---------------------------
Title: Privacy by design e by default: differenze, esempi e obblighi GDPR
URL: https://usercentrics.com/it/knowledge-hub/privacy-by-design-by-default/
---------------------------

# Privacy by design e by default: differenze, esempi e obblighi GDPR

Cosa si intende per privacy by design e privacy by default: qual è la differenza e come applicarle in azienda. Una guida pratica all'art. 25 GDPR.

### In sintesi

- La privacy by design integra la protezione dei dati in prodotti, sistemi e processi fin dalla fase di progettazione, lungo tutto il ciclo di vita del dato.
- La privacy by default garantisce che le impostazioni predefinite siano le più protettive: l'utente è tutelato anche senza intervenire.
- Il concetto nasce negli anni '90 con Ann Cavoukian e i suoi sette principi fondativi, poi recepiti dal GDPR.
- L'art. 25 GDPR rende entrambi i principi obbligatori: il titolare deve adottare “misure tecniche e organizzative adeguate” e saperlo dimostrare.
- Esempi pratici: cookie banner con tasti “rifiuta” equivalenti ad “accetta”, moduli che richiedono solo i dati necessari, pseudonimizzazione, tempi di conservazione dei dati definiti.
- Il Garante ha sanzionato più volte la violazione dell'art. 25: la privacy by design è un rischio concreto, non solo teoria.

Per privacy by design si intende integrare la protezione dei dati personali in prodotti, sistemi e processi fin dalla progettazione, non aggiungerla dopo. Per privacy by default si intende che le impostazioni più protettive per l'utente devono essere attivate automaticamente, senza bisogno di configurazione manuale. Entrambi i principi sono obblighi di legge per il titolare del trattamento ai sensi dell'art. 25 GDPR (“Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita”).

## **Cosa significa privacy by design?**

Privacy by design (in italiano “protezione dei dati fin dalla progettazione”) significa che la protezione dei dati personali diventa parte di come un'azienda costruisce la propria offerta, non qualcosa da aggiungere a posteriori. Invece di chiedersi “come rendiamo conforme questo prodotto ormai finito?”, ci si chiede “come lo progettiamo perché rispetti la privacy?” fin dalla prima riunione.

Il concetto non riguarda solo la tecnologia: abbraccia processi organizzativi, pratiche di business e, dove rilevante, persino l'infrastruttura fisica. E non è un adempimento una tantum: accompagna il dato personale per tutto il suo ciclo di vita, dalla pianificazione allo sviluppo, dal lancio agli aggiornamenti successivi.

L'idea nasce negli anni '90 grazie ad Ann Cavoukian, allora Information and Privacy Commissioner dell'Ontario (Canada), che la formalizzò in 7 principi fondativi:

### Proattivo, non reattivo; preventivo, non correttivo:

anticipare e prevenire i rischi privacy prima che si verifichino, invece di rimediare dopo.

### Privacy come impostazione predefinita

raccogliere il minimo necessario e proteggere i dati automaticamente, senza richiedere azioni all’utente.

### Privacy incorporata nella progettazione

la protezione dei dati è parte integrante del sistema, non uno livello aggiuntivo che si può rimuovere.

### Piena funzionalità — somma positiva, non somma zero

niente falsi compromessi tra privacy e funzionalità o user experience; un buon design offre entrambe.

### Sicurezza end-to-end — protezione per tutto il ciclo di vita

dal momento della raccolta fino alla cancellazione sicura.

### Visibilità e trasparenza

pratiche e tecnologie devono essere verificabili; niente scatole nere.

### Rispetto per la privacy dell'utente — centralità della persona

impostazioni predefinite protettive, informazioni chiare, controlli comprensibili.

Questi principi sono poi confluiti nel GDPR, che li ha trasformati da buona pratica a obbligo giuridico.

## **Cosa significa privacy by default?**

Privacy by default (“protezione per impostazione predefinita”) è il principio per cui, in qualsiasi prodotto o servizio, le impostazioni attive di default devono essere le più protettive per l'interessato. L'utente deve essere tutelato anche se non apre mai il menu delle impostazioni.

