Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Forlì? Seguo strutture sanitarie e centri di ricerca, aziende aeronautiche e meccaniche, agroalimentare, enti pubblici e realtà universitarie della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Forlì da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Forlì ha una caratteristica che sposta il baricentro degli obblighi privacy rispetto ad altre province romagnole: la presenza, sul territorio provinciale, di sanità e ricerca clinica insieme. Dove si fa ricerca, il dato sanitario non viene solo trattato per curare: viene conservato oltre la cura, riutilizzato per finalità diverse da quelle originarie, talvolta condiviso con centri esterni e con sponsor. È il terreno in cui le regole ordinarie del GDPR incontrano quelle sulla ricerca, il regime dei dati genetici e le prescrizioni del Garante, e in cui il consenso al trattamento non coincide quasi mai con il consenso informato all'atto medico.
Accanto a questo c'è un tessuto industriale con due anime: meccanica e aeronautica da un lato, agroalimentare e arredo dall'altro. Sono comparti dove i trattamenti critici non sono i dati dei clienti ma quelli dei lavoratori: sorveglianza sanitaria, badge, controllo accessi e, sempre più spesso, telecamere che vengono installate per la sicurezza e finiscono per osservare le persone.
Studi clinici, biobanche, riutilizzo secondario dei dati e flussi verso centri coordinatori e sponsor: servono base giuridica corretta, DPIA e una separazione netta fra consenso informato all'atto medico e base giuridica del trattamento.
Sorveglianza sanitaria, certificazioni del personale tecnico, controllo accessi alle aree sensibili e tracciabilità degli interventi: dati dei lavoratori conservati a lungo per obblighi tecnici, che vanno comunque motivati e limitati.
Manodopera stagionale, sistemi di rilevazione presenze, videosorveglianza degli stabilimenti e tracciabilità di filiera: catene di appalto da coprire con nomine a responsabile e istruzioni scritte, fino all'ultimo anello.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Centro di ricerca o struttura che conduce studi clinici | Sempre | Trattamento su larga scala di dati relativi alla salute e talvolta genetici: la nomina discende dall'art. 37 par. 1 lett. c). |
| Università o istituzione formativa | Sempre | Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca. |
| Stabilimento industriale con sorveglianza sanitaria estesa | Quasi sempre | Giudizi di idoneità ed esposizioni monitorate su centinaia di lavoratori configurano trattamento su larga scala ex art. 9. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.
La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.
A Forlì l'intelligenza artificiale ha due traiettorie molto diverse. In sanità e nella ricerca entra sui dati delle persone, e quasi sempre in una casella pesante: supporto diagnostico, stratificazione del rischio, selezione dei pazienti eleggibili a uno studio sono tutti impieghi che l'Allegato III o la disciplina sui dispositivi medici collocano fra i sistemi ad alto rischio. Nell'industria entra invece sulle macchine — controllo dimensionale, manutenzione predittiva, ispezione dei componenti — e il quadro resta leggero finché le telecamere non passano dal pezzo a chi lo lavora. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a Forlì →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
No, sono due piani distinti. Il consenso informato è richiesto dalla disciplina sulla sperimentazione e riguarda la partecipazione alla ricerca; la base giuridica del trattamento va individuata separatamente fra quelle degli artt. 6 e 9 del GDPR, che per la ricerca in ambito sanitario è spesso l'interesse pubblico rilevante unito alle garanzie previste. Confondere i due piani è il rilievo più frequente nella documentazione degli studi.
Talvolta sì, ma non automaticamente. Va verificata la compatibilità della nuova finalità con quella originaria, individuata la base giuridica corretta e valutate le garanzie: minimizzazione, pseudonimizzazione, limiti di accesso. Per le categorie particolari servono inoltre le condizioni dell'art. 9 e, in molti casi, una valutazione d'impatto preventiva.
Sì, praticamente sempre. Il trattamento sistematico di dati relativi alla salute su numeri significativi integra il presupposto dell'art. 37 par. 1 lett. c), e a questo si aggiunge la natura pubblica dell'ente quando ricorre. Il DPO va inoltre coinvolto nelle valutazioni d'impatto, che nella ricerca clinica sono la regola e non l'eccezione.
Dipende dai trattamenti e dalla dimensione dell'organizzazione, non da un listino a forfait. Un ente con dati sanitari, videosorveglianza e più sedi richiede un impegno diverso da uno studio con otto dipendenti. La prima videochiamata di valutazione è gratuita e serve proprio a fissare il perimetro prima di parlare di cifre.
Tutta l'area: Cesena, Cesenatico, Forlimpopoli, Savignano sul Rubicone, Meldola, Bertinoro, Predappio e i comuni delle vallate, incluse le realtà con più unità locali in Romagna.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a Forlì · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Bologna · Ravenna · Rimini · Modena e in tutta Italia. · Pesaro
Studio Cravero