GDPR, Protezione dei Dati Personali: come Riguarda i Freelance

Quando il regolamento europeo si applica a chi lavora da solo, quali obblighi concreti comporta — registro dei trattamenti, informativa, misure di sicurezza, notifica delle violazioni — quali tutele offre, vantaggi e svantaggi della conformità, e come si intrecciano Codice Privacy italiano e Regolamento UE 2016/679

"Il GDPR riguarda le grandi aziende, non chi lavora da solo con la partita IVA" è probabilmente la convinzione più diffusa — e più sbagliata — tra i liberi professionisti italiani. Il Regolamento (UE) 2016/679, in vigore in tutta l'Unione dal 25 maggio 2018, non distingue in base alla dimensione dell'impresa, ma in base a cosa fai con i dati e come li tratti. Un grafico freelance con un form di contatto sul proprio sito, un consulente che tiene gli indirizzi email dei clienti in un foglio Excel, un traduttore che riceve documenti con dati sanitari o giudiziari: tutti e tre sono, agli occhi della legge, titolari del trattamento, con gli stessi doveri — proporzionati alla scala — di una media impresa.

Questa guida spiega quando il GDPR riguarda davvero un freelance, quali sono gli obblighi concreti da adempiere, quali tutele il regolamento offre (anche al professionista stesso, non solo ai suoi clienti), i vantaggi e gli svantaggi reali della conformità, e come si intrecciano la normativa italiana — il Codice Privacy — e quella europea, incluse le proposte di semplificazione di cui si discute nel 2026.

Perché il GDPR riguarda anche chi lavora da solo

Il GDPR definisce dato personale qualsiasi informazione che renda identificabile una persona fisica: non solo nome, codice fiscale o indirizzo, ma anche un indirizzo email, un numero di telefono, un indirizzo IP, una foto o — per chi lavora nei servizi alla persona — informazioni su salute, orientamento o opinioni. Il regolamento si applica indipendentemente dal fatto che questi dati vivano su un server cloud, in una cartella condivisa o su un quaderno cartaceo: il supporto non conta, conta il trattamento.

Chi è un libero professionista con partita IVA — sviluppatore, grafico, copywriter, consulente, traduttore, formatore — nella quasi totalità dei casi tratta dati personali per conto proprio: anagrafica dei clienti, indirizzi di fatturazione, contatti di prospect, a volte dati più delicati come lo stato di salute (un fisioterapista), l'orientamento sessuale (un sito di incontri), o i dati bancari per i pagamenti. In tutti questi casi il freelance non è un semplice utente della normativa: è titolare del trattamento, la figura su cui il GDPR fa gravare la responsabilità principale.

Quando il GDPR si applica davvero a un freelance

Non ogni attività genera gli stessi obblighi. È utile distinguere per livello di esposizione:

In sostanza: più la tua attività somiglia a un'impresa qualsiasi — con un sito, dei clienti, dei collaboratori — meno ha senso pensare di essere fuori dal perimetro del regolamento. L'unica area realmente marginale è quella di chi ha solo partita IVA e indirizzo email dei committenti per motivi puramente fiscali: anche lì, però, restano obblighi minimi di informativa e sicurezza.

Gli obblighi concreti del freelance

Gli obblighi scalano con il rischio, ma un nucleo comune riguarda praticamente ogni professionista.

Informativa e consenso

Chiunque raccolga dati — tramite un form, una email, un contratto — deve fornire un'informativa (art. 13 GDPR) che spieghi chi tratta i dati, per quale finalità, per quanto tempo e con quali diritti dell'interessato. Per le comunicazioni commerciali (newsletter, offerte) serve inoltre un consenso esplicito e distinto da quello per l'erogazione del servizio: non si può subordinare l'accesso a un preventivo all'iscrizione a una newsletter.