In base all'art. 25, par. 2, GDPR, per impostazione predefinita devono essere trattati solo i dati personali necessari per ciascuna specifica finalità. Il principio si applica a quattro dimensioni: la quantità di dati raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità dei dati. In particolare, i dati non devono essere resi accessibili a un numero indefinito di persone senza l'intervento attivo dell'interessato.

## **Privacy by design e by default: qual è la differenza?**

I due principi lavorano insieme ma rispondono a domande diverse: il design costruisce le protezioni, il default decide come sono configurate all'inizio. Entrambi sono necessari: la progettazione rende possibile la protezione, l'impostazione predefinita garantisce che protegga davvero chiunque, anche l'utente che non tocca mai le impostazioni.

**Privacy by design****Privacy by default****Cos'è**Il framework generale: integrare la protezione dei dati in prodotti, sistemi e processi fin dalla progettazioneIl principio specifico: le impostazioni più protettive sono attive automaticamente**Quando agisce**Lungo tutto il ciclo di vita: pianificazione, sviluppo, lancio, aggiornamentiNel momento in cui l'utente inizia a usare il prodotto o servizio**Domanda a cui risponde**“Come costruiamo questo rispettando la privacy?”“Cosa succede se l'utente non configura nulla?”**Esempio**Un'app progettata con controlli granulari sulla condivisione dei datiQuei controlli impostati sull'opzione più restrittiva al primo utilizzo**Base giuridica**Art. 25, par. 1, GDPRArt. 25, par. 2, GDPR

## **Cosa dice l'art. 25 GDPR**

Con il GDPR, privacy by design e by default non sono più buone pratiche volontarie: l'art. 25 le rende un obbligo giuridico del titolare del trattamento, strettamente legato al principio di accountability (responsabilizzazione).

Il titolare deve mettere in atto **“misure tecniche e organizzative adeguate”** in due momenti: quando determina i mezzi del trattamento (cioè in fase di progettazione) e durante il trattamento stesso. Nella scelta delle misure deve tenere conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.

L'art. 25 non impone misure specifiche, ma richiede che le misure scelte siano efficaci nell'attuare i principi dell'art. 5 GDPR (liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, responsabilizzazione) e che il titolare sia in grado di dimostrarlo. La valutazione non è una tantum: va ripetuta man mano che prodotto, tecnologie e rischi evolvono.

Due precisazioni utili per DPO e responsabili:

- **L'obbligo ricade sul titolare**, anche quando usa software o sistemi di fornitori esterni: scegliere fornitori che permettono configurazioni conformi alle normative fa parte dell'obbligo stesso.
- **La violazione dell'art. 25 è sanzionabile** ai sensi dell'art. 83, par. 4, GDPR.

> **Nota:** per inquadrare l’art. 25 nel contesto complessivo del regolamento, leggi la nostra guida al [GDPR spiegato in dettaglio](https://usercentrics.com/it/knowledge-hub/gdpr-spiegato-in-dettaglio/).

## **Esempi pratici per siti web e app**

Come si traducono questi principi nella pratica quotidiana di chi gestisce un sito o un'app? Ecco gli esempi più concreti.

**Cookie banner con pulsante “rifiuta” equivalente ad “accetta”.** Le Linee guida cookie del Garante richiedono che rifiutare i cookie debba essere semplice quanto accettarli: il banner deve offrire un pulsante di rifiuto evidente quanto il pulsante di accettazione, senza caselle preselezionate e lo scrolling non può essere considerato come consenso valido.

**Minimizzazione nei moduli.** Un e-commerce deve richiedere l'indirizzo di spedizione solo al momento dell'acquisto, non alla registrazione; un form di contatto deve richiedere solo nome ed e-mail, non un contatto telefonico o la data di nascita. Ogni campo deve avere una finalità e una base giuridica.

**Impostazioni predefinite protettive.** Profili non pubblici di default, geolocalizzazione disattivata, notifiche marketing non preselezionate, condivisione dati con terze parti disattivata finché l'utente non sceglie diversamente.

**Pseudonimizzazione e cifratura.** L'art. 25 cita espressamente la pseudonimizzazione come esempio di misura tecnica: separare i dati identificativi dal resto, cifrare i dati in transito e a riposo, limitare gli accessi interni in base al ruolo.

