«Ci pensa il fornitore, è lui l'esperto.» È il ragionamento con cui la nomina non viene fatta, e con cui la responsabilità resta comunque in capo all'impresa. Il gestionale, il cloud, l'agenzia che elabora le buste paga trattano dati personali per conto dell'azienda: per il GDPR (Regolamento (UE) 2016/679) quel rapporto va formalizzato.
In breve
- Il responsabile del trattamento è chi tratta dati personali per conto del titolare (art. 4, n. 8). Non decide le finalità: le esegue.
- Il rapporto è disciplinato da un contratto o da altro atto giuridico, in forma scritta anche elettronica, che vincoli il responsabile al titolare (art. 28, parr. 3 e 9).
- L'atto ha un contenuto minimo: materia, durata, natura, finalità, tipo di dati, categorie di interessati, obblighi e diritti del titolare, più otto impegni del responsabile (art. 28, par. 3).
- Il responsabile non può ricorrere a un altro responsabile senza autorizzazione scritta, specifica o generale, del titolare (art. 28, par. 2).
- La violazione degli obblighi dell'art. 28 è punita con sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (art. 83, par. 4, lett. a).
Chi è il responsabile del trattamento?
È la persona fisica o giuridica, l'autorità pubblica o altro organismo che tratta dati personali per conto del titolare (art. 4, n. 8, GDPR). Il titolare è chi determina le finalità e i mezzi del trattamento (n. 7). Il responsabile esegue, secondo le istruzioni del titolare.
Esempi tipici sono il fornitore del software gestionale in cloud, chi ospita i server, chi gestisce un servizio di posta o di assistenza che accede ai dati dell'azienda. Il ruolo si determina dai fatti, non dall'etichetta del contratto: se un fornitore determina finalità e mezzi del trattamento, è considerato titolare per quel trattamento (art. 28, par. 10). Per alcuni professionisti, come il consulente che elabora le paghe, il ruolo dipende dal modo in cui il servizio è svolto e va verificato caso per caso.
Perché serve un atto scritto e non basta il contratto commerciale?
Perché l'art. 28, par. 3, dice che i trattamenti da parte di un responsabile sono disciplinati da un contratto o da altro atto giuridico che vincoli il responsabile al titolare e abbia un contenuto determinato. Il par. 9 aggiunge la forma: scritta, anche in formato elettronico.
Il rapporto commerciale, da solo, non lo soddisfa, e non lo soddisfa una clausola generica nelle condizioni di fornitura: l'atto ha un contenuto minimo imposto dalla norma. Per costruirlo ci si può basare, in tutto o in parte, su clausole contrattuali tipo (art. 28, parr. 6-8): la Commissione ha adottato quelle della decisione di esecuzione (UE) 2021/915 del 4 giugno 2021.
Che cosa deve contenere la nomina?
Prima di tutto la parte descrittiva: la materia disciplinata e la durata del trattamento, la natura e la finalità, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare. È l'elenco che rende verificabile un rapporto che altrimenti resterebbe descritto solo dal contratto commerciale.
Poi gli impegni del responsabile, che l'art. 28, par. 3, indica in particolare:
| Impegno | Lettera | Che cosa significa in pratica |
|---|---|---|
| Istruzioni documentate | a | Tratta i dati solo su istruzione scritta del titolare, anche per i trasferimenti verso paesi terzi, salvo obbligo di legge. |
| Riservatezza | b | Le persone autorizzate si sono impegnate alla riservatezza o hanno un adeguato obbligo legale. |
| Sicurezza | c | Adotta le misure richieste dall'art. 32. |
| Altri responsabili | d | Rispetta le condizioni dei parr. 2 e 4 per ricorrere a sub-responsabili. |
| Diritti degli interessati | e | Assiste il titolare nel dare seguito alle richieste di accesso, rettifica e simili. |
| Obblighi di sicurezza e notifica | f | Assiste il titolare negli obblighi degli artt. 32-36: sicurezza, violazioni dei dati, valutazione d'impatto, consultazione preventiva. |
| Fine del rapporto | g | A scelta del titolare cancella o restituisce i dati e cancella le copie, salvo obblighi di conservazione di legge. |
| Verifiche | h | Mette a disposizione le informazioni per dimostrare il rispetto dell'art. 28 e consente audit e ispezioni. |
Il responsabile deve inoltre informare subito il titolare se ritiene che un'istruzione violi il regolamento o altre norme sulla protezione dei dati.
Come si gestisce la catena dei sub-fornitori?