Registro delle attività di trattamento

L'articolo 30 del GDPR prevede un registro scritto delle attività di trattamento. Il Garante per la protezione dei dati personali ha più volte chiarito che l'esenzione pensata per le realtà con meno di 250 dipendenti non è automatica: si applica solo se il trattamento è occasionale, non riguarda categorie particolari di dati e non comporta rischi per i diritti delle persone. Nella pratica, un freelance che gestisce clienti in modo continuativo — cioè quasi chiunque lavori stabilmente — difficilmente rientra nell'esenzione, e tenere comunque un registro semplice (anche un foglio di calcolo con finalità, categorie di dati, tempi di conservazione e misure di sicurezza) resta la via più prudente per dimostrare conformità in caso di controllo.

Misure di sicurezza tecniche e organizzative

L'articolo 32 chiede misure "adeguate al rischio": per un freelance significano, in concreto, password robuste e autenticazione a due fattori su email e cloud, cifratura dei dispositivi e, dove possibile, dei file più sensibili, backup regolari separati dal dispositivo principale, e l'uso di strumenti (client di posta, CRM, software di fatturazione) che offrano garanzie di sicurezza documentate dal fornitore.

Notifica delle violazioni (data breach)

Se un dispositivo viene rubato, un account viene violato o un'email con dati sensibili viene inviata al destinatario sbagliato, il titolare deve valutare il rischio per le persone coinvolte e, se il rischio è concreto, notificare la violazione al Garante entro 72 ore dalla scoperta (art. 33 GDPR) e, nei casi più gravi, informare direttamente gli interessati (art. 34). Non farlo, quando l'obbligo sussisteva, è di per sé una violazione sanzionabile, indipendentemente dal danno effettivo causato.

Accordi con collaboratori e fornitori

Quando un freelance affida dati dei propri clienti a un collaboratore esterno, a un altro professionista in subappalto o a un servizio cloud, quel soggetto diventa responsabile del trattamento (art. 28) e va vincolato con un accordo scritto che definisca finalità, durata, misure di sicurezza e obbligo di restituzione o cancellazione dei dati al termine del rapporto. È un passaggio spesso dimenticato proprio tra professionisti che si scambiano lavoro di frequente.

Conservazione e cancellazione

I dati non vanno conservati "per sempre": ogni finalità ha un tempo di conservazione proporzionato. I documenti fiscali, per obbligo di legge italiana, vanno tenuti dieci anni; i dati di marketing, in assenza di attività, vanno cancellati o anonimizzati entro tempi più brevi; i dati di un preventivo non accettato non hanno motivo di restare per anni in un database.

Le tutele che il GDPR offre al freelance

Il GDPR non è solo un elenco di doveri. Per il freelance che adempie agli obblighi, offre anche una forma di protezione legale: dimostrare di avere informativa, registro e misure di sicurezza documentate riduce in modo sostanziale l'esposizione in caso di contestazione, perché l'accountability — il principio cardine del regolamento — premia chi può provare di aver agito correttamente, non solo chi non ha avuto incidenti.

C'è poi una tutela che riguarda il professionista come persona, non solo come titolare: gli stessi diritti che un freelance deve garantire ai propri clienti — accesso, rettifica, cancellazione, portabilità, opposizione — valgono anche per lui nei confronti di piattaforme, banche, committenti e fornitori di software. Un freelance che lavora tramite un marketplace o una piattaforma di intermediazione ha diritto a sapere quali dati vengono raccolti su di lui e per quali finalità vengono usati, incluso il profiling.

Vantaggi e svantaggi della conformità

I vantaggi

• Minore rischio sanzionatorio e reputazionale: un'informativa aggiornata e un registro dei trattamenti sono la prima cosa che viene richiesta in caso di segnalazione o controllo, e la loro assenza aggrava qualunque violazione riscontrata.

• Credibilità commerciale: committenti aziendali, soprattutto di fascia media e alta, chiedono sempre più spesso garanzie di conformità GDPR prima di affidare dati a un collaboratore esterno; poterle fornire è un elemento competitivo, non solo un adempimento.

• Minore rischio operativo: le stesse misure richieste dal GDPR (backup, autenticazione a due fattori, cifratura) riducono il rischio di perdere lavoro per un guasto, un furto o un attacco informatico.

