Quanto costa un DPO esterno è la domanda con cui si apre quasi ogni richiesta di preventivo, e capita spesso che sia anche l’unica. Il confronto si riduce a tre numeri su tre email, si sceglie il più basso, si firma l’incarico e si archivia la pratica. È il modo più rapido per ritrovarsi, due anni dopo, con una designazione che in sede di verifica non regge, e con l’ente che risponde di una violazione che credeva di aver coperto.
Che cosa si paga davvero
Il Regolamento non stabilisce un compenso né una tariffa. Stabilisce però che cosa il responsabile della protezione dei dati deve essere in grado di fare, e da lì discende il resto. Il DPO è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti che il Regolamento gli assegna. Il titolare deve metterlo in condizione di svolgerli, garantendogli le risorse necessarie e l’accesso ai dati e ai trattamenti.
Tradotto in pratica, il compenso dipende da variabili che nessun listino può standardizzare:
- il numero e la natura dei trattamenti, e la presenza di categorie particolari di dati — sanitari, giudiziari, biometrici;
- la complessità organizzativa: sedi, uffici, personale, fornitori esterni, sistemi informativi, servizi in cloud;
- la presenza di trattamenti ad alto rischio che richiedono una valutazione d’impatto, su cui il DPO è chiamato a rendere il parere previsto dalla norma;
- la frequenza dell’attività di sorveglianza: verifiche periodiche, formazione del personale, riscontro alle istanze degli interessati;
- la reperibilità in caso di violazione dei dati, quando i termini si contano in ore e non in giorni.
Un incarico che prevede una visita all’anno e una casella di posta costa poco perché contiene poco. Il punto non è che sia economico: è che, davanti a una contestazione, è difficile sostenere che l’ente abbia davvero assolto l’obbligo.
Quanto costa un DPO esterno quando qualcosa va storto
Le violazioni che riguardano la designazione e la posizione del DPO rientrano fra quelle sanzionabili dall’articolo 83 del GDPR, e si sommano alle violazioni sostanziali che una sorveglianza inesistente non ha intercettato. Nella pratica il procedimento non nasce quasi mai da un controllo sulla nomina: nasce da un reclamo, da un data breach, da un’ispezione su altro, e la posizione del DPO emerge come elemento di contorno che aggrava il quadro complessivo.
Le situazioni che ricorrono più spesso sono tre. La prima è il conflitto di interessi: il DPO che è anche il responsabile dei sistemi informativi, o il titolare di una funzione che decide finalità e mezzi dei trattamenti, si trova a controllare se stesso. La seconda è il DPO irraggiungibile: i contatti pubblicati non sono aggiornati, oppure non sono mai stati comunicati al Garante. La terza è il DPO tagliato fuori: non viene coinvolto tempestivamente nelle questioni che riguardano la protezione dei dati, e lo si scopre leggendo i verbali di un progetto già concluso.
Abbiamo ricostruito questi profili negli articoli dedicati alla nomina obbligatoria del DPO e al conflitto di interessi e al DPO esterno per enti e aziende.
Interno o esterno: non è una questione di prezzo
La scelta fra una designazione interna e un incarico esterno si fa sulla base dell’organizzazione, non del costo. Una risorsa interna conosce i processi ma rischia il conflitto di interessi e richiede un investimento continuo in formazione; un professionista esterno porta competenza specialistica e indipendenza, ma deve essere messo in condizione di conoscere l’ente, e questo richiede tempo che qualcuno deve pagare.
Negli enti pubblici il problema si pone in termini ulteriori, perché la designazione è obbligatoria in ogni caso: il tema è affrontato negli articoli sul DPO nella pubblica amministrazione e sul Comune senza RPD. Chi vuole capire prima che cosa comporti il ruolo trova la pagina di servizio sul servizio di nomina del DPO esterno, e il quadro generale dell’adeguamento privacy.
Come leggere un preventivo
Un preventivo serio dice che cosa è compreso e che cosa no: quante verifiche, con quale periodicità, se la formazione del personale è inclusa, chi risponde in caso di violazione dei dati e in quali tempi, se l’assistenza nei procedimenti davanti al Garante rientra nell’incarico o costituisce attività ulteriore. Due preventivi che differiscono del cinquanta per cento, nove volte su dieci, differiscono perché descrivono due incarichi diversi.
Lo studio assiste enti pubblici, aziende e strutture sanitarie in tutta Italia e ha sede a Napoli; i profili amministrativi e contenziosi collegati sono trattati sul sito dello studio legale avvocatoelioerrichiello.it.
Se sta valutando una designazione o ne ha già una in essere e vuole capire se regge, ci scriva dalla pagina contatti indicando dimensione e attività dell’ente: potremo esaminare preliminarmente la documentazione e formulare un preventivo riferito a quello che serve, non a un listino.
Avv. Elio Errichiello
