Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno ad Ancona? Seguo operatori portuali e realtà della cantieristica navale, aziende meccaniche e agroalimentari, strutture sanitarie ed enti pubblici regionali, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Ancona da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Ancona è il principale porto dell'Adriatico centrale, con traffici passeggeri e merci verso Grecia e Croazia, e ospita un polo di cantieristica navale di rilievo nazionale. Il territorio conserva anche una solida meccanica, un comparto agroalimentare diffuso e, in quanto capoluogo regionale, ospita le principali strutture sanitarie e gli uffici della pubblica amministrazione delle Marche. Sono ambiti dove i dati sanitari, i sistemi portuali e la documentazione tecnica di cantiere richiedono una gestione ordinata.
Controllo accessi alle banchine, videosorveglianza delle aree operative e dati del personale di terzi che entra in porto: tre trattamenti che convivono e che vanno tenuti distinti nel registro.
Documentazione tecnica condivisa con committenti e subfornitori, badge di ingresso e riprese delle aree di lavoro: la nomina a responsabile del trattamento dei terzi è il punto più spesso scoperto.
Referti inviati via email o portale, gestionali di prenotazione e archivi clinici: sono dati particolari, che richiedono misure rafforzate e quasi sempre una valutazione d'impatto.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Impresa meccanica o di subfornitura | Di norma no | L'attenzione si sposta sulle nomine a responsabile ex art. 28 nel lavoro conto terzi. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR non richiede la presenza fisica del DPO in porto, in cantiere o in ospedale. Registro dei trattamenti, informative, DPIA e formazione si gestiscono efficacemente a distanza, con sopralluoghi dedicati solo dove necessario. Per le realtà anconetane significa accedere a una consulenza specialistica indipendente, anche per enti pubblici e strutture sanitarie con esigenze normative più articolate.
I cantieri navali introducono automazione e robotica nei processi produttivi, mentre le strutture sanitarie regionali valutano sistemi di supporto diagnostico basati su IA. Quando questi strumenti superano la semplice raccolta dati, possono rientrare negli obblighi dell'AI Act. Ho dedicato una pagina alla classificazione del rischio e alle scadenze per Ancona: Consulente AI Act ad Ancona →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Stai ancora valutando se ti serve un DPO? Parti da qui: cosa fa il DPO · quando la nomina è obbligatoria · quanto costa.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
No. Il GDPR non impone la presenza fisica del DPO: richiede che sia facilmente raggiungibile e in grado di svolgere i propri compiti. Registro, informative, DPIA, audit e formazione si gestiscono in digitale; dove serve un sopralluogo si organizza un intervento dedicato.
Dipende dalla dimensione dell'azienda o dell'ente e dai trattamenti, ad esempio se sono coinvolti dati sanitari, sistemi portuali o di produzione. La prima videocall di valutazione è gratuita.
Si, trattano dati sanitari che richiedono misure di sicurezza rafforzate, valutazioni d'impatto (DPIA) specifiche e, sempre più spesso, la classificazione dei sistemi di supporto diagnostico basati su IA.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Perugia · Rimini · Pescara · · Macerata · Teramo e in tutta Italia. · Pesaro
Studio Cravero