Pagina aggiornata all'8 settembre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Brindisi? Seguo operatori portuali e della logistica, imprese industriali ed energetiche, aziende dell'aerospazio e della subfornitura, strutture ricettive, studi professionali ed enti della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Brindisi da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Brindisi ha una struttura produttiva insolita per la dimensione della città: un porto passeggeri e commerciale, grandi impianti industriali ed energetici, un polo aerospaziale e un aeroporto, e accanto la ricettività turistica del Salento settentrionale. Il filo comune, sul piano privacy, è il controllo degli accessi in aree sensibili: varchi, badge, telecamere, registrazione di mezzi e persone, spesso con appaltatori e ditte esterne che entrano quotidianamente. È il punto dove si intrecciano protezione dei dati, disciplina dei controlli sui lavoratori e obblighi di sicurezza, e dove le tre cose vanno tenute coerenti fra loro.
Passeggeri, mezzi in transito, badge degli operatori e telecamere sui varchi: trattamenti diversi con basi giuridiche diverse, che vanno separati nel registro e nelle informative.
Accessi di appaltatori e ditte esterne, controllo delle aree a rischio e sorveglianza degli impianti: qui protezione dei dati e disciplina dei controlli sui lavoratori si toccano di continuo.
Liste alloggiati, prenotazioni, wi-fi per gli ospiti e videosorveglianza: adempimenti semplici, ma quasi sempre incompleti nelle strutture piccole e stagionali.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in azienda. Registro, informative, nomine, valutazioni d'impatto e formazione sono attività documentali. Per gli operatori portuali, per le imprese della subfornitura industriale e per gli enti del territorio, che raramente hanno una funzione privacy interna, la supervisione esterna in digitale è la sola soluzione praticabile senza creare una struttura dedicata.
Negli impianti industriali e portuali l'IA entra dalla videosorveglianza intelligente, dalla lettura delle targhe e dal riconoscimento degli accessi. Sono applicazioni che riguardano direttamente le persone: alcune forme di identificazione biometrica sono vietate, altre ricadono fra i sistemi ad alto rischio, e la differenza va stabilita prima dell'installazione. L'AI Act tratta questi casi in modo molto diverso, e il primo passo è sempre lo stesso: sapere quali sistemi sono già in uso e a che titolo. Trovi la classificazione del rischio e le scadenze nella guida ai livelli di rischio e nella pagina assessment AI Act.
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
Spesso sì. L'art. 35 la richiede quando il trattamento comporta un monitoraggio sistematico su larga scala di zone accessibili al pubblico, e gli impianti con sorveglianza estesa dei perimetri e delle aree a rischio vi rientrano con frequenza. La valutazione va fatta prima dell'installazione: dopo, se emerge che una telecamera è mal posizionata, l'intervento costa molto di più.
Vanno distinti due piani. I dati dei loro dipendenti che l'azienda registra per consentire l'accesso sono un trattamento proprio dell'azienda, con una sua base giuridica legata alla sicurezza. I dati che invece l'appaltatore tratta per conto dell'azienda richiedono la nomina a responsabile ex art. 28. Confondere i due piani è l'errore più comune negli stabilimenti con molte ditte esterne.
Sì. L'art. 37 par. 1 lett. a rende la designazione obbligatoria per tutte le autorità e gli organismi pubblici, senza soglie legate al numero di abitanti o di dipendenti. Più comuni possono designare un responsabile unico tenendo conto della struttura organizzativa, ed è una strada che riduce sensibilmente il costo per singolo ente.
Il servizio copre l'intera provincia di Brindisi: Ostuni, Fasano, Francavilla Fontana, Mesagne, Ceglie Messapica e i comuni del Salento settentrionale, incluse le realtà con più unità locali.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Lecce · Taranto · Bari · Barletta
Studio Cravero