Cosa determina il costo
Cinque variabili spiegano quasi tutta la differenza tra un incarico e l'altro.
| Fattore | Perché incide |
|---|
| Natura dei dati | Dati sanitari, giudiziari o biometrici richiedono misure e valutazioni rafforzate |
| Numero di trattamenti | Ogni trattamento va mappato, documentato e mantenuto aggiornato |
| Dimensione e sedi | Più unità locali significano più interlocutori, più formazione, più audit |
| Stato di partenza | Ricostruire da zero costa più che mantenere una documentazione già ordinata |
| Settore | Sanità, PA e scuola hanno adempimenti aggiuntivi e vigilanza più attiva |
A questi si aggiunge oggi un sesto fattore, che due anni fa non esisteva: la presenza di sistemi di intelligenza artificiale. Se l'organizzazione ne utilizza, agli adempimenti GDPR si affiancano quelli del Regolamento (UE) 2024/1689, a partire dall'obbligo di alfabetizzazione del personale già in vigore. Averli seguiti dalla stessa figura evita di duplicare il lavoro di mappatura.
Ordini di grandezza indicativi
Sono valori di riferimento del mercato italiano nel 2026, utili per capire se un preventivo è fuori scala. Non sostituiscono una valutazione sul caso concreto: due organizzazioni della stessa dimensione possono richiedere impegni molto diversi.
| Organizzazione | Riferimento indicativo |
|---|
| Piccoli Comuni, fino a 5.000 abitanti | 1.500 – 2.500 €/anno |
| Comuni medi, 5.000 – 20.000 abitanti | 2.500 – 4.500 €/anno |
| PMI fino a 50 dipendenti | 2.000 – 3.500 €/anno |
| Aziende medie, 50 – 200 dipendenti | 3.500 – 6.000 €/anno |
| Strutture sanitarie | 3.000 – 10.000 €/anno |
Le strutture sanitarie hanno la forbice più ampia perché la variabile decisiva non è il numero di dipendenti ma la complessità dei trattamenti: un poliambulatorio e un'azienda ospedaliera stanno agli estremi opposti della stessa riga. Vedi anche la pagina del servizio DPO esterno.
Cosa deve includere un incarico
Un incarico DPO che copre soltanto la nomina formale e la comunicazione al Garante è un adempimento di facciata. Le attività che rendono il ruolo effettivo sono queste:
- Analisi iniziale dei trattamenti e della documentazione esistente
- Sorveglianza continuativa, non una verifica annuale
- Audit periodici con relazione scritta
- Aggiornamento di registro, informative e nomine quando cambiano i trattamenti
- Gestione dei data breach, inclusa la valutazione entro le 72 ore
- Pareri sulle valutazioni d'impatto e sorveglianza sul loro svolgimento
- Formazione del personale con evidenza documentale
- Risposta alle richieste degli interessati che si rivolgono al DPO
- Interlocuzione con il Garante, anche in sede ispettiva
- Supporto operativo su nuovi trattamenti, fornitori e strumenti
Le voci che spesso restano fuori
Da chiarire prima di firmare
Dove si nasconde la differenza di prezzo
Le domande da fare a chi propone la tariffa più bassa
- La gestione di un data breach è compresa o si fattura a parte? È il momento in cui il DPO serve davvero, e le ore richieste non sono prevedibili.
- La formazione del personale è inclusa, e per quante persone?
- Le DPIA sono comprese o quotate separatamente?
- Quante ore di supporto sono previste, e cosa succede se si superano?
- L'assistenza in caso di ispezione rientra nel canone?
- Chi svolge materialmente il lavoro: il professionista nominato o un collaboratore?
L'ultima domanda è quella che discrimina di più. Nelle strutture organizzate su volumi, il DPO nominato è una firma e l'attività è svolta da personale junior a rotazione. Non è illegittimo, ma spiega la differenza di tariffa e si sente nella qualità dei pareri.
Il confronto con il DPO interno
Il paragone puramente economico è spesso fatto male, perché si confronta un canone annuo con uno stipendio parziale.
