Per soddisfare la nostra e altrui richiesta di garanzie, il GDPR ha messo a carico del titolare del trattamento, e di altre figure con lui coinvolte nel trattamento dei dati, alcuni obblighi. Ecco perché, ogniqualvolta il titolare affidi il trattamento di un dato a partner o fornitori (responsabili esterni), egli è chiamato a verificare e acquisire garanzie ancora prima di affidare loro l’incarico, e a sottoscrivere il data processing agreement (DPA).
Quando si ha a che fare con un responsabile esterno?
Quando si verificano contemporaneamente queste 3 condizioni si ha a che fare con un responsabile esterno del trattamento:
- si affidano a terzi servizi che comprendono il trattamento di dati;
- il fornitore offre supporto strumentale e competenze e ha discrezionalità sulle modalità operative;
- nonostante la discrezionalità operativa, non determina autonomamente le caratteristiche del trattamento dei dati.
Qualche esempio? I fornitori di servizi informatici, cloud, web, marketing, elaborazione paghe, servizi di hosting, consulenti ai quali si affidano incarichi di audit per analisi di gestione se finalizzati a sviluppi di strategie di business, aziende che gestiscono la videosorveglianza aziendale.
Non sono responsabili esterni le banche nella gestione dei servizi di incasso e pagamento, le figure di audit per il controllo dei libri contabili se effettuati sulla base di norme obbligatorie, organismi per attività di certificazione di sistemi di gestione, il medico competente e gli organismi di vigilanza 231.
Valutare il responsabile esterno in base alle garanzie
Il responsabile esterno deve essere valutato dal titolare in termini di garanzie che è in grado di fornire in materia di tutela dei dati personali che gli vengono affidati.
La prima fase è precontrattuale: si tratta di valutare la competenza in merito alle misure organizzative e tecniche di sicurezza a tutela dei dati, a prescindere dalla competenza settoriale, richiedendo gli elementi utili a verificare e dimostrare la sua compliance in tema di protezione dei dati.
Una volta affidato l’incarico, la valutazione deve essere gestita con verifiche periodiche.
Il data processing agreement
Secondo il GDPR, il rapporto tra titolare e responsabile deve essere oggetto di un contratto o di altro atto giuridico a norma del diritto dell’Unione o degli Stati membri. Questo atto deve vincolare il responsabile del trattamento al titolare e definire:
- la materia disciplinata;
- la durata del trattamento;
- natura e finalità del trattamento;
- il tipo di dati personali e le categorie di interessati;
- gli obblighi e i diritti del titolare del trattamento.
Tale atto vien chiamato anche data processing agreement (DPA). La sua assenza espone a sanzione sia il titolare sia il responsabile, che si troverebbe a trattare dati illecitamente.
La pratica e le clausole standard dell’Autorità danese
Sarebbe opportuno che il responsabile e il titolare “componessero” un atto sottoponendo ognuno le proprie garanzie per l’esecuzione dei trattamenti. Nella pratica si assiste a una presentazione unilaterale del documento da parte del titolare al responsabile esterno, solo per non rimarne privi.
In tale contesto, l’autorità di controllo danese ha predisposto delle clausole contrattuali standard che, sottoposte alla valutazione dello European Data Protection Board, sono state integrate e rese un modello utilizzabile da tutti i titolari del trattamento verso i responsabili esterni.
Lo standard è costituito da un documento contrattuale e quattro appendici (allegati).
La parte contrattuale definisce i vincoli che regolano il rapporto tra titolare e responsabile esterno, dettagliando le previsioni dell’art. 28 del GDPR, in particolare la suddivisione degli obblighi tra le due parti in causa.
Le quattro appendici contengono informazioni di dettaglio.
- L’Appendice A descrive i dati oggetto di trattamento, le finalità, la natura e la durata del trattamento, le categorie di interessati, la lista dei sub-responsabili. I sub-responsabili sono i soggetti a cui il responsabile, previa autorizzazione generale o puntuale del titolare, può a sua volta affidare parte dei trattamenti da svolgere.
- L’Appendice B contiene l’elenco dei sub-responsabili autorizzati.
- L’Appendice C contiene le istruzioni relative all’uso dei dati personali fornite dal titolare del trattamento al responsabile
- L’Appendice D è lo spazio per ulteriori clausole.
Se un responsabile non può proseguire l’incarico?
L’Autorità danese ha previsto tale eventualità, attribuendo al titolare la facoltà di richiedere direttamente ai sub-responsabili l’esecuzione del contratto stipulato con il responsabile o la cancellazione o restituzione dei dati personali trattati.