Servizio · Pubblica amministrazione

DPO esterno per la Pubblica Amministrazione

Assumo l'incarico di Responsabile della protezione dei dati per Comuni e Unioni, istituzioni scolastiche, aziende sanitarie, partecipate e altri enti pubblici, in tutta Italia. Un solo interlocutore per GDPR e AI Act, con attività proporzionata alla dimensione reale dell'amministrazione.

Richiedi informazioni sull'incarico Trova il tuo ente

Aggiornato al 1° settembre 2026

Per tutte le amministrazioni pubbliche la designazione del Responsabile della protezione dei dati è obbligatoria ai sensi dell'art. 37 par. 1 lett. a del GDPR, senza soglie dimensionali e senza eccezioni legate al numero di dipendenti. Il par. 7 impone inoltre di pubblicare i dati di contatto del RPD e di comunicarli al Garante: sono adempimenti autonomi rispetto alla nomina, tra i più facili da verificare dall'esterno e tra quelli su cui il Garante è intervenuto più volte richiamando le amministrazioni. Quello che varia da ente a ente non è l'obbligo, ma se l'incarico produce attività reale.

Le quattro famiglie di enti

Gli adempimenti formali sono gli stessi per tutti, ma i problemi operativi no. Un Comune, un istituto scolastico e un'azienda sanitaria hanno criticità diverse, interlocutori diversi e priorità diverse. Per questo ho scritto pagine distinte invece di una pagina sola con l'elenco delle amministrazioni.

Comuni e Unioni di ComuniVideosorveglianza e polizia locale, albo pretorio e trasparenza, servizi digitali, fornitori dei gestionali, gestioni associate e perimetri di titolarità che non coincidono con i confini amministrativi.Vai alla pagina → Istituzioni scolasticheRegistro elettronico e piattaforme didattiche, dati di minori e certificazioni, foto ed eventi, account cloud, richieste delle famiglie e strumenti di IA entrati in classe prima delle regole per usarli.Vai alla pagina → ASL e aziende sanitarieDossier sanitario e cartelle, controllo e tracciamento degli accessi, catena di fornitori e subresponsabili, telemedicina, valutazioni d'impatto, ricerca e sistemi di IA clinica.Vai alla pagina → Unioni di Comuni e gestioni associateDesignazione unica ai sensi dell'art. 37 par. 3, perimetro della titolarità da ricostruire sulla convenzione e adempimenti che restano in capo a ciascun ente.Vai alla pagina → Partecipate, consorzi e altri entiAziende speciali, società in controllo pubblico, consorzi, enti parco, ordini professionali e altri organismi di diritto pubblico, dove la prima questione è spesso capire quale disciplina si applica.Continua a leggere →

Che cosa distingue un incarico nella pubblica amministrazione

Chi ha esperienza di GDPR nel settore privato ritrova nella PA gli stessi istituti, ma con quattro differenze che incidono sul modo in cui l'incarico va impostato.

L'obbligo non ha soglie. Nel privato la designazione dipende dal tipo e dalla scala dei trattamenti; per un'amministrazione discende dalla natura del soggetto. Un ente con sei dipendenti ha lo stesso obbligo di uno con seicento, e l'attività va proporzionata alla struttura senza poterla azzerare.
La trasparenza convive con la protezione dei dati. Pubblicazioni obbligatorie, accesso agli atti e accesso civico si intrecciano di continuo con la riservatezza di terzi. Non è un conflitto da risolvere una volta per tutte, ma un bilanciamento che si ripresenta a ogni provvedimento.
Il RPD riferisce al vertice. L'art. 38 par. 3 stabilisce che non riceve istruzioni per l'esecuzione dei propri compiti e riferisce direttamente al livello gerarchico più elevato. In un ente questo significa un canale diretto con la direzione o con il segretario, non una collocazione dentro un ufficio.
L'AI Act aggiunge obblighi propri degli enti. La valutazione d'impatto sui diritti fondamentali dell'art. 27 riguarda in particolare gli organismi di diritto pubblico e i soggetti che erogano servizi pubblici; la registrazione nella banca dati europea prevista dall'art. 49 par. 3 riguarda gli utilizzatori che sono autorità pubbliche. Sono adempimenti che nel settore privato semplicemente non esistono.

