Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che deve adeguarsi al GDPR può affidare a un professionista un incarico circoscritto, destinato a concludersi con la verifica e la predisposizione della documentazione necessaria, oppure scegliere un servizio di consulenza GDPR continuativa. La differenza non riguarda soltanto il costo: incide sulla capacità dell’impresa di gestire nel tempo nuovi trattamenti, modifiche organizzative, richieste degli interessati e problemi che possono richiedere un intervento tempestivo.

La consulenza GDPR una tantum può essere adeguata per esigenze definite e limitate; l’assistenza continuativa diventa particolarmente utile quando i trattamenti cambiano frequentemente o l’azienda non dispone di competenze interne sufficienti. Non esiste un obbligo generale di stipulare un contratto annuale con un consulente privacy. Esiste, invece, il dovere del titolare del trattamento di rispettare e dimostrare nel tempo la conformità al Regolamento (UE) 2016/679. Per scegliere correttamente occorre quindi valutare l’organizzazione aziendale, i rischi connessi ai dati trattati e le attività che dovranno essere effettivamente seguite dopo l’adeguamento iniziale.

Quando è sufficiente una consulenza GDPR una tantum e quando serve un’assistenza continuativa

La consulenza GDPR una tantum consiste in un incarico professionale delimitato nell’oggetto e, normalmente, nella durata. Può riguardare la verifica della documentazione privacy, l’analisi di un trattamento specifico, la revisione delle informative, la predisposizione di accordi con i responsabili del trattamento oppure un intervento di adeguamento iniziale. Una volta completate le attività concordate, il rapporto professionale termina, salvo ulteriori incarichi.

Questa soluzione può risultare appropriata per un’impresa con una struttura organizzativa stabile, trattamenti relativamente semplici e personale interno capace di riconoscere quando occorre aggiornare procedure e documenti. Pensiamo a una piccola società che gestisce prevalentemente dati amministrativi, contrattuali e del personale, senza frequenti modifiche dei sistemi informatici o delle modalità di trattamento. Dopo una verifica iniziale, l’azienda potrebbe organizzare autonomamente gli adempimenti ordinari e richiedere assistenza soltanto in occasione di cambiamenti o problematiche specifiche.

La valutazione cambia quando l’impresa introduce frequentemente nuovi software, utilizza piattaforme cloud, gestisce numerosi fornitori, svolge attività di marketing articolate oppure tratta dati personali che richiedono particolari cautele. In queste situazioni, una documentazione corretta al momento della consegna può diventare progressivamente inadeguata rispetto alle attività effettivamente svolte. La consulenza privacy continuativa consente di programmare verifiche, sottoporre preventivamente al professionista le modifiche rilevanti e disporre di un riferimento per affrontare le questioni che emergono durante l’attività aziendale.

La dimensione dell’impresa, da sola, non determina la scelta. Una società con pochi dipendenti può effettuare trattamenti complessi, mentre un’organizzazione più grande può disporre di un ufficio privacy interno competente e avere bisogno soltanto di interventi specialistici. Conta soprattutto la capacità concreta di individuare i rischi, assumere decisioni documentate e mantenere aggiornate le misure adottate.

Occorre distinguere anche la consulenza privacy dal servizio di Responsabile della protezione dei dati, o DPO. Il consulente può assistere l’impresa nell’esecuzione degli adempimenti e nella predisposizione delle misure organizzative; il DPO svolge invece le funzioni di informazione, consulenza, sorveglianza e cooperazione previste dall’articolo 39 GDPR, nel rispetto dei requisiti di indipendenza stabiliti dal Regolamento. Un contratto di consulenza continuativa non sostituisce automaticamente la nomina del DPO quando questa è obbligatoria. Per approfondire la distinzione, abbiamo esaminato separatamente le differenze tra DPO esterno e consulente privacy.

Per le aziende che hanno già completato l’adeguamento iniziale, la domanda da porsi non è semplicemente se occorra acquistare un servizio annuale, ma chi sia concretamente incaricato di rilevare le modifiche nei trattamenti, verificare la documentazione e attivare gli interventi necessari. Quando queste responsabilità non sono state organizzate, anche una consulenza iniziale tecnicamente corretta rischia di perdere parte della propria utilità nel tempo.

