Consulenza GDPR e DPO esterno ad Ascoli Piceno

Consulenza GDPR e AI Act ad Ascoli Piceno: chi seguo

Nel primo trimestre 2026 la provincia di Ascoli Piceno ha esportato 554,1 milioni di euro, in calo del 9,1% rispetto allo stesso periodo dell’anno prima, mentre le Marche nel loro insieme crescevano del 15,5%. Sono dati della Camera di Commercio delle Marche pubblicati il 21 luglio 2026 su elaborazione ISTAT, e dicono una cosa che qui si sente: il Piceno sta attraversando una fase difficile, trainata verso il basso dalle difficoltà della moda che pesano su tutto il distretto calzaturiero fra Fermo e Ascoli.

Lo dico perché cambia il modo in cui si lavora. Quando i margini si stringono, la conformità è fra le prime voci che si tagliano, e nel frattempo l’esposizione cresce invece di diminuire: si riduce il personale interno e si aumenta quello in appalto e in somministrazione, si concentrano le lavorazioni presso terzi, si installano sistemi di controllo per recuperare efficienza. Ognuna di queste tre mosse sposta dei dati personali e crea un adempimento nuovo. È il motivo per cui in questa provincia il nodo non è l’informativa: è chi risponde dei dati di chi lavora in stabilimento senza essere un tuo dipendente.

• ✓ Manifatturiero e calzaturiero
• ✓ Aziende con appalti e somministrazione
• ✓ Farmaceutico e chimico
• ✓ Comuni ed enti del Piceno

Casi tipici in questi settori

Chi lavora nel tuo stabilimento senza essere tuo dipendente

È il nodo di questa provincia. In uno stabilimento del Piceno, accanto ai dipendenti diretti ci sono quasi sempre lavoratori somministrati da un’agenzia, addetti di un appaltatore per pulizie, logistica o manutenzione, e talvolta soci di cooperative. Sono persone che entrano ogni giorno, timbrano, vengono riprese dalle telecamere e compaiono nei sistemi di produzione. Ma non sono tuoi dipendenti, e questo cambia tre cose.

Chi è il titolare dei loro dati. Per il rapporto di lavoro il titolare è l’agenzia o l’appaltatore. Per i dati che nascono dentro il tuo stabilimento — accessi, presenze, immagini, dati di produzione — il titolare sei tu, perché sei tu a decidere finalità e mezzi di quel trattamento. Non è una contitolarità automatica: sono due titolarità distinte su dati diversi della stessa persona, e vanno descritte come tali nel registro.

Chi li informa. Nella pratica quasi nessuno. L’agenzia informa sul rapporto di lavoro, tu dai per scontato che l’abbia fatto anche per le telecamere e per il badge. Non è così: di quei trattamenti sei titolare tu, e l’informativa la devi rendere tu, al lavoratore somministrato come al dipendente diretto.

L’art. 4 dello Statuto non guarda il contratto. Quando da un impianto deriva anche solo la possibilità di controllare a distanza l’attività dei lavoratori, l’art. 4 della legge 300 del 1970 chiede l’accordo sindacale oppure l’autorizzazione dell’Ispettorato del lavoro. Quella tutela riguarda chi lavora nello stabilimento, non solo chi ha un contratto con te: un impianto autorizzato guardando solo all’organico diretto copre metà delle persone che riprende. È un adempimento giuslavoristico che viene prima del GDPR, e su quello il consulente del lavoro e le organizzazioni sindacali hanno un ruolo che non è il mio: io verifico che l’impianto sia coerente con quanto autorizzato e che il trattamento regga, non negozio l’accordo.

La verifica da cui parto è sempre la stessa: prendo l’elenco di chi entra in stabilimento e controllo, persona per categoria, chi lo ha informato e con quale documento. È noioso e trova quasi sempre qualcosa.

Quando il DPO è obbligatorio

Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.

Tipo di organizzazione	DPO	Perché
Azienda sanitaria, ospedale o RSA	Sempre	Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo.
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati.
Stabilimento con personale in somministrazione o in appalto	Di norma no	La nomina raramente è obbligatoria, ma vanno chiariti i ruoli con l’agenzia e con l’appaltatore, e l’informativa deve raggiungere anche chi non è dipendente.
Università o istituzione formativa	Sempre	Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca.
Agenzia per il lavoro o società di selezione	Da valutare	Grandi volumi di candidature e valutazione sistematica dei profili possono integrare il monitoraggio regolare e sistematico su larga scala.
PMI senza trattamenti particolari	Di norma no	Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza.

Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.

Il GDPR non richiede la presenza fisica del DPO

Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.

La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.

AI Act ad Ascoli Piceno

Nelle imprese del Piceno l’intelligenza artificiale arriva soprattutto da due parti. La prima è la selezione del personale: piattaforme che filtrano i curricula e ordinano i candidati, usate dalle agenzie o direttamente dall’azienda. I sistemi destinati a selezionare o valutare candidati sono tra i casi ad alto rischio elencati nell’allegato III, punto 4, dell’AI Act, con obblighi che dopo il Regolamento (UE) 2026/1744 si applicano dal 2 dicembre 2027, e va chiarito chi li usa, perché gli obblighi dell’utilizzatore ricadono su chi li impiega. La seconda è lo stabilimento: sistemi di visione e software di produzione che registrano chi era sulla linea, e che riguardano i lavoratori in somministrazione e in appalto esattamente come i dipendenti.

Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Quasi nessuno ce l’ha, e senza quello gli obblighi non si possono nemmeno contare.

Le sanzioni del GDPR

I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.

Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.

Cosa resta in mano tua

Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.

1. Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
2. Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
3. In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
4. Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
5. Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
6. Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?

Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.

Domande frequenti — consulenza GDPR ad Ascoli Piceno

Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.

Consulenza GDPR e DPO esterno anche a: Macerata · Ancona · Teramo · Pescara · Perugia e in tutta Italia.