Perché la pubblicazione dei contatti conta più di quanto sembri. L'art. 37 par. 7 chiede due cose distinte: rendere pubblici i dati di contatto del RPD e comunicarli all'autorità di controllo. Sono adempimenti a costo zero e ad alta visibilità: chiunque, compreso un cittadino che vuole esercitare un diritto, può verificarli consultando il sito dell'ente. La loro assenza è il primo segnale che un incarico non è stato completato correttamente.

Il metodo, in cinque passaggi

È lo stesso per tutte le amministrazioni, e si riassume in una frase: parto dalla situazione esistente, individuo le priorità e integro gli adempimenti nei processi dell'ente, senza produrre documentazione inutile o duplicata.

Ricognizione, non ripartenzaQuasi tutti gli enti hanno già qualcosa: un registro, informative, atti di nomina. Raramente sono da rifare, quasi sempre sono disallineati rispetto a quello che accade davvero negli uffici. Il primo lavoro è misurare quella distanza.
Priorità ordinateNessun ente sistema tutto insieme. Consegno un elenco che distingue ciò che è immediatamente contestabile, ciò che è strutturale e ciò che può attendere, in modo che la direzione decida sapendo che cosa sta rimandando.
Integrazione nei processiGli adempimenti che funzionano sono quelli che si agganciano a procedure già esistenti. Una procedura per le richieste degli interessati che passa dal protocollo che gli uffici già usano viene applicata; una procedura parallela, no.
Pareri prima delle scelteIl valore del RPD sta nell'intervenire quando una decisione è ancora modificabile: prima di adottare una piattaforma, di installare un impianto, di avviare un servizio online. Dopo, resta solo la gestione del danno.
Verifica e documentazioneVerifiche periodiche programmate e relazione annuale all'organo di vertice. L'ente deve poter dimostrare non solo di avere un RPD, ma di averlo coinvolto: è questo che conta in un'istruttoria.

Partecipate, consorzi e altri enti pubblici

Accanto alle tre famiglie principali c'è un'area meno presidiata e spesso più incerta: aziende speciali, società in controllo pubblico, consorzi di bonifica e industriali, enti parco, unioni montane, ordini e collegi professionali, fondazioni di partecipazione, ATER e aziende per il diritto allo studio.

Qui la prima domanda non è quali adempimenti servano, ma quale disciplina si applichi. La nozione di organismo di diritto pubblico e quella di autorità pubblica ai fini dell'art. 37 non coincidono con la forma giuridica dell'ente: una società per azioni può ricadere nell'obbligo, e un ente formalmente pubblico può avere trattamenti di scala modesta. La verifica va fatta sul singolo caso, guardando alle funzioni esercitate e ai trattamenti effettivi, e conviene farla prima di impostare l'incarico anziché scoprirla in sede di controllo.

Nella pratica, in questi enti si concentrano tre criticità ricorrenti: la sovrapposizione tra normativa sulla trasparenza e protezione dei dati, quando l'ente è soggetto a obblighi di pubblicazione ma opera con strumenti privatistici; la gestione dei dati del personale, spesso con inquadramenti misti; e i rapporti con l'ente controllante, dove i ruoli di titolare e responsabile vanno definiti in modo esplicito e non presunti dalla catena di controllo. Se il tuo ente rientra in questa categoria, descrivimi la situazione: il primo passo è chiarire il perimetro.

Che cosa comprende l'incarico

Il nucleo è comune a tutte le amministrazioni. Le declinazioni specifiche sono descritte nelle pagine dedicate.

