Nell’ambito della trasformazione digitale della Pubblica Amministrazione, la figura del Rappresentante Tecnico Digitale (RTD) esterno rappresenta una risorsa strategica per i Comuni, soprattutto per quelli di piccole e medie dimensioni che non possono contare su competenze interne dedicate. Affidare questa funzione a un professionista esterno consente di accedere a un know-how specializzato in compliance normativa, cybersecurity e implementazione di soluzioni innovative, garantendo il raggiungimento degli obiettivi del PNRR e del piano triennale per l’informatica nella PA.

Tuttavia, la scelta del partner giusto e la definizione chiara dei requisiti richiesto sono fondamentali per evitare inefficienze e rischi di non conformità. È qui che entra in gioco un capitolato tecnico per l’affidamento ben strutturato: un documento che delinei in modo preciso le competenze, i servizi attesi, i livelli di servizio (SLA) e i criteri di valutazione delle offerte.

In questa guida presentiamo un modello di capitolato tecnico per l’affidamento di RTD esterno per Comuni, redatto secondo le best practice del settore e le indicazioni delle linee guida AgID. L’obiettivo è fornire agli amministratori e ai responsabili degli appalti uno strumento pratico per semplificare la procedura di selezione, massimizzare la trasparenza e garantire risultati concreti.

Se stai cercando un supporto esperto per la digitalizzazione del tuo Comune, contatta Culture Digitali Srl: i nostri consulenti aiuteranno a definire i requisiti tecnici e a supervisionare l’intero processo di affido.

Introduzione: L’importanza strategica del RTD Esterno per i Comuni

La figura del Referente Tecnico Digitale (RTD) rappresenta oggi uno dei pilastri fondamentali per la trasformazione digitale delle Amministrazioni locali. Nel contesto normativo attuale, definito dal PNRR e dalle linee guida AGID, l’RTD è il soggetto che garantisce la coerenza strategica, la sicurezza informatica e l’efficienza operativa dei processi tecnologici comunali. Tuttavia, per molti Comuni, specialmente quelli di piccola e media dimensione, l’individuazione di un profilo interno con le competenze adeguate rappresenta una sfida complessa e onerosa.

In questo scenario, il ricorso a un RTD esterno per Comuni si configura non come una mera opzione tattica, ma come una scelta strategica di alto livello. Affidare la gestione del ruolo a un partner specializzato consente di superare i vincoli legati alla carenza di organico e di accesso a competenze altamente specializzate (cybersecurity, cloud governance, interoperabilità dei sistemi) che difficilmente possono essere mantenute internamente. Un modello di affidamento RTD esterno garantisce continuità, aggiornamento costante sulle normative e imparzialità nella valutazione dei progetti ICT.

La redazione di un modello di capitolato tecnico per l’affidamento RTD esterno per Comuni diventa quindi l’atto amministrativo cruciale per formalizzare questa collaborazione. Un capitolato ben strutturato non delinea solo i compiti operativi, ma definisce chiaramente le responsabilità, i livelli di servizio (SLA), le metodologie di lavoro e i criteri di valutazione del operato. È lo strumento che trasforma un bisogno generico in un servizio misurabile e conforme ai requisiti di legge, proteggendo l’Amministrazione e orientando il fornitore verso risultati concreti.

Investire nella definizione di un modello di capitolato tecnico significa investire sulla sicurezza, sulla trasparenza e sulla sostenibilità del progetto digitale del proprio territorio. Permette al Comune di mantenere il controllo strategico delegando l’esecuzione tecnica, mitigando i rischi legati alla sicurezza informatica e alla compliance normativa (come il GDPR e i recenti obblighi NIS2). Di seguito proponiamo un modello operativo ed evoluto, pronto per essere adattato alle specifiche esigenze del tuo Ente.

La gestione dei dati personali nell’era digitale degli Enti Locali

Il Responsabile del Trattamento dei Dati (RTD) esterno per i Comuni riveste un ruolo strategico nell’era digitale, dove la gestione dei dati personali è diventata critica per garantire la continuità operativa e la compliance normativa. Il capitolato tecnico deve definire con chiarezza i compiti dell’RTD, focalizzandosi su:

• Analisi del contesto e mappatura: identificazione delle attività di trattamento, valutazione dei rischi e definizione delle misure di sicurezza informatica.
• Formazione e sensibilizzazione: programmazione di corsi periodici per il personale interno su privacy, GDPR e minacce informatiche.
• Monitoraggio continuo: controlli periodici, audit di compliance e aggiornamento dei documenti (informativa privacy, registri delle attività).
• Gestione incidenti: procedure operative per la gestione dei data breach, con tempi di intervento definiti e notifica tempestiva alle autorità.

