Data Governance & Regulatory Compliance

Il panorama normativo che impatta la gestione dei dati nelle PMI italiane si è trasformato radicalmente tra il 2024 e il 2026, passando da un singolo regolamento (GDPR) a un ecosistema di obblighi interconnessi.

GDPR e gestione dei dati personali. Dopo la fase iniziale di adeguamento formale (informative, cookie banner, registri del trattamento), le PMI italiane si trovano ora di fronte alla sfida dell’implementazione tecnica effettiva. Il diritto alla cancellazione (art. 17) richiede la capacità di identificare e rimuovere i dati personali di un interessato da tutti i sistemi in cui risiedono, gestionale, CRM, e-commerce, backup, archivi email, database di analytics. Senza una mappa dei dati (data inventory) che documenti dove risiedono i dati personali, con quale base giuridica e per quanto tempo devono essere conservati, ogni richiesta di cancellazione diventa un esercizio manuale di ricerca attraverso decine di sistemi, con il rischio concreto di omettere una copia e violare il regolamento. Il Garante per la protezione dei dati personali ha intensificato le attività ispettive, con sanzioni che per le PMI raggiungono decine di migliaia di euro per singolo provvedimento.

EU Data Act (Reg. 2023/2854). Applicabile dal 12 settembre 2025, introduce obblighi sull’accesso e la condivisione dei dati generati da prodotti connessi e servizi correlati. Per le PMI manifatturiere che producono dispositivi IoT, macchinari connessi o che utilizzano servizi cloud, il Data Act impone la capacità di rendere accessibili i dati generati dai propri prodotti agli utenti e, in determinate circostanze, a terze parti. Questo richiede un’infrastruttura di governance che documenti quali dati vengono generati, dove vengono archiviati, in quale formato e con quali modalità di accesso.

CSRD e reportistica ESG. La Corporate Sustainability Reporting Directive ha esteso l’obbligo di reportistica di sostenibilità: in Italia, il numero di aziende obbligate è passato da 200 a circa 5.000. Anche le PMI non direttamente in perimetro sono impattate indirettamente: i clienti corporate soggetti a CSRD richiedono ai propri fornitori dati su emissioni (Scope 3), pratiche lavorative, governance e supply chain. La raccolta di questi dati richiede un’infrastruttura strutturata, non è possibile rispondere a un questionario ESG con dati affidabili se questi sono distribuiti in fogli Excel non versionati e non tracciabili. Gli standard ESRS (European Sustainability Reporting Standards), pur in fase di semplificazione (riduzione del 61% dei datapoint obbligatori nella revisione 2025), richiedono comunque dati strutturati, tracciabili e auditabili.

D.Lgs. 128/2024. Introduce l’obbligo di pubblicazione sui siti web aziendali di informazioni relative all’imposta sul reddito e ad altri dati societari, ampliando ulteriormente il perimetro delle informazioni che devono essere gestite in modo strutturato e accessibile.

Sul piano tecnico, la sfida per le PMI è che queste normative presuppongono capacità infrastrutturali, data catalog, lineage, access control, audit trail, che nella maggior parte dei casi non esistono. I dati sono distribuiti in silos applicativi senza documentazione, senza ownership definita, senza tracciabilità degli accessi, e senza processi formali per la creazione, modifica o cancellazione dei dati master.