Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda richiede un preventivo per una consulenza GDPR, il problema non è soltanto stabilire quanto costerà il servizio, ma comprendere quali attività saranno effettivamente svolte, quali documenti verranno predisposti e quale assistenza sarà disponibile dopo l’adeguamento iniziale. Due offerte apparentemente equivalenti possono prevedere prestazioni molto diverse: una può limitarsi alla consegna di informative e moduli standard, mentre l’altra può comprendere l’analisi dei trattamenti, la verifica dei fornitori, la revisione delle procedure e il supporto nell’attuazione delle misure necessarie. Per l’impresa, questa differenza incide sulla capacità di rispettare gli obblighi previsti dal Regolamento (UE) 2016/679 e di documentare le scelte organizzative effettuate.

Prima di affidare l’incarico a un consulente privacy o a uno studio legale, riteniamo quindi necessario verificare che il preventivo descriva con sufficiente precisione l’oggetto della prestazione, le attività comprese nel compenso e quelle eventualmente escluse. Una proposta economica poco dettagliata può lasciare scoperte esigenze che emergono soltanto durante un controllo, una richiesta di un interessato o una modifica dei processi aziendali.

Come capire se un preventivo per la consulenza GDPR è realmente completo

Un preventivo di consulenza GDPR dovrebbe partire dalle caratteristiche concrete dell’impresa. Numero di dipendenti, tipologia dei dati personali trattati, presenza di più sedi, utilizzo di software gestionali, rapporti con fornitori esterni e modalità di raccolta delle informazioni incidono sulle attività professionali necessarie. Un’azienda manifatturiera che gestisce prevalentemente dati di lavoratori e clienti presenta esigenze diverse rispetto a una società che svolge attività di profilazione, tratta dati sanitari oppure utilizza piattaforme digitali per servizi rivolti a numerosi utenti.

Il primo elemento da verificare è quindi la presenza di una fase preliminare di analisi dell’organizzazione e dei trattamenti di dati personali. Questa attività può comprendere l’esame della documentazione esistente, colloqui con i referenti aziendali, ricognizione dei sistemi informatici e individuazione dei soggetti che accedono ai dati. Non è indispensabile che ogni incarico preveda un sopralluogo fisico, ma il consulente deve disporre delle informazioni necessarie per formulare valutazioni pertinenti alla realtà aziendale. Quando il preventivo viene predisposto prima di un esame approfondito, è opportuno che specifichi le ipotesi sulle quali si basa e le condizioni che potrebbero richiedere prestazioni aggiuntive.

Un secondo elemento riguarda la distinzione tra verifica della conformità, predisposizione della documentazione e assistenza nell’attuazione delle misure. Si tratta di attività collegate, ma non coincidenti. Un audit privacy può individuare carenze nel registro dei trattamenti, nelle informative o nei contratti con i fornitori senza comprendere necessariamente la successiva correzione delle irregolarità. Analogamente, la redazione di una procedura interna non significa che siano inclusi la formazione del personale, l’implementazione tecnica o il controllo della sua effettiva applicazione.

Per questo consigliamo di richiedere un’offerta che distingua i risultati documentali dalle attività operative. Il preventivo dovrebbe chiarire se sono previsti un rapporto iniziale sulle criticità riscontrate, un piano degli interventi, la predisposizione o revisione dei documenti, incontri con i responsabili aziendali e una verifica finale delle attività concordate. Tale impostazione consente all’amministratore di comprendere che cosa riceverà e quali ulteriori decisioni dovranno essere assunte dall’impresa.

Occorre anche evitare un equivoco frequente: il GDPR non impone a tutte le aziende un identico pacchetto di documenti o procedure. Gli obblighi dipendono dai trattamenti effettuati e dalle disposizioni applicabili. Il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, e dall’articolo 24 del GDPR richiede al titolare di adottare misure appropriate e di poter dimostrare il rispetto della normativa. Un preventivo costruito esclusivamente sulla vendita di moduli precompilati rischia di non considerare questa esigenza.

