Pagina aggiornata al 31 agosto 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Cerchi consulenza GDPR o un DPO esterno a Teramo? Seguo cantine e aziende agroalimentari, imprese manifatturiere della Val Vibrata, strutture ricettive della costa adriatica, ateneo e strutture sanitarie della provincia, con adeguamento GDPR completo e valutazione degli obblighi AI Act dove pertinente.
Come lavoro: lo Studio ha sede a Sassari e segue le organizzazioni di Teramo da remoto, con un unico referente e senza passaggi fra consulenti diversi. Gli incontri in presenza si concordano quando servono davvero.
La provincia di Teramo tiene insieme cose che altrove stanno lontane: un distretto manifatturiero come la Val Vibrata, nato sul tessile e sull'abbigliamento e riconvertito in parte sulla componentistica, una filiera vitivinicola che esporta in tutto il mondo, una costa che d'estate moltiplica per dieci le presenze fra Giulianova, Roseto e Alba Adriatica, e un ateneo con facoltà scientifiche.
Ne derivano trattamenti molto diversi fra loro. Nel manifatturiero il dato critico è quello dei lavoratori, fra rilevazione presenze, videosorveglianza di reparto e imprese in appalto. Nelle cantine che vendono all'estero il tema sono i clienti e i trasferimenti fuori dall'Unione. Sulla costa il problema è la stagionalità: personale che cambia ogni anno e volumi di dati concentrati in pochi mesi.
Referti, gestionali di prenotazione e archivi clinici: dati particolari che richiedono misure rafforzate e quasi sempre una valutazione d'impatto.
Clienti extra-UE, piattaforme di vendita e servizi cloud fuori dall'Unione: servono base giuridica del trasferimento e valutazione del Paese di destinazione.
Rilevazione presenze, sorveglianza sanitaria, videosorveglianza di reparto e lavoratori somministrati: ogni impresa che entra in stabilimento va coperta da nomina e istruzioni scritte.
Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.
| Tipo di organizzazione | DPO | Perché |
|---|---|---|
| Comune o ente pubblico | Sempre | Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali. |
| Struttura sanitaria, casa di cura o RSA | Quasi sempre | Trattamento su larga scala di dati relativi alla salute, categoria particolare ex art. 9. |
| Università o ente di ricerca pubblico | Sempre | Natura pubblica del soggetto, con in più i trattamenti su studenti e partecipanti a studi. |
| Stabilimento con presenze biometriche o videosorveglianza estesa | Da valutare | Il dato biometrico è categoria particolare: se usato su tutto il personale la soglia si avvicina rapidamente. |
| Cantina, hotel o PMI commerciale | Di norma no | Restano dovuti registro, informative, nomine, formazione e la disciplina dei trasferimenti extra-UE. |
Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.
Il GDPR chiede che il DPO sia raggiungibile e in condizione di svolgere i propri compiti, non che sia fisicamente in azienda. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative, che si gestiscono in digitale con un canale diretto e tempi di risposta certi.
In uno stabilimento della Val Vibrata la parte che richiede presenza è circoscritta: come sono orientate le telecamere di reparto, dove finiscono i dati del rilevatore presenze, chi accede in concreto agli archivi della sorveglianza sanitaria. Si risolve in uno o due sopralluoghi mirati. Per le strutture ricettive della costa, stagionali e con personale che cambia, il valore sta invece nella formazione ricorrente all'apertura della stagione.
A Teramo l'AI Act si presenta in due punti distanti fra loro. Nel manifatturiero della Val Vibrata il tema sono i sistemi che osservano e misurano le persone in reparto: l'Allegato III classifica ad alto rischio quelli usati per gestire i lavoratori, e i decreti italiani hanno aggiunto limiti espressi alle decisioni automatizzate sul rapporto di lavoro. Nel vitivinicolo e sulla costa il tema è invece la trasparenza: chatbot, testi e immagini generate per vendere e per accogliere. Ho dedicato una pagina alla classificazione dei sistemi e alle scadenze: Consulente AI Act a Teramo →
Il 2 dicembre 2026 è il termine entro cui i fornitori di sistemi generativi già sul mercato prima del 2 agosto 2026 devono marcare i propri output in formato leggibile dalle macchine (art. 50 par. 2). Non è un adempimento di chi quei sistemi li usa. All’organizzazione utilizzatrice il Regolamento chiede un’altra cosa, già applicabile dal 2 agosto 2026: dichiarare i deepfake e i testi generati con l’IA che vengono pubblicati per informare il pubblico su temi di interesse pubblico, salvo che il contenuto sia stato rivisto da una persona e qualcuno se ne assuma la responsabilità editoriale (art. 50 par. 4). Alla stessa data del 2 dicembre 2026 diventano operativi i due divieti aggiunti dal Regolamento (UE) 2026/1744: deepfake intimi non consensuali e materiale pedopornografico generato con l’IA. In pratica: chiedi per iscritto ai fornitori dei tuoi strumenti generativi come rispettano l’art. 50 par. 2, e stabilisci chi rivede i contenuti prima che escano.
I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.
Violazione dei principi, delle basi giuridiche, dei diritti degli interessati e delle regole sui trasferimenti extra-UE.
Obblighi del titolare e del responsabile: registro, sicurezza, notifica dei data breach, nomina del DPO, valutazione d'impatto.
Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.
Hai dubbi su cosa ti spetta? La prima call non ha costo e serve a separare gli obblighi reali da quelli che ti hanno raccontato.
Richiedi una valutazione gratuita →Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.
Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.
Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.
Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.
Ogni ordine comporta un trasferimento di dati personali fuori dall'Unione, e serve una base che lo giustifichi. Per gli Stati Uniti può valere la decisione di adeguatezza se il destinatario è certificato, altrimenti si ricorre alle clausole contrattuali tipo con una valutazione del Paese di destinazione. Vale anche per gli strumenti che usate: piattaforma di vendita, sistema di pagamento e posta elettronica sono spesso fuori dall'Unione.
È la soluzione più difficile da giustificare. L'impronta è un dato biometrico, categoria particolare dell'art. 9: serve una base giuridica solida, una valutazione d'impatto e la prova documentata di aver considerato alternative meno invasive, come badge o codice. Il Garante è intervenuto più volte su questo punto proprio nel manifatturiero.
Sì, senza distinzioni. L'obbligo di istruire chi tratta dati non dipende dalla durata del contratto né dal fatto che il lavoratore sia somministrato. Conviene un modulo breve per ruolo, erogato all'ingresso, con registro delle ore e attestato che resta agli atti anche dopo la fine della stagione.
Il servizio copre l'intera provincia: Giulianova, Roseto degli Abruzzi, Alba Adriatica, Martinsicuro, Nereto, Atri e i comuni della Val Vibrata e della costa, incluse le realtà con più unità locali.
Richiedi una valutazione gratuita: ti diciamo cosa manca per essere a norma, GDPR e AI Act inclusi.
Richiedi una valutazione gratuita →Sull'intelligenza artificiale: Consulente AI Act a Teramo · quadro nazionale AI Act.
Seguo aziende ed enti anche a: Pescara · L'Aquila · Chieti · Ancona e in tutta Italia.
Studio Cravero