L’affidamento deve garantire competenze tecniche certificate (ISO 27001, DPO) e l’indipendenza funzionale. Un RTD esterno offre una visione obiettiva, riduce il carico amministrativo interno e assicura un approccio proattivo alla sicurezza, trasformando la compliance da obbligo a leva strategica per la trasformazione digitale.

Vantaggi del modello esterno rispetto all’incarico interno

Optare per un Responsabile del Trattamento Dati (RTD) esterno offre al Comune vantaggi chiave rispetto a un incarico interno.

• Efficienza e Risparmio. Si evitano costi fissi e ingaggianti per un ruolo a tempo pieno. Si paga solo per il servizio effettivo, rendendo la spesa prevedibile e controllata.
• Competenza Aggiornata. Un partner esterno si specializza su normativa, sicurezza e tecnologie, garantendo una compliance costante con GDPR, NIS2 e recenti provvedimenti, senza il rischio di obsolescenza.
• Indipendenza e Obiettività. Un professionista esterno applica policy uniformi a tutto l’ente e garantisce imparzialità, evitando conflitti di interesse interni e migliorando l’efficacia del controllo.
• Continuità Operativa. Assenza di turnover, ferie o malattie: il servizio è garantito 24/7 con SLA definiti, assicurando che la gestione dei dati non subisca interruzioni.

Il modello esterno garantisce maggiore flessibilità, professionalità e conformità, proteggendo l’ente da rischi e sanzioni.

Quadro Normativo di Riferimento

Il modello di capitolato tecnico per l’affidamento di un RPD (Responsabile della Protezione dei Dati) esterno per Comuni deve fondarsi su un quadro normativo solido e aggiornato, che garantisca la piena conformità ai principi privacy vigenti e alle linee guida emanate dagli organismi di controllo. La complessità del contesto normativo richiede un’analisi puntuale di tutte le fonti che, direttamente o indirettamente, influenzano la gestione dei dati personali negli enti pubblici territoriali, con particolare attenzione alle specificità del settore pubblico.

In primo luogo, il Regolamento Generale sulla Protezione dei Dati (GDPR) – Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio – costituisce la norma cardine per ogni trattamento di dati personali. Nel settore pubblico, l’articolo 37 GDPR stabilisce l’obbligatorietà di designare un responsabile della protezione dei dati (RPD) ogniqualvolta le attività di trattamento siano svolte da un’autorità pubblica (con l’eccezione delle autorità giudiziarie). Per i Comuni, l’incarico è quindi obbligatorio e, laddove non sia possibile coprirlo con personale interno (ad esempio per carenza di professionalità specifiche o per conflitti di interesse), l’affidamento a un soggetto esterno è la soluzione più comune e in linea con la normativa. Il capitolato deve pertanto menzionare esplicitamente il riferimento all’art. 37 GDPR e alle disposizioni del Regolamento che definiscono i compiti, le garanzie di indipendenza e le sanzioni in caso di inadempienza (art. 83 GDPR). È importante ricordare che, secondo il Considerando 97 GDPR, il RPD – sia interno che esterno – non deve ricevere istruzioni riguardo all’esercizio dei propri compiti, e le sue attività non devono confliggere con altri incarichi o conflitti di interesse (art. 38(6) e 38(3) GDPR). Di fatto, l’affidamento a un professionista esterno rappresenta una scelta comune per la maggior parte degli enti locali, in quanto permette di accedere a competenze specialistiche garantendo l’indipendenza richiesta dalla normativa.

Il secondo pilastro normativo è rappresentato dal Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 e successive modificazioni, in particolare D.Lgs. 101/2018), che ha recepito il GDPR nel diritto interno. L’articolo 2-septies del Codice conferma l’obbligo di designazione dell’RPD per le pubbliche amministrazioni, ampliando anche ad altri soggetti pubblici l’obbligo previsto dal GDPR. Inoltre, la normativa nazionale specifica i requisiti di professionalità e l’elenco delle attività svolte dal RPD, come la consulenza in sede di valutazione d’impatto (DPIA), l’aggiornamento del registro dei trattamenti e la formazione del personale. Il capitolato tecnico dovrà recepire tali prescrizioni, dettagliando i requisiti tecnico-professionali del soggetto esterno e le attività che dovrà svolgere, in conformità con quanto disposto dagli articoli 38-39 GDPR e 2-bis, 2-ter del Codice.

