Quali contenuti deve avere l'atto di nomina a responsabile esterno previsto dall'articolo 28 del GDPR?

L'atto di nomina previsto dall'articolo 28 GDPR deve essere un contratto o altro atto giuridico vincolante, anche elettronico, che definisca trattamento affidato, limiti, istruzioni, misure e responsabilità. Prima si qualifica il rapporto, poi si verificano le garanzie del fornitore e infine si formalizza una nomina coerente con il servizio svolto.

Per studi professionali e PMI occorre collegare i documenti alle attività quotidiane: gestionale cloud, posta, assistenza informatica, archivi cartacei, conservazione digitale e piattaforme collaborative. TrattamentiInRegola costruisce registro dei trattamenti, nomine e informative passo passo, perché la documentazione sia utilizzabile durante un controllo e non solo archiviata.

Titolare, contitolare, responsabile e sub responsabile: chi è chi

Il GDPR assegna i ruoli in base ai poteri effettivi, non al nome del contratto. Occorre verificare chi decide perché usare i dati, per quali finalità e con quali scelte essenziali. Una classificazione errata produce nomine inutili o lascia senza regole un fornitore che accede a dati personali.

Il titolare decide finalità e mezzi essenziali

Il titolare determina finalità e mezzi del trattamento. Uno studio è normalmente titolare per dati di dipendenti, collaboratori, clienti, prospect e fornitori gestiti nella propria organizzazione. Deve dimostrare la conformità, impartire istruzioni ai responsabili e scegliere soggetti con garanzie adeguate.

I contitolari determinano congiuntamente finalità e mezzi. Non serve quindi una nomina ex articolo 28, ma un accordo ai sensi dell'articolo 26 GDPR che ripartisca trasparentemente le responsabilità, soprattutto verso gli interessati. La contitolarità non si presume perché due organizzazioni scambiano dati o collaborano sullo stesso cliente.

Responsabile e sub responsabile operano per conto altrui

Il responsabile esterno tratta dati per conto del titolare e secondo istruzioni documentate. Il sub responsabile è un fornitore usato dal responsabile per svolgere, in tutto o in parte, il servizio affidato. Le persone fisiche sotto l'autorità del titolare o del responsabile non sono responsabili esterni: ricevono istruzioni e autorizzazioni interne coerenti con l'articolo 29 GDPR.

Quando il fornitore è responsabile e quando resta titolare autonomo

Un fornitore è normalmente responsabile quando presta un servizio che richiede di trattare dati dello studio senza usarli per finalità proprie incompatibili con l'incarico. Il contratto commerciale non basta: contano autonomia e ragione dell'uso delle informazioni.

Il fornitore di un gestionale cloud è di regola responsabile per hosting, manutenzione e assistenza sui dati caricati dallo studio. Lo stesso vale spesso per posta elettronica, conservazione a norma e consulente informatico che accede a database, computer o backup. Vanno comunque lette le condizioni del servizio: telemetria, analisi del prodotto, supporto remoto e sedi di assistenza possono comportare trattamenti distinti da censire.

La società di pulizie che accede agli archivi richiede una valutazione concreta. Se gli addetti entrano soltanto nei locali senza consultare fascicoli, la priorità è organizzativa: armadi chiusi, clean desk, gestione delle chiavi e istruzioni di riservatezza. Se manipola, consulta o organizza documenti con dati personali, può trattare per conto dello studio e la nomina deve disciplinare l'accesso.

Non si nominano responsabili i soggetti che trattano dati per finalità proprie e con autonomia definita dalla legge o dalla prestazione professionale. La banca opera per finalità contrattuali, regolamentari e antiriciclaggio. Il commercialista che agisce in autonomia professionale per i propri obblighi non diventa responsabile del cliente. Le pubbliche amministrazioni destinatarie di comunicazioni obbligatorie operano nelle proprie funzioni e non ricevono una nomina ex articolo 28.

I contenuti obbligatori dell'atto di nomina

L'articolo 28, paragrafo 3, richiede un contratto o altro atto giuridico che individui il trattamento e vincoli il responsabile al titolare. Non basta richiamare il GDPR: deve chiarire cosa il fornitore può fare, su quali dati, per quanto tempo e con quali cautele.

L'atto deve contenere almeno i seguenti elementi, adattati al servizio e preferibilmente integrati da allegati tecnici aggiornabili.

• oggetto, durata, natura e finalità del trattamento affidato;
• tipologie di dati personali e categorie di interessati;
• obblighi, diritti e istruzioni documentate del titolare;
• divieto di trattare dati per finalità proprie o fuori dalle istruzioni, inclusi trasferimenti internazionali non autorizzati, salvo obbligo di legge applicabile;
• impegno affinché le persone autorizzate siano vincolate alla riservatezza o a un adeguato obbligo legale;
• adozione di misure tecniche e organizzative adeguate ai sensi dell'articolo 32 GDPR;
• disciplina del ricorso a sub responsabili secondo l'articolo 28;
• assistenza al titolare per diritti degli interessati e obblighi su sicurezza, violazione dei dati, valutazione d'impatto e consultazione preventiva;
• restituzione o cancellazione dei dati al termine del servizio, salvo obbligo legale di conservazione;
• informazioni necessarie a dimostrare la conformità, collaborazione alle verifiche e comunicazione immediata di istruzioni ritenute contrarie al GDPR o ad altre norme applicabili.

