Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda può scoprire che un proprio fornitore tratta da mesi, talvolta da anni, dati personali di clienti, dipendenti o altri soggetti senza che sia stato formalizzato l’accordo previsto dall’articolo 28 del GDPR. La situazione può riguardare una società informatica, un gestore di servizi cloud, un fornitore di software, un’impresa che elabora dati del personale o qualsiasi altro soggetto esterno al quale siano state affidate attività che comportano il trattamento di informazioni personali.

La mancanza della nomina a responsabile del trattamento non deve essere sottovalutata, ma neppure comporta automaticamente che ogni operazione effettuata dal fornitore sia illecita. Occorre verificare quale ruolo privacy rivesta effettivamente il soggetto esterno, quali dati abbia trattato, sulla base di quali istruzioni e con quali garanzie. Se il rapporto richiedeva un accordo ai sensi dell’articolo 28 del Regolamento (UE) 2016/679, l’azienda deve intervenire per regolarizzarlo e valutare le eventuali ulteriori criticità. Nei casi più delicati, soprattutto quando il fornitore gestisce dati particolari, dispone di accessi estesi ai sistemi aziendali o non offre sufficienti garanzie, può essere opportuno richiedere una valutazione legale prima di proseguire il trattamento.

Fornitore senza nomina GDPR: quando esiste realmente una violazione

Il primo problema da risolvere è stabilire se il fornitore dovesse essere designato responsabile del trattamento ai sensi dell’articolo 28 GDPR. Non tutti i soggetti esterni che ricevono informazioni personali devono necessariamente assumere questo ruolo. La qualificazione dipende dalle attività concretamente svolte e dal rapporto esistente con l’azienda, non dalla denominazione attribuita al contratto o dalla semplice presenza di una clausola sulla riservatezza.

Quando un’impresa affida a una società informatica la gestione di un database clienti, a un provider cloud la conservazione di documenti contenenti dati personali oppure a un operatore esterno l’elaborazione delle presenze dei dipendenti, può configurarsi un rapporto nel quale il fornitore tratta i dati per conto dell’azienda, secondo finalità e istruzioni stabilite da quest’ultima. In tale situazione, il GDPR richiede che il trattamento sia disciplinato da un contratto o da altro atto giuridico vincolante, avente i contenuti previsti dall’articolo 28.

La situazione cambia quando il soggetto esterno determina autonomamente le finalità e i mezzi essenziali del proprio trattamento. In questi casi potrebbe operare come titolare autonomo, con obblighi differenti. È il motivo per cui la mancata nomina non può essere valutata senza avere prima verificato il ruolo effettivo del fornitore. Per approfondire questa distinzione abbiamo dedicato un contributo ai rapporti tra titolare, responsabile e autorizzato al trattamento.

Un errore ricorrente consiste nel ritenere che la presenza di un contratto commerciale, di un impegno generico alla riservatezza o di un’informativa privacy pubblicata sul sito del fornitore sia sufficiente a soddisfare gli obblighi dell’articolo 28. Non è necessariamente così. L’accordo deve disciplinare concretamente il trattamento affidato, comprendendo gli elementi richiesti dalla normativa, tra cui oggetto, durata, natura e finalità delle operazioni, categorie di interessati e dati personali, obblighi delle parti, istruzioni documentate, misure di sicurezza, gestione dei subresponsabili e collaborazione con il titolare.

Occorre quindi distinguere almeno tre situazioni: un fornitore che avrebbe dovuto essere nominato ma non dispone di alcun accordo; un fornitore per il quale esiste un contratto privacy incompleto o non aggiornato; un soggetto esterno che non deve essere qualificato come responsabile del trattamento perché opera effettivamente in qualità di titolare autonomo. La distinzione determina gli adempimenti necessari e impedisce di adottare soluzioni formalmente uniformi per rapporti giuridicamente diversi.

Come regolarizzare un fornitore che tratta già dati personali senza accordo

Quando emerge che un fornitore opera senza il necessario accordo GDPR, la prima attività consiste nel ricostruire il trattamento effettivamente svolto. Dobbiamo individuare quali servizi siano stati affidati, da quando il fornitore abbia accesso ai dati personali, quali categorie di informazioni siano coinvolte, dove vengano conservate e se siano stati utilizzati ulteriori soggetti esterni. È necessario esaminare anche il contratto commerciale e gli eventuali documenti privacy già sottoscritti, perché l’assenza di un documento denominato espressamente “nomina” non significa necessariamente che manchi un valido accordo ai sensi dell’articolo 28.

