DPIA per operazioni con drone in Italia: quando è obbligatoria, come si fa, cosa contesta il Garante

Il 4 luglio 2024 il Garante per la protezione dei dati personali ha chiuso il procedimento sul Comune di Treviso (provv. n. 405, doc. web 10050298). Per la parte relativa ai droni della Polizia locale con termocamera, contestata anche per omessa valutazione d'impatto (art. 35 GDPR), il procedimento è stato archiviato: il Comune ha dichiarato, con assunzione di responsabilità ex art. 168 del Codice, che i droni non erano stati usati per finalità di polizia se non in via residuale e che nessuno era stato identificato. Prima di archiviare, però, il Garante ha fissato un principio che vale per qualunque operatore UAS:

"sebbene non sia possibile riconoscere il volto dei soggetti ripresi, le immagini permettono comunque di visualizzare, con un discreto livello di definizione, le sagome e i movimenti degli stessi. Si tratta, pertanto, comunque di informazioni che [...] possono essere associate a persone fisiche identificate" (provv. 10050298, § 3.1).

Il volto non è il test. Il test è se il materiale raccolto, da solo o combinato con altre informazioni, consente di risalire a una persona (art. 4, n. 1, GDPR). Quando la risposta è sì, si entra nel GDPR; da lì, la domanda successiva è se il trattamento presenta un rischio elevato che rende obbligatoria la DPIA (Data Protection Impact Assessment, art. 35 GDPR) prima del volo.

Per chi opera nella categoria specific la domanda non resta confinata alla privacy. Il Reg. di esecuzione (UE) 2019/947, allegato, parte B, punto UAS.SPEC.050(1)(a)(iv), impone all'operatore procedure che garantiscano il rispetto del GDPR e una DPIA quando richiesta in applicazione dell'art. 35. Lo stesso requisito compare al punto 4.1.5 del PDRA AltMoC ENAC IT-UAS-2026-002 per le operazioni agricole, orticole e forestali, con dichiarazione di conformità da documentare nel manuale operativo. La DPIA, quando serve, è quindi anche una prova del fascicolo ENAC.

Disclaimer: contenuto informativo, non parere legale. La qualificazione di un trattamento come "a rischio elevato" dipende dai fatti della singola operazione (area, persone presenti, sensore, conservazione, uso delle immagini). Per il caso concreto serve il parere di un RPD o di un legale specializzato in protezione dei dati.

Quadro normativo: due binari che si incrociano

Il punto pratico: l'aviazione non dice quando la DPIA serve, rinvia al GDPR e al Garante. Ma chiede all'operatore di dimostrare di essersi posto la domanda.

Quando il drone tratta dati personali

L'art. 4, n. 1, GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, anche indirettamente. L'art. 4, n. 2, chiama trattamento anche la sola raccolta: il file grezzo registrato è già trattamento, prima di qualunque post-produzione.

Le Linee guida EDPB 3/2019 (§§ 8-9) lo applicano alle riprese dall'alto con un esempio esplicito: "Le registrazioni ad alta quota rientrano nell'ambito di applicazione del RGPD solo se, in queste circostanze, i dati trattati possono essere correlati a una determinata persona." La quota da sola non decide. Decidono risoluzione del sensore, uso dello zoom, post-elaborazione, combinazione con altri dati (luogo, orario, targa, edificio) e, come nel caso Treviso, l'uso che si fa delle immagini.

Configurazioni in cui di norma non c'è dato personale

La conclusione "nessun dato personale" va scritta, con la motivazione: è l'elemento di responsabilizzazione (art. 5, par. 2, GDPR) che si mostra al cliente, all'ispettore o all'ENAC se la domanda arriva.

Configurazioni in cui il drone tratta dati personali

La deroga domestica non copre l'operatore professionale

L'art. 2, par. 2, lett. c), GDPR esclude i trattamenti effettuati da una persona fisica per attività a carattere esclusivamente personale o domestico. L'EDPB (Linee guida 3/2019, §§ 11-14) la interpreta in modo restrittivo, sulla base di due sentenze della Corte di giustizia:

• C-101/01, Lindqvist, 6 novembre 2003: la pubblicazione su Internet di dati personali, accessibili a un numero indefinito di persone, non rientra nella deroga;
• C-212/13, Ryneš, 11 dicembre 2014: la videosorveglianza che si estende, anche solo in parte, allo spazio pubblico esce dalla sfera esclusivamente personale.

