Studio Cravero ConsultingAggiornato al 1° settembre 2026
A chi mi rivolgo
Nei Comuni la protezione dei dati non ha un ufficio dedicato. Attraversa la struttura, e le persone che se ne occupano davvero hanno già un altro lavoro a tempo pieno. Le pagine di questo sito parlano quindi a chi si trova a dover risolvere il problema in concreto.
I problemi che l'ente gestisce davvero
L'elenco dei compiti del RPD sta nell'art. 39 del GDPR ed è sintetico. Nella vita di un Comune quei compiti si traducono in situazioni ricorrenti, e sono queste che determinano se l'incarico funziona.
| Situazione | Che cosa serve concretamente |
|---|---|
| Richieste degli interessati | Accesso, rettifica, cancellazione, opposizione: l'ente ha un mese per rispondere. Serve una procedura interna che dica chi riceve, chi istruisce e chi firma, e un supporto sulle risposte più delicate, come le richieste di accesso agli atti che si intrecciano con dati di terzi. |
| Violazioni dei dati | L'art. 33 concede 72 ore per la notifica al Garante quando la violazione è notificabile. Non si improvvisa: serve un registro delle violazioni, una catena di segnalazione interna nota agli uffici e un riferimento raggiungibile nel momento in cui accade, incluso il fine settimana. |
| Videosorveglianza e polizia locale | Impianti cittadini, lettura targhe, body cam, accesso ai filmati da parte dell'autorità giudiziaria. Sono i trattamenti che più spesso richiedono una valutazione d'impatto e su cui le contestazioni sono più frequenti. Vanno documentati tempi di conservazione, soggetti abilitati e finalità. |
| Sito istituzionale e albo pretorio | La trasparenza amministrativa non è una deroga generale al GDPR. Pubblicazioni oltre il dovuto, atti non oscurati, dati sanitari o giudiziari negli allegati delle determine: sono errori ricorrenti e con un costo reputazionale alto per l'ente. |
| Fornitori e responsabili del trattamento | Software gestionali, cloud, servizi cimiteriali, refezione, tributi, assistenza sociale. Ogni fornitore che tratta dati per conto dell'ente va nominato responsabile ex art. 28 e il contenuto dell'atto va verificato, non solo firmato. |
| Formazione del personale | Il personale che tratta dati deve essere istruito e la formazione va documentata. Meglio sessioni brevi e mirate per area, con casi presi dall'ente, che un corso generico una tantum. |
| Pareri e verifiche periodiche | Un nuovo servizio online, una nuova app, un questionario ai cittadini, una telecamera in più. Il valore del RPD sta nel dare un parere prima che la scelta sia irreversibile, non nel certificarla dopo. |
Unioni di Comuni e gestioni associate
Quando più Comuni condividono uffici, personale o piattaforme, un'impostazione coordinata evita che ogni ente ricostruisca da zero lo stesso registro dei trattamenti per gli stessi identici servizi. I vantaggi pratici sono reali: procedure uniformi per le richieste degli interessati, un unico impianto documentale sui servizi gestiti in forma associata, formazione erogata una volta sola per il personale che opera su più enti, e un solo interlocutore per i fornitori comuni.
Va però detto con chiarezza un punto che spesso viene dato per scontato: una designazione unica non è automaticamente corretta in ogni configurazione. L'Unione e i Comuni aderenti restano soggetti distinti e la titolarità del trattamento segue le funzioni effettivamente conferite, che variano da convenzione a convenzione. Prima di impostare l'incarico verifico quali funzioni sono state trasferite, quali restano in capo ai singoli Comuni e dove si collocano i trattamenti condivisi. Solo dopo si stabilisce se la soluzione corretta sia un unico RPD designato da tutti gli enti, designazioni distinte coordinate tra loro, o un assetto misto.
L'art. 37 par. 3 del GDPR consente espressamente a più autorità pubbliche di designare un unico responsabile della protezione dei dati, tenendo conto della loro struttura organizzativa e dimensione: è una possibilità prevista, non un automatismo, ed è questo il margine da valutare sul caso concreto.
L'intelligenza artificiale usata dall'ente
È l'area su cui oggi gli enti sono più scoperti, e non per disattenzione: gli strumenti entrano dagli uffici, non dalle delibere. Un assistente conversazionale sul sito, un motore di smistamento delle segnalazioni, la trascrizione automatica delle sedute, la lettura assistita delle istanze, strumenti generativi usati dai dipendenti per redigere testi.
