Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Una comunicazione può essere parte della procedura, ma non sostituisce ciò che prevede l’accordo dell’articolo 28 GDPR. Vanno verificati il tipo di autorizzazione, l’attività affidata e le possibilità reali di intervenire prima del cambiamento.
La situazione.
Scenario illustrativo fittizio. Un’impresa riceve un’email automatica dal proprio servizio CRM: il mese seguente entrerà un nuovo operatore per l’assistenza ai ticket. L’accordo prevede un’autorizzazione generale ai subresponsabili e un periodo per sollevare obiezioni. Nessuno ha assegnato la casella che riceve questi avvisi a un referente interno.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
L’accordo distingue autorizzazione generale e specifica e deve essere letto nella versione applicabile al servizio.
- 02
Il nuovo operatore può accedere al contenuto dei ticket, non soltanto gestire l’infrastruttura.
- 03
L’efficacia della procedura dipende dalla possibilità concreta del titolare di ricevere e valutare gli avvisi.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 28 GDPR disciplina il ricorso ad altri responsabili e, in caso di autorizzazione generale, l’informazione sui cambiamenti che offra al titolare la possibilità di opporsi. Non si tratta di una semplice newsletter contrattuale. Il titolare deve poter capire che cosa cambi e se il nuovo assetto resti coerente con rischi, obblighi e condizioni concordate.
Non è però necessario presumere che ogni nuovo subresponsabile renda il servizio illecito o imponga un cambio immediato di fornitore. Occorre valutare attività, dati accessibili, localizzazioni, garanzie e modalità operative. Gli obblighi pertinenti devono essere trasferiti lungo la catena; il responsabile principale conserva i doveri previsti dal GDPR nei confronti del titolare. Un elenco aggiornato serve se viene collegato alle decisioni, non soltanto archiviato.
Cosa fare, in pratica.
- 01
Verificare la clausola di autorizzazione applicabile, i tempi di comunicazione e il contenuto necessario per consentire una valutazione prima dell’avvio delle nuove attività.
- 02
Identificare funzione del subresponsabile, dati accessibili e paesi coinvolti, chiedendo integrazioni quando l’avviso riporta soltanto il nome commerciale del nuovo operatore.
- 03
Valutare sicurezza, obblighi contrattuali e trasferimenti internazionali pertinenti, distinguendo ciò che rimane invariato da ciò che introduce un rischio o un vincolo nuovo.
- 04
Gestire eventuali obiezioni attraverso il canale contrattuale, chiarendo conseguenze, alternative e continuità del servizio anziché limitarsi a un rifiuto privo di attuazione.
- 05
Assegnare una casella presidiata e un referente per gli avvisi, conservando versioni degli elenchi e decisioni rilevanti nel fascicolo del fornitore.
L’errore da evitare.
Lasciare che un cambiamento di accessi e destinatari venga accettato per inerzia perché l’avviso finisce in una casella che nessuno controlla.
Tre verifiche da portare con te.
- Tipo di autorizzazione e termini verificati.
- Funzioni e accessi del nuovo soggetto compresi.
- Canale di avviso presidiato e decisione registrata.
L’autorizzazione generale richiede una capacità di governo successiva. La procedura vale quanto la possibilità di usarla in tempo.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.