**Conservazione limitata by design.** Tempi di conservazione definiti per ogni categoria di dati e cancellazione (o anonimizzazione) automatica alla scadenza, invece di database che crescono indefinitamente.

## Il consenso conforme alle normative parte dal design del banner

Usercentrics CMP ti permette di configurare banner conformi alle normative.

## **Come applicare la privacy by design in azienda: 6 passi**

### Mappa i trattamenti

Censisci quali dati personali raccogli, dove, con quali strumenti, per quali finalità e con quali basi giuridiche. Senza una mappatura aggiornata (il registro dei trattamenti è il punto di partenza) non è possibile nessuna progettazione.

### Valuta i rischi e fai la DPIA quando serve

Per i trattamenti che possono presentare un rischio elevato per i diritti e le libertà delle persone, l’art. 35 GDPR richiede una valutazione d’impatto sulla protezione dei dati (DPIA). Anche quando non è obbligatoria, una valutazione dei rischi in fase di progettazione è alla base della privacy by design.

### Scegli fornitori che permettono la conformità

CMS, strumenti di analytics, piattaforme di marketing: l’obbligo dell’art. 25 resta tuo anche quando il software è di altri. Verifica che i fornitori offrano configurazioni conformi, accordi di trattamento dati e garanzie adeguate.

### Implementa una CMP

Una piattaforma per la gestione del consenso (CMP) applica la privacy by design e by default al punto più visibile del tuo sito: blocca i tracker prima del consenso, presenta opzioni equivalenti, registra le scelte. Per approfondire i requisiti di un consenso valido, consulta la nostra guida al consenso.

### Documenta le decisioni

L’accountability richiede di poter dimostrare le scelte fatte: perché quei dati, perché quelle misure, perché quei tempi di conservazione. Registro dei trattamenti, DPIA, log dei consensi e policy interne sono essenziali in caso di ispezione.

### Forma le persone

La privacy by design coinvolge sviluppo, prodotto, marketing, supporto, non solo l’ufficio legale. Una formazione periodica evita che le buone scelte di progettazione vengano vanificate dall’operatività quotidiana. Per un percorso completo, parti da come implementare il GDPR.

## **Sanzioni e casi del Garante**

La violazione dell'art. 25 non è un rischio teorico: il Garante per la protezione dei dati personali la contesta con regolarità, spesso insieme ad altre violazioni.

Qualche esempio.

- Nel 2021 il Garante ha colpito la gestione algoritmica dei rider sanzionando Foodinho (Glovo) per 2,6 milioni di euro e Deliveroo per 2,5 milioni, contestando tra l'altro la violazione dei principi di privacy by design e by default e della minimizzazione fin dalla progettazione.
- Nello stesso anno, l'Aeroporto Guglielmo Marconi di Bologna ha ricevuto una sanzione di 40.000 euro perché l'applicativo di whistleblowing in uso non adottava tecniche di crittografia adeguate e tracciava gli accessi dei segnalanti, in contrasto con i principi della protezione dei dati fin dalla progettazione e per impostazione predefinita, il tutto senza una preliminare valutazione d'impatto.
- Il caso Intesa Sanpaolo, sanzionata a marzo 2026 con 31,8 milioni di euro, dimostra che non basta proteggersi dagli attacchi esterni: se i controlli interni non sono progettati per rilevare gli accessi anomali, anche un singolo dipendente può mettere a rischio i dati di migliaia di persone, e il conto da pagare può essere altissimo.

Il filo conduttore è sempre lo stesso: quando le impostazioni predefinite, i controlli di accesso o i flussi di raccolta non sono progettati per proteggere i dati, la responsabilità ricade sul titolare. Per una panoramica delle sanzioni più importanti, consulta il nostro articolo [sanzioni GDPR: i record nel mondo e in Italia](https://usercentrics.com/it/knowledge-hub/sanzioni-gdpr-i-record-nel-mondo-e-in-italia/).

