Articolo a cura di: Redazione - Studio Legale Calvello

Richiedere un preventivo per un DPO esterno significa scegliere il professionista al quale affidare una funzione di controllo e consulenza prevista dal GDPR. Per un’azienda, il problema non è soltanto individuare un canone annuale sostenibile, ma comprendere quali attività saranno effettivamente svolte, con quale frequenza e con quali modalità di assistenza. Due offerte apparentemente equivalenti possono prevedere prestazioni molto diverse, soprattutto per quanto riguarda verifiche periodiche, supporto alle valutazioni d’impatto, gestione degli incidenti e rapporti con il Garante Privacy.

Prima di sottoscrivere un incarico, occorre quindi verificare se il servizio proposto sia adeguato alla struttura dell’impresa, ai trattamenti effettuati e ai rischi concretamente presenti. Un preventivo incompleto può lasciare scoperte attività che l’azienda riteneva comprese nel prezzo. Al contrario, una proposta ben definita consente di distinguere le funzioni proprie del Responsabile della protezione dei dati dalle ulteriori prestazioni di consulenza e adeguamento GDPR, che richiedono una specifica organizzazione e possono comportare costi separati.

Cosa deve comprendere un preventivo DPO esterno per essere realmente adeguato all’azienda

Il primo elemento da verificare in un preventivo DPO esterno è la descrizione delle prestazioni comprese nell’incarico. Non è sufficiente che l’offerta riporti genericamente la dicitura “servizio DPO”, “assistenza GDPR” oppure “consulenza privacy annuale”. Occorre comprendere quali attività saranno assicurate dal professionista e quali, invece, resteranno affidate alle risorse interne o richiederanno ulteriori incarichi.

L’articolo 39 del Regolamento (UE) 2016/679 individua i compiti minimi del Responsabile della protezione dei dati, denominato anche RPD o Data Protection Officer. Tra questi rientrano l’informazione e la consulenza al titolare o al responsabile del trattamento e ai dipendenti che eseguono i trattamenti, la sorveglianza sull’osservanza della normativa, la consulenza in merito alle valutazioni d’impatto, la cooperazione con l’autorità di controllo e la funzione di punto di contatto con quest’ultima. Il preventivo deve consentire all’impresa di capire come tali compiti saranno concretamente esercitati.

Un’offerta che preveda soltanto la disponibilità nominale del professionista, senza precisare le modalità di svolgimento dell’incarico, merita particolare attenzione. Il DPO deve poter operare con risorse adeguate, accesso alle informazioni necessarie e coinvolgimento tempestivo nelle questioni riguardanti la protezione dei dati personali, secondo quanto previsto dall’articolo 38 GDPR. La valutazione del preventivo deve quindi riguardare anche l’effettiva possibilità di esercitare la funzione, non soltanto la sua attribuzione formale.

Nel confrontare le offerte consigliamo di verificare se siano previste riunioni periodiche con la direzione, verifiche documentali, attività di sorveglianza sui processi aziendali, pareri scritti, sopralluoghi quando necessari e relazioni sull’attività svolta. Non tutte queste prestazioni devono necessariamente avere una frequenza identica in ogni organizzazione: una società con numerose sedi, trattamenti complessi e fornitori tecnologici internazionali presenta esigenze differenti rispetto a una realtà di dimensioni contenute. Il preventivo dovrebbe spiegare come il servizio viene dimensionato rispetto a tali caratteristiche.

Particolare attenzione merita l’audit iniziale. Prima di definire un programma di verifiche, il professionista deve poter acquisire una conoscenza sufficiente dell’organizzazione, dei principali trattamenti e delle criticità esistenti. Occorre quindi chiarire se il preventivo comprenda una ricognizione iniziale della documentazione privacy, del registro delle attività di trattamento, delle procedure aziendali e dei rapporti con i fornitori, oppure se tali attività siano oggetto di un incarico distinto. L’assenza di un audit iniziale formalmente previsto non rende automaticamente inadeguato il servizio, ma impone di comprendere attraverso quali strumenti il DPO acquisirà le informazioni necessarie.

Un altro aspetto riguarda la distinzione tra sorveglianza della conformità e attività operative di adeguamento GDPR. Il DPO può fornire indicazioni e verificare l’osservanza della normativa, ma la responsabilità delle decisioni e dell’attuazione delle misure resta in capo al titolare o al responsabile del trattamento, secondo le rispettive competenze. La predisposizione materiale delle informative, la revisione dei contratti con i responsabili del trattamento ai sensi dell’articolo 28 GDPR, la redazione del registro o l’implementazione delle procedure possono costituire servizi aggiuntivi. Se vengono offerti dallo stesso professionista, devono essere organizzati evitando conflitti di interessi e senza compromettere l’indipendenza della funzione di DPO.

