Consulenza GDPR e DPO esterno a Siena

Consulenza GDPR e AI Act a Siena: chi seguo

Siena ha una concentrazione di competenze nelle scienze della vita che non ha eguali in Italia per densità: ricerca biomedica, produzione biotecnologica e un ecosistema di laboratori e spin-off cresciuto attorno all'università e al polo ospedaliero. Accanto convivono un vitivinicolo di primissimo piano, con denominazioni tra le più note al mondo, e un turismo che porta ogni anno milioni di visitatori. Il biotech e l'ambito in cui GDPR e AI Act si sovrappongono di più: dati sanitari trattati per ricerca, campioni biologici, sperimentazioni e sempre più spesso modelli predittivi addestrati su quegli stessi dati.

• ✓ Scienze della vita e biotech
• ✓ Ricerca clinica e università
• ✓ Vitivinicolo e agroalimentare
• ✓ Turismo e ricettività

Casi tipici in questi settori

Quando il DPO è obbligatorio

Tre sono i casi previsti dall'art. 37, ma soltanto quello degli enti pubblici scatta senza valutazioni. Negli altri conta l'attività concreta. Di seguito le situazioni più ricorrenti sul territorio.

Tipo di organizzazione	DPO	Perché
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a: nessuna soglia dimensionale, vale anche per gli enti piccoli.
Struttura sanitaria o RSA	Quasi sempre	Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9.
Terminal o operatore portuale	Da valutare	Controllo accessi permanente e videosorveglianza estesa avvicinano la soglia del monitoraggio sistematico.
Studio professionale	Di norma no	Il volume raramente raggiunge la larga scala. Attenzione al doppio ruolo di titolare e responsabile.
Azienda manifatturiera	Di norma no	Restano dovuti registro, informative, nomine, formazione e misure di sicurezza.

Quando l'obbligo non c'è, resta la facoltà: molte organizzazioni nominano comunque un DPO per avere un interlocutore stabile e una supervisione tracciata. Ne parlo nella guida ai requisiti del DPO.

Il GDPR non richiede la presenza fisica del DPO

Il GDPR chiede che il DPO sia facilmente raggiungibile e in grado di svolgere i propri compiti, non che sieda in laboratorio. Registro, informative, DPIA, audit e formazione si gestiscono in digitale, con sopralluoghi dove servono. Nella ricerca conta soprattutto la continuità: i protocolli cambiano, i partner cambiano, e la documentazione deve seguire il progetto per tutta la sua durata.

AI Act a Siena

La ricerca biomedica senese usa modelli predittivi per l'analisi di dati sperimentali e la selezione dei candidati agli studi; le cantine adottano previsione delle rese e agricoltura di precisione; il turismo usa assistenti di prenotazione. Tre ambiti che l'AI Act colloca in tre classi di rischio diverse. Ho dedicato una pagina alla classificazione del rischio e alle scadenze: Consulente AI Act a Siena →

Le sanzioni del GDPR

Due sono i tetti sanzionatori, e fra importo fisso e percentuale sul fatturato mondiale si applica quello superiore. Nei provvedimenti reali gli importi vengono comunque graduati su gravità, durata, ampiezza della platea e collaborazione prestata.

Da tenere presente: l'omessa nomina del DPO ricade nel massimale inferiore. Non è li però che si concentra il rischio, perché le organizzazioni senza DPO risultano quasi sempre carenti anche su registro, informative e procedure di violazione, tutte voci del massimale più alto.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Stai ancora valutando se ti serve un DPO? Parti da qui: cosa fa il DPO · quando la nomina è obbligatoria · quanto costa.

Cosa resta in mano tua

I documenti restano tuoi e modificabili, senza dipendere dalla prosecuzione del rapporto. È una condizione che metto per iscritto fin dall'inizio.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Fornitori di gestionali, hosting, paghe e siti web sono responsabili del trattamento a tutti gli effetti. La loro conformità ricade sulla tua, quindi conviene chiedere per iscritto.

1. Esiste un accordo sul trattamento ex art. 28, e cosa prevede esattamente?
2. Quali sub-responsabili utilizzate, e ci verrà comunicato se cambiano?
3. Dove sono fisicamente i server, e ci sono trasferimenti fuori dall'Unione europea?
4. Entro quanto ci avvisate in caso di violazione dei dati, e con quali informazioni?
5. Che fine fanno i dati alla scadenza del contratto: restituzione, cancellazione, entro quando?
6. Il vostro software ha funzioni di intelligenza artificiale attive, e sono disattivabili?

L'ultimo punto vale la pena porlo sempre: le funzioni di IA arrivano di frequente con gli aggiornamenti, già attive, e diventano un trattamento che nessuno ha valutato.

Domande frequenti — consulenza GDPR a Siena

Consulenza GDPR e DPO esterno anche a: Grosseto · Firenze · Pisa · Perugia · Arezzo e in tutta Italia.