La valutazione economica deve quindi essere effettuata sul contenuto effettivo dell’incarico. Un compenso più elevato non dimostra automaticamente una migliore qualità professionale, così come un prezzo contenuto non indica necessariamente un servizio insufficiente. Ciò che conta è la corrispondenza tra le prestazioni offerte, i rischi dell’attività aziendale e le responsabilità che rimangono in capo al titolare del trattamento. Per comprendere gli adempimenti che possono rendersi necessari, abbiamo approfondito anche come organizzare l’adeguamento GDPR aziendale.

Quali attività e documenti devono essere previsti nella consulenza privacy aziendale

Una volta definito il perimetro dell’incarico, il preventivo dovrebbe indicare quali adempimenti saranno oggetto di verifica e quali prestazioni professionali saranno concretamente eseguite. Tra le attività da considerare rientra anzitutto la mappatura dei trattamenti di dati personali, necessaria per comprendere quali informazioni vengono raccolte, per quali finalità, su quali basi giuridiche, per quanto tempo sono conservate e a quali soggetti possono essere comunicate. Da questa ricognizione dipende la corretta predisposizione di molti altri documenti.

Particolare attenzione merita il registro delle attività di trattamento previsto dall’articolo 30 GDPR. Il preventivo deve chiarire se il professionista si limiterà a verificare il registro esistente oppure provvederà alla sua predisposizione o al suo aggiornamento, quando richiesto dalla normativa. La valutazione deve considerare anche le condizioni di applicazione delle deroghe previste per le organizzazioni con meno di 250 dipendenti, che non operano automaticamente in presenza di trattamenti non occasionali o delle altre circostanze indicate dall’articolo 30, paragrafo 5. Per le imprese che possiedono già un registro, può risultare più appropriata una revisione mirata rispetto alla redazione integrale di un nuovo documento.

Un’altra componente riguarda le informative destinate a dipendenti, candidati, clienti, fornitori e altri interessati. La consulenza dovrebbe verificare la coerenza delle informative con i trattamenti effettivi e con gli articoli 12, 13 e 14 GDPR, secondo i casi. È opportuno precisare se il compenso comprende la revisione di documenti già utilizzati, la predisposizione di nuove informative e l’eventuale adeguamento dei testi relativi al sito web o ai servizi digitali. Per un approfondimento sul contenuto di questi documenti rinviamo alla nostra analisi delle informative privacy aziendali.

Il preventivo dovrebbe affrontare anche la corretta attribuzione dei ruoli privacy. Occorre verificare le istruzioni rivolte alle persone autorizzate al trattamento e i rapporti con i fornitori che operano per conto dell’impresa. Quando un soggetto esterno tratta dati personali in qualità di responsabile del trattamento, l’articolo 28 GDPR richiede un contratto o altro atto giuridico con specifici contenuti. È quindi utile sapere se la consulenza comprende l’individuazione dei responsabili, la revisione degli accordi esistenti, la predisposizione delle clausole necessarie e l’assistenza nei rapporti contrattuali con software house, fornitori cloud o altri prestatori di servizi.

Un capitolo distinto riguarda le misure tecniche e organizzative di sicurezza previste dall’articolo 32 GDPR. Il professionista incaricato della consulenza giuridica può esaminare l’adeguatezza delle procedure, individuare esigenze di intervento e coordinarsi con i responsabili informatici, ma non è detto che il preventivo comprenda l’esecuzione materiale di configurazioni, interventi sui server, sistemi di backup o verifiche tecniche specialistiche. Queste prestazioni devono essere chiaramente individuate, soprattutto quando l’azienda si affida a fornitori IT diversi dal consulente privacy.

