GDPR e accessi ai dati: la sicurezza parte dalle soglie

Proteggere i dati personali non significa impedire ogni accesso, ma decidere con precisione chi può vedere cosa, quando e per quale motivo. È questo il punto centrale rilanciato il 18 settembre 2026 da un approfondimento di Cyber Security 360: il GDPR va letto anche come una disciplina delle “soglie”, cioè dei confini operativi che regolano accessi, consultazione, uso e revoca dei permessi.

Per un’azienda, il tema è molto concreto: non riguarda solo la cybersecurity o il rispetto formale della privacy, ma il modo in cui si lavora ogni giorno. Caselle email condivise, cartelle di rete aperte a tutti, software gestionali senza profili differenziati e credenziali non revocate in tempo sono esempi tipici di un problema che il GDPR chiede di affrontare alla radice.

Perché oggi si parla di “soglie” nel GDPR

L’idea è semplice ma spesso trascurata: l’accesso ai dati non è un fatto unico e indistinto. Può voler dire il diritto dell’interessato di conoscere i dati che lo riguardano, ma anche la possibilità, per dipendenti, collaboratori o fornitori, di entrare in un archivio digitale, consultare un fascicolo, usare un’applicazione o accedere a un luogo dove i dati sono custoditi.

Questa visione allarga il campo. Il GDPR non si limita a chiedere che i dati siano “protetti” in senso astratto. Chiede che l’organizzazione sappia progettare accessi appropriati, proporzionati al ruolo, controllabili nel tempo e revocabili quando non servono più.

In altre parole, la protezione non si ottiene chiudendo tutto indiscriminatamente. Si ottiene stabilendo soglie corrette tra ciò che è necessario per lavorare e ciò che invece espone l’azienda a rischi inutili.

Privacy by design e security by design: simili, ma non uguali

Uno dei passaggi più utili emersi nel dibattito è la distinzione tra privacy by design e security by design. I due concetti non coincidono, anche se si incontrano proprio nella gestione degli accessi.

La security by design guarda soprattutto alla difesa del sistema: impedire intrusioni, bloccare movimenti laterali, segmentare la rete, rafforzare autenticazione e controlli. La privacy by design, invece, parte da un’altra domanda: chi ha davvero bisogno di trattare quel dato personale, e in quali limiti?

Per un imprenditore questo significa evitare un errore comune: pensare che basti comprare un buon firewall o attivare l’antivirus per essere “a posto” anche sul piano privacy. Le misure tecniche sono fondamentali, ma il GDPR richiede anche una logica organizzativa. Se troppe persone possono accedere a informazioni non necessarie, il problema resta, anche in presenza di strumenti di sicurezza avanzati.

Il vero nodo: accessi selettivi, non accessi generici

Molte aziende, soprattutto nelle PMI, crescono in modo pragmatico: si aggiunge un utente, si apre una cartella, si condivide una password “temporaneamente”, si lascia un accesso attivo perché “potrebbe servire ancora”. Col tempo, però, questa somma di eccezioni crea un perimetro fuori controllo.

La logica delle soglie impone il contrario. Gli accessi devono essere:

• selettivi, quindi legati a compiti reali;
• tracciabili, cioè verificabili e ricostruibili;
• revocabili, senza dipendere dalla memoria o dalla buona volontà di qualcuno;
• proporzionati, quindi mai più ampi del necessario.

Questo approccio ha un vantaggio importante: riduce insieme rischio privacy e rischio operativo. Meno accessi superflui significa meno possibilità di errore umano, minore esposizione in caso di furto credenziali e maggiore chiarezza nelle responsabilità.

Dove le aziende sbagliano più spesso

Nella pratica, le criticità ricorrenti non nascono quasi mai da scenari complessi. Nascono dalla gestione quotidiana.

Un primo caso tipico è l’uso di account condivisi. Se più persone accedono con le stesse credenziali, diventa difficile capire chi ha fatto cosa e quando. Questo rende più debole sia la sicurezza sia la capacità di dimostrare la conformità.

Un secondo problema è l’accumulo di autorizzazioni. Un dipendente cambia mansione ma conserva i vecchi permessi; un consulente termina il progetto ma il suo account resta attivo; un ex collaboratore viene disattivato su un sistema ma non sugli altri.

C’è poi il tema degli archivi “aperti per comodità”: cartelle con dati del personale accessibili oltre il necessario, gestionali senza ruoli differenziati, documenti sensibili inviati via email invece di essere condivisi in ambienti controllati.

Infine, molte organizzazioni sottovalutano gli accessi fisici: uffici, armadi, stampanti, postazioni lasciate sbloccate, locali server o archivi cartacei. Anche qui il GDPR non guarda solo al dato digitale, ma al contesto in cui il dato è custodito e usato.

