Chi cerca un DPO esterno trova quattro tipologie di fornitore molto diverse tra loro, con prezzi che vanno da poche centinaia a diverse migliaia di euro al mese. Questa pagina mette a confronto le tipologie, non i singoli nomi, e spiega quale si adatta a quale azienda.
In breve: la scelta non si gioca sul prezzo ma sul rapporto tra ore reali, indipendenza e continuità della persona designata. Un servizio economico che assegna un professionista a cinquanta aziende non è più conveniente di uno strutturato: è semplicemente un altro prodotto.
Engage Compliance è una società di consulenza specializzata in protezione dei dati, con sede nell’Unione europea e tariffe pubblicate. È una delle quattro tipologie descritte qui sotto, e non è quella giusta per tutti.
Punti chiave
- Le tipologie di fornitore sono quattro e differiscono soprattutto per continuità della persona e ore effettive.
- Il prezzo da solo non dice nulla: conta quanto tempo è contrattualmente garantito e chi lo eroga.
- L’articolo 38(6) vieta i conflitti di interesse, il che esclude di designare il proprio fornitore IT o il proprio responsabile del trattamento.
- Il ruolo di DPO e quello di rappresentante ai sensi dell’articolo 27 non dovrebbero stare nella stessa organizzazione.
- Cambiare fornitore richiede una nuova designazione e una nuova comunicazione al Garante.
- Engage Compliance rientra tra i fornitori specializzati: DPO designato con una persona senior stabile, comunicazione al Garante inclusa, e il ruolo di rappresentante ai sensi dell’articolo 27 lasciato a un partner.
Tipologie di fornitore
Il professionista singolo
Un avvocato o un consulente indipendente che accetta la designazione. È la formula più diffusa in Italia tra le PMI.
Funziona bene quando la persona è competente e il volume di lavoro è contenuto. I limiti sono strutturali più che qualitativi: nessuna continuità durante ferie e malattia, nessuna capacità di assorbire un picco come una violazione dei dati che arriva di venerdì sera, e una copertura assicurativa che varia molto da caso a caso.
Lo studio legale
Tratta la designazione come un incarico professionale, spesso a tariffa oraria o con un forfait annuale.
È la scelta migliore quando il lavoro prevalente è contrattuale o contenzioso, e quando l’azienda ha già una funzione privacy interna che gestisce l’operatività. Il punto debole è che il modello a parcella scoraggia le domande brevi, e un DPO che nessuno chiama perché ogni chiamata costa non sta svolgendo il compito dell’articolo 39.
La società di consulenza specializzata
Servizio strutturato ad abbonamento, con una persona designata e un perimetro definito di attività ricorrenti.
È la formula più adatta alle aziende tecnologiche in crescita, perché il lavoro è continuativo per natura: nuovi trattamenti, nuovi fornitori, questionari dei clienti, valutazioni d’impatto. Il rischio da verificare è il ricambio della persona: alcuni fornitori assegnano un senior in fase di vendita e una figura junior in fase di esecuzione.
La piattaforma software con DPO incluso
Un prodotto di gestione della compliance che offre anche la designazione, tipicamente nel piano superiore.
Ha senso quando l’azienda vuole soprattutto uno strumento e la designazione è un elemento accessorio. Il limite è la profondità: il tempo della persona designata è la variabile che si comprime per far tornare i conti del pacchetto, e va quantificata prima della firma, non dopo.
A quale azienda si adatta quale tipologia
| Situazione | Tipologia più adatta |
|---|---|
| PMI non tecnologica, trattamenti stabili, poche novità all’anno | Professionista singolo |
| Lavoro prevalentemente contrattuale o contenzioso, funzione privacy interna già presente | Studio legale |
| Azienda SaaS, fintech o healthtech in crescita, clienti enterprise, trattamenti che cambiano spesso | Società specializzata |
| Azienda che cerca prima di tutto uno strumento di gestione | Piattaforma con DPO incluso |
| Gruppo multinazionale con più giurisdizioni | Società specializzata con copertura internazionale |
La riga che sorprende di più è la prima. Un’azienda con trattamenti stabili non ha bisogno di un abbonamento strutturato, e proporglielo significa venderle capacità che non userà.
