Un freelance con Partita IVA tratta quasi sempre dati personali: nomi, email, numeri di telefono, dati di fatturazione, messaggi dei clienti, documenti, indirizzi IP, dati raccolti dal sito e informazioni conservate nei servizi cloud. Per questo il GDPR non riguarda solo le grandi aziende. Il punto non è “avere una privacy policy”, ma sapere quali dati raccogli, perché li usi, per quanto tempo li conservi, a chi li comunichi e come li proteggi.
Per un professionista autonomo la conformità può essere organizzata con una struttura semplice: mappa dei trattamenti, informative corrette, basi giuridiche, contratti con i fornitori che trattano dati per tuo conto, misure di sicurezza, gestione dei cookie e una procedura per gli eventuali data breach. Non tutti i freelance devono nominare un DPO o svolgere una DPIA, ma tutti devono applicare il principio di responsabilizzazione previsto dal Regolamento UE 2016/679.
GDPR per freelance: quando sei titolare del trattamento
Se decidi finalità e modalità con cui vengono trattati i dati dei tuoi clienti, prospect o utenti, normalmente agisci come titolare del trattamento. Questo accade, ad esempio, quando conservi contatti nel tuo CRM, emetti fatture, ricevi richieste dal sito, invii newsletter o archivi documenti dei clienti.
Non conta la dimensione dell’attività
Il GDPR non prevede un’esenzione generale per chi lavora da solo. Anche un freelance senza dipendenti può essere titolare del trattamento e deve rispettare i principi di liceità, correttezza, trasparenza, minimizzazione e sicurezza.
Quando lavori per conto di un cliente
In alcuni incarichi puoi invece trattare dati esclusivamente per conto del cliente. È il caso tipico di chi gestisce mailing list, CRM, campagne, assistenza o infrastrutture informatiche per un’altra azienda. In queste situazioni puoi assumere il ruolo di responsabile del trattamento ai sensi dell’articolo 28 GDPR.
Un esempio frequente è quello dell’assistente virtuale che gestisce servizi e dati dei clienti: il ruolo privacy dipende dalle istruzioni ricevute e dall’autonomia effettiva nel trattamento.
Prima cosa da fare: mappa i dati che tratti davvero
Una checklist GDPR efficace parte dall’inventario reale dei dati, non dai modelli scaricati online. Devi capire quali informazioni entrano nella tua attività, dove vengono conservate e chi può accedervi.
Dati dei clienti
Nome, cognome, codice fiscale, Partita IVA, indirizzo, email, telefono, coordinate bancarie, documenti contrattuali e corrispondenza sono dati personali quando riferibili a persone fisiche.
Dati dei prospect e del sito
Form di contatto, newsletter, sistemi di prenotazione, analytics, log, cookie e strumenti pubblicitari possono generare ulteriori trattamenti.
Costruisci una tabella minima
Per ogni trattamento annota: categoria di dati, interessati, finalità, base giuridica, destinatari, software utilizzati, tempi di conservazione e misure di sicurezza. Questo documento diventa la base per informative, contratti e registro.
Informativa privacy: cosa deve spiegare al cliente
L’articolo 13 GDPR richiede che, quando raccogli dati direttamente dalla persona, tu fornisca informazioni chiare sul trattamento. L’informativa non dovrebbe essere una formula generica scollegata dal servizio reale.
Elementi essenziali
Deve indicare almeno identità e contatti del titolare, finalità, basi giuridiche, destinatari o categorie di destinatari, eventuali trasferimenti verso Paesi terzi, tempi o criteri di conservazione, diritti dell’interessato e possibilità di proporre reclamo all’autorità di controllo.
Un’informativa per ogni contesto?
Non serve necessariamente moltiplicare i documenti, ma l’informativa deve coprire i trattamenti effettivi. Un form newsletter e un incarico professionale possono avere finalità e basi giuridiche diverse.
Per coordinare privacy e rapporto contrattuale puoi leggere anche la guida RM sul contratto tra professionista e cliente.
Base giuridica: non tutto richiede il consenso
Uno degli errori più comuni è usare il consenso per qualsiasi trattamento. Il GDPR prevede diverse basi giuridiche e il consenso è solo una di queste.
Esecuzione del contratto
Per gestire un incarico, comunicare con il cliente, erogare il servizio o predisporre attività necessarie prima del contratto può essere applicabile l’articolo 6, paragrafo 1, lettera b).
