01
La differenza in sintesi
Il titolare del trattamento è la persona fisica o giuridica, l'autorità pubblica o l'organismo che determina le finalità e i mezzi del trattamento dei dati personali. Il responsabile del trattamento, invece, tratta i dati per conto del titolare, senza decidere autonomamente perché e come vengono usati.
02
Perché questa distinzione conta
Il GDPR distingue anche il destinatario, cioè chi riceve una comunicazione di dati personali, indipendentemente dal fatto che sia terzo o meno. Capire chi è titolare, chi è responsabile e chi è semplice destinatario permette di attribuire correttamente obblighi e responsabilità prima che si verifichi un problema.
03
Come formalizzare il rapporto
Passaggi
- Individuare chi decide finalità e mezzi del trattamento: quello è il titolare.
- Stipulare un contratto o atto giuridico che vincoli il responsabile al titolare.
- Specificare nel contratto materia, durata, natura, finalità, tipo di dati e categorie di interessati.
- Ottenere autorizzazione scritta, specifica o generale, prima che il responsabile coinvolga un sub-responsabile.
- Se l'autorizzazione è generale, prevedere che il responsabile informi il titolare di ogni modifica futura.
04
Un caso ipotetico
Esempio ipotetico: un'azienda titolare affida la gestione delle buste paga a un fornitore esterno. Il contratto stabilisce che il fornitore tratti i dati solo su istruzione documentata dell'azienda, salvo obbligo di legge, nel qual caso informa il titolare prima di procedere. Se il fornitore vuole subaffidare parte del lavoro a un altro soggetto, deve prima ottenere l'autorizzazione scritta dell'azienda.
05
Obblighi tipici del responsabile nel contratto
- Trattare i dati solo su istruzione documentata del titolare.
- Garantire riservatezza delle persone autorizzate al trattamento.
- Adottare le misure tecniche e organizzative richieste dall'articolo 32.
- Assistere il titolare nel rispondere alle richieste degli interessati.
- Cancellare o restituire i dati al termine della prestazione, salvo obblighi di legge.
06
Come organizzare i ruoli con un software gestionale
Un'azienda può scegliere di configurare, insieme al proprio partner software, un elenco chiaro di chi è titolare e chi è responsabile per ciascun trattamento, con tracciabilità delle istruzioni documentate e delle autorizzazioni ai sub-responsabili. È una scelta operativa utile prevedere che ogni modifica ai fornitori di trattamento sia registrata e revisionabile, così da poter dimostrare in ogni momento il rispetto degli obblighi contrattuali.
07
Domande frequenti su titolare e responsabile
Il responsabile può subaffidare il trattamento? Sì, ma solo con autorizzazione scritta del titolare e imponendo al sub-responsabile gli stessi obblighi di protezione dei dati previsti nel contratto originale.
Chi resta responsabile se il sub-responsabile non adempie? Il responsabile iniziale conserva l'intera responsabilità verso il titolare per l'adempimento degli obblighi dell'altro responsabile.
08
Prossimo passo
Verifica i contratti esistenti con i tuoi fornitori di trattamento dati: assicurati che indichino chiaramente istruzioni documentate, durata, finalità e condizioni per eventuali sub-responsabili.
FAQ
Domande frequenti
Chi è il titolare del trattamento secondo il GDPR?
È la persona fisica o giuridica, l'autorità pubblica o l'organismo che determina le finalità e i mezzi del trattamento dei dati personali.
Cosa deve fare il responsabile prima di coinvolgere un altro responsabile?
Deve ottenere una previa autorizzazione scritta, specifica o generale, del titolare del trattamento e, se generale, informarlo di ogni modifica prevista.
Cosa succede se un'istruzione del titolare viola il GDPR?
Il responsabile deve informare immediatamente il titolare se, a suo parere, un'istruzione viola il regolamento o altre disposizioni sulla protezione dei dati.
✓