Per comprendere quali prestazioni appartengano ordinariamente alla funzione e quali possano richiedere un incarico ulteriore, è utile distinguere il contenuto concreto del servizio DPO esterno dalle attività di consulenza operativa. Questa distinzione permette di confrontare preventivi effettivamente omogenei e di evitare che un’offerta apparentemente completa lasci all’impresa costi successivi non preventivati.

Come confrontare due preventivi DPO esterno: costi, assistenza e prestazioni escluse

Il confronto economico deve partire dal costo complessivo del servizio e dalle condizioni che ne determinano eventuali variazioni. Un preventivo può prevedere un canone mensile, un corrispettivo annuale oppure una tariffa fissa accompagnata da compensi per singoli interventi. Nessuna di queste formule è necessariamente preferibile: la convenienza dipende dalla quantità di attività comprese, dalla complessità dell’organizzazione e dalla prevedibilità delle esigenze aziendali.

Quando riceviamo richieste di valutazione relative a offerte professionali, riteniamo necessario distinguere il prezzo della funzione DPO dal costo di eventuali servizi complementari. Un canone contenuto potrebbe essere appropriato per un incarico circoscritto, purché consenta comunque l’effettivo esercizio dei compiti previsti dal GDPR. Diventa invece problematico quando l’azienda ritiene di acquistare un’assistenza continuativa completa, mentre il contratto prevede soltanto un numero limitato di ore o esclude prestazioni che potrebbero risultare necessarie.

Per questo motivo, prima di accettare una proposta, è opportuno verificare quante ore di assistenza siano comprese, se esistano limiti agli interventi, come vengano conteggiate le attività aggiuntive e quali tariffe si applichino alle prestazioni straordinarie. Anche le spese di trasferta, i sopralluoghi, le riunioni in presenza e l’assistenza fuori dagli orari ordinari dovrebbero essere disciplinati con sufficiente chiarezza. La formula “assistenza illimitata”, quando utilizzata, richiede una definizione precisa del suo contenuto e delle eventuali esclusioni.

Un elemento particolarmente delicato riguarda la disponibilità del DPO in caso di incidente di sicurezza o violazione dei dati personali. Il professionista non assume automaticamente il ruolo di responsabile tecnico della gestione dell’incidente, ma deve poter essere coinvolto tempestivamente per le questioni di propria competenza. È quindi opportuno verificare se il preventivo stabilisca tempi di risposta, canali di contatto e modalità di supporto nelle valutazioni relative agli obblighi di notifica al Garante e di comunicazione agli interessati.

La necessità di una risposta rapida assume rilievo anche perché l’articolo 33 GDPR prevede, nei casi in cui la notifica sia dovuta, che il titolare la effettui senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui viene a conoscenza della violazione. L’incarico DPO dovrebbe pertanto essere coordinato con le procedure aziendali di gestione degli incidenti, senza attribuire al professionista responsabilità operative che competono ad altri soggetti. L’eventuale assistenza legale nella difesa da contestazioni o provvedimenti del Garante deve essere espressamente distinta dalle ordinarie funzioni del DPO.

Nel confronto delle offerte occorre considerare anche la qualificazione e l’effettiva disponibilità del professionista incaricato. L’articolo 37, paragrafo 5, GDPR richiede che il DPO sia designato in funzione delle qualità professionali, della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e della capacità di assolvere i compiti previsti dall’articolo 39. Non esiste una certificazione professionale obbligatoria che, da sola, costituisca requisito legale per la nomina. L’azienda dovrebbe quindi valutare l’esperienza documentabile, la conoscenza del proprio settore e l’organizzazione del servizio proposto.

Se il preventivo proviene da una società di consulenza, è opportuno identificare il referente effettivo, verificare come siano distribuite le attività all’interno del gruppo di lavoro e comprendere chi eserciterà concretamente la funzione. Devono essere chiariti anche gli eventuali meccanismi di sostituzione e continuità del servizio. Quando vengono proposte prestazioni ulteriori rispetto ai compiti propri del DPO, occorre verificare che l’organizzazione dell’incarico non determini situazioni nelle quali il professionista sia chiamato a controllare decisioni sui fini e sui mezzi del trattamento da lui stesso assunte.

