Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda affida a un’agenzia web la gestione del sito internet, dell’e-commerce, delle campagne pubblicitarie o delle attività di marketing digitale, deve verificare se il fornitore tratta dati personali per suo conto. In questo caso, può essere necessario formalizzare il rapporto attraverso un accordo di nomina a responsabile del trattamento ai sensi dell’articolo 28 del GDPR. La questione riguarda anche attività apparentemente tecniche, come la manutenzione di WordPress, l’accesso al database dei clienti o la gestione dei moduli di contatto.

La semplice esistenza di un contratto commerciale con la web agency non basta a disciplinare gli obblighi previsti dalla normativa privacy. Occorre stabilire quali dati personali siano effettivamente trattati, per quali finalità, con quali autorizzazioni e attraverso quali strumenti. Una qualificazione errata del rapporto o l’assenza dell’accordo richiesto possono esporre l’azienda a contestazioni e responsabilità, anche quando le attività operative vengono svolte interamente dal fornitore esterno. Noi dello Studio Legale Calvello assistiamo le imprese nella verifica dei rapporti con le agenzie digitali, nella predisposizione degli accordi GDPR e nella gestione delle irregolarità contrattuali e organizzative.

Quando un’agenzia web deve essere nominata responsabile del trattamento GDPR

Il criterio da applicare è quello previsto dall’articolo 4, paragrafo 1, numero 8, del Regolamento (UE) 2016/679: è responsabile del trattamento il soggetto che tratta dati personali per conto del titolare. Non è quindi la denominazione del fornitore, né il tipo di servizio acquistato, a determinare automaticamente la necessità della nomina. Conta il ruolo concretamente assunto dall’agenzia nelle operazioni sui dati personali.

Un’impresa che commissiona la realizzazione di un sito istituzionale, senza concedere all’agenzia accesso a dati personali o affidarle operazioni che li riguardano, potrebbe non avere necessità di stipulare un accordo ai sensi dell’articolo 28. La situazione cambia quando la web agency gestisce i moduli di richiesta informazioni, interviene sui database degli utenti, amministra un e-commerce oppure effettua attività di manutenzione che comportano la possibilità di accedere ai dati personali conservati nei sistemi aziendali.

Per esempio, un’agenzia incaricata di gestire un negozio WooCommerce può avere accesso ai nominativi degli acquirenti, agli indirizzi di spedizione, ai recapiti e allo storico degli ordini. Se svolge queste operazioni per conto dell’impresa che determina le finalità del trattamento, l’agenzia assume normalmente il ruolo di responsabile del trattamento e il rapporto deve essere disciplinato da un accordo conforme al GDPR.

Una valutazione analoga riguarda i fornitori che amministrano piattaforme di email marketing, CRM, sistemi di prenotazione, campagne di acquisizione contatti o strumenti di marketing automation. Anche un social media manager esterno può assumere questo ruolo quando gestisce, per conto dell’azienda, messaggi privati, richieste commerciali o informazioni personali degli utenti. Occorre invece distinguere le attività nelle quali il fornitore determina autonomamente finalità e mezzi essenziali del trattamento, potendo assumere la posizione di titolare autonomo o, in determinate circostanze, di contitolare.

La distinzione diventa particolarmente delicata nelle campagne Google Ads e Meta Ads. L’agenzia può operare come responsabile per alcune attività svolte su istruzioni del cliente, mentre le piattaforme pubblicitarie possono assumere ruoli differenti in relazione ai singoli trattamenti. Non è corretto attribuire indistintamente a tutti i soggetti coinvolti la stessa qualifica privacy.

Un’altra situazione frequente riguarda la web agency che dispone delle credenziali amministrative del sito. Il solo possesso di una password non determina automaticamente la qualifica di responsabile, ma occorre verificare se l’incarico preveda operazioni sui dati personali, anche attraverso accessi tecnici, interventi di assistenza o attività di manutenzione. Se tali operazioni rientrano nel servizio affidato, il trattamento deve essere adeguatamente regolato prima che venga effettuato.

Per comprendere correttamente questa distinzione è utile considerare anche i diversi ruoli previsti dalla normativa, approfonditi nel nostro articolo dedicato a titolare, responsabile e autorizzato al trattamento. La qualificazione deve essere coerente con l’organizzazione effettiva del servizio, evitando nomine standardizzate che non descrivono ciò che l’agenzia svolge concretamente.

