Responsabile esterno del trattamento: chi va nominato e cosa scrivere nel contratto

Come mettere in ordine i fornitori, in sei passi

1. Fai l’elenco di chi vede i tuoi dati

   Parti dalle fatture passive dell’ultimo anno: software, cloud, assistenza informatica, consulenti, agenzie, vigilanza. Per ognuno annota quali dati vede.

2. Per ognuno chiediti: per conto di chi?

   Se usa i dati solo per il servizio che gli hai chiesto, seguendo le tue regole, è responsabile. Se li usa per scopi suoi o decide in autonomia, è titolare autonomo.

3. Cerca l’accordo che esiste già

   Molti fornitori hanno un accordo sul trattamento dei dati (DPA, Data Processing Agreement) nelle condizioni di servizio: scaricalo in PDF con la data.

4. Per gli altri, prepara un contratto o un atto di nomina

   Puoi partire dalle clausole contrattuali tipo della Commissione europea, compilando gli allegati.

5. Controlla dove vanno i dati

   Chiedi l’elenco dei sub-responsabili e dove sono i server.

6. Collega tutto al registro

   Nel registro dei trattamenti indica per ogni fornitore se è responsabile o titolare autonomo, e conserva i contratti in una cartella unica.

Titolare, responsabile, contitolare, titolare autonomo: come distinguerli

La domanda giusta è sempre la stessa: chi decide perché e come si usano i dati?

Il ruolo dipende dai fatti, non dalle etichette: chiamare «responsabile» chi in realtà decide da solo non lo rende tale. E un responsabile che usa i dati per scopi propri, fuori dalle istruzioni, diventa titolare di quel trattamento, con le relative responsabilità.

Commercialista e consulente del lavoro: il caso più discusso

Consulente del lavoro. Qui c’è una risposta ufficiale. Con una nota del 22 gennaio 2019, rispondendo al Consiglio nazionale dell’Ordine, il Garante ha chiarito che il consulente del lavoro:

• è responsabile quando, su incarico del datore di lavoro, fa buste paga, assunzioni, cessazioni e gli altri adempimenti sui dipendenti del cliente: il titolare resta il datore di lavoro;
• è titolare per i dati dei propri clienti persone fisiche e dei propri dipendenti;
• di regola non è contitolare con il cliente.

Lo stesso vale per un centro elaborazione paghe.

Commercialista. Non c’è una presa di posizione del Garante altrettanto netta, e tra gli addetti ai lavori le opinioni sono diverse. Il criterio da usare è quello delle linee guida europee, che fanno proprio l’esempio di una società di contabilità:

• se tiene la contabilità o le paghe seguendo istruzioni dettagliate del cliente, agisce di fatto come responsabile;
• se lavora con piena autonomia professionale o in base a obblighi che la legge pone direttamente a lui, come il revisore o il sindaco, o quando ti assiste in un contenzioso, è titolare autonomo.

Per una piccola impresa che affida al commercialista contabilità e dichiarazioni, la soluzione più diffusa e prudente è un contratto da responsabile per l’elaborazione dei dati. Se il tuo commercialista sostiene di essere titolare autonomo, non è per forza sbagliato: chiedigli di scriverlo e di indicare per quali attività.

Chi va nominato: i fornitori più comuni

Nei casi dubbi: se il fornitore, finito il contratto, può tenersi i dati e usarli per sé, probabilmente è titolare; se deve restituirli o cancellarli, è responsabile.

Cosa deve contenere il contratto, punto per punto

L’articolo 28, paragrafo 3, del GDPR fissa il contenuto minimo. Il contratto deve descrivere il trattamento e obbligare il fornitore a una serie di cose precise.

Per le linee guida europee il contratto non deve limitarsi a ricopiare l’articolo 28, ma dire come quegli obblighi si applicano a quel servizio. Va scritto, anche in formato elettronico: un’accettazione online documentata va bene, un accordo a voce no.

Il fornitore che è tuo responsabile deve tenere a sua volta il registro dei trattamenti svolti per i clienti: come si fa lo spiega l’articolo sul registro dei trattamenti.

Il modello ufficiale: le clausole contrattuali tipo

Con la Decisione di esecuzione (UE) 2021/915 la Commissione europea ha approvato clausole contrattuali tipo tra titolari e responsabili, anche in italiano. Sono facoltative, ma coprono tutto l’articolo 28 in un testo già accettato dalle autorità.