Assunzione formale del ruolo di RPD, atto di designazione e supporto agli adempimenti dell'art. 37 par. 7.
Ricognizione dei trattamenti e aggiornamento del registro delle attività di trattamento.
Pareri preventivi su atti, progetti, piattaforme e nuovi servizi.
Supporto alle valutazioni d'impatto quando ricorrono i presupposti dell'art. 35.
Procedura e assistenza per le richieste degli interessati e per i reclami.
Gestione delle violazioni dei dati, con supporto alla notifica entro il termine di 72 ore dell'art. 33 e tenuta del registro.
Verifica degli atti di nomina dei responsabili del trattamento e delle clausole con i fornitori.
Formazione del personale per aree, documentata e con attestazione.
Classificazione dei sistemi di intelligenza artificiale in uso e supporto sugli obblighi dell'ente come utilizzatore, inclusa la ricognizione AI Act.
Punto di contatto per il Garante e supporto in caso di istruttoria o ispezione.
Verifiche periodiche e relazione annuale all'organo di vertice.

Come l'amministrazione può affidare il servizio

Come affidarmi l’incarico

Abilitato su MePAIscritto a SardegnaCAT

Lo Studio è abilitato sul Mercato elettronico della Pubblica Amministrazione ed è iscritto a SardegnaCAT, la centrale di committenza della Regione Sardegna. L’ente può quindi procedere con gli strumenti che già utilizza, senza attivare una procedura fuori piattaforma.

Denominazione: Studio Cravero Consulting — Dott. Pietro Cravero
P.IVA / C.F.: 03059830905 — è la chiave di ricerca del fornitore su entrambe le piattaforme
PEC: info.studiocravero@pec.it
Sede: Piazza Fiume 5B, 07100 Sassari (SS)

Le vie praticabili, a seconda dell’importo e del regolamento interno:

affidamento diretto, nei casi e nei limiti in cui l’ordinamento lo consente;
trattativa diretta oppure ordine su MePA;
procedura su SardegnaCAT, per gli enti della Regione Sardegna;
richiesta di preventivo o indagine di mercato, quando l’ente preferisce una fase aperta.

Chiedimi i documenti per la determina →

Il servizio di RPD viene acquisito secondo le procedure dell'ente e con gli strumenti che l'amministrazione utilizza abitualmente. Le vie ordinariamente praticate sono l'affidamento diretto nei casi e nei limiti consentiti, il confronto di preventivi, la trattativa o la procedura telematica sulla piattaforma di negoziazione dell'ente, la manifestazione di interesse o indagine di mercato, le centrali di committenza e le piattaforme regionali dove l'acquisizione è centralizzata, e il MePA quando l'ente sceglie di operare su quel mercato elettronico e il professionista risulta abilitato al bando di riferimento.

Le indicazioni sopra hanno scopo informativo e non costituiscono consulenza sulla procedura di affidamento: la scelta dello strumento, la verifica dei presupposti e il rispetto delle soglie competono al RUP e agli uffici dell'amministrazione. Per sapere quali strumenti di acquisto sono attualmente utilizzabili con lo Studio e ricevere i dati necessari a una richiesta di preventivo o a una trattativa, scrivimi indicando l'ente: ti rispondo con le informazioni aggiornate.

Chi assume l'incarico

Elementi verificabili

Dott. Pietro Cravero, titolare di Studio Cravero. Non una struttura con account commerciali: l'incarico è assunto e svolto dalla stessa persona che risponde all'ente.
DPO certificato IDcert e Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre.
Specializzazione su protezione dei dati e AI Act, con ambiti collegati di sicurezza delle informazioni. Non consulenza generalista.
Indipendenza. Lo Studio non fornisce alle amministrazioni software gestionali né servizi informatici, e non si trova quindi a vigilare su forniture proprie.
Approccio proporzionato. L'impianto documentale segue la dimensione e la complessità reali dell'ente. Ricevere la documentazione di un capoluogo non rende conforme un Comune di mille abitanti: lo rende ingestibile.
Operatività nazionale. Studio con sede a Sassari, incarichi in tutta Italia prevalentemente da remoto, con incontri e sopralluoghi da concordare quando necessari.

