Visualizza articoli per tag: responsabile del trattamento

Per garantire che siano rispettate le norme del Regolamento UE 679/2016 in relazione ai trattamenti che i responsabili debbano eseguire per conto del titolare, il Legislatore Europeo ha previsto, tra l’altro, che l’esecuzione dei compiti del responsabile venga disciplinata da un atto con valenza giuridica, nomina quindi non più meramente facoltativa ma obbligatoria in forza di un contratto o altro atto giuridico vincolante.

Clausole privacy standard a tinte Ue per il contratto di outsourcing. Ogni volta che un'impresa o una pubblica amministrazione o un professionista si avvalgono di un fornitore esterno bisogna firmare un contratto (o atto simile). Il fornitore esterno, con le parole del Regolamento Ue sulla privacy n. 2016/679 (Rgpd), si chiama «responsabile esterno del trattamento» e si applica l'articolo 28 del Rgpd.

Senza una nomina, non c’è responsabile esterno? L’articolo 20 del Gdpr ci dice: “Guarda, carissimo titolare del trattamento, che tra te e il responsabile esterno è obbligatorio che ci sia o un contratto con delle clausole o una nomina. Se manca una di queste due cose, non puoi avvalerti di quel responsabile esterno.” Il responsabile esterno quindi deve essere nominato con un atto di nomina o deve essere indicato all’interno del contratto di fornitura, attraverso un atto che vincola il responsabile del trattamento al titolare. Cosa vuol dire che vincola?

I consulenti del lavoro non sono obbligatoriamente responsabili esterni del trattamento. Questa l'indicazione del Consiglio nazionale dei consulenti del lavoro (circolare n. 1150 del 23 luglio 2018), in cui si affronta un problema posto dal Regolamento Ue sulla privacy (n. 2016/679). In effetti se un soggetto è «responsabile del trattamento», in base all'articolo 28 del regolamento, deve obbligatoriamente, a pena di sanzione amministrativa, sottoscrivere un contratto con il titolare del trattamento. Per questo motivo ai consulenti stanno arrivando richieste di firmare il contratto di responsabile esterno. Secondo la circolare le richieste possono essere respinte.

Sono passati ormai più di due anni da quando il Gdpr è entrato pienamente in vigore e tra i soggetti protagonisti della nuova normativa ci sono certamente i fornitori di software ma non sempre è facile individuare ruoli e responsabilità nel trattamento dei dati ad essi affidati. Con riferimento a quest’ultimi, possono verificarsi diversi scenari ed è pertanto necessario valutare caso per caso le diverse fattispecie.

Da un’indagine della Guardia di finanza emergeva che undici schede telefoniche fossero state intestate a cinque ignari cittadini in spregio della normativa che ne richiede l'obbligo di identificazione dell'assegnatario dell'utenza e l'obbligo di rendere agli interessati le informazioni relativamente al trattamento dei dati personali.

Nel linguaggio degli addetti ai lavori sono denominati correntemente 'sub-responsabili', mentre l'art. 28 del Regolamento UE 2016/679 li chiama “altri responsabili”, la sostanza è comunque la stessa: si intendono per costoro quei soggetti cui si rivolge il responsabile quando intenda sub-affidare in tutto o in parte il servizio (con il connesso trattamento dei dati) del cui svolgimento ha ricevuto incarico dal titolare. Si tratta di una opportunità denegata, in Italia, dal pre-vigente art. 29 del Codice privacy, che contemplava unicamente nomine dirette da parte del titolare, nella formale indifferenza rispetto ad un fenomeno che nella realtà del mercato era ed è, invece, assai diffuso ed importante.

La qualificazione dei soggetti esterni destinatari di dati personali e la corretta individuazione del ruolo soggettivo loro attribuito è un processo complesso, che implica verifiche mirate e che continua a presentare non poche criticità.  Nello svolgimento delle attività di trattamento che gli sono proprie, infatti, il titolare del trattamento si trova a dover comunicare i dati personali dell’interessato a diverse categorie di soggetti, o a doverli condividere con gli stessi:

La società di servizi di conservazione dei dati è un responsabile esterno del trattamento. Questo vale per la società che ospita le informazioni sui dipendenti di una azienda. È questa una delle risposte fornite dalle «Linee-guida sui concetti di titolare del trattamento e responsabile del trattamento nel Gdpr», diffuse in pubblica consultazione dal Comitato europeo per la protezione dei dati personali (siglabile con l'acronimo inglese «Edpb»), che riunisce tutti i garanti europei della privacy.

Le colpe dei responsabili del trattamento ricadono sui titolari del trattamento. Anche se il fornitore esterno di un servizio abbia disatteso le prescrizioni del titolare. È quanto stabilito dal Garante con provvedimento n. 231/2019, in un caso in cui è stata contestata ad un operatore economico l'attivazione di contratti non richiesti dagli utenti.