Contratto con la web agency e articolo 28 GDPR: quali clausole e verifiche sono necessarie

Quando l’agenzia web opera come responsabile del trattamento, l’articolo 28 del GDPR richiede che il rapporto sia disciplinato da un contratto o da altro atto giuridico vincolante. L’accordo può essere integrato nel contratto principale oppure predisposto come documento separato, spesso denominato Data Processing Agreement (DPA). Deve comunque contenere gli elementi richiesti dalla normativa e rappresentare correttamente le attività affidate al fornitore.

Il documento deve individuare la materia disciplinata e la durata del trattamento, la natura e le finalità delle operazioni, le categorie di interessati, le tipologie di dati personali e gli obblighi del titolare. Deve inoltre stabilire che il responsabile tratti i dati soltanto sulla base di istruzioni documentate, salvo specifici obblighi di legge, e che le persone autorizzate al trattamento siano vincolate alla riservatezza.

Per un’agenzia che gestisce un e-commerce, ad esempio, non è sufficiente una clausola generica secondo cui il fornitore si impegna a rispettare il GDPR. Occorre disciplinare gli accessi ai dati degli acquirenti, le attività di assistenza, le misure di sicurezza, l’eventuale impiego di collaboratori esterni e le modalità di restituzione o cancellazione delle informazioni al termine dell’incarico.

Particolare attenzione merita il ricorso ai subresponsabili del trattamento. Una web agency può utilizzare società di hosting, servizi cloud, strumenti di automazione o altri fornitori che trattano dati personali per suo conto nell’esecuzione dell’incarico. L’articolo 28 richiede un’autorizzazione scritta, specifica o generale, del titolare prima di ricorrere ad altri responsabili. In caso di autorizzazione generale, il titolare deve essere informato delle modifiche previste, così da poter esercitare il diritto di opposizione.

L’agenzia deve inoltre imporre ai subresponsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti nel proprio accordo con il cliente. La presenza di servizi situati fuori dallo Spazio economico europeo richiede ulteriori verifiche sulle condizioni dei trasferimenti internazionali, senza considerare sufficiente la sola sottoscrizione del DPA.

Il contratto deve regolare anche l’assistenza che il responsabile presta al titolare nella gestione delle richieste degli interessati, delle violazioni di dati personali e, quando pertinente, delle valutazioni d’impatto. Deve prevedere la messa a disposizione delle informazioni necessarie a dimostrare il rispetto degli obblighi e consentire le verifiche previste dall’articolo 28. Alla cessazione del servizio, la restituzione o cancellazione dei dati deve seguire la scelta del titolare, fatte salve le conservazioni imposte dalla legge.

Prima di affidare il trattamento a un’agenzia, l’impresa deve inoltre verificare che il fornitore presenti garanzie sufficienti quanto a competenze, misure tecniche e organizzative e capacità di rispettare i diritti degli interessati. Questo controllo non si esaurisce nella raccolta di una firma: può richiedere l’esame delle procedure di accesso, delle politiche di sicurezza, della gestione dei collaboratori e delle modalità di intervento in caso di incidente informatico.

Per le imprese che hanno già sottoscritto un contratto commerciale senza una disciplina privacy adeguata, occorre esaminare il rapporto effettivo e predisporre gli eventuali atti integrativi. La firma successiva di una nomina non rende automaticamente regolari i trattamenti effettuati in precedenza, ma consente di disciplinare correttamente le attività future, insieme agli ulteriori interventi necessari.

Abbiamo approfondito il contenuto degli accordi nell’articolo dedicato al contratto ex articolo 28 GDPR e alle clausole obbligatorie. Nel rapporto con una web agency, la corretta applicazione di queste disposizioni richiede sempre di collegare gli obblighi contrattuali ai servizi digitali effettivamente prestati.

Agenzia web senza nomina GDPR: responsabilità, controlli e rischi per l’azienda

Quando un’agenzia web tratta dati personali per conto dell’impresa senza un accordo conforme all’articolo 28 del GDPR, il problema riguarda anzitutto il titolare del trattamento, che deve scegliere fornitori dotati di garanzie sufficienti e disciplinare correttamente le attività affidate. L’esternalizzazione della gestione del sito, dell’e-commerce o del marketing digitale non trasferisce automaticamente all’agenzia tutte le responsabilità privacy dell’azienda cliente. Il fornitore risponde a sua volta degli obblighi che il Regolamento pone direttamente a suo carico e delle eventuali operazioni effettuate in violazione delle istruzioni legittimamente ricevute.

