Studio CraveroConsulenza GDPR e DPO esterno a Frosinone
Pagina aggiornata l’8 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Frosinone? Il servizio è pensato per i fornitori e i terzisti della filiera farmaceutica, per l’automotive e la meccanica, per la sanità e per i comuni della Ciociaria, con adeguamento GDPR completo e valutazione degli obblighi AI Act.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni della provincia di Frosinone da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero, e a Frosinone servono soprattutto per preparare insieme un audit annunciato da un committente.
Frosinone Lazio
I settori del territorio e i dati che trattano: ogni pagina parte da qui.
- Fornitori e terzisti della filiera farmaceutica
- Automotive e meccanica
- Logistica e servizi agli stabilimenti
- Comuni ed enti del territorio
Consulenza GDPR e AI Act a Frosinone: chi seguo
Secondo l’osservatorio economico della Camera di Commercio di Frosinone-Latina, nel 2025 la provincia di Frosinone ha esportato per circa 9,7 miliardi di euro, e il farmaceutico da solo ne vale oltre tre quarti. Accanto c’è l’automotive, con le esportazioni di autoveicoli in calo del 12,8%, e un tessuto di imprese che cresce: nel 2025 il saldo fra iscrizioni e cessazioni è stato positivo per 384 unità, secondo Movimprese.
Per il mio lavoro il dato che conta è il primo. Intorno agli stabilimenti farmaceutici lavora una filiera di piccole e medie imprese: manutenzione degli impianti, convalide, informatica, logistica, pulizie tecniche, vigilanza, mense. Sono loro a ricevere, sempre più spesso, questionari di sicurezza, richieste di audit e contratti con clausole sui dati che fino a pochi anni fa non c’erano.
- ✓ Fornitori e terzisti della filiera farmaceutica
- ✓ Automotive e meccanica
- ✓ Logistica e servizi agli stabilimenti
- ✓ Comuni ed enti del territorio
Casi tipici in questi settori
Il tecnico che si collega da remoto al sistema di controllo della linea lo fa con un account. Se l’account è condiviso fra più persone non si sa chi ha fatto cosa, ed è una delle prime cose che un audit rileva.
Arrivano spesso in inglese e con decine di domande. Vanno compilati con quello che fai davvero, distinguendo cosa riguarda la sicurezza informatica e cosa i dati personali, e conservando le prove di ciò che dichiari.
Gestiscono badge, accessi e a volte immagini delle telecamere. Quando trattano questi dati per lo stabilimento sono responsabili ex art. 28, e i loro addetti vanno autorizzati e istruiti per iscritto (art. 29).
Nei periodi di calo dei volumi si moltiplicano turni variabili, cassa integrazione e spostamenti fra reparti. I dati usati per organizzarli toccano spesso salute e famiglia dei lavoratori: accessi ristretti, criteri scritti, tempi di conservazione definiti.
I comuni affidano a fornitori esterni protocollo, tributi, servizi scolastici: anche per loro valgono atto ex art. 28 e verifiche sui sub-responsabili. E per ogni ente il DPO è obbligatorio (art. 37 par. 1 lett. a).
I dati dei partecipanti a uno studio, anche se codificati, restano dati personali per chi conserva la chiave di decodifica. Per ospedali e case di cura il DPO è di regola obbligatorio; per il singolo studio medico di norma no.
Lavorare per il polo farmaceutico: cosa ti chiede il committente, e perché
Chi lavora per uno stabilimento farmaceutico ha visto cambiare i contratti. Arrivano questionari sulla sicurezza informatica, clausole sulla segnalazione degli incidenti, richieste di accessi nominativi ai sistemi, audit annunciati. Non è burocrazia aggiunta per caso: dietro ci sono due normative diverse, ed è utile distinguerle perché ti riguardano in modo diverso.
La prima è la NIS2. La direttiva (UE) 2022/2555, recepita in Italia con il d.lgs. 138/2024, include nel settore sanitario la fabbricazione di prodotti farmaceutici di base e di preparati farmaceutici. Le imprese di quel settore che raggiungono almeno le dimensioni di una media impresa devono adottare misure di gestione del rischio informatico, e fra queste l’art. 24, comma 2, lett. d) indica la sicurezza della catena di approvvigionamento, cioè dei rapporti con i fornitori diretti. Il fornitore di solito non diventa per questo un soggetto NIS2: gli obblighi gli arrivano attraverso il contratto.
La seconda è il GDPR, e qui il fornitore ha obblighi propri. Se per lo stabilimento gestisci dati di persone, come badge e accessi, presenze, immagini delle telecamere o sistemi informativi con gli account del personale, sei responsabile del trattamento ai sensi dell’art. 28, con obblighi diretti: tenere il registro dell’art. 30 par. 2, adottare le misure dell’art. 32, avvisare il committente senza ingiustificato ritardo quando vieni a conoscenza di una violazione (art. 33 par. 2). Se invece fai manutenzione su una linea di confezionamento e non tocchi dati personali, l’atto di nomina non serve, e firmarlo ti attribuirebbe obblighi che non corrispondono a quello che fai.
Cosa faccio in concreto. Rispondo con te al questionario, separando le domande sulla sicurezza informatica da quelle sui dati personali, e verifico che quello che dichiari corrisponda a quello che fai: una risposta ottimistica oggi diventa un inadempimento il giorno di un incidente. Poi metto in ordine le tre cose che negli audit si guardano per prime: account nominativi e non condivisi per l’accesso remoto agli impianti, una procedura scritta per segnalare un incidente al committente nei tempi del contratto, un registro come responsabile che descriva i servizi resi davvero. Per clausole di responsabilità e penali serve un legale.
