Pierluigi Spera

Informazioni generali

Avvocato a Milano specializzato in privacy, GDPR, cybersecurity e intelligenza artificiale. Assisto aziende, startup, professionisti e privati con consulenza continuativa, funzione di DPO esterno, formazione e supporto in ispezioni e contenzioso. Sono DPO certificato UNI CEI EN 17740 e ho un Master di II livello in Cybersecurity. Seguo progetti ISO/IEC 27001, NIS2, DORA e AI Act. Cultore della materia in Informatica Giuridica all'Università di Milano e autore per Giuffrè. Il mio obiettivo: trasformare la compliance da costo burocratico a vantaggio competitivo, con sistemi di protezione dei dati solidi e adattabili.

Esperienza

Diritto commerciale e societario

Affianco aziende, startup e fondi di investimento negli adempimenti di compliance societaria connessi a dati, sicurezza e nuove tecnologie. Mi occupo di governance della protezione dei dati a livello di gruppo, modelli organizzativi e presidi di conformità, whistleblowing e adeguamento alla direttiva NIS2. Per il settore finanziario seguo la conformità DORA su resilienza operativa digitale e gestione dei rischi ICT. Fornisco consulenza strategica in materia di privacy e cybersecurity a supporto di operazioni straordinarie e processi di due diligence sui dati.

Privacy e GDPR

Il mio ambito principale. Affianco aziende, startup, PA e privati nell'intero ciclo della compliance GDPR: mappatura dei trattamenti, registri, informative e consensi, nomine dei ruoli, DPIA e privacy by design. Assumo l'incarico di DPO esterno certificato UNI CEI EN 17740:2024, gestisco audit privacy, data breach (valutazione del rischio, notifiche al Garante e comunicazioni agli interessati) e trasferimenti internazionali post Schrems II. Fornisco supporto nelle procedure ispettive dell'Autorità Garante e nel contenzioso, oltre a formazione aziendale mirata e assistenza su marketing e profilazione compliant.

Diritto dell'informatica

Opero nel diritto delle nuove tecnologie a 360°: cybersecurity e sicurezza delle informazioni con implementazione di Sistemi di Gestione ISO/IEC 27001, adeguamento alla direttiva NIS2 per infrastrutture critiche e conformità DORA per il settore finanziario. Seguo la governance dell'intelligenza artificiale e la conformità all'AI Act, valutando rischi e responsabilità nell'uso dei sistemi di IA. Mi occupo inoltre di digital forensics, contrattualistica tech e legal design applicato al diritto digitale. Master di II livello in Cybersecurity e Cultore della materia in Informatica Giuridica all'Università di Milano.

Altre categorie

Contratti, Tutela del consumatore, Risarcimento danni, Diritto civile, Proprietà intellettuale.

Credenziali

Esperienza di lavoro

Founding Partner – Responsabile area SPHERA | DATA - SPHERA Legal

Dal 1/2025 - lavoro attualmente qui

Fondatore di SPHERA Legal, ecosistema giuridico multidisciplinare con sede a Milano che unisce competenze legali, tecnologiche e organizzative all'interno di un network aperto e collaborativo. Coordino l'area SPHERA | DATA, dedicata a privacy, cybersecurity e diritto digitale, offrendo consulenza strategica ad aziende, startup e fondi di investimento. Mi occupo di compliance GDPR, funzione di DPO esterno, audit privacy e DPIA, gestione dei data breach, adeguamento alla direttiva NIS2 e al regolamento DORA, sicurezza delle informazioni secondo lo standard ISO/IEC 27001 e governance dell'intelligenza artificiale in conformità all'AI Act. L'obiettivo del progetto è offrire ai clienti un unico punto di accesso a competenze diverse e un referente dedicato, trasformando la compliance da adempimento burocratico a leva di valore e vantaggio competitivo.