Che cosa verificare prima di scegliere
- Chi è la persona designata. Nome e curriculum, non il nome della società. È la persona che finisce nella comunicazione al Garante.
- Quante ore sono incluse e che cosa succede quando si esauriscono. Un numero contrattuale vale più di una promessa di disponibilità.
- Se la persona resta la stessa. Chiedete esplicitamente se dopo l’avvio subentra qualcun altro.
- Come si gestiscono le violazioni. Il termine dell’articolo 33 è di 72 ore e non si ferma nel fine settimana.
- Copertura assicurativa. Responsabilità professionale e rischi cyber, con i massimali indicati.
- Assenza di conflitti. Il fornitore non deve essere anche il vostro responsabile del trattamento per gli stessi dati, né il vostro rappresentante ai sensi dell’articolo 27.
- Trasparenza sui prezzi. Un listino pubblicato è verificabile; un preventivo su richiesta va confrontato con almeno un’altra offerta.
- Stabilimento nell’Unione. Conta quando la designazione deve reggere davanti a un’autorità di controllo e quando servono comunicazioni in tempi brevi.
Quanto costa per tipologia
Fasce indicative di mercato per una PMI tecnologica italiana, al mese:
- Professionista singolo. Dalle poche centinaia di euro, di solito con un monte ore ridotto e attività aggiuntive a consuntivo.
- Studio legale. Forfait annuale oppure tariffa oraria; la spesa reale dipende quasi interamente da quanto lo si consulta.
- Società specializzata. Fasce ad abbonamento, tipicamente da circa €1.000 al mese per una realtà piccola fino a oltre €5.000 al mese per programmi complessi.
- Piattaforma con DPO incluso. Il costo del software più un supplemento per la designazione, con il tempo della persona quasi sempre limitato.
Le nostre tariffe sono pubblicate: DPO Foundation a partire da €1.000 al mese, DPO Partner a partire da €2.500 al mese, DPO Complete a partire da €4.500 al mese, Enterprise su misura, e Privacy Advisory a partire da €600 al mese per la sola consulenza senza designazione. Il metodo di calcolo e il confronto con l’assunzione interna sono in outsourced DPO cost guide.
Dove si colloca Engage Compliance
Siamo una società di consulenza specializzata, la terza tipologia dell’elenco. Stabiliti ad Amsterdam, nell’Unione europea, con presenza anche negli Stati Uniti. La persona designata resta la stessa per tutta la durata dell’incarico, è un profilo senior e non un passaggio di consegne a una figura junior, ed è supportata da una rete di specialisti per le questioni transfrontaliere e tecniche.
Le tariffe sono pubblicate anziché riservate a una trattativa. Ogni incarico è coperto da assicurazione per responsabilità professionale e rischi cyber. Non ricopriamo contemporaneamente il ruolo di DPO e quello di rappresentante ai sensi dell’articolo 27 per lo stesso cliente: quando servono entrambi, il secondo passa a un partner.
Non siamo la scelta giusta per tutti. Un’azienda non tecnologica con trattamenti stabili spesso è servita meglio da un professionista singolo, e chi ha bisogno soprattutto di uno strumento di gestione dovrebbe partire da una piattaforma. La versione internazionale del servizio è descritta in outsourced DPO services, la formula a tempo parziale in fractional DPO, e la variante rivolta a chi ha già una funzione privacy interna in external DPO services.
Fonti e riferimenti
- Regolamento (UE) 2016/679, articoli da 37 a 39, EUR-Lex
- Il Responsabile della Protezione dei Dati, Garante per la protezione dei dati personali