Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi un DPO esterno o un consulente privacy a Messina? Seguo aziende di servizi portuali e cantieristica navale, enti di Pubblica Amministrazione locale e strutture turistico-ricettive, con consulenza GDPR completa e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Messina da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Messina e uno snodo strategico per i collegamenti marittimi tra Sicilia e Calabria, con un porto tra i più trafficati d'Italia per traghetti e merci, un indotto di servizi portuali e cantieristica navale, oltre a un ruolo importante di Pubblica Amministrazione locale e a un turismo legato allo stretto e alla costa. Sono contesti dove i dati dei passeggeri, dei dipendenti portuali e dei cittadini richiedono una gestione GDPR ordinata.
Documentazione tecnica condivisa con committenti e subfornitori, badge di ingresso e riprese delle aree di lavoro: la nomina a responsabile del trattamento dei terzi è il punto più spesso scoperto.
Schedine alloggiati, sistemi di prenotazione e gestione delle recensioni: con personale stagionale la formazione va rifatta a ogni apertura e documentata.
Albo pretorio, istanze dei cittadini e servizi online: per gli enti la nomina del DPO è obbligatoria senza eccezioni, e la pubblicazione di atti con dati personali è il punto più delicato.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Studio professionale | Di norma no | Il volume raramente raggiunge la larga scala. Attenzione al doppio ruolo di titolare e responsabile. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR non impone che il DPO sia fisicamente in porto, in cantiere o in ufficio pubblico. Registro dei trattamenti, informative, DPIA e formazione del personale si gestiscono efficacemente a distanza, con sopralluoghi mirati solo dove serve verificare fisicamente un impianto o un sistema di videosorveglianza. Per le realtà messinesi significa accedere a una consulenza specialistica indipendente, anche per gli enti pubblici con obblighi normativi propri.
Nel porto di Messina si stanno diffondendo sistemi di videosorveglianza intelligente per la gestione dei flussi di passeggeri e merci, mentre gli enti di Pubblica Amministrazione locale valutano strumenti di supporto decisionale basati su intelligenza artificiale per i servizi ai cittadini. In entrambi i casi possono emergere obblighi di AI Act, in particolare sulla videosorveglianza intelligente in ambito portuale e sulla trasparenza verso i cittadini, che si affiancano a quelli GDPR già in vigore. Il calendario normativo è definito: le misure di alfabetizzazione del personale (art. 4) sono dovute dal 2 febbraio 2025, mentre gli obblighi di trasparenza verso cittadini e utenti(art. 50) si applicano dal 2 agosto 2026.
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Stai ancora valutando se ti serve un DPO? Parti da qui: cosa fa il DPO · quando la nomina è obbligatoria · quanto costa.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
No. Il GDPR non impone la presenza fisica del DPO: richiede che sia facilmente raggiungibile e in grado di svolgere i propri compiti. Registro, informative, DPIA, audit e formazione si gestiscono in digitale; dove serve un sopralluogo si organizza un intervento dedicato.
Dipende dalla dimensione dell'ente o dell'azienda e dai trattamenti, ad esempio se sono coinvolti sistemi di videosorveglianza portuale. La prima videocall di valutazione è gratuita e ricevi un preventivo su misura.
Se i sistemi di videosorveglianza utilizzano intelligenza artificiale per il riconoscimento o l'analisi automatica dei flussi, possono rientrare tra i sistemi disciplinati dall'AI Act, con obblighi che si affiancano a quelli GDPR già in vigore.
Sull'intelligenza artificiale: Consulente AI Act a Messina · quadro nazionale AI Act.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Palermo · Catania · Bari · Napoli · Salerno · · Reggio Calabria · Catanzaro e in tutta Italia.
Studio Cravero