Se l’accordo richiesto risulta effettivamente assente, occorre predisporre un documento coerente con le attività affidate e formalizzare le istruzioni del titolare. La sottoscrizione tardiva non cancella retroattivamente la precedente irregolarità. Un contratto concluso oggi può disciplinare correttamente i trattamenti successivi, ma non deve essere utilizzato per rappresentare falsamente come già esistente un accordo che, in realtà, non era stato stipulato. La ricostruzione delle attività pregresse e delle misure eventualmente già adottate deve rimanere documentata.

La regolarizzazione richiede anche di verificare se il fornitore presenti le garanzie sufficienti richieste dal GDPR. Non basta ottenere una firma: occorre valutare le misure tecniche e organizzative applicate, la gestione degli accessi, la riservatezza del personale, le modalità di conservazione dei dati, l’eventuale impiego di subfornitori e i trasferimenti verso Paesi terzi. Se il fornitore non è in grado di dimostrare condizioni adeguate, l’azienda deve valutare ulteriori misure correttive e, quando necessario, la limitazione o la sospensione delle attività che espongono i dati a rischi non adeguatamente controllati.

Un’attenzione particolare merita il caso in cui il fornitore rifiuti di sottoscrivere l’accordo previsto dall’articolo 28 GDPR. L’azienda non dovrebbe considerare il rifiuto una semplice questione amministrativa. È necessario comprenderne le ragioni: il soggetto potrebbe contestare correttamente la propria qualificazione come responsabile oppure non essere disponibile ad assumere gli obblighi che derivano da tale ruolo. Nel secondo caso, se il trattamento per conto del titolare è effettivamente configurabile, la prosecuzione del servizio senza un valido accordo espone l’impresa al permanere della non conformità.

Può essere necessario intervenire anche sulla documentazione aziendale collegata. Il registro delle attività di trattamento, quando previsto, deve rappresentare correttamente i trattamenti e le categorie di destinatari; le procedure interne devono consentire di individuare i fornitori che accedono ai dati e di verificare gli accordi prima dell’attivazione dei servizi. Quando le modifiche incidono sui trattamenti documentati, occorre valutarne l’aggiornamento. Abbiamo approfondito questi adempimenti nell’articolo dedicato a come aggiornare la documentazione privacy aziendale.

La verifica dovrebbe coinvolgere le funzioni che hanno concretamente affidato il servizio, spesso l’ufficio acquisti, il reparto IT o le risorse umane. Quando l’azienda ha nominato un DPO, è opportuno coinvolgerlo nell’esame della non conformità, nel rispetto delle sue funzioni di consulenza e sorveglianza. La responsabilità delle decisioni e dell’attuazione delle misure rimane in capo al titolare del trattamento, che deve poter dimostrare di aver valutato il problema e adottato interventi proporzionati.

Responsabilità e sanzioni GDPR: quali rischi corre l’azienda e come intervenire

Quando un fornitore tratta dati personali per conto dell’azienda senza il necessario accordo previsto dall’articolo 28 GDPR, la responsabilità della mancata formalizzazione non può essere attribuita automaticamente al solo soggetto esterno. Il titolare del trattamento deve scegliere responsabili che presentino garanzie sufficienti e disciplinare correttamente il rapporto. Il fornitore, a sua volta, è tenuto a rispettare gli obblighi che il Regolamento pone direttamente a suo carico. La mancanza del contratto può quindi esporre entrambe le parti a contestazioni, secondo le rispettive condotte e responsabilità.

L’articolo 83 del GDPR prevede, per le violazioni degli obblighi stabiliti dagli articoli 25-39, tra i quali rientra l’articolo 28, sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta di limiti massimi previsti dalla normativa, non di importi automaticamente applicabili. La valutazione dell’Autorità deve considerare le circostanze concrete, tra cui natura, gravità e durata della violazione, eventuali conseguenze sugli interessati, grado di responsabilità e misure adottate per attenuare il danno.

