Quando un’azienda affida a un fornitore la gestione di clienti, dipendenti o utenti, non sta delegando soltanto un’attività operativa. Sta anche stabilendo chi può accedere ai dati personali, con quali istruzioni e sotto quale responsabilità. In questo articolo chiarisco il ruolo del responsabile del trattamento, la differenza rispetto al titolare, i contenuti indispensabili dell’accordo previsto dal GDPR e i controlli pratici da fare prima di affidare i dati a un partner esterno.
Le regole essenziali per affidare dati a un fornitore
- Il titolare decide perché e come usare i dati.
- Il responsabile tratta i dati per conto del titolare e segue istruzioni documentate.
- L’accordo scritto è obbligatorio e può essere firmato anche in formato elettronico.
- La nomina non basta se il fornitore decide autonomamente finalità e strumenti del trattamento.
- I sub-responsabili richiedono un’autorizzazione specifica o generale e adeguati controlli.
Chi decide e chi esegue il trattamento
Il titolare del trattamento è il soggetto che stabilisce le finalità e i mezzi essenziali dell’uso dei dati. In pratica decide quali informazioni raccogliere, per quale motivo conservarle, chi può consultarle e per quanto tempo mantenerle.
Il responsabile opera invece per conto del titolare. Può essere una società, un professionista, un ente pubblico o un altro organismo. Non è un semplice dipendente del titolare, ma un soggetto esterno che svolge materialmente una parte del trattamento seguendo istruzioni precise.
| Figura | Decisione principale | Esempio pratico |
|---|---|---|
| Titolare | Definisce finalità e criteri del trattamento | Un’azienda decide di usare i dati dei clienti per gestire ordini e assistenza |
| Responsabile | Esegue il trattamento secondo le istruzioni ricevute | Un provider ospita il CRM e conserva le informazioni dei clienti |
| Contitolari | Determinano insieme finalità e mezzi | Due organizzazioni progettano e gestiscono congiuntamente una piattaforma |
La distinzione non dipende dal titolo inserito nel contratto. Le Linee guida dell’EDPB chiariscono che conta soprattutto il rapporto concreto tra le parti e ciò che fanno davvero. Se un fornitore usa i dati per una propria finalità, per esempio per costruire autonomamente profili commerciali, potrebbe essere titolare o contitolare, anche se l’accordo lo definisce impropriamente responsabile.
È un errore frequente considerare ogni fornitore informatico come responsabile. Un servizio cloud che conserva dati soltanto per conto dell’azienda rientra normalmente in questo schema. Un intermediario che decide autonomamente quali dati combinare, per quali scopi e con quali tempi di conservazione richiede invece un’analisi diversa.
Quando è necessaria la nomina prevista dal GDPR
La nomina è necessaria quando un soggetto esterno tratta dati personali per conto del titolare. Il caso tipico è quello dell’impresa che incarica un’altra organizzazione di svolgere un’attività che comporta accesso o gestione di informazioni personali.
I casi più comuni
- società che gestiscono paghe e contributi per conto del datore di lavoro;
- provider che ospitano database, applicazioni e sistemi di backup;
- piattaforme per newsletter, CRM e assistenza clienti;
- agenzie che gestiscono campagne marketing sulla base di liste fornite dal cliente;
- società di call center e customer care;
- fornitori incaricati della distruzione sicura di documenti;
- servizi di manutenzione tecnica con accesso ai sistemi aziendali.
Non ogni rapporto professionale porta automaticamente a una nomina. Un consulente può essere titolare autonomo se determina in modo indipendente finalità e modalità del proprio trattamento, come accade spesso per alcuni professionisti soggetti a obblighi legali e deontologici. La valutazione va fatta caso per caso, osservando accessi, istruzioni, finalità e autonomia effettiva.
Prima di firmare, io uso una verifica semplice. Chiedo chi decide lo scopo del trattamento, chi sceglie gli strumenti essenziali, se il fornitore può riutilizzare i dati e se esistono obblighi propri che gli impongono di conservarli o comunicarli. Le risposte aiutano a evitare una nomina formalmente ordinata ma sostanzialmente sbagliata.
Cosa deve contenere l’accordo con il fornitore
L’articolo 28 del GDPR richiede un contratto o altro atto giuridico scritto. È valida anche la forma elettronica, ma un accordo soltanto verbale non soddisfa il requisito. Il documento deve descrivere con sufficiente precisione il trattamento affidato e le responsabilità di entrambe le parti.Almeno questi elementi devono essere presenti:
- oggetto e durata del trattamento;
- natura e finalità delle operazioni svolte;
- tipologie di dati personali trattati;
- categorie di interessati coinvolti;
- istruzioni documentate del titolare;
- obbligo di riservatezza per le persone autorizzate;
- misure tecniche e organizzative adeguate alla sicurezza;
- assistenza nella gestione delle richieste degli interessati;
- supporto in caso di violazione dei dati, valutazione d’impatto o controlli dell’autorità;
- regole per la restituzione o cancellazione dei dati alla fine del servizio;
- diritto del titolare di ricevere informazioni e svolgere verifiche.
Un buon accordo non copia semplicemente il testo del GDPR. Specifica, per esempio, chi comunica un data breach, entro quali tempi, quali sistemi sono utilizzati, dove vengono conservati i dati, come funzionano i backup e chi può accedervi. Più il servizio è delicato, più le clausole generiche lasciano spazio a problemi difficili da gestire.