Come organizzare la consulenza GDPR: attività, responsabilità e condizioni del contratto

La scelta tra assistenza occasionale e continuativa deve partire da una ricognizione dei trattamenti e delle risorse disponibili. L’articolo 5, paragrafo 2, GDPR attribuisce al titolare la responsabilità di rispettare i principi applicabili al trattamento e di essere in grado di comprovarlo. L’articolo 24 richiede misure tecniche e organizzative adeguate, da riesaminare e aggiornare quando necessario. Queste disposizioni non impongono una particolare formula contrattuale con il consulente, ma richiedono che la gestione della privacy rimanga effettiva anche dopo la predisposizione dei documenti.

Un incarico una tantum dovrebbe identificare con precisione le attività richieste, le informazioni che l’azienda deve mettere a disposizione, i documenti da consegnare e le eventuali criticità che rimarranno da affrontare. Se il servizio riguarda un adeguamento GDPR aziendale, è opportuno chiarire se comprende soltanto la redazione documentale oppure anche l’analisi dei trattamenti, la verifica dei rapporti con i fornitori e la valutazione delle procedure operative. La semplice consegna di informative e modelli standardizzati non consente, di per sé, di stabilire che l’organizzazione sia conforme.

Nel rapporto continuativo occorre invece definire quali attività saranno svolte periodicamente e quali richiederanno una richiesta specifica dell’impresa. Il contratto può prevedere la revisione della documentazione, verifiche programmate, supporto ai responsabili HR e IT, assistenza sui nuovi trattamenti e formazione del personale. Deve anche chiarire se gli interventi straordinari, come una valutazione d’impatto particolarmente complessa, un incidente informatico o un procedimento davanti al Garante, siano compresi nel compenso oppure richiedano un incarico distinto.

Un punto spesso trascurato riguarda i tempi di intervento. Un servizio annuale privo di modalità operative definite può rivelarsi poco adatto a un’impresa che necessita di risposte rapide. Al contrario, una consulenza a chiamata può funzionare quando esiste un referente interno preparato, capace di riconoscere tempestivamente le questioni che devono essere sottoposte al professionista. È quindi opportuno stabilire referenti, canali di comunicazione, modalità di segnalazione delle criticità e tempi di risposta compatibili con le esigenze aziendali.

La gestione di un possibile data breach rende concreta questa distinzione. Ai sensi dell’articolo 33 GDPR, quando ricorrono i presupposti di notifica, il titolare deve comunicarlo all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. L’impresa deve quindi disporre di procedure e responsabilità interne che consentano di individuare, valutare e gestire l’incidente, indipendentemente dal fatto che abbia sottoscritto un contratto continuativo. Un professionista già coinvolto nell’organizzazione privacy può facilitare il coordinamento, ma la disponibilità del consulente non sostituisce le misure che il titolare è tenuto ad adottare.

Un altro aspetto riguarda l’aggiornamento dei documenti. Il registro delle attività di trattamento, quando previsto, deve rappresentare le operazioni effettivamente svolte; gli accordi con i fornitori devono essere coerenti con i rapporti concretamente esistenti; informative e istruzioni devono corrispondere alle modalità di utilizzo dei dati. Non esiste una scadenza annuale generalizzata che renda automaticamente obbligatorio rifare tutta la documentazione. Le verifiche periodiche possono essere programmate, ma gli aggiornamenti devono intervenire quando mutano circostanze rilevanti.

Quanto ai costi, il confronto tra consulenza GDPR una tantum e contratto annuale non può limitarsi al prezzo iniziale. Occorre considerare l’estensione dei trattamenti, il numero di sedi e società coinvolte, la presenza di competenze interne, la frequenza degli interventi prevedibili e le prestazioni comprese nel compenso. Un canone continuativo può essere economicamente ragionevole per un’azienda che richiede assistenza frequente; per un’impresa con necessità sporadiche, incarichi specifici ben definiti possono risultare più proporzionati.

Prima di sottoscrivere il contratto, consigliamo di verificare anche come saranno gestiti i documenti prodotti, chi potrà accedervi e in quale forma verranno restituiti alla cessazione dell’incarico. La continuità della gestione privacy non dovrebbe dipendere esclusivamente dalla disponibilità del singolo consulente. L’azienda deve poter conservare e utilizzare la propria documentazione, ricostruire le valutazioni effettuate e affidare eventuali attività successive a un altro professionista senza perdere informazioni necessarie.