Infine, il preventivo deve essere esaminato insieme alle condizioni contrattuali, con particolare attenzione alla durata dell’incarico, alle modalità di rinnovo, alle ipotesi di recesso, ai compensi aggiuntivi e alle disposizioni relative alla cessazione del rapporto. L’articolo 38, paragrafo 3, GDPR tutela il DPO rispetto alla rimozione o penalizzazione per l’adempimento dei propri compiti: le clausole contrattuali devono quindi essere valutate tenendo conto dell’indipendenza richiesta dalla normativa. Per gli aspetti negoziali più delicati rinviamo all’approfondimento sul contratto con il DPO esterno e sulle clausole essenziali da verificare.

Responsabilità, indipendenza e rischi: quali garanzie verificare prima di affidare l’incarico DPO

Un preventivo DPO esterno deve essere valutato anche rispetto alle responsabilità che derivano dall’organizzazione del servizio. La nomina di un professionista esterno non trasferisce a quest’ultimo gli obblighi che il GDPR attribuisce al titolare del trattamento. L’azienda continua a rispondere delle decisioni relative ai trattamenti, dell’adozione delle misure organizzative e tecniche appropriate e della capacità di dimostrare il rispetto della normativa. Il DPO svolge una funzione di consulenza e sorveglianza, senza sostituirsi agli organi aziendali nelle decisioni che competono loro.

Questa distinzione assume particolare importanza quando un’offerta commerciale promette una generica “copertura GDPR” oppure presenta la nomina del DPO come soluzione sufficiente a mettere l’impresa al riparo da contestazioni. Nessun incarico professionale può garantire l’assenza di violazioni o sanzioni. Occorre invece verificare se il servizio consenta al DPO di individuare e segnalare le criticità, formulare raccomandazioni e monitorare le iniziative intraprese dall’organizzazione, secondo un programma proporzionato ai rischi effettivi.

L’articolo 38 GDPR stabilisce che il Responsabile della protezione dei dati non debba ricevere istruzioni riguardanti l’esecuzione dei propri compiti e debba riferire direttamente al vertice gerarchico del titolare o del responsabile del trattamento. Nel valutare il preventivo occorre quindi accertare che il professionista possa accedere alle informazioni necessarie, interloquire con la direzione e formulare valutazioni autonome. Un servizio organizzato esclusivamente attraverso un referente amministrativo, senza possibilità di confronto con chi assume le decisioni aziendali, potrebbe risultare inadeguato rispetto alla complessità dei trattamenti.

Merita attenzione anche il conflitto di interessi del DPO esterno. Il professionista può svolgere altri compiti e funzioni, purché questi non compromettano la sua indipendenza. Il problema può presentarsi quando il medesimo soggetto determina le finalità e i mezzi di determinati trattamenti e successivamente dovrebbe sorvegliare, in qualità di DPO, la conformità delle proprie decisioni. Non è quindi sufficiente verificare le competenze del fornitore: bisogna esaminare l’insieme delle attività affidate e la loro compatibilità.

Un’altra questione riguarda le eventuali prestazioni di assistenza legale. Il DPO costituisce un punto di contatto con il Garante e coopera con l’autorità di controllo, ma tale funzione non coincide automaticamente con l’assunzione della difesa dell’azienda in un procedimento amministrativo o giudiziario. Se il preventivo comprende anche assistenza in caso di contestazioni, occorre chiarire la natura delle prestazioni, i relativi compensi e la compatibilità dei diversi incarichi, soprattutto quando la controversia possa coinvolgere valutazioni o attività precedentemente svolte dal professionista.

Le garanzie contrattuali devono riguardare anche la continuità del servizio. È opportuno sapere come saranno gestite assenze prolungate, indisponibilità improvvise e cessazione del rapporto professionale. Quando il DPO viene sostituito, l’impresa deve poter organizzare il passaggio delle informazioni necessarie al nuovo incaricato, aggiornare i riferimenti pubblicati e comunicare al Garante i dati di contatto del nuovo responsabile. Il preventivo può disciplinare il supporto a queste operazioni, evitando che il trasferimento dell’incarico determini interruzioni nell’esercizio della funzione.

La scelta dovrebbe infine considerare la capacità del professionista di documentare le attività effettivamente svolte. Relazioni periodiche, pareri, segnalazioni di criticità e programmi di verifica consentono alla direzione di conoscere lo stato delle questioni privacy e di assumere decisioni informate. Non esiste un modello unico di rendicontazione obbligatorio per tutte le imprese, ma una proposta che descriva chiaramente le modalità di documentazione dell’attività permette di valutare meglio il servizio e di verificare nel tempo la corrispondenza tra prestazioni pattuite e prestazioni eseguite.