Titolo professionale

Dpo certificato uni cei en 17740:2024

ACS - 5/2025

Certificazione della figura di Data Protection Officer secondo la norma UNI CEI EN 17740:2024, rilasciata da ACS con accreditamento ACCREDIA, al termine di un percorso di formazione di 80 ore con modulo integrativo dedicato al Data Protection Officer nell'ambito dell'Intelligenza Artificiale. Il percorso ha approfondito gli aspetti normativi, organizzativi e documentali connessi al ruolo del DPO: responsabilità e compiti, valutazioni d'impatto sulla protezione dei dati (DPIA), gestione dei data breach, rapporti con l'Autorità Garante e adempimenti GDPR. La certificazione attesta le competenze necessarie a svolgere la funzione di Responsabile della protezione dei dati per aziende ed enti pubblici e privati.

Speaker ad evento

Regolamento AI Act: ultima chiamata prima di agosto 2026

Asseprim - 6/2026

Dal 2 agosto 2026 sarà pienamente applicato l’AI Act, che consiste in una serie di obblighi per le imprese in materia di utilizzo di intelligenza artificiale. Sei in ritardo, ma ancora in tempo. Scopri le mosse giuste da compiere prima della scadenza. Vedremo quali obblighi sono già pienamente operativi: dall’alfabetizzazione del personale sull’intelligenza artificiale al divieto delle pratiche di IA inaccettabili e perché, con l’avvicinarsi delle prossime scadenze e con il regime sanzionatorio già attivo, diventa fondamentale capire cosa fare subito, cosa documentare e quali priorità affrontare per ridurre i rischi. Il webinar propone un approccio pratico all’AI Act in modo apparentemente semplice o informale. In 60 minuti, Pierluigi Spera, avvocato specializzato in AI, e Antonio Alaia, CEO & Co-Founder di Nami – Data Intelligence, guideranno i partecipanti tra obblighi, zone grigie e azioni concrete da mettere in campo prima di agosto. Argomenti del webinar: - Cosa slitta davvero con il Digital Omnibus e cosa resta pienamente applicabile oggi - Perché l’AI Act riguarda la tua azienda anche se “usate solo ChatGPT” - Il ruolo dell’impresa come deployer e le responsabilità operative collegate - Le principali zone grigie nelle PMI: shadow IT, HR, marketing, chatbot, fornitori, sistemi predittivi e formazione - Le tre fasce sanzionatorie dell’art. 99 e il valore della documentazione di conformità - Una roadmap pratica in 6 passi: cosa chiudere prima di agosto e cosa pianificare per settembre Relatori: Pierluigi Spera – Sphera Legal e Antonio Alaia – Nami Consulting

Pubblicazione legale

Tecnologia e diritto – Fondamenti di Informatica per il giurista

Giuffrè Editore (a cura di G. Ziccardi e P. Perri), 2019

Contributo all'opera "Tecnologia e diritto", trattato in più volumi curato dai Proff. Giovanni Ziccardi e Pierluigi Perri e dedicato ai fondamenti dell'informatica per il giurista e all'informatica giuridica. Il volume affronta i concetti di base delle tecnologie digitali indispensabili al professionista del diritto, la protezione dei dati personali, la sicurezza delle informazioni e il rapporto tra evoluzione tecnologica e categorie giuridiche. Un'opera pensata per fornire al giurista gli strumenti concettuali necessari a comprendere e governare le implicazioni legali della trasformazione digitale.

Pubblicazione legale

Dizionario Legal Tech

Giuffrè Editore (a cura di G. Ziccardi e P. Perri), 2020 – ISBN 9788828821564

Contributo al Dizionario Legal Tech, opera di riferimento curata dai Proff. Giovanni Ziccardi e Pierluigi Perri e dedicata a informatica giuridica, protezione dei dati, investigazioni digitali, criminalità informatica, cybersecurity e digital transformation law. Ho curato la redazione di diverse voci che traducono concetti tecnici complessi in strumenti pratici e comprensibili per chi opera nel diritto delle nuove tecnologie, tra cui API, Bot, CAdES, Capture the flag, ENISA, File di log, GNU/Linux, HTML, Intelligenza Artificiale, Millennium bug e Torrent. Il volume mira a costruire un linguaggio comune tra giuristi e tecnici, favorendo un dialogo consapevole tra diritto e tecnologia.

