Articolo a cura di: Redazione - Studio Legale Calvello

Individuare correttamente titolare, responsabile e autorizzato al trattamento non è una formalità terminologica. Da questa qualificazione dipendono la distribuzione degli obblighi GDPR, i contratti con i fornitori, le istruzioni al personale, i poteri di accesso ai dati e, quando qualcosa non funziona, l’individuazione delle rispettive responsabilità.

Nella pratica aziendale gli errori nascono soprattutto quando si attribuisce un ruolo sulla base del nome utilizzato nel contratto o della posizione organizzativa, senza verificare chi decide realmente finalità e mezzi del trattamento e chi, invece, tratta i dati per conto di un altro soggetto. Il problema emerge spesso con software house, provider cloud, società di payroll, consulenti, servizi IT e altri fornitori che accedono ai dati dell’impresa. All’interno dell’azienda, invece, occorre distinguere questi soggetti dalle persone che operano sotto l’autorità del titolare o del responsabile e ricevono istruzioni per trattare i dati.

Titolare, responsabile e autorizzato al trattamento: cosa cambia concretamente per l’azienda

Il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. In una società, quindi, il titolare non coincide automaticamente con il dipendente che materialmente utilizza i dati, con il responsabile IT o con il legale rappresentante considerato come persona fisica: occorre individuare il soggetto cui sono riferibili le decisioni sul trattamento. È il titolare, per esempio, a stabilire perché vengono raccolti i dati dei dipendenti, dei clienti o dei fornitori e, nei limiti in cui tali scelte gli competono, come debbano essere organizzati i relativi trattamenti.

Il responsabile del trattamento ha una posizione diversa. Ai sensi dell’art. 4 GDPR, tratta dati personali per conto del titolare. L’art. 28 impone al titolare di ricorrere a responsabili che presentino garanzie sufficienti e richiede che il rapporto sia disciplinato da un contratto o da altro atto giuridico vincolante, con un contenuto che non può ridursi alla generica formula con cui il fornitore viene “nominato responsabile”. Devono essere regolati, tra l’altro, oggetto e durata del trattamento, natura e finalità, categorie di dati e interessati, obblighi e diritti del titolare, istruzioni documentate, riservatezza, sicurezza, eventuali sub-responsabili, assistenza al titolare e gestione dei dati alla cessazione del servizio.

È un punto particolarmente delicato nei rapporti con i fornitori. Una software house che gestisce dati personali per erogare un servizio all’impresa, un provider cloud o un outsourcer possono ricadere nella figura del responsabile quando ne ricorrono effettivamente i presupposti. Non basta però che un soggetto sia esterno all’azienda o abbia accesso ai dati per trasformarlo automaticamente in responsabile ex art. 28. Alcuni professionisti o fornitori possono operare come autonomi titolari per determinati trattamenti; in altri rapporti può emergere una contitolarità. La qualificazione deve seguire le funzioni effettivamente esercitate, non l’etichetta scelta dalle parti.

L’autorizzato al trattamento opera invece sotto l’autorità del titolare o del responsabile. L’art. 29 GDPR stabilisce che chi abbia accesso ai dati personali sotto tale autorità non possa trattarli se non è istruito in tal senso, salvo che lo richieda il diritto dell’Unione o nazionale. Nell’ordinamento italiano assume rilievo anche l’art. 2-quaterdecies del Codice Privacy, che consente al titolare o al responsabile di prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate.

Per l’impresa questo significa che non è sufficiente predisporre una serie di “nomine privacy” standard. Occorre stabilire quali dati ciascuna funzione aziendale possa utilizzare, per quali attività e con quali limiti, impartire istruzioni coerenti con le mansioni effettive e organizzare di conseguenza le autorizzazioni tecniche ai sistemi. Un addetto HR, per esempio, può avere necessità di accedere a informazioni che non devono essere disponibili a un dipendente commerciale; il personale IT può disporre di privilegi tecnici che richiedono regole specifiche. Ruolo organizzativo, istruzioni privacy e diritti di accesso devono essere coerenti tra loro.

