DPO esterno per aziende, enti e organizzazioni complesse

Quando la nomina è obbligatoria

Il GDPR (art. 37) impone la nomina del DPO in tre casi: quando il trattamento è svolto da un'autorità o un organismo pubblico, quando le attività principali consistono in un monitoraggio regolare e sistematico degli interessati su larga scala, e quando riguardano su larga scala categorie particolari di dati, come quelli sanitari, o dati relativi a condanne penali.

Nella pratica ci rientrano molte più realtà di quanto si pensi: strutture sanitarie e studi medici, fondazioni di ricerca, piattaforme che profilano gli utenti, realtà che trattano dati biometrici o applicazioni di AI su dati personali. E anche dove l'obbligo non scatta, una nomina volontaria ben strutturata è spesso la scelta più efficiente.

Cosa comprende l'incarico

Il perimetro è quello degli articoli 38 e 39 del GDPR, declinato in attività concrete: sorveglianza sull'osservanza della normativa, supporto nelle valutazioni d'impatto sulla protezione dei dati, verifica dei fornitori e degli accordi che li disciplinano, gestione delle violazioni con la valutazione sulla notifica al Garante entro 72 ore, formazione del personale e funzione di punto di contatto per l'autorità e per gli interessati.

Negli enti pubblici, nelle strutture sanitarie e negli organismi di ricerca si aggiungono la gestione degli accessi al dossier sanitario, i trattamenti per finalità di ricerca e il raccordo con le autorizzazioni generali e le regole di settore.

Come strutturiamo l'incarico

Ogni incarico parte da un piano annuale condiviso con la direzione, così sai in anticipo cosa verrà fatto e quando. Il numero di incarichi attivi è limitato per garantire disponibilità effettiva durante tutto l'anno.

I settori che presidiamo

Assumiamo l'incarico soprattutto dove i dati sono il cuore dell'attività e dei rischi: sanità e poliambulatori, fondazioni e ricerca scientifica, gruppi industriali e tecnologici, servizi alla persona e realtà pubbliche, startup e piattaforme digitali. L'incarico è svolto da un avvocato con certificazione CIPP/E rilasciata dalla IAPP e qualifica di responsabile della protezione dei dati certificata CEPAS.