Articolo 27 GDPR per le startup SaaS: una guida per i founder

Se il tuo prodotto SaaS ha anche un solo utente UE, l'articolo 27 del GDPR probabilmente si applica a te, indipendentemente da dove sia costituita la tua azienda. I founder spesso presumono che sia un problema da fase successiva, qualcosa per quando arriveranno i ricavi o crescerà il team. Non è così. L'obbligo di nominare un rappresentante UE scatta in base a chi sono i tuoi utenti e a quali dati tratti, non in base al numero di dipendenti, alla fase di finanziamento o al fatto che tu abbia già fatturato a qualcuno. La buona notizia: per una startup SaaS in fase iniziale si tratta di un'attività piccola, fissa e prevedibile, che puoi integrare nel tuo stack di conformità in un pomeriggio. Questa guida spiega quando la regola entra in gioco, perché è davvero facile da gestire fin dall'inizio e i pochi errori che trasformano un obbligo semplice in uno costoso.

Quando l'articolo 27 si applica davvero a una startup SaaS

L'articolo 27 impone a qualsiasi titolare o responsabile del trattamento non stabilito nell'UE di nominare un rappresentante UE quando il suo trattamento rientra nell'ambito di applicazione territoriale del GDPR. Per il SaaS, tale ambito è raggiunto quando offri il tuo servizio a persone nell'UE oppure ne monitori il comportamento. Entrambi sono facili da attivare senza accorgersene.

• Iscrizioni, prove gratuite e liste d'attesa da utenti UE, anche gratuiti.
• Analitiche, cookie, registrazione delle sessioni o A/B testing su visitatori UE, che configurano monitoraggio.
• Una pagina dei prezzi in euro o marketing rivolto all'UE.
• Trattamento per conto di un cliente UE, che può renderti un responsabile del trattamento rientrante nell'ambito.

Esiste una deroga ristretta per il trattamento che è realmente occasionale, a basso rischio e privo di dati appartenenti a categorie particolari su larga scala. L'EDPB interpreta occasionale in senso rigoroso, quindi un prodotto SaaS attivo con utenti UE ricorrenti quasi mai vi rientra.

Perché il numero di dipendenti è irrilevante e come contenere i costi

Un'idea errata comune tra i founder è che le piccole aziende siano esentate. Non lo sono. La soglia dei 250 dipendenti nel GDPR riguarda l'eccezione al registro delle attività di trattamento dell'articolo 30, non l'articolo 27. L'obbligo del rappresentante riguarda i tuoi interessati UE e la natura del tuo trattamento, quindi una startup di due persone, pre-ricavi, con utenti UE in prova rientra nell'ambito tanto quanto un'impresa da 5.000 persone.

Ecco anche perché il modo intelligente di acquistare il servizio è lasciare che il prezzo scali con il volume di interessati UE, non con la dimensione del tuo team o con il tuo fatturato globale. Uno strumento in fase seed con poche centinaia di utenti UE dovrebbe pagare prezzi da fase seed.

• Adatta il piano alla tua reale presenza UE, poi aggiornalo man mano che cresce.
• Evita contratti basati sul numero di dipendenti o sul fatturato aziendale.
• Pretendi un indirizzo UE reale, un punto di contatto e la gestione dei registri, non solo una casella postale.

Come integrarlo nel tuo stack di conformità e cosa evitare

Tratta il rappresentante UE come una voce precoce e a basso sforzo accanto al resto delle tue basi di privacy. Nominalo una volta, pubblica i dettagli e svolgerà silenziosamente il suo lavoro: ricevere richieste da utenti UE e autorità di controllo e aiutarti a tenere in ordine i tuoi registri ai sensi dell'articolo 30.

Da fare presto	Da evitare
Nominare un rappresentante UE non appena compaiono utenti UE	Aspettare i ricavi o un round di finanziamento
Nome e indirizzo nella tua informativa sulla privacy	Nominarlo ma nasconderne i dettagli
Tenere un semplice registro del trattamento	Presumere che si applichi l'esenzione per le piccole imprese
Scegliere prezzi basati sul volume	Confondere il rappresentante con un DPO

Il rappresentante è distinto da un Responsabile della protezione dei dati e da qualsiasi rappresentante UK di cui potresti aver bisogno. Imposta bene prima la parte UE e scalerà in modo pulito man mano che cresci verso i futuri obblighi NIS2 e AI Act.

Domande frequenti

Abbiamo bisogno di un rappresentante UE prima di guadagnare qualcosa?

Sì, potenzialmente. L'articolo 27 scatta dal trattamento dei dati personali dei residenti UE, non dai ricavi. Se utenti in prova pre-ricavi, iscrizioni a liste d'attesa o analitiche coinvolgono persone nell'UE, l'obbligo può già applicarsi. Essere gratuiti o in fase pre-lancio non ti esenta.

Siamo un team minuscolo. L'esenzione per le piccole imprese non ci copre?

No. Non esiste alcuna esenzione dall'articolo 27 basata sul numero di dipendenti. La cifra dei 250 dipendenti che si ricorda riguarda la tenuta dei registri ai sensi dell'articolo 30, non l'obbligo del rappresentante. Una startup di due founder con utenti UE rientra nell'ambito esattamente come una grande impresa.

Un rappresentante UE è la stessa cosa di un DPO?

No. Un DPO consiglia e monitora la tua conformità internamente ed è richiesto solo in casi specifici. Un rappresentante UE è un punto di contatto nell'UE per utenti e autorità quando la tua azienda è stabilita fuori dall'UE. Potresti aver bisogno di uno, di entrambi o di nessuno a seconda della tua situazione.