È importante distinguere la violazione dell’obbligo di disciplinare contrattualmente il trattamento dall’eventuale presenza di ulteriori irregolarità. Un fornitore potrebbe aver operato senza il necessario accordo, pur applicando misure di sicurezza adeguate. In altri casi, la mancanza del contratto può accompagnarsi ad accessi non controllati, trattamenti non autorizzati, conservazione eccessiva delle informazioni o comunicazioni a soggetti terzi. Queste circostanze richiedono valutazioni autonome e possono aggravare la posizione dell’azienda.

Se durante un controllo il Garante per la protezione dei dati personali richiede la documentazione relativa ai responsabili esterni, l’impresa deve poter ricostruire i rapporti con i fornitori e dimostrare le verifiche effettuate. Un accordo sottoscritto soltanto dopo l’avvio del trattamento non prova, da solo, che gli obblighi siano stati rispettati anche nel periodo precedente. Per questo riteniamo necessario conservare le evidenze delle verifiche svolte, delle criticità individuate e degli interventi correttivi adottati. La documentazione assume rilievo anche nell’ambito del principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR.

La situazione diventa più delicata quando il fornitore abbia causato o subito una violazione dei dati personali. La mancanza della nomina non determina automaticamente l’esistenza di un data breach, ma non esclude che un incidente debba essere valutato secondo gli articoli 33 e 34 del GDPR. Occorre accertare se siano stati compromessi riservatezza, integrità o disponibilità dei dati, quali rischi ne derivino per le persone fisiche e se ricorrano i presupposti per la notifica all’Autorità o la comunicazione agli interessati. Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali.

Quando il problema riguarda un incidente informatico presso il soggetto esterno, abbiamo approfondito gli adempimenti nell’articolo Un fornitore subisce un data breach: cosa deve fare l’azienda cliente. La questione della mancata nomina resta distinta, ma può incidere sulla capacità dell’impresa di ottenere tempestivamente informazioni, ricostruire gli accessi e verificare le responsabilità contrattuali.

In presenza di una non conformità già accertata, l’intervento deve essere proporzionato alla situazione. Se il fornitore presenta garanzie adeguate e il problema riguarda esclusivamente la formalizzazione del rapporto, può essere sufficiente completare la documentazione e correggere le procedure interne. Se invece emergono trattamenti non autorizzati o carenze di sicurezza, occorre valutare misure ulteriori, comprese limitazioni degli accessi, modifiche operative o sospensione delle attività interessate. Nei casi di contestazione da parte del Garante o di richieste risarcitorie, è necessario esaminare anche le evidenze disponibili e la ripartizione delle responsabilità tra azienda e fornitore.

Esempio pratico: società informatica che gestisce dati aziendali senza nomina GDPR

Consideriamo il caso di un’impresa che utilizza da diversi anni un software gestionale affidato a una società informatica esterna. Il fornitore svolge manutenzione, assistenza tecnica e attività di backup, potendo accedere ai dati personali dei clienti e dei dipendenti. Durante una verifica interna emerge che il contratto commerciale non contiene un accordo conforme all’articolo 28 GDPR e che non risultano documentate le istruzioni relative al trattamento.

In una situazione di questo tipo, l’intervento legale parte dall’esame del servizio effettivamente prestato e dalla qualificazione del ruolo del fornitore. Occorre verificare gli accessi ai sistemi, le misure di sicurezza, l’eventuale utilizzo di subfornitori e le modalità di conservazione delle informazioni. L’aspetto più delicato può riguardare la ricostruzione dei trattamenti già effettuati, soprattutto quando il rapporto si protrae da anni e la documentazione disponibile è incompleta.

Una volta accertata la necessità dell’accordo, si procede alla sua predisposizione, alla definizione delle istruzioni e alla verifica delle eventuali ulteriori misure correttive. L’azienda deve anche organizzare un controllo preventivo sui nuovi fornitori, affinché i rapporti che comportano trattamenti di dati personali siano valutati prima dell’attivazione del servizio. La regolarizzazione riguarda quindi sia il rapporto esistente sia le procedure che hanno consentito l’insorgere della carenza.

Domande frequenti sulla mancata nomina del fornitore ai sensi del GDPR

È possibile nominare un fornitore responsabile del trattamento dopo che ha già iniziato a lavorare?