La stessa distinzione è necessaria per la valutazione d’impatto sulla protezione dei dati, o DPIA, disciplinata dall’articolo 35 GDPR. La DPIA non è obbligatoria per ogni trattamento: deve essere effettuata quando ricorrono i presupposti normativi, in particolare quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Un’offerta professionale può comprendere la verifica preliminare della necessità della DPIA, mentre la sua eventuale elaborazione potrebbe costituire una prestazione separata. Il preventivo dovrebbe specificarlo, indicando anche il coinvolgimento delle funzioni aziendali che conoscono i processi e le misure tecniche adottate.

Per le imprese che trattano dati dei lavoratori, utilizzano sistemi di videosorveglianza, strumenti informatici aziendali o piattaforme di monitoraggio, è opportuno verificare se siano comprese valutazioni sulle disposizioni del Codice Privacy e sulla disciplina lavoristica applicabile, compreso l’articolo 4 dello Statuto dei lavoratori quando pertinente. Un semplice aggiornamento dell’informativa non risolve eventuali problemi relativi ai presupposti di legittimità dei controlli. Analogamente, per marketing, e-commerce e servizi digitali occorre distinguere le verifiche giuridiche sulle basi del trattamento dalle eventuali attività tecniche di configurazione dei sistemi.

Infine, il preventivo deve chiarire se comprende la predisposizione delle procedure per la gestione delle richieste degli interessati, degli incidenti di sicurezza e delle eventuali violazioni dei dati personali. Gli articoli 33 e 34 GDPR disciplinano, al ricorrere dei rispettivi presupposti, la notifica al Garante e la comunicazione agli interessati. La presenza di una procedura scritta è utile, ma deve essere distinta dall’assistenza professionale che potrebbe rendersi necessaria quando si verifica concretamente un incidente. Il compenso per tale intervento può essere incluso nell’incarico continuativo oppure regolato separatamente.

Queste attività non devono necessariamente essere tutte comprese in ogni offerta. La loro rilevanza dipende dall’organizzazione, dai trattamenti effettuati e dallo stato della documentazione esistente. Ciò che chiediamo di verificare è che il preventivo di consulenza GDPR identifichi con chiarezza le prestazioni incluse, le eventuali esclusioni e gli interventi subordinati a una successiva valutazione, evitando che l’impresa confonda la consegna di documenti con la completa esecuzione degli adempimenti applicabili.

Responsabilità, assistenza continuativa e costi esclusi: cosa controllare prima di accettare il preventivo GDPR

Un preventivo di consulenza GDPR deve permettere all’azienda di comprendere anche ciò che accadrà dopo la predisposizione della documentazione. L’adeguamento iniziale, infatti, non esaurisce gli obblighi del titolare del trattamento: l’introduzione di nuovi software, la modifica delle attività aziendali, il ricorso a fornitori esterni o l’avvio di nuovi trattamenti possono rendere necessarie ulteriori valutazioni. Per questa ragione, prima di sottoscrivere l’incarico, suggeriamo di verificare se il compenso comprende esclusivamente un intervento iniziale oppure anche attività successive di verifica, aggiornamento e assistenza.

La distinzione assume rilievo soprattutto quando il preventivo utilizza espressioni generiche come gestione completa della privacy, assistenza GDPR annuale o consulenza continuativa. Queste formulazioni, da sole, non consentono di individuare l’effettiva estensione del servizio. Occorre precisare se siano previsti controlli periodici, aggiornamento delle informative e del registro dei trattamenti, revisione degli accordi con i responsabili esterni, formazione del personale e supporto ai referenti aziendali. È opportuno indicare anche la frequenza delle verifiche, le modalità di comunicazione con il professionista e gli eventuali limiti alle ore di assistenza comprese nel compenso.

Un’attenzione specifica deve essere riservata alle prestazioni straordinarie. La gestione di un data breach, una richiesta di informazioni del Garante per la protezione dei dati personali, un reclamo presentato da un dipendente o una contestazione relativa a un trattamento possono richiedere attività ulteriori rispetto alla consulenza ordinaria. Il preventivo dovrebbe chiarire se tali interventi siano compresi, se siano previsti limiti specifici oppure se debbano essere oggetto di un incarico separato. È utile disciplinare anche le modalità di attivazione dell’assistenza urgente, perché una generica disponibilità del consulente non equivale a un impegno contrattuale a intervenire entro termini determinati.