Il profilo completo, con percorso e credenziali, è nella pagina Chi sono. Per il quadro degli adempimenti GDPR che riguardano gli enti pubblici resta utile GDPR per la Pubblica Amministrazione, mentre le caratteristiche generali del servizio, comuni al settore privato, sono descritte in DPO esterno. Se stai valutando che cosa deve fare concretamente questa figura, la guida cosa fa il DPO e quella sui requisiti del DPO rispondono alle domande più frequenti.

Contatta lo Studio

Descrivi l'amministrazione: tipologia, dimensione, funzioni gestite, stato della documentazione e scadenza dell'incarico in corso, se c'è. Ti rispondo con un quadro di quello che serve e, se ci sono le condizioni, con una proposta scritta.

Richiedi informazioni sull'incarico di DPO Chi assume l'incarico

Domande frequenti

Tutte le pubbliche amministrazioni devono nominare un DPO?

Sì. L'art. 37 par. 1 lett. a del GDPR impone la designazione a tutte le autorità pubbliche e a tutti gli organismi pubblici, con la sola eccezione delle autorità giurisdizionali nell'esercizio delle funzioni giurisdizionali. Non ci sono soglie legate al numero di dipendenti, di abitanti o di utenti. Per gli enti in forma societaria o per gli organismi con natura mista la verifica va fatta sul caso concreto, guardando alle funzioni esercitate più che alla forma giuridica.

Che differenza c'è tra DPO e RPD?

Nessuna: sono la stessa figura. DPO è l'acronimo inglese di Data Protection Officer usato dal Regolamento, RPD è la traduzione italiana Responsabile della protezione dei dati, che è la dizione normalmente usata negli atti amministrativi e nella modulistica del Garante. Nei documenti di un ente è preferibile usare RPD per coerenza con la terminologia ufficiale.

L'ente deve pubblicare i dati di contatto del DPO?

Sì, ed è un adempimento distinto dalla nomina. L'art. 37 par. 7 impone di pubblicare i dati di contatto del responsabile della protezione dei dati e di comunicarli all'autorità di controllo. È una delle verifiche più semplici da fare dall'esterno, perché basta consultare il sito dell'ente, ed è tra i punti su cui il Garante è intervenuto ripetutamente richiamando le amministrazioni.

Un solo professionista può seguire più amministrazioni?

Sì, ed è la situazione ordinaria per il RPD esterno. Quello che conta non è il numero di incarichi in astratto, ma la disponibilità effettiva di tempo per ciascun ente, che dipende dalla dimensione e dalla complessità delle amministrazioni seguite. Per questo dimensiono l'attività sulla complessità reale e indico nella proposta i tempi di risposta, invece di lasciarli a un'aspettativa generica.

Quanto costa il servizio per un ente pubblico?

Non pubblico un listino, perché il corrispettivo dipende da variabili che cambiano molto: dimensione dell'ente, numero di sedi o presidi, funzioni gestite anche in forma associata, servizi digitali attivi, stato della documentazione esistente. Dopo un confronto iniziale, che non ha costi, ricevi una proposta scritta che indica attività comprese, tempi di risposta, durata e corrispettivo, senza voci lasciate a interpretazione successiva.

Come si passa da un DPO precedente senza interruzioni?

Il subentro si organizza prima della scadenza. Serve acquisire la documentazione esistente, verificare quali adempimenti risultano completati e quali no, aggiornare l'atto di designazione, la pubblicazione dei dati di contatto e la comunicazione al Garante. Il momento giusto per avviare il confronto è qualche mese prima della scadenza dell'incarico in corso: consente di programmare il passaggio senza periodi scoperti.

L'ente sta introducendo sistemi di intelligenza artificiale: serve un altro consulente?

Nel mio caso no, perché mi occupo di entrambe le materie. È un punto rilevante per gli enti, perché l'AI Act pone agli organismi di diritto pubblico obblighi che al settore privato non si applicano: la valutazione d'impatto sui diritti fondamentali dell'art. 27 e la registrazione nella banca dati europea prevista dall'art. 49 par. 3 per i sistemi ad alto rischio dell'Allegato III. Avere un solo referente evita il rimpallo tra chi segue il GDPR e chi segue l'AI Act, che nella pratica si sovrappongono di continuo.

Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.