Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda affida a un fornitore esterno attività che comportano il trattamento di dati personali per suo conto, deve verificare se il rapporto richiede un contratto ai sensi dell’articolo 28 del GDPR. È una situazione frequente nei servizi informatici, nella gestione delle paghe, nell’hosting, nel cloud e nell’esternalizzazione di processi aziendali. Un accordo generico sulla riservatezza o una semplice dichiarazione di conformità privacy non sono necessariamente sufficienti. Il contratto deve disciplinare precisi obblighi del responsabile del trattamento e consentire al titolare di esercitare un controllo effettivo sulle attività affidate. Clausole mancanti, istruzioni incomplete o responsabilità mal definite possono esporre l’impresa a contestazioni, difficoltà nella gestione degli incidenti e sanzioni amministrative. La verifica legale diventa particolarmente opportuna quando il fornitore propone un proprio accordo, utilizza subfornitori oppure tratta dati aziendali attraverso infrastrutture situate all’estero.

Quando il contratto ex articolo 28 GDPR è obbligatorio e perché una nomina generica non basta

L’articolo 28 del Regolamento (UE) 2016/679 stabilisce che, quando un trattamento deve essere effettuato per conto del titolare, quest’ultimo può ricorrere soltanto a responsabili che presentino garanzie sufficienti per adottare misure tecniche e organizzative adeguate. Il rapporto deve essere disciplinato da un contratto o altro atto giuridico vincolante, in forma scritta, anche elettronica, che contenga gli elementi prescritti dal regolamento. L’obbligo riguarda la sostanza del rapporto: non dipende dalla denominazione attribuita al documento, che può essere chiamato contratto di nomina, accordo sul trattamento dei dati o Data Processing Agreement (DPA).

Il problema si presenta quando un’impresa affida a una società informatica la gestione dei propri database, utilizza un servizio cloud per conservare informazioni sui clienti oppure incarica un soggetto esterno di elaborare le retribuzioni dei dipendenti. In queste situazioni occorre accertare se il fornitore tratti dati personali per conto dell’azienda, secondo finalità determinate dal titolare. Non tutti i fornitori devono essere nominati responsabili del trattamento: alcuni operano come titolari autonomi, mentre altri non svolgono alcun trattamento di dati personali per conto dell’impresa. La qualificazione richiede l’esame delle attività effettivamente svolte, dell’autonomia decisionale del fornitore e delle finalità perseguite.

Per individuare correttamente i rapporti soggetti all’articolo 28 è necessario distinguere le figure del titolare, del responsabile e delle persone autorizzate al trattamento. Abbiamo approfondito questi profili nell’articolo dedicato alle differenze tra titolare, responsabile e autorizzato al trattamento. Una qualificazione contrattuale errata non modifica automaticamente la posizione giuridica delle parti: un fornitore che determina autonomamente finalità e mezzi essenziali del trattamento non diventa responsabile soltanto perché ha sottoscritto un DPA.

La semplice lettera di nomina, se priva delle disposizioni richieste dal regolamento, può risultare insufficiente. Lo stesso vale per un contratto commerciale che contenga soltanto una clausola con cui il fornitore dichiara di rispettare il GDPR. Il contratto ex articolo 28 deve stabilire concretamente come vengono trattati i dati, quali istruzioni devono essere rispettate, quali controlli possono essere effettuati e cosa accade alla cessazione del servizio. Deve anche riflettere l’organizzazione reale del rapporto, evitando formule standard incompatibili con le attività affidate.

Un ulteriore problema riguarda i contratti sottoscritti anni prima e mai aggiornati. L’introduzione di nuovi software, l’utilizzo di subfornitori, la migrazione verso infrastrutture cloud o la modifica delle categorie di dati trattati possono rendere necessario rivedere gli accordi. Per questa ragione, nella verifica della documentazione aziendale, non ci limitiamo ad accertare l’esistenza formale del contratto, ma consideriamo anche la sua corrispondenza con i servizi effettivamente prestati e con le istruzioni impartite dal titolare.

Quali clausole deve contenere il contratto tra titolare e responsabile del trattamento

Il contenuto obbligatorio del contratto è disciplinato principalmente dall’articolo 28, paragrafo 3, del GDPR. L’accordo deve indicare l’oggetto e la durata del trattamento, la natura e le finalità delle operazioni, il tipo di dati personali, le categorie di interessati e gli obblighi e diritti del titolare. Queste informazioni devono essere sufficientemente precise da individuare le attività affidate al responsabile. Una descrizione generica, come il riferimento a tutti i dati aziendali trattati per qualsiasi finalità connessa al servizio, può non consentire di delimitare correttamente l’incarico.

