Consulenza GDPR e DPO esterno a Lecco

Consulenza GDPR e AI Act a Lecco: chi seguo

L’Ufficio Studi della Camera di Commercio Como-Lecco lo scrive così: l’area lecchese esprime da sempre una forte concentrazione di imprese metalmeccaniche, fatta di subfornitori specializzati e medie imprese leader in nicchie di mercato. È un tessuto industriale che ha una caratteristica poco appariscente ma decisiva per il mio lavoro: è vecchio, nel senso migliore del termine. Molte di queste aziende sono in attività da quaranta o cinquant’anni, spesso alla seconda o terza generazione della stessa famiglia.

Questo significa archivi. Fascicoli del personale di gente andata in pensione negli anni Novanta, schede clienti mai ripulite, curricula di candidati mai assunti, un server in un locale al piano interrato con dentro venti anni di cartelle, e i dati delle stesse persone replicati in tre posti diversi perché nel frattempo si è cambiato gestionale due volte. Il principio di limitazione della conservazione dell’art. 5, paragrafo 1, lettera e) non è un tecnicismo: è l’adempimento che in queste aziende manca sempre, e che nessuno affronta perché buttare fa più paura che tenere.

• ✓ Metalmeccanica e subfornitura
• ✓ Aziende familiari con archivi storici
• ✓ Medie imprese che esportano
• ✓ Comuni ed enti del territorio

Casi tipici in questi settori

Quarant’anni di archivi e nessuno che decide cosa buttare

È il nodo delle aziende di questo territorio, e ha una ragione comprensibile: in un’impresa familiare l’archivio è anche memoria, e cancellare sembra un errore. Il Regolamento la vede diversamente. L’art. 5 paragrafo 1 lettera e) chiede che i dati siano conservati per un arco di tempo non superiore al conseguimento delle finalità, e l’art. 13 paragrafo 2 lettera a) chiede di dichiarare quel termine nell’informativa. Tenere tutto per sempre non è una scelta prudente: è una violazione, e per di più aumenta il danno se qualcuno entra nei sistemi.

Il problema pratico non è giuridico, è decisionale. Nessuno si assume la responsabilità di eliminare, perché i termini sembrano tutti diversi e in parte lo sono: dieci anni per la documentazione contabile e fiscale, termini propri per la documentazione previdenziale e per quella sulla sicurezza del lavoro, e tempi molto più brevi per cose come i curricula di chi non è stato assunto o le immagini della videosorveglianza. Servono un elenco per categoria e una data, non una politica generale.

Cosa faccio in concreto. Si parte dal registro dei trattamenti, che è il posto dove quei termini vanno scritti, e si procede per categorie: personale cessato, candidature, clienti non più attivi, fornitori, videosorveglianza, posta elettronica di chi ha lasciato l’azienda. Per ciascuna si fissa un termine motivato, si verifica dove stanno materialmente quei dati — spesso in tre posti diversi — e si stabilisce chi esegue la cancellazione e con quale periodicità. La parte più utile è proprio l’ultima: senza qualcuno che lo faccia a calendario, il termine scritto sul registro resta una dichiarazione.

Un caso che nelle aziende familiari ricorre. La casella di posta del titolare precedente, o del socio uscito, tenuta attiva «perché ogni tanto arriva qualcosa». Dentro c’è corrispondenza personale, e l’accesso continuato a quella casella è uno dei trattamenti che il Garante ha contestato più volte. Va chiusa, con una risposta automatica che indica il nuovo indirizzo e un periodo definito.

Quando il DPO è obbligatorio

Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.

Tipo di organizzazione	DPO	Perché
Azienda sanitaria, ospedale o RSA	Sempre	Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo.
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati.
Metalmeccanica con stabilimento e archivi storici	Di norma no	La nomina raramente è obbligatoria. Restano registro con i termini di conservazione per categoria, informative e verifiche sulle telecamere di linea.
Università o istituzione formativa	Sempre	Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca.
Gruppo di società con servizi condivisi	Da valutare	L’obbligo dipende dai trattamenti delle singole società. Se c’è, l’art. 37 par. 2 consente un unico DPO per il gruppo, purché facilmente raggiungibile da ogni stabilimento.
PMI senza trattamenti particolari	Di norma no	Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza.

Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.

Il GDPR non richiede la presenza fisica del DPO

Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.

La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.

AI Act a Lecco

Nelle aziende lecchesi l’intelligenza artificiale arriva soprattutto da due parti. La prima è la linea di produzione: sistemi di visione per il controllo qualità e software di manutenzione predittiva. Guardano il pezzo e la macchina, ma inquadrano anche la postazione e registrano chi era di turno, e da quel momento possono diventare strumenti da cui deriva la possibilità di un controllo a distanza. Può applicarsi allora l’art. 4 dello Statuto dei lavoratori, da valutare con il consulente del lavoro, e se il sistema è destinato a valutare le prestazioni di chi lavora può rientrare tra i sistemi ad alto rischio dell’allegato III, punto 4, dell’AI Act, con obblighi che dopo il Regolamento (UE) 2026/1744 si applicano dal 2 dicembre 2027. La seconda è l’ufficio tecnico e commerciale: strumenti generativi usati per scrivere offerte e documentazione, spesso con abbonamenti personali, dentro cui finiscono dati dei clienti e specifiche dei committenti.

Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Quasi nessuno ce l’ha, e senza quello gli obblighi non si possono nemmeno contare.

Le sanzioni del GDPR

I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.

Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.

Cosa resta in mano tua

Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.

1. Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
2. Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
3. In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
4. Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
5. Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
6. Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?

Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.

Domande frequenti — consulenza GDPR a Lecco

Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.

Consulenza GDPR e DPO esterno anche a: Como · Bergamo · Monza · Milano · Varese e in tutta Italia.