Un invio di file conforme al GDPR è quello in cui i dati personali vengono inviati solo quando serve, protetti con misure di sicurezza adeguate come la crittografia, conservati non più del necessario e gestiti da un fornitore vincolato da un contratto sul trattamento, con ogni trasferimento fuori dallo Spazio economico europeo (SEE) coperto da una base giuridica. Il GDPR non certifica gli strumenti: fissa degli obblighi per l’organizzazione che invia i dati, e il servizio giusto rende molto più facile rispettarli.
Questa guida passa in rassegna gli articoli del Regolamento (UE) 2016/679 che si applicano quando invii file con dati personali, come curriculum, buste paga, referti medici, foto di persone o elenchi di clienti, spiega cosa aggiunge la normativa italiana e trasforma il tutto in una checklist. Sono informazioni generali aggiornate a ottobre 2026, non una consulenza legale: per il tuo caso l’ultima parola spetta al tuo DPO (responsabile della protezione dei dati) o al tuo consulente.
Quando si applica il GDPR all’invio di file?
Ogni volta che i file contengono dati personali, cioè qualsiasi informazione riguardante una persona identificabile, e la tua organizzazione è stabilita nell’UE oppure offre servizi a persone che si trovano nell’UE. Un contratto con nomi e indirizzi, un foglio Excel di clienti, la scansione di una carta d’identità, una foto in cui le persone sono riconoscibili: conta tutto. Inviarli è un «trattamento», e lo è anche l’archiviazione temporanea da parte del servizio di trasferimento.
Gli articoli del GDPR che contano per l’invio di file
| Articolo | Cosa dice, in breve | Cosa significa per i tuoi invii |
|---|---|---|
| Art. 5, par. 1, lett. c) minimizzazione dei dati | Solo dati adeguati, pertinenti e limitati al necessario | Invia solo i file e i campi che servono al destinatario |
| Art. 5, par. 1, lett. e) limitazione della conservazione | Conservati non più del necessario | Usa link con scadenza; elimina i file a lavoro finito |
| Art. 5, par. 1, lett. f) integrità e riservatezza | Sicurezza adeguata contro accessi non autorizzati o perdite | Crittografia, password, controllo degli accessi |
| Art. 5, par. 2 responsabilizzazione | Il titolare deve poter dimostrare la conformità | Documenta strumenti e regole interne |
| Art. 25 protezione dei dati fin dalla progettazione e per impostazione predefinita | Misure integrate; di default, accessibilità e conservazione limitate | Preferisci strumenti con scadenza e accesso limitato di default |
| Art. 28 responsabile del trattamento | Solo responsabili con garanzie sufficienti, vincolati da un contratto | Firma un accordo sul trattamento dei dati con il fornitore |
| Art. 32 sicurezza del trattamento | Cita la pseudonimizzazione e la cifratura tra le misure adeguate | Crittografia in transito, a riposo ed end-to-end per i dati delicati |
| Artt. 33 e 34 violazioni | Notifica all’autorità entro 72 ore se c’è un rischio; agli interessati se il rischio è elevato | Sapere cosa fare se un link arriva alla persona sbagliata |
| Artt. 44–49 trasferimenti verso paesi terzi | I dati che escono dal SEE richiedono una base, come una decisione di adeguatezza o le clausole contrattuali tipo | Verifica dove il fornitore archivia i file |
| Art. 83 sanzioni | Fino a 20 milioni di euro o al 4% del fatturato mondiale annuo per le violazioni più gravi | La posta in gioco è reale |
Il fornitore è responsabile del trattamento: il contratto conta
Quando un servizio di trasferimento archivia file per conto tuo, agisce come responsabile del trattamento (in inglese processor), mentre tu resti il titolare. L’articolo 28 ti chiede di ricorrere solo a responsabili che presentino «garanzie sufficienti» e di stipulare con loro un contratto (spesso chiamato DPA, data processing agreement) che stabilisca, tra l’altro, che il responsabile tratta i dati solo su tue istruzioni documentate, garantisce la riservatezza, protegge i dati, ricorre a sub-responsabili solo con la tua autorizzazione e consente le verifiche. Per un uso professionale, controlla che il fornitore offra queste condizioni e pubblichi l’elenco dei sub-responsabili.
Il GDPR rende obbligatoria la crittografia?
Non in assoluto: l’articolo 32 chiede una sicurezza «adeguata al rischio» e cita come esempi la pseudonimizzazione e la cifratura dei dati personali. In pratica, la crittografia è il livello minimo atteso per inviare dati personali via internet, e porta un vantaggio concreto in caso di incidente. Secondo l’articolo 34, paragrafo 3, lettera a), non devi comunicare una violazione agli interessati se i dati erano stati resi incomprensibili a chi non è autorizzato ad accedervi, «quali la cifratura».
Le linee guida sulle violazioni del Comitato europeo per la protezione dei dati (EDPB) aggiungono sfumature importanti: l’esenzione vale per dati cifrati correttamente con una chiave non compromessa, e perdere l’unica copia di dati cifrati resta comunque una violazione della disponibilità. La crittografia end-to-end, in cui nemmeno il fornitore può leggere i file, è la forma più solida; te la spieghiamo in crittografia end to end: cosa significa.
In Italia: il Codice privacy e il Garante
In Italia il GDPR si applica direttamente ed è integrato dal Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), adeguato al Regolamento dal d.lgs. 10 agosto 2018, n. 101, in vigore dal 19 settembre 2018. Il Codice non sostituisce il GDPR: ne completa l’applicazione con norme nazionali. L’autorità di controllo è il Garante per la protezione dei dati personali, che sul proprio sito pubblica anche il testo coordinato del Codice.