Pubblicazione legale

Studio Legale Sicuro

Giuffrè Editore (a cura di G. Ziccardi, con P. Perri), 2021 – ISBN 9788828834809

Contributo al volume dedicato alla sicurezza informatica e alla protezione dei dati personali applicate all'attività quotidiana degli studi legali, curato dai Proff. Giovanni Ziccardi e Pierluigi Perri per la collana Tech and Law di Giuffrè. L'opera affronta gli obblighi in materia di GDPR per gli avvocati in qualità di titolari del trattamento, le misure tecniche e organizzative di sicurezza, la gestione dei dati dei clienti nel rispetto del segreto professionale, la protezione dai rischi di data breach e cyber-attacchi e le buone pratiche per la conservazione e la trasmissione sicura dei documenti. Un riferimento pratico per coniugare tutela della riservatezza, adempimenti normativi e sicurezza digitale nell'organizzazione dello studio.

Pubblicazione legale

Responsabilità civile e danno alla persona – Capitolo sull'art. 82 GDPR

Giuffrè Editore (a cura di Damiano Spera)

Contributo all'opera collettanea diretta da Damiano Spera, Presidente della Sezione civile del Tribunale di Milano competente in materia di responsabilità civile, composta da tredici capitoli sulle principali questioni del danno alla persona. Il mio capitolo è dedicato alla responsabilità civile derivante dal trattamento illecito dei dati personali, con un'analisi approfondita dell'articolo 82 del GDPR. Vengono esaminati i presupposti della responsabilità del titolare e del responsabile del trattamento, il riparto dell'onere della prova, le voci di danno patrimoniale e non patrimoniale risarcibili e i criteri di liquidazione elaborati dalla giurisprudenza e dalle Tabelle Milanesi. Il testo offre un quadro pratico per la gestione del rischio legale nei trattamenti e per la corretta impostazione delle richieste risarcitorie, sia in fase stragiudiziale sia in contenzioso.

Speaker ad evento

Stop alle informative che nessuno legge! Legal Design e privacy per innovare il business

SMAU - 11/2026

L'AI generativa sta rivoluzionando marketing, customer experience e automazione, ma troppe aziende frenano per paura del GDPR e delle sanzioni. Mentre ChatGPT e i tool di AI generativa ridefiniscono i processi di business, il timore normativo blocca l'innovazione. È tempo di cambiare prospettiva: la privacy è trasparenza, non burocrazia. Non a caso lo stesso Garante Privacy promuove il Legal Design per rendere le informative comprensibili. Basta con i muri di testo che nessuno legge: trasformiamo le informative in fumetti, infografiche e comunicazioni visual che gli utenti capiscono davvero — e che generano più fiducia di mille paragrafi. Con case study reali e uno sguardo agli obblighi di trasparenza dell'AI Act, vedremo come progettare soluzioni "privacy by design" che rispettano le norme potenziando il business. Un intervento pratico per professionisti, imprenditori e manager che vogliono innovare con l'AI senza rallentare, usando la normativa ben comunicata come acceleratore di crescita. Il workshop risponderà alle seguenti domande: - Perché la paura di GDPR e AI Act frena l'innovazione in azienda? - Cos'è il Legal Design e perché lo promuove lo stesso Garante Privacy? - Come trasformare un'informativa illeggibile in una comunicazione visual efficace? - Perché la trasparenza aumenta la fiducia degli utenti (e cosa sono i dark patterns da evitare)? - Come conciliare compliance e crescita del business con un approccio "privacy by design"? Target: Marketing manager, growth hacker, imprenditori digitali, startup, innovation manager e professionisti del settore tech che vogliono integrare AI e compliance privacy nei propri processi di business