## E la tua privacy policy riflette come tratti i dati?

Con il Privacy Policy Generator di Usercentrics crei in pochi minuti una privacy policy personalizzata e conforme al GDPR.

**Disclaimer:** Questi contenuti non costituiscono consulenza legale. Ti consigliamo di rivolgerti sempre a un consulente legale qualificato o a uno specialista di privacy per questioni di protezione dei dati.

---

## Footer

### Prodotti
- [Usercentrics Web CMP](https://usercentrics.com/it/website-consent-management/)
- [Usercentrics App CMP](https://usercentrics.com/it/in-app-sdk/)
- [Usercentrics CTV CMP](https://usercentrics.com/it/usercentrics-ctv-cmp/)
- [Usercentrics Privacy Policy Generator](https://usercentrics.com/it/privacy-policy-generator/)
- [Server-side Tagging Solution](https://usercentrics.com/it/server-side-tracking-soluzione/)
- [Integrazioni](https://usercentrics.com/it/integrazioni/)
- [Audit sulla conformità dei dati](https://usercentrics.com/it/privacy-compliance-scanner/)
- [Scanner di conformità per app](https://usercentrics.com/it/?page_id=3811)
- [ROAS calculator](https://usercentrics.com/roas-calculator/)

### Normative
- [DMA (UE)](https://usercentrics.com/it/normativa-mercati-digitali-dma/)
- [GDPR (UE)](https://usercentrics.com/it/gdpr/)
- [CCPA (California)](https://usercentrics.com/it/ccpa/)
- [VCDPA (Virginia)](https://usercentrics.com/it/vcdpa/)
- [LGPD (Brasile)](https://usercentrics.com/it/lgpd/)
- [POPIA (Sudafrica)](https://usercentrics.com/it/popia/)
- [LPD (Svizzera)](https://usercentrics.com/it/ldp/)
- [TCF v2.4 (IAB)](https://usercentrics.com/it/cmp-per-editori/)
- [Google Consent Mode (UE)](https://usercentrics.com/it/usercentrics-cmp-e-google-consent-mode-v2/)
- [Microsoft UET Consent Mode (EU)](https://usercentrics.com/it/usercentrics-cmp-e-microsoft-consent-mode/)

### Risorse
- [Blog](https://usercentrics.com/it/knowledge-hub/)
- [Whitepaper](https://usercentrics.com/it/whitepapers/)
- [Checklist](https://usercentrics.com/checklists/)
- [Casi di studio](https://usercentrics.com/it/casi-di-studio/)
- [Eventi](https://usercentrics.com/webinar/)
- [CONSENTED podcast](https://usercentrics.com/consented/)
- [Note sulla versione](https://releases.usercentrics.com/en)
- [Documentazione per gli sviluppatori](https://usercentrics.com/docs/)
- [Modello RFI](https://usercentrics.com/resources/usercentrics-rfi-template/)
- [Elenco clienti](https://usercentrics.com/it/usercentrics-elenco-clienti/)

### L'azienda
- [Su di noi](https://usercentrics.com/it/chi-siamo/)
- [Comunicati stampa](https://usercentrics.com/press/)
- [I nostri uffici](https://usercentrics.com/it/contatti/)
- [Trust Center](https://trust.usercentrics.com/)
- [Carriera](https://usercentrics.com/career/)
- [Posizioni aperte](https://apply.workable.com/usercentrics/)
- [Diversità e inclusione](https://usercentrics.com/it/dei/)

### Assistenza
- [Assistenza generale](https://support.usercentrics.com/hc/en-us)
- [Contatta le vendite](https://usercentrics.com/it/prenota-consulenza/)
- [Assistenza tecnica](https://support.usercentrics.com/hc/en-us/requests/new)
- [Fatturazione e account](https://support.usercentrics.com/hc/en-us/categories/12253804608156-Account-and-billing)
- [Suggerisci una funzionalità](https://support.usercentrics.com/hc/en-us/requests/new?ticket_form_id=10610312381340)
- [Login per partner](https://partnerportal.usercentrics.com/)
- [Programma partner](https://usercentrics.com/it/programma-partner/)
- [Programma di Affiliazione](https://usercentrics.com/it/programma-affiliazione/)