Titolare e responsabile del trattamento: come distinguerli con una checklist decisionale

01

La differenza in breve

Il titolare del trattamento è chi determina finalità e mezzi del trattamento dei dati personali; il responsabile è chi tratta i dati per conto del titolare, secondo le sue istruzioni.

Questa distinzione, definita dall'articolo 4 del GDPR, determina chi assume quali obblighi verso gli interessati e verso le autorità di controllo.

02

Perché la distinzione conta

Il ruolo assegnato non è una scelta di etichetta: dipende da chi decide realmente perché e come i dati vengono trattati. Un'organizzazione che riceve dati e li tratta seguendo istruzioni altrui è responsabile, non titolare, indipendentemente da come viene chiamata nel contratto.

03

Come stabilire il ruolo, passo per passo

Passaggi

1. Chiedersi chi decide le finalità del trattamento: quella parte è, o è insieme ad altri, il titolare.
2. Verificare chi decide i mezzi tecnici e organizzativi del trattamento: anche questo elemento indica il titolare.
3. Se un'organizzazione tratta dati solo per conto di un'altra e su sue istruzioni, quella è il responsabile.
4. Formalizzare il rapporto con un contratto o altro atto giuridico che stipuli materia, durata, natura, finalità, tipo di dati e categorie di interessati.
5. Verificare che il contratto contenga gli obblighi specifici richiesti per il responsabile, non solo un riferimento generico al GDPR.

04

Esempio ipotetico

Un'azienda di software gestionale tratta i dati dei clienti di un'impresa manifatturiera secondo le istruzioni documentate di quest'ultima: in questo scenario ipotetico l'impresa manifatturiera è titolare, il fornitore software è responsabile. Se il fornitore ricorresse a un altro fornitore per l'hosting, dovrebbe avere l'autorizzazione scritta del titolare e imporre allo hosting gli stessi obblighi di protezione dati previsti nel contratto originale.

05

Elementi che il contratto con il responsabile deve contenere

• Istruzione documentata del titolare come unico fondamento del trattamento da parte del responsabile.
• Impegno alla riservatezza da parte delle persone autorizzate al trattamento.
• Misure tecniche e organizzative adeguate ai sensi dell'articolo 32.
• Condizioni per il ricorso a un sub-responsabile, incluse le stesse garanzie di protezione dati.
• Assistenza al titolare per rispondere alle richieste degli interessati e per gli obblighi degli articoli 32-36.
• Cancellazione o restituzione dei dati al termine del servizio, salvo obblighi di conservazione previsti dalla legge.
• Messa a disposizione delle informazioni necessarie a dimostrare la conformità e possibilità di audit.

06

Come organizzare ruoli e prove con un partner software

Un'organizzazione può scegliere di configurare, insieme al proprio partner software, un registro chiaro di chi è titolare e chi è responsabile per ciascun trattamento, con contratti collegati e data di aggiornamento. È una scelta operativa consigliata, non un obbligo derivante da una funzione specifica del software.

Può inoltre valere la pena definire chi in azienda approva l'uso di sub-responsabili e chi verifica periodicamente che i contratti contengano gli obblighi previsti, mantenendo traccia delle istruzioni documentate impartite ai responsabili.

07

In pratica, in tre mosse

Passaggi

1. Mappa chi decide finalità e mezzi per ogni trattamento di dati personali in azienda.
2. Redigi o verifica il contratto con ogni responsabile, includendo tutti gli obblighi richiesti.
3. Rivedi periodicamente le catene di sub-responsabili e le autorizzazioni concesse.

08

Prossimo passo

Verifica i contratti di trattamento in essere e confronta ciascuna clausola con gli obblighi elencati in questa checklist prima della prossima revisione contrattuale.