Pagina aggiornata all'8 settembre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Pistoia? Seguo aziende vivaistiche, imprese meccaniche e della filiera ferroviaria, strutture termali e ricettive, realtà sanitarie, studi professionali ed enti della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Pistoia da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Pistoia ospita il più grande distretto vivaistico d'Europa, e il vivaismo ha una caratteristica che incide sulla privacy più di quanto sembri: è un settore ad alta intensità di manodopera stagionale, con squadre che ruotano, contratti brevi e spesso appalti e subappalti fra aziende. I dati del personale sono quindi il trattamento più delicato e il più trascurato. Accanto convivono una filiera meccanica e ferroviaria che lavora su grandi commesse, quindi con capitolati e nomine imposte dal committente, e la fascia termale e turistica della Valdinievole, dove si trattano dati di clienti e talvolta dati relativi alla salute.
Squadre stagionali, appalti e subappalti, rilevazione delle presenze e mezzi aziendali: il registro va costruito sul personale, che qui è il vero centro del trattamento.
Grandi commesse significano capitolati e nomine a responsabile scritte dal committente: vanno lette e negoziate, perché vincolano per tutta la durata del contratto.
Prenotazioni, schede cliente e, nelle strutture termali, informazioni sullo stato di salute: dati particolari che cambiano il livello di misure richieste.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in azienda. Registro, informative, nomine, valutazioni d'impatto e formazione sono attività documentali. Per le aziende vivaistiche e per i comuni della Valdinievole e della montagna, dove una funzione privacy interna non esiste, la supervisione esterna in digitale è la soluzione più praticabile: concentra il lavoro dove serve, senza costi fissi di struttura.
Nel vivaismo e nella meccanica l'IA serve soprattutto a produzione e controllo qualità, e lì il rischio per le persone è contenuto. Diventa un tema quando entra nella selezione del personale o nella gestione delle presenze, e quando strutture termali e sanitarie la usano su informazioni relative alla salute: sono due terreni con obblighi molto diversi. L'AI Act tratta questi casi in modo molto diverso, e il primo passo è sempre lo stesso: sapere quali sistemi sono già in uso e a che titolo. Trovi la classificazione del rischio e le scadenze nella guida ai livelli di rischio e nella pagina assessment AI Act.
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
Di norma no. L'obbligo riguarda gli enti pubblici, il monitoraggio sistematico su larga scala e i dati particolari su larga scala, condizioni che il vivaismo raramente integra. Restano però pienamente dovuti registro, informative, nomine e misure di sicurezza, e il punto su cui si concentra il rischio è il personale: squadre stagionali, appalti e subappalti generano flussi di dati fra imprese che vanno regolati per iscritto.
Quando un'impresa affida lavorazioni a un'altra e le trasmette dati del personale o le consente l'accesso ai propri sistemi, i ruoli vanno definiti: chi decide finalità e mezzi resta titolare, chi tratta per conto altrui va nominato responsabile ai sensi dell'art. 28. Senza quell'accordo scritto la responsabilità non si trasferisce, e resta in capo a chi ha affidato il lavoro.
Spesso sì, anche quando non se ne rende conto. Schede di ammissione, anamnesi, prescrizioni e certificati contengono informazioni sullo stato di salute, che sono categorie particolari ai sensi dell'art. 9. Questo alza il livello delle misure richieste, incide sui tempi di conservazione e rende necessaria una verifica su chi, all'interno della struttura, può accedere a quelle informazioni.
Il servizio copre l'intera provincia di Pistoia: Montecatini Terme, Pescia, Monsummano Terme, Quarrata, Agliana e i comuni della Valdinievole e della montagna, incluse le realtà con più unità locali.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Prato · Firenze · Lucca · Pisa
Studio Cravero