Chi ha bisogno di un Responsabile della Protezione dei Dati per l’UE? Fornitori & Prezzi 2026

• Obbligo RPD: enti pubblici o monitoraggio esteso/dati speciali (art. 37 GDPR)
• Rappresentante UE secondo art. 27 GDPR per aziende extra-UE con clienti o utenti UE
• Sanzioni fino a 10 milioni di € o 2% del fatturato mondiale in caso di violazione (art. 83 GDPR)
• REP27: rappresentante UE per tutto lo SEE da 290 €/anno, con certificato e altro
• Ampiezza dei servizi e costi aggiuntivi variano molto tra fornitori
• Non tutti hanno bisogno di un RPD o rappresentante UE – vedi matrice decisionale

Aggiornato 19 ottobre 2026 · 6 fonti verificate

Fornitori a confronto

Prezzi pubblicati sul sito di ciascun fornitore al 19 ottobre 2026, IVA esclusa salvo indicazione. Ogni riga rimanda alla sua fonte.

Cosa richiede il GDPR? (Articoli 27, 37, 83)

Il Regolamento Generale sulla Protezione dei Dati (GDPR) distingue due ruoli chiave: il Responsabile della Protezione dei Dati (RPD) e il rappresentante UE. Entrambi gli obblighi riguardano aziende e situazioni diverse:

• Responsabile della Protezione dei Dati (RPD, art. 37-39): È obbligatorio per enti pubblici e aziende la cui attività principale prevede un monitoraggio sistematico esteso di persone o un trattamento su larga scala di categorie particolari di dati personali (es. dati sanitari, opinioni politiche). I compiti dell’RPD sono definiti nell’art. 39 GDPR e includono consulenza, controllo del rispetto della normativa, punto di contatto per autorità e interessati e supporto nelle valutazioni d’impatto sulla privacy.
• Rappresentante UE (art. 27): Le aziende fuori dall’UE che offrono beni o servizi a persone nell’UE o monitorano il comportamento di cittadini UE (es. tracking, analytics) devono nominare per iscritto un rappresentante UE. Il rappresentante è il punto di contatto per le autorità di controllo e gli interessati e mantiene il registro delle attività di trattamento (art. 30), se previsto dal fornitore.

L’obbligo di nominare un rappresentante UE non si applica se il trattamento è occasionale, non coinvolge dati particolari e non comporta rischi per i diritti e le libertà degli interessati. La nomina di un RPD non è necessaria per molte piccole imprese, a meno che non vi sia monitoraggio esteso o trattamento di dati particolari.

Sanzioni: La mancata nomina di un rappresentante UE può comportare multe fino a 10 milioni di € o il 2% del fatturato mondiale annuo (art. 83, comma 4 GDPR). L’autorità olandese ha ad esempio multato Locatefamily.com con 525.000 € per assenza di rappresentante UE.

L’obbligo di nominare un RPD è regolato dall’art. 37 GDPR (Fonte), i compiti dall’art. 39 (Fonte) e le sanzioni dall’art. 83 (Fonte).

Come scegliere il fornitore giusto? Criteri decisivi e confronto

La scelta di un rappresentante UE o di un servizio RPD adeguato è fondamentale per la conformità. Le offerte differiscono molto in termini di servizi, tempi di risposta e costi nascosti. Controllate i seguenti aspetti:

• Il fornitore accetta per iscritto i compiti secondo art. 27 GDPR? Un vero mandato deve esplicitamente assumere i compiti e gli obblighi dell’art. 27. Un semplice casella postale o indirizzo non basta.
• Chi gestisce il registro art. 30? Il GDPR richiede che il rappresentante metta a disposizione il registro delle attività di trattamento su richiesta. Non tutti i fornitori lo fanno.
• Tempi di risposta alle richieste: Quanto velocemente vengono inoltrate le richieste di autorità o interessati? Una promessa di "best-efforts" senza scadenza è rischiosa. REP27 garantisce l’inoltro entro 2 giorni lavorativi (standard: stesso giorno per richieste da autorità).
• Lingue: Le richieste sono gestite in più lingue UE? REP27 offre un desk in 8 lingue, molte offerte base solo in inglese.
• Costi aggiuntivi: Tutti i servizi sono inclusi nel prezzo o ci sono costi per richiesta, lingua o per il mantenimento del registro?

Confronto diretto:

Richiedete sempre la lettera di nomina e verificate che i compiti dell’art. 27 siano esplicitamente assunti. Fatevi confermare per iscritto l’ambito dei servizi e la struttura dei costi prima di sottoscrivere.

Cosa è incluso nel prezzo? Dove si nascondono i costi nascosti?

