Responsabile del trattamento: quando ti serve un contratto — e che cosa non risolve

L'art. 28 del GDPR regola una situazione semplice: tu decidi per che cosa e con che mezzi i dati vengono trattati, qualcun altro lo esegue per te. Tu sei allora il titolare del trattamento (art. 4, n. 7), l'altro è il responsabile del trattamento (art. 4, n. 8). Per questo rapporto il regolamento chiede un contratto dal contenuto stabilito — nel linguaggio corrente italiano lo si chiama spesso nomina o accordo di nomina a responsabile.

Il contratto non è un modulo da archiviare e dimenticare, ma nemmeno un progetto. Presso i fornitori seri sta pronto e si chiude in dieci minuti. La fatica sta altrove: sapere con chi ti serve. Questo articolo risponde per ordine e resta un orientamento — l'inquadramento di un fornitore concreto, nel dubbio, lo possono valutare in via definitiva solo il Garante per la protezione dei dati personali o una consulenza legale.

La distinzione è tutta la questione. Titolare è chi decide le finalità e i mezzi del trattamento. Responsabile è chi tratta dati personali per conto del titolare — quindi su istruzione e senza finalità proprie.

La frase di verifica è corta: chi stabilisce a che cosa servono i dati? Se lo stabilisci tu e l'altro esegue, è trattamento per conto. Se l'altro persegue finalità proprie, imposte dalla legge o dalle regole della sua professione, è titolare a sua volta — allora ci sono due titolari in successione e nessuna nomina.

L'art. 28, par. 10 mette dietro a tutto questo un confine netto: un responsabile che, violando il regolamento, determina da sé finalità e mezzi è considerato titolare per quel trattamento. Chi usa i dati dei tuoi clienti per analisi proprie non è più un responsabile, qualunque cosa dica il contratto. È anche il motivo per cui la nomina non è il documento che stabilisce il ruolo: lo descrive soltanto.

Non ogni comunicazione è trattamento per conto. Se trasmetti dati a qualcuno che ne ha bisogno sotto la propria responsabilità, è una comunicazione con base giuridica propria — e per quella ti serve una base ai sensi dell'art. 6, par. 1, non un contratto ai sensi dell'art. 28.

L'elenco è più lungo di come sembra, perché quasi nessuna voce si chiama «trattamento di dati».

La penultima riga è quella su cui si discute davvero. Dove uno studio adempie obblighi professionali propri e non lavora su istruzione, viene prevalentemente inquadrato come titolare autonomo; se lo stesso fornitore svolge accanto attività puramente esecutive, l'inquadramento può cambiare. Le posizioni delle autorità di controllo divergono da Stato a Stato — chiedi al fornitore come si considera e fatti dare la risposta per iscritto.

Sul software, invece, la cosa è pacifica. Chi conserva i dati dei tuoi clienti per te è responsabile del trattamento e deve tenere pronto un contratto. Se manca, o se lo si ottiene solo su richiesta e dopo settimane, quello è un dato sul fornitore. Il software per saloni, per esempio, lo mette a disposizione come ogni fornitore di questo tipo — e la domanda sta fra le cinque domande da chiarire prima della prima demo, non nella settimana dopo la firma.

Prima del contratto c'è un obbligo che si legge distrattamente. L'art. 28, par. 1 chiede che tu ricorra solo a responsabili che presentino garanzie sufficienti — cioè che tu prenda una decisione di selezione prima di firmare. Un contratto con un fornitore inadeguato non ne sana l'inadeguatezza.

L'art. 28, par. 3 nomina prima i dati essenziali: oggetto e durata, natura e finalità del trattamento, tipo di dati, categorie di interessati, diritti e obblighi del titolare. Seguono otto punti che il contratto deve prevedere:

1. trattamento solo su istruzione documentata, anche in caso di trasferimento verso un paese terzo;
2. impegno alla riservatezza delle persone impiegate;
3. attuazione delle misure di sicurezza dell'art. 32;
4. rispetto delle condizioni per il ricorso ad altri responsabili;
5. assistenza nelle richieste degli interessati, quindi accesso, rettifica e cancellazione;
6. assistenza su sicurezza, notifica delle violazioni e valutazione d'impatto (artt. da 32 a 36);
7. a fine servizio cancellazione o restituzione di tutti i dati, comprese le copie esistenti;
8. mettere a disposizione le prove e consentire le verifiche.

I punti cinque e sette sono quelli che ti servono davvero nel quotidiano — il primo quando qualcuno chiede accesso, il secondo al cambio di fornitore. Leggili prima di firmare e non il giorno in cui ti servono.

Sulla forma: il contratto va redatto per iscritto ai sensi dell'art. 28, par. 9, e la forma elettronica è espressamente sufficiente. Può basarsi in tutto o in parte su clausole contrattuali tipo adottate dalla Commissione o da un'autorità di controllo (parr. da 6 a 8) — è il motivo per cui i contratti di fornitori diversi si somigliano tanto.

Qui sta l'equivoco più frequente. Una nomina a responsabile non rende lecito il trattamento. Regola esclusivamente il rapporto fra te e il fornitore.

La liceità continua a venire soltanto dall'art. 6, par. 1 — e riguarda te. Chi raccoglie indirizzi senza base giuridica e poi li invia tramite un fornitore con un contratto impeccabile ha un contratto pulito su un trattamento illecito. Il contratto non sposta la responsabilità: verso gli interessati il titolare resti tu.

Altre tre cose non le risolve:

• Non sostituisce l'informativa agli interessati. Che tu impieghi un fornitore va nella tua informativa privacy, come destinatario o categoria di destinatari.
• Non sostituisce la tua decisione di selezione — vedi l'art. 28, par. 1.
• Non sostituisce il tuo registro. L'art. 30 lo chiede a te come titolare; il responsabile tiene il proprio ai sensi del par. 2, e il suo non sostituisce il tuo.

Quello che invece risolve benissimo: ti dà un diritto azionabile alla collaborazione. Se domani qualcuno chiede accesso e i dati stanno presso il fornitore, l'obbligo di assistenza del par. 3, lett. e è la tua leva — e non la speranza in una buona collaborazione.

Quasi ogni fornitore impiega a sua volta dei fornitori: data center, backup, canale di invio, strumento di assistenza. L'art. 28, par. 2 richiede per questo la tua autorizzazione preventiva, specifica o generale. Con un'autorizzazione generale il fornitore deve informarti di ogni modifica prevista, perché tu possa opporti.

In pratica significa: esiste un elenco, e quell'elenco cambia. Verifica una volta dove sta e come vengono annunciate le modifiche. Ai sensi dell'art. 28, par. 4 agli altri responsabili vanno imposti gli stessi obblighi di protezione dei dati, e il primo responsabile risponde verso di te del loro rispetto — la catena quindi non si interrompe.

La seconda domanda è quella sul luogo. Appena i dati vengono trattati fuori dall'Unione europea e dallo Spazio economico europeo, si aggiungono gli artt. 44 e seguenti del GDPR. Un trasferimento ha allora bisogno di una base propria: una decisione di adeguatezza della Commissione per il paese interessato oppure garanzie adeguate ai sensi dell'art. 46, nella pratica per lo più le clausole contrattuali tipo.

Per te non è una verifica giuridica, ma una domanda al fornitore, ed è questa: dove stanno i dati, e da dove ci si può accedere? Anche un accesso dell'assistenza da un paese terzo è un trasferimento. La risposta va nei tuoi documenti — ed è al tempo stesso una delle informazioni che l'art. 30, par. 1 chiede per il registro.