Le domande che ci fanno più spesso

La mia azienda è obbligata a nominare un DPO?

GDPR · Art. 37

L'art. 37 del Regolamento individua tre casi in cui la designazione è dovuta: quando il trattamento è svolto da un'autorità o da un organismo pubblico; quando le attività principali del titolare consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Due espressioni meritano attenzione, perché è lì che si sbaglia più spesso.

«Attività principali»

Sono quelle che costituiscono il nucleo dell'attività, non le funzioni di supporto. Un'azienda manifatturiera tratta i dati dei dipendenti, ma la gestione del personale non è la sua attività principale: è strumentale. Diverso il caso di una società di ricerca e selezione, dove il trattamento dei candidati è il servizio.

«Larga scala»

Il Regolamento non fissa una soglia numerica. Vanno valutati insieme il numero di interessati, il volume e la varietà dei dati, la durata del trattamento e la sua estensione geografica. Il Garante ha indicato a titolo esemplificativo istituti di credito, imprese assicurative, società finanziarie, operatori sanitari privati, società di ricerca e selezione del personale, call center, fornitori di servizi informatici e imprese di telecomunicazioni o utilities — sempre che ricorrano i presupposti sostanziali.

Fuori dai casi obbligatori

La nomina resta possibile su base volontaria, ed è una concreta espressione del principio di responsabilizzazione. Attenzione però: una volta designato, anche volontariamente, il DPO è soggetto a tutte le regole previste dagli articoli 37-39. Non esiste un DPO «leggero».

C'è infine un aspetto che sfugge quasi sempre: anche quando la conclusione è che il DPO non serve, la valutazione va documentata. In sede ispettiva la domanda non è soltanto «avete un DPO», ma «avete verificato se vi serviva, e in base a cosa avete concluso di no».

DPO interno o esterno: cosa conviene a una PMI?

GDPR · Art. 37 e 38

Il Regolamento ammette espressamente entrambe le soluzioni: il DPO può essere un dipendente oppure un professionista esterno che opera sulla base di un contratto di servizi. Per una piccola o media impresa la seconda è quasi sempre preferibile, per tre ragioni distinte.

Indipendenza

È l'argomento più forte e il meno considerato. L'art. 38 vieta che il DPO riceva istruzioni sull'esecuzione dei propri compiti e che si trovi in conflitto di interessi. Un dipendente che riporta a chi decide sulle finalità dei trattamenti — il responsabile IT, il direttore del personale, il titolare stesso — è strutturalmente in conflitto. È uno dei rilievi più ricorrenti nei provvedimenti sanzionatori.

Costo

Un incarico esterno ha un onere annuo che è una frazione di quello di una risorsa interna dedicata, senza oneri di formazione né rischio di perdere la competenza quando la persona cambia ruolo o azienda.

Aggiornamento

La materia si muove di continuo: provvedimenti del Garante, linee guida dell'EDPB, normative collegate come NIS2 e AI Act. Mantenere aggiornata una risorsa interna ha un costo che raramente una PMI riesce a sostenere con costanza.

Cosa verificare, in entrambi i casi

• La qualificazione: dal 2024 esiste la norma UNI CEI EN 17740, che definisce i requisiti della figura. Una certificazione rilasciata da un organismo accreditato ACCREDIA secondo quella norma è oggi l'unica attestazione di terza parte realmente riconosciuta
• Il tempo dedicato e i tempi di risposta ai pareri, messi per iscritto nel contratto
• La copertura assicurativa professionale
• L'assenza di conflitti: chi fornisce anche i sistemi informatici e poi ne valuta l'adeguatezza si trova in una posizione delicata, che va risolta separando i ruoli

Diffidate di chi non mette per iscritto la propria disponibilità. Un DPO irraggiungibile è una nomina di facciata, e in sede ispettiva viene letta esattamente come tale.

Come faccio a sapere se la mia azienda rientra nella NIS2?

D.Lgs. 138/2024

Ci si può trovare coinvolti per due strade completamente diverse, ed è utile tenerle separate perché comportano conseguenze differenti.

Prima strada: si rientra direttamente

L'azienda opera in uno dei settori individuati dagli allegati al decreto e supera le soglie dimensionali previste. Diventa soggetto essenziale o importante, con obblighi di registrazione presso l'Agenzia per la Cybersicurezza Nazionale, adozione di misure di gestione del rischio e notifica degli incidenti.

Il calcolo delle soglie è il punto in cui si sbaglia più spesso, perché non si legge sul bilancio della singola società. Vanno considerate le imprese collegate e associate secondo i criteri della raccomandazione europea sulle PMI. Un gruppo composto da più società individualmente piccole, con soci comuni o personale condiviso, può superare le soglie una volta consolidato.

Seconda strada, molto più frequente: si è fornitori

L'azienda non rientra direttamente, ma fornisce beni o servizi a un soggetto obbligato. Poiché la direttiva impone di gestire il rischio della catena di approvvigionamento, quel committente trasferisce a valle requisiti di sicurezza sotto forma di questionari, clausole contrattuali e richieste di evidenze.