Obbligo legale
Conservazione di documenti fiscali, fatture e adempimenti previsti dalla legge possono fondarsi sull’obbligo legale.
Legittimo interesse
Può essere utilizzato quando ricorrono i presupposti e dopo aver valutato il bilanciamento con i diritti dell’interessato. Non è una base automatica da inserire nell’informativa senza analisi.
Consenso
È necessario nei casi in cui la normativa lo richiede, ad esempio per determinate attività di marketing o tracciamento. Deve essere libero, specifico, informato e revocabile.
Cloud, CRM, newsletter e fornitori: controlla i responsabili del trattamento
Un freelance utilizza spesso servizi esterni: hosting, email marketing, CRM, cloud storage, videoconferenza, fatturazione, help desk, booking e strumenti AI. Se un fornitore tratta dati personali per tuo conto, il rapporto va qualificato correttamente.
Questo controllo è particolarmente importante anche per i software in abbonamento usati dal freelance, perché un servizio acquistato per ragioni operative può diventare anche un soggetto che tratta dati personali.
Articolo 28 GDPR
Il responsabile del trattamento deve offrire garanzie sufficienti e il rapporto deve essere disciplinato da contratto o altro atto giuridico che definisca materia, durata, natura e finalità del trattamento, categorie di dati, interessati, obblighi e diritti del titolare.
Non basta il nome famoso del software
Controlla Data Processing Agreement, ubicazione dei dati, sub-responsabili, misure di sicurezza, tempi di cancellazione e meccanismi previsti per eventuali trasferimenti internazionali.
Fornitori che agiscono come titolari autonomi
Non tutti i soggetti esterni sono responsabili ai sensi dell’articolo 28. Alcuni trattano i dati per finalità proprie e operano come titolari autonomi. La qualificazione va fatta in base al ruolo reale, non all’etichetta commerciale.
Lo stesso principio vale per gli strumenti di intelligenza artificiale utilizzati con Partita IVA: prima di caricare documenti, email o dati dei clienti devi sapere se e come il provider utilizza tali informazioni.
RM approfondisce l’organizzazione digitale nella guida su come gestire la Partita IVA online.
Registro dei trattamenti: quando serve e perché conviene averlo
L’articolo 30 GDPR disciplina il registro delle attività di trattamento. Le organizzazioni con meno di 250 dipendenti hanno un’esenzione limitata, ma non assoluta: l’esenzione non opera quando il trattamento può presentare un rischio per i diritti e le libertà, non è occasionale oppure include categorie particolari di dati o dati relativi a condanne e reati.
Per un freelance è spesso utile comunque
Anche quando non fosse formalmente obbligatorio per tutti i trattamenti, un registro semplice aiuta a dimostrare l’accountability e a mantenere coerenti informative, fornitori, conservazione e sicurezza.
Cosa inserire
Finalità, categorie di interessati e dati, destinatari, eventuali trasferimenti internazionali, tempi di cancellazione e misure di sicurezza sono gli elementi centrali previsti dall’articolo 30.
Formato pratico
Per una microattività può essere sufficiente un foglio strutturato e mantenuto aggiornato. Il Garante mette inoltre a disposizione modelli semplificati di registro per PMI.
Sito web, cookie e strumenti di tracciamento
Se hai un sito professionale devi distinguere tra cookie tecnici e strumenti utilizzati per analytics, profilazione, advertising o altre attività di tracciamento.
Se il sito vende prodotti o servizi, privacy e cookie devono essere coordinati anche con le condizioni di vendita e-commerce: termini contrattuali e informativa privacy svolgono funzioni diverse e non si sostituiscono a vicenda.
Cookie tecnici
Gli strumenti strettamente necessari al funzionamento possono essere utilizzati senza consenso, fermo restando l’obbligo di informare correttamente l’utente.
Cookie e tracker non tecnici
Le Linee guida del Garante prevedono il consenso preventivo quando il tracciamento non rientra tra gli strumenti tecnici o nelle condizioni specifiche ammesse. Per impostazione predefinita, al primo accesso non dovrebbero essere attivati tracker che richiedono il consenso.
Analytics
Non tutti gli analytics sono automaticamente equivalenti ai cookie tecnici. Il Garante ammette specifiche condizioni per strumenti destinati a statistiche aggregate, con minimizzazione e limitazioni sull’uso ulteriore dei dati.
