Maria Spanò gestisce un'agenzia di pratiche assicurative a Catanzaro, 8 dipendenti, clienti che entrano ogni giorno con documenti sensibilissimi: carte d'identità, codici fiscali, dati sanitari. Quando un consulente privacy le ha chiesto come gestiva questi dati dentro il gestionale, Maria non sapeva rispondere. Il sistema era attivo da cinque anni. Nessuno aveva mai configurato permessi, log di accesso o cancellazione automatica dei dati scaduti. Stava usando un ERP come se fosse un quaderno cartaceo.

🔍 Il problema vero: la compliance GDPR si fa prima, non dopo

La maggior parte delle PMI scopre di avere un problema GDPR solo quando arriva un audit, una segnalazione o, nei casi peggiori, una notifica del Garante. A quel punto, si corre ai ripari: si chiamano consulenti, si modificano i sistemi, si spende tempo e denaro per sistemare qualcosa che poteva essere fatto bene fin dall'inizio.

Il concetto di privacy by design nasce proprio da questa logica: invece di aggiungere protezione dei dati a un sistema già esistente, la costruisci dentro il sistema dal primo giorno. Non è una trovata teorica — è un obbligo del GDPR stesso, sancito dall'articolo 25 del Regolamento europeo. Se hai un ERP che gestisce dati personali di clienti, fornitori o dipendenti, quella piattaforma deve essere configurata per proteggere i dati per impostazione predefinita.

Il problema è che quasi nessuno lo fa. E chi vende il gestionale di solito non lo dice.

⚠️ Cosa rischi con un ERP configurato male

Un ERP non è solo un problema tecnico: è un problema legale. Quando nel tuo gestionale ci sono dati personali — e ce ne sono sempre — sei il responsabile del trattamento. Questo significa che:

• ⚠️ Se un dipendente accede a dati a cui non dovrebbe, sei tu che rispondi
• ⚠️ Se conservi dati più a lungo del necessario, sei in violazione
• ⚠️ Se non sai chi ha modificato un record e quando, non hai il registro delle attività richiesto dalla normativa
• ⚠️ Se subisci un data breach e non riesci a dimostrare le misure adottate, le sanzioni si moltiplicano

Le sanzioni del Garante per le PMI non arrivano quasi mai ai massimi teorici, ma anche una multa da 10.000-20.000 euro è sufficiente a mettere in crisi i conti di una piccola impresa. Senza contare il danno reputazionale.

📊 Scenario 1: la falegnameria di Locri che ha evitato 15.000 euro di sanzioni

Francesco Tramontana, titolare di una falegnameria artigianale a Locri con 14 dipendenti, aveva un gestionale per ordini e contabilità. Dentro c'erano dati di clienti privati, contratti con fornitori e le buste paga dei dipendenti. Accedevano tutti allo stesso modulo, con la stessa password condivisa.

Dopo una consulenza con un nostro tecnico IT, è emerso che:

• Nessun log di accesso era attivo: impossibile sapere chi aveva toccato cosa
• I dati di clienti inattivi da oltre 10 anni erano ancora nel sistema, mai cancellati
• Le buste paga erano visibili a chiunque avesse accesso al gestionale

Intervenendo prima di un eventuale audit — riconfigurando i profili utente, attivando i log, impostando la retention automatica dei dati e separando l'accesso alle informazioni sensibili dei dipendenti — Francesco ha messo il sistema in regola in circa tre settimane di lavoro tecnico.

Il conto: circa 1.800 euro di consulenza e configurazione.
L'alternativa: una sanzione stimata tra 8.000 e 15.000 euro in caso di ispezione, più i costi di adeguamento forzato in tempi brevissimi.

📊 Scenario 2: il centro medico di Cosenza e i dati sanitari nel cassetto sbagliato

Un piccolo centro diagnostico a Cosenza, 6 professionisti sanitari e 4 amministrativi, usava un gestionale per prenotazioni e referti. I dati sanitari — categoria particolarmente protetta dal GDPR — erano accessibili anche al personale di front office che non aveva nessun motivo clinico per vederli.

Dopo un incidente interno (un dipendente aveva condiviso per errore un referto sbagliato con un paziente), il titolare ha deciso di intervenire strutturalmente.

