Studio CraveroDPO esterno e consulente privacy in tutta Italia
Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Assumiamo il ruolo di DPO esterno e seguo l'adeguamento GDPR e AI Act per aziende, e-commerce, studi professionali e pubbliche amministrazioni in tutta Italia. Per chi ha più sedi significa un unico interlocutore, una sola documentazione e lo stesso metodo ovunque, invece di un consulente diverso per ogni territorio.
Quando il DPO è obbligatorio
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR non richiede la presenza fisica del DPO
Il GDPR non richiede che il DPO sia fisicamente in azienda. Registro dei trattamenti, informative, DPIA, audit documentale e formazione sono attività documentali e organizzative: si svolgono in digitale, e spesso meglio, perché ogni passaggio resta tracciato e ricostruibile. Per questo possiamo seguire un cliente a Milano o a Roma con la stessa cura di uno a due passi dallo studio.
Come lavoriamo
Dove operiamo: le città con pagina dedicata
Seguo professionisti, aziende ed enti in tutta Italia. Per i principali centri economici abbiamo pagine dedicate, con i settori del territorio e gli obblighi che ne derivano:
Le sanzioni del GDPR
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Come funziona
Contenuti generati con l’IA: che cosa tocca davvero a te
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Cosa resta in mano tua
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
- Registro art. 30 redatto sulla base dei trattamenti effettivi, non di un modello generico
- Informative su misura per interessati esterni, dipendenti e videosorveglianza
- Nomine e istruzioni a responsabili, incaricati e amministratori di sistema
- Valutazione d'impatto quando prevista, corredata dall'analisi preliminare
- Procedura di gestione dei data breach con tempistiche e modulistica
- Formazione per ruoli con materiali, attestati nominativi e registro
Le domande da fare a chi tratta i tuoi dati
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
- Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
- Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
- In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
- Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
- Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
- Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
Domande frequenti
Il DPO deve essere fisicamente presente in azienda?
No. Il GDPR chiede che il DPO sia facilmente raggiungibile e in grado di svolgere i propri compiti, non che sieda in azienda. Il lavoro e documentale e organizzativo, con incontri in videocall e sopralluoghi dove servono davvero.
Come funziona il servizio nella pratica?
Si. Documentazione, analisi dei trattamenti e formazione si gestiscono interamente in digitale. Dove serve un sopralluogo fisico (es. videosorveglianza) si concorda un intervento dedicato.
In quali città operate?
In tutta Italia: Roma, Milano, Modena, Firenze, Bologna, Torino, Napoli e ovunque. La sede e a Sassari ma il servizio e nazionale e digitale.
Come funziona il primo contatto?
Una videocall gratuita di valutazione: analizziamo la tua situazione e ti dico cosa manca. Poi ricevi un preventivo su misura, senza spostarti.
Ovunque sia la tua organizzazione, mettiamola a norma.
Richiedi una valutazione gratuita di valutazione della tua conformità GDPR.
Richiedi una valutazione gratuita →Aziende svizzere attive nell'UE: GDPR e AI Act per la Svizzera · Città: DPO Roma · DPO Milano · DPO Modena · DPO Firenze · DPO Sardegna
Altre città seguite: Torino · Napoli · Bologna · Palermo · BariFoggiaPesaroBarlettaPistoiaBrindisi · Trieste · Genova · Verona · Taranto · Alessandria · Cremona · Terni · La Spezia · L'Aquila · Teramo · Chieti · Reggio Calabria · Catanzaro · Cosenza · Potenza · Matera · Campobasso · Siracusa · Ragusa · Trapani · Agrigento · Caltanissetta · Enna · Caserta · Avellino · Benevento