Un riferimento imprescindibile è costituito dalle Linee guida per la protezione dei dati nell’ambito delle pubbliche amministrazioni, emanate dal Garante per la protezione dei dati personali, che forniscono indicazioni operative su aspetti cruciali come la valutazione d’impatto, la gestione dei consensi, il trattamento dei dati sensibili e la notifica degli incidenti. In particolare, la Delibera del Garante del 19 aprile 2018 (n. 251/2018) fornisce indicazioni specifiche per il trattamento dei dati da parte delle pubbliche amministrazioni, includendo esempi di modelli di nomina e indicazioni sulla figura dell’RPD. Il capitolato tecnico deve, dunque, riflettere le prescrizioni del Garante, definendo sia le attività che i requisiti tecnico-professionali del RPD esterno, al fine di garantire una protezione dei dati “proattiva” e non meramente formale.

A livello locale, il quadro normativo è integrato dalla disciplina dei Contratti della Pubblica Amministrazione, in particolare dal D.Lgs. 50/2016 (Codice dei contratti pubblici) e dal D.Lgs. 36/2023, che disciplinano le procedure di affidamento dei servizi professionali. Per l’affidamento di un RPD esterno, il Comune può ricorrere all’affidamento diretto (per importi sotto la soglia di rilevanza comunitaria) o a procedure di gara (ad esempio in base al principio dell’offerta economicamente più vantaggiosa), secondo i criteri di trasparenza, proporzionalità e non discriminazione. Il capitolato tecnico deve essere coerente con le norme di gara, indicando i criteri di selezione del professionista (es. esperienza pregressa, iscrizione ad albi professionali, formazione specifica) e le clausole contrattuali che ne garantiscono la responsabilità e l’autonomia.

Un ulteriore livello normativo è rappresentato dalla disciplina nazionale sul conflitto di interessi e sull’etica degli incarichi pubblici, in particolare il D.Lgs. 33/2013 (trasparenza) e il D.Lgs. 97/2016, che impongono obblighi di pubblicità e trasparenza anche per gli incarichi esterni. Il RPD esterno, pur essendo un professionista terzo, è tenuto a rispettare i principi di imparzialità e riservatezza, evitando situazioni di conflitto che potrebbero pregiudicare l’indipendenza dell’attività di controllo. Il capitolato deve, quindi, includere specifiche clausole di riservatezza, conflitto di interessi e obblighi di informativa al Garante e agli organi di controllo interni dell’ente.

Infine, è opportuno considerare il quadro normativo europeo in evoluzione, con le recenti iniziative dell’Unione Europea in materia di cybersicurezza e governance dei dati (ad esempio il Digital Europe Programme e il Data Act), che potrebbero influenzare i requisiti di sicurezza informatica e di gestione dei dati nelle PA. Il capitolato tecnico dovrebbe prevedere una clausola di revisione periodica, al fine di adeguare il modello a eventuali nuove disposizioni legislative o regolamentari, mantenendo così il Comune in una posizione di compliance costante nel tempo.

In conclusione, il quadro normativo di riferimento per il modello di capitolato tecnico per l’affidamento del RPD esterno per Comuni si compone di una stratificazione di norme che spaziano dal diritto primario (GDPR) al diritto nazionale (Codice privacy), fino alle linee guida del Garante e alla normativa sui contratti pubblici. Un corretto capitolato deve integrare tutte queste fonti, traducendo i principi normativi in requisiti tecnico-operativi verificabili, garantendo sia la conformità legale sia l’effettiva efficacia del sistema di protezione dei dati nell’ente locale.

Se desideri approfondire il modello di capitolato tecnico per l’affidamento di un RPD esterno per Comuni, ottimizzato per la tua realtà amministrativa e in linea con le ultime disposizioni del Garante, contattaci per saperne di più. Lo staff di Culture Digitali Srl è pronto a supportare la tua amministrazione con soluzioni su misura e una consulenza specializzata.

GDPR (Regolamento UE 2016/679): Definizioni e ruoli

Il Codice della Privacy italiano (D.Lgs. 196/2003 e D.Lgs. 101/2018)

Codice degli Appalti (D.Lgs. 36/2023): Affidamenti sotto-soglia e servizi

Linee Guida del Garante per la Protezione dei Dati Personali per P.A.