Prima della riconfigurazione:

• 10 utenti con accesso indifferenziato a tutto il sistema
• Nessuna pseudonimizzazione dei dati nei report di riepilogo
• Backup non cifrati su un server locale senza accesso controllato
• Tempo per produrre un report sugli accessi in caso di audit: non possibile

Dopo la riconfigurazione:

• 4 profili di accesso distinti per ruolo (clinico, amministrativo, reception, direzione)
• Log automatici su ogni accesso a dati sanitari
• Backup cifrati con rotazione automatica e accesso tracciato
• Tempo per produrre un report di accesso: meno di 10 minuti

Il centro ha anche scoperto, durante il lavoro di mappatura, che conservava referti di pazienti deceduti risalenti a oltre 12 anni prima — dati che avrebbero dovuto essere cancellati o anonimizzati molto prima.

Questo è un caso dove avere un tecnico IT di riferimento fa davvero la differenza: non perché sia complicato tecnicamente, ma perché bisogna sapere cosa cercare dentro un gestionale per trovare i punti di rischio che non si vedono dall'interfaccia utente.

🔧 Cosa guardare in un ERP prima di sceglierlo (o prima di usarlo meglio)

Se stai valutando un nuovo gestionale, o vuoi capire se quello che hai è configurabile in modo conforme, questi sono gli elementi concreti da verificare:

• 🔧 Gestione dei profili utente: puoi definire chi vede cosa? Ogni dipendente dovrebbe accedere solo ai moduli e ai dati necessari per il suo ruolo
• 🔧 Log di accesso e modifiche: il sistema registra chi accede, quando e cosa ha cambiato? Senza questo, in caso di incidente non hai prove
• 🔧 Retention automatica dei dati: puoi impostare cancellazioni o anonimizzazioni automatiche dopo un certo periodo?
• 🔧 Cifratura dei dati sensibili: i dati sono cifrati a riposo e in transito? Questo vale doppio per dati sanitari o finanziari
• 🔧 Export e portabilità: riesci a estrarre i dati di un singolo cliente in formato leggibile? Il GDPR prevede il diritto alla portabilità
• 🔧 Pseudonimizzazione nei report: i report di analisi possono essere generati senza esporre dati identificativi inutilmente?

Questi non sono optional. Sono requisiti minimi per un sistema che tratta dati personali nel 2026.

💡 Privacy by design non è un costo: è un risparmio

L'errore più comune è pensare che adeguarsi al GDPR sia un costo aggiuntivo. In realtà, configurare bene un ERP fin dall'inizio — o rimetterlo in ordine una volta sola — è quasi sempre meno costoso di qualsiasi adeguamento d'emergenza successivo.

Ci sono anche benefici operativi concreti che spesso vengono ignorati:

• Sapere chi accede a cosa riduce i rischi di errori interni e di comportamenti scorretti
• Un sistema ordinato è più facile da aggiornare e da integrare con altri strumenti
• Clienti e fornitori — soprattutto quelli più strutturati — iniziano a chiedere garanzie sulla gestione dei loro dati
• Alcune certificazioni e bandi pubblici richiedono documentazione sulla sicurezza dei dati

La conformità non è solo una protezione legale: è una componente della qualità con cui gestisci la tua impresa.

✅ Cosa puoi fare subito

1. Fai un inventario di chi accede al tuo gestionale: elenca tutti gli utenti attivi e i loro permessi. Troverai quasi sempre accessi aperti che non hanno più senso — dipendenti che hanno cambiato ruolo, ex collaboratori mai disattivati, password condivise.
2. Verifica se il tuo ERP ha i log attivi: entra nelle impostazioni di sistema e controlla se è attivo un registro delle attività. Se non sai dove trovarlo, è già un segnale che serve una mano tecnica.
3. Mappa i dati personali che hai dentro: fai una lista di quali categorie di dati personali sono nel sistema — clienti, fornitori, dipendenti, pazienti se sei in ambito sanitario. Questo è il punto di partenza per capire il tuo livello di rischio reale.
4. Controlla da quando conservi i dati più vecchi: molti gestionali non cancellano mai nulla. Cerca i clienti o contatti più datati: se risalgono a più di 10 anni fa e non hai un motivo legale per tenerli, stai già violando i principi di minimizzazione dei dati del GDPR.
5. Confrontati con un nostro tecnico IT di fiducia prima di toccare qualcosa: la configurazione dei permessi e dei log in un ERP in produzione richiede attenzione. Un'impostazione sbagliata può bloccare l'accesso di chi ne ha bisogno o, peggio, creare falle che non vedi. Questo è un passaggio dove il fai-da-te rischia di creare più problemi di quanti ne risolva.