Consulenza GDPR e DPO esterno a Pisa

Consulenza GDPR e AI Act a Pisa: chi seguo

Pisa e uno dei pochi territori italiani dove ricerca e impresa tecnologica convivono davvero. L'Università, la Scuola Normale, la Scuola Superiore Sant'Anna e l'area della ricerca del CNR generano un flusso costante di spin-off e di competenze, e attorno a questo si è formato uno dei distretti ICT più antichi del Paese. Accanto c'è un polo sanitario e di ricerca clinica di rilievo nazionale, e c'è un turismo che porta ogni anno milioni di visitatori. Per chi sviluppa software la protezione dei dati non è un adempimento a valle: e una scelta di architettura, che il GDPR chiama privacy by design.

• ✓ Software house e ICT
• ✓ Università, ricerca e spin-off
• ✓ Sanità e ricerca clinica
• ✓ Turismo e ricettività

Casi tipici in questi settori

Quando il DPO è obbligatorio

Tre sono i casi previsti dall'art. 37, ma soltanto quello degli enti pubblici scatta senza valutazioni. Negli altri conta l'attività concreta. Di seguito le situazioni più ricorrenti sul territorio.

Tipo di organizzazione	DPO	Perché
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli.
Struttura sanitaria o RSA	Quasi sempre	Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9.
Istituto scolastico	Sempre per le statali	Natura pubblica dell'ente e trattamento di dati di minori. Per le paritarie la valutazione e caso per caso.
Terminal o operatore portuale	Da valutare	Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico.
Azienda manifatturiera	Di norma no	Restano dovuti registro, informative, nomine, formazione e misure di sicurezza.

Quando l'obbligo non c'è, resta la facoltà: molte organizzazioni nominano comunque un DPO per avere un interlocutore stabile e una supervisione tracciata. Ne parlo nella guida ai requisiti del DPO.

Il GDPR non richiede la presenza fisica del DPO

Il GDPR chiede che il DPO sia facilmente raggiungibile e in grado di svolgere i propri compiti, non che sieda in azienda. Registro, informative, DPIA, audit e formazione si gestiscono in digitale, con sopralluoghi dove servono. Per una software house la modalità di lavoro conta meno della competenza tecnica dell'interlocutore: serve qualcuno che capisca come e fatto il prodotto, non solo come si scrive un'informativa.

AI Act a Pisa

Per una software house pisana l'AI Act cambia la prospettiva. Chi integra funzioni di intelligenza artificiale in un prodotto e lo immette sul mercato con il proprio nome non è utilizzatore ma fornitore, con il corredo di obblighi più esteso previsto dall'AI Act. È una qualificazione che va riconosciuta in fase di progettazione, non a prodotto rilasciato. Ho dedicato una pagina alla classificazione del rischio e alle scadenze: Consulente AI Act a Pisa →

Le sanzioni del GDPR

Due sono i tetti sanzionatori, e fra importo fisso e percentuale sul fatturato mondiale si applica quello superiore. Nei provvedimenti reali gli importi vengono comunque graduati su gravità, durata, ampiezza della platea e collaborazione prestata.

Da tenere presente: l'omessa nomina del DPO ricade nel massimale inferiore. Non è li però che si concentra il rischio, perché le organizzazioni senza DPO risultano quasi sempre carenti anche su registro, informative e procedure di violazione, tutte voci del massimale più alto.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Per orientarti prima del preventivo: la guida completa al DPO · cosa fa concretamente · quanto costa un DPO esterno.

Cosa resta in mano tua

I documenti restano tuoi e modificabili, senza dipendere dalla prosecuzione del rapporto. È una condizione che metto per iscritto fin dall'inizio.

• Registro art. 30 redatto sulla base dei trattamenti effettivi, non di un modello generico
• Informative su misura per interessati esterni, dipendenti e videosorveglianza
• Nomine e istruzioni a responsabili, incaricati e amministratori di sistema
• Valutazione d'impatto quando prevista, corredata dall'analisi preliminare
• Procedura di gestione dei data breach con tempistiche e modulistica
• Formazione per ruoli con materiali, attestati nominativi e registro

Le domande da fare a chi tratta i tuoi dati

Fornitori di gestionali, hosting, paghe e siti web sono responsabili del trattamento a tutti gli effetti. La loro conformità ricade sulla tua, quindi conviene chiedere per iscritto.

1. C'è un contratto che vi qualifica come responsabili del trattamento, e cosa vi impegna a fare?
2. Chi sono i vostri sub-responsabili, e come veniamo avvisati delle variazioni?
3. Su quali server risiedono i nostri dati, e avvengono trasferimenti fuori dallo Spazio economico europeo?
4. Quali sono i tempi e i contenuti della vostra comunicazione in caso di data breach?
5. Cosa succede ai dati quando il contratto finisce, e in quanto tempo?
6. Ci sono componenti di intelligenza artificiale attive nel software, e si possono disattivare?

L'ultimo punto vale la pena porlo sempre: le funzioni di IA arrivano di frequente con gli aggiornamenti, già attive, e diventano un trattamento che nessuno ha valutato.

Domande frequenti — consulenza GDPR a Pisa

Consulenza GDPR e DPO esterno anche a: Grosseto · Firenze · Siena · Genova · Bologna · Prato · Lucca · Livorno e in tutta Italia. · Pistoia