Analisi dei Rischi e Determina a Contrarre

La valutazione di impatto (DPIA) preliminare

Definizione del fabbisogno: cosa chiedere al RTD esterno

Determina a contrarre e scelta del contraente: procedure

Struttura del Capitolato Tecnico: Gli elementi essenziali

Premessa e oggetto dell’appalto

Requisiti minimi del fornitore (Soggetto qualificato)

Il complesso delle prestazioni tecniche (Services Level Agreement)

Modalità di svolgimento e sede di lavoro

Documentazione da allegare in offerta

Clausole Contrattuali e Obblighi del RTD

Autonomia operativa e indipendenza del responsabile

Obblighi di sicurezza e notifica violazioni (Data Breach)

Titolari del trattamento: coordinamento con altri uffici

Durata, rinnovi e recesso

Riservatezza e segreto d’ufficio

Aspetti Economici e Redazione del Preventivo

Criteri di aggiudicazione: prezzo o miglior offerta tecnica?

Schema di offerta economica: i costi ammissibili

Per garantire la correttezza dell’offerta economica e la conformità al capitolato, è fondamentale identificare le voci di costo ammissibili. Le spese devono essere direttamente connesse alla prestazione e devono rispettare i limiti imposti dalla normativa vigente (D.Lgs. 50/2016 e successivi).

• Compensi professionali: Voci relative alle ore di consulenza del Responsabile Tecnico Esterno (RTD) per attività di progettazione, direzione lavori, coordinamento della sicurezza e collaudi, definite sulla base di tariffe professionali di riferimento o accordi contrattuali.
• Spese operative e fornitura strumenti: Costi per dispositivi hardware e software necessari allo svolgimento dell’incarico (es. licenze BIM, GIS, strumenti di calcolo), unitamente alle spese telefoniche e di connettività.
• Costi di organizzazione e gestione: Voci relative a spese generali, contributi previdenziali e assicurativi (polizza RC professionale), nonché costi per la formazione obbligatoria del tecnico.
• Spese trasferta e missioni: Rimborsi forfettari o documentati per spostamenti fuori sede, vitto e alloggio, nel rispetto delle indennità di trasferta previste per il pubblico impiego.

Nota bene: sono esclusi i costi indiretti e le spese non documentate. Il modello di offerta economica deve indicare distinte le voci al netto dell’IVA, specificando se le spese sono forfettarie o rimborsabili su documentazione.

Analisi dei costi: tempo, spese e materiali

Un’analisi dei costi dettagliata è fondamentale per valutare l’efficacia dell’affidamento di un RTD esterno. Questa analisi si articola su tre livelli chiave: tempo, spese e materiali.

Tempo: La durata media di un intervento di manutenzione straordinaria è stimata tra le 8 e le 12 ore, a seconda della complessità dell’incidenza. Il piano temporale deve includere non solo l’intervento vero e proprio, ma anche le fasi di programmazione, rendicontazione e aggiornamento della documentazione.

Spese: Le voci di costo comprendono il costo orario del personale specializzato (inclusi oneri sociali e IVA), le spese di trasferta (chilometriche e di pernottamento, se necessario), nonché eventuali costi per consulenze esterne o utilizzo di piattaforme software dedicate alla gestione delle pratiche.

Materiali: Nell’analisi dei materiali è necessario distinguere tra forniture standard (es. componenti di rete, cavi, accessori di basso costo) e forniture specialistiche (es. dispositivi di protezione, software specifici, hardware dedicato). È buona norma prevedere una voce di Budget per imprevisti pari al 5-10% del costo totale materiali, per coprire eventuali necessità non preventivate durante l’intervento.

Modello Pratico di Capitolato Tecnico (Template)

Modello Pratico di Capitolato Tecnico (Template)

Definire e formalizzare i criteri per l’affidamento dell’incarico di Responsabile del Trattamento Dati (RTD) esterno rappresenta una tappa cruciale per ogni pubblica amministrazione. Un capitolato tecnico chiaro, completo e giuridicamente solido non solo garantisce la conformità normativa (GDPR e Codice dell’Amministrazione Digitale), ma seleziona il partner ideale per la gestione sicura dei dati. Di seguito proponiamo un modello strutturato e commentato, che puoi adattare alle specifiche esigenze del tuo Comune.

1. Premessa e Oggetto dell’Incario

Il presente capitolato tecnico definisce i requisiti tecnico-professionali e le modalità operative richieste per lo svolgimento dell’incarico di Responsabile del Trattamento Dati (RTD) esterno a favore di [Nome Comune].

L’oggetto dell’incarico consiste nella gestione, pianificazione e supervisione dei trattamenti di dati personali effettuati dal Comune, con particolare riguardo ai processi che presentano rischi elevati per i diritti e le libertà degli interessati. L’affidatario dovrà operare in stretta collaborazione con il Gestore del Trattamento Dati (GDRT) interno e il Responsabile della Protezione dei Dati (RPD/DPO).