Una delle clausole principali riguarda le istruzioni documentate del titolare. Il responsabile deve trattare i dati personali soltanto sulla base di tali istruzioni, anche per quanto riguarda i trasferimenti verso Paesi terzi o organizzazioni internazionali, salvo che il trattamento sia richiesto da una disposizione normativa applicabile nei termini previsti dal regolamento. Il contratto deve disciplinare questo vincolo e prevedere che il responsabile informi immediatamente il titolare quando ritenga che un’istruzione violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati.

Occorre poi prevedere l’impegno delle persone autorizzate al trattamento a rispettare la riservatezza, oppure accertare che siano soggette a un adeguato obbligo legale. Il responsabile deve adottare le misure richieste dall’articolo 32 del GDPR, tenendo conto dei rischi connessi alle attività svolte. Per un fornitore che gestisce dati sanitari o informazioni riservate del personale, ad esempio, la valutazione delle misure di sicurezza può richiedere un livello di dettaglio diverso rispetto a quello necessario per un servizio che comporta trattamenti limitati. Un richiamo generico alla sicurezza informatica non sostituisce la verifica delle garanzie effettivamente offerte dal fornitore.

Particolare attenzione richiede la disciplina dei subresponsabili del trattamento. Il fornitore non può ricorrere a un altro responsabile senza una preventiva autorizzazione scritta, specifica o generale, del titolare. Nel secondo caso deve informarlo delle modifiche previste riguardanti l’aggiunta o la sostituzione di subresponsabili, consentendogli di opporsi. Il contratto con il subresponsabile deve imporre obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti nell’accordo principale, secondo l’articolo 28, paragrafo 4. Il responsabile iniziale rimane pienamente responsabile nei confronti del titolare dell’adempimento degli obblighi del subresponsabile.

Un’altra disposizione obbligatoria riguarda l’assistenza che il responsabile deve prestare al titolare per dare seguito alle richieste degli interessati. L’accordo deve disciplinare, tenendo conto della natura del trattamento, il supporto necessario per gestire richieste di accesso, rettifica, cancellazione e gli altri diritti previsti dal GDPR. Deve inoltre prevedere l’assistenza, secondo le condizioni indicate dall’articolo 28, per gli obblighi relativi alla sicurezza, alla gestione delle violazioni dei dati personali, alle valutazioni d’impatto e alla consultazione preventiva dell’autorità di controllo.

Nel caso di un incidente informatico che coinvolga un fornitore, la disciplina contrattuale assume un’importanza immediata. Il responsabile deve informare il titolare della violazione dei dati personali senza ingiustificato ritardo dopo esserne venuto a conoscenza, secondo l’articolo 33, paragrafo 2. È opportuno che il DPA specifichi i canali di comunicazione, i referenti e le informazioni da trasmettere, senza introdurre meccanismi che ostacolino l’adempimento degli obblighi normativi. La ripartizione delle attività operative deve essere coerente con le responsabilità delle parti.

Il contratto deve infine prevedere che, al termine della prestazione dei servizi, il responsabile, a scelta del titolare, cancelli o restituisca tutti i dati personali e cancelli le copie esistenti, salvo gli obblighi di conservazione previsti dal diritto dell’Unione o degli Stati membri. Deve anche mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi dell’articolo 28 e consentire e contribuire alle attività di revisione, comprese le ispezioni, effettuate dal titolare o da un soggetto da questi incaricato.

Queste disposizioni costituiscono il contenuto minimo obbligatorio del DPA, ma la loro formulazione deve essere adattata al servizio. Clausole ulteriori possono disciplinare responsabilità contrattuali, modalità operative degli audit, livelli di servizio e conseguenze degli inadempimenti, purché non svuotino gli obblighi imposti dal GDPR. Per i trasferimenti internazionali occorre inoltre verificare separatamente la presenza di un valido presupposto ai sensi del Capo V del regolamento: la sottoscrizione del solo contratto ex articolo 28 non autorizza automaticamente il trasferimento di dati personali fuori dallo Spazio economico europeo.

Responsabilità, sanzioni e controlli: cosa rischia l’azienda con un contratto GDPR incompleto

La mancanza del contratto previsto dall’articolo 28 GDPR, oppure la presenza di clausole incomplete, costituisce una criticità che può assumere rilievo anche indipendentemente dall’esistenza di una violazione dei dati personali. Il titolare deve poter dimostrare di avere selezionato un responsabile che offre garanzie sufficienti e di aver disciplinato correttamente il trattamento affidato. La sottoscrizione di un DPA non esaurisce gli obblighi dell’azienda: occorre verificare che il fornitore rispetti effettivamente le istruzioni ricevute, adotti misure di sicurezza adeguate e utilizzi eventuali subresponsabili secondo le condizioni autorizzate.