Obblighi GDPR, responsabilità aziendali e rischi di una gestione privacy non aggiornata

La scelta tra consulenza GDPR una tantum e assistenza continuativa assume particolare rilievo quando occorre stabilire chi debba controllare l’effettiva applicazione delle procedure privacy. Il Regolamento (UE) 2016/679 non considera la conformità un risultato acquisito definitivamente con la predisposizione dei documenti. Il titolare deve mantenere misure adeguate ai trattamenti effettuati, alla natura dei dati, alle finalità perseguite e ai rischi per i diritti e le libertà delle persone fisiche. La responsabilità di questa organizzazione rimane in capo all’impresa anche quando le attività operative vengono affidate a professionisti esterni.

Un problema frequente riguarda la distanza tra documentazione e operatività aziendale. Un’impresa può aver completato correttamente l’adeguamento GDPR e, successivamente, introdurre un gestionale cloud, modificare le modalità di controllo degli accessi, affidare nuovi servizi informatici a fornitori esterni o ampliare le attività di marketing. Ciascuna modifica deve essere valutata per verificare se comporti nuovi trattamenti, ulteriori rischi o la necessità di aggiornare informative, registro delle attività, istruzioni interne e accordi ai sensi dell’articolo 28 GDPR. Quando richiesto dalle caratteristiche del trattamento, deve essere valutata anche la necessità di una DPIA ai sensi dell’articolo 35.

Il rischio della consulenza esclusivamente occasionale non deriva dalla formula contrattuale, ma dall’eventuale assenza di un sistema capace di individuare e gestire tempestivamente questi cambiamenti. Se l’azienda dispone di personale competente e di procedure interne efficaci, può ricorrere a incarichi specialistici quando necessario. Se invece nessuno verifica l’impatto privacy delle decisioni organizzative, un’assistenza continuativa può consentire di affrontare le criticità prima che si traducano in trattamenti non adeguatamente disciplinati.

La stessa distinzione rileva in caso di richieste degli interessati, reclami o controlli dell’autorità. Gli articoli 12 e seguenti del GDPR prevedono specifiche modalità e termini per l’esercizio dei diritti, mentre il Garante può richiedere informazioni e documentazione nell’ambito dei propri poteri di controllo. L’impresa deve poter ricostruire le decisioni adottate e dimostrare le misure effettivamente applicate. Per questo motivo, la corretta gestione degli aggiornamenti della documentazione privacy deve essere accompagnata da una distribuzione chiara delle responsabilità operative.

Le eventuali violazioni possono comportare provvedimenti correttivi e, nei casi previsti dall’articolo 83 GDPR, sanzioni amministrative pecuniarie, valutate considerando le circostanze concrete. Non ogni irregolarità documentale determina automaticamente una sanzione, né un contratto annuale con un consulente costituisce una garanzia contro contestazioni. La qualità dell’assistenza va misurata rispetto alle attività effettivamente svolte, alle verifiche documentabili e alla capacità dell’organizzazione di intervenire quando emergono problemi.

Per le imprese che non dispongono di un ufficio privacy strutturato, può essere opportuno prevedere un referente interno incaricato di coordinarsi con il consulente e segnalare tempestivamente modifiche dei processi, nuovi fornitori o incidenti. In presenza di un DPO, devono essere rispettati anche i suoi compiti e la sua posizione indipendente, senza attribuirgli automaticamente responsabilità decisionali che competono al titolare. La consulenza continuativa può così inserirsi nell’organizzazione aziendale con funzioni definite, evitando sovrapposizioni e vuoti operativi.

Esempio pratico: un’azienda che deve scegliere tra interventi occasionali e consulenza GDPR continuativa

Consideriamo il caso ipotetico di una società commerciale di medie dimensioni che ha effettuato un adeguamento GDPR iniziale mediante un incarico professionale una tantum. Nei mesi successivi l’impresa introduce un nuovo gestionale per i clienti, affida parte dell’assistenza informatica a un fornitore esterno e modifica le procedure di gestione del personale. La documentazione originaria rimane archiviata, ma nessun referente interno verifica sistematicamente se le nuove attività richiedano aggiornamenti.

