Il Responsabile della Protezione dei Dati (RPD, in inglese DPO) è una figura prevista dall’articolo 37 del GDPR. Può essere un dipendente oppure un professionista esterno designato con un contratto di servizi: il Regolamento tratta le due strade allo stesso modo.
In breve: un DPO esterno è una persona qualificata, designata formalmente dalla vostra azienda, i cui dati di contatto vengono comunicati al Garante e pubblicati nell’informativa, che svolge i compiti dell’articolo 39 senza che voi dobbiate assumere una figura a tempo pieno. L’articolo 37(6) prevede espressamente questa possibilità, quindi non è una scorciatoia: è una delle due strade previste dal Regolamento.
Engage Compliance fornisce il servizio di DPO esterno ad aziende tecnologiche in Italia e nel resto dell’Unione europea. Siamo stabiliti ad Amsterdam, nei Paesi Bassi, e la persona designata resta la stessa per tutta la durata dell’incarico.
Punti chiave
- Il DPO è una figura prevista dagli articoli da 37 a 39 del GDPR, con garanzie di indipendenza che un consulente ordinario non ha.
- L’articolo 37(6) consente la designazione con contratto di servizi, quindi l’esternalizzazione è prevista dal Regolamento stesso.
- Il Codice privacy italiano non aggiunge soglie oltre a quelle europee: vale il test dell’articolo 37.
- I dati di contatto del DPO vanno comunicati al Garante e pubblicati nell’informativa.
- I piani con DPO designato costano una frazione di una figura senior interna, e il confronto completo con i prezzi aggiornati è su Pricing.
- Engage Compliance viene designata con contratto di servizi ai sensi dell’articolo 37(6), ed è questa la differenza rispetto alla consulenza privacy ordinaria.
Che cos’è un DPO esterno
Il GDPR definisce la figura in tre articoli, e serve leggerli insieme per capire dove finisce la consulenza e dove comincia il ruolo.
L’articolo 37 stabilisce chi deve designare il DPO e richiede che la scelta avvenga in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. Consente inoltre a un gruppo imprenditoriale di designare un unico DPO e ammette la designazione sulla base di un contratto di servizi.
L’articolo 38 stabilisce le condizioni che l’azienda deve garantire. Il DPO va coinvolto in modo tempestivo e adeguato in tutte le questioni riguardanti i dati personali, deve disporre delle risorse necessarie e dell’accesso ai trattamenti, non riceve istruzioni sull’esecuzione dei propri compiti, non può essere rimosso o penalizzato per averli svolti e riferisce direttamente al vertice gerarchico.
L’articolo 39 stabilisce i compiti: informare e fornire consulenza al titolare e ai dipendenti, sorvegliare l’osservanza del Regolamento, fornire un parere sulla valutazione d’impatto e sorvegliarne lo svolgimento, cooperare con il Garante e fungere da punto di contatto.
Sono obblighi che discendono dal Regolamento, non prestazioni negoziate in un capitolato. È questa la differenza pratica tra un DPO e un consulente privacy, ed è il motivo per cui i due servizi si contrattualizzano in modo diverso.
Una precisazione italiana che vale la pena fare
In italiano “responsabile del trattamento” e “Responsabile della Protezione dei Dati” si assomigliano al punto da generare errori nei contratti. Sono due cose diverse. Il responsabile del trattamento è il fornitore che tratta dati per conto del titolare ai sensi dell’articolo 28, per esempio un provider cloud. Il Responsabile della Protezione dei Dati è la figura di sorveglianza degli articoli da 37 a 39. Nominare il proprio fornitore come DPO significa chiedergli di sorvegliare sé stesso, ed è esattamente il conflitto che l’articolo 38(6) vieta.
Quando la nomina è obbligatoria
Il test è quello dell’articolo 37(1), applicato in Italia senza estensioni nazionali. Riguarda le attività principali, cioè i trattamenti inseparabili da ciò che vendete, non la gestione del personale che ogni azienda svolge.
Autorità o organismo pubblico. Sempre, a prescindere dalla dimensione, salvo le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali.
Monitoraggio regolare e sistematico su larga scala. È il caso in cui rientra la maggior parte delle aziende tecnologiche: profilazione, pubblicità comportamentale, tracciamento della posizione, scoring antifrode, dispositivi connessi e analytics di prodotto che seguono un utente identificato nel tempo. Il Regolamento non fissa soglie numeriche: la larga scala si valuta sul numero di interessati, sul volume e sulla varietà dei dati, sulla durata e sull’estensione geografica.
Categorie particolari di dati o dati giudiziari su larga scala. Dati sanitari, biometrici usati per identificare una persona, genetici, e il resto dell’elenco dell’articolo 9, oltre ai dati relativi a condanne penali e reati dell’articolo 10.
Esiste poi la designazione volontaria, che in Italia è più frequente di quanto si pensi. La chiedono i clienti enterprise nei questionari di sicurezza, la chiedono gli investitori in fase di due diligence e la chiedono le compagnie assicurative. Una designazione volontaria, però, comporta gli stessi obblighi degli articoli 38 e 39: è un impegno, non un’etichetta.