• Si possono inserire in un contratto più ampio e aggiungere altre clausole, purché non le contraddicano.
• Il testo delle clausole non si modifica: si compilano gli allegati. Allegato I, le parti; II, la descrizione del trattamento; III, le misure di sicurezza; IV, i sub-responsabili autorizzati, se scegli l’autorizzazione specifica.
• Sui sub-responsabili offrono due opzioni: autorizzazione specifica caso per caso, oppure generale con un preavviso che decidi tu.

Sono diverse dalle clausole tipo per i trasferimenti fuori dall’Unione europea (Decisione 2021/914). Se il fornitore o un suo sub-responsabile tratta i dati fuori dall’UE, serve una decisione di adeguatezza, come il Data Privacy Framework per le aziende statunitensi certificate, o clausole di trasferimento firmate.

Google, Microsoft e gli altri grandi fornitori

Con i grandi fornitori di cloud, posta o newsletter non negozi nulla: il DPA è già nelle condizioni del servizio, a volte da attivare nel pannello di amministrazione. Va bene che il testo lo scriva il fornitore, ma la scelta resta tua: accettandolo, ti assumi la responsabilità di aver valutato che offre garanzie sufficienti. In pratica:

• usa un piano professionale: alcune versioni gratuite non prevedono il DPA;
• scarica il DPA e l’elenco dei sub-responsabili in PDF, con la data;
• controlla in quale regione sono conservati i dati e, se possibile, scegli l’Unione europea;
• iscriviti agli avvisi sulle modifiche ai sub-responsabili, se il fornitore li offre.

Sul resto del contratto cloud, come durata, recesso e portabilità dei dati con il Data Act, vedi come scegliere un gestionale.

Gli errori più comuni

• Nominare tutti. Mandare la nomina alla banca, al corriere o al medico competente non serve e confonde i ruoli.
• Nomine senza istruzioni. Una pagina che dice solo «ti nomino responsabile ai sensi dell’articolo 28» non basta: mancano oggetto, tipi di dati, misure e regole sui sub-responsabili.
• Non aggiornare la lista dei sub-responsabili. Il fornitore cambia data center o servizio di assistenza e tu non lo sai. Le linee guida europee chiedono che le modifiche ti siano comunicate attivamente: la sola pubblicazione di un elenco sul sito non basta.
• Dimenticare la fine del rapporto. Cambi gestionale e i dati restano anni sul vecchio server: chiedi per iscritto la cancellazione e una conferma.
• Nominare i dipendenti. Chi lavora con te non è un responsabile esterno: va autorizzato con istruzioni, vedi nomine e registri.

Le altre lacune che il Garante trova più spesso nelle piccole attività, e le sanzioni reali, sono nell’articolo sul GDPR per piccole aziende.

Un esempio concreto: lo studio dentistico

Marco, dentista con due assistenti e una segretaria, mette in ordine i fornitori.

• Software di cartella clinica in cloud: responsabile. Il fornitore ha un accordo da accettare online; Marco lo scarica, verifica che i server siano in Italia e salva l’elenco dei sub-responsabili.
• Tecnico informatico da remoto: responsabile e amministratore di sistema. Contratto sulle clausole tipo, con le misure nell’allegato III e l’obbligo di avvisare entro 24 ore in caso di incidente.
• Consulente del lavoro: responsabile per le buste paga delle assistenti.
• Commercialista: firma un contratto da responsabile per la tenuta della contabilità.
• Medico competente, banca e corriere: titolari autonomi, nessuna nomina.
• Servizio di promemoria via SMS: responsabile, con divieto di usare i numeri per altri scopi.

Alla fine Marco ha tre contratti firmati, due DPA scaricati e il registro aggiornato con i ruoli.

Cosa fa il consulente privacy su Intervento

Elenca i tuoi fornitori, cosa fanno e quali dati vedono, e allega i contratti o gli accordi che hai già. L’orientamento gratuito ti dice quali sembrano mancare. Con l’Analisi ottieni una lettura automatica di un contratto o di un DPA. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: chi è responsabile e chi titolare autonomo, cosa manca nei contratti, come gestire i sub-responsabili e i trasferimenti. Con il livello Soluzione, su preventivo, prepara le nomine su misura e le inserisce nel registro.