In questo caso non ci sono obblighi di legge diretti, ma le conseguenze commerciali sono immediate: chi non sa rispondere in modo documentato esce dalla fornitura. È la ragione per cui riceviamo più richieste da fornitori che da soggetti obbligati.

Cosa fare

• Verificare il settore di attività rispetto agli allegati del decreto
• Calcolare le soglie consolidando le imprese collegate e associate
• Documentare l'esito, qualunque esso sia
• Se l'obbligo sussiste, procedere con registrazione e categorizzazione delle attività e dei servizi

Un'avvertenza pratica: la categoria attribuita in sede di categorizzazione può non coincidere con l'autovalutazione iniziale. Conviene verificarla, perché da essa discendono obblighi e termini diversi.

AI Act: cosa è cambiato davvero dal 2 agosto 2026?

Reg. UE 2024/1689 · Digital Omnibus

Il 2 agosto 2026 l'AI Act è entrato nella fase di applicazione generale. Nelle settimane precedenti però è intervenuto il Digital Omnibus, che ha riscritto parte del calendario — e la lettura che circola è spesso imprecisa in una direzione pericolosa: molti hanno capito «è stato tutto rinviato». Non è così.

Cosa è scattato e non si è mosso

• Gli obblighi di trasparenza dell'art. 50: chi interagisce con un sistema di IA deve esserne informato, i contenuti generati o manipolati vanno dichiarati, e lo stesso vale per i sistemi di riconoscimento delle emozioni
• Il regime sanzionatorio, con importi che arrivano fino a 35 milioni di euro o al 7% del fatturato mondiale annuo per le violazioni più gravi
• La piena operatività delle autorità nazionali di vigilanza

Cosa è stato rinviato

Le disposizioni sui sistemi ad alto rischio: al 2 dicembre 2027 per i sistemi autonomi dell'Allegato III, al 2 agosto 2028 per quelli integrati nei prodotti dell'Allegato I. Il motivo è concreto: gli standard armonizzati e gli strumenti di valutazione della conformità non erano pronti.

Cosa era già in vigore da prima

• Dal 2 febbraio 2025: le pratiche vietate dell'art. 5 e l'obbligo di alfabetizzazione, cioè di garantire un livello adeguato di competenza a chi utilizza sistemi di IA per conto dell'organizzazione
• Dal 2 agosto 2025: gli obblighi sui modelli per finalità generali

Cosa conviene fare adesso

Il primo passo non è tecnologico: è sapere quali sistemi di intelligenza artificiale sono già entrati in azienda. Nella maggior parte dei casi sono arrivati dal basso — un reparto che ha attivato un assistente, un fornitore che ha aggiunto una funzione al gestionale — senza che nessuno li abbia deliberati né censiti.

Da lì si procede con la classificazione del ruolo (fornitore o utilizzatore) e del livello di rischio, le informative dove previste, la formazione del personale e il raccordo con il GDPR quando l'IA tratta dati personali.

Contenuto aggiornato ad agosto 2026. Il quadro è in evoluzione: verificate sempre la versione vigente delle norme citate.

Abbiamo subito un attacco informatico: cosa succede nelle prime 72 ore?

GDPR · Art. 33 e 34

Partiamo da un equivoco diffuso: le 72 ore non sono il tempo per risolvere il problema. Sono il termine entro cui il titolare, da quando viene a conoscenza della violazione, deve notificarla al Garante se è probabile che comporti un rischio per i diritti e le libertà degli interessati.

L'errore che costa di più

La reazione istintiva è formattare e reinstallare per tornare operativi. È comprensibile, ed è quasi sempre la mossa sbagliata: distrugge le evidenze. Senza log e senza immagini dei sistemi non si può stabilire quali dati siano stati effettivamente coinvolti, e senza quel dato la valutazione del rischio diventa impossibile — con la conseguenza che si è costretti a notificare nell'ipotesi peggiore. Le stesse evidenze servono, di norma, anche per l'eventuale denuncia di sinistro alla compagnia assicurativa.

La sequenza corretta

• Contenere: isolare i sistemi compromessi senza spegnerli, dove possibile
• Preservare: conservare log, immagini dei sistemi e tracce di rete
• Valutare: stabilire se sono coinvolti dati personali, quali, di quanti interessati e con quale probabile impatto
• Notificare al Garante entro 72 ore se il rischio è probabile; se le informazioni non sono complete, la notifica può essere effettuata in fasi successive
• Comunicare agli interessati quando il rischio è elevato, ai sensi dell'art. 34
• Registrare la violazione nel registro interno: questo va fatto sempre, anche quando la notifica non è dovuta

Se rientrate anche nella NIS2

Gli obblighi si sommano e hanno termini propri, più stretti, verso l'Agenzia per la Cybersicurezza Nazionale. Sono due binari distinti: la notifica al Garante non sostituisce quella all'Agenzia, né viceversa.

La cosa da fare prima

Tutto questo funziona solo se è stato deciso in anticipo: chi decide, chi contatta chi, dove sono i recapiti, chi parla con l'esterno. Una procedura di gestione delle violazioni scritta e provata è la differenza tra tre giorni di reazione ordinata e tre giorni di panico.