In breve: il costo di un adeguamento al GDPR varia con il numero di trattamenti, la natura dei dati e il punto di partenza dell'organizzazione, e per questo le proposte che si trovano sul mercato sono tanto diverse tra loro. Esistono però voci ricorrenti e criteri verificabili che permettono di capire se un preventivo è coerente con quello che riceverai. Qui trovi come si compone il compenso, cosa dovrebbe comprendere un progetto serio e i compensi di partenza che pubblichiamo.
Perché le cifre che circolano sono così diverse
Chi cerca un preventivo privacy si imbatte in proposte che vanno da poche centinaia di euro a decine di migliaia. A spiegare questa forbice è l'oggetto della prestazione, prima ancora del margine del professionista. Un pacchetto a trecento euro consiste quasi sempre in documenti compilati da un modello, senza che nessuno abbia guardato come l'organizzazione tratta davvero i dati, mentre un progetto a cinque cifre riguarda di regola gruppi societari, strutture sanitarie o piattaforme con decine di flussi e di fornitori.
Chi deve decidere ha quindi un problema di identificazione prima che di prezzo: capire quale dei due oggetti gli serve, e questo dipende dalle variabili che determinano la quantità di lavoro.
Le variabili che determinano il compenso
La prima è il numero e il tipo di trattamenti. Un'azienda che gestisce dipendenti, clienti e fornitori ha una struttura lineare. Quando compaiono profilazione, videosorveglianza, dati sanitari, geolocalizzazione o decisioni automatizzate, ogni trattamento aggiunge valutazioni, informative e spesso una valutazione d'impatto.
La seconda è la natura dei dati. Le categorie particolari previste dall'articolo 9 del GDPR, tra cui i dati sanitari e biometrici, comportano un regime più stringente: base giuridica più difficile da individuare, misure di sicurezza più robuste, soglie più basse per la valutazione d'impatto.
La terza è la catena di fornitura. Ogni fornitore che tratta dati per conto dell'organizzazione va qualificato, contrattualizzato con un accordo conforme all'articolo 28 e verificato quanto a trasferimenti extra europei. Dieci fornitori informatici sono dieci analisi, non una.
La quarta è il punto di partenza. Chi ha documentazione esistente, anche imperfetta, richiede una revisione; chi parte senza nulla richiede una costruzione. Vale la pena aggiungere che una documentazione vecchia e disallineata dai processi reali richiede spesso più tempo di un foglio bianco, perché va prima smontata e verificata voce per voce.
La quinta è il settore. Sanità, ricerca, scuola, pubblica amministrazione e servizi finanziari portano con sé regole ulteriori rispetto al GDPR, dal Codice privacy ai provvedimenti generali del Garante fino alle discipline di settore.
Cosa dovrebbe comprendere un adeguamento
La consegna di informative e nomine, da sola, lascia l'organizzazione nella stessa posizione in cui si trovava prima. Le voci che danno sostanza a un progetto, e che conviene cercare in un preventivo, sono queste.
- Ricognizione dei trattamenti effettivi, condotta parlando con chi lavora, non compilando un modulo
- Registro dei trattamenti del titolare e, dove serve, del responsabile
- Individuazione delle basi giuridiche, con la valutazione di bilanciamento dove si invoca il legittimo interesse
- Informative per le diverse categorie di interessati, non una sola valida per tutti
- Qualificazione dei fornitori e accordi ex articolo 28, con verifica dei trasferimenti extra europei
- Valutazioni d'impatto sui trattamenti che presentano rischi elevati
- Procedura per rispondere agli interessati nei termini di legge
- Procedura di gestione delle violazioni, con i criteri per decidere sulla notifica entro 72 ore
- Istruzioni e nomine per chi tratta i dati all'interno dell'organizzazione
- Formazione del personale, documentata
Dall'elenco restano fuori le misure tecniche, che pure fanno parte dell'adeguamento. La ragione è che spettano a chi governa i sistemi: il legale individua il requisito di sicurezza e ne valuta l'adeguatezza rispetto al rischio, mentre la configurazione dell'infrastruttura appartiene all'area informatica. Quando un preventivo promette entrambe le cose allo stesso prezzo, conviene chiedere chi se ne occupa materialmente e con quali competenze.
I compensi di partenza
Pubblichiamo i compensi di partenza perché chi valuta un preventivo dovrebbe poter fare un confronto prima di una telefonata. Nel listino l'area privacy parte da un controllo documentale a 900 euro, prosegue con la gap analysis GDPR a 2.400 euro e con i pacchetti di adeguamento a 3.500 e 4.800 euro, a seconda della complessità. L'incarico annuale di responsabile della protezione dei dati parte da 6.000 euro l'anno.
Si tratta di compensi di partenza, che salgono con le variabili descritte sopra e vengono definiti prima del conferimento dell'incarico. Il metodo resta lo stesso in ogni caso: il perimetro è scritto e il compenso è noto prima di iniziare.
Tre scenari concreti
Una società di servizi con quindici dipendenti, nessuna profilazione e quattro fornitori informatici si colloca nella fascia di ingresso dell'adeguamento: il lavoro è lineare e si esaurisce in poche settimane.
Una piattaforma digitale che profila gli utenti, usa strumenti di marketing automation e si appoggia a fornitori extra europei richiede valutazioni d'impatto, analisi dei trasferimenti e una revisione contrattuale della filiera. Il compenso si colloca stabilmente sopra la fascia di ingresso.
Un poliambulatorio tratta dati sanitari per definizione, deve gestire il dossier sanitario e gli accessi del personale, ed è tra i soggetti per cui la nomina del responsabile della protezione dei dati è dovuta. Qui il progetto iniziale si accompagna quasi sempre a un presidio continuativo.
Quanto costa non adeguarsi
L'articolo 83 del GDPR prevede due fasce di sanzioni amministrative: fino a dieci milioni di euro o al due per cento del fatturato mondiale annuo per le violazioni degli obblighi del titolare e del responsabile, e fino a venti milioni o al quattro per cento per le violazioni dei principi e dei diritti degli interessati. Si applica l'importo più elevato tra i due.
Per la maggior parte delle imprese, però, il costo concreto arriva prima della sanzione e da un'altra direzione. Arriva dal cliente strutturato che chiede la documentazione privacy prima di firmare, dall'investitore che la cerca in due diligence, dal fornitore che pretende garanzie contrattuali, dalla violazione che va gestita in 72 ore senza avere una procedura. Rifare tutto di corsa, in quei momenti, costa più che farlo con calma prima.
Come leggere un preventivo
- Il perimetro è scritto, con l'elenco di cosa viene consegnato?
- È indicato chi svolge materialmente l'attività e con quali qualifiche?
- Sono previsti colloqui con le funzioni aziendali o solo la compilazione di un questionario?
- Che cosa succede dopo la consegna: è previsto un supporto, e a quali condizioni?
- Il compenso è definito prima dell'incarico o resta legato alle ore effettive?
Quando un preventivo risponde a tutte e cinque, il confronto tra proposte diverse diventa immediato. Quando invece lascia scoperta qualcuna di queste risposte, il prezzo più basso segnala soprattutto che una parte del lavoro è rimasta indefinita.
Se vuoi un inquadramento del tuo caso, scrivici dal modulo: il perimetro e il compenso vengono definiti prima del conferimento dell'incarico.