Che cosa facciamo
- Designazione formale del DPO, comunicazione dei dati di contatto al Garante e inserimento nell’informativa ai sensi dell’articolo 13.
- Registro delle attività di trattamento ai sensi dell’articolo 30, costruito e mantenuto aggiornato. È il primo documento che un’autorità chiede, ed è quello che quasi nessuno riesce a produrre su richiesta. Il servizio dedicato è descritto in records of processing services.
- Valutazioni d’impatto dove l’articolo 35 le richiede, con la decisione documentata anche quando non servono. Si veda DPIA services.
- Fornitori e trasferimenti. Revisione degli accordi ex articolo 28, clausole contrattuali tipo, valutazioni sui trasferimenti extra UE e aggiornamento dell’elenco dei sub-responsabili.
- Diritti degli interessati. Gestione di accesso, cancellazione, portabilità e opposizione entro il termine di un mese, con la proroga documentata quando si applica.
- Violazioni dei dati. Valutazione entro 72 ore ai sensi dell’articolo 33, decisione sulla notifica e verbale in entrambi i casi.
- Formazione per i team di sviluppo, vendita e assistenza, perché chi genera il rischio raramente coincide con chi legge le policy.
- Rapporti con il Garante, come punto di contatto per istruttorie, richieste e reclami.
- Reporting periodico al vertice, che è quanto l’articolo 38(3) presuppone.
Per le aziende che sviluppano o utilizzano sistemi di intelligenza artificiale, il perimetro si estende al Regolamento europeo sull’IA: il servizio dedicato è EU AI Act compliance services.
Come funziona
Prima settimana. Call di inquadramento e questionario sui trattamenti, i sistemi, i trasferimenti e gli impegni presi con i clienti. Alla fine vi diciamo se la designazione è obbligatoria o volontaria, e lo diciamo chiaramente in entrambi i casi.
Seconda settimana. Contratto firmato, DPO designato, comunicazione al Garante inviata, dati di contatto pubblicati nell’informativa. Da qui in avanti potete rispondere ai questionari dei clienti senza giri di parole.
Primo mese. Analisi delle lacune rispetto agli obblighi che vi riguardano davvero, piano di rimedio con le priorità, avvio del registro dei trattamenti. Ne esce un documento che potete consegnare a un cliente, non un punteggio in una dashboard.
A regime. Ore di consulenza programmate, gestione di richieste e violazioni quando si presentano, reporting trimestrale, revisione annuale del programma. Sempre con la stessa persona designata.
Da voi servono tre cose: un referente interno, l’accesso alle persone che sanno davvero come si muovono i dati, e qualcuno che possa approvare gli interventi. Le aziende che le mettono a disposizione hanno un programma funzionante entro un trimestre.
Quanto costa un DPO esterno
Piani con DPO designato, fatturazione annuale in euro:
- DPO Foundation, a partire da €1.000 al mese. Per un’azienda con un prodotto definito e un perimetro di trattamento gestibile.
- DPO Partner, a partire da €2.500 al mese. Per aziende con più prodotti, trasferimenti internazionali o una clientela enterprise che pesa sulle risposte in materia di privacy.
- DPO Complete, a partire da €4.500 al mese. Per programmi complessi o multi-giurisdizione.
- Enterprise, su misura.
Privacy Advisory, a partire da €600 al mese, copre la consulenza senza designazione formale, per chi un DPO ce l’ha già o non è ancora obbligato ad averlo.
Il confronto con l’assunzione interna e le fasce praticate dalle altre tipologie di fornitore sono in outsourced DPO cost guide. Il confronto tra tipologie di fornitore in italiano è nella pagina collegata qui sotto.
Perché Engage Compliance
Lavorate direttamente con un professionista senior, ed è la stessa persona per tutta la durata dell’incarico. Il vostro DPO è un esperto, mai un passaggio di consegne a una figura junior.
Siamo stabiliti nell’Unione europea, ad Amsterdam, il che conta quando la designazione ai sensi dell’articolo 37 deve reggere davanti a un’autorità di controllo. Il DPO designato è supportato da una rete di specialisti per le questioni transfrontaliere, settoriali e tecniche che escono dal perimetro di una singola persona. Ogni incarico è coperto da assicurazione per responsabilità professionale e rischi cyber.
Lavoriamo con aziende SaaS, fintech, healthtech, IA, e-commerce, HR tech e marketplace, dalla fase pre-seed all’enterprise. Quando gli obblighi vanno oltre il GDPR, verso il Regno Unito, gli Stati Uniti o l’Asia, il perimetro completo è coperto da global privacy compliance con un unico interlocutore.
Fonti e riferimenti
- Regolamento (UE) 2016/679, articoli da 37 a 39, EUR-Lex
- Il Responsabile della Protezione dei Dati, Garante per la protezione dei dati personali