Regolazione digitale dei dati personali e non personali

I dati personali, industriali e tecnici sono ormai parte integrante del patrimonio e dei processi strategici delle imprese. Vengono raccolti attraverso piattaforme digitali, prodotti connessi, infrastrutture cloud, sistemi di Intelligenza Artificiale, applicazioni aziendali, reti di comunicazione e rapporti con clienti, dipendenti, fornitori e partner commerciali. La loro corretta gestione richiede di conciliare innovazione, valorizzazione economica, sicurezza, diritti delle persone e protezione del know-how aziendale.

L’Avv. Alessandro del Ninno assiste imprese, gruppi societari, operatori regolamentati ed enti pubblici nella gestione integrata dei dati personali e non personali, coordinando il GDPR e il Codice Privacy con il Data Act, il Data Governance Act e le ulteriori discipline europee applicabili ai servizi digitali, all’Intelligenza Artificiale, alla cybersecurity, al cloud e alla condivisione dei dati.

L’assistenza non si limita alla predisposizione della documentazione obbligatoria. Ogni intervento è costruito sul funzionamento effettivo dell’organizzazione e mira a trasformare gli obblighi normativi in procedure, responsabilità, contratti e soluzioni operative concretamente applicabili. Il Data Act disciplina, tra l’altro, l’accesso e l’utilizzo dei dati generati da prodotti connessi, la condivisione tra imprese, i contratti relativi ai dati, il passaggio tra fornitori cloud e l’interoperabilità. Il Data Governance Act regola invece il riutilizzo di dati protetti detenuti dal settore pubblico, i servizi di intermediazione e l’altruismo dei dati; in Italia è stato attuato dal D.lgs. 7 ottobre 2024, n. 144. Quando i flussi comprendono dati personali, tali normative devono essere applicate in coordinamento con il GDPR.

Governance, audit e programmi di adeguamento

L’assistenza può partire da un audit complessivo dell’organizzazione oppure dalla verifica di un singolo prodotto, servizio, piattaforma o processo. L’analisi ricostruisce quali dati vengono raccolti o generati, da dove provengono, chi vi accede, dove sono conservati, per quali finalità vengono utilizzati e quali soggetti esterni sono coinvolti.

L’audit consente di verificare la corretta qualificazione dei dati personali, pseudonimizzati, anonimizzati, industriali e non personali, nonché di individuare dataset misti nei quali le diverse categorie risultano strettamente integrate. Vengono esaminati i ruoli privacy, le basi giuridiche, i diritti di accesso e utilizzo, i vincoli contrattuali, le misure di sicurezza, i tempi di conservazione e gli eventuali trasferimenti internazionali.

Il servizio si conclude con una rappresentazione concreta dei flussi, una matrice delle responsabilità, l’individuazione delle criticità e una roadmap di adeguamento graduata per priorità. In questo modo il cliente dispone non soltanto di documenti conformi, ma di un modello di governance verificabile, sostenibile e coerente con la propria struttura aziendale.

Compliance GDPR e protezione dei dati personali

L’Avv. Alessandro del Ninno assiste i titolari e i responsabili del trattamento nella progettazione e revisione dei sistemi di conformità al GDPR, al Codice Privacy e ai provvedimenti del Garante per la protezione dei dati personali, tenendo conto degli orientamenti del Comitato europeo per la protezione dei dati.

L’attività comprende la verifica delle basi giuridiche, la predisposizione e personalizzazione delle informative, dei registri delle attività di trattamento, degli accordi con responsabili e sub-responsabili, degli atti di contitolarità e delle istruzioni destinate alle persone autorizzate. Vengono inoltre elaborate policy interne, procedure di conservazione e cancellazione, modelli per la gestione del consenso e sistemi organizzativi per assicurare la tracciabilità delle decisioni assunte.

