Pagina aggiornata all'8 settembre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Foggia? Seguo imprese agroalimentari e di trasformazione, cooperative, operatori della logistica, strutture sanitarie, studi professionali ed enti della Capitanata, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Foggia da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Il tessuto della Capitanata è dominato da filiere agroalimentari lunghe: produzione, raccolta, trasformazione, confezionamento e distribuzione passano spesso per soggetti diversi, collegati da contratti di fornitura e da cooperative. Sul piano privacy il punto critico non sono i dati dei clienti, che in molti casi sono altre imprese, ma i dati del personale e della manodopera stagionale: assunzioni brevi e ripetute, gestione tramite agenzie e cooperative, rilevazione delle presenze in campo, controllo degli accessi agli stabilimenti. Sono trattamenti a rotazione rapida, dove il registro invecchia in fretta e le nomine restano indietro. A questo si somma una sanità pubblica di dimensioni rilevanti e una rete di comuni per i quali il DPO è obbligatorio senza soglie.
Presenze in campo, badge di stabilimento, videosorveglianza dei magazzini e dati dei fornitori: il registro dei trattamenti va costruito sul ciclo produttivo, non su un modello generico.
Quando il personale arriva tramite cooperativa i ruoli di titolare e responsabile vanno definiti per iscritto: senza quell'accordo la responsabilità ricade comunque sull'impresa utilizzatrice.
Cartelle, referti, prenotazioni e accessi degli operatori: dati particolari che richiedono misure rafforzate e quasi sempre una valutazione d'impatto.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in azienda. Registro, informative, nomine, valutazioni d'impatto e formazione sono attività documentali. Per le imprese agroalimentari e per i comuni della Capitanata, dove quasi mai esiste una funzione privacy interna, la supervisione esterna in digitale è la sola soluzione praticabile senza creare una struttura dedicata.
Nell'agroalimentare l'intelligenza artificiale entra dalla selezione ottica dei prodotti e dalla manutenzione predittiva degli impianti, dove tocca poco i dati personali, ma anche dalla gestione del personale e dalla videosorveglianza intelligente degli stabilimenti, dove li tocca eccome. La distinzione conta, perché determina quali obblighi si applicano e quali no. L'AI Act tratta questi casi in modo molto diverso, e il primo passo è sempre lo stesso: sapere quali sistemi sono già in uso e a che titolo. Trovi la classificazione del rischio e le scadenze nella guida ai livelli di rischio e nella pagina assessment AI Act.
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
Di norma no. L'obbligo scatta per gli enti pubblici, per il monitoraggio sistematico su larga scala e per il trattamento su larga scala di dati particolari. Restano comunque dovuti registro, informative, nomine e misure di sicurezza. C'è però una situazione che va verificata caso per caso: se lo stabilimento usa videosorveglianza estesa o sistemi biometrici per gli accessi, la valutazione cambia e può rendere opportuna la nomina anche quando non è formalmente imposta.
Sono trattamenti ordinari sotto il profilo della base giuridica, perché discendono dal rapporto di lavoro e dagli obblighi di legge, ma diventano critici per il volume e la rotazione: molte assunzioni brevi, spesso ripetute negli anni, con dati che restano negli archivi. I punti da definire sono i tempi di conservazione, chi ha accesso agli elenchi e come circolano fra azienda, cooperativa e consulente del lavoro.
Sì. L'art. 37 par. 1 lett. a rende la nomina obbligatoria per tutte le autorità e gli organismi pubblici, senza soglie dimensionali. Più comuni possono designare un DPO unico tenendo conto della struttura organizzativa, ed è la strada che diverse unioni della Capitanata percorrono per contenere i costi.
Il servizio copre l'intera provincia di Foggia: Cerignola, Manfredonia, San Severo, Lucera, Vieste e i comuni del Tavoliere e del Gargano, incluse le realtà con più unità locali.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Bari · Barletta · Campobasso · Potenza
Studio Cravero