Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Gorizia? Seguo imprese con attività a cavallo del confine, cantieristica e metalmeccanica, aziende vitivinicole del Collio, strutture sanitarie ed enti pubblici della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Gorizia da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Gorizia è l'unico capoluogo italiano il cui tessuto economico si legge come un sistema unico con una città di un altro Stato. Lavoratori che risiedono in Slovenia e prestano servizio in Italia, imprese con stabilimenti sui due lati, gruppi con la casa madre a Lubiana e la controllata in provincia, pazienti e studenti che attraversano il confine con regolarità. Sul piano del GDPR questo non crea un problema di trasferimento internazionale, perché la Slovenia è nell'Unione, ma crea un problema più sottile e più spesso trascurato: stabilire chi è titolare di che cosa, quale autorità di controllo è competente e quale legge nazionale si applica alle materie che il Regolamento lascia agli Stati, a partire dai rapporti di lavoro.
Accanto a questo c'è un'industria pesante concentrata sulla costa provinciale, con sorveglianza sanitaria estesa e catene di appalto lunghe, e un comparto vitivinicolo di alta gamma che vende in mezzo mondo e ha quindi flussi commerciali e strumenti di marketing ben più sofisticati della propria dimensione aziendale.
Sistemi HR condivisi, gestionali unici e archivi centralizzati fra la società italiana e quella slovena: vanno decisi contitolarità o titolarità separate, e va individuato lo stabilimento principale, perché da quello dipende l'autorità capofila.
Sorveglianza sanitaria su numeri elevati, controllo accessi ai cantieri, imprese appaltatrici e subappaltatrici: ogni anello della catena va coperto da nomine a responsabile e istruzioni scritte, comprese le imprese estere.
Newsletter, e-commerce, wine club, cataloghi e piattaforme di prenotazione delle visite: dati commerciali gestiti quasi sempre su strumenti statunitensi, con la questione dei trasferimenti da documentare per davvero.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Impresa con stabilimenti in Italia e in Slovenia | Da valutare | La nomina segue i trattamenti, non i confini. Se serve, un solo DPO può coprire il gruppo, purché sia raggiungibile da ogni stabilimento. |
| Cantiere o stabilimento con sorveglianza sanitaria estesa | Quasi sempre | Giudizi di idoneità ed esposizioni monitorate su centinaia di lavoratori configurano trattamento su larga scala ex art. 9. |
| Azienda vitivinicola con e-commerce e wine club | Di norma no | Restano dovuti registro, informative, cookie a consenso preventivo e valutazione dei trasferimenti verso Paesi terzi. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di lavorare, non che sieda in azienda. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative, gestibili in digitale con un canale diretto e tempi di risposta concordati. Per un'impresa transfrontaliera questo è anzi il modello naturale: il punto di riferimento resta uno solo anche quando le sedi sono due e in due Stati.
La presenza serve dove il dato è fisico: la posizione delle telecamere in stabilimento, l'archivio del servizio sociale di un comune, il funzionamento reale del varco di un cantiere. Si concentra in uno o due sopralluoghi all'anno.
Sul Goriziano l'intelligenza artificiale entra dalle porte più industriali: ispezione automatica delle saldature, controllo dimensionale, manutenzione predittiva, pianificazione delle commesse. Sono impieghi che guardano pezzi e macchine, e il quadro resta leggero. Diventa serio quando la visione artificiale installata per la sicurezza inizia a rilevare comportamenti dei lavoratori, e quando un gruppo transfrontaliero adotta lo stesso sistema HR su entrambi i lati del confine senza chiedersi chi sia fornitore e chi utilizzatore. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a Gorizia →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Non sul piano dei trasferimenti, perché la Slovenia applica il GDPR come l'Italia e non è un Paese terzo. Cambia sul piano della legge applicabile alle materie che il Regolamento lascia agli Stati membri: il rapporto di lavoro, il controllo a distanza, la conservazione di alcuni documenti. Per il lavoratore che presta servizio in Italia valgono le regole italiane, art. 4 dello Statuto dei lavoratori compreso, indipendentemente da dove risiede.
Dipende da dove si trova lo stabilimento principale, cioè il luogo in cui si prendono le decisioni sulle finalità e sui mezzi dei trattamenti. Se le decisioni maturano nella capogruppo slovena, l'autorità capofila è quella slovena e il Garante italiano interviene come autorità interessata. È una scelta che conviene documentare a monte, non ricostruire dopo un reclamo.
Sì, l'art. 37 par. 2 lo consente espressamente per un gruppo imprenditoriale, a condizione che sia facilmente raggiungibile da ciascuno stabilimento. La condizione va presa sul serio: raggiungibile significa che i dipendenti e gli interessati sanno come contattarlo e ricevono risposta in una lingua che comprendono.
Dipende dai trattamenti e dalla dimensione dell'organizzazione, non da un listino a forfait. Un ente con dati sanitari, videosorveglianza e più sedi richiede un impegno diverso da uno studio con otto dipendenti. La prima videochiamata di valutazione è gratuita e serve proprio a fissare il perimetro prima di parlare di cifre.
Tutta la provincia: Monfalcone, Ronchi dei Legionari, Gradisca d'Isonzo, Cormons, Staranzano, Grado e i comuni del Collio, incluse le realtà con unità su entrambi i lati del confine.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a Gorizia · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Trieste · Udine · Pordenone · Venezia e in tutta Italia.
Studio Cravero