Studio CraveroConsulenza GDPR e DPO esterno a Crotone
Pagina aggiornata l’8 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Crotone? Il servizio è pensato per studi medici, laboratori, centri di fisioterapia e farmacie, per l’agroalimentare, per la ricettività della costa e per i comuni del Crotonese, con adeguamento GDPR completo e valutazione degli obblighi AI Act.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni della provincia di Crotone da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero, e a Crotone servono soprattutto per sistemare con lo studio il telefono e i canali con cui parla ai pazienti.
Crotone Calabria
I settori del territorio e i dati che trattano: ogni pagina parte da qui.
- Studi medici, laboratori e fisioterapia
- Farmacie e servizi alla persona
- Agroalimentare e aziende agricole
- Ricettività sulla costa
- Comuni ed enti del territorio
Consulenza GDPR e AI Act a Crotone: chi seguo
La provincia di Crotone ha chiuso il 2025 con più imprese di quante ne avesse all’inizio: secondo Movimprese il saldo fra iscrizioni e cessazioni è di 92 unità, +0,51%. Agricoltura e agroalimentare, commercio, ricettività sulla costa, e una rete di studi medici, laboratori, centri di fisioterapia e farmacie che serve un territorio ampio.
Per il mio lavoro è quest’ultima rete a meritare attenzione. Nei piccoli studi il canale con i pazienti è diventato il telefono: si prenota in chat, si manda la foto della ricetta, si riceve il referto in chat. È comodo per tutti, ed è anche il punto in cui i dati sanitari escono più facilmente dal controllo di chi ne è responsabile.
- ✓ Studi medici, laboratori e fisioterapia
- ✓ Farmacie e servizi alla persona
- ✓ Agroalimentare e aziende agricole
- ✓ Ricettività sulla costa
- ✓ Comuni ed enti del territorio
Casi tipici in questi settori
Il referto mandato in chiaro all’indirizzo o al numero sbagliato è una violazione. Meglio un canale con accesso protetto, o almeno un file cifrato con la password comunicata per altra via.
La farmacia che prenota esami e servizi per i clienti tratta dati sanitari anche quando non dispensa farmaci. Gli accessi ai portali vanno nominativi, non credenziali condivise al banco, e il servizio va previsto nel registro e nell’informativa.
Nelle aziende agricole i documenti dei lavoratori stagionali arrivano spesso in foto via chat al titolare o al consulente. Vanno archiviati dove devono stare e cancellati dalla galleria del telefono, non lasciati lì per anni.
I documenti degli ospiti arrivano spesso in foto via chat prima dell’arrivo. Non sostituiscono l’identificazione richiesta dalle regole di pubblica sicurezza: vanno usati solo per la comunicazione dovuta e poi cancellati dal telefono, non conservati per anni.
Per ogni comune il DPO è obbligatorio, art. 37 par. 1 lett. a), e i suoi dati di contatto vanno comunicati al Garante. Per i comuni piccoli il par. 3 consente un DPO condiviso fra più enti.
Prenotazioni e referti in chat: cosa cambia quando il dato è sanitario
Un messaggio che conferma una visita può già essere un dato relativo alla salute: dice che quella persona è in cura presso quello studio. La foto di una ricetta, una domanda sui sintomi, un referto in PDF lo sono senza dubbio. Sono le categorie particolari dell’art. 9, e per esse il Regolamento chiede misure di sicurezza adeguate al rischio, che per questi dati è di norma più elevato (art. 32).
Il problema non è l’app, è il telefono. Quando lo studio usa il numero personale del medico o della segretaria, le chat dei pazienti stanno su un dispositivo privato, si mescolano con quelle di famiglia, finiscono nei backup personali sul cloud e restano lì anche quando la collaboratrice cambia lavoro. Lo studio, che è titolare del trattamento, non sa più dove siano i dati dei suoi pazienti né chi vi acceda.
Cosa faccio in concreto. Non propongo di abbandonare la chat: i pazienti la usano e continueranno a usarla. Propongo un numero dello studio su un dispositivo dello studio, con blocco e cifratura attivi e un elenco di chi può usarlo; regole scritte su cosa si scrive in chat e cosa no, con orari e promemoria sì e referti attraverso un canale con accesso protetto; backup che non finiscano negli account personali; un’informativa che dica ai pazienti come viene usato il canale. Poi si decide cosa fare delle chat vecchie rimaste sui telefoni personali.
Se il telefono si perde. Un telefono smarrito con le chat dei pazienti è una violazione dei dati personali. Va sempre annotata nel registro delle violazioni (art. 33 par. 5); se presenta un rischio per i pazienti va notificata al Garante entro 72 ore, e se il rischio è elevato vanno avvisati anche i pazienti (art. 34). Un telefono cifrato, con blocco e cancellazione da remoto attivi, cambia molto quella valutazione: per questo le misure si decidono prima.
