Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi un DPO esterno o un consulente privacy a Roma? Seguo aziende, studi e organizzazioni di Roma con consulenza GDPR completa e documentazione a norma.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Roma da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Roma concentra Pubblica Amministrazione, sanità privata, studi professionali, associazioni ed enti del terzo settore: tutti soggetti con obblighi GDPR stringenti, spesso su dati particolari.
Le amministrazioni centrali dello Stato sono quasi tutte a Roma, e hanno già un RPD interno per obbligo di legge. Il lavoro che mi arriva non è il loro, è quello di chi lavora per loro: fornitori, concessionari e affidatari che devono dimostrare la propria conformità a un committente che ormai la chiede per contratto.
Chi svolge un compito di interesse pubblico viene assimilato all'ente ai fini della nomina del DPO. Il nodo però è a monte: la partecipata è titolare autonoma o responsabile dell'ente che la controlla? Dalla risposta dipendono informative, registro e chi risponde in caso di violazione. Va deciso e messo per iscritto, non presunto dall'organigramma.
Hanno quasi tutti sede a Roma. Trattano albi pubblici, elenchi di iscritti e procedimenti disciplinari: un provvedimento disciplinare è un dato di natura giudiziaria, con un regime più stretto della semplice anagrafica. Per le federazioni si aggiungono i certificati di idoneità agonistica, che sono dati sanitari e spesso riguardano minori.
Roma ospita agenzie delle Nazioni Unite e un numero di ambasciate che nessun'altra città italiana ha. Il regime è particolare: alcune godono di immunità e non rispondono al GDPR come titolari, ma i fornitori italiani che lavorano per loro sì. Chi sta da questo lato del confine deve sapere esattamente dove passa.
Roma concentra strutture private accreditate di dimensioni che altrove non esistono. Il problema tipico è il doppio binario: la stessa struttura tratta lo stesso paziente come soggetto privato e come erogatore per conto del servizio sanitario regionale, con due basi giuridiche diverse, due tempi di conservazione e due catene di responsabili.
Nelle altre città il lavoro comincia quasi sempre dall'organizzazione che ho davanti: mappare i suoi trattamenti, sistemare i suoi documenti. A Roma succede una cosa diversa, e dipende dalla concentrazione di amministrazioni centrali: l'ente è già a posto, ha il suo RPD interno da anni, e la conformità che manca è quella di chi gli sta intorno.
Il meccanismo è questo. Un ministero o un'agenzia affida un servizio a un fornitore privato. Quel fornitore tratta dati per conto dell'ente e diventa responsabile del trattamento ex art. 28. A sua volta si appoggia a un gestionale in cloud, a un servizio di conservazione, a un call center: sono sub-responsabili, e l'art. 28 par. 2 richiede che l'ente li abbia autorizzati. Nella pratica la catena si ferma al primo anello: la nomina c'è, generica, e nessuno ha mai elencato chi c'è sotto.
La conseguenza pratica non è teorica. Da qualche anno i capitolati romani chiedono di dimostrare la conformità prima dell'affidamento, e i controlli arrivano dal committente, non dal Garante: una richiesta di documentazione a metà contratto, o una clausola di audit esercitata sul serio. Un'impresa che lavora con la PA romana e non sa elencare i propri sub-responsabili si trova scoperta nel momento peggiore, che non è un'ispezione ma il rinnovo.
Per questo con le organizzazioni romane parto quasi sempre dall'altro capo: prima la mappa dei fornitori e delle nomine, poi il registro. È l'inverso dell'ordine abituale, ma qui è l’ordine che riflette dove sta davvero il rischio.
L'art. 37 individua tre casi, e solo il primo è automatico. Per gli altri due la valutazione va fatta sull'attività reale, non sul settore di appartenenza. Questa è la situazione tipica delle organizzazioni del territorio.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli. |
| Struttura sanitaria o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Terminal o operatore portuale | Da valutare | Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico. |
| Studio professionale | Di norma no | Il volume raramente raggiunge la larga scala. Attenzione al doppio ruolo di titolare e responsabile. |
| Azienda manifatturiera | Di norma no | Restano dovuti registro, informative, nomine, formazione e misure di sicurezza. |
Dove non è obbligatorio la nomina resta possibile, e in alcuni casi conviene: da' un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO.
Il GDPR non impone che il DPO sia fisicamente in sede. Registro dei trattamenti, informative, DPIA, audit e formazione si svolgono in digitale in modo efficace e tracciato. Per le realtà di Roma significa accedere a una consulenza specializzata senza vincoli geografici e senza costi di trasferta.
Roma concentra il maggior numero di enti pubblici d'Italia, e molti stanno introducendo strumenti di intelligenza artificiale per i servizi al cittadino; anche la sanità privata capitolina adotta sempre più spesso AI diagnostica. In entrambi i casi gli obblighi AI Act si sommano a quelli GDPR già noti. Ho dedicato una pagina alla classificazione del rischio, al ruolo di fornitore o utilizzatore e alle scadenze per Roma: Consulente AI Act a Roma →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
Il Regolamento prevede due massimali, e si applica il maggiore fra importo fisso e percentuale sul fatturato mondiale annuo. Nella pratica il Garante grada molto: pesano la gravità, la durata, il numero di persone coinvolte e la collaborazione dimostrata.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Vale la pena notare che la mancata nomina del DPO rientra nel secondo livello, non nel primo. Il rischio maggiore non è quindi la sanzione diretta, ma il fatto che senza DPO mancano quasi sempre anche registro, informative aggiornate e procedura di data breach, e quelle ricadono nel primo.
Non sai se rientri fra gli obblighi? La prima videocall è gratuita e serve a capire cosa tratti davvero e quali adempimenti ne discendono.
Richiedi una valutazione gratuita →Per orientarti prima del preventivo: la guida completa al DPO · cosa fa concretamente · quanto costa un DPO esterno.
La documentazione prodotta è tua, in formato editabile, e continua a servire anche se il rapporto si interrompe. Non uso piattaforme che trattengono i documenti a fine incarico.
Gestionale, cloud, consulente del lavoro, agenzia web: sono tutti responsabili del trattamento, e la tua conformità dipende anche da come lavorano loro. Queste vanno chieste per iscritto.
L'ultima domanda è recente ma ormai decisiva: molte funzioni di IA vengono attivate per impostazione predefinita negli aggiornamenti, senza che il cliente le abbia richieste.
No. Il GDPR non impone la presenza fisica del DPO: richiede che sia facilmente raggiungibile e in grado di svolgere i propri compiti. Registro, informative, DPIA, audit e formazione si gestiscono in digitale; dove serve un sopralluogo si organizza un intervento dedicato.
Dipende dalla dimensione e dai trattamenti. La prima videocall di valutazione è gratuita e ricevi un preventivo su misura, senza costi di trasferta.
Sempre di più si. Gli enti pubblici che introducono strumenti di AI per i servizi al cittadino e le cliniche private che usano AI diagnostica rientrano spesso nel perimetro AI Act, con obblighi che si sommano a quelli GDPR già in vigore.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma.
Richiedi una valutazione gratuita →Seguo aziende ed enti anche a: Roma · Milano · Modena · Firenze · Perugia · Pescara · Latina · · Terni · L'Aquila e in tutta Italia.
Studio Cravero