Per le violazioni di dati, la pagina sul data breach del Garante chiarisce come funziona in pratica:
- Come notificare: dal 1° luglio 2021 la notifica va inviata esclusivamente con un’apposita procedura telematica, sul portale dei servizi online del Garante (servizi.gpdp.it).
- Entro quando: senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza; una notifica oltre le 72 ore va accompagnata dai motivi del ritardo.
- Come valutare: il Garante mette a disposizione uno strumento di autovalutazione (self assessment) che aiuta a capire quali azioni intraprendere dopo un incidente.
- Cosa documentare: tutte le violazioni, anche quelle che non vanno notificate, per esempio in un registro apposito.
- Gli interessati: se la violazione comporta un rischio elevato, il titolare deve comunicarla alle persone coinvolte, salvo che abbia già adottato misure che ne riducono l’impatto.
Se lavori dalla Svizzera italiana, vale la Legge federale sulla protezione dei dati (LPD), in vigore nella versione rivista dal 1° settembre 2023: le violazioni vanno notificate all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il prima possibile, senza un termine fisso di 72 ore. L’UE riconosce alla Svizzera un livello di protezione adeguato, confermato nel gennaio 2024, quindi i dati possono circolare tra i due spazi.
Limitazione della conservazione: perché i link con scadenza aiutano
Una cartella condivisa che resta aperta per anni si scontra con il principio per cui i dati personali non vanno conservati più del necessario. I link di trasferimento che scadono dopo pochi giorni, con file eliminati alla scadenza, applicano l’articolo 5, paragrafo 1, lettera e), e l’articolo 25 «per impostazione predefinita», senza che nessuno debba ricordarsi di fare pulizia. Il nostro articolo sui link con password e scadenza suggerisce le durate caso per caso.
GDPR e trasferimento dati extra UE: e i fornitori americani?
Il capo V del GDPR (articoli 44–49) consente i trasferimenti fuori dal SEE solo con una base giuridica, come una decisione di adeguatezza o le clausole contrattuali tipo. Per gli Stati Uniti, la Commissione europea ha adottato il 10 luglio 2023 la decisione di adeguatezza sull’EU-US Data Privacy Framework, che copre le aziende statunitensi autocertificate. Il Tribunale dell’Unione europea ha respinto un ricorso contro la decisione il 3 settembre 2025, e a ottobre 2026 è pendente un’impugnazione davanti alla Corte di giustizia. Il quadro è valido oggi, ma la sua storia (due accordi precedenti sono stati annullati) spiega perché molte organizzazioni preferiscono fornitori che tengono i dati in Europa.
Invia dati personali con meno pensieri
Archiviazione in Europa di default, con data di scadenza, password e crittografia end-to-end anche nel piano gratuito.
Checklist: come scegliere un servizio di invio file conforme al GDPR
- Un’informativa sulla privacy chiara e condizioni sul trattamento dei dati (DPA) per i clienti business, con l’elenco dei sub-responsabili.
- Luogo di archiviazione dichiarato, idealmente nel SEE, oppure un meccanismo di trasferimento valido.
- Crittografia in transito e a riposo, e crittografia end-to-end disponibile per i file delicati.
- Date di scadenza con eliminazione automatica, password e limiti di download.
- Controllo degli accessi lato mittente: autenticazione a due fattori, ruoli per il team.
- Un modo per eliminare subito un trasferimento finito alla persona sbagliata.
Checklist: come usarlo nel rispetto del GDPR
Passo 1
Riduci al minimo
Invia solo i documenti e i dati che servono al destinatario; oscura il resto.
Passo 2
Proteggi
Usa una password comunicata su un altro canale, e la crittografia end-to-end per le categorie particolari di dati (per esempio quelli sulla salute) o i documenti d’identità.
Passo 3
Limita nel tempo
Scegli una scadenza breve e un limite di download pari al numero dei destinatari.
Passo 4
Controlla il destinatario
Verifica l’indirizzo: le email inviate alla persona sbagliata sono una classica fonte di violazioni.
Passo 5
Fai pulizia
Elimina le copie locali e gli allegati inviati che non ti servono più.
Passo 6
Documenta
Inserisci lo strumento nel registro delle attività di trattamento e tieni la regola interna breve e conosciuta da tutti.
Se un file arriva alla persona sbagliata
Revoca subito il link, controlla se i file sono stati scaricati e valuta il rischio per le persone coinvolte. Se la violazione può comportare un rischio per i loro diritti e le loro libertà, l’articolo 33 impone di notificarla all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore; in Italia tramite la procedura telematica del Garante. Una proposta della Commissione europea (il «Digital Omnibus», novembre 2025) cambierebbe queste regole, tra l’altro con un termine di 96 ore, ma a ottobre 2026 non era stata adottata. La nostra checklist per inviare file in modo sicuro si concentra sulla prevenzione.
Situazioni frequenti
| Situazione | Rischio principale | Configurazione consigliata |
|---|---|---|
| Ufficio del personale che invia buste paga o contratti | Destinatario sbagliato, copie che restano in giro | Password, scadenza breve, un solo download |
| Studio legale che scambia fascicoli | Riservatezza | Crittografia end-to-end e password; vedi studi legali |
| Fotografo che consegna ritratti | Immagini di persone riconoscibili | Password e scadenza |
| Scuola che condivide i lavori degli studenti | Dati di minori | Destinatari limitati, scadenza breve; vedi scuole e formazione |
| Raccolta di documenti d’identità dai clienti | Documenti delicati nelle caselle email | Richiesta di file con password; vedi ricevere file dai clienti |
Per le misure tecniche in dettaglio, vedi anche la pagina sul trasferimento file sicuro e quella sulla crittografia end-to-end di Transfr.
Invia file pesanti gratis
- Fino a 100 GB per trasferimento
- Nessun account richiesto
- Crittografato e ospitato in Europa