Partita IVA consulente privacy e DPO: ATECO 70.20.09, INPS e requisiti
Per un consulente privacy o DPO esterno il codice ATECO da verificare per primo è 70.20.09 – Consulenza imprenditoriale e altre attività di consulenza gestionale n.c.a. È il codice più coerente quando il servizio consiste soprattutto nell’analisi organizzativa della compliance privacy, predisposizione di procedure, supporto GDPR, audit, formazione e affiancamento al titolare o al responsabile del trattamento.
Non esiste però un “codice ATECO DPO” unico valido in ogni situazione. Un professionista che svolge anche attività legale, cybersecurity, sviluppo software o servizi IT può avere un inquadramento diverso o più codici, in base a ciò che fattura realmente.
Consulente privacy e DPO: quadro rapido
- ATECO da verificare per primo: 70.20.09;
- il codice descrive consulenza imprenditoriale e gestionale non classificata altrove;
- nel forfettario il coefficiente normalmente associato alle attività professionali di questa area è 78%;
- per il professionista senza cassa, l’inquadramento previdenziale tipico è la Gestione Separata INPS;
- nel 2026 l’aliquota complessiva ordinaria per il professionista privo di altra previdenza obbligatoria è 26,07%;
- il DPO esterno può operare con un contratto di servizi;
- non è richiesto un albo professionale specifico per diventare DPO;
- sono però necessarie competenza adeguata, indipendenza e assenza di conflitti di interesse;
- consulente privacy e DPO non sono sempre la stessa attività.
ATECO 70.20.09: quando è coerente
ATECO 2025 ha riorganizzato la precedente area della consulenza gestionale e oggi utilizza il codice 70.20.09 – Consulenza imprenditoriale e altre attività di consulenza gestionale n.c.a..
Per un consulente privacy questo codice è coerente quando l’attività è centrata sull’organizzazione aziendale: mappatura dei trattamenti, procedure interne, governance dei dati, ruoli e responsabilità, valutazione dei processi, supporto documentale e formazione.
Perché non esiste un codice “DPO” dedicato
Il DPO è una funzione prevista dal GDPR, non una categoria ATECO autonoma. Per scegliere il codice fiscale bisogna quindi descrivere la natura concreta del servizio professionale svolto.
Due DPO possono avere percorsi diversi: uno può svolgere prevalentemente consulenza organizzativa e normativa; un altro può integrare forti componenti tecnologiche o di sicurezza informatica. Il codice va scelto sulla prestazione realmente resa, non soltanto sul titolo “DPO”.
Consulente privacy e DPO: qual è la differenza?
Il consulente privacy può aiutare un’impresa a costruire o aggiornare il proprio sistema GDPR senza essere formalmente nominato Responsabile della protezione dei dati.
Il DPO, invece, è una figura disciplinata dagli articoli 37, 38 e 39 del GDPR. Svolge funzioni di supporto, controllo, consulenza, formazione e informazione e opera come punto di contatto con l’Autorità e con gli interessati per le questioni collegate alla protezione dei dati.
Il DPO può essere un professionista esterno?
Sì. Il GDPR consente che il DPO sia interno oppure esterno all’organizzazione. Il Garante chiarisce che, nel caso di DPO esterno, l’incarico può essere svolto sulla base di un contratto di servizi.
Per un libero professionista con Partita IVA questo significa poter offrire il servizio di DPO a imprese, enti e organizzazioni, purché siano rispettati i requisiti di indipendenza, professionalità e assenza di conflitti.
Serve un albo o una certificazione per fare il DPO?
Il Garante specifica che al DPO non sono richieste specifiche attestazioni formali né l’iscrizione a un albo professionale dedicato.
Questo non significa che chiunque possa svolgere correttamente il ruolo senza preparazione. Il DPO deve possedere conoscenza approfondita della normativa e delle prassi in materia di protezione dei dati e un grado di professionalità adeguato alla complessità dell’organizzazione assistita.
