata agli Stati membri, e l'Italia vi ha risposto nell'art. 2-terdecies del Codice Privacy.

Prendiamo un caso concreto. Una donna muore, e suo figlio maggiorenne vuole accedere al suo spazio di archiviazione foto in cloud e vuole far chiudere un account di un social media. Ai sensi dell'art. 2-terdecies, i diritti che il GDPR riconosce a una persona vivente, accesso, rettifica, cancellazione e gli altri, agli artt. da 15 a 22 del Regolamento, possono essere esercitati dopo la morte da chi ha un proprio interesse nella vicenda, da chi agisce a tutela del defunto in qualità di mandatario, o per ragioni familiari tutelate.

Il defunto può impedire tutto questo in anticipo, ma solo in modo circoscritto. Il divieto deve consistere in una dichiarazione scritta espressa, resa al titolare del trattamento, e si applica solo all'offerta diretta di servizi della società dell'informazione, non ai dati in generale. Anche quando esiste un valido divieto, questo non può essere utilizzato per prevalere sui diritti patrimoniali di un terzo derivanti dalla morte, né sul diritto di qualcuno a difendersi in giudizio, e la dichiarazione è revocabile in qualsiasi momento.

Scenario: un minore e un'app che vuole i suoi dati

Il GDPR fissa come default l'età di 16 anni perché un minore possa prestare validamente il consenso al trattamento dei propri dati per un servizio della società dell'informazione, art. 8 del Regolamento, ma consente a ciascuno Stato membro di abbassarla fino a un minimo di 13 anni. L'Italia ha fissato la propria soglia a 14 anni, nell'art. 2-quinquies del Codice Privacy.

Un esempio concreto rende chiaro il confine. Un tredicenne scarica un'app social e tocca «accetto» durante la registrazione. Secondo il diritto italiano quel consenso non è valido da solo: il trattamento basato su di esso è lecito solo se a prestarlo è invece chi esercita la responsabilità genitoriale. Un quindicenne che fa la stessa identica cosa può prestare validamente il consenso da sé, perché ha già superato la soglia italiana.

Lo stesso articolo aggiunge un obbligo pratico a carico del servizio. Quando questo si rivolge direttamente a minori, le informazioni sul trattamento devono essere scritte in un linguaggio che un minore possa effettivamente comprendere: chiaro, semplice e completo, non la consueta informativa privacy pensata per gli adulti.

Scenario: un datore di lavoro vuole controllare i propri dipendenti

È qui che il GDPR incontra una legge italiana molto più antica, e i lettori spesso presumono che soddisfare l'una equivalga a soddisfare l'altra. Non è così.

L'art. 4 dello Statuto dei Lavoratori (L. 300/1970) disciplina gli impianti audiovisivi e altri strumenti di controllo, i sistemi video e qualsiasi altro strumento capace di controllare a distanza i lavoratori, anche quando il controllo non è lo scopo principale dello strumento. Installarne uno per ragioni organizzative, produttive, di sicurezza o di tutela del patrimonio aziendale richiede prima un accordo collettivo con la rappresentanza sindacale. In mancanza di un accordo, il datore di lavoro ha invece bisogno dell'autorizzazione dell'Ispettorato Nazionale del Lavoro territorialmente competente. Due categorie restano fuori da questo obbligo: gli strumenti che il lavoratore usa per svolgere effettivamente il proprio lavoro, e i normali rilevatori di accesso o di presenza.

Un esempio pratico: un magazzino installa telecamere a circuito chiuso che riprendono la baia di carico e, incidentalmente, inquadrano anche le postazioni di imballaggio dove lavora il personale. Questo richiede la procedura dell'art. 4, accordo o autorizzazione dell'Ispettorato, prima dell'attivazione. Un separato lettore di badge che registra gli orari di ingresso del personale rientra invece nell'esclusione e non la richiede.

Soddisfare l'art. 4 è solo il primo passo. Lo stesso articolo stabilisce che le informazioni raccolte possono essere utilizzate a fini lavorativi solo se al lavoratore è stata data adeguata informazione su come funzionano gli strumenti e su come avviene il controllo, e solo nel rispetto del Codice Privacy. Nella pratica questo significa un'informativa conforme al GDPR in aggiunta all'autorizzazione prevista dal diritto del lavoro, non al suo posto. Un datore di lavoro con una telecamera legittimamente autorizzata ma di cui non ha mai informato il personale non ha soddisfatto la parte della regola relativa al Codice Privacy.

Altri punti in cui il Codice Privacy parla ancora da sé

Altre due regole completano lo strato genuinamente italiano. Le categorie particolari di dati, genetici, biometrici e relativi alla salute, ricevono una garanzia aggiuntiva ai sensi dell'art. 2-septies: il Garante deve emanare e aggiornare periodicamente le «misure di garanzia», specifiche tutele per il trattamento di queste categorie, riviste almeno ogni due anni e sottoposte prima a consultazione pubblica.

L'art. 2-quaterdecies aggiunge una propria regola organizzativa: un titolare o un responsabile del trattamento può formalmente assegnare specifici compiti di trattamento dei dati a persone nominativamente individuate che agiscono sotto la sua autorità, un meccanismo che il Regolamento non disciplina direttamente.

Nulla di tutto ciò cambia i massimali sanzionatori fissati dal GDPR. Quando il Garante procede con una sanzione, l'art. 83 del Regolamento ne fissa comunque il tetto a 20 milioni di euro o al 4% del fatturato mondiale annuo dell'organizzazione, se superiore, per le violazioni più gravi, esattamente come altrove nell'Unione.

Dove va effettivamente un lettore italiano

Per la procedura del reclamo in sé, consulta la pagina di approfondimento sul Garante. Per i meccanismi generali del GDPR, le basi giuridiche, il catalogo dei diritti, il principio di responsabilizzazione, consulta la nostra guida al GDPR, e per il quadro più ampio sul paese consulta la panoramica sulla privacy dei dati in Italia.

Due argomenti collegati che vale la pena conoscere: le telecamere di sicurezza domestiche in Italia, dove si trova la versione privata, non lavorativa, della questione delle telecamere, e la registrazione di conversazioni in Italia, una questione collegata ma distinta, relativa alla cattura, anziché alla conservazione, delle informazioni altrui. Per la gamma completa dei contenuti sulla privacy in Italia, consulta la sezione di diritto della privacy in Italia.