2. Requisiti Tecnico-Organizzativi dell’Affidatario

Il candidato RTD esterno deve dimostrare il possesso di requisiti specifici per garantire un servizio all’altezza delle responsabilità richieste.

2.1. Competenze e Certificazioni

L’offerente deve disporre di adeguate competenze in materia di protezione dei dati personali, comprovate da:

• Certificazioni ISO/IEC 27001 relativa alla sicurezza delle informazioni;
• Qualifica di DPO certificato o comprovata esperienza pluriennale (minimo 5 anni) come RTD per enti pubblici di dimensioni analoghe;
• Formazione continua del personale assegnato all’incarico sugli aggiornamenti normativi e sulle best practice di settore.

2.2. Struttura Operativa e Reperibilità

L’RTD deve garantire una struttura organizzativa autonoma, con disponibilità di:

• Ufficio dedicato o piattaforma operativa accessibile 24/7;
• Tempi di risposta garantiti (SLA) per richieste urgenti entro 4 ore lavorative;
• Presenza di un delegato strutturato in caso di assenza del titolare dell’incarico, per garantire la continuità del servizio.

3. Specifiche Tecniche del Servizio

I compiti dell’RTD esterno devono essere declinati in fasi operative chiare. Il modello di capitolato dovrà includere i seguenti macro-ambiti:

3.1. Analisi di Rischio e DPIA

Il fornitore è tenuto ad effettuare annualmente l’analisi dei rischi per i trattamenti attivi e a redigere il Documento di Protezione dei Dati (DPOA). Ove necessario, dovrà elaborare le Valutazioni di Impatto (DPIA) per i trattamenti ad alto rischio, seguendo i criteri del Garante per la Protezione dei Dati Personali.

3.2. Misure di Sicurezza Tecniche

L’RTD proporrà e supervisionerà l’attuazione di misure tecniche organizzative per la sicurezza dei dati, tra cui:

• Criptazione dei dati a riposo e in transito;
• Accesso basato sul ruolo (RBAC) e gestione delle credenziali;
• Pianificazione e test delle procedure di Backup e Disaster Recovery;
• Monitoraggio dei log di accesso e rilevamento anomalie.

3.3. Gestione Incidenti e Data Breach

L’RTD deve operare secondo protocolli definiti per la gestione delle violazioni di dati (Data Breach), garantendo:

• Analisi immediata dell’incidente;
• Notifica al Titolare del trattamento (GDRT) e al RPD entro 4 ore dal rilevamento;
• Supporto nella redazione della notifica al Garante (entro 72 ore) e nelle comunicazioni agli interessati, se necessario.

3.4. Formazione e Sensibilizzazione

Il servizio include l’erogazione di corsi di formazione obbligatoria per il personale del Comune coinvolto nel trattamento dati. Il calendario prevedrà:

• Corso base per tutti i dipendenti (annuale);
• Corso avanzato per amministratori e responsabili di area;
• Seminari di aggiornamento sui nuovi rischi informatici (es. phishing, social engineering).

4. Adempimenti Procedurali e Verifiche

Il capitolato deve definire le regole di rendicontazione e le modalità di verifica del servizio.

4.1. Rendicontazione Periodica

L’RTD esterno dovrà produrre i seguenti report:

• Report Mensile: sintesi delle attività svolte, notifiche di sicurezza e aggiornamenti normativi;
• Report Semestrale: analisi degli indici di sicurezza, status delle misure implementate e gap analysis;
• Relazione Annuale: resoconto complessivo ai sensi dell’art. 154 del Codice in materia di protezione dei dati personali.

4.2. Audit e Verifiche

Il Comune si riserva il diritto di effettuare audit ispettivi, con preavviso di 10 giorni, per verificare il rispetto del capitolato. L’RTD deve fornire tutta la documentazione richiesta e garantire l’accesso ai sistemi per verifiche tecniche.

5. Clausole Contrattuali e Responsabilità

Il contratto di affidamento dovrà esplicitare chiaramente:

• Responsabilità dell’RTD: per danni diretti causati da negligenza nelle misure di sicurezza o violazione degli obblighi contrattuali;
• Obbligo di riservatezza: permanente anche a cessazione contratto;
• Polizze Assicurative: copertura per responsabilità civile professionale per importo non inferiore a [inserire cifra, es. 500.000 €] per singolo evento;
• Subappalto: vietato senza espresso consenso scritto del Comune.

6. Tabella di Marcy e Consegne (Milestone)

Per monitorare l’avanzamento dei lavori, si suggerisce di inserire nel capitolato una tabella riassuntiva:

7. Criteri di Valutazione dell’Offerta

Per selezionare il miglior fornitore, si raccomanda di non basarsi solo sul prezzo, ma di utilizzare la metodologia “MEPA” o criteri qualitativi.

