DPO a meno di 24 euro l’ora? Se domandare è lecito, rifiutare è doveroso.

Stefano Gazzella : 26 Luglio 2024 12:25

Sono trascorsi almeno 6 “anni della privacy” a partire dal 2018 in cui si è parlato della figura del DPO. Probabilmente non in modo corretto, nonostante eventi più o meno altisonanti e per lo più autocelebrativi.

Lo dimostrano alcune gare d’appalto, fra cui una recentemente caricata sul MEPA per un servizio di DPO per un Comune, che fa venire in mente epoche romane dei celeberrimi Magazzini MAS per l’approccio a favore del low cost.

La richiesta si apre presentando la misura del compenso proposto per l’incarico triennale:

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

il quale ovviamente può essere soggetto a ribassi, per un importo di 15 mila euro che include tutti i costi per l’esecuzione del servizio.

Ovviamente il servizio deve prevedere lo svolgimento dei compiti propri del Data Protection Officer indicati dal GDPR, dettagliati in modo puntuale come di seguito:

• informare e consigliare il titolare o il responsabile del trattamento, nonché i dipendenti, in merito agli obblighi derivanti dal Regolamento europeo e da altre disposizioni dell’Unione relative alla protezione dei dati;
• sorvegliare l’osservanza del Regolamento europeo, delle altre disposizioni dell’Unione relative alla protezione dei dati nonché delle politiche del titolare in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• fornire, se richiesto, pareri in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’art. 35 del Regolamento;
• cooperare con il Garante per la protezione dei dati personali;
• fungere da punto di contatto per l’Autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’art. 36 ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione;
• guidare e orientare il titolare del trattamento dati nel caso di violazione dei dati, analizzando il rischio e assistendolo nella gestione dell’evento (data breach);eseguire i propri compiti considerando debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento stesso;
• riferire al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.

Cosa richiede l’incarico.

Nell’appalto, però, viene richiesta qualcosa di più. O per meglio dire, viene precisato il livello di servizio richiesto nelle modalità di esecuzione:

andando così a definire un impegno minimo di presenze per il professionista, che prescinde dalle attività svolte in backoffice. Inoltre, nel prevedere la redazione di pareri senza alcun limite massimo, possiamo dire che ci si trova nel campo dell’ineffabile. Ma si torna presto alla dimensione più materica facendo i conti della serva: si richiede un’attività in presenza di almeno 4 ore x 52 settimane l’anno x 3 anni = 624 ore. E dunque il compenso orario è di ben 24 euro dovendo considerare solo le presenze. Peccato che poi si debbano considerare anche le ulteriori ore da impiegare per la redazione di pareri e per lo svolgimento dei compiti propri del DPO.

E quindi?

Si potrebbe dire che il Comune non abbia fatto bene ma benissimo ad aver formulato una proposta di incarico se qualcuno la accetta e può garantire un livello e una qualità di servizio tali da garantire quanto richiesto all’interno dell’appalto, ovverosia:

• conoscenza approfondita del regolamento europeo n. 679/2016 e della prassi in materia di privacy;
• conoscenza dello specifico settore di attività e dell’organizzazione del titolare;
• capacità di promuovere una cultura della protezione dei dati all’interno dell’organizzazione del titolare.

Si può però dubitare che un professionista con qualità professionali e competenze possa accettare di svolgere un incarico con una tariffa oraria così bassa.

Eppure, siamo certi che non mancheranno offerte.

Nel migliore dei mondi, potremmo declinare una nota canzone di De André immaginando che c’è chi il DPO lo fa per noia, chi se lo sceglie per professione e che qualche affidatario lo fa per passione.

Ma questo non è affatto il migliore dei mondi. E dal punto di vista della data protection e della cultura della privacy, si attesta decisamente ad un livello che possiamo eufemisticamente indicare come sub ottimale. Dopotutto, sono i fatti a parlare. E sono sempre meno confortanti.

L’appello è sempre quello: mandare deserte gare con compensi inadeguati.

Stefano Gazzella
Privacy Officer e Data Protection Officer, specializzato in advisoring legale per la compliance dei processi in ambito ICT Law. Formatore e trainer per la data protection e la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Giornalista pubblicista, fa divulgazione su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore