Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Grosseto? Seguo agriturismi e aziende agricole con attività ricettiva, strutture della costa, sanità territoriale, comuni ed enti della Maremma, con adeguamento GDPR completo e valutazione degli obblighi AI Act.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni della provincia di Grosseto da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero, e in Maremma servono soprattutto dove le strutture sono distanti dall’ufficio.
La Maremma ha una particolarità che altrove quasi non si presenta: la stessa partita IVA è spesso due attività insieme. Grosseto è la prima provincia toscana per posti letto in agriturismo — oltre settemila, in una regione che da sola vale il 21,8% dell’offerta agrituristica nazionale — e un agriturismo non è un albergo con le galline: è un’azienda agricola che ospita. Sotto lo stesso titolare convivono i dati dei lavoratori stagionali e quelli degli ospiti, con basi giuridiche diverse, tempi di conservazione diversi e, quasi sempre, un solo impianto di videosorveglianza che inquadra tutto.
Accanto a questo c’è un territorio ampio e poco denso: 28.768 imprese registrate in provincia, distribuite su una superficie che è fra le più estese d’Italia. Questo cambia il modo in cui i dati si muovono. La sanità funziona per presidi distribuiti, i comuni sono tanti e piccoli, le aziende agricole hanno uffici a chilometri dai campi. Il risultato ricorrente è che i documenti viaggiano: per posta elettronica ordinaria, su chiavette, in cartaceo dentro un’auto. È l’anello dove, in provincia di Grosseto, si rompono più spesso le misure di sicurezza dell’art. 32.
Un solo titolare, due mondi: i braccianti stagionali da un lato, gli ospiti dall’altro. Le basi giuridiche non coincidono, i tempi di conservazione nemmeno, e il registro dei trattamenti deve coprirli entrambi. È l’errore più frequente in provincia: se ne tiene uno solo, quasi sempre quello della parte ricettiva.
Chi serve i propri prodotti chiede al cliente allergie e intolleranze, spesso via messaggio al momento della prenotazione. Sono dati relativi alla salute ai sensi dell’art. 9: servono una base giuridica specifica e una cancellazione dopo il soggiorno, non un foglio di calcolo che cresce di stagione in stagione.
Decine di persone assunte per poche settimane, spesso tramite cooperative o agenzie. Chi è titolare dei loro dati e chi responsabile va stabilito per iscritto prima della campagna, non dopo: senza nomina ex art. 28 l’intermediario tratta dati altrui senza titolo, e l’azienda risponde comunque.
Una provincia vasta e poco densa significa case della salute, ambulatori periferici e referti che si spostano fra strutture. Il punto critico non è il gestionale, è il tragitto: posta elettronica ordinaria, supporti rimovibili e cartaceo in transito sono la parte più scoperta dell’art. 32.
Per l’ente pubblico il DPO è sempre obbligatorio e i suoi dati di contatto vanno pubblicati e comunicati al Garante. In Maremma si aggiungono i consorzi che trattano dati catastali e dei proprietari su base provinciale: banche dati grandi, accessi da regolare, e spesso nessun registro aggiornato.
È il nodo specifico di questa provincia, e non è una sottigliezza. Un’azienda agricola che fa ospitalità svolge due attività che il Regolamento tratta in modo diverso, sotto un’unica ragione sociale. Distinguerle sulla carta cambia tre cose concrete.
Le basi giuridiche. Il rapporto con l’ospite si fonda sul contratto, e su un obbligo di legge per la comunicazione degli alloggiati alla questura. Il rapporto con il lavoratore si fonda sul contratto e su una lunga serie di obblighi previdenziali e di sicurezza. Sono percorsi separati: un’informativa unica che li mescola non informa nessuno dei due.
I tempi. I dati di una prenotazione servono per la durata del soggiorno e per il tempo necessario ad adempimenti fiscali e alla difesa in giudizio. I dati del personale seguono i termini del rapporto di lavoro e gli obblighi documentali, che sono molto più lunghi. Tenerli nello stesso archivio significa, nella pratica, conservare tutto per il periodo più lungo dei due: il contrario del principio di limitazione.
