Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Chieti? Seguo imprese dell'automotive e della componentistica della Val di Sangro, manifattura e logistica dell'indotto, ateneo, strutture sanitarie ed enti pubblici della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Chieti da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
La provincia di Chieti ospita uno dei poli automotive più rilevanti d'Europa, concentrato nella Val di Sangro, e attorno a quello un indotto fitto di componentistica, stampaggio, logistica e servizi. È un contesto industriale dove il dato dei lavoratori è ovunque: badge e tornelli, sorveglianza sanitaria, turni su più squadre, imprese fornitrici che entrano ed escono dagli stabilimenti, e sempre più sistemi che misurano tempi e qualità delle lavorazioni.
Accanto c'è il capoluogo, con l'ateneo, le strutture sanitarie e un'amministrazione pubblica diffusa su comuni medi e piccoli. La combinazione produce due esigenze distinte: nella grande industria e nell'indotto serve governare le catene di appalto, negli enti serve tenere insieme trasparenza amministrativa e protezione dei dati.
Referti, gestionali di prenotazione e archivi clinici: dati particolari che richiedono misure rafforzate e quasi sempre una valutazione d'impatto.
Sorveglianza sanitaria, badge, videosorveglianza perimetrale e fornitori che accedono al sito: ogni anello della catena va coperto da nomina a responsabile e istruzioni scritte.
Rilevazione dei tempi, geolocalizzazione dei mezzi e sistemi di qualità: trattamenti che toccano i lavoratori e che vanno letti anche alla luce dell'art. 4 dello Statuto.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali. |
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Stabilimento con sorveglianza sanitaria estesa | Quasi sempre | Giudizi di idoneità ed esposizioni monitorate su numeri elevati configurano trattamento su larga scala ex art. 9. |
| Impresa dell'indotto con tracciamento mezzi | Da valutare | Geolocalizzazione e misurazione delle attività possono configurare monitoraggio sistematico degli interessati. |
| PMI della componentistica | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in azienda. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative, che si gestiscono in digitale con un canale diretto e tempi di risposta certi.
Su un sito industriale della Val di Sangro la parte che richiede presenza è circoscritta e prevedibile: come sono posizionate le telecamere, dove sono archiviate le cartelle sanitarie e di rischio, come funziona in concreto il varco per le imprese esterne. Si concentra in uno o due sopralluoghi, non in una presenza continuativa che nessuna norma richiede.
Nell'automotive l'AI Act arriva da due direzioni contemporaneamente, ed è una condizione che poche province italiane conoscono. Da un lato ci sono i sistemi che gestiscono le persone in stabilimento, classificati ad alto rischio dall'Allegato III. Dall'altro c'è il prodotto: quando una funzione di intelligenza artificiale è componente di sicurezza di un veicolo, che è già coperto dalla normativa europea di armonizzazione, si applica l'Allegato I, con un calendario diverso e obblighi che si innestano sulle omologazioni esistenti. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a Chieti →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Ciascuna impresa resta titolare per i dati dei propri dipendenti. Il committente diventa titolare per i trattamenti che gestisce direttamente, come il controllo accessi al sito o la videosorveglianza. Serve un accordo che definisca chi fa cosa, e istruzioni scritte alle imprese che accedono: nella pratica industriale è il punto più spesso lasciato scoperto.
Molto probabilmente sì. I giudizi di idoneità e il monitoraggio delle esposizioni sono dati relativi alla salute ex art. 9. Quando riguardano centinaia o migliaia di lavoratori e vengono trattati in continuità, si configura il trattamento su larga scala di categorie particolari che l'art. 37 par. 1 lett. c) indica come presupposto della nomina.
Il medico competente è titolare autonomo per la cartella sanitaria e di rischio, che custodisce lui. All'azienda arriva il giudizio di idoneità, non la diagnosi. È una distinzione che nella pratica salta spesso, con cartelle conservate negli uffici del personale: è uno dei rilievi più frequenti in sede di audit.
Il servizio copre l'intera provincia: Lanciano, Vasto, Atessa, Ortona, San Salvo, Francavilla al Mare e i comuni della Val di Sangro e della costa teatina, incluse le realtà con più unità produttive.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a Chieti · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Pescara · L'Aquila · Teramo · Campobasso e in tutta Italia.
Studio Cravero