Per l'operatore che lavora per un committente, con partita IVA e fattura, la deroga non si pone: è sempre dentro il GDPR, come titolare o come responsabile del trattamento.

La base giuridica: art. 6 GDPR

Delle sei basi giuridiche dell'art. 6, par. 1, GDPR, nelle operazioni UAS commerciali ne ricorrono in pratica due:

• lett. b), contratto: copre i dati del committente, non quelli dei terzi ripresi;
• lett. f), legittimo interesse: è la base tipica per i terzi ripresi incidentalmente, ma richiede un bilanciamento documentato tra l'interesse del titolare e i diritti degli interessati, tenendo conto delle loro ragionevoli aspettative (EDPB, Linee guida 3/2019, §§ 17-40).

Il consenso (lett. a) non è praticabile verso passanti o vicini. Due precisazioni che il Garante applica in modo costante:

• il cartello non crea l'aspettativa: "La presenza di segnaletica che informa l'interessato in merito alla videosorveglianza è del tutto irrilevante al fine di determinare ciò che un interessato può oggettivamente aspettarsi" (EDPB, Linee guida 3/2019, § 40). Il cartello serve all'informativa (art. 13), non al bilanciamento;
• il legittimo interesse non è disponibile per le autorità pubbliche nell'esecuzione dei loro compiti (art. 6, par. 1, secondo comma, GDPR): serve una norma di legge, di regolamento o un atto amministrativo generale (art. 2-ter Codice). Il Garante lo ha ribadito al Comune di Recco (provv. n. 322 del 4 giugno 2025, doc. web 10163530). Rileva per chi vola su incarico di un Comune: la base giuridica del committente pubblico va verificata prima, non presunta.

Quando la DPIA è obbligatoria

L'art. 35, par. 1, GDPR è la regola generale:

"Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali."

Tre livelli decidono se il rischio è elevato.

1. I tre casi dell'art. 35, par. 3, GDPR

• a) valutazione sistematica e globale di aspetti personali, basata su trattamento automatizzato, su cui si fondano decisioni con effetti giuridici;
• b) trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10);
• c) sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Per i droni la lettera c) è la più ricorrente. Il Garante, nel provvedimento sul Comune di Vasto (provv. n. 457 del 18 giugno 2026, doc. web 10267254), lo scrive senza margini: la DPIA "è sempre dovuta nel caso in cui il trattamento comporti 'la sorveglianza sistematica su larga scala di una zona accessibile al pubblico'" e "deve essere effettuata da parte del titolare prima di procedere al trattamento".

2. L'elenco nazionale del Garante (provv. 467/2018)

L'allegato 1 elenca 12 tipologie. Per un operatore UAS contano soprattutto:

Il provvedimento precisa che l'elenco non è esaustivo: resta fermo l'obbligo di DPIA quando ricorrono due o più criteri del WP 248.

3. I nove criteri del WP 248

1. Valutazione o assegnazione di un punteggio, compresa la profilazione
2. Decisioni automatizzate con effetti giuridici o analoghi
3. Monitoraggio sistematico
4. Dati sensibili o di carattere altamente personale
5. Trattamento su larga scala
6. Combinazione di insiemi di dati
7. Interessati vulnerabili (tra cui i dipendenti)
8. Uso innovativo o nuove soluzioni tecnologiche
9. Trattamenti che impediscono di esercitare un diritto o di avvalersi di un servizio

Il WP 248 dice che "nella maggior parte dei casi" un trattamento che soddisfa due criteri richiede la DPIA, e che in alcuni casi può bastarne uno. Per il drone con camera la combinazione tipica è monitoraggio sistematico (3), larga scala (5) e nuove tecnologie (8). Con lavoratori nel campo inquadrato si aggiunge il criterio 7.

