GDPR per la Pubblica Amministrazione — DPO e Consulenza per Enti Pubblici

Perché la PA ha obblighi privacy specifici

Gli enti pubblici trattano dati personali di tutti i cittadini: anagrafe, tributi, servizi sociali, edilizia, polizia locale, scuole, cimiteri, servizi idrici. Molti di questi trattamenti riguardano categorie particolari di dati (sanitari, giudiziari, economici) e interessati vulnerabili (minori, anziani, persone con disabilità).

Il GDPR impone alla PA obblighi più stringenti rispetto al settore privato: la nomina del DPO è sempre obbligatoria (art. 37, comma 1, lettera a), il principio di trasparenza si intreccia con gli obblighi di pubblicazione (D.Lgs. 33/2013), e il bilanciamento tra diritto di accesso agli atti e protezione dei dati richiede competenze specifiche.

Il Garante italiano ha intensificato i controlli sulla PA. Il Provvedimento n. 5/2025 ha ribadito l'obbligo di nomina del DPO e la necessità di una comunicazione effettiva dei dati di contatto al Garante. Le sanzioni non risparmiano gli enti pubblici.

Gli adempimenti GDPR per Comuni e enti locali

Nomina obbligatoria del DPO e comunicazione al Garante

Ogni ente pubblico deve nominare un DPO, comunicarne i dati di contatto al Garante e pubblicarli. Il DPO può essere un dipendente interno (senza conflitti di interesse) o un professionista esterno. Per i piccoli Comuni, l'esternalizzazione è la scelta più frequente e più efficiente: garantisce competenza specialistica, indipendenza e costi sostenibili.

Registro dei trattamenti dell'ente

Il registro dei trattamenti di un Comune è complesso: include decine di trattamenti diversi (anagrafe, tributi, polizia locale, servizi sociali, edilizia, personale, protocollo, albo pretorio, videosorveglianza). Ogni trattamento va mappato con finalità, base giuridica (spesso obbligo legale o interesse pubblico), categorie di dati, destinatari, tempi di conservazione.

Informative per cittadini, dipendenti e fornitori

L'ente deve informare i cittadini su come tratta i loro dati per ogni servizio erogato. Servono informative specifiche per: servizi demografici, tributi, servizi sociali, polizia locale, edilizia, sito web istituzionale. A queste si aggiungono le informative per i dipendenti e per i fornitori.

Sito web istituzionale: Albo pretorio, trasparenza, cookie

Il sito istituzionale è un punto critico: pubblica atti nell'Albo pretorio (con rischio di diffusione di dati personali), ospita la sezione Amministrazione Trasparente (D.Lgs. 33/2013) e utilizza cookie e servizi di terze parti. Serve una privacy policy specifica, un cookie banner conforme e una policy di minimizzazione dei dati negli atti pubblicati.

Videosorveglianza pubblica

Molti Comuni hanno sistemi di videosorveglianza nelle aree pubbliche (piazze, parcheggi, scuole, edifici comunali). Questi sistemi richiedono: cartelli informativi, informativa estesa, definizione dei tempi di conservazione, analisi delle basi giuridiche (sicurezza pubblica, interesse pubblico), e in molti casi una DPIA.

Gestione dei diritti degli interessati

I cittadini possono esercitare i diritti GDPR nei confronti del Comune: accesso, rettifica, cancellazione (con i limiti del settore pubblico), opposizione. L'ente deve avere una procedura interna per gestire queste richieste nei tempi previsti (30 giorni).

Formazione obbligatoria del personale

Il personale comunale che tratta dati personali deve essere formato e istruito. La formazione deve essere documentata con attestati e rinnovata periodicamente. Il DPO ha il compito di organizzarla e monitorarla.

ScoreGDPR.it — Lo stato della compliance nei Comuni italiani

Il nostro servizio per la PA

Offro un servizio completo calibrato sulle esigenze e sulle risorse degli enti pubblici, in particolare dei piccoli e medi Comuni:

• Servizio DPO esterno con assunzione formale dell'incarico, comunicazione al Garante, supervisione continuativa, audit periodici, rapporti con l'Autorità
• Documentazione completa: registro dei trattamenti dell'ente, informative per ogni servizio, nomine, procedure data breach e diritti interessati
• Supporto per il sito istituzionale: privacy policy, cookie policy, minimizzazione dati in Albo pretorio e Trasparenza
• Formazione del personale con attestati e gestione scadenze
• DPIA per videosorveglianza e trattamenti a rischio
• Supporto operativo continuativo: canale diretto per domande, gestione eventi, aggiornamento documentale

Come avviene l'affidamento

Per importi sotto soglia, il Comune può procedere con affidamento diretto tramite determina. Il procedimento è snello:

• Determina a contrarre del RUP con motivazione della scelta
• Individuazione del professionista (verifica requisiti, curriculum, esperienze)
• Stipula del contratto di servizi
• Comunicazione dei dati di contatto del DPO al Garante tramite procedura online
• Pubblicazione dei dati di contatto del DPO sul sito istituzionale

Semplifico la vita al RUP: fornisco tutta la documentazione necessaria per l'affidamento, incluso il curriculum in formato utile per la determina.

Domande frequenti per enti pubblici