DPO e AI Officer esterni

Quando la nomina è obbligatoria

Il GDPR (art. 37) impone la nomina del DPO in tre casi: quando il trattamento è svolto da un'autorità o un organismo pubblico, quando le attività principali consistono in un monitoraggio regolare e sistematico degli interessati su larga scala, e quando riguardano su larga scala categorie particolari di dati, come quelli sanitari, o dati relativi a condanne penali.

Nella pratica ci rientrano molte più realtà di quanto si pensi: strutture sanitarie e studi medici, fondazioni di ricerca, piattaforme che profilano gli utenti, realtà che trattano dati biometrici o applicazioni di AI su dati personali. E anche dove l'obbligo non scatta, una nomina volontaria ben strutturata è spesso la scelta più efficiente.

Come strutturiamo l'incarico

Ogni incarico parte da un piano annuale condiviso con la direzione, così sai in anticipo cosa verrà fatto e quando. Il numero di incarichi attivi è limitato per garantire disponibilità effettiva durante tutto l'anno.

I settori che presidiamo

Assumiamo l'incarico soprattutto dove i dati sono il cuore dell'attività e dei rischi: sanità e poliambulatori, fondazioni e ricerca scientifica, gruppi industriali e tecnologici, servizi alla persona e realtà pubbliche, startup e piattaforme digitali. L'incarico è svolto da un avvocato con certificazione CIPP/E rilasciata dalla IAPP e qualifica di responsabile della protezione dei dati certificata CEPAS.

Accanto all'incarico di responsabile della protezione dei dati sono disponibili altri due incarichi annuali: il presidio della governance dell'intelligenza artificiale, con monitoraggio degli obblighi dell'AI Act e valutazione preventiva di casi d'uso e fornitori, e la manutenzione della conformità, che tiene aggiornati documenti e procedure al variare della normativa. Possono essere conferiti insieme, con un unico coordinamento.