È il ragionamento che il Garante applica nei casi sanzionati: per la telecamera nel Comando di Polizia locale di Castel Goffredo (provv. n. 578 del 16 novembre 2023, doc. web 9963486) e per la geolocalizzazione dei veicoli aziendali di ASL1 Liguria (provv. n. 382 del 28 maggio 2026, doc. web 10259916) la DPIA era dovuta per la vulnerabilità dei dipendenti e il monitoraggio sistematico (criteri 3, 4 e 7) e per il punto 5 dell'allegato 1 al provv. 467/2018. Nel caso ASL1 l'Azienda aveva sostenuto che il trattamento non rientrasse nell'art. 35, par. 3, lett. a): il Garante ha respinto l'argomento: i tre casi del par. 3 non esauriscono l'obbligo.

Come si fa una DPIA per operazioni UAS

L'art. 35, par. 7, GDPR fissa il contenuto minimo:

• a) descrizione sistematica dei trattamenti previsti e delle finalità, compreso l'eventuale interesse legittimo;
• b) valutazione della necessità e proporzionalità;
• c) valutazione dei rischi per i diritti e le libertà degli interessati;
• d) misure previste per affrontare i rischi.

Procedura in sette passi

1. Mappare l'operazione: tipo di missione, area, durata, sensori, persone che possono essere inquadrate, chi riceve le immagini e per quanto tempo.
2. Pre-valutazione: art. 35, par. 3, elenco del provv. 467/2018, criteri WP 248. Se la conclusione è "DPIA non necessaria", va scritta e motivata (art. 5, par. 2, GDPR).
3. Descrizione sistematica (art. 35, par. 7, lett. a): dati, finalità, base giuridica corretta, strumenti, destinatari, conservazione. Nel caso Coccaglio (provv. n. 70 del 12 febbraio 2026, doc. web 10226611) il Garante ha contestato proprio una descrizione che indicava basi giuridiche errate.
4. Necessità e proporzionalità (lett. b): la finalità si raggiunge con meno dati? Risoluzione minima utile, inquadratura limitata all'area di lavoro, registrazione solo quando serve.
5. Rischi (lett. c): identificazione, uso ulteriore delle immagini, comunicazione a terzi, perdita o accesso non autorizzato, controllo dei lavoratori.
6. Misure (lett. d): tecniche (oscuramento, cifratura, cancellazione programmata, accessi profilati) e organizzative (accordo art. 28 con i fornitori, autorizzazione del personale, formazione dei piloti).
7. Consultazione preventiva (art. 36 GDPR) se, nonostante le misure, il rischio residuo resta elevato: si presenta al Garante prima di iniziare.

Quattro requisiti formali che il Garante verifica

Il terzo e il quarto punto hanno una ricaduta diretta per l'operatore che lavora a cicli: una DPIA per tipologia di servizio, con data, firma e versione, collegata alle missioni che copre, regge; un modulo generico compilato una volta non regge.

Riesame

L'art. 35, par. 11, GDPR impone il riesame almeno quando cambia il rischio. Il WP 248 indica come buona prassi il riesame continuo. Nuovo drone o nuovo sensore, nuova area, nuova finalità del committente, nuovi destinatari delle immagini: la DPIA va rivista.

La consultazione preventiva può finire con un no

Il 4 dicembre 2025 il Garante ha espresso parere non favorevole sulla DPIA presentata dal Comune di Pescara per le body cam della Polizia locale (provv. n. 743, doc. web 10221993). Il regime è quello del D.Lgs. 18 maggio 2018, n. 51 (trattamenti di polizia), non l'art. 36 GDPR, ma il rilievo tecnico vale per chiunque archivi immagini in cloud: non era documentato come fossero gestite le chiavi di cifratura e quindi non si poteva escludere l'accesso in chiaro da parte di un fornitore stabilito fuori dall'Unione. Per un operatore UAS che carica le riprese su piattaforme del costruttore o su storage extra-UE, è un punto da trattare nella DPIA e nell'accordo con il fornitore.

