Articolo a cura di: Redazione - Studio Legale Calvello

Un’azienda che affida a fornitori esterni la gestione di software, servizi cloud, buste paga, database clienti o attività informatiche deve verificare se tali soggetti operino come responsabili del trattamento ai sensi dell’articolo 28 del GDPR. La questione non riguarda soltanto la firma di una nomina privacy: occorre stabilire chi tratta effettivamente i dati personali per conto dell’impresa, con quali istruzioni e attraverso quali misure di sicurezza. Un fornitore che tratta dati personali per conto dell’azienda senza un accordo conforme al GDPR può esporre l’impresa a contestazioni, responsabilità e sanzioni. Non tutti i fornitori, però, devono essere nominati responsabili esterni. La qualificazione dipende dal ruolo concretamente svolto nel trattamento. Quando i contratti sono assenti, superati o non rispecchiano i servizi effettivamente prestati, può essere necessario un intervento di verifica e regolarizzazione.

Quali fornitori aziendali devono essere nominati responsabili del trattamento GDPR

L’articolo 4, paragrafo 1, numero 8, del Regolamento (UE) 2016/679 definisce responsabile del trattamento la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare. Per un’impresa, il punto da verificare è quindi se il fornitore utilizzi dati personali nell’esecuzione di attività affidategli dall’azienda, perseguendo finalità determinate dal titolare e operando nell’ambito delle istruzioni ricevute.

La qualificazione non dipende dalla denominazione attribuita al contratto commerciale, né dalla circostanza che il fornitore sia una società esterna. Occorre esaminare le operazioni concretamente svolte, le finalità perseguite e il grado di autonomia decisionale. Un fornitore può essere responsabile del trattamento per alcuni servizi e titolare autonomo per altre attività. La semplice possibilità di accedere occasionalmente a informazioni personali non comporta automaticamente l’obbligo di nomina, mentre l’accesso tecnico ai dati può assumere rilevanza anche quando il fornitore non consulta abitualmente le informazioni.

Tra i rapporti che richiedono più frequentemente una verifica rientrano quelli con società informatiche, fornitori di hosting e cloud, software house, gestori di CRM, piattaforme di email marketing, servizi di backup, elaborazione delle buste paga e outsourcing amministrativo. Se tali soggetti trattano dati personali per conto dell’impresa, è necessario disciplinare il rapporto mediante un contratto o altro atto giuridico conforme all’articolo 28 del GDPR.

Una software house che ospita e gestisce il database clienti dell’impresa, ad esempio, può operare come responsabile del trattamento. Lo stesso può accadere per una società incaricata di elaborare le retribuzioni utilizzando i dati dei dipendenti secondo le istruzioni del datore di lavoro. Anche un fornitore che effettua manutenzione informatica con accesso ai sistemi contenenti dati personali richiede una valutazione del ruolo effettivo, delle autorizzazioni e delle operazioni consentite.

Più articolata è la situazione dei professionisti esterni. Commercialisti, consulenti del lavoro, avvocati e altri professionisti non devono essere automaticamente qualificati come responsabili del trattamento. Quando svolgono attività professionali esercitando un’autonoma determinazione delle finalità e dei mezzi essenziali del trattamento, possono assumere il ruolo di titolari autonomi. Quando invece eseguono specifiche operazioni sui dati per conto dell’impresa, nell’ambito di un rapporto riconducibile all’articolo 28, può risultare appropriata la qualificazione come responsabili.

Per comprendere correttamente questi rapporti è utile distinguere le diverse figure previste dal GDPR, come approfondiamo nell’articolo dedicato alle differenze tra titolare, responsabile e autorizzato al trattamento. Un errore di qualificazione può infatti produrre documentazione formalmente completa ma giuridicamente inadeguata, soprattutto quando un soggetto viene nominato responsabile pur determinando autonomamente le finalità del trattamento.

Come verificare i fornitori e predisporre correttamente le nomine ai sensi dell’articolo 28 GDPR

La verifica dei responsabili esterni dovrebbe partire dalla ricostruzione dei servizi affidati a terzi e dei relativi flussi di dati personali. Non è sufficiente recuperare un elenco di fornitori dall’ufficio amministrativo: occorre coinvolgere, secondo l’organizzazione aziendale, le funzioni IT, HR, acquisti e quelle che utilizzano piattaforme digitali o servizi esternalizzati. Un fornitore può trattare dati dei clienti attraverso un CRM, dati dei dipendenti mediante un gestionale presenze oppure informazioni riservate tramite servizi di archiviazione documentale.

