DPO a meno di 24 euro l’ora? Se domandare è lecito, rifiutare è doveroso.

Sono trascorsi almeno 6 “anni della privacy” a partire dal 2018 in cui si è parlato della figura del DPO. Probabilmente non in modo corretto, nonostante eventi più o meno altisonanti e per lo più autocelebrativi.

Lo dimostrano alcune gare d’appalto, fra cui una recentemente caricata sul MEPA per un servizio di DPO per un Comune, che fa venire in mente epoche romane dei celeberrimi Magazzini MAS per l’approccio a favore del low cost.

La richiesta si apre presentando la misura del compenso proposto per l’incarico triennale:

il quale ovviamente può essere soggetto a ribassi, per un importo di 15 mila euro che include tutti i costi per l’esecuzione del servizio.

Ovviamente il servizio deve prevedere lo svolgimento dei compiti propri del Data Protection Officer indicati dal GDPR, dettagliati in modo puntuale come di seguito:

• informare e consigliare il titolare o il responsabile del trattamento, nonché i dipendenti, in merito agli obblighi derivanti dal Regolamento europeo e da altre disposizioni dell’Unione relative alla protezione dei dati;
• sorvegliare l’osservanza del Regolamento europeo, delle altre disposizioni dell’Unione relative alla protezione dei dati nonché delle politiche del titolare in materia di protezione dei dati personali, compresi l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
• fornire, se richiesto, pareri in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell’art. 35 del Regolamento;
• cooperare con il Garante per la protezione dei dati personali;
• fungere da punto di contatto per l’Autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all’art. 36 ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione;
• guidare e orientare il titolare del trattamento dati nel caso di violazione dei dati, analizzando il rischio e assistendolo nella gestione dell’evento (data breach);eseguire i propri compiti considerando debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento stesso;
• riferire al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.

Cosa richiede l’incarico.

Nell’appalto, però, viene richiesta qualcosa di più. O per meglio dire, viene precisato il livello di servizio richiesto nelle modalità di esecuzione:

andando così a definire un impegno minimo di presenze per il professionista, che prescinde dalle attività svolte in backoffice. Inoltre, nel prevedere la redazione di pareri senza alcun limite massimo, possiamo dire che ci si trova nel campo dell’ineffabile. Ma si torna presto alla dimensione più materica facendo i conti della serva: si richiede un’attività in presenza di almeno 4 ore x 52 settimane l’anno x 3 anni = 624 ore. E dunque il compenso orario è di ben 24 euro dovendo considerare solo le presenze. Peccato che poi si debbano considerare anche le ulteriori ore da impiegare per la redazione di pareri e per lo svolgimento dei compiti propri del DPO.

E quindi?

Si potrebbe dire che il Comune non abbia fatto bene ma benissimo ad aver formulato una proposta di incarico se qualcuno la accetta e può garantire un livello e una qualità di servizio tali da garantire quanto richiesto all’interno dell’appalto, ovverosia:

• conoscenza approfondita del regolamento europeo n. 679/2016 e della prassi in materia di privacy;
• conoscenza dello specifico settore di attività e dell’organizzazione del titolare;
• capacità di promuovere una cultura della protezione dei dati all’interno dell’organizzazione del titolare.

Si può però dubitare che un professionista con qualità professionali e competenze possa accettare di svolgere un incarico con una tariffa oraria così bassa.

Eppure, siamo certi che non mancheranno offerte.

Nel migliore dei mondi, potremmo declinare una nota canzone di De André immaginando che c’è chi il DPO lo fa per noia, chi se lo sceglie per professione e che qualche affidatario lo fa per passione.

Ma questo non è affatto il migliore dei mondi. E dal punto di vista della data protection e della cultura della privacy, si attesta decisamente ad un livello che possiamo eufemisticamente indicare come sub ottimale. Dopotutto, sono i fatti a parlare. E sono sempre meno confortanti.

L’appello è sempre quello: mandare deserte gare con compensi inadeguati.

Stefano Gazzella

Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Aree di competenza: Privacy, GDPR, Data Protection Officer, Legal tech, Diritti, Meme

Visita il sito web dell'autore