Come capire se un soggetto è titolare, responsabile o autorizzato: conta ciò che fa realmente

Uno degli errori più frequenti consiste nel partire dal documento da firmare anziché dal trattamento da qualificare. Prima di predisporre un accordo ex art. 28 o un atto di autorizzazione dobbiamo ricostruire il rapporto concreto: chi stabilisce perché i dati vengono trattati, chi assume le decisioni essenziali sul trattamento e chi opera invece per conto e secondo le istruzioni di un altro soggetto. Le Linee guida 07/2020 dell’European Data Protection Board sui concetti di titolare e responsabile insistono proprio sulla natura funzionale di queste qualificazioni: i ruoli derivano dalle attività effettivamente svolte e dalla capacità decisionale esercitata nel trattamento.

Questo criterio evita un equivoco ricorrente. Un contratto denominato “nomina a responsabile del trattamento” non rende responsabile un soggetto che, nella realtà, determina autonomamente finalità e mezzi del trattamento. Lo stesso GDPR prevede, all’art. 28, paragrafo 10, che il responsabile che violi il Regolamento determinando finalità e mezzi del trattamento sia considerato titolare con riferimento a quel trattamento. Per questo, quando analizziamo i rapporti con fornitori e partner, non ci limitiamo alla presenza formale del DPA o della clausola privacy: dobbiamo verificare se il contenuto del contratto corrisponde alla concreta distribuzione delle decisioni e delle attività.

Un’altra distinzione riguarda il personale interno. Il dipendente che utilizza il gestionale clienti, l’addetto amministrativo che tratta coordinate bancarie e dati di fatturazione o l’ufficio HR che gestisce informazioni sui lavoratori non diventano, per questa sola ragione, responsabili del trattamento ai sensi dell’art. 28. Normalmente operano nell’organizzazione del titolare e sotto la sua autorità, secondo compiti e istruzioni definiti. La questione aziendale, quindi, riguarda la corretta attribuzione delle autorizzazioni, la delimitazione degli accessi e la formazione del personale, da coordinare con le misure organizzative e tecniche adottate.

Con i soggetti esterni l’analisi può essere più complessa. Se il fornitore tratta dati per conto dell’impresa, occorre verificare i presupposti dell’art. 28, le garanzie offerte e il contratto che disciplina il trattamento. Se decide autonomamente finalità e mezzi essenziali per un proprio trattamento, la qualificazione può essere diversa. Se due soggetti determinano congiuntamente finalità e mezzi, deve essere valutata la disciplina della contitolarità prevista dall’art. 26 GDPR. Non è quindi corretto predisporre indiscriminatamente una “nomina a responsabile esterno” per ogni commercialista, professionista, corriere, società informatica o altro fornitore che venga in contatto con dati personali.

Questa ricognizione dovrebbe trovare corrispondenza nell’intera documentazione privacy aziendale: registro delle attività di trattamento, informative, contratti con i responsabili, attribuzione dei compiti al personale, procedure e misure di sicurezza. Quando cambiano fornitori, software, mansioni, flussi di dati o modalità operative, può essere necessario verificare nuovamente ruoli e autorizzazioni. È uno dei motivi per cui l’aggiornamento della documentazione privacy non dovrebbe essere trattato come una semplice revisione periodica dei moduli, ma come un controllo della corrispondenza tra documenti e organizzazione effettiva dell’impresa.

Obblighi e responsabilità: dove nascono i rischi quando i ruoli privacy sono sbagliati

Una qualificazione errata produce conseguenze operative che vanno oltre il nome attribuito al soggetto. Se un fornitore tratta dati personali per conto dell’azienda ma il rapporto non è correttamente disciplinato ai sensi dell’art. 28 GDPR, il problema riguarda sia la documentazione sia il modo in cui il titolare ha selezionato, istruito e controllato quel fornitore. Il Regolamento richiede infatti che il titolare ricorra a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate e che il trattamento sia regolato da un contratto o da altro atto giuridico vincolante.

Per questo motivo la verifica dei responsabili esterni del trattamento dovrebbe partire dalla mappatura dei fornitori che, nell’esecuzione dei rispettivi servizi, trattano effettivamente dati personali per conto dell’impresa. Software gestionali, servizi cloud, hosting, assistenza informatica, payroll, CRM e altre attività in outsourcing possono comportare trattamenti molto diversi. Per ciascun rapporto occorre verificare la corretta qualificazione delle parti e, quando ricorrono i presupposti dell’art. 28, controllare che l’accordo disciplini concretamente il trattamento e non sia un modello standard scollegato dal servizio acquistato.

