Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Rovigo? Seguo aziende agricole e agroalimentari, cooperative della pesca e della molluschicoltura, operatori logistici, strutture sanitarie ed enti pubblici del Polesine, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Rovigo da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
Il Polesine è un territorio di imprese piccole e di lavoro stagionale, e questa combinazione produce il problema privacy più ricorrente della provincia: la manodopera a termine. Raccolta, lavorazione dell'ortofrutta, molluschicoltura nelle lagune del Delta impiegano ogni anno migliaia di persone per periodi brevi, spesso attraverso cooperative e agenzie. Ogni passaggio muove dati anagrafici, documenti di identità, permessi di soggiorno, visite di idoneità. La catena è lunga e quasi mai formalizzata con nomine a responsabile e istruzioni scritte.
Accanto a questo c'è un tessuto pubblico particolare: molti comuni sotto i cinquemila abitanti, un'azienda sanitaria che copre l'intera provincia, consorzi di bonifica che gestiscono l'acqua su un territorio in gran parte sotto il livello del mare. Sono enti con obblighi pieni e strutture minime, per i quali la nomina di un DPO condiviso non è un espediente ma la soluzione che il GDPR stesso prevede.
Lavoratori stagionali, agenzie interinali, medico competente e sistemi di rilevazione presenze: la catena dei responsabili del trattamento va ricostruita per intero, perché la responsabilità del titolare non si ferma al primo anello.
Registri di tracciabilità, dati dei soci, documentazione sanitaria dei prodotti e controlli in laguna: trattamenti ordinari che diventano delicati quando i registri incrociano posizioni contributive e rapporti di lavoro.
Catasto dei consorziati, riscossione dei contributi, telecontrollo degli impianti idrovori e videosorveglianza delle opere: enti pubblici a tutti gli effetti, con obbligo di nomina e trattamenti su base di legge da mappare con precisione.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Azienda sanitaria, ospedale o RSA | Sempre | Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo. |
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati. |
| Consorzio di bonifica | Sempre | È un ente pubblico economico che esercita funzioni pubbliche: rientra nell'art. 37 par. 1 lett. a) e comunica i contatti del DPO al Garante. |
| Cooperativa agricola o della pesca con molti stagionali | Da valutare | Il volume di dati dei lavoratori non basta da solo: contano giudizi di idoneità e monitoraggi che ricadono nell'art. 9. |
| Operatore logistico con tracciamento dei mezzi | Da valutare | Localizzazione continua dei veicoli aziendali e monitoraggio degli autisti si avvicinano alla soglia del monitoraggio sistematico. |
| PMI senza trattamenti particolari | Di norma no | Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il Regolamento chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che abbia un ufficio in provincia. Registro dei trattamenti, informative, nomine, DPIA e formazione sono attività documentali: si gestiscono in digitale con un canale diretto e tempi di risposta certi, e per un comune polesano questo significa poter contare su una competenza che il bacino locale non offre in abbondanza.
La presenza serve dove il dato è fisico: come sono orientate le telecamere di un impianto di lavorazione, dove sono conservati i fascicoli del servizio sociale, come funziona in concreto il presidio di un idrovoro. Si concentra in uno o due sopralluoghi, non in una presenza continuativa che nessuna norma richiede.
Nel Polesine l'intelligenza artificiale è arrivata prima nei campi che negli uffici: immagini satellitari e da drone per lo stato delle colture, sensori di umidità, modelli previsionali sull'irrigazione, sistemi di selezione ottica nelle linee di lavorazione. Finché il sistema guarda piante, acqua e prodotto, il quadro resta leggero. Cambia quando la stessa telecamera comincia a misurare il rendimento di chi sta in linea, o quando un algoritmo entra nella selezione della manodopera stagionale. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a Rovigo →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Entrambi, ma per finalità diverse. L'agenzia è titolare per la selezione e per il rapporto di lavoro somministrato; l'azienda utilizzatrice è titolare per tutto ciò che riguarda la prestazione nel proprio sito: presenze, sicurezza, accessi. Non è un rapporto titolare-responsabile e trattarlo come tale è uno degli errori più comuni: servono informative distinte e un accordo che dica chi fa cosa.
Sì. È un ente pubblico economico che esercita funzioni pubbliche in materia di difesa del suolo e gestione delle acque, e rientra quindi nell'art. 37 par. 1 lett. a). Tratta inoltre il catasto dei consorziati e i dati della riscossione, con basi giuridiche di legge che vanno indicate correttamente nel registro e nelle informative.
No, non la cartella sanitaria e di rischio: quella resta al medico competente, che è titolare autonomo. All'azienda arriva il giudizio di idoneità, non la diagnosi né gli accertamenti. Trovare le cartelle negli uffici del personale è fra i rilievi più frequenti negli audit del comparto agroalimentare.
Dipende dai trattamenti e dalla dimensione dell'organizzazione, non da un listino a forfait. Un ente con dati sanitari, videosorveglianza e più sedi richiede un impegno diverso da uno studio con otto dipendenti. La prima videochiamata di valutazione è gratuita e serve proprio a fissare il perimetro prima di parlare di cifre.
Tutto il Polesine: Adria, Badia Polesine, Lendinara, Porto Viro, Porto Tolle, Occhiobello, Taglio di Po e i comuni del Delta, incluse le realtà con più unità locali fra Veneto ed Emilia-Romagna.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a Rovigo · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Padova · Ferrara · Venezia · Verona e in tutta Italia.
Studio Cravero