È il punto più scoperto, ed è quello che quasi nessuno pone. Il responsabile non può ricorrere a un altro responsabile senza la previa autorizzazione scritta, specifica o generale, del titolare. Con l'autorizzazione generale deve informare il titolare di ogni aggiunta o sostituzione, dandogli la possibilità di opporsi (art. 28, par. 2).
Al sub-responsabile vanno imposti, per contratto, gli stessi obblighi in materia di protezione dei dati. Se non li adempie, il responsabile iniziale conserva nei confronti del titolare l'intera responsabilità (art. 28, par. 4). La catena va conosciuta prima di firmare, non ricostruita dopo un incidente. Se un anello è fuori dall'Unione, si aggiunge la questione dei trasferimenti di dati extra UE.
Le tre domande prima della firma
- Dove finiscono i dati?
- Chi altro li tratta?
- Che cosa succede alla fine del rapporto?
Un fornitore serio le ha già risolte per iscritto. Sono anche quelle che distinguono un contratto negoziato da uno accettato con un clic.
Il titolare resta responsabile anche se si affida a un fornitore?
Sì. L'art. 28, par. 1, impone al titolare di ricorrere unicamente a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Scegliere un'azienda seria e certificata aiuta: l'adesione a un codice di condotta approvato o a una certificazione approvata può essere utilizzata come elemento per dimostrare quelle garanzie (par. 5). Ma è un elemento, non un sostituto dell'atto di nomina.
Affidare il trattamento non trasferisce la responsabilità di chi ha deciso le finalità. Sul fronte del risarcimento, il titolare risponde del danno cagionato dal suo trattamento che violi il regolamento, mentre il responsabile risponde solo se non ha adempiuto gli obblighi a lui diretti o ha agito in modo difforme dalle legittime istruzioni; se più soggetti sono coinvolti nello stesso trattamento, ciascuno risponde in solido per l'intero danno (art. 82, parr. 2 e 4). La nomina serve a distribuire i compiti in modo verificabile: senza, davanti a un'autorità di controllo c'è un solo soggetto che ha deciso, e non ha nulla che lo dimostri.
Che cosa verificare nei contratti già in essere?
Un controllo ordinato parte dall'elenco dei fornitori che trattano dati per conto dell'impresa. Per ciascuno:
- se esiste un atto di nomina o un accordo sul trattamento dei dati, e se ha il contenuto minimo dell'art. 28, par. 3;
- se prevede l'autorizzazione per i sub-responsabili e la comunicazione di ogni modifica;
- se regola i trasferimenti verso paesi terzi;
- se disciplina la fine del rapporto, con cancellazione o restituzione dei dati;
- se il fornitore consente audit e fornisce le informazioni per dimostrare la conformità.
Qui trovi come lavoriamo sulla consulenza GDPR e compliance dei dati. Per capire come il Garante guarda agli obblighi di sicurezza e di notifica, leggi il caso delle password in chiaro e della notifica tardiva di un data breach, e su un altro tema tipico, la videosorveglianza aziendale. Se vuoi valutare il tuo caso con noi, prenota un colloquio.
Domande frequenti
Basta una clausola nelle condizioni generali di fornitura?
Di regola no, se non ha il contenuto minimo dell'art. 28, par. 3: materia e durata, natura e finalità, tipo di dati e categorie di interessati, obblighi e diritti del titolare, e gli impegni del responsabile. L'atto può stare anche in un contratto più ampio, ma deve contenere tutto questo.
La nomina va firmata su carta?
No. L'atto deve essere stipulato in forma scritta, anche in formato elettronico (art. 28, par. 9). Contano il contenuto e la possibilità di dimostrarlo.
Un fornitore certificato è già in regola?
La certificazione o l'adesione a un codice di condotta approvato possono essere un elemento per dimostrare le garanzie sufficienti (art. 28, par. 5), ma non sostituiscono il contratto o l'atto giuridico che vincola il responsabile al titolare.
Che cosa si rischia se la nomina manca?
La violazione degli obblighi del titolare e del responsabile a norma, tra gli altri, dell'art. 28 rientra tra quelle punite con sanzioni fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (art. 83, par. 4, lett. a). L'importo in concreto dipende dai criteri dell'art. 83, par. 2.
Fonti
- Regolamento (UE) 2016/679 (GDPR), artt. 4, 28, 82, 83. EUR-Lex.
- Decisione di esecuzione (UE) 2021/915 della Commissione, del 4 giugno 2021, sulle clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento. EUR-Lex.
- D.Lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali. Normattiva.