Particolare attenzione richiedono i sub-responsabili. Il responsabile non può ricorrere a un altro responsabile senza l’autorizzazione scritta, specifica o generale, del titolare secondo quanto previsto dall’art. 28 GDPR. Nei servizi tecnologici e cloud le catene di fornitori possono essere articolate: conoscere i soggetti coinvolti, le attività affidate e l’eventuale localizzazione dei trattamenti può diventare necessario anche per valutare trasferimenti di dati verso Paesi terzi e ulteriori profili di compliance. Un contratto formalmente presente, quindi, non esaurisce la verifica richiesta all’impresa.

All’interno dell’organizzazione il rischio assume caratteristiche diverse. Le persone autorizzate devono ricevere istruzioni coerenti con le attività svolte e poter accedere soltanto ai dati necessari rispetto alle proprie funzioni. Un’autorizzazione estremamente generica, non aggiornata dopo un cambio di mansione o non accompagnata da una corrispondente configurazione degli accessi informatici può creare una distanza tra l’organizzazione descritta nei documenti e quella realmente esistente. La questione diventa particolarmente delicata quando sono trattati dati relativi alla salute, informazioni retributive, dati disciplinari o altre informazioni che richiedono una rigorosa delimitazione degli accessi.

La stessa attenzione è necessaria quando il rapporto di lavoro termina o cambiano le responsabilità interne. Credenziali, account, cartelle condivise e privilegi applicativi devono essere gestiti coerentemente con il nuovo assetto. Il tema assume autonoma rilevanza quando un ex dipendente conserva la possibilità di accedere ai dati aziendali: in una situazione simile non basta verificare quale autorizzazione fosse stata originariamente attribuita, ma occorre ricostruire gli accessi ancora disponibili e valutare le conseguenze dell’eventuale utilizzo dei dati.

Se un accesso non autorizzato determina una violazione della sicurezza che comporta accidentalmente o in modo illecito distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali, può inoltre porsi un problema di data breach. Non ogni errore nella gestione delle autorizzazioni determina automaticamente una violazione da notificare al Garante, ma l’evento deve essere qualificato e valutato secondo le regole previste dagli artt. 33 e 34 GDPR, considerando il rischio per i diritti e le libertà delle persone fisiche.

La corretta distribuzione dei ruoli rientra quindi nell’accountability dell’impresa. In sede di audit privacy o check-up GDPR è opportuno verificare congiuntamente trattamenti, fornitori, accordi ex art. 28, personale autorizzato, istruzioni, profili di accesso e documentazione. Se questi elementi non corrispondono più all’organizzazione effettiva, può essere necessario intervenire sulle singole criticità nell’ambito di un più ampio adeguamento GDPR aziendale, evitando di limitarsi alla sostituzione formale delle vecchie nomine.

Un caso pratico: il fornitore software nominato responsabile e le autorizzazioni interne non aggiornate

In un caso aziendale, qui richiamato in forma anonimizzata nel rispetto della riservatezza professionale, l’impresa aveva predisposto nel tempo diversi documenti privacy, comprese le autorizzazioni al personale e alcune nomine dei fornitori esterni. La crescita dell’attività aveva però modificato l’organizzazione: era stato introdotto un nuovo gestionale cloud, alcuni servizi erano stati affidati a soggetti esterni e diversi dipendenti avevano cambiato mansione, mentre la documentazione era rimasta sostanzialmente quella originaria.

Il problema non consisteva semplicemente nell’assenza di un documento. Era necessario ricostruire chi trattava quali dati e in quale veste. Per il servizio software abbiamo esaminato il rapporto contrattuale e i trattamenti effettuati dal fornitore, verificando la disciplina applicabile ai sensi dell’art. 28 GDPR e la presenza di ulteriori soggetti coinvolti nell’erogazione del servizio. Parallelamente sono state riesaminate le funzioni interne per individuare quali dipendenti avessero effettiva necessità di accedere alle diverse categorie di informazioni.

L’aspetto che ha richiesto maggiore attenzione è stato far coincidere l’assetto documentale con quello operativo. Non sarebbe stato sufficiente predisporre nuove lettere di autorizzazione mantenendo invariati accessi informatici non più coerenti con le mansioni. L’intervento è stato quindi impostato sulla revisione dei ruoli, delle istruzioni e dei rapporti con i fornitori, coordinando la documentazione privacy con l’organizzazione concreta dei trattamenti. È questo tipo di verifica che consente all’impresa di capire se le qualificazioni utilizzate nei propri documenti descrivono ancora correttamente ciò che avviene nella gestione quotidiana dei dati personali.