Gli adempimenti che vengono prima della DPIA

Registro delle attività di trattamento: art. 30 GDPR

L'art. 30, par. 5, esonera dal registro le organizzazioni con meno di 250 dipendenti, a meno che il trattamento possa presentare un rischio per i diritti degli interessati, non sia occasionale o includa categorie particolari di dati o dati relativi a condanne e reati. Per un'impresa UAS che effettua riprese come servizio ricorrente il trattamento non è occasionale: il registro è dovuto. Nel caso Realmaps (provv. n. 11 del 16 gennaio 2025, doc. web 10110241) l'assenza di registro, RPD e DPIA è stata contestata insieme, perché "sarebbero stati necessari vista la natura sistematica e invasiva del trattamento".

Contenuto minimo della voce "riprese aeree" (art. 30, par. 1): finalità, categorie di interessati e di dati, destinatari, trasferimenti extra-UE, termini di cancellazione, misure di sicurezza.

Informativa: artt. 13 e 14 GDPR

Le Linee guida EDPB 3/2019 (§§ 110-119) prevedono un'informativa a due livelli: un cartello con identità del titolare, finalità, diritti e rinvio al secondo livello, e un'informativa completa facilmente accessibile. Per un drone in movimento il primo livello va adattato: cartelli ai punti di accesso dell'area di lavoro, avvisi ai residenti, informativa al committente da girare ai propri dipendenti. Il cartello assente ricorre in molti provvedimenti in materia video (Mark s.r.l.s., Bologna, provv. 17 luglio 2024, n. 467, doc. web 10070348; Recco 2025).

Responsabile della protezione dei dati: art. 37 GDPR

Obbligatorio se le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala (art. 37, par. 1, lett. b) o nel trattamento su larga scala di categorie particolari (lett. c). Per la maggior parte delle imprese UAS non scatta; può scattare per chi fa della sorveglianza aerea ricorrente la propria attività principale. Se un RPD è designato, va consultato sulla DPIA (art. 35, par. 2).

Ruoli e accordo art. 28 GDPR

Chi decide finalità e mezzi è titolare; chi tratta per conto altrui è responsabile e serve un contratto scritto con i contenuti dell'art. 28, par. 3. Nel caso Treviso il Comune si era qualificato come responsabile del fornitore dell'app, invertendo i ruoli, e non aveva stipulato l'accordo: violazione dell'art. 28, par. 3, sanzionata. Per l'operatore UAS il ruolo dipende da chi decide rotta, sensore, conservazione e uso delle immagini, e va scritto nel contratto con il committente. I fornitori di storage e software di gestione delle immagini che trattano dati per conto dell'operatore sono suoi responsabili.

Lavoratori: art. 4 L. 300/1970 e art. 114 Codice

Se dalle riprese può derivare il controllo a distanza di lavoratori, l'impianto si usa solo per esigenze organizzative, produttive, di sicurezza del lavoro o tutela del patrimonio, previo accordo sindacale o autorizzazione dell'Ispettorato del lavoro (L. 20 maggio 1970, n. 300, art. 4, c. 1). L'art. 114 del Codice ne fa una condizione di liceità del trattamento; l'art. 171 punisce la violazione con le sanzioni dell'art. 38 dello Statuto. Vale per i dipendenti del committente ripresi in cantiere e, per la telemetria e i registri di volo che localizzano i propri piloti, va valutato alla luce dei commi 2 e 3 dell'art. 4 (strumenti di lavoro, informativa adeguata). Il Garante applica il criterio anche quando l'autorizzazione arriva dopo il controllo (Mark s.r.l.s. 2024).

Sei scenari tipici: DPIA sì o no

Per lo scenario F conviene ricordare che nel PDRA AltMoC IT-UAS-2026-002 la dichiarazione al punto 4.1.5 è comunque richiesta: anche la conclusione "nessun trattamento di dati personali" è un'evidenza da inserire nel manuale operativo.

Le cinque trappole comuni

Trappola 1: "Volo alto, non si riconosce nessuno"

La quota non è il criterio. EDPB, Linee guida 3/2019, §§ 8-9: le riprese ad alta quota sono nel GDPR se i dati possono essere correlati a una persona. Nel caso Treviso bastavano sagome e movimenti, combinati con l'intervento sul posto.

Trappola 2: "Oscuro i volti dopo, quindi il grezzo non conta"

Il trattamento inizia con la raccolta (art. 4, n. 2, GDPR). L'oscuramento è una misura da descrivere nella DPIA (art. 35, par. 7, lett. d), non una ragione per non farla. Se il grezzo viene conservato, conta anche la sua conservazione.