Per ciascun rapporto occorre individuare quali categorie di dati vengono trattate, per quali finalità, quali operazioni sono consentite e se il fornitore ricorra ad altri soggetti. Questa ricognizione permette di distinguere i responsabili del trattamento dai titolari autonomi e dai fornitori che non effettuano trattamenti riconducibili all’articolo 28. Consente anche di verificare la coerenza tra contratti, attività effettivamente svolte e registro delle attività di trattamento, quando previsto.

Quando il fornitore opera come responsabile, il trattamento deve essere disciplinato da un contratto o altro atto giuridico vincolante che contenga gli elementi prescritti dall’articolo 28, paragrafo 3, del GDPR. Devono essere specificati, tra l’altro, l’oggetto e la durata del trattamento, la sua natura e finalità, le categorie di interessati e di dati personali, gli obblighi e i diritti del titolare. Il responsabile deve impegnarsi a trattare i dati soltanto su istruzione documentata, salvo specifici obblighi di legge, e a garantire adeguate condizioni di riservatezza e sicurezza.

Il contratto deve disciplinare anche il ricorso a ulteriori responsabili, l’assistenza al titolare nell’esercizio dei diritti degli interessati, la collaborazione nella gestione delle violazioni dei dati personali e degli altri obblighi pertinenti, nonché la restituzione o cancellazione dei dati al termine del servizio, salvi gli obblighi legali di conservazione. Deve inoltre prevedere la disponibilità delle informazioni necessarie a dimostrare il rispetto degli obblighi e la possibilità di effettuare verifiche e ispezioni secondo quanto previsto dal GDPR. Le singole previsioni contrattuali sono approfondite nell’articolo sul contratto ex articolo 28 GDPR e sulle clausole obbligatorie.

Un aspetto spesso trascurato riguarda la verifica delle garanzie offerte dal fornitore prima dell’affidamento del trattamento. L’articolo 28, paragrafo 1, impone al titolare di ricorrere unicamente a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. La sottoscrizione del contratto non sostituisce quindi la valutazione della sicurezza del servizio, delle modalità di accesso ai dati, della gestione dei subfornitori e delle procedure adottate in caso di incidente.

Per i servizi cloud e le piattaforme digitali occorre prestare attenzione anche alla localizzazione dei trattamenti e agli eventuali trasferimenti di dati personali verso Paesi terzi. La presenza di un accordo di nomina non rende automaticamente lecito un trasferimento internazionale: devono essere verificati separatamente i presupposti e le garanzie richiesti dal Capo V del GDPR. Analogamente, quando il fornitore utilizza subresponsabili, il rapporto deve rispettare le condizioni di autorizzazione e gli obblighi contrattuali previsti dall’articolo 28.

Nella nostra attività di consulenza privacy aziendale consideriamo la gestione dei responsabili esterni come un processo da mantenere coerente con l’organizzazione dell’impresa. L’introduzione di un nuovo gestionale, il cambio del provider cloud, l’esternalizzazione di una funzione HR o la modifica dei servizi informatici possono rendere necessaria una nuova valutazione dei ruoli e l’aggiornamento degli accordi esistenti. La documentazione deve corrispondere ai trattamenti realmente effettuati, non limitarsi a raccogliere moduli di nomina firmati nel corso degli anni.

Mancata nomina dei responsabili esterni: responsabilità, sanzioni e controlli sui fornitori

Quando un’impresa affida il trattamento di dati personali a un fornitore senza averne verificato il ruolo o senza aver predisposto l’accordo richiesto dall’articolo 28 del GDPR, può trovarsi in una situazione di irregolarità anche se il servizio viene eseguito correttamente e non si è verificata alcuna violazione dei dati. L’obbligo di disciplinare il rapporto con il responsabile del trattamento è autonomo rispetto all’eventuale verificarsi di un data breach. Il titolare deve poter dimostrare di aver selezionato un soggetto che offre garanzie sufficienti, di averne definito gli obblighi e di aver predisposto modalità adeguate di controllo.

Le violazioni degli obblighi previsti dall’articolo 28 rientrano nel regime sanzionatorio dell’articolo 83, paragrafo 4, del GDPR, che prevede, nei casi applicabili, sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Questi importi rappresentano i massimali normativi e non costituiscono la sanzione automaticamente applicabile a un’azienda priva di una nomina. L’eventuale provvedimento dipende dalle circostanze della violazione e dai criteri di valutazione previsti dal Regolamento, compresi gravità, durata, natura dei trattamenti e comportamento del soggetto coinvolto.