Quando il trattamento è fondato sul legittimo interesse, l’assistenza comprende la redazione del relativo Legitimate Interest Assessment, mediante l’individuazione dell’interesse perseguito, la verifica della necessità del trattamento, il bilanciamento con i diritti delle persone e l’adozione delle misure di mitigazione. Le Guidelines 1/2024 dell’EDPB, adottate in versione 1.0 e successivamente sottoposte a consultazione pubblica, forniscono criteri operativi per lo svolgimento di tale valutazione e richiedono un esame concreto del trattamento, del contesto e delle eventuali alternative meno invasive.

Una particolare attenzione è riservata ai trattamenti che coinvolgono dati sanitari, biometrici, genetici, giudiziari o relativi a soggetti vulnerabili, nonché alle attività di profilazione e ai processi decisionali automatizzati. Per i trattamenti potenzialmente ad alto rischio vengono predisposte Data Protection Impact Assessments fondate sul funzionamento reale dei sistemi, sulla valutazione dei rischi per le persone e sull’effettiva capacità delle misure previste di ridurli.

L’assistenza può comprendere anche la valutazione dell’adesione a codici di condotta e a meccanismi di certificazione ai sensi degli articoli 40 e 42 GDPR, verificandone l’effettiva utilità rispetto ai trattamenti svolti, al settore di appartenenza e alle esigenze di accountability dell’organizzazione.

Privacy by design, sicurezza e gestione del ciclo di vita dei dati

La protezione dei dati viene integrata fin dalla progettazione di nuovi prodotti, applicazioni e servizi. L’assistenza affianca le funzioni Legal, Compliance, IT, Cybersecurity, Marketing, HR e Procurement nella definizione delle specifiche, nella selezione dei fornitori e nella predisposizione dei contratti.

Vengono analizzati i meccanismi di autenticazione e autorizzazione, la segregazione degli ambienti, il controllo degli accessi, la cifratura, la pseudonimizzazione, i sistemi di logging, i backup, la continuità operativa e le procedure di cancellazione. La pseudonimizzazione viene valutata non come una misura astratta, ma in relazione ai soggetti che possono accedere alle informazioni aggiuntive, alle possibilità di reidentificazione e al rischio specifico da mitigare. Le Guidelines 01/2025 dell’EDPB, adottate in prima versione e sottoposte a consultazione pubblica, approfondiscono il ruolo della pseudonimizzazione quale misura di protezione dei dati, di sicurezza e di attuazione dei principi di privacy by design e by default.

L’assistenza comprende inoltre la definizione delle politiche di data retention, affinché la durata della conservazione sia collegata alle finalità effettive, agli obblighi normativi e alle esigenze probatorie, evitando l’accumulo indiscriminato di informazioni non più necessarie.

Intelligenza Artificiale, algoritmi e utilizzo dei dataset

Lo sviluppo e l’impiego di sistemi di Intelligenza Artificiale richiedono una valutazione coordinata della provenienza dei dati, delle condizioni di utilizzo, dei diritti delle persone e delle responsabilità dei diversi operatori.

L’assistenza riguarda i dati utilizzati per l’addestramento, la validazione, il test e il funzionamento dei modelli, la qualità e rappresentatività dei dataset, i rischi di discriminazione, la trasparenza degli algoritmi e la gestione degli output. Vengono inoltre esaminati l’utilizzo di modelli generativi, la conservazione dei prompt, il riutilizzo delle interazioni degli utenti per il miglioramento dei servizi e le condizioni contrattuali imposte dai fornitori tecnologici.

Particolare attenzione è dedicata alle attività di web scraping e alla raccolta massiva di informazioni online. La circostanza che un dato sia pubblicamente accessibile non comporta automaticamente la libertà di raccoglierlo e utilizzarlo per finalità diverse, specialmente quando si tratti di dati personali o di informazioni protette da diritti di terzi. Il Garante ha adottato specifiche indicazioni sulle misure che i gestori di siti e piattaforme possono adottare per proteggere i dati personali pubblicati online dalla raccolta massiva destinata all’addestramento di sistemi di IA generativa.