FAQ su titolare, responsabile e autorizzato al trattamento

Un fornitore esterno deve essere sempre nominato responsabile del trattamento?

No. La presenza di un rapporto di fornitura e l’accesso a dati personali non determinano automaticamente la qualifica di responsabile del trattamento. Occorre verificare concretamente il ruolo svolto. Se il fornitore tratta dati personali per conto dell’azienda e secondo le sue istruzioni, possono ricorrere i presupposti dell’art. 28 GDPR. Se invece determina autonomamente finalità e mezzi essenziali di un proprio trattamento, può operare come titolare autonomo. In determinate situazioni può anche configurarsi una contitolarità ai sensi dell’art. 26 GDPR. La qualificazione deve quindi precedere la predisposizione del contratto o della cosiddetta “nomina privacy”.

È obbligatorio autorizzare formalmente tutti i dipendenti che trattano dati personali?

Il GDPR richiede che le persone che hanno accesso ai dati personali e operano sotto l’autorità del titolare o del responsabile li trattino secondo le istruzioni ricevute. Nell’ordinamento italiano l’art. 2-quaterdecies del Codice Privacy disciplina inoltre l’attribuzione di specifici compiti e funzioni a persone fisiche espressamente designate. Per l’azienda è quindi necessario organizzare in modo documentabile compiti, istruzioni e autorizzazioni, evitando formule generiche che non corrispondano alle mansioni e agli accessi effettivamente consentiti.

Il responsabile del trattamento coincide con il DPO?

No. Il responsabile del trattamento ex art. 28 GDPR tratta dati personali per conto del titolare, mentre il DPO o Responsabile della protezione dei dati svolge le funzioni previste dagli artt. 37-39 GDPR, tra cui informare e fornire consulenza, sorvegliare l’osservanza della disciplina applicabile e cooperare con l’autorità di controllo. Sono figure giuridicamente diverse e non devono essere confuse solo perché nella terminologia italiana entrambe contengono la parola “responsabile”.

Cosa succede se l’azienda ha qualificato erroneamente un fornitore come responsabile del trattamento?

Occorre esaminare il rapporto effettivo e verificare quale qualificazione corrisponda alle attività realmente svolte. L’errore può riflettersi sul contratto, sulle informative, sul registro dei trattamenti, sulle istruzioni impartite e sugli altri documenti collegati. La correzione, quindi, non consiste necessariamente nel cambiare una singola “nomina”: può richiedere una revisione coordinata della documentazione e dei flussi di dati interessati.

Come può un’azienda verificare se i propri ruoli privacy sono ancora corretti?

La verifica dovrebbe partire dai trattamenti effettivamente svolti e ricostruire soggetti coinvolti, fornitori, finalità, flussi di dati, poteri decisionali e accessi del personale. Questi elementi vanno poi confrontati con contratti ex art. 28, autorizzazioni, istruzioni, registro dei trattamenti e configurazioni dei sistemi informatici. È particolarmente utile effettuare il controllo quando cambiano fornitori, software, servizi cloud, mansioni interne o struttura organizzativa, oppure quando la documentazione privacy aziendale non viene riesaminata da tempo.

Verificare i ruoli privacy prima che un errore organizzativo diventi un problema

Se non è chiaro se un fornitore debba essere qualificato come responsabile del trattamento, se gli accordi ex art. 28 non corrispondono più ai servizi effettivamente utilizzati oppure se autorizzazioni e accessi dei dipendenti non sono stati aggiornati, è opportuno ricostruire l’organizzazione dei trattamenti prima di intervenire sui singoli documenti. La soluzione dipende dai rapporti concretamente esistenti, dai dati trattati e dall’autonomia decisionale dei diversi soggetti coinvolti.

Lo Studio Legale Calvello assiste imprese e società nella verifica dei ruoli GDPR, nella disciplina dei rapporti con i responsabili del trattamento, nella revisione delle autorizzazioni interne e nell’organizzazione della compliance privacy. Per sottoporci la situazione della tua impresa puoi richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato.