DPO e Consulente Privacy in Sardegna

Consulenza GDPR e privacy in Sardegna: cosa offro

Che tu abbia bisogno di un consulente GDPR per metterti in regola o di un DPO esterno nominato formalmente, trovi un unico riferimento. Lavoro con un metodo chiaro e con strumenti che ho sviluppato io, e che uso nel seguire i clienti.

• DPO esterno: la figura obbligatoria per PA e sanità, e una garanzia per ogni azienda
• Consulenza GDPR completa: adeguamento dall'inizio alla fine
• Registro dei trattamenti, informative e nomine a norma
• DPIA per videosorveglianza, dati sanitari, profilazione
• Audit privacy e analisi del rischio
• Formazione GDPR del personale con attestati

Perché scegliere un DPO che conosce la Sardegna

La riforma dell'assetto territoriale della Regione Sardegna del 2025-2026 ha ridisegnato province e istituito la Città Metropolitana di Sassari. Ogni riorganizzazione amministrativa significa nuovi trattamenti, nuove nomine e documenti privacy da aggiornare. Conoscere il territorio — gli enti, la sanità privata, il comparto turistico gallurese — fa la differenza tra una consulenza teorica e una che funziona davvero.

Lavoro con enti e imprese dell'isola da anni: conosco i gestionali che usano davvero i comuni sardi, i vincoli delle strutture ricettive stagionali e come funzionano in concreto le strutture sanitarie del territorio. Non parlo di privacy in astratto.

AI Act in Sardegna: GDPR e intelligenza artificiale insieme

Anche nell'isola l'intelligenza artificiale è già realtà operativa: hotel e resort galluresi con chatbot e revenue management, cliniche private con AI diagnostica, Comuni che iniziano a valutare strumenti di AI per i servizi al cittadino. In tutti questi casi gli obblighi dell'AI Act si affiancano a quelli GDPR già noti. Per la PA sarda, in particolare, la trasparenza sul proprio DPO resta un punto debole: l'art. 37 par. 7 impone di pubblicare i dati di contatto del DPO sul sito istituzionale e di comunicarli al Garante. Le scadenze valgono per tutta l'isola: l'alfabetizzazione IA del personale (art. 4) è già obbligatoria dal 2 febbraio 2025, mentre la trasparenza verso ospiti, pazienti e cittadini (art. 50) scatta dal 2 agosto 2026.

Casi tipici in questi settori

Quando il DPO è obbligatorio

Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.

Tipo di organizzazione	DPO	Perché
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli.
Struttura sanitaria o RSA	Quasi sempre	Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9.
Terminal o operatore portuale	Da valutare	Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico.
Studio professionale	Di norma no	Il volume raramente raggiunge la larga scala. Attenzione al doppio ruolo di titolare e responsabile.
Azienda manifatturiera	Di norma no	Restano dovuti registro, informative, nomine, formazione e misure di sicurezza.

Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.

Le sanzioni del GDPR

I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.

Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.

Come funziona

Cosa resta in mano tua

Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.

1. C'è un contratto che vi qualifica come responsabili del trattamento, e cosa vi impegna a fare?
2. Chi sono i vostri sub-responsabili, e come veniamo avvisati delle variazioni?
3. Su quali server risiedono i nostri dati, e avvengono trasferimenti fuori dallo Spazio economico europeo?
4. Quali sono i tempi e i contenuti della vostra comunicazione in caso di data breach?
5. Cosa succede ai dati quando il contratto finisce, e in quanto tempo?
6. Ci sono componenti di intelligenza artificiale attive nel software, e si possono disattivare?

Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.

Domande frequenti

Conformità AI Act per le imprese sarde: AI Act Sardegna · Approfondisci per città: DPO Cagliari · DPO Sassari · DPO Olbia · DPO Oristano · DPO Nuoro · DPO Carbonia · DPO da remoto in tutta Italia