Due obblighi riguardano gli enti in modo specifico e vale la pena conoscerli prima che diventino urgenti.
- La valutazione d'impatto sui diritti fondamentali (art. 27 dell'AI Act) riguarda in particolare gli organismi di diritto pubblico e i soggetti che erogano servizi pubblici, quando utilizzano determinati sistemi ad alto rischio. È un adempimento distinto dalla valutazione d'impatto sulla protezione dei dati e va valutato sui sistemi effettivamente in uso, non presunto in blocco.
- La registrazione nella banca dati europea prevista dall'art. 49 par. 3 riguarda gli utilizzatori che sono autorità pubbliche, per i sistemi ad alto rischio dell'Allegato III. È un obbligo che non ha equivalenti nel settore privato.
Gli obblighi sui sistemi ad alto rischio dell'Allegato III si applicano dal 2 dicembre 2027, quelli dell'Allegato I dal 2 agosto 2028. Restano invece già applicabili i divieti dell'art. 5, tra cui l'attribuzione di punteggi sociali da parte di autorità pubbliche, e l'obbligo dell'art. 4 in materia di alfabetizzazione, che impone di adottare misure per garantire un livello adeguato di competenza del personale che usa questi sistemi. Sul tema trovi un approfondimento nella sezione AI Act e nella pagina dedicata alla policy sull'uso dell'IA.
Come svolgo l'incarico
Parto dalla situazione esistente. Molti Comuni hanno già un registro dei trattamenti, informative, atti di nomina: raramente sono da buttare, quasi sempre sono da aggiornare e da collegare ai processi reali. Il primo obiettivo non è produrre documentazione nuova, ma capire quale documentazione l'ente ha, quanto corrisponde a ciò che accade davvero negli uffici e dove sono le distanze che contano.
Da lì individuo le priorità. Un ente non può sistemare tutto insieme e non ha senso provarci: si parte dai trattamenti a rischio più alto e dagli adempimenti la cui assenza sarebbe immediatamente contestabile, e si procede per passi documentati.
L'indipendenza non è una formula di stile. L'art. 38 par. 3 stabilisce che il RPD non riceve istruzioni per l'esecuzione dei propri compiti e riferisce direttamente al vertice. Un RPD esterno ha su questo un vantaggio strutturale: non ha rapporti gerarchici interni e non si trova a dover valutare scelte di cui è corresponsabile.
Che cosa comprende l'incarico
- Assunzione formale del ruolo di RPD, con atto di designazione e supporto agli adempimenti di pubblicazione e comunicazione previsti dall'art. 37 par. 7.
- Ricognizione iniziale dei trattamenti e aggiornamento del registro delle attività di trattamento, incluse le sezioni relative ai servizi gestiti da fornitori esterni.
- Sorveglianza sull'osservanza del Regolamento e pareri sugli atti e sui progetti che comportano nuovi trattamenti.
- Supporto nelle valutazioni d'impatto su videosorveglianza, servizi digitali, piattaforme e sistemi che comportano monitoraggio o trattamenti su larga scala.
- Gestione delle richieste degli interessati e dei reclami, con procedura interna e assistenza sulle risposte complesse.
- Assistenza sulle violazioni dei dati: valutazione della notificabilità, supporto alla notifica entro le 72 ore, tenuta del registro delle violazioni.
- Verifica degli atti di nomina dei responsabili del trattamento e delle clausole contrattuali con i fornitori.
- Formazione del personale per aree, con materiale e attestazione, e sessioni dedicate al corretto uso degli strumenti di intelligenza artificiale.
- Punto di contatto per il Garante e supporto in caso di istruttoria, richiesta di informazioni o ispezione.
- Verifiche periodiche programmate e relazione annuale all'organo di vertice.
Come si avvia l'incarico
- Primo contatto e inquadramentoUn confronto di trenta o quaranta minuti, in videochiamata o al telefono, per capire dimensione dell'ente, funzioni gestite, stato della documentazione e scadenza dell'eventuale incarico in corso. Non ha costi.
- Proposta scrittaRicevi una proposta che indica attività comprese, modalità e tempi di risposta, durata e corrispettivo. Nessuna voce è lasciata a interpretazione successiva.