Trappola 3: "Il titolare è il committente, io sono solo il pilota"

Dipende da chi decide finalità e mezzi. Se l'operatore sceglie rotta, sensore, risoluzione, conservazione e uso del grezzo, decide i mezzi essenziali e non è un mero esecutore. In ogni caso il rapporto va qualificato per iscritto: con i ruoli invertiti e senza accordo art. 28, Treviso è stato sanzionato.

Trappola 4: "La DPIA l'ho fatta, vale per sempre"

L'art. 35, par. 11, GDPR impone il riesame quando cambia il rischio. E una DPIA senza data certa non prova di essere stata fatta prima: Coccaglio 2026.

Trappola 5: "Il committente è un Comune, la base giuridica è sua"

È sua, ma l'operatore che tratta per conto del Comune deve sapere quale norma la fonda (art. 2-ter Codice) e non può contare sul legittimo interesse, escluso per le autorità pubbliche (art. 6, par. 1, GDPR; Recco 2025). L'uso dei droni per finalità di sicurezza pubblica ha inoltre una disciplina di settore propria: il Garante a Treviso ha ricordato che non è consentito in via generale alle Polizie locali, salvo funzioni delegate per specifiche operazioni.

Cosa contesta il Garante: i provvedimenti con l'art. 35

Nessuno di questi provvedimenti riguarda un operatore UAS privato. Sono casi di videosorveglianza, geolocalizzazione e monitoraggio con la stessa struttura di rischio di un drone con camera, e mostrano come il Garante legge l'art. 35: preventività, completezza, coinvolgimento del RPD. I casi in dettaglio sono nella rassegna dei provvedimenti del Garante.

Le sanzioni applicabili

• Art. 83, par. 4, GDPR: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per le violazioni degli obblighi del titolare e del responsabile (artt. 25-39, tra cui DPIA, registro, RPD, art. 28);
• art. 83, par. 5, GDPR: fino a 20 milioni o al 4%, per principi (art. 5), basi giuridiche (art. 6), categorie particolari (art. 9), diritti degli interessati (artt. 12-22), trasferimenti;
• art. 83, par. 3, GDPR: per lo stesso trattamento o trattamenti collegati l'importo totale non supera quello previsto per la violazione più grave;
• oltre alla sanzione, l'art. 58, par. 2, GDPR consente al Garante di ordinare la conformità o di limitare o vietare il trattamento.

Checklist privacy pre-volo: 12 punti

• 1. Il campo inquadrato può includere persone, targhe, finestre, lavoratori? Se no, scrivi perché e archivia la valutazione con la missione
• 2. Deroga domestica: per un'attività professionale non si applica
• 3. Ruoli: titolare o responsabile? Scritto nel contratto con il committente
• 4. Registro art. 30: la voce "riprese aeree" esiste ed è completa
• 5. Base giuridica art. 6: contratto per il committente, legittimo interesse con bilanciamento scritto per i terzi; per committenti pubblici, la norma ex art. 2-ter Codice
• 6. Pre-valutazione: art. 35, par. 3, elenco del provv. 467/2018, criteri WP 248; esito motivato anche se negativo
• 7. DPIA, se dovuta: contenuti dell'art. 35, par. 7, data certa, firma, parere del RPD se designato
• 8. RPD: verificare se l'attività principale lo rende obbligatorio (art. 37)
• 9. Informativa a due livelli: cartelli o avvisi nell'area di lavoro e informativa completa accessibile
• 10. Misure tecniche (art. 25): inquadratura minima, oscuramento, cifratura, conservazione definita e cancellazione
• 11. Lavoratori nel campo inquadrato: accordo sindacale o autorizzazione dell'Ispettorato prima del volo (art. 4 L. 300/1970)
• 12. Rischio residuo elevato: consultazione preventiva del Garante (art. 36) prima di iniziare; nel fascicolo ENAC, dichiarazione e evidenze al punto previsto dal PDRA o da UAS.SPEC.050