La violazione degli obblighi previsti dall’articolo 28 rientra nel regime sanzionatorio dell’articolo 83, paragrafo 4, del GDPR, che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano limiti massimi normativi, non sanzioni automaticamente applicabili. La determinazione dell’eventuale sanzione dipende dalle circostanze del caso concreto e dai criteri stabiliti dall’articolo 83, paragrafo 2, tra cui natura, gravità e durata della violazione, misure adottate e grado di responsabilità. Se emergono ulteriori violazioni del regolamento, possono trovare applicazione anche differenti disposizioni sanzionatorie.

Le conseguenze possono estendersi ai rapporti contrattuali con clienti e fornitori. Un’impresa che utilizza un servizio informatico esterno potrebbe scoprire, durante un audit o una verifica documentale richiesta da un committente, che il proprio accordo non disciplina l’impiego di subfornitori, non contiene istruzioni sufficientemente precise oppure non consente di ottenere le informazioni necessarie per controllare le misure di sicurezza. La criticità può rendere necessaria una revisione contrattuale prima di proseguire determinate attività o di sottoscrivere nuovi accordi commerciali. Anche una richiesta di informazioni del Garante può rendere necessario produrre la documentazione relativa ai responsabili esterni, alle istruzioni impartite e alle verifiche effettuate.

Un aspetto particolarmente delicato riguarda la ripartizione delle responsabilità tra titolare e responsabile del trattamento. L’articolo 82 GDPR disciplina il diritto al risarcimento dei danni materiali e immateriali derivanti da una violazione del regolamento e individua le condizioni della responsabilità dei soggetti coinvolti. Il responsabile risponde nei casi previsti dalla norma, tra cui la violazione degli obblighi specificamente diretti ai responsabili o l’inosservanza delle legittime istruzioni del titolare. Le eventuali clausole di manleva e limitazione della responsabilità devono essere valutate considerando il rapporto contrattuale e non possono modificare gli obblighi imposti dal GDPR né pregiudicare i diritti degli interessati.

Quando il fornitore subisce un attacco informatico, perde dati personali o consente accessi non autorizzati, la presenza di un contratto adeguato permette di individuare più chiaramente gli obblighi di comunicazione e collaborazione. Un accordo che non disciplina i referenti, le modalità di segnalazione e l’assistenza nella ricostruzione dell’incidente può complicare le decisioni del titolare. Le attività da svolgere in caso di violazione sono approfondite nell’articolo dedicato a cosa deve fare l’azienda quando un fornitore subisce un data breach.

La verifica dei contratti esistenti dovrebbe partire dall’individuazione dei fornitori che trattano dati personali per conto dell’impresa, confrontando le attività effettive con gli accordi sottoscritti. Occorre poi esaminare le clausole obbligatorie, le istruzioni documentate, le misure di sicurezza, le autorizzazioni ai subresponsabili e gli eventuali trasferimenti internazionali. Se il DPA presenta lacune, l’intervento può consistere nella modifica del contratto, nella predisposizione di un addendum o nella stipulazione di un nuovo accordo, secondo la natura delle carenze e le condizioni del rapporto commerciale.

Nei contratti predisposti unilateralmente da grandi fornitori di servizi cloud o software, la possibilità di negoziare le condizioni può essere limitata. Questo non elimina la necessità di verificare le garanzie offerte. Quando alcune clausole risultano insufficienti, l’azienda deve valutare se ottenere chiarimenti, richiedere integrazioni contrattuali oppure considerare soluzioni alternative. La verifica rientra nel più ampio sistema di accountability GDPR e dimostrazione della conformità aziendale, nel quale la documentazione deve corrispondere alle attività realmente svolte e alle misure concretamente adottate.

Esempio pratico: contratto incompleto con un fornitore cloud che utilizza subresponsabili

Consideriamo il caso ipotetico di una società che utilizza una piattaforma cloud per gestire informazioni relative a clienti e dipendenti. Durante una verifica della documentazione privacy emerge che il contratto sottoscritto contiene una dichiarazione generale di conformità al GDPR, ma non disciplina adeguatamente le istruzioni del titolare, l’impiego di subresponsabili e le modalità di restituzione o cancellazione dei dati alla cessazione del servizio.

La società deve innanzitutto verificare il ruolo effettivo del fornitore e individuare i trattamenti affidati. La revisione giuridica dell’accordo permette di confrontare le clausole esistenti con i requisiti dell’articolo 28 GDPR, richiedendo al fornitore le informazioni necessarie sulle misure di sicurezza, sugli eventuali subresponsabili e sulla localizzazione dei trattamenti. L’aspetto più delicato riguarda la possibilità di esercitare un controllo effettivo su attività tecnicamente affidate a soggetti esterni.