Il problema può emergere durante un’ispezione del Garante per la protezione dei dati personali, a seguito di un reclamo oppure nell’ambito di una verifica interna. L’Autorità può richiedere informazioni sui rapporti con i fornitori, sui contratti sottoscritti, sulle istruzioni impartite e sulle misure adottate per proteggere i dati. La presenza di accordi standardizzati, privi di riferimenti ai servizi effettivamente svolti, può rendere difficile dimostrare che il titolare abbia valutato concretamente le caratteristiche del trattamento. Per questo la documentazione deve essere coerente con le attività aziendali e disponibile in caso di controllo, secondo il principio di responsabilizzazione previsto dall’articolo 5, paragrafo 2, del GDPR.

Una particolare attenzione va riservata ai fornitori informatici che possono accedere a database contenenti dati di clienti, dipendenti o altri interessati. Se una società esterna gestisce backup, server, applicativi o infrastrutture cloud, l’impresa deve verificare quali misure di sicurezza siano state adottate, chi possa accedere alle informazioni e come vengano gestiti eventuali incidenti. Il contratto con il responsabile non trasferisce integralmente al fornitore le responsabilità del titolare, che conserva i propri obblighi di conformità e deve valutare i rischi connessi ai trattamenti affidati all’esterno.

Quando un incidente informatico coinvolge un responsabile esterno, il fornitore deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione dei dati personali, secondo l’articolo 33, paragrafo 2, del GDPR. Il titolare deve quindi valutare gli eventuali obblighi di notifica all’Autorità e di comunicazione agli interessati. La disciplina contrattuale dovrebbe rendere concretamente possibile questa collaborazione, definendo referenti, modalità di comunicazione e informazioni da trasmettere. Abbiamo approfondito le attività da svolgere quando un fornitore subisce un data breach e l’azienda cliente deve intervenire.

Se durante una verifica emerge che alcuni fornitori non sono stati correttamente qualificati o che mancano gli accordi necessari, l’intervento deve partire dall’accertamento della situazione effettiva. Occorre individuare i trattamenti interessati, ricostruire le istruzioni impartite, verificare i contratti già sottoscritti e predisporre gli atti mancanti per disciplinare correttamente le attività successive. La sottoscrizione tardiva di un accordo non elimina retroattivamente un’eventuale violazione già commessa, ma può costituire parte delle misure adottate per correggere la situazione e prevenire ulteriori irregolarità.

Nei rapporti con fornitori che rifiutano di sottoscrivere un accordo conforme, non forniscono informazioni sufficienti sulle misure di sicurezza oppure utilizzano subresponsabili senza rispettare le condizioni previste dal GDPR, l’impresa deve valutare se il servizio possa proseguire legittimamente. In determinate circostanze può essere necessario rinegoziare il contratto, modificare le modalità operative o individuare un diverso fornitore. La decisione richiede attenzione anche alle conseguenze organizzative della sostituzione, soprattutto quando il soggetto esterno gestisce sistemi indispensabili per la continuità aziendale.

La verifica periodica dei responsabili esterni permette di individuare modifiche che potrebbero rendere inadeguati gli accordi originari. Nuovi servizi, ampliamento degli accessi, cambiamenti nella catena dei subfornitori o trasferimenti internazionali dei dati richiedono una valutazione aggiornata. L’attività può essere inserita nel programma di audit privacy aziendale, con controlli proporzionati alla natura dei trattamenti e ai rischi per gli interessati. Non esiste una periodicità unica imposta dal GDPR per tutti i fornitori: frequenza e profondità delle verifiche devono essere determinate in relazione alle caratteristiche del rapporto e alle garanzie necessarie.

Esempio pratico: un’azienda scopre che i fornitori informatici non sono stati correttamente nominati

Si consideri il caso esemplificativo di un’impresa che utilizza un gestionale cloud per i clienti, un servizio esterno di elaborazione delle buste paga e una società informatica incaricata della manutenzione dei sistemi. Nel corso di una verifica della documentazione privacy emerge che i contratti commerciali sono regolarmente sottoscritti, ma non è stata effettuata una valutazione organica dei ruoli privacy dei fornitori. Per alcuni servizi manca l’accordo previsto dall’articolo 28 del GDPR; per altri è presente una nomina generica, predisposta anni prima e mai aggiornata.

La situazione richiede innanzitutto di ricostruire quali dati personali siano trattati dai singoli fornitori e per conto di quale soggetto. L’attenzione si concentra soprattutto sul servizio cloud, che utilizza ulteriori operatori per l’infrastruttura tecnica, e sulla società informatica, i cui tecnici possono accedere da remoto ai sistemi aziendali. Non è sufficiente richiedere indiscriminatamente una firma a tutti i fornitori: occorre distinguere quelli che operano come responsabili del trattamento da quelli che agiscono come titolari autonomi o che non svolgono attività riconducibili all’articolo 28.

