Perché nessuno pubblica i prezzi (e perché io lo faccio)
Cerca "quanto costa una consulenza GDPR" e troverai decine di pagine che rispondono "dipende". È vero solo a metà: i prezzi variano, ma i range esistono e conoscerli è l'unico modo per capire se un preventivo è serio. Un adeguamento privacy non è un prodotto a scaffale, ma non è nemmeno un preventivo a sorpresa.
Qui trovo utile essere trasparente: sotto ci sono i range con cui lavoro io, cosa comprendono e quali fattori li spostano verso il minimo o il massimo.
I range di prezzo per servizio
| Servizio | Range indicativo | Tipico per |
|---|---|---|
| GDPR audit / gap analysis | € 300 – 1.500 | PMI, studi professionali, e-commerce |
| DPO esterno (canone) | € 90 – 200 / mese | Enti e aziende con nomina obbligatoria |
| DPIA (valutazione d'impatto) | € 400 – 800 | App, marketing, dati sensibili |
| Cookie banner, CMP e policy | € 200 – 400 | Siti web, blog, e-commerce |
| Consulenza AI Act | € 500 – 1.200 | Chi usa chatbot o strumenti IA |
| Retainer continuativo | € 300 – 500 / mese | Aziende in crescita, supporto stabile |
Sono importi orientativi, IVA esclusa, riferiti a organizzazioni italiane di piccole e medie dimensioni. Il dettaglio di cosa comprende ogni servizio è nella pagina Servizi.
Gli importi indicati sono orientativi. Il preventivo definitivo viene sempre definito dopo un primo colloquio conoscitivo gratuito, in base al volume dei dati trattati e alla complessità della pratica.
Le variabili che determinano il prezzo
1. Dimensione dell'organizzazione
Non conta solo il fatturato: contano le persone che trattano dati e il numero di sedi. Uno studio con tre collaboratori ha una mappatura dei trattamenti che si chiude in poche ore; un'azienda con 60 dipendenti, magazzino, e-commerce e rete di agenti richiede interviste a più reparti.
2. Volume e tipologia di dati
Trattare dati "comuni" di clienti B2B è diverso dal trattare dati particolari (art. 9 GDPR: salute, biometrici, convinzioni) o dati di minori. Le categorie particolari alzano il livello di analisi richiesto, spesso rendono necessaria una DPIA e allungano i tempi.
3. Complessità del settore
Sanità, scuole, HR e recupero crediti hanno normative di settore, linee guida del Garante e prassi specifiche che si sommano al GDPR. Più il settore è regolato, più il lavoro documentale cresce.
4. Numero di fornitori e strumenti digitali
Ogni gestionale, CRM, servizio cloud o piattaforma di email marketing è un responsabile del trattamento da censire e da vincolare con un accordo ex art. 28. Venti fornitori significano venti verifiche, non una.
5. Punto di partenza
Chi ha già informative, registro dei trattamenti e nomine — anche imperfetti — paga meno di chi parte da zero o, peggio, da documenti scaricati da internet e mai adattati. Rimettere in ordine un impianto sbagliato costa più che aggiornarne uno esistente.
6. Trasferimenti extra-UE
L'uso di strumenti con server o supporto fuori dallo Spazio economico europeo richiede la verifica delle garanzie (clausole contrattuali standard, valutazioni di impatto sui trasferimenti): un'attività che può incidere sensibilmente sul preventivo.
Come si struttura un preventivo serio
- Perimetro esplicito: quali sedi, quali trattamenti, quali siti web sono inclusi.
- Output elencati: registro dei trattamenti, informative, nomine, accordi con i responsabili, piano di adeguamento.
- Tempi: data di consegna e numero di incontri previsti.
- Cosa resta fuori: formazione del personale, interventi IT, canoni di software o CMP.
- Assistenza post-consegna: se e per quanto tempo è compresa.
Una tantum o canone mensile?
L'adeguamento iniziale è un progetto: si paga una volta. Il mantenimento è un'attività continua — nuovi fornitori, nuove finalità, aggiornamenti normativi, richieste degli interessati. Per questo esistono due formule:
- Progetto una tantum — ideale se hai bisogno di partire in regola e gestisci internamente il seguito.
- Canone mensile (DPO esterno o retainer) — ideale se non hai una figura interna dedicata: costa meno di un'assunzione e distribuisce la spesa.
Quanto costa non essere conforme
Il GDPR (art. 83) prevede sanzioni fino a 20 milioni di euro o il 4% del fatturato mondiale annuo. Nella pratica italiana le sanzioni verso PMI e professionisti si collocano su ordini di grandezza molto più bassi, ma spesso superiori al costo di un adeguamento completo — a cui si aggiungono richieste di risarcimento, blocco dei trattamenti e danno reputazionale.
Come ottengo un preventivo per il mio caso
Il primo colloquio di 30 minuti è gratuito: mi racconti che dati tratti, con quali strumenti e da dove parti, e ti dico dove ti collochi nei range sopra — senza obbligo di procedere. Se vuoi arrivare preparato, puoi usare la checklist GDPR gratuita per capire cosa hai già in ordine.