Studio Cravero ConsultingConsulenza GDPR per Settore
Ogni settore ha esigenze privacy specifiche: trattamenti diversi, rischi diversi, normative di riferimento diverse. Non applico soluzioni generiche: costruisco la compliance sulla realtà del tuo settore.
Hotel e Strutture Ricettive
Registro ospiti, videosorveglianza, Wi-Fi, booking online, informative check-in, carte di credito, profilazione turistica. Consulenza specifica per l'hospitality.
Pubblica Amministrazione
DPO obbligatorio, registro dei trattamenti dell'ente, trasparenza, Albo pretorio, sito istituzionale, videosorveglianza pubblica, formazione dipendenti. Con ScoreGDPR.it.
Incarico di RPD per enti pubblici
Il servizio, non solo gli adempimenti: pagine dedicate a Comuni e Unioni, istituzioni scolastiche, ASL e aziende sanitarie, con metodo di lavoro e modalità di affidamento.
E-commerce
Consensi marketing, cookie e tracciamento, profilazione, checkout, gateway di pagamento, fornitori terzi, privacy policy, soft spam, gestione account.
Studi Professionali
Avvocati, commercialisti, consulenti del lavoro: dati sensibili dei clienti, segreto professionale, doppio ruolo Titolare/Responsabile, formazione collaboratori.
Sanità
Cliniche, studi medici, laboratori, farmacie: dati sanitari, cartelle cliniche elettroniche, DPIA obbligatoria, telemedicina, sicurezza rafforzata.
RSA e case di riposo
Dati sulla salute di ospiti fragili, chi ha titolo a firmare i consensi, informazioni ai familiari, videosorveglianza e pubblicazione di immagini.
AI Act per Software House
Fornitore o utilizzatore, documentazione tecnica dell'Allegato IV, sistema di gestione della qualità. Chi integra l'IA nel prodotto assume gli obblighi più estesi del Regolamento.
Scuole e Istruzione
Dati di minori, registro elettronico, piattaforme didattiche, foto scolastiche. È l'AI Act, che colloca l'istruzione tra i settori ad alto rischio.
Cooperative
Libro soci, assemblee, ristorni, soci lavoratori. Nelle cooperative sociali si aggiungono i dati sanitari degli assistiti e il DPO diventa quasi sempre obbligatorio.
Farmacie e Parafarmacie
Ricetta elettronica, Fascicolo Sanitario, servizi in farmacia, fidelity card con profilazione e riservatezza al banco.
Associazioni e Terzo Settore
Soci, donatori, 5 per mille, volontari e beneficiari. Con la previsione dell'art. 9 pensata per gli enti senza scopo di lucro.
Perché il settore cambia gli adempimenti
Il GDPR è uno solo, ma quello che comporta in concreto dipende quasi interamente da cosa tratti. Un e-commerce e uno studio medico applicano gli stessi articoli e finiscono con documentazione completamente diversa, perché cambiano tre cose: la natura dei dati, la base giuridica su cui poggia il trattamento e la normativa di settore che si somma al Regolamento.
La differenza pratica più grossa la fa l'art. 9. Dati sanitari, appartenenza sindacale, convinzioni religiose, orientamento sessuale e dati biometrici sono categorie particolari: richiedono una condizione ulteriore rispetto alla base giuridica ordinaria, misure di sicurezza rafforzate e, molto spesso, una valutazione d'impatto. È il motivo per cui sanità, farmacie, scuole e cooperative sociali hanno un carico documentale che un'azienda manifatturiera non ha.
In quali settori il DPO è obbligatorio
L'art. 37 individua tre casi. Il primo è automatico: tutti gli enti pubblici, quindi comuni, scuole statali, aziende sanitarie, senza valutazioni. Gli altri due dipendono dall'attività: monitoraggio sistematico degli interessati su larga scala, oppure trattamento su larga scala di dati particolari.
| Settore | DPO | Cosa lo determina |
|---|---|---|
| Pubblica amministrazione | Sempre obbligatorio | Art. 37 par. 1 lett. a, nessuna soglia dimensionale |
| Sanità | Quasi sempre | Trattamento su larga scala di dati sanitari |
| Scuole | Sì per le statali, da valutare per le paritarie | Natura pubblica, dati di minori |
| Cooperative sociali | Spesso | Dati sanitari degli assistiti |
| Farmacie | Da valutare | Dipende dai volumi e dai servizi erogati in farmacia |
| E-commerce | Da valutare | Profilazione sistematica su larga scala |
| Hotel, studi, PMI | Di norma no | Restano dovuti registro, informative, nomine e formazione |
Anche dove non è obbligatorio, la nomina resta possibile e in alcuni casi conveniente: dà un referente unico e documenta l'accountability. Il quadro completo è nella guida ai requisiti del DPO, mentre sui costi c'è quanto costa un DPO esterno.
Dove l'AI Act cambia il quadro per settore
L'AI Act non si sovrappone al GDPR, si aggiunge. È lo fa in modo molto diseguale fra settori, perché l'Allegato III colloca ad alto rischio alcuni ambiti precisi: istruzione, selezione del personale, merito creditizio, sanità, biometria e servizi pubblici essenziali. Un hotel e una scuola che usano lo stesso chatbot hanno lo stesso obbligo di trasparenza, ma la scuola ha anche un contesto in cui altri sistemi ricadono nell'alto rischio.
Chi sviluppa o rimarchia un sistema, invece, esce dalla categoria degli utilizzatori e assume gli obblighi del fornitore: è il caso tipico delle software house e di chi integra funzioni intelligenti in un prodotto. Il quadro per classi è nella guida ai livelli di rischio.
Non trovi il tuo settore?
Le pagine qui sopra coprono i settori che seguo più spesso, ma il metodo non cambia: si parte dal censimento dei trattamenti reali, si verifica quali ricadono nell'art. 9 o nell'Allegato III, e si costruisce la documentazione su quello. Se lavori in un ambito non elencato, scrivimi e ti dico in una call se e dove ci sono adempimenti specifici.
Il tuo settore non è in lista?
La consulenza GDPR è modulare e si adatta a qualsiasi settore. Contattami per discutere le esigenze specifiche della tua organizzazione.