Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Assumiamo il ruolo di DPO esterno e seguo l'adeguamento GDPR e AI Act per aziende, e-commerce, studi professionali e pubbliche amministrazioni in tutta Italia. Per chi ha più sedi significa un unico interlocutore, una sola documentazione e lo stesso metodo ovunque, invece di un consulente diverso per ogni territorio.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR non richiede che il DPO sia fisicamente in azienda. Registro dei trattamenti, informative, DPIA, audit documentale e formazione sono attività documentali e organizzative: si svolgono in digitale, e spesso meglio, perché ogni passaggio resta tracciato e ricostruibile. Per questo possiamo seguire un cliente a Milano o a Roma con la stessa cura di uno a due passi dallo studio.
Seguo professionisti, aziende ed enti in tutta Italia. Per i principali centri economici abbiamo pagine dedicate, con i settori del territorio e gli obblighi che ne derivano:
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
No. Il GDPR chiede che il DPO sia facilmente raggiungibile e in grado di svolgere i propri compiti, non che sieda in azienda. Il lavoro e documentale e organizzativo, con incontri in videocall e sopralluoghi dove servono davvero.
Si. Documentazione, analisi dei trattamenti e formazione si gestiscono interamente in digitale. Dove serve un sopralluogo fisico (es. videosorveglianza) si concorda un intervento dedicato.
In tutta Italia: Roma, Milano, Modena, Firenze, Bologna, Torino, Napoli e ovunque. La sede e a Sassari ma il servizio e nazionale e digitale.
Una videocall gratuita di valutazione: analizziamo la tua situazione e ti diciamo cosa manca. Poi ricevi un preventivo su misura, senza spostarti.
Richiedi una valutazione gratuita di valutazione della tua conformità GDPR.
Richiedi una valutazione gratuita →Aziende svizzere attive nell'UE: GDPR e AI Act per la Svizzera · Città: DPO Roma · DPO Milano · DPO Modena · DPO Firenze · DPO Sardegna
Altre città seguite: Torino · Napoli · Bologna · Palermo · BariFoggiaPesaroBarlettaPistoiaBrindisi · Trieste · Genova · Verona · Taranto · Alessandria · Cremona · Terni · La Spezia · L'Aquila · Teramo · Chieti · Reggio Calabria · Catanzaro · Cosenza · Potenza · Matera · Campobasso · Siracusa · Ragusa · Trapani · Agrigento · Caltanissetta · Enna · Caserta · Avellino · Benevento
Studio Cravero