Un altro profilo riguarda la ripartizione delle responsabilità tra azienda e professionista incaricato. Ai sensi degli articoli 5 e 24 GDPR, il titolare del trattamento mantiene la responsabilità di assicurare e dimostrare il rispetto della normativa. L’affidamento della consulenza a un soggetto esterno non trasferisce automaticamente tale responsabilità. Il professionista risponde delle obbligazioni assunte secondo il contenuto dell’incarico e le regole applicabili al rapporto professionale, mentre le decisioni relative alle finalità e ai mezzi del trattamento rimangono nella sfera del titolare.

Questa distinzione deve risultare comprensibile anche quando la consulenza comprende attività di supporto al DPO o viene proposta insieme a un servizio di responsabile della protezione dei dati. Il DPO svolge le funzioni previste dagli articoli 38 e 39 GDPR, tra cui informazione, consulenza e sorveglianza dell’osservanza della normativa, ma non sostituisce il titolare nell’assunzione delle decisioni organizzative. Prima di accettare un’offerta che comprende entrambe le prestazioni, occorre verificare la compatibilità degli incarichi e l’assenza di conflitti di interessi. Abbiamo esaminato separatamente le differenze tra DPO esterno e consulente privacy, che incidono anche sulla corretta formulazione dell’offerta professionale.

Il contratto dovrebbe inoltre stabilire quali documenti saranno consegnati all’impresa, in quale formato e con quali modalità potranno essere aggiornati. La disponibilità del registro dei trattamenti, delle informative, delle procedure e dei rapporti di verifica non dovrebbe dipendere esclusivamente dall’accesso a una piattaforma utilizzata dal consulente. È opportuno disciplinare la restituzione o la messa a disposizione della documentazione al termine dell’incarico, nonché il trattamento degli eventuali dati personali ai quali il professionista abbia avuto accesso, tenendo conto del ruolo privacy effettivamente assunto.

Quanto ai costi, suggeriamo di distinguere il compenso per l’analisi iniziale, quello per la predisposizione e attuazione degli interventi e l’eventuale canone di assistenza successiva. Devono essere identificabili anche le spese escluse, come trasferte, audit aggiuntivi, interventi informatici specialistici, elaborazione di DPIA complesse o assistenza in procedimenti amministrativi e giudiziari. Una formulazione trasparente delle condizioni economiche permette di confrontare offerte differenti senza attribuire automaticamente al prezzo più basso un vantaggio effettivo.

Per le aziende che richiedono un servizio destinato a proseguire nel tempo, assumono rilievo anche la durata dell’incarico, le condizioni di rinnovo, le modalità di recesso e l’eventuale revisione del compenso in presenza di cambiamenti organizzativi. Questi aspetti devono essere coordinati con le attività professionali effettivamente previste, evitando che il rapporto si trasformi in una successione di prestazioni aggiuntive non considerate al momento dell’affidamento. La scelta tra intervento iniziale e servizio periodico dipende dalle necessità dell’impresa e dalla capacità della struttura interna di gestire autonomamente gli adempimenti successivi.

Esempio pratico: due preventivi GDPR per la stessa azienda con prestazioni differenti

Consideriamo, a titolo esemplificativo, una società commerciale con trenta dipendenti, un gestionale cloud, un sito internet e diversi fornitori che trattano dati personali per suo conto. L’amministratore richiede due preventivi per aggiornare la gestione privacy. Il primo comprende la predisposizione di informative, registro dei trattamenti e modelli di autorizzazione; il secondo prevede anche un’analisi preliminare dei processi, la verifica dei contratti con i fornitori, l’esame delle procedure interne e un piano degli interventi correttivi. La differenza economica iniziale non permette, da sola, di stabilire quale offerta sia più adeguata.