Cookie banner e privacy policy non sono la stessa cosa
Il banner serve a gestire le scelte quando necessarie; la privacy/cookie policy deve spiegare i trattamenti in modo trasparente. Un banner configurato male può continuare a caricare tracker prima del consenso.
Sicurezza: quali misure deve adottare un freelance
L’articolo 32 GDPR richiede misure tecniche e organizzative adeguate al rischio. Non esiste una checklist identica per tutti, ma esistono controlli di base che per un professionista sono difficili da ignorare.
Autenticazione
Usa password uniche e robuste, preferibilmente gestite con password manager, e attiva l’autenticazione a più fattori sui servizi che contengono dati di clienti.
Aggiornamenti e dispositivi
Sistema operativo, browser, CMS, plugin e software devono essere aggiornati. Un dispositivo personale usato anche per il lavoro dovrebbe avere cifratura, blocco automatico e protezione adeguata.
Backup
Il backup deve poter essere ripristinato. Conservare copie senza testarne il recupero non garantisce realmente disponibilità e resilienza dei dati.
Accessi minimi
Collaboratori e fornitori dovrebbero accedere solo alle informazioni necessarie. Account condivisi e privilegi amministrativi concessi senza necessità aumentano il rischio.
Conservazione dei dati: non tenere tutto per sempre
Il principio di limitazione della conservazione richiede di definire tempi coerenti con finalità e obblighi di legge.
Documenti fiscali
Devono essere conservati secondo le regole fiscali e civilistiche applicabili. La durata non va scelta sulla base del GDPR isolatamente, ma coordinata con gli obblighi normativi.
Lead mai diventati clienti
Non hanno necessariamente la stessa giustificazione di conservazione dei clienti attivi. È utile definire un periodo e una procedura di cancellazione o anonimizzazione.
Account e software non più utilizzati
Chiudere un servizio senza cancellare i dati può lasciare copie inutili presso fornitori esterni. La cessazione di un software dovrebbe includere esportazione necessaria, verifica degli obblighi residui e cancellazione quando prevista.
Dati particolari, professionisti sanitari e incarichi sensibili
Se tratti dati sulla salute, orientamento sessuale, convinzioni religiose, dati biometrici o altre categorie particolari dell’articolo 9, il livello di attenzione aumenta.
Non basta la normale base dell’articolo 6
Per le categorie particolari serve anche una delle condizioni previste dall’articolo 9 GDPR. Questo riguarda soprattutto professionisti sanitari, consulenti HR, legali e attività che possono ricevere documentazione sensibile.
Sicurezza più rigorosa
Cifratura, controllo degli accessi, segregazione dei dati, procedure di invio e condivisione devono essere proporzionate alla sensibilità delle informazioni.
DPIA
La valutazione d’impatto non è automaticamente obbligatoria per ogni freelance. È richiesta quando un trattamento, in particolare con nuove tecnologie e considerate natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone.
DPO: un freelance deve nominarlo?
Normalmente un libero professionista non deve nominare un Responsabile della protezione dei dati solo perché usa dati personali. L’articolo 37 individua specifiche condizioni che rendono obbligatoria la designazione.
Quando può diventare obbligatorio
Tra i casi previsti rientrano attività principali che comportano monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di categorie particolari di dati o dati relativi a condanne e reati.
“Lavoro da solo” non è l’unico criterio
La valutazione riguarda attività e scala dei trattamenti. Il Garante e le linee guida europee considerano elementi come numero di interessati, volume e varietà dei dati, durata e portata geografica.
Puoi chiedere consulenza senza nominare un DPO
Quando il DPO non è obbligatorio, puoi comunque affidarti a un professionista privacy per audit, procedure o documentazione senza attribuirgli formalmente quel ruolo.
Data breach: cosa fare se perdi o divulghi dati
Una violazione dei dati personali può riguardare riservatezza, integrità o disponibilità: accesso non autorizzato, dispositivo rubato, email inviata al destinatario sbagliato, ransomware, perdita di documenti o cancellazione accidentale possono essere data breach.
Non tutti i breach vanno notificati
Il titolare deve valutare il rischio per i diritti e le libertà delle persone. La notifica al Garante è richiesta quando la violazione può comportare un rischio; non è necessaria quando è improbabile che tale rischio esista.