La mancata formalizzazione del rapporto può costituire una violazione dell’articolo 28, anche quando non si sia verificata una perdita di dati personali. Le disposizioni relative agli obblighi del titolare e del responsabile possono comportare l’applicazione del regime sanzionatorio previsto dall’articolo 83, paragrafo 4, del GDPR, con sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano limiti massimi normativi, non sanzioni automaticamente applicabili: l’autorità valuta le circostanze concrete, la gravità della violazione e gli altri criteri previsti dal Regolamento.

Il rischio aumenta quando alla carenza contrattuale si accompagnano problemi organizzativi o di sicurezza. Si pensi a un’agenzia che utilizza credenziali amministrative condivise, concede accesso ai database a collaboratori non adeguatamente autorizzati oppure trasferisce informazioni dei clienti a piattaforme esterne senza che l’impresa abbia verificato i relativi trattamenti. In queste situazioni possono emergere violazioni ulteriori rispetto alla mancanza dell’accordo di nomina.

Un caso particolarmente delicato riguarda il data breach causato da un’agenzia web. Se il fornitore subisce un attacco informatico che compromette dati personali trattati per conto dell’azienda, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. Spetta poi al titolare valutare se ricorrano i presupposti per notificare l’incidente al Garante per la protezione dei dati personali, secondo l’articolo 33 del GDPR, e per comunicarlo agli interessati nei casi previsti dall’articolo 34.

L’accordo con l’agenzia dovrebbe prevedere procedure di comunicazione degli incidenti, referenti identificabili e modalità di collaborazione nella ricostruzione dell’accaduto. Una semplice clausola che imponga genericamente il rispetto della normativa potrebbe non essere sufficiente a organizzare una risposta tempestiva. Per gli obblighi dell’impresa quando l’incidente coinvolge un soggetto esterno, abbiamo predisposto un approfondimento su cosa fare quando un fornitore subisce un data breach.

Un altro momento critico è la sostituzione dell’agenzia digitale. L’impresa deve verificare quali dati siano conservati dal precedente fornitore, quali credenziali debbano essere revocate, se esistano backup o copie presso subresponsabili e come debba avvenire la restituzione o cancellazione delle informazioni. La cessazione del contratto commerciale non comporta necessariamente l’immediata eliminazione di ogni copia dei dati: occorre applicare quanto previsto dall’accordo GDPR, tenendo conto degli eventuali obblighi legali di conservazione.

Quando l’azienda scopre di aver affidato trattamenti a un’agenzia senza una nomina adeguata, è opportuno ricostruire le attività effettivamente svolte, verificare i soggetti che hanno avuto accesso ai dati e valutare se siano presenti ulteriori irregolarità. La regolarizzazione non consiste semplicemente nel far firmare un modulo con una data successiva. Occorre correggere il rapporto contrattuale, verificare le misure di sicurezza e documentare gli interventi effettuati, senza attribuire retroattivamente all’accordo effetti che non può produrre.

Per le aziende che si trovano in questa situazione, abbiamo approfondito anche come intervenire quando un fornitore tratta dati personali senza nomina. Nel caso specifico delle agenzie web, la verifica deve considerare la struttura tecnica dei servizi digitali, perché il trattamento può coinvolgere contemporaneamente sviluppatori, hosting provider, piattaforme pubblicitarie e altri operatori con ruoli differenti.

Esempio pratico: un’azienda affida sito web e marketing a un’agenzia senza disciplinare il trattamento dei dati

Consideriamo il caso esemplificativo di una società commerciale che affida a una web agency la manutenzione del proprio sito WordPress, la gestione delle campagne pubblicitarie e l’invio periodico di newsletter. Il contratto descrive i servizi e i relativi compensi, ma non contiene un accordo ai sensi dell’articolo 28 del GDPR. L’agenzia dispone delle credenziali amministrative del sito, accede ai contatti raccolti attraverso i moduli online e utilizza una piattaforma esterna per le comunicazioni commerciali.

Durante una verifica della documentazione privacy emerge che l’impresa non ha formalizzato le istruzioni sul trattamento, non ha verificato quali collaboratori dell’agenzia possano accedere ai dati e non dispone di informazioni sufficienti sui fornitori utilizzati per l’email marketing. Il problema non riguarda soltanto la mancanza della nomina, ma anche l’effettiva conoscenza delle operazioni svolte sui dati dei clienti.

