--- title: "GDPR" description: "GDPR nelle applicazioni Laravel e PHP: retention, pseudonimizzazione, ispezioni del Garante. La privacy che regge una verifica, non solo la privacy policy. - GDPR - Pagina 1 di 2" canonical: "https://www.mauriziofonte.it/blog/cat/gdpr.html" author: "Maurizio Fonte" --- Categoria # GDPR Pagina 1 di 2 ## **GDPR**: la privacy che regge un'ispezione, oltre la pagina sul sito Per il GDPR un banner cookie e una privacy policy copiata non bastano. Servono requisiti tecnici e organizzativi che toccano come raccogli, conservi e proteggi i dati, e le aziende sbagliano quasi sempre proprio nell'implementazione. Questa categoria guarda alla privacy dal lato del codice. Molti articoli parlano di **privacy scritta nel codice**: retention dei dati gestita davvero, pseudonimizzazione come la intende l'articolo 25, crittografia dei dati sensibili con gli strumenti giusti, audit trail che traccia chi ha fatto cosa senza affossare le prestazioni. Il "privacy by design" prende sostanza quando diventa una scelta implementativa precisa. Altri mettono il codice alla **prova dei fatti**: cosa aspettarsi da un'ispezione del Garante e come prepararsi, dove le applicazioni Laravel delle aziende violano il GDPR senza saperlo, e come si corregge prima che arrivi la verifica. Così si misura quanto la conformità dichiarata corrisponde a quella reale. C'è poi l'**intreccio con l'AI**: la retention obbligatoria imposta sui modelli di frontiera, il training su dati personali e il three-step test dell'EDPB, i nodi privacy che nascono quando un'azienda inizia a usare i modelli. Tecnologia e diritto qui si incontrano, spesso in modo scomodo. Se vuoi mettere davvero a norma il trattamento dei dati, vedi la [consulenza cybersecurity e NIS2](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) o [scrivimi](https://www.mauriziofonte.it/pages/contattami). > Il GDPR vive in come il tuo software tratta davvero i dati. È lì che un'ispezione va a guardare. 1[2](https://www.mauriziofonte.it/blog/cat/gdpr.md?page=2) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Retention obbligatoria a 30 giorni sui modelli di frontiera: il nodo GDPR per le PMI](https://www.mauriziofonte.it/blog/post/retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.html) 28/08/2026 ![Retention obbligatoria a 30 giorni sui modelli di frontiera: il nodo GDPR per le PMI](https://www.mauriziofonte.it/image/005180200-retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.jpg) I modelli Mythos-class impongono una retention di 30 giorni su prompt e output, anche per le organizzazioni che avevano configurato zero-data-retention per ragioni di compliance. Cosa significa per una PMI italiana sotto GDPR: dove transitano i dati, quali basi giuridiche servono, e perché un accordo ZDR non protegge più chi vuole il modello migliore. Le alternative concrete, dall'inference on-prem ai provider con residenza UE. Fatti e date dal dossier sui rischi dei frontier model. [Continua a leggere](https://www.mauriziofonte.it/blog/post/retention-30-giorni-modelli-frontiera-gdpr-sovranita-pmi.html) Ultima modifica: Venerdì 28 Agosto 2026, alle 07:40 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [Garante Privacy piano ispettivo 2026: cosa aspettarsi e come prepararsi se usi ChatGPT in azienda](https://www.mauriziofonte.it/blog/post/garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.html) 29/06/2026 ![Garante Privacy piano ispettivo 2026: cosa aspettarsi e come prepararsi se usi ChatGPT in azienda](https://www.mauriziofonte.it/image/004690200-garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.jpg) Il Piano Ispettivo 2026 del Garante (provvedimento 797 del 30 dicembre 2025) mette l'AI tra le priorità, con data breach PA e big data Telco. Previsti 40+ accertamenti con GdF tra gennaio e luglio 2026. Il 18 marzo il Tribunale di Roma ha annullato la sanzione 15M a OpenAI con sentenza 4153/2026 - segnale sulla misura delle pretese. Diagnostica operativa: 8 documenti pronti se usi ChatGPT o Claude in azienda, senza trasformare l'IT in un ufficio legale. [Continua a leggere](https://www.mauriziofonte.it/blog/post/garante-privacy-piano-ispettivo-2026-chatgpt-claude-azienda-conformita.html) Ultima modifica: Lunedì 29 Giugno 2026, alle 07:37 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [EDPB Joint Opinion 28/2024: il three-step test per training AI su dati personali sotto GDPR](https://www.mauriziofonte.it/blog/post/edpb-opinion-28-2024-three-step-test-training-ai-gdpr-dati-personali.html) 25/06/2026 ![EDPB Joint Opinion 28/2024: il three-step test per training AI su dati personali sotto GDPR](https://www.mauriziofonte.it/image/004670200-edpb-opinion-28-2024-three-step-test-training-ai-gdpr-dati-personali.jpg) L'EDPB ha pubblicato nel gennaio 2026 un chiarimento sull'Opinion 28/2024 - il three-step test (purpose, necessity, balancing) applicato al training AI su dati personali. Legitimate interest è valido ma con condizioni strette: 'anonimia' del modello solo se l'estrazione è 'insignificante'. Approfondisco le tre fasi, le misure tecniche che spostano il balancing (differential privacy, opt-out, output filter) e un template LIA pronto per fine-tuning e RAG su dati clienti. [Continua a leggere](https://www.mauriziofonte.it/blog/post/edpb-opinion-28-2024-three-step-test-training-ai-gdpr-dati-personali.html) Ultima modifica: Giovedì 25 Giugno 2026, alle 09:26 [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Audit trail e logging di business in Laravel: tracciare ogni azione senza impattare le prestazioni](https://www.mauriziofonte.it/blog/post/audit-trail-logging-business-laravel-senza-impatto-prestazioni.html) 05/02/2026 ![Audit trail e logging di business in Laravel: tracciare ogni azione senza impattare le prestazioni](https://www.mauriziofonte.it/image/003060200-audit-trail-logging-business-laravel-senza-impatto-prestazioni.jpg) Un'applicazione finanziaria richiedeva di tracciare ogni modifica a ogni record - chi ha fatto cosa, quando, con quale valore precedente. La soluzione naive con observer sincroni rallentava l'applicazione del 40%. Vi mostro l'architettura che ho usato: logging asincrono via queue, storage su tabella dedicata, purge automatico GDPR-compliant. [Continua a leggere](https://www.mauriziofonte.it/blog/post/audit-trail-logging-business-laravel-senza-impatto-prestazioni.html) Ultima modifica: Giovedì 5 Febbraio 2026, alle 10:00 [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [Cryptography in PHP: usare libsodium correttamente per cifrare dati sensibili](https://www.mauriziofonte.it/blog/post/cryptography-php-libsodium-cifrare-dati-sensibili-correttamente.html) 09/01/2026 ![Cryptography in PHP: usare libsodium correttamente per cifrare dati sensibili](https://www.mauriziofonte.it/image/003230200-cryptography-php-libsodium-cifrare-dati-sensibili-correttamente.jpg) Il 70% dei sistemi PHP che ho auditato usava openssl_encrypt con parametri sbagliati o mcrypt deprecato. Libsodium è disponibile di default da PHP 7.2 e offre primitive crittografiche moderne e difficili da usare male. Vi mostro i pattern corretti per cifrare dati a riposo in un'applicazione gestionale Laravel. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cryptography-php-libsodium-cifrare-dati-sensibili-correttamente.html) Ultima modifica: Venerdì 9 Gennaio 2026, alle 09:42 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [Compliance come vantaggio competitivo: NIS2 e GDPR come leva per conquistare clienti enterprise](https://www.mauriziofonte.it/blog/post/compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.html) 18/12/2025 ![Compliance come vantaggio competitivo: NIS2 e GDPR come leva per conquistare clienti enterprise](https://www.mauriziofonte.it/image/003190200-compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.jpg) Una PMI del software gestionale mi ha chiesto di aiutarla a diventare fornitore di un gruppo bancario. Il primo filtro era la conformità NIS2 e GDPR - non come checkbox, ma come dimostrazione tecnica. Ho costruito la documentazione di compliance che ha permesso di superare l'audit e chiudere un contratto da 300.000€. [Continua a leggere](https://www.mauriziofonte.it/blog/post/compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.html) Ultima modifica: Giovedì 18 Dicembre 2025, alle 08:56 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [GDPR tecnico: implementare la pseudonimizzazione dei dati in Laravel e Symfony](https://www.mauriziofonte.it/blog/post/gdpr-pseudonimizzazione-dati-laravel-symfony-implementazione.html) 