Gli svantaggi

• Tempo e costo iniziale: scrivere informative corrette, impostare un registro e verificare i contratti con fornitori e collaboratori richiede ore di lavoro che un singolo professionista deve sottrarre al lavoro fatturabile, oppure pagare a un consulente.

• Complessità percepita superiore alle reali esigenze: il mercato delle consulenze privacy tende a proporre soluzioni standardizzate pensate per aziende più grandi, con costi non sempre proporzionati al rischio reale di un singolo professionista.

• Responsabilità personale diretta: a differenza di un dipendente, il freelance risponde in prima persona, con il proprio patrimonio, di eventuali violazioni — non esiste una struttura aziendale che assorba il rischio.

Il quadro normativo italiano

In Italia il GDPR si applica insieme al Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), adeguato al regolamento europeo dal D.Lgs. 101/2018. Il Codice non sostituisce il GDPR — che come regolamento UE è direttamente applicabile — ma lo integra su alcuni margini di discrezionalità lasciati agli Stati membri: età del consenso dei minori per i servizi online (14 anni in Italia, contro il limite generale di 16 previsto dal GDPR salvo diversa scelta nazionale), trattamento dei dati giudiziari, regole specifiche per ambito sanitario e per il trattamento a fini giornalistici o di ricerca.

L'autorità di riferimento è il Garante per la protezione dei dati personali, che riceve le notifiche di violazione, pubblica provvedimenti, linee guida e FAQ — spesso la fonte più utile per un freelance, perché traduce gli articoli del regolamento in indicazioni operative — e applica le sanzioni amministrative previste dal GDPR stesso, non da un tariffario nazionale separato.

Il quadro normativo europeo

Il Regolamento (UE) 2016/679, in vigore dal 2018, è la cornice unica valida in tutti i 27 Stati membri: un freelance italiano che lavora per un committente tedesco o francese non deve applicare regole diverse, perché il regolamento è lo stesso ovunque — cambiano solo le autorità nazionali competenti e alcuni margini locali come quelli visti sopra per l'Italia. A livello europeo, il Comitato europeo per la protezione dei dati (EDPB) coordina le autorità nazionali e pubblica linee guida comuni.

Nel 2025-2026 la Commissione europea ha avviato un percorso di revisione, noto nel dibattito come pacchetto "Digital Omnibus", che punta a semplificare alcuni obblighi documentali — in particolare il registro dei trattamenti — per le piccole e medie imprese e i liberi professionisti. Si tratta, al momento, di una proposta ancora in discussione, su cui EDPB ed EDPS hanno espresso un parere favorevole alla semplificazione ma con richiesta di mantenere le garanzie sostanziali per i diritti delle persone: non è quindi corretto, ad oggi, considerare già alleggeriti gli obblighi di registro per i freelance, che restano regolati dalle norme attualmente in vigore fino all'eventuale approvazione definitiva del testo.

Le sanzioni: quanto si rischia davvero

Il GDPR prevede due fasce di sanzione amministrativa: fino a 10 milioni di euro o il 2% del fatturato annuo globale (il maggiore dei due) per le violazioni procedurali — ad esempio un registro mancante o un data breach non notificato — e fino a 20 milioni di euro o il 4% del fatturato annuo globale per le violazioni più gravi, come il trattamento senza base giuridica o la violazione dei diritti fondamentali degli interessati. Per un freelance il riferimento, ovviamente, è il proprio fatturato, non quello di una multinazionale: ma proprio per questo le sanzioni effettivamente applicate ai piccoli professionisti dal Garante italiano tendono a essere commisurate, spesso nell'ordine di qualche migliaio di euro, e frequentemente precedute da un richiamo o da una diffida a mettersi in regola prima dell'irrogazione della multa.

