Una ditta individuale è soggetta al GDPR (Regolamento UE 2016/679) come qualsiasi impresa che tratta dati personali: deve garantirne liceità, trasparenza e sicurezza.
In particolare, i principali aspetti da considerare sono:
- Il Regolamento non prevede soglie: si applica anche senza dipendenti
- Il titolare del trattamento è la persona fisica intestataria della partita IVA
- Informativa e base giuridica servono per clienti, fornitori e utenti del sito
- Commercialista, consulenti e fornitori cloud vanno nominati responsabili esterni
- Violazione dei dati: notifica al Garante entro 72 ore dalla scoperta
In Italia l’impresa individuale è la forma giuridica più diffusa. Il titolare coincide con l’impresa. Gestisce da solo l’anagrafica dei clienti, i contatti dei fornitori, il sito web e spesso la videosorveglianza in negozio. Ognuna di queste attività comporta un trattamento di dati personali. Rientra quindi nel campo di applicazione del Regolamento europeo. Il testo non fissa soglie dimensionali: gli obblighi si calibrano sul rischio, non sul numero di addetti. Per una partita IVA senza dipendenti il carico documentale è ridotto, ma non nullo. Gli adempimenti da adottare vanno quindi individuati in funzione delle attività svolte e dei rischi connessi al trattamento dei dati personali.
GDPR ditta individuale: quando il Regolamento si applica
In materia di GDPR ditta individuale non esistono soglie di fatturato o di dipendenti. Il Regolamento si applica a ogni impresa che tratta dati riferiti a persone fisiche, anche a chi lavora da solo.
GDPR (General Data Protection Regulation, Regolamento UE 2016/679): il regolamento europeo sulla protezione dei dati personali, applicabile dal 25 maggio 2018 a chiunque tratti informazioni riferite a persone fisiche nell'esercizio di un'attività economica.
Il criterio del Regolamento è il trattamento, non la dimensione. Chi emette fatture a persone fisiche tratta dati personali. Lo stesso vale per chi raccoglie contatti da un modulo sul sito. Cambia solo l'onere documentale, non l'applicabilità della norma. Un punto genera spesso confusione nel lavoro tra aziende: i dati di una società non sono dati personali, ma i nomi e i recapiti dei suoi referenti lo sono. Anche un portafoglio di soli clienti aziendali rientra quindi nel perimetro del Regolamento.
Chi è il titolare del trattamento se l'impresa è una persona sola?
Nella ditta individuale il titolare del trattamento è la persona fisica intestataria della partita IVA. Risponde in prima persona degli obblighi previsti dal Regolamento. Non serve alcuna nomina interna. Eventuali collaboratori occasionali vanno invece autorizzati per iscritto al trattamento.
Secondo Movimprese 2025 di Unioncamere e InfoCamere, al 31 dicembre 2025 le imprese registrate in Italia erano 5.849.524, di cui 2.906.685 imprese individuali: quasi una su due.
Quali dati personali tratta una partita IVA individuale
Una partita IVA individuale tratta di norma cinque categorie di dati: clienti, referenti dei fornitori, utenti del sito web, immagini di videosorveglianza e recapiti di collaboratori occasionali.
La mappatura dei trattamenti è il primo documento da produrre e richiede poche ore. Si elenca quali dati entrano in azienda, dove sono conservati, chi vi accede e per quanto tempo restano negli archivi. Nelle imprese individuali l'elenco si chiude quasi sempre in una pagina, perché gli strumenti sono pochi. Queste sono le categorie ricorrenti:
- Clienti: anagrafiche, recapiti, preventivi, dati di fatturazione
- Fornitori: nomi e contatti dei referenti commerciali e tecnici
- Sito web: moduli di contatto, newsletter, cookie e strumenti di misurazione
- Videosorveglianza: immagini riprese in negozio, in magazzino o in laboratorio
- Collaboratori occasionali: recapiti, compensi, documenti fiscali
I dati di un cliente con partita IVA sono dati personali?
Se il cliente è una ditta individuale o un libero professionista, i suoi dati identificano una persona fisica. Sono quindi dati personali a tutti gli effetti. Se il cliente è una società, lo sono i recapiti nominativi dei referenti, non la ragione sociale.
Come mettersi in regola: cinque passi operativi
L'adeguamento si completa in cinque passi: mappare i trattamenti, redigere le informative, individuare le basi giuridiche, nominare i responsabili esterni e mettere in sicurezza gli strumenti.
