GDPR italiano: 99 articoli aggiornati al 1 aprile 2026
Il testo integrale del Regolamento UE 2016/679 (GDPR), con i 99 articoli sulla protezione dei dati personali, consultabili per numero e argomento. Il Regolamento generale sulla protezione dei dati è stato adottato dal Parlamento europeo e dal Consiglio il 27 aprile 2016 ed è applicabile in tutti gli Stati membri dal 25 maggio 2018. Il testo ufficiale, in tutte le lingue dell'Unione, è pubblicato su EUR-Lex.
Cos'è il GDPR
Il Regolamento Generale sulla Protezione dei Dati (acronimo inglese GDPR, General Data Protection Regulation) è il Regolamento UE 2016/679 adottato dal Parlamento europeo e dal Consiglio dell'Unione europea il 27 aprile 2016, pubblicato sulla Gazzetta Ufficiale dell'UE il 4 maggio 2016 ed entrato in applicazione diretta in tutti gli Stati membri il 25 maggio 2018. In quanto regolamento europeo, non richiede recepimento nazionale e ha efficacia immediata e uniforme in tutta l'Unione.
Il GDPR disciplina il trattamento dei dati personali delle persone fisiche, sia da parte di organizzazioni private che pubbliche, stabilendo diritti degli interessati, obblighi dei titolari e dei responsabili del trattamento, regole per il trasferimento internazionale dei dati e un sistema sanzionatorio particolarmente rigoroso, con sanzioni amministrative pecuniarie che possono raggiungere i 20 milioni di euro o il 4% del fatturato mondiale annuo.
Strutturalmente, il Regolamento si articola in 99 articoli preceduti da 173 considerando, che costituiscono la cornice interpretativa fondamentale. Gli articoli sono organizzati in undici capi: il Capo I fissa le disposizioni generali e le definizioni; il Capo II enuncia i principi applicabili al trattamento; i Capi III e IV disciplinano rispettivamente i diritti degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione) e gli obblighi di titolari e responsabili; i Capi V e VI regolano i trasferimenti verso paesi terzi e le autorità di controllo; i Capi VII e VIII riguardano cooperazione, coerenza e mezzi di ricorso; i Capi IX, X e XI contengono disposizioni su specifiche situazioni di trattamento, atti delegati e disposizioni finali.
L'ambito di applicazione è territoriale e materiale: si applica a qualsiasi organizzazione stabilita nell'UE o che tratti dati di persone fisiche presenti nell'UE, indipendentemente dal luogo in cui il trattamento avviene. Sono esclusi i trattamenti relativi ad attività al di fuori del diritto UE, alla sicurezza nazionale e alle attività puramente personali o domestiche.
Come consultare il codice
Sul sito puoi navigare i 99 articoli del GDPR attraverso la struttura gerarchica per capi, oppure accedere direttamente a un articolo specifico digitandone il numero nella barra di ricerca. Ogni articolo è visualizzato con rubrica, testo integrale e, ove disponibile, riferimento ai considerando correlati.
Per consultare il testo ufficiale consolidato è possibile fare riferimento a EUR-Lex, il portale istituzionale del diritto dell'Unione europea, che pubblica la versione vigente del Reg. UE 2016/679. Per le disposizioni nazionali di adeguamento al GDPR, il riferimento principale è il D.Lgs. 196/2003 (Codice della Privacy), come modificato dal D.Lgs. 101/2018, disponibile su Normattiva.
Si consiglia di affiancare la lettura degli articoli a quella dei considerando, che il legislatore europeo ha redatto con funzione esplicativa e che le autorità di controllo e i tribunali utilizzano sistematicamente nell'interpretazione delle norme.
Riforme e aggiornamenti recenti
Il GDPR è applicabile in tutti gli Stati membri dell'Unione europea dal 25 maggio 2018, data che ha segnato il superamento della Direttiva 95/46/CE in materia di protezione dei dati personali. In Italia, il D.Lgs. 10 agosto 2018, n. 101 ha adeguato il Codice della Privacy (D.Lgs. 196/2003) alle prescrizioni del Regolamento, abrogando e modificando numerose disposizioni nazionali previgenti.