Un DPO interno comporta la retribuzione della quota di tempo dedicata, la formazione continua necessaria a mantenere la competenza specialistica richiesta dall'art. 37, il tempo sottratto alle altre mansioni e — soprattutto — il rischio di conflitto di interessi se la persona ricopre ruoli operativi sui dati. Quel rischio ha un costo potenziale che non compare in nessun preventivo: l'autorità belga ha sanzionato con 50.000 euro un caso di questo tipo.
Il confronto completo, con i criteri per decidere, è in DPO interno o esterno: pro, contro e costi.
Il termine di paragone che conta
Il costo del DPO va letto accanto a quello dell'inadempimento. Le sanzioni del GDPR arrivano a 20 milioni di euro o al 4% del fatturato mondiale annuo, e le violazioni più frequentemente sanzionate in Italia riguardano proprio ciò che il DPO sorveglia: informative inadeguate, basi giuridiche errate, mancata risposta agli interessati, misure di sicurezza insufficienti.
Va aggiunto che per gli enti pubblici la nomina è obbligatoria senza eccezioni, e il Garante ha adottato provvedimenti su nomine mancate o meramente formali. Per quelle organizzazioni la domanda non è quanto costa, ma quale servizio scegliere.
Un'ultima osservazione, che riguarda soprattutto le PMI: la parte più onerosa di un percorso di conformità è quasi sempre il primo anno, quando la documentazione va costruita. Dal secondo l'attività diventa manutenzione, e il costo tende a stabilizzarsi. Chi confronta preventivi guardando solo al primo anno legge male la spesa complessiva.
Domande frequenti
Quanto costa un DPO esterno?
Non esiste una tariffa di legge. Il costo dipende dal numero e dalla natura dei trattamenti, dalla dimensione dell'organizzazione, dal settore e dallo stato di partenza della documentazione. Un'organizzazione che tratta dati sanitari o opera su più sedi richiede un impegno sensibilmente maggiore di una PMI con trattamenti standard.
Il DPO esterno si paga a canone annuo o a ore?
La forma prevalente è il canone annuo, coerente con la natura continuativa del ruolo: il DPO deve sorvegliare l'osservanza nel tempo, non svolgere una verifica isolata. Alcune attività straordinarie, come la gestione di un data breach complesso o una DPIA articolata, possono essere quotate a parte: è bene chiarirlo prima di firmare.
Perché due preventivi per lo stesso servizio differiscono molto?
Quasi sempre perché includono attività diverse. Le voci che fanno la differenza sono la gestione dei data breach, la formazione del personale, le valutazioni d'impatto, l'assistenza in caso di ispezione e il monte ore di supporto. Incide anche chi svolge materialmente il lavoro: il professionista nominato oppure collaboratori junior.
Conviene di più un DPO interno o esterno?
Dipende dalla dimensione e dalla struttura. Per la maggior parte delle PMI e degli enti di piccole dimensioni l'esterno costa meno di una risorsa interna adeguatamente formata, ed elimina alla radice il rischio di conflitto di interessi. Nelle organizzazioni grandi, con una funzione privacy strutturata, l'interno può essere sostenibile.
Il primo anno costa di più?
In genere sì, perché comprende la costruzione della documentazione: mappatura dei trattamenti, registro, informative, nomine, procedure. Dal secondo anno l'attività diventa manutenzione e supervisione, con un impegno più contenuto e prevedibile.
Per un ente pubblico quanto costa il DPO?
Per gli enti pubblici la nomina è obbligatoria senza eccezioni, e la scelta avviene di norma tramite procedura di affidamento. Il costo dipende dalla dimensione dell'ente, dai servizi erogati ai cittadini e dai trattamenti coinvolti. Un piccolo comune ha esigenze diverse da un'azienda sanitaria.
Approfondimenti: cosa fa il DPO · requisiti del DPO · quanto costa adeguarsi al GDPR · servizio DPO esterno.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali e pubbliche amministrazioni in tutta Italia. Chi sono.
Vuoi un preventivo sul tuo caso?
La prima call di valutazione è gratuita: guardiamo i trattamenti reali e ricevi un preventivo scritto, con il dettaglio di cosa è incluso.
Studio Cravero Consulting