In una situazione del genere, l’intervento professionale può portare alla predisposizione di un accordo integrativo che definisca le istruzioni documentate, le autorizzazioni ai subresponsabili, gli obblighi di collaborazione e le modalità di gestione dei dati alla cessazione del rapporto. Qualora il fornitore non offra garanzie sufficienti o non accetti condizioni necessarie per la conformità, l’azienda deve valutare anche la prosecuzione del servizio. La regolarizzazione contrattuale deve essere accompagnata dalla verifica delle attività effettive, perché la sola modifica del documento non risolve eventuali carenze organizzative o tecniche.

Domande frequenti sul contratto ex articolo 28 GDPR

Il contratto ex articolo 28 GDPR deve essere firmato separatamente dal contratto di servizi?

No. L’accordo sul trattamento dei dati personali può essere contenuto nel contratto principale oppure costituire un allegato o un documento autonomo. Ciò che conta è che sia giuridicamente vincolante e contenga tutte le disposizioni obbligatorie previste dall’articolo 28 GDPR. La forma scritta può essere anche elettronica. La firma rappresenta una modalità per documentare l’accordo, ma il GDPR non impone necessariamente una sottoscrizione autografa o digitale qualificata per ogni DPA.

Un’azienda può utilizzare il contratto DPA predisposto dal proprio fornitore?

Sì, purché il documento sia conforme al GDPR e adeguato al trattamento concretamente affidato. Prima di accettarlo occorre verificare soprattutto le clausole relative ai subresponsabili, alle istruzioni documentate, agli audit, alla sicurezza e alla cancellazione dei dati. Un contratto standard predisposto dal fornitore non è automaticamente conforme soltanto perché richiama l’articolo 28. Eventuali limitazioni contrattuali non devono compromettere gli obblighi imposti dal regolamento.

Il contratto ex articolo 28 GDPR deve essere aggiornato ogni anno?

Il GDPR non stabilisce una scadenza annuale obbligatoria. L’aggiornamento diventa necessario quando le condizioni contrattuali non rappresentano più correttamente il trattamento affidato oppure non soddisfano i requisiti normativi applicabili. Cambiamenti nei servizi, nelle categorie di dati, nei subresponsabili o nelle modalità di trattamento possono richiedere una revisione. Un controllo periodico è una misura organizzativa opportuna, la cui frequenza deve essere proporzionata ai rischi e alle caratteristiche del rapporto.

Cosa succede se il fornitore rifiuta di sottoscrivere il contratto previsto dal GDPR?

Se il fornitore opera effettivamente come responsabile del trattamento, il rapporto deve essere disciplinato da un contratto o altro atto giuridico conforme all’articolo 28. L’azienda può negoziare le clausole, verificare l’esistenza di condizioni contrattuali già vincolanti oppure richiedere un accordo integrativo. Se manca una disciplina conforme e non è possibile regolarizzare il rapporto, il titolare non può legittimamente affidare il trattamento a quel responsabile nelle condizioni esistenti. La scelta di un fornitore alternativo può quindi diventare necessaria.

Chi deve verificare la conformità dei contratti art. 28 GDPR in azienda?

La responsabilità di assicurare la corretta disciplina dei rapporti con i responsabili del trattamento ricade sul titolare. La verifica può coinvolgere l’ufficio legale, il responsabile IT, gli acquisti e le funzioni aziendali interessate. Quando è stato nominato un DPO, quest’ultimo può svolgere le proprie funzioni di consulenza e sorveglianza della conformità, senza sostituirsi automaticamente al titolare nelle decisioni contrattuali. Una revisione legale specialistica è particolarmente indicata per accordi complessi, fornitori internazionali, trattamenti ad alto rischio o controversie sulle responsabilità.

Contratto art. 28 GDPR incompleto o da aggiornare: richiedi una valutazione legale

Se la vostra azienda deve predisporre un contratto ex articolo 28 GDPR, verificare un DPA proposto da un fornitore oppure correggere clausole incomplete, è opportuno esaminare il rapporto contrattuale e le modalità effettive del trattamento. La presenza di subresponsabili, servizi cloud, trasferimenti internazionali o responsabilità non chiaramente disciplinate richiede una valutazione specifica, anche per individuare le modifiche necessarie e le possibili conseguenze degli inadempimenti.

Lo Studio Legale Calvello presta assistenza alle imprese nella redazione, revisione e negoziazione dei contratti con i responsabili del trattamento, nella verifica degli obblighi GDPR e nella gestione delle criticità con i fornitori. Per sottoporre il vostro caso allo Studio, richiedete una valutazione legale attraverso il modulo dedicato alla privacy e al GDPR aziendale.