Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno ad Aosta? Seguo amministrazione regionale e comuni valdostani, strutture sanitarie e socio-assistenziali, alberghi e società di impianti a fune, industria e servizi, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Aosta da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
La Valle d'Aosta è una regione a statuto speciale, e questo cambia la geografia degli obblighi privacy in modo che sfugge a chi ragiona sul modello delle regioni ordinarie. Funzioni che altrove appartengono allo Stato o alla Provincia qui sono in capo alla Regione o ai Comuni: istruzione, formazione professionale, viabilità, forestale, buona parte del welfare. Ne consegue che un ente valdostano tratta, a parità di abitanti, un ventaglio di dati più ampio di un ente omologo altrove, e che le competenze si concentrano su poche strutture.
L'altro tratto distintivo è la stagionalità. Il turismo alpino porta ogni inverno decine di migliaia di ospiti e un'ondata di personale a termine: schedine alloggiati, skipass nominativi, badge, corsi di sicurezza. Sono trattamenti che nascono e muoiono nell'arco di quattro mesi e che, proprio per questo, restano spesso fuori dal registro dei trattamenti, gestiti da persone che a maggio non lavorano più lì e che nessuno ha mai nominato per iscritto.
Lo skipass nominativo con lettura automatica ai tornelli traccia dove e quando una persona è passata: è un dato di localizzazione a tutti gli effetti. Vanno definiti tempi di conservazione, informativa al punto vendita e regole di accesso, soprattutto quando il dato serve anche a fini statistici o commerciali.
Comunicazione alloggiati, prenotazioni via portali terzi, dati delle carte, richieste alimentari e talvolta certificati per l'accesso alle piscine termali: flussi ordinari nella forma, ma che coinvolgono categorie particolari e fornitori extra-UE più spesso di quanto si creda.
Servizi gestiti in forma associata fra comuni molto piccoli: la titolarità va scritta, non presunta. Chi decide finalità e mezzi è titolare, chi esegue è responsabile, e nella gestione associata i due ruoli convivono nello stesso ufficio.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Società di impianti a fune | Da valutare | Skipass nominativi letti ai tornelli su decine di migliaia di utenti si avvicinano al monitoraggio sistematico su larga scala dell'art. 37 par. 1 lett. b). |
| Società partecipata regionale o locale | Quasi sempre | Se svolge un compito di interesse pubblico o esercita pubblici poteri, il Garante la assimila all'ente pubblico ai fini della nomina. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR chiede che il DPO sia raggiungibile e messo in condizione di lavorare, non che abiti in valle. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per un ente valdostano questo evita anche il costo implicito di cercare la professionalità in un bacino di poche decine di migliaia di persone.
La parte che richiede presenza è circoscritta: vedere dove sono posizionate le telecamere di un comprensorio, come è organizzato l'archivio di un servizio sociale, come funziona in concreto il varco di uno stabilimento. Sono uno o due sopralluoghi all'anno, non una presenza continuativa che nessuna norma impone.
In Valle d'Aosta l'intelligenza artificiale sta entrando soprattutto dal lato turistico e da quello della sicurezza in quota: revenue management alberghiero, chatbot per la clientela internazionale, modelli previsionali su meteo e stabilità del manto nevoso, conteggio automatico dei passaggi agli impianti. Finché il sistema lavora su aggregati resta a rischio minimo. Cambia quando comincia a produrre esiti riferiti alla singola persona, o quando entra nella gestione del personale stagionale. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act ad Aosta →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Sì, senza eccezioni. L'art. 37 par. 1 lett. a) del GDPR non prevede soglie dimensionali: l'obbligo scatta perché si tratta di un'autorità pubblica, non per il numero di residenti o di dipendenti. La strada praticabile per i comuni molto piccoli è la nomina di un DPO unico condiviso fra più enti, esplicitamente ammessa dal par. 3, purché resti raggiungibile da ciascuno.
Sì. Nel momento in cui il supporto è associato a una persona e viene letto a ogni passaggio, il sistema registra dove e quando quella persona si trovava. È un dato personale di localizzazione: serve informativa al momento dell'acquisto, un tempo di conservazione definito e motivato, e regole scritte su chi può interrogare lo storico e per quali finalità.
Cambia la gestione, non gli obblighi. Ogni stagionale va istruito per iscritto sui trattamenti che tratta, e le sue credenziali vanno disattivate alla fine del contratto. Il rilievo più frequente in sede di audit è proprio questo: account di stagionali di due o tre inverni prima ancora attivi sul gestionale delle prenotazioni.
Dipende dai trattamenti e dalla dimensione dell'organizzazione, non da un listino a forfait. Un ente con dati sanitari, videosorveglianza e più sedi richiede un impegno diverso da uno studio con otto dipendenti. La prima videochiamata di valutazione è gratuita e serve proprio a fissare il perimetro prima di parlare di cifre.
Tutta la Valle: Courmayeur, Valtournenche e Breuil-Cervinia, La Thuile, Cogne, Saint-Vincent, Châtillon, Morgex, Pont-Saint-Martin e i comuni delle valli laterali, incluse le realtà con più unità locali fra Valle d'Aosta e Piemonte.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act ad Aosta · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Torino · Novara · Milano · Genova e in tutta Italia.
Studio Cravero