- Affidamento e designazioneL'ente procede secondo le proprie regole interne. Alla formalizzazione seguono l'atto di designazione, la pubblicazione dei dati di contatto e la comunicazione al Garante.
- Ricognizione inizialeNelle prime settimane esamino documentazione, applicativi, contratti con i fornitori e principali trattamenti, e consegno un quadro delle priorità con le azioni in ordine di urgenza.
- Attività ordinariaPareri, richieste degli interessati, formazione, verifiche periodiche e relazione annuale, con un riferimento diretto e sempre la stessa persona a rispondere.
Da remoto e in presenza
L'attività si svolge prevalentemente da remoto, ed è il motivo per cui posso seguire enti in tutta Italia con la stessa continuità: le richieste di parere, l'esame dei documenti, le riunioni con gli uffici e la formazione funzionano bene in videochiamata e senza tempi di trasferta a carico dell'ente. Gli incontri in presenza e i sopralluoghi, quando servono, si concordano: tipicamente per l'avvio dell'incarico, per verifiche sugli impianti di videosorveglianza o per sessioni formative che l'ente preferisce svolgere in sede.
Come l'ente può affidare il servizio
Come affidarmi l’incarico
Lo Studio è abilitato sul Mercato elettronico della Pubblica Amministrazione ed è iscritto a SardegnaCAT, la centrale di committenza della Regione Sardegna. L’ente può quindi procedere con gli strumenti che già utilizza, senza attivare una procedura fuori piattaforma.
- Denominazione
- Studio Cravero Consulting — Dott. Pietro Cravero
- P.IVA / C.F.
- 03059830905 — è la chiave di ricerca del fornitore su entrambe le piattaforme
- PEC
- info.studiocravero@pec.it
- Sede
- Piazza Fiume 5B, 07100 Sassari (SS)
Le vie praticabili, a seconda dell’importo e del regolamento interno:
- affidamento diretto, nei casi e nei limiti in cui l’ordinamento lo consente;
- trattativa diretta oppure ordine su MePA;
- procedura su SardegnaCAT, per gli enti della Regione Sardegna;
- richiesta di preventivo o indagine di mercato, quando l’ente preferisce una fase aperta.
Il servizio di RPD rientra tra i servizi che l'ente acquisisce secondo le proprie procedure. Le strade praticabili dipendono dall'importo, dal regolamento interno e dagli strumenti che l'amministrazione utilizza abitualmente. Nella pratica gli enti procedono per una di queste vie:
- affidamento diretto, nei casi e nei limiti in cui l'ordinamento lo consente;
- richiesta e confronto di preventivi tra più professionisti;
- trattativa o procedura telematica sulla piattaforma di negoziazione utilizzata dall'ente;
- manifestazione di interesse o indagine di mercato, quando l'ente preferisce una fase preliminare aperta;
- piattaforme e centrali di committenza regionali, dove previste;
- MePA, quando l'ente sceglie di operare su quel mercato elettronico e il professionista risulta abilitato al bando di riferimento.
Perché lo Studio
Elementi verificabili
- DPO certificato IDcert e Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre.
- Specializzazione su privacy e AI Act insieme. Per un ente che sta introducendo strumenti di intelligenza artificiale significa non dover cercare un secondo consulente per la parte AI Act.
- Interlocuzione diretta. Non c'è una struttura intermedia: chi risponde è la stessa persona che ha assunto l'incarico.
- Indipendenza. Lo Studio non fornisce all'ente software gestionali né servizi informatici, quindi non si trova a vigilare su forniture proprie.
- Approccio proporzionato. Un Comune di mille abitanti non ha bisogno dello stesso impianto documentale di un capoluogo, e riceverlo non lo rende più conforme: lo rende meno gestibile.
- Operatività nazionale. Studio con sede a Sassari, incarichi in tutta Italia prevalentemente da remoto, con incontri in presenza da concordare.
Il metodo si riassume in una frase: parto dalla situazione esistente, individuo le priorità e integro gli adempimenti nei processi dell'ente, senza produrre documentazione inutile o duplicata.