L’attività comprende anche la redazione di policy aziendali sull’uso dell’IA, la valutazione dei fornitori, la definizione delle responsabilità interne, la disciplina degli utilizzi consentiti e l’integrazione tra compliance GDPR e obblighi derivanti dall’AI Act.

Data Act, prodotti connessi e dati generati dall’utilizzo

L’Avv. Alessandro del Ninno assiste produttori, fornitori di servizi, distributori, imprese utilizzatrici e operatori tecnologici nell’applicazione del Data Act ai prodotti connessi e ai servizi correlati rientranti nel perimetro del Regolamento.

L’analisi può riguardare, a seconda delle caratteristiche concrete del prodotto e del relativo servizio, macchinari industriali, veicoli, dispositivi medici, apparecchiature intelligenti, sistemi energetici e infrastrutture IoT. Ai fini del Data Act, non è sufficiente che un prodotto generi genericamente informazioni: occorre verificare che esso ottenga, generi o raccolga dati relativi al proprio utilizzo o al proprio ambiente e sia in grado di comunicarli mediante un servizio di comunicazione elettronica, una connessione fisica o un accesso sul dispositivo, secondo la definizione normativa di prodotto connesso.

L’assistenza consente di individuare quali dati del prodotto e del servizio correlato rientrino effettivamente nel perimetro del Regolamento. L’analisi comprende in particolare i dati prontamente disponibili, vale a dire quelli che il detentore ottiene o può legittimamente ottenere dal prodotto connesso o dal servizio correlato senza uno sforzo sproporzionato eccedente una semplice operazione, insieme ai metadati necessari alla loro interpretazione e utilizzazione. Vengono distinti tali dati dalle informazioni inferite o derivate attraverso elaborazioni ulteriori, investimenti aggiuntivi o algoritmi proprietari, che possono essere escluse dal diritto di accesso o soggette a un diverso regime contrattuale.

Vengono quindi definite le modalità attraverso le quali l’utente può accedere ai dati o richiederne la comunicazione a un terzo. L’assistenza riguarda le informazioni precontrattuali, le interfacce di accesso, le API, i formati di esportazione, l’autenticazione degli utenti e i processi necessari per rispondere alle richieste in modo tempestivo, sicuro e documentato.

Il servizio comprende anche il coordinamento con il GDPR quando i dati generati dal prodotto siano riferibili a persone fisiche, nonché la tutela dei segreti commerciali e delle informazioni tecniche riservate. L’obiettivo è consentire l’adempimento degli obblighi di accesso e condivisione senza esporre indebitamente il know-how, le architetture proprietarie o le strategie industriali dell’impresa.

Viene inoltre verificata l’eventuale presenza, tra i destinatari designati dall’utente, di imprese qualificate come gatekeeper ai sensi del Digital Markets Act. Il Data Act esclude infatti tali soggetti dalla possibilità di ricevere i dati come terzi scelti dall’utente nell’ambito del meccanismo di accesso previsto dal Regolamento.

Contratti sui dati e tutela del patrimonio informativo

Una parte centrale dell’attività riguarda la redazione e negoziazione dei contratti relativi all’accesso, all’utilizzo e alla condivisione dei dati.

L’Avv. Alessandro del Ninno predispone e revisiona data sharing agreements, licenze sui dati, condizioni applicabili agli utenti di prodotti connessi, accordi tra detentori e destinatari, clausole per partner industriali, distributori, manutentori, fornitori tecnologici e società del gruppo.

I contratti definiscono quali dati siano messi a disposizione, in quale formato, con quale frequenza, per quali finalità e con quali limiti. Vengono disciplinati gli utilizzi ulteriori, la possibilità di aggregare o combinare i dati, la comunicazione a terzi, le responsabilità per gli usi non autorizzati, le misure di sicurezza e gli obblighi successivi alla cessazione del rapporto.

