Studio Cravero ConsultingPerché la PA ha obblighi privacy specifici
Gli enti pubblici trattano dati personali di tutti i cittadini: anagrafe, tributi, servizi sociali, edilizia, polizia locale, scuole, cimiteri, servizi idrici. Molti di questi trattamenti riguardano categorie particolari di dati (sanitari, giudiziari, economici) e interessati vulnerabili (minori, anziani, persone con disabilità).
Il GDPR impone alla PA obblighi più stringenti rispetto al settore privato: la nomina del DPO è sempre obbligatoria (art. 37, comma 1, lettera a), il principio di trasparenza si intreccia con gli obblighi di pubblicazione (D.Lgs. 33/2013), e il bilanciamento tra diritto di accesso agli atti e protezione dei dati richiede competenze specifiche.
Il Garante italiano ha intensificato i controlli sulla PA. Il Provvedimento n. 5/2025 ha ribadito l'obbligo di nomina del DPO e la necessità di una comunicazione effettiva dei dati di contatto al Garante. Le sanzioni non risparmiano gli enti pubblici.
Stai valutando l'incarico di RPD per il tuo ente? Questa pagina descrive gli adempimenti che riguardano la PA. Il servizio, con le attività comprese e le modalità di affidamento, è descritto nelle pagine dedicate:
DPO per Comuni e Unioni · DPO per le scuole · DPO per ASL e aziende sanitarie · panoramica del servizio per la PA
Gli adempimenti GDPR per Comuni e enti locali
Nomina obbligatoria del DPO e comunicazione al Garante
Ogni ente pubblico deve nominare un DPO, comunicarne i dati di contatto al Garante e pubblicarli. Il DPO può essere un dipendente interno (senza conflitti di interesse) o un professionista esterno. Per i piccoli Comuni, l'esternalizzazione è la scelta più frequente e più efficiente: garantisce competenza specialistica, indipendenza e costi sostenibili.
Registro dei trattamenti dell'ente
Il registro dei trattamenti di un Comune è complesso: include decine di trattamenti diversi (anagrafe, tributi, polizia locale, servizi sociali, edilizia, personale, protocollo, albo pretorio, videosorveglianza). Ogni trattamento va mappato con finalità, base giuridica (spesso obbligo legale o interesse pubblico), categorie di dati, destinatari, tempi di conservazione.
Informative per cittadini, dipendenti e fornitori
L'ente deve informare i cittadini su come tratta i loro dati per ogni servizio erogato. Servono informative specifiche per: servizi demografici, tributi, servizi sociali, polizia locale, edilizia, sito web istituzionale. A queste si aggiungono le informative per i dipendenti e per i fornitori.
Sito web istituzionale: Albo pretorio, trasparenza, cookie
Il sito istituzionale è un punto critico: pubblica atti nell'Albo pretorio (con rischio di diffusione di dati personali), ospita la sezione Amministrazione Trasparente (D.Lgs. 33/2013) e utilizza cookie e servizi di terze parti. Serve una privacy policy specifica, un cookie banner conforme e una policy di minimizzazione dei dati negli atti pubblicati.
Videosorveglianza pubblica
Molti Comuni hanno sistemi di videosorveglianza nelle aree pubbliche (piazze, parcheggi, scuole, edifici comunali). Questi sistemi richiedono: cartelli informativi, informativa estesa, definizione dei tempi di conservazione, analisi delle basi giuridiche (sicurezza pubblica, interesse pubblico), e in molti casi una DPIA.
Gestione dei diritti degli interessati
I cittadini possono esercitare i diritti GDPR nei confronti del Comune: accesso, rettifica, cancellazione (con i limiti del settore pubblico), opposizione. L'ente deve avere una procedura interna per gestire queste richieste nei tempi previsti (30 giorni).
Formazione obbligatoria del personale
Il personale comunale che tratta dati personali deve essere formato e istruito. La formazione deve essere documentata con attestati e rinnovata periodicamente. Il DPO ha il compito di organizzarla e monitorarla.
ScoreGDPR.it — uno strumento di autovalutazione per i Comuni
Un punto di partenza, non una diagnosi
Con ScoreGDPR.it ho sviluppato una piattaforma che, partendo da quanto un Comune pubblica sul proprio sito istituzionale, evidenzia le aree privacy su cui vale la pena guardare più a fondo.
È un'indicazione di massima, utile per orientare una prima conversazione: la verifica vera si fa sui documenti dell'ente, non da fuori.
Sei un Comune? Scopri il tuo punteggio su ScoreGDPR.it e contattami per un piano di adeguamento.
Il servizio per la PA
Assumo l'incarico di Responsabile della protezione dei dati per gli enti pubblici, con attività proporzionata alla dimensione dell'amministrazione: registro dei trattamenti, pareri preventivi, valutazioni d'impatto, gestione delle richieste degli interessati e delle violazioni, verifica dei fornitori, formazione del personale e adempimenti AI Act propri degli enti.
Le attività comprese, il metodo e le modalità di avvio sono descritti per esteso nelle pagine dedicate, che tengono conto delle differenze reali tra i vari tipi di amministrazione: Comuni e Unioni di Comuni, istituzioni scolastiche, ASL e aziende sanitarie. La panoramica del servizio per la PA raccoglie il metodo comune e tratta anche partecipate, consorzi e altri organismi di diritto pubblico.
Come avviene l'affidamento
Il servizio viene acquisito secondo le procedure dell'ente e con gli strumenti che l'amministrazione utilizza abitualmente: affidamento diretto nei casi e nei limiti consentiti dall'ordinamento, confronto di preventivi, trattativa o procedura telematica, manifestazione di interesse, piattaforme e centrali di committenza regionali, oppure MePA quando l'ente sceglie di operare su quel mercato elettronico e il professionista risulta abilitato al bando di riferimento.
La scelta della procedura e la verifica dei presupposti competono al RUP. Da parte mia fornisco tempestivamente la documentazione necessaria all'affidamento, compreso il curriculum in formato utilizzabile per la determina. Il dettaglio è nella sezione dedicata della pagina sul servizio per la PA.
Domande frequenti per enti pubblici
Il DPO è obbligatorio per i Comuni?
Sì, senza eccezioni. Art. 37, comma 1, lettera a) GDPR. Il Provvedimento del Garante n. 5/2025 ha ribadito l'obbligo sanzionando i Comuni inadempienti.
Come avviene l'affidamento?
Per importi sotto soglia: affidamento diretto tramite determina. Procedimento snello e semplificato.
Cos'è ScoreGDPR.it?
Una piattaforma separata che aiuta un Comune a individuare le aree privacy da migliorare partendo da quanto è pubblicato sul sito istituzionale. Scopri il punteggio del tuo Comune.
Quanto costa il DPO per un piccolo Comune?
Per un Comune fino a 5.000 abitanti: a partire da 1.500-2.500 €/anno con documentazione completa. Contattami per un preventivo personalizzato.
Lavorate anche fuori dalla Sardegna?
Sì. Operiamo in tutta Italia da remoto con la stessa qualità. Per enti sardi, anche in presenza.
Settori collegati: scuole e istituti · enti del terzo settore.
Aggiornamento agosto 2026. I decreti attuativi dell'AI Act raccordano la formazione del personale con la Scuola Nazionale dell'Amministrazione.
Sei un ente pubblico? Parliamone.
Contattami per un check gratuito dello stato di conformità del tuo ente.