Consulenza GDPR e DPO esterno a Mantova

Consulenza GDPR e AI Act a Mantova: chi seguo

Il Rapporto economico provinciale 2025 della Camera di Commercio di Cremona-Mantova-Pavia, presentato il 2 settembre 2026, riporta per il 2025 produzione manifatturiera a +4,1% ed export a +6,4%, per 8.145,7 milioni di euro. Tessile e abbigliamento, prodotti in metallo e macchinari fanno insieme più della metà delle esportazioni. L’agricoltura vale il 6% del valore aggiunto provinciale, e con Cremona la provincia è un punto di riferimento per le produzioni lattiero-casearie e suinicole a denominazione protetta.

Per il mio lavoro quel dato sull’export conta per una ragione precisa: un’azienda che vende all’estero fa viaggiare anche dati personali. Manda i contatti dei clienti all’agente di zona, li carica su un CRM in cloud, li scambia con il distributore. Germania, Francia e Spagna assorbono da sole il 35,2% dell’export mantovano, e lì i dati circolano liberamente. Il problema nasce quando l’agente, il cliente o il server stanno fuori dall’Unione.

• ✓ Imprese esportatrici e reti di agenti
• ✓ Tessile, metallo e meccanica
• ✓ Caseifici, cooperative e filiera suinicola
• ✓ Comuni ed enti del territorio

Casi tipici in questi settori

Esportare è anche trasferire dati: cosa passa il confine insieme alla merce

Dentro lo Spazio economico europeo i dati personali circolano liberamente. Quando ne escono si applica il capo V del Regolamento, dall’art. 44 all’art. 49, e ogni trasferimento deve avere una base: una decisione di adeguatezza della Commissione per il paese di destinazione (art. 45), oppure garanzie adeguate come le clausole contrattuali tipo (art. 46), oppure, in via residuale, una delle deroghe dell’art. 49, che non sono pensate per i flussi abituali di un’azienda.

Il problema pratico è che spesso non ci si accorge di trasferire. Il trasferimento non è solo il file mandato al distributore extra-UE. È anche il CRM con i server negli Stati Uniti, il servizio di posta, la piattaforma di firma elettronica, lo strumento per le videochiamate, l’agente che riceve l’elenco dei clienti della sua area. Ciascuno di questi flussi va individuato, e per ciascuno va scelta la base giusta.

Cosa faccio in concreto. Si parte da una mappa: per ogni fornitore e per ogni pezzo della rete commerciale, dove stanno i dati, chi vi accede e da quale paese. Per i fornitori statunitensi si verifica che risultino certificati nell’elenco del Data Privacy Framework, che ha una decisione di adeguatezza della Commissione del 10 luglio 2023. La certificazione deve essere attiva e coprire il tipo di dati trasferiti. Il Tribunale dell’Unione ha respinto il ricorso contro quella decisione il 3 settembre 2025 (causa T-553/23), e la sentenza è stata impugnata davanti alla Corte di giustizia (causa C-703/25 P): il quadro va quindi ricontrollato nel tempo. Se il fornitore non è certificato, o il paese non ha una decisione di adeguatezza, servono le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/914 e una valutazione del contesto del paese di destinazione. Poi tutto va scritto dove il Regolamento lo chiede: nel registro dei trattamenti (art. 30 par. 1 lett. e) e nell’informativa (art. 13 par. 1 lett. f).

Un caso che nelle imprese esportatrici ricorre. Il grande cliente estero manda un questionario sulla protezione dei dati, o un accordo sul trattamento da firmare. Prima di firmare va capito se trattate davvero dati personali per suo conto: se producete e spedite componenti, spesso non è così, e un atto ex art. 28 vi attribuirebbe obblighi che non corrispondono a quello che fate. Se invece gestite per lui dati di persone, l’atto ex art. 28 serve. Sulle clausole che vanno oltre la protezione dei dati, come responsabilità e penali, è bene sentire un legale.

Quando il DPO è obbligatorio

Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.

Tipo di organizzazione	DPO	Perché
Azienda sanitaria, ospedale o RSA	Sempre	Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo.
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati.
Impresa esportatrice con rete di agenti all’estero	Di norma no	La nomina raramente è obbligatoria, ma ogni trasferimento extra-UE va individuato, regolato e scritto nel registro.
Università o istituzione formativa	Sempre	Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca.
Cooperativa o consorzio con molti soci conferitori	Di norma no	Conferimenti e liquidazioni non sono un monitoraggio regolare e sistematico e non riguardano categorie particolari di dati. Restano registro, informativa ai soci e regole su chi vede i dati delle liquidazioni.
PMI senza trattamenti particolari	Di norma no	Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza.

Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.

Il GDPR non richiede la presenza fisica del DPO

Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.

La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.

AI Act a Mantova

Nelle imprese mantovane l’intelligenza artificiale arriva soprattutto da due parti. La prima è la rete commerciale: CRM che assegnano un punteggio ai contatti, strumenti che traducono e scrivono le offerte per i clienti esteri, chatbot multilingue sul sito. Trattano dati di persone, spesso su server fuori dall’Unione, e vanno censiti anche quando sono arrivati come funzione in più di un abbonamento già attivo. La seconda è la stalla e il caseificio: sensori e software che seguono gli animali e la produzione. Finché misurano la mandria non riguardano persone, ma quando registrano chi ha eseguito l’operazione e in quanto tempo si passa al dato sul lavoratore. Può applicarsi l’art. 4 dello Statuto dei lavoratori, da valutare con il consulente del lavoro, e se il sistema è destinato a monitorare e valutare le prestazioni può rientrare tra i sistemi ad alto rischio dell’allegato III, punto 4, dell’AI Act, con obblighi che dopo il Regolamento (UE) 2026/1744 si applicano dal 2 dicembre 2027.

Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Quasi nessuno ce l’ha, e senza quello gli obblighi non si possono nemmeno contare.

Le sanzioni del GDPR

I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.

Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.

Cosa resta in mano tua

Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.

1. Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
2. Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
3. In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
4. Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
5. Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
6. Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?

Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.

Domande frequenti — consulenza GDPR a Mantova

Sull'intelligenza artificiale: Consulente AI Act a Mantova · quadro nazionale AI Act.

Consulenza GDPR e DPO esterno anche a: Cremona · Brescia · Verona · Reggio Emilia · Modena e in tutta Italia.