Quando il DPO è obbligatorio
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria pubblica | Sempre | Organismo pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo, art. 37 par. 1 lett. a) e c). |
| Ospedale privato, casa di cura o RSA privata | Di regola sì | Trattamento su larga scala di dati relativi alla salute, art. 37 par. 1 lett. c). |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Studio medico, fisioterapico o odontoiatrico | Di norma no | Il trattamento del singolo professionista non è di regola su larga scala (considerando 91). Restano registro, informative, nomine dei fornitori e misure adeguate ai dati dell’art. 9. |
| Università statale, scuola o istituto pubblico di formazione | Sempre | Organismo pubblico ai sensi dell’art. 37 par. 1 lett. a). Per università ed enti di formazione privati la nomina si valuta secondo le lett. b) e c). |
| Laboratorio di analisi o poliambulatorio con molti pazienti | Da valutare | Volumi elevati di dati sanitari possono integrare la larga scala dell’art. 37 par. 1 lett. c). Dipende da numero di pazienti, area servita e durata del trattamento. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR non richiede la presenza fisica del DPO
Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per uno studio sanitario le regole sulla chat e la procedura per le violazioni si scrivono a distanza, insieme a chi le dovrà applicare.
La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.
AI Act a Crotone
A Crotone l’intelligenza artificiale arriva negli studi sanitari quasi sempre senza essere stata scelta: gestionali che trascrivono la visita, propongono la sintesi del referto, rispondono ai pazienti in chat. Lavorano su dati sanitari, e quindi vanno censiti, inseriti nel registro e regolati con il fornitore come ogni altro trattamento, chiedendo dove vengono elaborati i dati e se vengono usati per addestrare il modello. Nell’agroalimentare l’IA entra invece dalla gestione: software che pianificano la raccolta e assegnano le squadre. Se il sistema è destinato ad assegnare compiti in base al comportamento o a valutare le prestazioni di chi lavora può rientrare tra i sistemi ad alto rischio dell’allegato III dell’AI Act, con obblighi che dopo il Regolamento (UE) 2026/1744 si applicano dal 2 dicembre 2027.
Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Capita spesso che manchi, e senza quello gli obblighi non si possono nemmeno contare.
Se generate documentazione o comunicazioni con l'IA
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Le sanzioni del GDPR
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Come funziona
Cosa comprende il servizio
- DPO esterno: nomina formale, vigilanza, contatto con il Garante
- Registro dei trattamenti e informative a norma
- DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
- Audit privacy e analisi del rischio
- Formazione GDPR online con attestati
- Cookie e siti web: banner e compliance
Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Cosa resta in mano tua
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
- Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
- Informative per clienti, dipendenti, fornitori e videosorveglianza
- Nomine di responsabili, autorizzati e amministratori di sistema
- Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
- Procedura data breach con modulistica e tempi di notifica
- Materiale formativo per ruolo, con attestati e registro delle ore
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
- Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
- Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
- In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
- Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
- Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
- Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Domande frequenti — consulenza GDPR a Crotone
Possiamo usare un’app di messaggistica per le prenotazioni dello studio?
Sì, con alcune accortezze. Meglio un numero dello studio su un dispositivo dello studio, protetto da blocco e cifratura, con un elenco di chi lo usa, piuttosto che il telefono personale del medico o della segretaria. Le regole su cosa si scrive in chat vanno messe per iscritto, e l’informativa deve dire ai pazienti come viene usato il canale.
Possiamo mandare i referti in chat?
Il Regolamento non vieta un canale specifico, ma il referto è il dato sanitario più completo che lo studio gestisce, e le misure devono essere adeguate a quel rischio. La soluzione più prudente è un canale con accesso protetto, oppure un file cifrato con la password comunicata per altra via. Qualunque scelta si faccia, va motivata e scritta, e il paziente deve saperlo.
Abbiamo perso il telefono dello studio: cosa dobbiamo fare?
È una violazione dei dati personali e va annotata nel registro delle violazioni. Se presenta un rischio per i pazienti va notificata al Garante entro 72 ore da quando ve ne siete accorti; se il rischio è elevato vanno informati anche i pazienti. Prima della valutazione conviene attivare subito il blocco e la cancellazione da remoto, se disponibili.
Quanto costa un DPO esterno a Crotone?
Il singolo studio medico di norma non è obbligato a nominare un DPO, mentre un laboratorio o un poliambulatorio con molti pazienti può esserlo, e il lavoro cambia di conseguenza. Per uno studio spesso bastano poche regole sul telefono e sui referti: la prima valutazione, gratuita, serve a capire in quale dei due casi sei.
Seguite tutta la provincia o solo Crotone città?
Tutta la provincia: Isola di Capo Rizzuto, Cirò Marina, Cutro, Petilia Policastro, Strongoli, Rocca di Neto, Mesoraca e le strutture con più sedi. Il lavoro si svolge da remoto, con sopralluoghi concordati quando servono.
Hai bisogno di consulenza GDPR o di un DPO a Crotone?
Richiedi una valutazione gratuita: ti dico cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.
Consulenza GDPR e DPO esterno anche a: Catanzaro · Cosenza · Reggio Calabria · Taranto · Matera e in tutta Italia.