Una verifica professionale dovrebbe partire dalla ricostruzione dei trattamenti effettivi, dall’esame dei contratti con i fornitori e dal confronto tra procedure adottate e documentazione disponibile. L’attenzione maggiore andrebbe riservata all’individuazione delle responsabilità interne e delle modifiche che richiedono una valutazione preventiva. Qualora l’azienda prevedesse ulteriori cambiamenti organizzativi, potrebbe risultare appropriato affiancare agli interventi iniziali un servizio di assistenza continuativa, con verifiche programmate e un referente incaricato di comunicare le novità al professionista.

In una situazione del genere, la scelta non dipenderebbe dalla necessità di ripetere integralmente l’adeguamento ogni anno, ma dalla frequenza delle modifiche e dalla capacità dell’impresa di gestirle autonomamente. Il servizio dovrebbe essere dimensionato sulle esigenze effettive, distinguendo le attività ordinarie dagli interventi specialistici o urgenti.

Domande frequenti sulla scelta tra consulenza GDPR una tantum e continuativa

Un’azienda è obbligata ad avere un consulente GDPR continuativo?

No. Il GDPR non impone generalmente alle imprese di stipulare un contratto di consulenza continuativa. Il titolare del trattamento deve però assicurare il rispetto degli obblighi applicabili e mantenere misure tecniche e organizzative adeguate. La consulenza esterna rappresenta una possibile soluzione organizzativa, mentre l’eventuale obbligo di nominare un DPO deve essere valutato separatamente, secondo l’articolo 37 GDPR.

È possibile iniziare con una consulenza una tantum e passare successivamente a un servizio annuale?

Sì. L’impresa può affidare inizialmente un incarico di verifica o adeguamento e valutare successivamente un’assistenza continuativa. È opportuno che il primo intervento identifichi le attività da mantenere aggiornate, le responsabilità interne e le situazioni che richiederanno ulteriori verifiche. In questo modo, l’eventuale contratto annuale potrà essere costruito sulle esigenze effettivamente riscontrate.

Una consulenza GDPR continuativa comprende anche la difesa davanti al Garante Privacy?

Non necessariamente. Il contenuto del servizio dipende dal contratto sottoscritto. Le attività ordinarie di consulenza e aggiornamento possono essere distinte dall’assistenza in caso di ispezioni, contestazioni, procedimenti amministrativi o contenziosi. Prima di conferire l’incarico è opportuno verificare quali interventi siano inclusi nel compenso e quali richiedano un mandato professionale specifico.

Se l’azienda ha già tutta la documentazione privacy, deve comunque pagare un consulente ogni anno?

Non esiste un obbligo generalizzato di corrispondere un compenso annuale. Occorre però verificare se la documentazione corrisponda ancora ai trattamenti effettivi e se l’impresa disponga delle competenze necessarie per mantenerla aggiornata. La presenza di documenti formalmente completi non esclude la necessità di ulteriori interventi quando cambiano processi, fornitori, strumenti tecnologici o modalità di utilizzo dei dati personali.

Come capire se il costo di una consulenza GDPR continuativa è giustificato?

La valutazione dovrebbe considerare la frequenza delle modifiche organizzative, la complessità dei trattamenti, le competenze interne e il numero di interventi professionali prevedibili. È utile confrontare il costo del servizio annuale con quello di incarichi occasionali equivalenti, verificando soprattutto le prestazioni comprese, i tempi di risposta e le eventuali attività escluse. Il prezzo più basso non coincide necessariamente con la soluzione più appropriata.

Consulenza GDPR una tantum o continuativa: richiedi una valutazione per la tua azienda

Se la vostra azienda deve scegliere tra un intervento privacy occasionale e un servizio di assistenza GDPR continuativa, possiamo esaminare la situazione organizzativa, la documentazione esistente, i trattamenti effettuati e le competenze interne disponibili. La valutazione consente di individuare quali attività richiedano un intervento specifico e quali possano rendere opportuno un rapporto professionale continuativo, senza prevedere servizi non proporzionati alle effettive necessità dell’impresa.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, presta assistenza giuridica alle imprese nella gestione della privacy aziendale e degli adempimenti GDPR. Per sottoporci la vostra situazione, richiedete una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni che necessitano di approfondimento e le possibili modalità di assistenza.