Quando il detentore è tenuto, in forza del Data Act o di altra normativa dell’Unione, a mettere dati a disposizione di un destinatario nei rapporti tra imprese, le condizioni applicate devono essere eque, ragionevoli, non discriminatorie e trasparenti. Tali criteri non si applicano indistintamente a ogni accesso o accordo volontario, ma riguardano le ipotesi di condivisione obbligatoria disciplinate dal Regolamento.

L’assistenza comprende la determinazione e la negoziazione dell’eventuale compensazione dovuta per la messa a disposizione obbligatoria dei dati, tenendo conto dei costi direttamente connessi alla loro trasmissione, degli investimenti necessari alla raccolta e produzione dei dati e delle regole più favorevoli applicabili, nei casi previsti, alle microimprese, alle piccole e medie imprese e agli organismi di ricerca senza scopo di lucro.

Viene inoltre verificata la compatibilità delle clausole con il divieto di imporre unilateralmente condizioni abusive relative all’accesso e all’utilizzo dei dati, alla responsabilità e ai rimedi. L’analisi tiene conto dell’effettivo potere negoziale delle parti, della natura della clausola e della possibilità di proseguire il rapporto contrattuale senza la previsione eventualmente invalida.

Nella redazione degli accordi vengono considerati anche i modelli contrattuali non vincolanti per l’accesso e l’uso dei dati e le clausole standard per i contratti di cloud computing pubblicati dalla Commissione europea nel 2025. Il loro utilizzo è volontario e i modelli possono essere adattati dalle parti alle caratteristiche del prodotto, del servizio, del mercato e alla concreta distribuzione dei rischi. La precedente dichiarazione dell’EDPB riguardava la bozza sottoposta a consultazione prima della pubblicazione dei modelli da parte della Commissione.

La consulenza comprende altresì il coordinamento con il diritto d’autore, il diritto sui generis sulle banche dati, la disciplina dei segreti commerciali, il diritto della concorrenza e la tutela dei consumatori. In particolare, vengono verificate l’esistenza e la portata dei diritti sui dataset, la liceità delle restrizioni contrattuali, gli eventuali effetti escludenti degli accordi di condivisione e la correttezza delle informazioni precontrattuali rivolte ai consumatori.

Servizi cloud, switching e prevenzione del vendor lock-in

Il Data Act incide in modo significativo sui contratti relativi ai servizi cloud e agli altri servizi di trattamento dei dati.

L’Avv. Alessandro del Ninno assiste i clienti nella negoziazione e revisione di contratti SaaS, PaaS e IaaS, con particolare riferimento alle condizioni di uscita, alla migrazione verso un nuovo fornitore, alla restituzione dei dati, alla cancellazione delle copie residue e alla continuità operativa durante il passaggio.

Vengono analizzati i dati esportabili, i formati disponibili, le interfacce tecniche, gli asset digitali trasferibili, i livelli di collaborazione richiesti al fornitore uscente e le eventuali dipendenze tecnologiche che possono determinare situazioni di vendor lock-in.

L’assistenza consente di predisporre un vero e proprio piano di uscita, individuando responsabilità, tempi, costi, misure di sicurezza e procedure di verifica. Nei settori regolamentati, tali attività vengono coordinate con gli obblighi previsti da DORA, dalla disciplina NIS 2 e dalle regole applicabili alle esternalizzazioni e alla continuità dei servizi ICT.

Richieste di dati da parte del settore pubblico e controversie Data Act

L’assistenza comprende la gestione delle richieste di dati formulate da organismi pubblici, dalla Commissione europea, dalla Banca centrale europea o da organismi dell’Unione nelle situazioni di esigenza eccezionale previste dal Data Act.

