Titolare o responsabile del trattamento ai sensi del GDPR: come distinguere chi è chi

Il titolare del trattamento decide perché e come vengono trattati i dati personali; il responsabile del trattamento tratta i dati personali solo in base alle istruzioni documentate del titolare del trattamento (articolo 4, paragrafi 7 e 8, GDPR). Il tuo ruolo si basa sui fatti, non sull'etichetta del contratto, e determina chi ha bisogno di una base giuridica, chi risponde alle richieste degli interessati, chi segnala una violazione e chi è responsabile in caso di problemi.

Come si distingue un controller da un processore?

Chiedetevi chi decide perché i dati vengono trattati e, in sostanza, come. Il titolare del trattamento determina le finalità e i mezzi essenziali del trattamento; il responsabile del trattamento agisce solo in base alle istruzioni documentate del titolare e non utilizza i dati per scopi propri.

Tipici responsabili del trattamento: un fornitore di servizi di hosting, un'agenzia di elaborazione paghe che agisce esclusivamente su istruzioni, un servizio di invio di email. Tipici titolari del trattamento, anche se incaricati da terzi: un commercialista che esegue una revisione contabile, un avvocato che gestisce una causa, un servizio di medicina del lavoro (medicina del lavoro) che svolge le proprie funzioni professionali.

Il contratto definisce il tuo ruolo?

No. Il semplice fatto di definirsi responsabile del trattamento nell'accordo non lo rende automaticamente tale. Se un fornitore utilizza i dati per i propri scopi, come ad esempio migliorare il proprio prodotto, creare profili o inviare comunicazioni di marketing agli interessati, è considerato titolare del trattamento per tale trattamento. L'articolo 28(10) del GDPR lo afferma espressamente: chi determina le finalità e i mezzi del trattamento è considerato titolare del trattamento.

E se tu e un'altra parte decideste insieme gli scopi?

In tal caso, sarete contitolari del trattamento ai sensi dell'articolo 26 del GDPR. Dovrete definire le vostre responsabilità in un accordo, in particolare per quanto riguarda i diritti degli interessati e gli obblighi di informazione di cui agli articoli 13 e 14, e rendere disponibile agli interessati l'essenza di tale accordo.

Il contitolarità del trattamento si verifica più spesso di quanto le organizzazioni si aspettino. Nella sentenza Wirtschaftsakademie (C-210/16, 5 giugno 2018), la Corte di giustizia dell'UE ha considerato l'amministratore di una pagina fan di Facebook come contitolare del trattamento insieme a Facebook. Ai sensi dell'articolo 26, paragrafo 3, del GDPR, l'interessato può esercitare i propri diritti nei confronti di entrambi i contitolari del trattamento, indipendentemente dagli accordi interni stipulati.

Cosa deve contenere un accordo sul trattamento dei dati?

Se vi avvalete di un responsabile del trattamento, ai sensi dell'articolo 28, paragrafi 3 e 9, del GDPR, è obbligatorio un accordo scritto, il cui contenuto è prescritto. Esso deve riguardare l'oggetto e la durata del trattamento, la sua natura e finalità, i tipi di dati e le categorie di interessati, nonché le vostre istruzioni in qualità di titolari del trattamento.

Deve inoltre trattare la riservatezza, le misure di sicurezza previste dall'articolo 32, le condizioni per l'impiego di sub-responsabili del trattamento, l'assistenza in caso di richieste da parte degli interessati e di notifica delle violazioni, la restituzione o la cancellazione dei dati al termine del trattamento e i diritti di verifica.

Dove nascono solitamente le controversie?

Due clausole in particolare creano maggiori problemi. Per quanto riguarda il subappalto, l'articolo 28(2) del GDPR consente un'autorizzazione scritta generale, ma il responsabile del trattamento deve informarti delle modifiche previste e darti la possibilità di opporti. Per quanto riguarda la restituzione o la cancellazione, è opportuno concordare quale delle due opzioni si applica e in quale formato, prima della cessazione del rapporto, anziché durante una controversia.