Una checklist pratica per iniziare

1. Mappa quali dati personali raccogli, da chi e per quale scopo (anche solo in un foglio di calcolo).

2. Scrivi o aggiorna l'informativa su sito, contratti ed email di raccolta contatti.

3. Attiva autenticazione a due fattori su email, cloud e strumenti di fatturazione.

4. Verifica i contratti con collaboratori e fornitori cloud: serve l'accordo da responsabile del trattamento?

5. Stabilisci tempi di conservazione per ogni categoria di dato e cancella quello che non serve più.

6. Prepara una procedura minima per un eventuale data breach: a chi rivolgerti, entro quando notificare.

Conclusioni

Il GDPR riguarda il freelance non perché la legge voglia complicargli la vita, ma perché nel momento in cui gestisce clienti, fornitori e un minimo di presenza online tratta esattamente gli stessi tipi di dati personali di una media impresa. La differenza non è negli obblighi — che restano gli stessi principi, applicati in modo proporzionato — ma nelle risorse disponibili per adempierli: ed è qui che la proporzionalità richiesta dal regolamento diventa decisiva, insieme alla direzione — ancora incerta nei tempi — presa dalle proposte di semplificazione europee.

La via più sensata, in attesa di un quadro più leggero, resta quella minima ma concreta: sapere quali dati si trattano, informare chi li fornisce, proteggerli con misure ragionevoli e sapere cosa fare se qualcosa va storto. Non elimina il rischio, ma lo rende gestibile — e dimostrabile, che è ciò che il GDPR chiede davvero.

Domande frequenti

Un freelance con pochi clienti deve davvero rispettare il GDPR?

Sì. Il GDPR non prevede soglie minime di fatturato o di numero di clienti sotto le quali non si applica: si applica a chiunque tratti dati personali, indipendentemente dalla dimensione dell'attività. Cambiano la proporzionalità e la complessità degli obblighi, non la loro esistenza.

Devo avere un DPO (Data Protection Officer)?

Nella grande maggioranza dei casi no. Il DPO è obbligatorio solo per enti pubblici o per chi effettua, come attività principale, monitoraggio sistematico su larga scala o trattamento su larga scala di categorie particolari di dati (ad esempio dati sanitari). Un freelance tipico non rientra in questi casi, ma può comunque farsi assistere da un consulente privacy senza doverlo nominare formalmente come DPO.

Basta il consenso del cliente per trattare i suoi dati?

Non sempre è necessario, e non è l'unica base giuridica disponibile. Per eseguire un contratto (ad esempio fatturare un servizio) la base giuridica è l'esecuzione del contratto stesso, non il consenso. Il consenso esplicito serve soprattutto per usi ulteriori, come l'invio di newsletter o comunicazioni commerciali non legate al servizio reso.

Cosa succede se perdo il laptop con i dati dei clienti?

Va valutato il rischio concreto per le persone i cui dati erano sul dispositivo. Se il disco era cifrato e protetto da password robusta, il rischio è basso e la notifica potrebbe non essere necessaria. Se i dati erano accessibili in chiaro, va valutata la notifica al Garante entro 72 ore e, nei casi più seri, l'informazione diretta agli interessati.

Le sanzioni si applicano anche a chi ha un fatturato piccolo?

Sì, ma il Garante applica il principio di proporzionalità: per i piccoli professionisti le sanzioni effettive sono tipicamente commisurate alla gravità e alla capacità economica, e spesso precedute da una diffida a correggere la violazione prima di arrivare alla multa.

Il registro dei trattamenti è obbligatorio anche per un solo professionista?

L'esenzione prevista per le realtà più piccole vale solo se il trattamento è occasionale e non riguarda dati sensibili né comporta rischi per le persone: condizioni che un freelance con clienti abituali raramente soddisfa tutte insieme. Tenere comunque un registro semplice è la scelta più prudente.

Le proposte di semplificazione europee hanno già cambiato le regole?

No, non ancora. Il pacchetto di revisione discusso nel 2025-2026 è una proposta della Commissione europea, con un parere di EDPB ed EDPS, ma non è un testo approvato: gli obblighi attuali restano quelli del GDPR e del Codice Privacy in vigore.

Cosa rischio di più, concretamente, se non faccio nulla?

Più che una sanzione immediata, il rischio più comune è trovarsi senza alcuna documentazione nel momento sbagliato: una segnalazione di un cliente, un controllo, o un data breach da gestire senza una procedura. In quel momento l'assenza di informativa, registro e misure minime di sicurezza trasforma un incidente gestibile in una violazione aggravata.