La sicurezza deve essere concreta
Il contratto dovrebbe collegare le misure di sicurezza al rischio reale. Per un archivio con dati ordinari possono essere essenziali autenticazione forte, gestione degli account, backup e registrazione degli accessi. Per dati sanitari o finanziari servono spesso controlli più rigorosi, come cifratura, segregazione degli ambienti, test periodici e procedure documentate per gli incidenti.
Non esiste una certificazione che renda automaticamente adeguato un fornitore. Una certificazione può essere utile, ma io verifico anche come il servizio funziona nella pratica, chi amministra gli account, quali subfornitori vengono coinvolti e quanto rapidamente il provider comunica un problema.
Obblighi operativi e gestione dei sub-responsabili
Il fornitore può trattare i dati solo sulla base di istruzioni documentate, comprese quelle relative a eventuali trasferimenti fuori dallo Spazio economico europeo. Se ritiene che un’istruzione violi il GDPR o altre norme applicabili, deve informare il titolare senza ritardi ingiustificati. Deve inoltre garantire la riservatezza delle persone autorizzate, adottare misure di sicurezza adeguate e collaborare con il titolare quando un interessato esercita i propri diritti. La risposta finale alla persona resta normalmente in capo al titolare, ma senza la collaborazione tecnica del fornitore spesso diventa impossibile rispettare i termini previsti.Leggi anche: Data Act europeo, cosa cambia per dati, cloud e privacy
Attenzione alla catena dei fornitori
Molti servizi digitali coinvolgono una catena di subfornitori. Il responsabile principale non può affidare il trattamento a un altro soggetto senza la previa autorizzazione scritta del titolare, che può essere specifica oppure generale.
Con un’autorizzazione generale, il titolare deve essere informato delle modifiche previste e avere la possibilità di opporsi. Il sub-responsabile deve assumere obblighi di protezione dei dati almeno equivalenti a quelli previsti nell’accordo principale, mentre il primo fornitore resta responsabile verso il titolare per l’operato del subfornitore.
Per questo non mi fermo mai alla pagina commerciale del servizio. Controllo l’elenco dei sub-responsabili, la localizzazione dei dati, le modalità di notifica delle modifiche e la possibilità concreta di revocare o contestare un nuovo soggetto coinvolto.
Come valutare un fornitore prima della firma
La scelta non dovrebbe basarsi soltanto sul prezzo o sulle funzionalità. Un servizio economico può diventare molto costoso se non permette di recuperare i dati, non offre log affidabili o comunica gli incidenti con troppo ritardo.
Una valutazione pratica può seguire questi passaggi:
- mappare i dati che il fornitore potrà vedere o modificare;
- classificare il rischio in base alla sensibilità delle informazioni e al volume trattato;
- verificare le misure di sicurezza dichiarate e la documentazione disponibile;
- controllare sub-responsabili, trasferimenti internazionali e tempi di conservazione;
- definire tempi e canali per incidenti, richieste degli interessati e audit;
- inserire procedure di restituzione, cancellazione e portabilità dei dati;
- riesaminare il rapporto quando cambiano servizio, tecnologia o finalità.
| Area da controllare | Domanda utile | Segnale di rischio |
|---|---|---|
| Accessi | Chi può consultare i dati e con quali privilegi? | Account condivisi o accessi permanenti non motivati |
| Sicurezza | Come sono protetti dati, backup e credenziali? | Risposte vaghe e nessuna evidenza verificabile |
| Subfornitori | Chi altro tratta le informazioni? | Elenco assente o modifiche non comunicate |
| Uscita dal servizio | Come vengono restituiti e cancellati i dati? | Impossibilità di esportare dati o ottenere conferma della cancellazione |
Il titolare non può trasferire interamente la propria responsabilità al fornitore. Deve scegliere soggetti che offrano garanzie sufficienti e dimostrare di aver fatto una valutazione ragionevole. Questo principio di accountability, cioè la capacità di provare le decisioni adottate, è spesso più importante del documento firmato in sé.
Gli errori che creano più problemi
Il primo errore è usare un modello standard senza descrivere il trattamento reale. Un accordo che parla genericamente di “servizi informatici” non chiarisce quali dati circolano, quali operazioni sono autorizzate e quali controlli devono essere applicati.
Il secondo è nominare il fornitore dopo l’avvio del servizio. Se il partner ha già avuto accesso ai dati per settimane senza un atto scritto, la documentazione successiva non cancella il periodo precedente. La designazione dovrebbe essere pronta prima dell’accesso o dell’inizio delle operazioni.
Un altro problema comune riguarda la cancellazione finale. Chiudere un account non significa necessariamente eliminare dati da backup, archivi secondari e sistemi di supporto. Servono tempi, modalità e una conferma coerente con il servizio.
Infine, molte aziende confondono il responsabile della protezione dei dati, cioè il DPO, con il soggetto che tratta informazioni per conto dell’impresa. Sono ruoli diversi. Il DPO svolge funzioni di consulenza e controllo indipendente, mentre il responsabile esterno esegue specifiche operazioni sui dati.
La regola pratica per mantenere il controllo sui dati
Per orientarsi, tengo separati tre elementi che spesso vengono mescolati: chi decide, chi esegue e chi può coinvolgere altri fornitori. Se questi tre punti sono chiari, diventa molto più semplice scegliere la corretta qualifica giuridica e scrivere un accordo utile.
La nomina non è una formalità da archiviare, ma uno strumento di governo del rapporto. Un contratto preciso, verifiche proporzionate al rischio e una gestione trasparente dei subfornitori riducono gli incidenti e permettono all’azienda di dimostrare, anche nel 2026, di sapere davvero dove finiscono i propri dati personali.
