Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il ruolo dipende dalle decisioni realmente assunte nel trattamento. Un fornitore che tratta dati per conto dell’impresa può essere responsabile; chi determina proprie finalità e mezzi essenziali può essere titolare. Il nome attribuito nel contratto non cambia i fatti.
La situazione.
Scenario illustrativo inventato. Una società di manutenzione vuole inviare la stessa nomina privacy a tutti i fornitori: hosting, consulente fiscale, piattaforma pubblicitaria e servizio di spedizione. Il documento vieta qualsiasi utilizzo autonomo dei dati, ma alcuni servizi hanno obblighi propri o usano informazioni per finalità ulteriori. L’amministrazione pensa che basti una firma per trasferire ogni responsabilità all’esterno.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Occorre distinguere le singole attività: lo stesso soggetto può assumere ruoli differenti in operazioni diverse.
- 02
Le condizioni della piattaforma possono prevedere finalità ulteriori rispetto al servizio richiesto.
- 03
Le istruzioni contrattuali devono essere concretamente compatibili con il funzionamento del servizio.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Gli articoli 4 e 28 del GDPR richiedono di identificare chi determina finalità e mezzi e chi opera per conto di un altro soggetto. L’assistenza tecnica con accesso agli archivi dell’impresa può richiedere un accordo da responsabile; attività professionali soggette a obblighi autonomi possono comportare una titolarità distinta. Si deve esaminare l’operazione concreta, evitando sia la nomina universale sia l’idea che ogni professionista sia sempre autonomo.
Quando ricorre un rapporto ai sensi dell’articolo 28, il contratto deve disciplinare elementi obbligatori e garanzie operative: istruzioni, riservatezza, sicurezza, assistenza, ulteriori responsabili, restituzione o cancellazione e possibilità di controllo. Se invece i soggetti sono titolari distinti, servono comunque liceità della comunicazione e trasparenza. La contitolarità richiede un’effettiva determinazione congiunta, non nasce semplicemente perché due imprese collaborano.
Cosa fare, in pratica.
- 01
Elencare le operazioni affidate. Specificare quali dati vengono trasmessi, chi sceglie le finalità e quali decisioni il fornitore può prendere.
- 02
Leggere contratto e condizioni effettive. Cercare riutilizzi, pubblicità, addestramento di sistemi, subfornitori e trasferimenti, senza fermarsi alla pagina commerciale.
- 03
Documentare il ruolo per attività. Una scheda sintetica può spiegare perché un servizio opera per conto dell’impresa e un altro per proprie finalità.
- 04
Adeguare gli accordi. Per i responsabili verificare i contenuti dell’articolo 28; per le altre relazioni definire flussi leciti, responsabilità e informazioni agli interessati.
- 05
Verificare le garanzie nel tempo. Cambi di subfornitori, nuove funzionalità e nuove localizzazioni possono modificare il rischio e richiedere un riesame.
L’errore da evitare.
Considerare la nomina una liberatoria generale: il titolare deve comunque scegliere soggetti con garanzie adeguate e governare il trattamento affidato.
Tre verifiche da portare con te.
- Il ruolo è fondato su decisioni e operazioni reali?
- Gli accordi descrivono il servizio effettivamente acquistato?
- Sono gestiti riutilizzi, subfornitori e conclusione del rapporto?
Una classificazione corretta chiarisce chi deve fare cosa quando arrivano una richiesta di accesso, un incidente o la chiusura del servizio.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.