I modelli di prezzo per rappresentanti UE e servizi RPD variano molto. Molti fornitori attraggono con prezzi base bassi ma poi addebitano costi extra per ogni richiesta di interessati o autorità (tipicamente €25–90 per richiesta). Anche il mantenimento del registro art. 30 spesso ha un costo aggiuntivo (€100–400/anno). Con REP27, dal piano Standard in poi tutte le richieste sono incluse, il registro è gestito e non ci sono costi nascosti. Controllate in particolare:

• Se il prezzo è per richiesta o copre richieste illimitate
• Se il registro art. 30 è incluso
• Se il rinnovo costa di più (con REP27 il prezzo scende l’anno successivo)
• Se le lingue aggiuntive hanno costi extra

Alcuni fornitori offrono solo un indirizzo postale senza assumersi i compiti legali: non è conforme e può portare a sanzioni. La tabella seguente mostra le trappole tipiche:

Leggete sempre le condizioni e richiedete un elenco completo dei servizi prima di impegnarvi.

Come si effettua la nomina? Guida passo-passo e matrice decisionale

La nomina di un rappresentante UE o RPD presso fornitori affidabili segue un processo chiaro. Così si garantisce il rispetto delle norme:

1. Verificate se avete bisogno di un rappresentante UE o RPD (vedi matrice sotto).
2. Confrontate i fornitori e richiedete la lettera di nomina per verifica.
3. Compilate il modulo di onboarding (dati azienda, trattamento dati, contatti).
4. Ricevete la controfirma e il certificato (con REP27 entro 24 ore).
5. Pubblicate i dati di contatto del rappresentante nella vostra informativa privacy (art. 13/14 GDPR).
6. Mantenete il registro art. 30 disponibile (o fatelo gestire dal fornitore).
7. Se necessario: effettuate il controllo gratuito per la rappresentanza in Svizzera (REP27).

Matrice decisionale:

Questa matrice aiuta a evitare investimenti errati e a scegliere la soluzione di compliance giusta.

Checklist per oggi:

1. Verificate se rientrate negli articoli 27 o 37 GDPR.
2. Confrontate almeno tre fornitori (servizi, prezzo, costi aggiuntivi).
3. Richiedete la lettera di nomina e verificate l’assunzione dei compiti.
4. Chiedete chi gestisce il registro art. 30 e i tempi di risposta.
5. Nominate il servizio e documentate la nomina.
6. Aggiornate la privacy policy e i processi interni.

Cosa spesso i fornitori non dicono: esclusioni, recesso, responsabilità

Molti fornitori omettono dettagli importanti che possono essere decisivi in caso di problemi:

• Nessuna consulenza legale: Un rappresentante UE non può offrire consulenza legale nell’ambito della rappresentanza. Per questioni legali serve un avvocato o un RPD separato.
• Responsabilità rimane al titolare: Secondo art. 27(5) GDPR la responsabilità per violazioni della privacy resta sempre al titolare o responsabile del trattamento. Il rappresentante è solo un punto di contatto e non risponde per errori del titolare.
• Termini di recesso e rinnovo automatico: Le condizioni variano. Con REP27 è possibile recedere con 30 giorni di preavviso prima del rinnovo. Verificate come vengono gestite la consegna di richieste e registri in caso di cambio fornitore.
• Costi per singola richiesta: Molti fornitori addebitano costi aggiuntivi per ogni richiesta di interessati o autorità, nascosti nelle condizioni. Con REP27 Standard e Multi tutte le richieste sono incluse.
• Lingue e desk: Un servizio pubblicizzato a livello UE spesso è disponibile solo in inglese. REP27 offre un desk in 8 lingue, facilitando il rispetto degli obblighi.
• Nessuna assunzione di responsabilità per prodotti speciali: Il ruolo di responsabile GPSR o rappresentante autorizzato CE è incluso solo nel piano Multi di REP27, non nel base.

Leggete attentamente termini e lettera di nomina. Verificate che il fornitore garantisca la consegna dei documenti in caso di cambio.

Tre scenari realistici: come adempiere correttamente all’obbligo

1. Fornitore SaaS USA con clienti UE: Un’azienda software statunitense offre una soluzione cloud a clienti UE. Non tratta dati particolari ma monitora attività utenti (es. login, statistiche d’uso). Risultato: obbligo di rappresentante UE ai sensi dell’art. 27 GDPR. Un RPD serve solo se vi è monitoraggio esteso o dati speciali. Soluzione più economica e conforme: REP27 Standard – tutte le richieste incluse, registro gestito, desk in 8 lingue.
2. Venditore cinese su Amazon: Un venditore cinese vende su Amazon.de a clienti UE. Necessita un rappresentante UE (art. 27 GDPR) e eventualmente un responsabile GPSR per la conformità prodotto. RPD non obbligatorio se non vi è monitoraggio esteso o dati particolari. Soluzione completa: REP27 Multi – rappresentante UE e responsabile GPSR in un unico contratto, un referente, un certificato.
3. Shop online UK senza clienti UE: Un negozio online britannico vende solo a clienti nel Regno Unito e non tratta dati di cittadini UE. Risultato: nessun obbligo di nominare rappresentante UE o RPD. L’obbligo sorge solo in caso di targeting o consegna a clienti UE.

Questi scenari mostrano l’importanza di valutare il proprio modello di business. Chi si rivolge a clienti UE o ne monitora il comportamento deve nominare un rappresentante UE, indipendentemente dalla dimensione aziendale.