Le telecamere. È qui che il doppio cappello si vede meglio. L’impianto che sorveglia l’aia, il magazzino o il ricovero mezzi inquadra spesso anche il parcheggio o l’ingresso degli ospiti, e quasi sempre riprende dei lavoratori. Quando da un impianto deriva anche solo la possibilità di controllare a distanza l’attività dei dipendenti, l’art. 4 dello Statuto dei lavoratori chiede l’accordo sindacale oppure l’autorizzazione dell’Ispettorato del lavoro: un requisito che viene prima del GDPR e che nelle aziende agricole manca quasi sempre, perché l’impianto è stato messo per i furti in campagna e nessuno ha pensato ai dipendenti.
Non serve separare le società. Serve che il registro dei trattamenti abbia due sezioni, che le informative siano due, e che l’impianto di videosorveglianza abbia il titolo che gli compete.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Azienda agricola con attività ricettiva | Di norma no | I numeri raramente integrano la larga scala. Restano dovuti registro con due sezioni, informative separate e titolo per la videosorveglianza. |
| Università o istituzione formativa | Sempre | Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca. |
| Struttura ricettiva di grandi dimensioni o catena di campeggi | Da valutare | Migliaia di ospiti a stagione, videosorveglianza diffusa e dati sulle intolleranze possono integrare il monitoraggio su larga scala. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.
La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.
In Maremma l’intelligenza artificiale entra da due porte, e nessuna delle due ha l’aria di un progetto tecnologico. La prima è la ricettività: motori di prezzo dinamico, chatbot che rispondono alle richieste di prenotazione, sistemi che assegnano le camere. Trattano dati di persone e prendono decisioni che le riguardano, quindi vanno censiti e classificati anche se sono arrivati dentro il gestionale senza che nessuno li abbia scelti. La seconda è l’agricoltura di precisione: droni, sensori, immagini satellitari per l’irrigazione e i trattamenti. L’analisi del terreno non riguarda persone, ma nel momento in cui il drone riprende chi lavora nei campi, o il sistema misura la produttività di una squadra, si passa dal dato agronomico al dato personale senza accorgersene.
Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Quasi nessuno ce l’ha, e senza quello gli obblighi non si possono nemmeno contare.
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
No, il registro è uno solo, ma deve avere due sezioni distinte. L’attività agricola e quella ricettiva hanno finalità, basi giuridiche, categorie di interessati e tempi di conservazione diversi: descriverle come se fossero un’unica attività rende il registro inservibile proprio nel momento in cui serve, cioè davanti a una richiesta del Garante o a un data breach.
Sì. Un’informazione su allergie o intolleranze rivela uno stato di salute e rientra fra le categorie particolari dell’art. 9. Questo non impedisce di raccoglierla — serve per non far male a nessuno — ma impone di individuare la condizione dell’art. 9 par. 2 che la legittima, di limitarla a chi in cucina ne ha davvero bisogno e di cancellarla dopo il soggiorno, invece di lasciarla nello storico delle prenotazioni.
Serve un passaggio che viene prima del GDPR. Quando da un impianto deriva anche solo la possibilità di controllare a distanza l’attività dei lavoratori, l’art. 4 dello Statuto dei lavoratori richiede l’accordo con le rappresentanze sindacali oppure l’autorizzazione dell’Ispettorato territoriale del lavoro. Solo dopo si passa a informativa, cartelli, tempi di conservazione e regolamento di utilizzo.
Dipende dai trattamenti e dalla dimensione dell’organizzazione, non da un listino a forfait. Un comune con più sedi e videosorveglianza richiede un impegno diverso da un’azienda agricola con dodici stagionali. La prima videochiamata serve proprio a capire quale delle due situazioni è la tua, ed è gratuita.
Tutta la provincia: Follonica, Orbetello, Monte Argentario, Castiglione della Pescaia, Massa Marittima, Manciano, Scansano, Pitigliano, l’Amiata grossetana e le aziende con più unità locali sparse sul territorio. La distanza non cambia il modo di lavorare, che è da remoto con sopralluoghi concordati.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.
Seguo aziende ed enti anche a: Siena · Livorno · Arezzo · Pisa · Perugia e in tutta Italia.
Studio Cravero