Nomina del responsabile del trattamento ex art. 28 GDPR: come si fa e cosa deve contenere

Ogni volta che un'impresa affida a un fornitore esterno un'attività che comporta il trattamento di dati personali - dalla gestione delle buste paga alla conservazione dei dati in cloud, fino alle campagne di marketing - deve verificare se quel fornitore va nominato responsabile del trattamento ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR). È un adempimento che riguarda la quasi totalità delle PMI, perché quasi nessuna azienda gestisce internamente tutti i trattamenti di dati.

Titolare, responsabile e sub-responsabile

Il titolare del trattamento è l'azienda che decide finalità e mezzi del trattamento. Il responsabile è invece il soggetto - persona fisica o giuridica - che tratta dati personali per conto del titolare del trattamento. Si tratta tipicamente di fornitori, consulenti o cloud provider che, per eseguire il servizio contrattato, devono necessariamente maneggiare dati che restano sotto la responsabilità del titolare. Se il responsabile a sua volta si avvale di un altro fornitore per una parte del servizio (ad esempio un data center), quest'ultimo diventa sub-responsabile e deve essere nominato con analoghe garanzie.

Cosa deve contenere l'atto di nomina

L'art. 28, paragrafo 3, del GDPR stabilisce che i trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati coinvolti. L'atto - che può essere un contratto autonomo o una clausola all'interno del contratto di fornitura - deve inoltre disciplinare gli obblighi di riservatezza del personale del responsabile, le misure di sicurezza tecniche e organizzative adottate, le modalità di gestione di un eventuale data breach (con i tempi di segnalazione al titolare) e la possibilità per il titolare di effettuare verifiche e audit. Va ricordato che, se il responsabile finisce per determinare autonomamente finalità e mezzi del trattamento anziché limitarsi a eseguire le istruzioni ricevute, assume di fatto il ruolo di titolare, con le relative responsabilità dirette.

La differenza con gli incaricati interni (art. 29)

Diverso è il caso del personale interno all'azienda - dipendenti, collaboratori, addetti agli uffici - che tratta dati nello svolgimento delle proprie mansioni. Qui si applica l'art. 29 del GDPR, che riguarda le persone autorizzate al trattamento sotto l'autorità diretta del titolare o del responsabile. Non si tratta di soggetti giuridicamente autonomi come il responsabile esterno: devono solo ricevere istruzioni operative documentate e la formazione necessaria a trattare correttamente i dati, senza margini di autonomia decisionale.

Esempi pratici

Vanno nominati responsabili del trattamento, tra gli altri: il commercialista o il consulente del lavoro che gestisce buste paga e dichiarazioni fiscali dell'azienda; il provider che fornisce hosting, cloud storage o software gestionali; l'agenzia di marketing che cura campagne pubblicitarie utilizzando il database clienti dell'azienda. In tutti questi casi l'assenza dell'atto di nomina espone sia il titolare sia il fornitore a contestazioni in caso di controllo del Garante per la protezione dei dati personali o di un data breach. Le aziende che non hanno ancora formalizzato questi rapporti dovrebbero mappare i propri fornitori con accesso a dati personali e verificare, con il supporto del proprio DPO o consulente privacy, quali contratti vanno integrati con le clausole previste dall'art. 28 GDPR.