In una situazione di questo tipo, l’intervento professionale consiste nell’esaminare il contratto e i servizi effettivamente prestati, distinguere i ruoli dei soggetti coinvolti e verificare le condizioni di accesso e conservazione dei dati. Una volta individuate le attività svolte dall’agenzia per conto dell’impresa, si può predisporre un accordo conforme all’articolo 28, definire le istruzioni operative e verificare i rapporti con gli eventuali subresponsabili. Particolare attenzione richiede la gestione dei dati raccolti prima della regolarizzazione, per valutare eventuali ulteriori interventi necessari.

Domande frequenti sulla nomina GDPR delle agenzie web

Un’agenzia web deve essere nominata responsabile del trattamento anche se si occupa soltanto della manutenzione del sito?

Dipende dalle attività effettivamente affidate. Se la manutenzione comporta operazioni sui dati personali per conto dell’azienda, anche attraverso interventi tecnici sui database o sui sistemi che li contengono, normalmente occorre un accordo ai sensi dell’articolo 28 del GDPR. Se invece il servizio non comporta alcun trattamento di dati personali per conto del cliente, la nomina potrebbe non essere necessaria. La valutazione deve considerare le operazioni previste dall’incarico, non soltanto la descrizione commerciale del servizio.

La nomina è necessaria anche per un’agenzia che gestisce Google Ads, Meta Ads o i social aziendali?

Non automaticamente. Occorre verificare quali dati personali siano trattati dall’agenzia, per conto di chi e con quali finalità. La gestione di contatti commerciali, messaggi privati, liste clienti o campagne di remarketing può comportare trattamenti per conto dell’impresa. Devono però essere distinti i ruoli dell’agenzia da quelli delle piattaforme pubblicitarie, che possono operare secondo differenti qualificazioni giuridiche in relazione ai servizi utilizzati.

Chi deve predisporre e firmare l’accordo GDPR tra azienda e agenzia web?

Il titolare del trattamento deve assicurarsi che il rapporto sia disciplinato da un accordo conforme all’articolo 28. Il documento può essere predisposto dall’azienda, dal suo consulente privacy oppure proposto dall’agenzia. Ciò che conta è che sia giuridicamente vincolante, contenga le clausole richieste e descriva correttamente i trattamenti affidati. L’utilizzo di un modello standard non esonera l’impresa dalla verifica della sua adeguatezza.

Se l’agenzia web rifiuta di firmare la nomina a responsabile del trattamento, cosa deve fare l’azienda?

Prima di tutto occorre verificare se la qualifica di responsabile sia effettivamente corretta. Se l’agenzia tratta dati personali per conto dell’impresa, il rapporto deve essere disciplinato secondo l’articolo 28. In mancanza di un accordo giuridicamente vincolante conforme alla normativa, l’azienda non dovrebbe affidarle tali trattamenti. Può essere necessario rivedere le condizioni contrattuali oppure individuare un diverso fornitore.

Quanto costa far verificare o predisporre la nomina GDPR di un’agenzia web?

Il costo dipende dalla complessità del rapporto e dalle attività richieste. La predisposizione di un accordo per un servizio circoscritto è diversa dalla revisione di un contratto che comprende e-commerce, campagne pubblicitarie, gestione dei database, hosting e numerosi fornitori esterni. Quando emergono irregolarità pregresse, può essere necessario esaminare anche le misure di sicurezza e la documentazione privacy esistente. Una valutazione preliminare consente di definire l’effettiva estensione dell’intervento professionale.

Nomina GDPR dell’agenzia web: richiedi una valutazione legale per la tua azienda

Se la tua azienda affida a un’agenzia web la gestione del sito internet, dell’e-commerce, dei dati dei clienti o delle campagne di marketing, è opportuno verificare che i rapporti contrattuali e le modalità di trattamento siano conformi al GDPR. La presenza di una nomina generica, di un contratto incompleto o di accessi ai dati non adeguatamente disciplinati può richiedere un intervento di revisione.

Noi dello Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nella qualificazione dei rapporti con i fornitori digitali, nella predisposizione e revisione degli accordi ai sensi dell’articolo 28 GDPR e nella gestione delle criticità privacy. Valutiamo le attività concretamente svolte dall’agenzia, le responsabilità dei soggetti coinvolti e gli interventi necessari per regolarizzare il rapporto.

Se devi nominare un’agenzia web responsabile del trattamento, verificare un contratto già sottoscritto o affrontare una possibile violazione GDPR, richiedi una valutazione legale per la tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare le questioni giuridiche da approfondire e le possibili modalità di assistenza.