L'ordine conta più della quantità di documenti. Ogni passo produce il materiale necessario al successivo. Un'impresa individuale con trattamenti ordinari chiude la parte documentale in due o tre mezze giornate. La parte tecnica coincide con scelte informatiche che il titolare affronta comunque.
- Mappa i trattamenti. Elenca finalità, categorie di dati, strumenti, destinatari e tempi di conservazione. Questa ricognizione costituisce la base per definire gli adempimenti successivi, e quando previsto, per predisporre il registro dei trattamenti.
- Redigi le informative. Ne servono almeno tre: clienti, sito web e collaboratori. Vanno consegnate al momento della raccolta dei dati.
- Individua la base giuridica. Per fatture e contratti vale l'esecuzione del contratto, per la conservazione fiscale l'obbligo di legge, per la newsletter il consenso.
- Nomina i responsabili esterni. Commercialista, gestore del sito e fornitori cloud trattano dati per conto dell'impresa. La nomina va formalizzata per iscritto.
- Metti in sicurezza gli strumenti. Autenticazione a due fattori sulla posta, aggiornamenti attivi, backup verificati e una connessione stabile, controllabile con la verifica di copertura della sede.
Secondo l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, il benchmark Cyber Index PMI 2025 assegna alle imprese italiane un punteggio medio di 55 su 100 e rileva che una su tre non dispone di competenze interne adeguate.
Parti dalla mappatura: senza quell'elenco le informative restano generiche e il registro dei trattamenti non è compilabile in modo credibile.
Le misure del quinto passo non servono solo alla conformità: riducono anche il rischio di fermo dell'attività, come illustra la panoramica sulla sicurezza informatica per le PMI. La direttiva NIS2 (Network and Information Security 2) non riguarda invece le imprese individuali: la guida agli obblighi NIS2 chiarisce chi rientra. Per il quadro completo, comprese le imprese con dipendenti, il riferimento resta la guida agli adempimenti GDPR per le piccole imprese.
Registro dei trattamenti e violazioni dei dati senza dipendenti
Il registro dei trattamenti non è sempre obbligatorio sotto i 250 dipendenti, ma le eccezioni sono ampie. In caso di violazione dei dati la notifica al Garante scatta entro 72 ore.
L'articolo 30, paragrafo 5 del Regolamento UE 2016/679 esonera dal registro le imprese con meno di 250 dipendenti, salvo trattamenti non occasionali, rischiosi o riferiti a categorie particolari di dati. Un'anagrafica clienti gestita con continuità rientra già tra i trattamenti non occasionali.
Per una ditta individuale il registro resta quindi consigliato. È una tabella di poche righe e si compila a partire dalla mappatura. Non va inviato né depositato: resta in azienda, datato e aggiornato.
Cosa deve fare una ditta individuale in caso di violazione dei dati?
Il titolare deve documentare l'accaduto e valutare il rischio per le persone coinvolte. Se il rischio non è improbabile, notifica la violazione al Garante entro 72 ore dalla scoperta. Quando il rischio è elevato vanno informati anche gli interessati. Ogni evento va comunque annotato in un registro interno.
La Relazione annuale 2025 del Garante per la protezione dei dati personali riporta 2.415 violazioni notificate nel corso dell'anno, in aumento del 10% sul 2024.
Il termine di 72 ore decorre dalla scoperta dell'evento, non dalla conferma tecnica delle cause. Conviene quindi sapere in anticipo chi contattare e quali sistemi isolare.
Domande frequenti su GDPR ditta individuale
Non sempre per obbligo, quasi sempre per opportunità. L'esonero sotto i 250 dipendenti decade quando i trattamenti sono ricorrenti, e un'anagrafica clienti lo è per definizione. Il registro è anche il documento che il Garante chiede per primo in un controllo.
Verso i clienti già acquisiti si può usare il legittimo interesse per promuovere servizi analoghi a quelli forniti. Va indicato nell'informativa, con la possibilità di opporsi. Per i contatti non ancora clienti serve invece un consenso libero, specifico e documentato.
La parte documentale richiede poche ore di lavoro interno oppure una o due giornate di consulenza. La parte tecnica coincide con investimenti informatici già previsti, come backup gestiti e protezione della posta elettronica.
La parte documentale richiede poche ore di lavoro interno oppure una o due giornate di consulenza. La parte tecnica coincide con investimenti informatici già previsti, come backup gestiti e protezione della posta elettronica.