Quando il DPO è obbligatorio
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria pubblica | Sempre | Organismo pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo, art. 37 par. 1 lett. a) e c). |
| Ospedale privato, casa di cura o RSA privata | Di regola sì | Trattamento su larga scala di dati relativi alla salute, art. 37 par. 1 lett. c). |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Fornitore di servizi a uno stabilimento farmaceutico | Di norma no | La nomina raramente è obbligatoria per il fornitore. Restano atto ex art. 28 se tratta dati per il committente, registro dell’art. 30 par. 2 e procedura per segnalare le violazioni. |
| Università statale, scuola o istituto pubblico di formazione | Sempre | Organismo pubblico ai sensi dell’art. 37 par. 1 lett. a). Per università ed enti di formazione privati la nomina si valuta secondo le lett. b) e c). |
| Impresa che conduce o gestisce sperimentazioni cliniche | Da valutare | Il trattamento di dati sanitari dei partecipanti può integrare la larga scala dell’art. 37 par. 1 lett. c). Dipende da numeri, durata e ruolo nella sperimentazione. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR non richiede la presenza fisica del DPO
Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per un fornitore della filiera, questionari dei committenti e registro come responsabile si preparano a distanza, documento per documento.
La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.
AI Act a Frosinone
A Frosinone l’intelligenza artificiale entra soprattutto dalla filiera. I fornitori la usano per scrivere offerte, rapporti di intervento e documentazione tecnica, spesso con abbonamenti personali dentro cui finiscono dati e specifiche del committente. Prima ancora che di AI Act qui si tratta di contratti: gli accordi di riservatezza con gli stabilimenti limitano spesso l’uso di servizi esterni, e un regolamento interno sugli strumenti generativi è il modo più semplice per non violarli. Nell’automotive il caso tipico sono le telecamere sui banchi di controllo qualità, che riprendono il pezzo e insieme le mani e il volto dell’operatore: prima di attivarle serve la verifica dello Statuto dei lavoratori con il consulente del lavoro, e se il sistema serve anche a misurare il lavoro di chi sta al banco può rientrare tra i sistemi ad alto rischio dell’allegato III dell’AI Act, con obblighi che dopo il Regolamento (UE) 2026/1744 si applicano dal 2 dicembre 2027.
Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Capita spesso che manchi, e senza quello gli obblighi non si possono nemmeno contare.
Se generate documentazione o comunicazioni con l'IA
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Le sanzioni del GDPR
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Come funziona
Cosa comprende il servizio
- DPO esterno: nomina formale, vigilanza, contatto con il Garante
- Registro dei trattamenti e informative a norma
- DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
- Audit privacy e analisi del rischio
- Formazione GDPR online con attestati
- Cookie e siti web: banner e compliance
Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Cosa resta in mano tua
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
- Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
- Informative per clienti, dipendenti, fornitori e videosorveglianza
- Nomine di responsabili, autorizzati e amministratori di sistema
- Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
- Procedura data breach con modulistica e tempi di notifica
- Materiale formativo per ruolo, con attestati e registro delle ore
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
- Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
- Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
- In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
- Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
- Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
- Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Domande frequenti — consulenza GDPR a Frosinone
Siamo fornitori di un’azienda farmaceutica: la NIS2 si applica anche a noi?
Di regola non direttamente, a meno che la vostra impresa rientri a sua volta in uno dei settori previsti dal d.lgs. 138/2024 e ne raggiunga le soglie. Il committente che vi è soggetto deve però gestire la sicurezza della propria catena di approvvigionamento (art. 24, comma 2, lett. d) e vi trasferisce requisiti attraverso il contratto: questionari, audit, tempi di segnalazione degli incidenti. Quelli vanno rispettati come obblighi contrattuali.
Il committente ci chiede di firmare una nomina a responsabile del trattamento: dobbiamo?
Dipende da cosa fate per lui. Se trattate dati personali per suo conto, come accessi, presenze, immagini o account del personale, siete responsabili ai sensi dell’art. 28 e l’atto serve. Se fate manutenzione su impianti senza toccare dati personali, spesso non lo siete, e la firma vi attribuirebbe obblighi che non vi competono. Le clausole su responsabilità e penali vanno fatte vedere a un legale.
Entro quanto dobbiamo avvisare il committente di un incidente?
Il GDPR dice senza ingiustificato ritardo (art. 33 par. 2). Il contratto fissa spesso un termine in ore, perché il committente deve a sua volta notificare al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore quando la violazione presenta un rischio e, se è soggetto NIS2, deve inviare una pre-notifica al CSIRT entro 24 ore da quando viene a conoscenza di un incidente significativo. Il termine contrattuale va rispettato: serve una procedura interna che lo renda possibile anche di notte o nel fine settimana.
Quanto costa un DPO esterno a Frosinone?
Dipende dai trattamenti e dalla dimensione dell’organizzazione. Per molti fornitori il primo passo utile non è la nomina di un DPO ma la risposta corretta al questionario del committente e il registro come responsabile. Se avete un audit in calendario, portate alla prima valutazione gratuita il questionario ricevuto.
Seguite tutta la provincia o solo Frosinone città?
Tutta la provincia: Cassino, Anagni, Ferentino, Alatri, Sora, Ceccano, Fiuggi, Pontecorvo e le aziende con più unità locali. Il lavoro si svolge da remoto, con sopralluoghi concordati quando servono, per esempio prima di un audit.
Hai bisogno di consulenza GDPR o di un DPO a Frosinone?
Richiedi una valutazione gratuita: ti dico cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.
Consulenza GDPR e DPO esterno anche a: Latina · Roma · Caserta · Isernia · L'Aquila e in tutta Italia.