Come Certifly gestisce la parte privacy del ciclo di volo

In Certifly la privacy segue i servizi dichiarati nel ciclo di volo. Se un servizio può riprendere dati personali, il ciclo apre il blocco Privacy e Dati Personali con la DPIA, compilata con i dati ricorrenti dell'azienda (conservazione e sicurezza, destinatari e trasferimenti, diritti degli interessati) e rivista quando cambia una delle parti che la compongono. Nei cicli AltMoC la DPIA compare sempre come consigliata, e diventa obbligatoria quando un servizio tratta dati personali. A livello di organizzazione si tengono il Registro delle attività di trattamento (art. 30 GDPR), richiesto per considerare completi i documenti aziendali, e l'informativa privacy sulle riprese. La verifica GO/NO-GO della missione segnala la DPIA, l'informativa o il registro mancanti, e si ferma quando la DPIA indica un rischio residuo non accettabile finché la consultazione preventiva del Garante (art. 36) non è documentata.

Bibliografia

Fonti primarie

• Regolamento (UE) 2016/679 (GDPR), artt. 2, 4, 5, 6, 9, 13, 14, 25, 28, 30, 35, 36, 37, 39, 58, 83. EUR-Lex
• D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), artt. 2-ter, 114, 166, 168, 171. Normattiva
• L. 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4. Normattiva
• Regolamento di esecuzione (UE) 2019/947, art. 14, par. 5; allegato, parte B, UAS.SPEC.050(1)(a)(iv). EUR-Lex, testo consolidato
• Provvedimento del Garante n. 467 dell'11 ottobre 2018, elenco dei trattamenti soggetti a valutazione d'impatto (GU n. 269 del 19 novembre 2018). doc. web 9058979, allegato 1
• ENAC, Regolamento UAS-IT, ed. 1 del 4 gennaio 2021, art. 29. ENAC
• ENAC, PDRA AltMoC IT-UAS-2026-002, ed. agosto 2026, punto 4.1.5. ENAC; pagina di pubblicazione
• Corte di giustizia UE, C-101/01, Lindqvist, 6 novembre 2003; C-212/13, Ryneš, 11 dicembre 2014

Prassi e documenti istituzionali

• EDPB, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video, v. 2.0 del 29 gennaio 2020, §§ 8-9, 11-14, 17-40, 110-121, 136-138. EDPB
• WP29, WP 248 rev.01, Linee guida in materia di valutazione d'impatto sulla protezione dei dati, 4 ottobre 2017. Commissione europea
• Garante, Comune di Castel Goffredo, provv. n. 578 del 16 novembre 2023. doc. web 9963486
• Garante, Comune di Forlì, provv. n. 374 del 20 giugno 2024. doc. web 10028498
• Garante, Comune di Treviso, provv. n. 405 del 4 luglio 2024. doc. web 10050298
• Garante, Mark s.r.l.s., provv. n. 467 del 17 luglio 2024. doc. web 10070348
• Garante, Realmaps S.r.l., provv. n. 11 del 16 gennaio 2025. doc. web 10110241
• Garante, Comune di Recco, provv. n. 322 del 4 giugno 2025. doc. web 10163530
• Garante, Comune di Pescara, parere n. 743 del 4 dicembre 2025. doc. web 10221993
• Garante, Comune di Coccaglio, provv. n. 70 del 12 febbraio 2026. doc. web 10226611
• Garante, ASL1 Liguria, provv. n. 382 del 28 maggio 2026. doc. web 10259916
• Garante, Comune di Vasto, provv. n. 457 del 18 giugno 2026. doc. web 10267254
• Garante, pagina tematica sui droni. garanteprivacy.it

Articoli correlati della serie

• Sanzioni del Garante privacy su droni e videosorveglianza: i provvedimenti in dettaglio
• U-Space Italia 2026: i dati di identificazione remota come dati personali dell'operatore
• Impresa agricola o servizi UAS?: la forma dell'attività e gli adempimenti che ne derivano
• SORA semplificato per operatori UAS: la valutazione del rischio operativo nella categoria specific

Contenuto informativo e divulgativo. Non costituisce parere legale e non sostituisce il parere di un responsabile della protezione dei dati o di un legale specializzato. La necessità di una valutazione d'impatto dipende dai fatti della singola operazione.

RoundTable Italy S.r.l.