Una valutazione professionale dovrebbe partire dalla documentazione già disponibile e dai trattamenti concretamente effettuati. Se il registro esistente è aggiornato ma mancano verifiche sui fornitori cloud e sulle procedure di gestione degli accessi, la priorità potrebbe non essere la redazione di nuovi moduli. L’elemento che richiede maggiore attenzione è individuare le attività effettivamente necessarie, distinguendole da quelle già svolte o non pertinenti. Su questa base l’azienda può richiedere un preventivo articolato per prestazioni, con indicazione degli interventi inclusi, delle responsabilità operative e delle verifiche successive, evitando di acquistare un servizio formalmente completo ma non corrispondente alle proprie esigenze.

Domande frequenti sul preventivo di consulenza GDPR per aziende

Un preventivo GDPR deve comprendere obbligatoriamente tutte le attività di adeguamento?

No. La normativa non impone un contenuto standard per il preventivo professionale. L’incarico può riguardare un audit iniziale, specifici adempimenti oppure un’assistenza più estesa. È però necessario distinguere le prestazioni affidate al consulente dagli obblighi che rimangono a carico dell’azienda. Un servizio limitato alla documentazione non deve essere confuso con una verifica complessiva della conformità.

La formazione dei dipendenti deve essere inclusa nel prezzo della consulenza GDPR?

Non necessariamente. Il preventivo dovrebbe specificare se comprende attività formative, numero di incontri, destinatari e modalità di svolgimento. La formazione e le istruzioni al personale devono essere valutate in relazione ai trattamenti e alle mansioni effettivamente svolte. L’azienda deve assicurare che le persone autorizzate operino secondo istruzioni adeguate, anche quando la formazione viene organizzata separatamente.

Il consulente privacy deve garantire che l’azienda non riceverà sanzioni?

No. Nessun incarico professionale può assicurare l’assenza di violazioni o provvedimenti sanzionatori. Il consulente deve eseguire diligentemente le prestazioni concordate, mentre il titolare conserva le responsabilità previste dal GDPR. È opportuno diffidare di offerte che promettono una conformità definitiva o l’eliminazione di qualsiasi rischio attraverso la semplice consegna di documenti.

Se l’azienda possiede già la documentazione privacy, deve pagare per rifarla completamente?

Non sempre. Una verifica preliminare può consentire di individuare i documenti ancora adeguati e quelli che richiedono aggiornamenti. Il preventivo dovrebbe distinguere la revisione dalla nuova predisposizione, soprattutto quando l’impresa dispone già di un registro dei trattamenti, informative e accordi con i fornitori. La decisione dipende dalla qualità della documentazione e dalla sua corrispondenza ai processi aziendali attuali.

Come verificare se l’assistenza in caso di controllo del Garante è compresa nel preventivo?

Occorre esaminare le clausole relative all’assistenza straordinaria. Il contratto dovrebbe precisare se sono comprese l’analisi delle richieste dell’Autorità, la raccolta della documentazione, la predisposizione delle risposte e l’eventuale assistenza difensiva. In mancanza di una previsione espressa, non è prudente presumere che tali attività siano incluse nel compenso ordinario.

Richiedere una valutazione del preventivo GDPR e delle esigenze della propria azienda

Un preventivo di consulenza GDPR deve essere valutato considerando i trattamenti effettuati dall’impresa, la documentazione già disponibile, le criticità organizzative e le prestazioni effettivamente comprese nell’incarico. Un’offerta incompleta o formulata in termini troppo generici può lasciare irrisolti adempimenti che richiedono specifiche attività professionali.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza nell’assistenza legale, può esaminare le esigenze dell’azienda e valutare gli interventi giuridici e organizzativi necessari in materia di protezione dei dati personali, distinguendo le attività iniziali dall’eventuale assistenza continuativa.

Se la vostra impresa deve richiedere un preventivo GDPR, confrontare offerte professionali oppure verificare l’adeguatezza di un servizio già proposto, potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le problematiche che richiedono un approfondimento e le possibili modalità di assistenza.