La GDPR (General Data Protection Regulation) è il regolamento europeo 2016/679, operativo dal 25 maggio 2018, che stabilisce norme rigorose per la protezione dei dati personali nell’Unione europea. L’obiettivo principale è garantire che ogni individuo recuperi il controllo sui propri dati personali, rendendo omogenea la normativa in tutti gli Stati membri e imponendo oneri significativi alle aziende che gestiscono tali dati, anche se operano fuori dall’UE.

La GDPR definisce i “dati personali” in modo molto esteso: includono non solo nome, cognome o email, ma anche ID online come cookie e indirizzi IP, dati biometrici, genetici, sanitari, persino una combinazione di informazioni apparentemente innocue che possono identificare una persona. Introduce il concetto di Accountability, ossia la responsabilità attiva del titolare del trattamento di dimostrare la conformità normativa.

I principi alla base della GDPR

Secondo l’articolo 5, il trattamento dei dati deve essere rispettoso di sette principi fondamentali: liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, accuratezza, conservazione limitata, integrità e riservatezza, e responsabilizzazione. Tali principi impongono che i dati siano raccolti per scopi specifici, strettamente necessari, aggiornati, mantenuti per il tempo minimo e protetti mediante adeguate misure tecniche e organizzative.

Diritti individuali rafforzati

La GDPR garantisce agli individui una serie di diritti: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione e contro le decisioni automatizzate . I tempi di risposta alle richieste sono ragionevoli: generalmente 30 giorni, ridotti a 14 per le richieste di cancellazione . Il “diritto alla portabilità” permette di richiedere una copia dei propri dati in formato strutturato e trasferirli altrove.

Sicurezza dei dati e gestione delle violazioni

L’articolo 32 impone che i dati siano protetti con misure appropriate (pseudonimizzazione, crittografia, backup, resilienza). In caso di violazione (data breach), il titolare deve notificare l’autorità di controllo entro 72 ore e, se ci sono rischi elevati per i diritti personali, informare direttamente gli interessati.

Trasferimenti internazionali

Qualora i dati siano trasferiti fuori dall’UE, è necessaria una “decisione di adeguatezza” da parte della Commissione, accordi vincolanti o clausole standard. Nel 2025, Paesi come Canada, Svizzera, Giappone, UK, Stati Uniti rientrano nell’elenco con decisioni di adeguatezza.

Sanzioni severe

Le violazioni dei principi di base, del consenso o dei diritti degli interessati possono portare sanzioni fino a 4% del fatturato globale o €20 milioni. Le autorità di controllo hanno poi poteri esecutivi come ammonimenti, divieti o ingiunzioni. Nel 2025, l’applicazione delle norme è ancora rigorosa, con ispezioni in corso e multe in aumento.

Novità e adeguamenti 2025

Nel 2025 la GDPR è stata oggetto di revisione per semplificare alcuni obblighi alle PMI, soprattutto in relazione alla tenuta dei registri di trattamento . Allo stesso tempo, il concetto di consenso è stato rafforzato, con requisiti più stringenti . Si è data anche maggiore attenzione ai processi decisionali automatizzati e all’intelligenza artificiale, oltre a un allineamento con leggi complementari come Data Act e NIS2 .

Restano in vigore le sanzioni e le indagini, e le autorità europee non hanno ridotto la loro attività di controllo e enforcement.

Il caso di Betsson: integrazione della GDPR nel portale

Betsson Group, operatore globale di piattaforme gaming e scommesse, ha adottato un approccio strutturato alla compliance normativa, con policy, formazione interna e controlli sistematici. Ogni dipendente viene formato su GDPR, anti-money laundering e sicurezza informatica .

Sul sito ufficiale, la sezione Privacy Policy spiega in modo trasparente:

• Chi è il titolare (BML Group Ltd, Malta)
  
• Quali dati vengono raccolti (identificativi, finanziari, tecnici e di uso)
  
• Finalità del trattamento (es. verifica età, prevenzione frodi, comunicazioni, marketing, adempimenti legali)
  
• Base giuridica (esecuzione contrattuale, consenso, obblighi normativi)
  
• Tipologie di destinatari, compresi paesi terzi dotati di adeguata protezione
  
• Periodo di conservazione dei dati
  
• Diritti dell’utente e modalità per esercitarli

L’utente trova link attivi per sottrarre o modificare il proprio consenso alle comunicazioni di marketing e accede a meccanismi chiari per esercitare i diritti GDPR. Il principio di Privacy by design è applicato nella piattaforma: le impostazioni sui cookie risultano pre-selezionate al livello più protettivo, e l’espressa accettazione è necessaria per abilitare tracking o profilazione.

Betsson usa protocolli tecnici di sicurezza, come crittografia dei dati, e definisce procedure specifiche per la gestione delle violazioni (data breach), incluse notifiche tempestive alle autorità e potenziali interessati, in linea con l’articolo 33 della GDPR .

Perché la GDPR conviene anche alle aziende

Se da una parte l’adeguamento alla GDPR richiede investimenti in policy, formazione, implementazione di sistemi e adeguamenti organizzativi, dall’altra rappresenta un valore: responsabilità legale, riduzione dei rischi da cyber attacchi, maggiore fiducia da parte dei clienti e miglior reputazione, soprattutto per operatori internazionali attentivi alla privacy.

In molti settori, specialmente nell’online gaming o nei servizi digitali rivolti all’UE, la GDPR è una barriera d’ingresso: dimostrare compliance è una carta in più per affermarsi nei mercati europei ed extraeuropei.