Esempio pratico: due preventivi DPO con prezzi differenti ma servizi non equivalenti

Consideriamo il caso ipotetico di una società con più sedi operative, un ufficio HR interno e diversi fornitori informatici, che deve affidare all’esterno la funzione di DPO. L’impresa riceve due preventivi: il primo propone un canone annuale inferiore e una generica assistenza privacy; il secondo prevede un compenso maggiore, ma specifica le modalità di coinvolgimento del professionista, le verifiche periodiche e il supporto nelle situazioni urgenti.

Il confronto delle condizioni rivela che la prima offerta esclude sopralluoghi, attività di ricognizione iniziale e consulenze eccedenti un numero limitato di ore, mentre la seconda comprende un programma di sorveglianza definito sulla base dei trattamenti aziendali. Prima di scegliere, l’impresa ricostruisce le proprie esigenze, distingue i compiti propri del DPO dalle eventuali attività operative di adeguamento e richiede chiarimenti sulle prestazioni escluse. La valutazione consente di confrontare il costo effettivo delle due proposte senza presumere che quella economicamente più elevata sia necessariamente la migliore.

Domande frequenti sul preventivo DPO esterno

È possibile confrontare preventivi DPO esterno che prevedono servizi differenti?

Sì, ma occorre ricondurre le offerte a prestazioni comparabili. Un preventivo che comprende verifiche periodiche, sopralluoghi e supporto nelle situazioni urgenti non può essere confrontato esclusivamente sul prezzo con una proposta che prevede soltanto un numero limitato di ore di consulenza. Consigliamo di richiedere un dettaglio scritto delle attività incluse, delle esclusioni e delle tariffe applicabili agli interventi aggiuntivi.

Il preventivo DPO deve comprendere anche la predisposizione dei documenti GDPR?

Non necessariamente. I compiti del DPO previsti dall’articolo 39 GDPR riguardano principalmente informazione, consulenza, sorveglianza della conformità e rapporti con l’autorità di controllo. La predisposizione operativa di informative, registri, procedure e contratti può essere oggetto di un incarico separato. Quando tali prestazioni sono affidate allo stesso professionista, occorre verificarne la compatibilità con l’indipendenza della funzione DPO.

Il supporto in caso di data breach deve essere incluso nel canone annuale?

Il coinvolgimento tempestivo del DPO nelle questioni relative alla protezione dei dati deve essere assicurato. Le modalità concrete di assistenza, i tempi di risposta e le eventuali prestazioni straordinarie devono però essere chiariti nel preventivo. Le attività tecniche di gestione dell’incidente e l’eventuale difesa legale dell’azienda non sono automaticamente comprese nell’incarico DPO.

Un preventivo DPO esterno molto economico comporta maggiori rischi per l’azienda?

Il prezzo contenuto non costituisce, da solo, un indice di inadeguatezza. Occorre verificare se il compenso sia coerente con la complessità dei trattamenti, le risorse disponibili, la frequenza delle verifiche e le modalità di assistenza. Un’offerta diventa problematica quando le limitazioni del servizio impediscono al professionista di svolgere efficacemente i compiti previsti dal GDPR.

È possibile chiedere una revisione del preventivo prima di nominare il DPO?

Sì. L’azienda può richiedere chiarimenti, modifiche alle prestazioni proposte e una diversa articolazione del compenso prima di conferire l’incarico. È opportuno definire per iscritto le attività ordinarie, quelle straordinarie, i tempi di risposta e le condizioni economiche, verificando che gli accordi rispettino l’autonomia e l’indipendenza richieste al DPO.

Preventivo DPO esterno per la tua azienda: richiedi una valutazione dello Studio Legale Calvello

Se la tua azienda deve nominare un DPO esterno, confrontare più preventivi oppure verificare se un’offerta già ricevuta comprenda le prestazioni necessarie, possiamo esaminare le caratteristiche dell’organizzazione, la complessità dei trattamenti e le esigenze di assistenza continuativa. La valutazione permette di individuare il contenuto dell’incarico più coerente con la situazione aziendale, distinguendo le funzioni proprie del DPO dagli eventuali servizi aggiuntivi di consulenza GDPR.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella valutazione e nell’organizzazione degli incarichi di Responsabile della protezione dei dati. Per sottoporci le esigenze della tua società e ricevere un riscontro sulla possibilità di affidare il servizio, richiedi una valutazione per il servizio DPO esterno attraverso il modulo dedicato.