Se stai valutando l'incarico per un altro tipo di amministrazione, ho preparato pagine dedicate per le Unioni di Comuni e gestioni associate, per le istituzioni scolastiche e per le ASL e aziende sanitarie, oltre a una panoramica generale sul servizio per la PA. Per il quadro degli adempimenti GDPR che riguardano gli enti locali resta utile la pagina GDPR per la Pubblica Amministrazione, mentre le caratteristiche generali del servizio sono descritte in DPO esterno e i requisiti della figura in requisiti del DPO.
Richiedi informazioni sull'incarico di RPD
Descrivi la situazione dell'ente: dimensione, funzioni gestite in forma associata, stato della documentazione e scadenza dell'incarico in corso, se c'è. Ti rispondo con un quadro di quello che serve e una proposta scritta.
Domande frequenti
Un Comune deve nominare il DPO anche se ha pochi dipendenti?
Sì. L'art. 37 par. 1 lett. a del GDPR impone la designazione a tutte le autorità pubbliche e a tutti gli organismi pubblici, senza soglie legate al numero di dipendenti o di abitanti. Un Comune di piccole dimensioni ha lo stesso obbligo di un capoluogo: quello che cambia è l'ampiezza dell'attività, che va proporzionata alla struttura e ai trattamenti effettivamente svolti.
Più Comuni possono nominare lo stesso DPO?
L'art. 37 par. 3 lo consente espressamente, tenendo conto della struttura organizzativa e della dimensione degli enti. Non è però un automatismo: l'Unione e i Comuni aderenti restano soggetti distinti e la titolarità dei trattamenti segue le funzioni effettivamente conferite dalla convenzione. Prima di impostare l'incarico verifico quali funzioni sono state trasferite e dove si collocano i trattamenti condivisi, e da lì si stabilisce se sia corretta una designazione unica, designazioni distinte coordinate, o un assetto misto.
Il DPO può essere un dipendente dell'ente?
Può esserlo, ma va verificata l'assenza di conflitto di interessi richiesta dall'art. 38 par. 6. Il problema si pone quando la stessa persona decide le finalità e i mezzi di un trattamento e poi dovrebbe vigilare su di esso: è il caso tipico del responsabile dei sistemi informativi o del responsabile di un servizio che tratta dati in modo rilevante. Un incarico esterno elimina il problema alla radice e assicura una disponibilità di tempo che a un dipendente con altre responsabilità spesso manca.
Che cosa succede se l'ente non pubblica i dati di contatto del RPD?
L'art. 37 par. 7 impone due adempimenti distinti: pubblicare i dati di contatto del responsabile della protezione dei dati e comunicarli all'autorità di controllo. Sono obblighi autonomi rispetto alla designazione, e la loro omissione è tra le carenze più facilmente rilevabili dall'esterno, perché basta consultare il sito dell'ente. Il Garante è intervenuto più volte sul punto, anche di recente, richiamando le amministrazioni al rispetto di questi adempimenti.
In quanto tempo rispondi a una richiesta dell'ente?
I tempi di risposta sono indicati nella proposta e fanno parte dell'incarico, non sono una promessa generica. Per le richieste ordinarie l'obiettivo è rispondere entro un giorno lavorativo. Per le violazioni dei dati la reperibilità è immediata, perché il termine di 72 ore dell'art. 33 decorre dal momento in cui l'ente viene a conoscenza del fatto e non si interrompe nel fine settimana.
Serve la presenza fisica del DPO in Comune?
Per la maggior parte delle attività no, e il GDPR non la richiede: pareri, esame dei documenti, riunioni con gli uffici, gestione delle richieste degli interessati e formazione si svolgono efficacemente da remoto. Gli incontri in presenza si concordano quando hanno un'utilità reale, ad esempio in avvio di incarico, per verifiche su impianti di videosorveglianza o per sessioni formative che l'ente preferisce tenere in sede.
L'ente sta introducendo strumenti di intelligenza artificiale: il DPO se ne occupa?
I due piani restano distinti, ma si toccano di continuo. Il RPD vigila sul trattamento dei dati personali; gli obblighi dell'AI Act ricadono sull'ente in quanto utilizzatore del sistema. Per un organismo di diritto pubblico questo può comportare adempimenti specifici, come la valutazione d'impatto sui diritti fondamentali dell'art. 27 e la registrazione prevista dall'art. 49 par. 3 per i sistemi ad alto rischio dell'Allegato III. Poiché mi occupo di entrambe le materie, l'ente non ha bisogno di due interlocutori diversi.
Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.