Punteggio Tecnico (70%):

• Esperienza specifica sul settore Pubblica Amministrazione (30%);
• Metodologia e qualità del Piano Operativo proposto (25%);
• Requisiti professionali e certificazioni del team (15%).

Punteggio Economico (30%):

• Rispetto dei costi indicativi o competitività tariffaria.

8. Conclusioni e Consigli Operativi per il Comune

L’adozione di un capitolato tecnico strutturato come quello proposto riduce drasticamente il rischio di contenzioso e garantisce un elevato standard di sicurezza informatica. È fondamentale che il Comune nomini un proprio incaricato interno (il GDRT) che faccia da interfaccia con l’RTD esterno, mantenendo alto il livello di accountability.

Un RTD esterno selezionato tramite questo modello non è un semplice fornitore di servizi, ma un vero e proprio consulente strategico che accompagna l’ente nella compliance e nella digitalizzazione sicura.

Titolo e Intestazione dell’Ente

Il modello di capitolato tecnico per l’affidamento dell’incarico di Responsabile del Trattamento dei Dati (RTD) esterno si applica a enti locali, con particolare attenzione alle peculiarità amministrative e normative dei Comuni.

L’ente che richiede l’affidamento definisce nella presente sezione i propri riferimenti anagrafici e istituzionali.

Sezione 1: Disciplina tecnica delle prestazioni

1. Disciplina tecnica delle prestazioni

Il Responsabile Tecnico Digitale (RTD) esterno deve garantire l’accesso continuo a competenze specialistiche per la definizione, la realizzazione e la gestione dei servizi digitali. Di seguito si descrive il quadro tecnico di riferimento, i requisiti operativi e i criteri di valutazione delle prestazioni.

1.1 Competenze tecniche richieste

Il fornitore deve disporre di una squadra certificata in:

• Gestione del ciclo di vita dei progetti: metodologie agili e waterfall, risk management e documentazione tecnica.
• Cloud & Infrastructure: architetture IaaS/PaaS/SaaS, sicurezza dei dati, disaster recovery e continuità operativa.
• Sviluppo e integrazione: API management, microservizi, DevSecOps e automazione dei test.
• Cybersecurity: conformità normativa (NIS2, GDPR), assessment di vulnerabilità e gestione degli incidenti.

1.2 Obblighi operativi del RTD

Il RTD esterno è tenuto a:

• Partecipare almeno mensilmente ai consigli digitali del Comune.
• Redigere report di avanzamento con KPI chiari (es. uptime > 99,9%, tempi di risoluzione entro SLA).
• Garantire la trasparenza: accesso a dashboard in tempo reale e documentazione tecnica aggiornata.
• Formare il personale interno su procedure e strumenti, con corsi certificati.

1.3 Requisiti di consegna e qualità

Le soluzioni devono essere conformi a:

• Standard APSP e linee guida AGID per i sistemi informativi delle Pubbliche Amministrazioni.
• Interoperabilità: utilizzo di standard aperti e API RESTful per la condivisione dei dati.
• Accessibilità: conformità alle linee guida WCAG 2.1 per i portali web e i servizi digitali.
• Documentazione: manuale tecnico, procedure operative e diagrammi di architettura consegnati in formato digitale.

1.4 Monitoraggio e SLA

Il fornitore mette a disposizione una dashboard di monitoraggio con i seguenti livelli di servizio minimi garantiti (SLA):

• Disponibilità: 99,9% su base annua.
• Tempi di risposta: 15 minuti per criticità P1, 2 ore per criticità P2.
• Aggiornamenti: report mensili e revisione trimestrale dei parametri.

La mancata osservanza degli SLA comporta l’applicazione di penali contrattuali e la facoltà di recesso.

Per approfondire le best practice di governance digitale per enti pubblici, richiedi un appuntamento con i nostri esperti.

Sezione 2: Disciplina amministrativa e contrattuale

Questa sezione illustra i riferimenti normativi e le clausole essenziali che regolano il rapporto di servizio esterno tra il Comune e il Responsabile del Procedimento (RtD).

Il modello di capitolato si conforma al D. Lgs. n. 50/2016 (Codice dei Contratti Pubblici) e al D. Lgs. n. 36/2023, garantendo trasparenza e rispetto dei vincoli di legge. Le prestazioni devono essere inquadrate correttamente nella tipologia di servizio (professionale o di consulenza), evitando il ricorso a collaborazioni coordinate e continuative (Co.Co.Co.) non consentite per le funzioni dirigenziali.

