Consulenza GDPR e DPO esterno a Viterbo

Consulenza GDPR e AI Act a Viterbo: chi seguo

La provincia di Viterbo ha un numero che da solo spiega metà del lavoro che faccio qui: sessanta comuni per poco più di trecentomila abitanti, distribuiti su 3.612 chilometri quadrati. Sono quasi tutti enti piccoli, molti sotto i cinquemila abitanti, con un segretario comunale condiviso e uffici da tre o quattro persone. E l’art. 37, paragrafo 1, lettera a) del Regolamento non guarda la dimensione: il responsabile della protezione dei dati è obbligatorio per ogni autorità pubblica, che abbia tremila abitanti o trecentomila. Un comune della Tuscia ha lo stesso obbligo di Roma, con un ventesimo del personale.

L’altra metà è un’economia che sta guardando fuori. Alla Giornata dell’Economia del luglio 2026 la Camera di Commercio Rieti-Viterbo ha registrato un export provinciale in crescita del 9,5% nel 2025 e del 14,1% nel primo trimestre 2026, con l’agricoltura a +53,6% nel 2025, i prodotti alimentari a +31,4% nel primo trimestre e la ceramica a +8,9%. Nello stesso periodo il turismo ha segnato arrivi a +41,3% e presenze a +25,5%. Chi esporta e chi ospita tratta dati che escono dal proprio ufficio: clienti e agenti all’estero, piattaforme di prenotazione, gestionali in cloud. È l’anello dove, in questa provincia, si concentrano i problemi.

• ✓ Comuni, unioni e gestioni associate
• ✓ Agroalimentare e aziende che esportano
• ✓ Ceramica e subfornitura industriale
• ✓ Strutture ricettive e agriturismi

Casi tipici in questi settori

Sessanta comuni, sessanta titolari del trattamento

È il nodo specifico di questa provincia. Il DPO per l’ente pubblico non è una scelta di opportunità: l’art. 37, paragrafo 1, lettera a) lo rende obbligatorio per tutte le autorità pubbliche, senza soglie dimensionali. E l’art. 37, paragrafo 7, chiede di pubblicare i dati di contatto del DPO e di comunicarli all’Autorità: è un adempimento verificabile dall’esterno in trenta secondi, e infatti è uno dei primi che il Garante controlla.

Il paragrafo 3 permette di condividerlo. Un unico responsabile della protezione dei dati può essere designato da più autorità pubbliche, tenuto conto della loro struttura organizzativa e dimensione. Per una provincia fatta di sessanta enti piccoli non è un dettaglio: è la differenza fra un costo sostenibile e un obbligo che resta sulla carta. La strada della gestione associata o dell’unione è quella che, nei fatti, rende l’adempimento possibile.

Condividere il DPO non significa dimezzare il lavoro. Ogni ente resta titolare autonomo: ha il suo registro dei trattamenti, le sue informative, i suoi incaricati, le sue telecamere e i suoi fornitori. Il DPO condiviso è una persona sola che deve conoscere situazioni diverse, non un documento fotocopiato su sessanta carte intestate. Quando la condivisione viene fatta male si vede subito: registri identici in comuni con servizi diversi, informative che citano uffici che quell’ente non ha, e nessuno che sappia rispondere quando arriva una richiesta di accesso.

E poi c’è la parte che riguarda i fornitori. I piccoli comuni comprano quasi tutto: il gestionale dei tributi, la piattaforma dei pagamenti, il software dei servizi demografici, la conservazione digitale, spesso dallo stesso fornitore regionale. Quel fornitore è responsabile del trattamento ai sensi dell’art. 28, e l’atto che lo nomina deve essere firmato da entrambe le parti, non spedito e archiviato. È la verifica che faccio per prima quando prendo in carico un ente, ed è quella che più spesso manca.

Quando il DPO è obbligatorio

Il Regolamento prevede tre ipotesi di nomina obbligatoria, di cui una sola opera in automatico. Le altre due dipendono da cosa si tratta e in che misura, non dal codice ATECO. Ecco come si presentano di solito da queste parti.

Tipo di organizzazione	DPO	Perché
Azienda sanitaria, ospedale o RSA	Sempre	Ente pubblico e trattamento su larga scala di dati relativi alla salute: la nomina è dovuta a doppio titolo.
Comune o ente pubblico	Sempre	Art. 37 par. 1 lett. a): la nomina opera in automatico, senza soglie dimensionali, e i dati di contatto vanno comunicati al Garante e pubblicati.
Azienda agricola con attività ricettiva	Di norma no	I numeri raramente integrano la larga scala. Restano dovuti registro con due sezioni, informative separate e titolo per la videosorveglianza.
Università o istituzione formativa	Sempre	Ente pubblico ai sensi dell'art. 37 par. 1 lett. a), con trattamenti su studenti, personale e ricerca.
Unione di comuni o consorzio tra enti	Sempre	È a sua volta un’autorità pubblica. Può designare un proprio DPO o condividerlo con gli enti aderenti, come consente l’art. 37 par. 3.
PMI senza trattamenti particolari	Di norma no	Restano comunque dovuti registro, informative, nomine a responsabile, formazione e misure di sicurezza.

Anche fuori dai casi obbligatori la nomina volontaria è ammessa e spesso utile, perché concentra la responsabilità su una figura sola e lascia traccia documentale. Approfondimento nella guida ai requisiti.

Il GDPR non richiede la presenza fisica del DPO

Il Regolamento chiede che il DPO sia raggiungibile e messo in condizione di svolgere i propri compiti, non che sia fisicamente in sede. Registro, informative, nomine, DPIA e formazione sono attività documentali e organizzative: si gestiscono in digitale, con un canale diretto e tempi di risposta concordati. Per una struttura che fa ricerca questo è anzi vantaggioso, perché la parte più impegnativa — protocolli, informative, valutazioni d'impatto — è lavoro su documenti.

La presenza serve dove il dato è fisico: dove sono conservati gli archivi clinici, come sono orientate le telecamere in reparto o in stabilimento, come funziona il controllo accessi a un'area tecnica. Si concentra in uno o due sopralluoghi, non in una presenza continuativa.

AI Act a Viterbo

Nella Tuscia l’intelligenza artificiale arriva soprattutto da due parti. La prima sono gli enti: chatbot sui siti comunali, strumenti che smistano il protocollo o aiutano a redigere gli atti. Per un comune l’uso dell’IA su dati dei cittadini va valutato prima di attivarlo e scritto nel registro dei trattamenti, e il DPO è la figura a cui chiedere il parere. La seconda è la ricettività, cresciuta molto negli ultimi anni: motori di prezzo e chatbot per le prenotazioni, spesso arrivati dentro il gestionale senza che nessuno li abbia scelti, che trattano dati di persone e vanno censiti come gli altri strumenti.

Il primo passo è sempre lo stesso: l’inventario dei sistemi in uso, con il ruolo che hai per ciascuno — fornitore o utilizzatore — e la classe di rischio. Quasi nessuno ce l’ha, e senza quello gli obblighi non si possono nemmeno contare.

Le sanzioni del GDPR

I massimali previsti sono due e vale il più alto fra la cifra fissa e la quota sul fatturato mondiale. Va detto che nella realtà il Garante modula parecchio, tenendo conto di gravità, durata, numero di interessati e atteggiamento tenuto durante l'istruttoria.

Un dettaglio che sfugge: non nominare il DPO quando dovuto sta nella fascia da 10 milioni, non in quella da 20. Il problema vero è a valle, perché dove manca il DPO mancano di regola anche registro, informative e gestione dei data breach, che stanno nella fascia superiore.

Come funziona

Cosa comprende il servizio

• DPO esterno: nomina formale, vigilanza, contatto con il Garante
• Registro dei trattamenti e informative a norma
• DPIA per trattamenti ad alto impatto e sistemi ad alto rischio
• Audit privacy e analisi del rischio
• Formazione GDPR online con attestati
• Cookie e siti web: banner e compliance

Approfondimenti: guida al DPO · requisiti e conflitto di interessi · costi e cosa include l'incarico.

Cosa resta in mano tua

Quello che produciamo resta di proprietà dell'organizzazione, in formato aperto, e non smette di funzionare quando finisce l'incarico.

• Registro dei trattamenti ex art. 30, compilato sulla tua attività reale
• Informative per clienti, dipendenti, fornitori e videosorveglianza
• Nomine di responsabili, autorizzati e amministratori di sistema
• Valutazione d'impatto dove dovuta, con l'analisi che la giustifica
• Procedura data breach con modulistica e tempi di notifica
• Materiale formativo per ruolo, con attestati e registro delle ore

Le domande da fare a chi tratta i tuoi dati

Chi ti fornisce software, spazio cloud o servizi amministrativi tratta dati per tuo conto, e la tua posizione dipende anche dalla sua. Le domande vanno poste nero su bianco.

1. Avete sottoscritto con noi un atto di nomina a responsabile ex art. 28, e cosa contiene?
2. Di quali sub-fornitori vi avvalete, e come ci informate quando l'elenco cambia?
3. In quale Paese risiedono i server, e sono previsti trasferimenti extra-UE?
4. Quanto tempo passa prima che ci segnaliate una violazione, e cosa ci comunicate?
5. Al termine del rapporto i dati ci vengono restituiti o cancellati, e con quale tempistica?
6. Il prodotto include funzioni di intelligenza artificiale già attive? Possiamo spegnerle?

Quella sull'intelligenza artificiale è la domanda più nuova e la più trascurata: capita spesso che un aggiornamento accenda funzioni generative senza che nessuno lo abbia chiesto.

Domande frequenti — consulenza GDPR a Viterbo

Sull'intelligenza artificiale: il quadro nazionale dell’AI Act.

Consulenza GDPR e DPO esterno anche a: Roma · Terni · Perugia · Latina · Grosseto e in tutta Italia.