La notifica della violazione rappresenta un terzo punto critico. Il responsabile del trattamento deve informarti senza indebito ritardo (articolo 33(2)); hai quindi 72 ore per notificare l'Autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) ai sensi dell'articolo 33(1). Concorda con il responsabile del trattamento un termine interno breve, ad esempio 24 o 48 ore.

Chi è responsabile se la procedura va storta?

Ai sensi dell'articolo 82, paragrafo 2, del GDPR, in qualità di titolare del trattamento, l'utente è responsabile per i danni causati da un trattamento che viola il GDPR. Un responsabile del trattamento è responsabile solo se non ha rispettato gli obblighi che il GDPR impone specificamente ai responsabili del trattamento, oppure se ha agito al di fuori o in contrasto con le istruzioni legittime dell'utente.

Qualora entrambe le parti siano coinvolte nello stesso trattamento e responsabili del danno, ciascuna può essere ritenuta responsabile per l'intero danno nei confronti della persona (articolo 82, paragrafo 4). La parte che ha pagato può successivamente recuperare la quota dell'altra parte (articolo 82, paragrafo 5), motivo per cui la clausola di indennizzo in un contratto di trattamento dati merita di essere negoziata con attenzione.

Cosa dovresti controllare in qualità di controller?

• Se ciascun fornitore che tratta dati personali per tuo conto ha firmato un accordo di trattamento conforme all'articolo 28(3).
• Qualora un fornitore utilizzi i dati per i propri scopi, ne diventa titolare del trattamento.
• Sia che tu disponga di un elenco di sub-processori e di una procedura per opporti alle modifiche.
• Se il responsabile del trattamento dei dati debba segnalarti le violazioni entro un determinato numero di ore.
• Sia che abbiate accordi di contitolarità del trattamento per piattaforme o campagne condivise.

Cosa dovresti controllare in qualità di responsabile del trattamento dei dati?

• Sia che utilizziate i dati dei clienti solo secondo le istruzioni documentate e non per i vostri prodotti o per le vostre analisi.
• Se i vostri subappaltatori sono vincolati dagli stessi obblighi a cui siete soggetti voi.
• Se al termine del contratto potrai restituire o eliminare i dati nel formato concordato.
• Se il limite di responsabilità e l'indennizzo riflettono la responsabilità limitata ai sensi dell'articolo 82(2).

Cosa possiamo fare per voi con i ruoli di controller e processore?

Attraverso il nostro studio legale specializzato in diritto informatico possiamo aiutarvi, ad esempio:

• Mappiamo i ruoli di ciascuna parte nella catena di dati, per ogni attività di elaborazione.
• Redigiamo e revisioniamo accordi di trattamento dei dati e accordi di contitolarità del trattamento.
• Negoziamo clausole relative al subappalto del trattamento dei dati, alla notifica delle violazioni e alla responsabilità.
• Forniamo consulenza in materia di responsabilità e di rivalsa tra le parti a seguito di una violazione dei dati.
• Prepariamo la tua risposta alle domande dell'Autoriteit Persoonsgegevens.

Sintesi

• Il tuo ruolo si basa sui fatti, non sull'etichetta del contratto: chi decide lo scopo e i mezzi essenziali è il titolare del trattamento.
• Se decidete congiuntamente con un'altra parte le finalità del trattamento, siete contitolari del trattamento e dovete documentare la ripartizione delle responsabilità (articolo 26 del GDPR).
• Ogni qualvolta ci si avvale di un responsabile del trattamento dei dati, è obbligatorio stipulare un accordo scritto sul trattamento dei dati con il contenuto di cui all'articolo 28, paragrafo 3, del GDPR.
• Il responsabile del trattamento ti comunica la violazione senza indebito ritardo; tu devi informare l'Autorità Garante per la protezione dei dati personali entro 72 ore.
• Entrambe le parti possono essere ritenute responsabili per l'intero danno arrecato all'individuo, quindi è fondamentale negoziare la clausola di indennizzo prima di firmare.

Domande frequenti