Guida l’Azienda e segue in prima persona enti pubblici, strutture sanitarie e società partecipate. Il lavoro riguarda le decisioni che un’organizzazione deve poter dimostrare di aver preso: chi ha scelto cosa, quando, sulla base di quali valutazioni. Segue insieme le regole europee sui dati personali, quelle sull’intelligenza artificiale e quelle sulla sicurezza informatica, che nella pratica si intrecciano.
Riferimento per le organizzazioni tenute a rispondere a più normative contemporaneamente.
Privacy Specialist UNI CEI EN 17740:2024 · CIPP/E · CDPSE · Incarichi di DPO

Garantisce l’uniformità di metodo tra le sedi italiane e quella di Londra. In concreto: un ente seguito da Cagliari riceve gli stessi documenti, le stesse verifiche e gli stessi tempi di uno seguito da Milano. Ricopre incarichi di responsabile della protezione dei dati per enti pubblici e organizzazioni con più strutture.
Riferimento per chi opera su più territori e necessita di un interlocutore unico.
Incarichi di DPO

Responsabile Roma e Londra
Coordina le due strutture e segue i clienti che operano tra Italia e Regno Unito. Dopo l’uscita britannica dall’Unione europea le regole sui dati non sono più identiche: chi lavora su entrambi i fronti deve tenerne conto nei contratti e nei trasferimenti di informazioni.
Riferimento per le organizzazioni con sedi, fornitori o clienti fuori dall’Unione europea.
Contesti multi-giurisdizionali

Segue Comuni, enti pubblici e società partecipate. L’attività consiste nel mettere l’ente in condizione di dimostrare come tratta i dati dei cittadini: quali informazioni raccoglie, per quale finalità, chi vi accede, per quanto tempo le conserva.
Riferimento per gli enti che devono rispondere a un controllo con documentazione in ordine.
Incarichi di DPO

Coordina la sede e il gruppo dedicato alle imprese private. Lavora su due fronti contigui: la corretta gestione dei dati personali e il sistema di controlli interni che protegge l’azienda dalla responsabilità per i reati commessi al suo interno.
Riferimento per le imprese private che necessitano di un unico interlocutore su entrambe le materie.
Incarichi di DPO · D.Lgs. 231/2001

Segue le organizzazioni che utilizzano o stanno per adottare sistemi di intelligenza artificiale. La nuova normativa europea li distingue per livello di rischio: alcuni sono vietati, altri richiedono controlli e documentazione precisa, altri quasi nulla. Il primo passo è stabilire in quale categoria rientra il sistema in uso.
Riferimento prima e durante l’adozione di strumenti di intelligenza artificiale.
Regolamento UE 2024/1689 · Incarichi di DPO

Riferimento territoriale per la Toscana. Segue in modo dedicato associazioni, fondazioni ed enti del terzo settore, che presentano esigenze diverse dalle imprese: volontari, donatori, beneficiari, risorse limitate da destinare agli adempimenti. Per questo ambito opera in raccordo con MALLO – Privacy per il Non Profit S.r.l.
Riferimento per enti non profit che necessitano di soluzioni proporzionate alla propria dimensione.
Terzo settore ed enti non profit

Si occupa dei casi in cui i dati sono finiti dove non dovevano, a seguito di un attacco informatico o di un errore. Valuta la gravità, stabilisce se ricorre l’obbligo di segnalazione all’Autorità e alle persone coinvolte, e definisce le misure perché non si ripeta. Il termine per la notifica è di settantadue ore.
Riferimento a incidente avvenuto e per la definizione preventiva delle procedure di risposta.
Incarichi di DPO

Coordina la sede. Segue organizzazioni con più strutture, più sistemi informatici e più livelli decisionali: quelle in cui la difficoltà non è la regola, ma stabilire chi risponde di cosa. Siede inoltre negli organismi che vigilano sul rispetto delle regole interne alle aziende.
Riferimento per organizzazioni cresciute in cui è andato perduto il quadro complessivo.
Incarichi di DPO · Organismi di Vigilanza ex D.Lgs. 231/2001

Segue gli impianti di ripresa nelle aziende private: dove collocare le telecamere, cosa deve indicare la segnaletica, per quanto tempo conservare le registrazioni, chi è autorizzato a visionarle. Quando le riprese interessano anche i lavoratori occorre un accordo sindacale o un’autorizzazione dell’Ispettorato del lavoro: senza, l’impianto non può essere attivato.
Negli enti pubblici il percorso è diverso. Serve un regolamento approvato dall’organo competente, la delibera che autorizza l’installazione, e la definizione di chi può accedere alle immagini e a quali condizioni, comprese le richieste dell’autorità giudiziaria e delle forze di polizia.
Riferimento per impianti esistenti e per nuove installazioni, in azienda e negli enti.
Incarichi di DPO

Coordina la sede. Affianca amministrazioni pubbliche e società controllate da enti pubblici: quelle che erogano servizi per conto del Comune o della Regione e che, pur essendo società, seguono in parte regole pubbliche. È una condizione che genera incertezza su chi decide e chi esegue.
Riferimento per le società partecipate rispetto alla perimetrazione dei propri obblighi.
Incarichi di DPO

Ingegnere. Si occupa del versante tecnico: protezione dei sistemi, gestione delle credenziali di accesso, conseguenze di un accesso non autorizzato, misure da adottare all’introduzione di una tecnologia nuova. Collega chi gestisce l’infrastruttura e chi risponde dei dati.
Riferimento per sistemi mai sottoposti a verifica e per il cambio di fornitore tecnologico.
Sicurezza delle informazioni e protezione dei dati

Coordina la sede. Segue organizzazioni articolate, dove i dati transitano tra uffici, sedi e fornitori diversi e la difficoltà consiste nel ricostruirne il percorso. Siede inoltre negli organismi che vigilano sul rispetto delle regole interne alle aziende.
Riferimento per organizzazioni in cui i flussi di dati attraversano numerosi passaggi.
Incarichi di DPO · Organismi di Vigilanza ex D.Lgs. 231/2001

Segue le strutture sanitarie sui trattamenti più delicati: visite a distanza, Fascicolo Sanitario Elettronico, sistemi di intelligenza artificiale applicati a diagnosi e percorsi di cura. Conduce le analisi preliminari obbligatorie, le verifiche periodiche e la gestione delle violazioni.
Riferimento per l’introduzione di strumenti digitali che incidono su dati clinici.
Valutazioni d’impatto · Audit · Data breach