Elementi imprescindibili del capitolato sono:

• Disciplina giuridica: definizione precisa del rapporto come collaborazione esterna retribuita a prestazione d’opera occasionale o continuativa, nel rispetto dei vincoli di incompatibilità (art. 53 D. Lgs. 165/2001);
• Compenso: determinazione della misura economica in base ai valori medi di mercato, con indicazione del costo orario o forfetario, al netto degli oneri fiscali e previdenziali a carico del professionista;
• Obblighi del Rtp: rispetto della direttiva comunale, riservatezza, obblighi di trasparenza e di aggiornamento;
• Monitoraggio: modalità di rendicontazione delle ore o delle attività svolte;
• Cauzione: eventuali garanzie richieste per l’affidamento;
• Recesso: condizioni e procedure per la risoluzione del contratto.

Il modello prevede inoltre l’obbligo di verifica della regolarità contributiva del professionista (DURC) e l’inserimento delle clausole di responsabilità civile.

Per integrare le competenze del tuo ufficio legale e stilare un capitolato in linea con le normative vigenti, richiedi una consulenza personalizzata ai nostri esperti.

Sezione 3: Modulistica allegata

La documentazione allegata al capitolato è essenziale per un corretto affidamento e una gestione efficace del servizio di RTD. Essa definisce in modo dettagliato gli obblighi del fornitore e le aspettative dell’ente.

Di seguito l’elenco dei moduli e documenti che costituiscono la base del contratto:

• Modello A – Domanda di partecipazione: modulo standard per la presentazione dell’offerta tecnico-economica.
• Modello B – Scheda di valutazione: griglia di punteggio che permette all’ente di comparare le offerte in modo trasparente.
• Allegato 1 – Piano di Lavoro Annuale (PLA): template per la pianificazione delle attività, tempi e risorse dedicate al progetto.
• Allegato 2 – Report Mensile di Attività: format standard per il rendiconto delle attività svolte, ore impiegate e risultati raggiunti.
• Allegato 3 – Piano di Sicurezza Informatica: documento che definisce le misure di protezione per i dati trattati, in ottemperanza al GDPR.

Conclusioni e Best Practice per l’Ufficiale Responsabile

Questa guida operativa sull’affidamento del Ruolo Tecnico Digitale (RTD) esterno ai Comuni si chiude ribadendo che la chiave del successo non risiede solo nella redazione formale del capitolato, ma nella gestione attiva e consapevole del rapporto contrattuale.

Per l’Ufficiale Responsabile, le best practice fondamentali sono tre:

• Definizione misurabile delle SLA: Trasformare obiettivi vaghi in metriche concrete. Invece di “migliorare la trasformazione digitale”, indicare “Aumento del 25% dei servizi online attivi entro 12 mesi”. Questo garantisce trasparenza e possibilità di verifica oggettiva del rendimento.
• Comitato di Sorveglianza attivo: Non limitarsi a riunioni formali. Convocare il Comitato mensilmente per esaminare i dashboard di performance, analizzare gli incidenti critici e validare le priorità del mese successivo. È lo strumento per allineare strategia e operatività in tempo reale.
• Focus sul trasferimento di competenze (Knowledge Transfer): Il RTD esterno non deve essere solo un esecutore, ma un mentore per il personale interno. Il capitolato deve prevedere sessioni di formazione e co-coaching, fissando l’obiettivo di “liberare” il personale interno da attività ripetitive per concentrarlo su progetti strategici.

Un approccio proattivo, fondato su metriche chiare e un dialogo continuo, trasforma il RTD da semplice fornitore a partner strategico della tua amministrazione.

Per approfondire come strutturare un percorso di Digital Transformation su misura per il tuo ente, parla con un consulente di Culture Digitali Srl.

Checklist di controllo prima della pubblicazione

• Requisiti e conformità normativa: Verifica che il Capitolato specifichi chiaramente tutti i requisiti di legge (art. 180 d.lgs. 50/2016) e le normative tecniche di riferimento (UNI, leggi settoriali). Assicurati che non ci siano clausole che possano limitare la concorrenza.
• Dettaglio tecnico ed economico: Controlla che siano presenti i criteri di valutazione delle offerte (anomalia, miglioramento tecnico) e che i costi siano coerenti con il mercato (coerenza con RUP e preventivi di mercato). Verifica che il prezzo base sia netto e non siano previsti acconti non giustificati.
• Procedura di affidamento e tempi: Assicurati che i termini di presentazione delle offerte siano realistici (minimo 30 giorni) e che le modalità di gara siano chiare (procedura aperta o ristretta). Controlla la correttezza dei riferimenti agli allegati obbligatori (DURC, attestazioni, documentazione amministrativa).
• Redazione formale e integrazione: Effettua una lettura incrociata del Capitolato con il Progetto Esecutivo e il Disciplinare. Verifica l’assenza di contraddizioni tra documenti e la chiarezza delle definizioni. Infine, chiedi una seconda validazione (legale o tecnica) prima della pubblicazione.