Dopo l'entrata in applicazione, il quadro interpretativo del GDPR è in costante evoluzione grazie all'attività dell'European Data Protection Board (EDPB), il comitato che riunisce tutte le autorità di controllo europee. L'EDPB ha adottato numerose linee guida vincolanti e raccomandazioni su temi quali: il calcolo delle sanzioni, il concetto di legittimo interesse, le cookie e i meccanismi di consenso, i trasferimenti internazionali di dati verso paesi terzi (con particolare riferimento alle decisioni di adeguatezza e alle clausole contrattuali standard aggiornate nel 2021), la portabilità dei dati e il riconoscimento facciale.
Il Garante per la protezione dei dati personali italiano ha emesso nel corso degli anni successivi al 2018 numerosi provvedimenti di rilievo, tra cui sanzioni a grandi operatori del settore digitale e linee guida specifiche per settori come la sanità, il lavoro, il marketing e la pubblica amministrazione. Tali provvedimenti, pur non modificando il testo del Regolamento, costituiscono un'importante fonte di interpretazione autentica per chiunque debba applicare il GDPR nel contesto italiano.
Si segnala infine che a livello europeo è in discussione la possibile evoluzione del quadro normativo in materia di dati, con atti come il Data Act e il Data Governance Act che si affiancano — senza sostituirlo — al GDPR, delineando un ecosistema normativo europeo sui dati in continua espansione.
Domande frequenti
Quanti articoli ha il GDPR?
Il Regolamento UE 2016/679 (GDPR) è composto da 99 articoli, organizzati in undici capi. A questi si affiancano 173 considerando, che non hanno valore normativo diretto ma svolgono una funzione interpretativa fondamentale e sono costantemente richiamati da autorità di controllo e giurisprudenza.
Da quando è in vigore il GDPR in Italia?
Il GDPR è diventato direttamente applicabile in Italia — come in tutti gli Stati membri dell'Unione europea — il 25 maggio 2018. In quanto regolamento europeo, non ha richiesto recepimento nazionale: il D.Lgs. 101/2018 ha invece adeguato il preesistente Codice della Privacy italiano alle nuove disposizioni.
Dove trovare il testo ufficiale e aggiornato del GDPR?
Il testo ufficiale del Regolamento UE 2016/679 è pubblicato su EUR-Lex, il portale del diritto dell'Unione europea, in tutte le lingue ufficiali. Su questo sito è consultabile il testo integrale dei 99 articoli in lingua italiana. Per le disposizioni nazionali italiane di attuazione, il riferimento è il portale Normattiva.
Qual è la differenza tra titolare e responsabile del trattamento nel GDPR?
Ai sensi dell'articolo 4 GDPR, il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento; il responsabile del trattamento è invece il soggetto che tratta dati per conto del titolare. Il loro rapporto deve essere regolato da un contratto scritto (DPA), disciplinato dall'articolo 28 del Regolamento.
Quali sono le sanzioni previste dal GDPR?
L'articolo 83 GDPR prevede due livelli di sanzione: fino a 10 milioni di euro o il 2% del fatturato mondiale per violazioni di obblighi organizzativi (es. mancata nomina del DPO, assenza di registri); fino a 20 milioni di euro o il 4% del fatturato per violazioni dei principi fondamentali, dei diritti degli interessati o delle basi giuridiche del trattamento.
Il GDPR si applica anche alle piccole imprese e ai professionisti?
Sì. Il GDPR si applica a qualsiasi soggetto — imprese di ogni dimensione, professionisti, associazioni, enti pubblici — che tratti dati personali nell'ambito di attività professionali o commerciali. Alcune disposizioni, come la tenuta del registro dei trattamenti, prevedono tuttavia esenzioni per organizzazioni con meno di 250 dipendenti, salvo specifiche condizioni indicate all'articolo 30.
Cos'è il DPO e quando è obbligatorio nominarlo?
Il DPO (Data Protection Officer), disciplinato dall'articolo 37 GDPR, è la figura incaricata di sorvegliare la conformità al Regolamento. La sua nomina è obbligatoria per le autorità pubbliche, per chi svolge monitoraggio sistematico degli interessati su larga scala e per chi tratta su larga scala categorie particolari di dati. Può essere un dipendente interno o un consulente esterno.
Cosa si intende per 'dato personale' secondo il GDPR?
L'articolo 4, punto 1, del GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Rientrano in questa definizione non solo nome e indirizzo, ma anche indirizzi IP, dati di localizzazione, identificatori online, e qualsiasi altro elemento che, anche indirettamente, consenta di risalire all'identità di una persona.