Il supporto riguarda la verifica della competenza del soggetto richiedente, della motivazione, della necessità e proporzionalità della richiesta, nonché l’individuazione dei dati effettivamente dovuti. Vengono valutati i limiti derivanti dalla protezione dei dati personali, dai segreti commerciali e dalla sicurezza, le modalità di trasmissione e l’eventuale diritto a una compensazione. Il Data Act non attribuisce un potere generale di acquisizione dei dati, ma consente tali richieste soltanto nelle condizioni tassativamente previste dal Regolamento.

L’Avv. Alessandro del Ninno assiste inoltre le imprese nella gestione delle contestazioni relative all’accesso ai dati, alla determinazione delle condizioni economiche, alla protezione dei segreti commerciali, alla correttezza delle clausole contrattuali e al rispetto degli obblighi di switching. L’assistenza può comprendere la negoziazione, l’attivazione dei meccanismi alternativi di risoluzione delle controversie previsti dal Data Act e il ricorso alle autorità competenti o all’autorità giudiziaria.

Data Governance Act, riutilizzo dei dati pubblici e intermediazione

L’Avv. Alessandro del Ninno assiste enti pubblici, imprese, centri di ricerca e operatori economici nell’applicazione del Data Governance Act e del D.lgs. n. 144/2024.

L’attività riguarda il riutilizzo di dati detenuti dal settore pubblico che non possono essere diffusi come semplici open data perché protetti da riservatezza commerciale o statistica, proprietà intellettuale o normativa sulla protezione dei dati personali. L’assistenza comprende la predisposizione delle richieste, la verifica delle condizioni di accesso, l’utilizzo di ambienti sicuri, l’anonimizzazione o pseudonimizzazione e la negoziazione delle condizioni di riutilizzo.

Vengono inoltre assistiti i soggetti che intendono offrire servizi di intermediazione dei dati, mettendo in relazione detentori, interessati e utilizzatori. Il servizio comprende la qualificazione del modello operativo, la verifica degli obblighi di notifica, la separazione delle attività, la prevenzione dei conflitti di interesse, la gestione dei metadati, la predisposizione delle condizioni contrattuali e il coordinamento con il GDPR.

L’assistenza si estende ai progetti di altruismo dei dati, nei quali persone e imprese mettono volontariamente a disposizione informazioni per finalità di interesse generale, e alla partecipazione a spazi europei comuni di dati, consorzi e piattaforme collaborative. Il Data Governance Act istituisce un quadro europeo specifico per il riutilizzo dei dati pubblici protetti, i servizi di intermediazione e le organizzazioni per l’altruismo dei dati.

Per gli spazi europei comuni di dati e le piattaforme collaborative, il supporto comprende la definizione delle regole di adesione, delle condizioni di accesso e utilizzo, della qualità e descrizione dei dataset, delle licenze, delle responsabilità, delle misure di sicurezza e dei requisiti di interoperabilità. L’assistenza coordina Data Governance Act, Data Act, normative settoriali e regole contrattuali del singolo ecosistema informativo.

Trasferimenti internazionali e accessi da Paesi terzi

L’assistenza comprende la gestione dei trasferimenti di dati personali verso Paesi terzi attraverso decisioni di adeguatezza, clausole contrattuali standard, Binding Corporate Rules, Transfer Impact Assessments e misure supplementari.

I contratti con fornitori cloud, società del gruppo e partner internazionali vengono esaminati rispetto ai luoghi di trattamento, all’utilizzo di subfornitori, alle richieste delle autorità straniere e alla possibilità di accesso remoto ai sistemi.

Per i dati non personali vengono valutate le garanzie richieste dal Data Act e dal Data Governance Act contro gli accessi o i trasferimenti incompatibili con il diritto dell’Unione, con particolare attenzione alle informazioni industriali e commercialmente sensibili. Il Data Governance Act prevede specifiche tutele per i dati non personali rispetto alle richieste provenienti da autorità di Paesi terzi.