Consigli per la gestione del rapporto con il RTD esterno

Per un efficace rapporto con il Responsabile del Procedimento (RTD) esterno è fondamentale istituire un unico punto di contatto interno (referente unico comunale) che gestisca flussi informativi e documentali.

• Comunicazione costante: Organizzare riunioni periodiche di allineamento e definire canali dedicati (es. piattaforma condivisa) per evitare duplicazioni.
• Chiarezza sui compiti: Definire fin da subito le specifiche mansioni, i tempi di risposta e le soglie decisionali, evitando sovrapposizioni.
• Tempi e feedback: Monitorare le scadenze contrattuali e fornire feedback rapidi sulle deliverables per mantenere il progetto in piana.

Una governance trasparente riduce il rischio di contenzioso e garantisce l’efficacia del servizio.

Domande Frequenti (FAQ)

Il Comune deve obbligatoriamente nominare un RTD esterno?

No, non è obbligatorio. Il GDPR e il Codice della Privacy prevedono la possibilità di nominare un Responsabile del trattamento sia interno (dipendente) che esterno (soggetto terzo). La scelta dipende dalle dimensioni dell’Ente, dalla complessità dei trattamenti e dalle risorse interne disponibili. Tuttavia, l’affidamento esterno è spesso preferibile per garantire maggiore indipendenza, continuità operativa e competenze specialistiche aggiornate, specialmente in contesti come i piccoli Comuni.

Quale normativa si applica per l’affidamento di servizi di protezione dati?

L’affidamento di un servizio di protezione dati è un appalto di servizi e come tale è soggetto al Codice degli Appalti (D.Lgs. 36/2023), nel rispetto delle soglie di committenza (art. 14). Contemporaneamente, il capitolato tecnico deve rispettare le prescrizioni del GDPR e del Codice della Privacy in materia di trattamento dei dati personali e nomina del responsabile.

Quali sono i requisiti minimi che il RTD esterno deve possedere?

La normativa (art. 2-quaterdecies del D.Lgs. 196/2003) richiede che il responsabile (o il personale addetto) possegga i seguenti requisiti:
1. Essere in possesso di un attestato di formazione e di aggiornamento periodico in materia di protezione dei dati.
2. Avere conoscenza della normativa e delle prassi operative in materia di trattamento dei dati.
3. Essere in possesso delle competenze necessarie per svolgere i compiti assegnati.
Nel capitolato, è fondamentale richiedere la documentazione comprovante tali requisiti.

Quanto costa l’affidamento di un RTD esterno per un Comune?

Il costo varia in base alla dimensione del Comune (numero di abitanti), al numero di trattamenti, all’esistenza di albi o registri specifici e alla complessità della struttura. Solitamente, l’offerta economica viene calcolata su base oraria (es. 60-100€/ora) o su base forfettaria annuale. Per un piccolo Comune, il costo può variare da 2.000€ a 10.000€ annui; per Comuni medi o grandi, l’importo può salire significativamente, includendo anche servizi di DPIA e formazione obbligatoria.

Quanto dura l’incarico del RTD esterno?

La durata dell’incarico è definita nel capitolato e nel contratto. Il GDPR e il Codice della Privacy non impongono una scadenza fissa, ma si raccomanda di non superare i 2-3 anni senza un riesame della necessità e dell’efficacia del servizio. La durata è legata alla validità della Determina a Contrarre. Il contratto può prevedere clausole di rinnovo automatico o tacito, purché non violino le norme sulla trasparenza e sulla concorrenza.

Il RTD esterno deve essere iscritto a un albo professionale?

No, non esiste un albo unico obbligatorio per i Responsabili della Protezione dei Dati (RPD/RTD) come avviene per avvocati o ingegneri. Tuttavia, il capitolato tecnico può richiedere che il RTD esterno sia iscritto a ordini professionali pertinenti (es. Consiglio Nazionale degli Ingegneri, Consiglio Nazionale dei Dottori Commercialisti) o a associazioni di categoria riconosciute, a garanzia di una maggiore professionalità e aggiornamento.

Contattaci

contattaci per saperne di più