Sì. Se il fornitore tratta dati personali per conto dell’azienda e ricorrono i presupposti dell’articolo 28 GDPR, è possibile formalizzare l’accordo anche dopo l’inizio del rapporto. La sottoscrizione tardiva non elimina però l’eventuale violazione commessa nel periodo precedente. Occorre verificare i trattamenti già effettuati, documentare le circostanze della mancata formalizzazione e predisporre un accordo che disciplini correttamente le attività successive, senza attribuirgli una data fittizia.

L’azienda deve interrompere immediatamente il servizio del fornitore senza nomina?

Non necessariamente. La decisione dipende dalla natura del trattamento, dalle garanzie offerte dal fornitore e dalle irregolarità riscontrate. Se manca soltanto la formalizzazione contrattuale, può essere possibile procedere rapidamente alla regolarizzazione, valutando nel frattempo le condizioni per la prosecuzione delle attività. Se invece emergono accessi non autorizzati, misure di sicurezza insufficienti o trattamenti incompatibili con le istruzioni aziendali, può essere necessario limitare o sospendere le operazioni interessate. Non è opportuno proseguire indefinitamente un trattamento soggetto all’articolo 28 senza il necessario accordo.

Se il fornitore non firma la nomina GDPR, chi è responsabile?

Il titolare del trattamento deve assicurarsi che i trattamenti affidati a soggetti esterni siano disciplinati secondo il GDPR. Il rifiuto del fornitore non esonera automaticamente l’azienda dai propri obblighi. Occorre però verificare se il soggetto esterno sia effettivamente un responsabile del trattamento oppure operi come titolare autonomo. Quando l’accordo è necessario e il fornitore rifiuta di sottoscriverlo, l’impresa deve valutare la possibilità di proseguire legittimamente il rapporto e, se necessario, individuare una soluzione alternativa.

La mancata nomina del responsabile esterno comporta automaticamente una sanzione?

No. La violazione dell’articolo 28 GDPR può essere oggetto di accertamento e di provvedimenti da parte del Garante Privacy, comprese eventuali sanzioni amministrative. L’applicazione e la quantificazione della sanzione dipendono però dalle circostanze concrete e dai criteri previsti dall’articolo 83 del Regolamento. La durata dell’irregolarità, la natura dei dati trattati, il grado di responsabilità e le misure correttive adottate possono assumere rilievo nella valutazione dell’Autorità.

Chi deve controllare che tutti i fornitori aziendali abbiano gli accordi privacy necessari?

La responsabilità di assicurare la conformità dei trattamenti affidati all’esterno ricade sul titolare del trattamento. Operativamente, l’azienda può distribuire le verifiche tra ufficio acquisti, responsabili IT, risorse umane e funzione compliance, prevedendo procedure di controllo prima della sottoscrizione dei contratti e dell’attivazione dei servizi. Quando è presente un DPO, quest’ultimo può fornire consulenza e svolgere attività di sorveglianza sul rispetto della normativa, senza sostituirsi al titolare nelle decisioni operative. Una verifica periodica degli accordi consente di individuare anche contratti non aggiornati, fornitori subentrati e trattamenti modificati nel tempo.

Fornitore senza nomina GDPR: richiedi una valutazione legale per la tua azienda

Se la tua azienda ha scoperto che un fornitore tratta dati personali senza il necessario accordo GDPR, oppure dispone di contratti privacy incompleti, non aggiornati o mai formalizzati, è opportuno verificare la situazione prima di limitarsi a predisporre una nomina tardiva. Occorre accertare il ruolo del fornitore, ricostruire i trattamenti effettuati, individuare gli obblighi applicabili e valutare le eventuali responsabilità e misure correttive.

Come Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nell’esame dei rapporti con i fornitori esterni, nella verifica degli accordi previsti dall’articolo 28 GDPR e nella gestione delle criticità che possono derivare da una documentazione privacy irregolare. Interveniamo anche quando emergono contestazioni, trattamenti non autorizzati o necessità di riorganizzare i controlli aziendali.

Se devi regolarizzare un fornitore già operativo o verificare le conseguenze di una mancata nomina, richiedi una valutazione legale della situazione privacy della tua azienda. Attraverso il modulo dedicato puoi descrivere il problema e indicare le principali criticità riscontrate. Esamineremo la richiesta per valutare il possibile intervento professionale.