Accountability: non basta avere regole, bisogna dimostrarle

Il principio di accountability resta il filo conduttore. Significa che l’azienda non deve solo adottare misure ragionevoli, ma essere in grado di dimostrare di averle pensate, applicate e aggiornate.

Sulla gestione degli accessi questo si traduce in alcuni elementi molto concreti:

• una mappatura dei sistemi che trattano dati personali;
• la definizione dei ruoli e dei relativi livelli di autorizzazione;
• procedure di attivazione, modifica e revoca degli accessi;
• registrazione degli eventi rilevanti, almeno per i sistemi più critici;
• verifiche periodiche per eliminare permessi obsoleti o eccessivi.

Non serve trasformare ogni impresa in una struttura iperburocratica. Serve però passare da una gestione implicita a una gestione deliberata. Quando gli accessi nascono per abitudine, l’azienda perde controllo. Quando sono progettati, documentati e riesaminati, diventano uno strumento di governo del rischio.

Cosa significa per la tua azienda

Per una PMI italiana, la lezione è chiara: il GDPR non chiede di rallentare il lavoro, ma di organizzarlo meglio. La domanda giusta non è “come impedisco ogni accesso?”, ma “come faccio in modo che ciascuno acceda solo a ciò che gli serve davvero?”.

Ecco alcune azioni pratiche da valutare subito:

1. Rivedi i permessi per reparto e mansione
   Amministrazione, HR, commerciale, produzione e assistenza non devono vedere gli stessi dati. Se il tuo gestionale, file server o cloud collaboration non distingue bene i ruoli, è il momento di intervenire.

2. Elimina account condivisi e credenziali generiche
   Ogni persona dovrebbe avere un accesso personale. È un requisito di buon senso prima ancora che di conformità.

3. Imposta una procedura di onboarding e offboarding
   Quando entra o esce una persona, gli accessi devono essere attivati o revocati in modo sistematico. Non “appena possibile”, ma secondo una checklist precisa.

4. Controlla gli accessi dei fornitori esterni
   Software house, consulenti IT, manutentori e partner devono avere permessi limitati, temporanei quando possibile e verificati periodicamente.

5. Proteggi i dati anche dai guasti e dagli errori
   La gestione degli accessi va affiancata a copie di sicurezza affidabili e verificabili. In questo ambito può essere utile valutare soluzioni di remote backup, soprattutto se i dati critici sono distribuiti tra server, NAS e postazioni operative.

6. Allinea sicurezza informatica e privacy
   Chi si occupa di IT e chi segue gli aspetti organizzativi o documentali devono lavorare insieme. La sicurezza tecnica senza regole di accesso è incompleta; la documentazione privacy senza controlli reali è fragile. Un percorso di sicurezza informatica ben impostato aiuta a tradurre questi principi in misure operative.

7. Verifica periodicamente, non solo dopo un problema
   Un controllo trimestrale o semestrale sui permessi effettivi vale più di una policy dimenticata in archivio.

Per molte aziende il punto critico non è la mancanza di tecnologia, ma la stratificazione di strumenti e abitudini nel tempo. Fare ordine negli accessi è spesso uno degli interventi con il miglior rapporto tra costo, rischio ridotto e benefici organizzativi.

Un cambio di mentalità utile anche oltre la conformità

Leggere il GDPR come disciplina delle soglie è utile perché sposta l’attenzione dalla paura della sanzione alla qualità dei processi. Se i dati sono accessibili in modo coerente con ruoli, necessità e controlli, l’azienda non è solo più conforme: è anche più ordinata, più resiliente e meno dipendente da eccezioni informali.

Questo vale in particolare in contesti ibridi, dove si lavora tra ufficio, smart working, dispositivi mobili, cloud e fornitori esterni. Più i dati circolano, più servono confini intelligenti. Confini che non blocchino il business, ma lo rendano sostenibile e verificabile.

Per questo il tema degli accessi non è un dettaglio tecnico. È una scelta di gestione. E oggi, sempre di più, è uno dei punti in cui privacy, sicurezza e organizzazione aziendale coincidono davvero.

Domande frequenti

Il GDPR impone di limitare tutti gli accessi ai dati personali?

No. Impone di limitarli in modo proporzionato e coerente con le finalità del trattamento. Chi ha bisogno del dato per lavorare deve poterlo usare, ma entro confini chiari.

Un buon antivirus basta per essere in regola?

No. Le misure tecniche sono importanti, ma non sostituiscono la gestione organizzativa degli accessi, dei ruoli, delle autorizzazioni e delle revoche.

Anche una piccola azienda deve tracciare e rivedere gli accessi?

Sì, in misura adeguata alla propria realtà. Non serve la complessità di una grande impresa, ma serve sapere chi accede a cosa e poter intervenire rapidamente quando i permessi non sono più necessari.