Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a L'Aquila? Seguo enti pubblici regionali e locali, università e centri di ricerca, imprese e consorzi della ricostruzione, strutture sanitarie e studi professionali della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di L'Aquila da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
L'Aquila ha una composizione poco comune per una città di queste dimensioni. C'è una concentrazione di amministrazione pubblica superiore alla media, essendo capoluogo di regione; c'è un polo universitario e di ricerca di rilievo internazionale, con l'ateneo, il Gran Sasso Science Institute e i laboratori sotterranei dell'INFN; e c'è ancora, a distanza di anni, un'economia della ricostruzione fatta di consorzi, imprese, professionisti tecnici e contributi pubblici da rendicontare.
Sono tre mondi con tre problemi privacy diversi. La PA tratta dati di cittadini per obbligo di legge e risponde a regole di trasparenza che si intrecciano con la protezione dei dati. La ricerca tratta dati di studenti, ricercatori e partecipanti a studi, spesso in progetti con partner esteri. La filiera della ricostruzione muove dati di lavoratori attraverso catene di appalto lunghe, dove la posizione di ciascuno va messa per iscritto.
Referti, gestionali di prenotazione e archivi clinici: dati particolari che richiedono misure rafforzate e quasi sempre una valutazione d'impatto.
Albo pretorio, amministrazione trasparente, istanze e pratiche edilizie: pubblicare quanto la legge impone senza esporre più dati del dovuto è un equilibrio che va documentato.
Dati di studenti, ricercatori e partecipanti a studi, spesso condivisi con partner esteri: servono basi giuridiche chiare e accordi che definiscano chi è titolare di cosa.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Regione, comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali. |
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Università o ente di ricerca pubblico | Sempre | Natura pubblica del soggetto, a cui si aggiungono i trattamenti su studenti e partecipanti a studi. |
| Consorzio o impresa con molte imprese in appalto | Da valutare | Gestione continuativa di dati di centinaia di lavoratori esterni, con sorveglianza sanitaria e controllo accessi. |
| Studio tecnico o impresa edile | Di norma no | Restano dovuti registro, informative, nomine, formazione e la disciplina dei rapporti con i committenti pubblici. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in ufficio. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative, che si gestiscono in digitale con un canale diretto e tempi di risposta certi.
Per gli enti aquilani, spesso piccoli e con personale ridotto, il DPO esterno da remoto è la soluzione ordinaria e pienamente ammessa: quello che conta è che i contatti siano pubblicati sul sito istituzionale, come impone l'art. 37 par. 7, e che la risposta arrivi nei tempi quando un cittadino esercita un diritto o si sospetta una violazione.
All'Aquila l'AI Act tocca soprattutto il mondo della formazione e della ricerca, che è anche quello dove il Regolamento è più severo e meno conosciuto: l'Allegato III classifica ad alto rischio i sistemi usati per l'ammissione ai percorsi formativi, per valutare gli studenti e per sorvegliare gli esami. Negli enti pubblici il tema è invece la trasparenza verso il cittadino e il divieto di far decidere a un algoritmo l'esito di un procedimento. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a L'Aquila →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Sì, senza eccezioni. L'art. 37 par. 1 lett. a) lega l'obbligo alla natura pubblica del soggetto, non alla popolazione. Più enti possono nominare un unico DPO, soluzione frequente e ammessa purché la figura resti effettivamente raggiungibile da ciascuno e i contatti siano pubblicati sul sito istituzionale.
Non in conflitto, ma vanno conciliate. L'obbligo di pubblicazione è tassativo: si pubblica quello che la norma impone, nella misura che impone, e non oltre. I dati eccedenti vanno oscurati prima della pubblicazione, e i documenti vanno rimossi alla scadenza dei termini. È uno dei rilievi più ricorrenti sugli enti locali.
Va stabilito espressamente nell'accordo, prima di iniziare. Quando due o più soggetti determinano insieme finalità e mezzi si configura una contitolarità ex art. 26, che richiede un accordo scritto con la ripartizione delle responsabilità e un punto di contatto per gli interessati. Lasciarlo implicito è l'errore più comune.
Il servizio copre l'intera provincia: Avezzano, Sulmona, Celano, Castel di Sangro, Pratola Peligna e i comuni della Marsica, della Valle Peligna e dell'Alto Sangro, incluse le realtà con più sedi.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a L'Aquila · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Pescara · Teramo · Chieti · Roma e in tutta Italia.
Studio Cravero