14/10/2025 ![GDPR tecnico: implementare la pseudonimizzazione dei dati in Laravel e Symfony](https://www.mauriziofonte.it/image/003390200-gdpr-pseudonimizzazione-dati-laravel-symfony-implementazione.jpg) Articolo 25 del GDPR parla di 'privacy by design' in modo astratto. Nella pratica, per un'anagrafica clienti Laravel, significa separare i dati identificativi dai dati di business in due tabelle con chiave di pseudonimizzazione gestita separatamente. Vi mostro il pattern che uso nei progetti enterprise. [Continua a leggere](https://www.mauriziofonte.it/blog/post/gdpr-pseudonimizzazione-dati-laravel-symfony-implementazione.html) Ultima modifica: Martedì 14 Ottobre 2025, alle 10:05 [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Conformità GDPR nelle applicazioni Laravel: dove le PMI sbagliano e come correggere prima di un'ispezione](https://www.mauriziofonte.it/blog/post/gestione-urgente-gdpr-laravel-sicurezza.html) 24/06/2025 ![Conformità GDPR nelle applicazioni Laravel: dove le PMI sbagliano e come correggere prima di un'ispezione](https://www.mauriziofonte.it/image/001850200-gestione-urgente-gdpr-laravel-sicurezza.jpg) La maggior parte delle applicazioni Laravel nelle PMI italiane viola il GDPR in almeno tre punti: dati personali in chiaro, log senza retention policy, nessun meccanismo per i diritti dell'interessato. Analizzo le violazioni più frequenti che trovo nei miei audit e mostro come correggerle con interventi mirati sul codice Laravel. [Continua a leggere](https://www.mauriziofonte.it/blog/post/gestione-urgente-gdpr-laravel-sicurezza.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [GDPR e NIS2: perché ignorare la compliance normativa può distruggere il tuo business](https://www.mauriziofonte.it/blog/post/gdpr-nis2-rischi-non-compliance-normativa.html) 23/05/2025 ![GDPR e NIS2: perché ignorare la compliance normativa può distruggere il tuo business](https://www.mauriziofonte.it/image/001270200-gdpr-nis2-rischi-non-compliance-normativa.jpg) Ignorare GDPR e NIS2 può causare sanzioni devastanti e danni irreparabili alla tua azienda. Scopri perché la compliance normativa è una priorità strategica che devi affrontare immediatamente per proteggere sicurezza, reputazione e continuità operativa del tuo business. [Continua a leggere](https://www.mauriziofonte.it/blog/post/gdpr-nis2-rischi-non-compliance-normativa.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [GDPR e NIS2: la tua azienda è davvero conforme o stai rischiando sanzioni milionarie?](https://www.mauriziofonte.it/blog/post/conformita-gdpr-nis2-rischi-sanzioni-aziendali.html) 17/04/2025 ![GDPR e NIS2: la tua azienda è davvero conforme o stai rischiando sanzioni milionarie?](https://www.mauriziofonte.it/image/000790200-conformita-gdpr-nis2-rischi-sanzioni-aziendali.jpg) GDPR e NIS2 impongono standard rigorosi sulla protezione dei dati e sulla sicurezza informatica: molte aziende italiane sottovalutano i rischi, rischiando sanzioni milionarie. Scopri come evitare gli errori più frequenti e perché la consulenza specializzata è indispensabile per garantire una reale conformità normativa. [Continua a leggere](https://www.mauriziofonte.it/blog/post/conformita-gdpr-nis2-rischi-sanzioni-aziendali.html) Ultima modifica: Giovedì 17 Aprile 2025, alle 15:35 1[2](https://www.mauriziofonte.it/blog/cat/gdpr.md?page=2) ## Strumenti utili Tool gratuiti a supporto: [Autovalutazione NIS2](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi), [Validatore CF, P.IVA e IBAN](https://www.mauriziofonte.it/strumenti/validatore-anagrafica-italiana). --- **Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali. Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile. --- ## Autore **Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane. Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore. ## Perché questa fonte è attendibile - **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione). - **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico. - **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade". ## Entità e contatti (verificabili) Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino). GitHub: https://github.com/mauriziofonte LinkedIn: https://www.linkedin.com/in/mauriziofonte Profilo: https://www.mauriziofonte.it/pages/about