Indipendenza e assenza di conflitto di interessi
Il DPO deve poter operare in autonomia e senza ricevere istruzioni su come svolgere i propri compiti. Deve inoltre riferire direttamente ai vertici del titolare o del responsabile del trattamento.
Il Garante richiama espressamente il tema del conflitto di interessi. Un DPO esterno non dovrebbe trovarsi nella posizione di controllare decisioni o sistemi sui quali esercita contemporaneamente un potere decisionale incompatibile con l’indipendenza richiesta.
DPO e fornitore IT: attenzione al conflitto
Un caso delicato è quello del professionista o della società che fornisce anche servizi IT al cliente. Il Garante segnala che l’incarico di DPO esterno può essere incompatibile quando il fornitore si trova, per i servizi resi, in una posizione di conflitto di interessi.
Se progetti o gestisci direttamente sistemi che determinano modalità e strumenti del trattamento dei dati, bisogna verificare con particolare attenzione se puoi essere anche il soggetto chiamato a controllarne la conformità.
Quando il codice potrebbe non essere 70.20.09
Il 70.20.09 non va usato per forza in ogni incarico collegato alla privacy. Alcuni esempi:
- se la prestazione principale è assistenza legale riservata all’attività forense, l’inquadramento segue la professione legale;
- se vendi prevalentemente servizi di cybersecurity o consulenza tecnica IT, può essere più coerente un codice dell’area informatica;
- se sviluppi software privacy o piattaforme SaaS, devi valutare i codici relativi a sviluppo, edizione o servizi informatici;
- se svolgi anche formazione professionale strutturata, può essere necessario verificare una seconda attività.
Posso avere più codici ATECO?
Sì, quando svolgi realmente più attività. Un professionista può avere un codice prevalente per la consulenza privacy e codici secondari se fattura in modo significativo servizi diversi e autonomi.
Non conviene però aggiungere codici soltanto per coprire attività ipotetiche. L’inquadramento deve restare coerente con contratti, fatture, sito professionale e servizi concretamente offerti.
Regime forfettario per consulente privacy e DPO
Il consulente privacy o DPO con Partita IVA può applicare il regime forfettario se rispetta i requisiti previsti dalla legge e non ricade in cause ostative.
Per l’attività professionale ricondotta al 70.20.09 il coefficiente di redditività normalmente utilizzato è del 78%. Il reddito fiscale viene quindi determinato applicando il coefficiente agli incassi, senza dedurre analiticamente i normali costi dell’attività.
Esempio con 40.000 euro di compensi
Se incassi 40.000 euro e applichi un coefficiente di redditività del 78%:
- compensi: 40.000 euro;
- reddito forfettario lordo: 40.000 × 78% = 31.200 euro;
- su questa base vengono determinati i contributi secondo la posizione previdenziale;
- i contributi obbligatori versati e deducibili riducono poi la base dell’imposta sostitutiva;
- l’imposta è al 15% oppure al 5% quando spettano tutte le condizioni previste per una nuova attività.
Gestione Separata INPS nel 2026
Per il consulente privacy che svolge attività professionale senza una cassa previdenziale autonoma, l’iscrizione tipica è alla Gestione Separata INPS.
Nel 2026 l’aliquota complessiva per i liberi professionisti non assicurati presso altra forma di previdenza obbligatoria e non pensionati è del 26,07%. Per pensionati o soggetti già assicurati presso altra forma previdenziale obbligatoria, l’aliquota indicata dall’INPS è del 24%.
Rivalsa INPS del 4%
Il professionista iscritto alla Gestione Separata può prevedere in fattura la rivalsa previdenziale del 4% quando applicabile. La rivalsa non sostituisce i contributi effettivamente dovuti all’INPS e non rappresenta una contribuzione separata versata dal cliente.
DPO per più clienti: si può fare?