Le 72 ore
Quando la notifica è dovuta, deve essere effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne viene a conoscenza.
Comunicazione agli interessati
Se la violazione può presentare un rischio elevato, può essere necessario informare anche le persone coinvolte, salvo le eccezioni previste dal Regolamento.
Prepara una procedura prima dell’incidente
Definisci chi valuta l’evento, dove registrarlo, come coinvolgere il fornitore cloud, quali dati raccogliere e chi decide sulla notifica. Improvvisare durante un attacco aumenta tempi ed errori.
Checklist GDPR essenziale per freelance
- mappa clienti, prospect, utenti e categorie di dati;
- individua finalità e base giuridica di ogni trattamento;
- aggiorna le informative privacy;
- verifica form, newsletter e marketing;
- mappa cloud, CRM, email marketing, hosting e altri fornitori;
- controlla gli accordi ex articolo 28 quando applicabili;
- verifica eventuali trasferimenti internazionali;
- mantieni un registro dei trattamenti quando obbligatorio e, comunque, se utile all’accountability;
- controlla cookie e tracker caricati dal sito;
- attiva MFA, backup, aggiornamenti e controllo accessi;
- definisci tempi di conservazione e cancellazione;
- valuta eventuali dati particolari e la necessità di DPIA;
- verifica se ricorrono condizioni per la nomina del DPO;
- predisponi una procedura per i data breach;
- riesamina tutto quando cambi software, sito o modalità di lavoro.
Un controllo annuale non basta sempre
La documentazione va aggiornata quando introduci un nuovo CRM, un assistente, un servizio AI, un nuovo form, una piattaforma di prenotazione o un diverso sistema di marketing. Ogni cambiamento può modificare ruoli, destinatari e flussi di dati.
Fonti ufficiali e FAQ
Fonti ufficiali
Il riferimento principale è il Regolamento UE 2016/679, in particolare gli articoli 13, 28, 30, 32, 33 e 37. Il Garante ha pubblicato le Linee guida su cookie e altri strumenti di tracciamento e una pagina operativa dedicata alle violazioni dei dati personali.
La prassi recente del Garante conferma anche nel 2026 l’attenzione su misure di sicurezza, ruoli titolare/responsabile e tempestività della gestione dei data breach.
Un freelance deve sempre avere il registro dei trattamenti?
No, l’articolo 30 contiene una deroga limitata per organizzazioni con meno di 250 dipendenti, ma l’esenzione non si applica in diversi casi, tra cui trattamenti non occasionali, rischiosi o relativi a categorie particolari di dati. In pratica, un registro semplificato è spesso comunque utile.
Serve il consenso per gestire i dati di un cliente?
Non necessariamente. Se il trattamento è necessario per eseguire il contratto o adempiere a obblighi legali possono essere applicabili altre basi giuridiche.
Google Analytics richiede sempre consenso?
Dipende dalla configurazione e dalle condizioni concrete. Il Garante consente specifiche assimilazioni agli strumenti tecnici solo in presenza di precise condizioni di minimizzazione e uso limitato delle statistiche.
Devo nominare un DPO se lavoro da solo?
Non per il solo fatto di trattare dati. La nomina è obbligatoria quando ricorrono le condizioni dell’articolo 37 GDPR, ad esempio per determinati monitoraggi o trattamenti su larga scala.
Se mando una mail al destinatario sbagliato è sempre data breach?
Può esserlo perché comporta divulgazione non autorizzata. Devi valutarne natura, dati coinvolti, destinatario, conseguenze e rischio per gli interessati per decidere le azioni necessarie.
In sintesi: per un freelance il GDPR può essere gestito in modo ordinato senza creare una burocrazia sproporzionata. Devi conoscere i tuoi flussi di dati, usare informative e basi giuridiche coerenti, qualificare i fornitori, proteggere account e dispositivi, governare cookie e conservazione e sapere cosa fare in caso di incidente. La documentazione deve descrivere ciò che fai davvero, non ciò che dice un modello standard.
Chiedi informazioni o una consulenza Gratuita
Se stai iniziando una nuova attività oppure vuoi cambiare commercialista, raccontaci cosa ti serve.
- Apertura della Partita IVA
- Cambio commercialista
- Gestione del regime forfettario
- Gestione della contabilità semplificata
La richiesta di contatto è gratuita e senza impegno.