In una situazione di questo tipo, l’intervento professionale consiste nell’esaminare i rapporti contrattuali, verificare le garanzie offerte dai fornitori e individuare gli accordi da predisporre o aggiornare. Per i servizi che comportano accessi tecnici o utilizzo di subresponsabili vengono valutate anche le istruzioni operative, le misure di sicurezza e le condizioni di gestione dei dati alla cessazione del rapporto. L’azienda può così organizzare un sistema documentale coerente con i trattamenti effettivi e definire le verifiche da effettuare in occasione di nuovi affidamenti o modifiche dei servizi.

Domande frequenti sulla nomina dei fornitori come responsabili del trattamento GDPR

1. Tutti i fornitori che ricevono dati personali dall’azienda devono essere nominati responsabili del trattamento?

No. La nomina è necessaria quando il fornitore tratta dati personali per conto dell’impresa, assumendo il ruolo di responsabile ai sensi dell’articolo 28 del GDPR. Se il soggetto determina autonomamente le finalità e i mezzi essenziali del trattamento, può operare come titolare autonomo. La qualificazione deve essere effettuata sulla base delle attività concretamente svolte, non della sola presenza di un rapporto commerciale o della trasmissione di dati personali.

2. Il commercialista e il consulente del lavoro devono firmare la nomina privacy?

Non necessariamente. Il commercialista e il consulente del lavoro possono operare come titolari autonomi quando svolgono attività professionali caratterizzate da autonomia decisionale sulle finalità e sui mezzi essenziali del trattamento. Per servizi specifici, come determinate attività di elaborazione delle buste paga svolte per conto del datore di lavoro, può invece configurarsi un rapporto tra titolare e responsabile. Occorre verificare il contenuto effettivo dell’incarico prima di predisporre la documentazione.

3. Un fornitore informatico che può accedere ai dati aziendali deve essere nominato responsabile?

La possibilità di accesso ai dati è un elemento da valutare, ma non determina automaticamente la qualificazione. Se il fornitore svolge operazioni di trattamento per conto dell’azienda, ad esempio nella gestione di database, backup o sistemi informatici, può essere necessario un accordo ai sensi dell’articolo 28. Devono essere esaminate le attività affidate, le modalità di accesso, le istruzioni ricevute e le misure di sicurezza applicate.

4. Cosa deve fare un’azienda se scopre di non aver nominato alcuni responsabili esterni?

Deve innanzitutto verificare quali fornitori svolgano effettivamente attività riconducibili all’articolo 28 del GDPR. Per i rapporti che richiedono un accordo, occorre esaminare la documentazione esistente, valutare le garanzie offerte dal fornitore e predisporre gli atti necessari. La regolarizzazione deve riguardare anche eventuali carenze nelle istruzioni, nella sicurezza e nella gestione dei subresponsabili. La firma successiva di un contratto non cancella automaticamente le irregolarità pregresse.

5. Quanto costa verificare e regolarizzare le nomine GDPR dei fornitori aziendali?

Il costo dipende dal numero di fornitori da esaminare, dalla complessità dei trattamenti, dalla presenza di contratti già utilizzabili e dalla necessità di verificare servizi cloud, subresponsabili o trasferimenti internazionali. Un’impresa con pochi fornitori e rapporti contrattuali semplici richiede generalmente un’attività diversa da quella necessaria per un gruppo societario con numerosi servizi esternalizzati. Un preventivo attendibile presuppone quindi una valutazione preliminare della documentazione e dei rapporti effettivamente esistenti.

Verifica delle nomine GDPR dei fornitori: richiedi una valutazione allo Studio Legale Calvello

Se la vostra azienda utilizza fornitori informatici, servizi cloud, società di elaborazione paghe o altri soggetti esterni che trattano dati personali, è opportuno verificare che i rispettivi ruoli siano stati correttamente individuati e che gli accordi contrattuali rispondano alle prescrizioni del GDPR. Nomine mancanti, contratti non aggiornati e qualificazioni errate dei fornitori richiedono un esame dei rapporti effettivi e degli obblighi applicabili, soprattutto quando i servizi coinvolgono dati dei dipendenti, database clienti o informazioni riservate.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella verifica dei rapporti con i responsabili esterni, nella predisposizione e revisione degli accordi ai sensi dell’articolo 28 del GDPR e nella valutazione delle criticità riscontrate. Per sottoporre la situazione della vostra azienda al nostro esame, potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli approfondimenti necessari e le possibili modalità di intervento.