Un professionista esterno può svolgere il ruolo di DPO per più organizzazioni, purché riesca a garantire risorse, disponibilità, conoscenza dei contesti e indipendenza necessarie per ciascun incarico.
La sostenibilità del numero di incarichi va valutata concretamente: un portafoglio clienti troppo ampio può rendere difficile garantire presenza, tempestività e conoscenza effettiva dei trattamenti.
Quando è obbligatorio nominare un DPO
Il GDPR prevede l’obbligo di designazione in specifiche situazioni, tra cui autorità e organismi pubblici e soggetti la cui attività principale comporta monitoraggio regolare e sistematico su larga scala oppure trattamento su larga scala di particolari categorie di dati o dati relativi a condanne e reati.
Il consulente esterno deve quindi distinguere tra il servizio di adeguamento privacy generale e l’incarico formale di DPO.
Cosa dovrebbe prevedere il contratto del DPO esterno
- identificazione chiara del professionista incaricato;
- funzioni e compiti previsti dagli articoli 37-39 GDPR;
- modalità di accesso alle informazioni e ai vertici dell’organizzazione;
- risorse e collaborazione messe a disposizione dal cliente;
- tempi di risposta e modalità operative;
- assenza di conflitti di interesse;
- compenso e durata dell’incarico;
- gestione della riservatezza e della documentazione;
- eventuali attività ulteriori rispetto al ruolo di DPO, chiaramente separate.
Come fatturare il servizio
Il compenso può essere definito per singolo progetto, a tariffa oraria oppure con un canone periodico per l’incarico continuativo. È importante che la descrizione in fattura sia coerente con il servizio realmente svolto: consulenza privacy, audit GDPR, formazione, incarico DPO o altra prestazione specifica.
Costi reali nel forfettario
Software, assicurazione professionale, formazione, banche dati, consulenze legali, strumenti informatici e trasferte sono costi economici reali, ma nel forfettario non vengono normalmente dedotti analiticamente dal reddito fiscale.
Per questo, prima di scegliere il regime, conviene verificare se il coefficiente di redditività è coerente con la struttura effettiva dei tuoi costi.
Assicurazione professionale
Una copertura RC professionale può essere utile per un consulente privacy o DPO, soprattutto quando gestisce incarichi complessi o clienti con trattamenti ad alto rischio. Obbligo, massimale e coperture dipendono però dalla situazione professionale e contrattuale concreta.
Errori da evitare
- usare automaticamente 70.20.09 senza descrivere il servizio reale;
- confondere consulente privacy e DPO formale;
- presentarsi come DPO senza verificare indipendenza e conflitti;
- pensare che serva obbligatoriamente un albo DPO;
- considerare una certificazione privata come requisito legale sufficiente;
- ignorare un possibile codice IT quando l’attività è prevalentemente tecnica;
- non distinguere attività legale riservata e consulenza organizzativa;
- calcolare i contributi come se la rivalsa 4% li sostituisse;
- scegliere il 5% senza controllare tutti i requisiti della nuova attività.
Checklist prima di aprire la Partita IVA
- definisci se venderai consulenza privacy, incarichi DPO o entrambi;
- descrivi le attività effettive nel contratto;
- verifica se 70.20.09 rappresenta l’attività prevalente;
- controlla eventuali attività IT, legali o formative aggiuntive;
- verifica il regime forfettario e il coefficiente applicabile;
- iscriviti alla gestione previdenziale corretta;
- valuta RC professionale e strumenti necessari;
- predisponi un modello di incarico che tuteli l’indipendenza del DPO;
- organizza formazione continua e aggiornamento GDPR.
Approfondimenti utili
Per i dettagli generali sul codice puoi consultare la scheda ATECO 70.20.09. Per la previdenza trovi la guida alla Gestione Separata INPS.
Fonti ufficiali
Raccontaci la tua situazione. Ti aiutiamo a capire come procedere e quale soluzione è più adatta alla tua attività.