Data breach, incidenti e gestione delle crisi

L’Avv. Alessandro del Ninno assiste le organizzazioni nella predisposizione delle procedure di prevenzione, rilevazione e gestione delle violazioni di dati personali e degli incidenti che coinvolgono dati industriali, piattaforme, prodotti connessi o servizi cloud.

In caso di incidente, il supporto riguarda la ricostruzione dell’accaduto, la preservazione delle evidenze, l’individuazione dei dati e dei soggetti coinvolti, la valutazione del rischio e la verifica degli obblighi di notifica o comunicazione.

L’attività viene svolta in coordinamento con DPO, Legal, IT, Cybersecurity, Compliance e comunicazione, assicurando coerenza tra gli adempimenti previsti dal GDPR, dalla NIS 2, da DORA, dai contratti e dalle normative settoriali. Viene inoltre predisposta la documentazione necessaria a motivare le decisioni adottate, anche quando si ritenga che l’incidente non debba essere notificato.

Settori regolamentati e trattamenti specialistici

L’assistenza è adattata alle specificità del settore nel quale opera il cliente e può riguardare, tra gli altri, i comparti bancario, assicurativo, sanitario, editoriale, delle telecomunicazioni, delle piattaforme digitali, della pubblica amministrazione, del credito, della ricerca, dell’informazione commerciale e dei servizi tecnologici.

Un’area specifica riguarda il trattamento dei dati nel rapporto di lavoro, comprese la gestione della posta elettronica aziendale, dei metadati, dei log, dei dispositivi, dei sistemi di sicurezza e degli strumenti dai quali possa derivare un controllo sull’attività dei lavoratori. L’assistenza comprende la predisposizione di informative, policy e disciplinari interni, la gestione degli account alla cessazione del rapporto, le investigazioni interne, i controlli difensivi e il coordinamento con lo Statuto dei Lavoratori.

Sono inoltre assistiti progetti di marketing, CRM, fidelizzazione, profilazione, pubblicità personalizzata e utilizzo di cookie, SDK e altri identificatori online, con particolare attenzione alla raccolta delle preferenze, alla condivisione dei dati con piattaforme e partner e alla gestione dei diritti degli utenti.

Rapporti con le autorità e contenzioso

L’Avv. Alessandro del Ninno assiste e rappresenta i clienti nei procedimenti dinanzi al Garante per la protezione dei dati personali, ad AgID e alle altre autorità nazionali ed europee competenti.

L’attività comprende la gestione delle ispezioni, delle richieste di informazioni, dei reclami, dei procedimenti correttivi e sanzionatori e delle interlocuzioni necessarie a rappresentare le misure adottate e il percorso di adeguamento dell’organizzazione.

L’assistenza giudiziale riguarda l’impugnazione dei provvedimenti delle autorità, le azioni risarcitorie, le controversie relative all’accesso e all’utilizzo dei dati, la tutela dei segreti commerciali, i conflitti tra detentori e destinatari e le contestazioni relative ai contratti cloud e agli accordi di condivisione.

DPO, formazione e assistenza continuativa

Il supporto può essere prestato anche in forma continuativa, affiancando il Data Protection Officer, il General Counsel e le funzioni aziendali nella valutazione dei nuovi progetti, nella revisione dei contratti, nella gestione dei fornitori e nell’aggiornamento delle procedure.

L’Avv. Alessandro del Ninno progetta inoltre percorsi formativi destinati a organi di amministrazione, dirigenti, DPO, Legal, Compliance, HR, Marketing, Procurement, IT, Cybersecurity e responsabili di prodotto. La formazione viene costruita sui processi effettivi dell’organizzazione e utilizza casi concreti per trasformare la conoscenza delle regole in capacità decisionale e operativa.

L’obiettivo complessivo è offrire alle imprese un unico presidio specialistico per governare i dati lungo l’intero ciclo di vita: dalla raccolta alla valorizzazione, dalla condivisione alla conservazione, dalla protezione contrattuale alla gestione degli incidenti e del contenzioso.