Le istruzioni devono essere concrete. Per un gestionale è utile indicare ambienti trattati, assistenza, regole per amministratori di sistema, backup, canali di segnalazione e gestione degli account. Se lo studio usa intelligenza artificiale collegata ai flussi documentali, deve verificare anche Quando l'intelligenza artificiale entra in studio, che cosa va aggiunto al registro dei trattamenti?, perché nomina, istruzioni e registro devono descrivere lo stesso trattamento.

Le garanzie sufficienti da verificare prima di affidare i dati

Ai sensi dell'articolo 28, paragrafo 1, il titolare ricorre soltanto a responsabili con garanzie sufficienti per adottare misure tecniche e organizzative adeguate. Nessuna certificazione universale sostituisce la valutazione del titolare, che deve essere proporzionata a servizio, volume di dati, eventuali categorie particolari e conseguenze di un incidente.

Una PMI non deve trasformare ogni acquisto in un audit invasivo. È opportuno predisporre un fascicolo fornitore essenziale, datato e conservato con la nomina, con le informazioni ragionevolmente ottenibili.

• descrizione del servizio, ruoli privacy dichiarati e accordo sul trattamento dati;
• misure dichiarate su accessi, autenticazione, segregazione degli ambienti, cifratura, backup, continuità operativa e registrazione degli eventi;
• elenco o categorie dei sub responsabili, paesi di trattamento e sedi del supporto;
• procedura per segnalare incidenti, collaborare all'analisi e fornire al titolare le informazioni necessarie;
• capacità di assistere lo studio per risposte agli interessati e cancellazione, restituzione o portabilità dei dati;
• eventuali attestazioni, certificazioni, report indipendenti o questionari del fornitore, valutati come supporto e non come prova automatica di conformità.

La decisione va annotata con motivazione semplice: servizio, dati coinvolti, fonti esaminate, rischi rilevanti, misure richieste e soggetto che ha approvato il fornitore. Questo approccio dimostra accountability. Anche il budget va letto così: Quanto costa mettersi in regola con il GDPR in uno studio e quali voci pesano? aiuta a distinguere costi documentali e misure operative necessarie.

Sub responsabili e autorizzazione preventiva del titolare

Il responsabile non può incaricare un altro responsabile senza autorizzazione scritta, specifica o generale, del titolare. Quella specifica è adatta a pochi soggetti critici e identificabili. Quella generale è più pratica per piattaforme cloud con filiera variabile, ma impone al responsabile di informare il titolare di modifiche o sostituzioni, lasciandogli tempo e possibilità di opporsi.

L'atto dovrebbe indicare comunicazione, informazioni disponibili e conseguenze dell'opposizione. Il sub responsabile deve assumere, con contratto o altro atto giuridico, gli stessi obblighi sostanziali imposti al responsabile principale, che resta pienamente responsabile verso il titolare del suo adempimento.

Trasferimenti fuori dallo Spazio economico europeo e clausole contrattuali tipo

Un fornitore europeo non esclude trasferimenti verso paesi terzi: possono rilevare server, backup, società del gruppo, assistenza remota o sub responsabili fuori dallo Spazio economico europeo. Nomina e documentazione del fornitore devono rendere visibili queste circostanze, senza formule generiche come infrastruttura globale.

Se non esiste una decisione di adeguatezza della Commissione europea applicabile al paese destinatario, il trasferimento richiede una garanzia del capo V GDPR. Le clausole contrattuali tipo della Commissione europea sono frequenti, ma vanno scelte nel modulo corretto, compilate con le informazioni sul trasferimento e valutate rispetto alla normativa del paese destinatario. Se necessario, titolare e fornitore prevedono misure supplementari tecniche, contrattuali o organizzative. Le deroghe dell'articolo 49 sono eccezionali e non sostituiscono una base stabile per un servizio ricorrente.

Riesame, revoca e sorte dei dati alla fine del rapporto

La nomina va riesaminata se cambiano servizio, categorie di dati, finalità, sub responsabili, localizzazione, misure di sicurezza o condizioni contrattuali. Il riesame è essenziale dopo un incidente: la procedura interna deve collegare segnalazione del fornitore, valutazione del rischio e decisioni dello studio. In caso di violazione, può essere utile la guida Che cosa fare nelle prime settantadue ore dopo una violazione di dati personali in studio? per ordinare attività urgenti e raccolta delle evidenze.

Alla cessazione, il titolare sceglie restituzione o cancellazione, salvo conservazione imposta dal diritto dell'Unione o nazionale. La scelta deve indicare dati e copie coinvolte, formato e canale di restituzione, backup e archivi tecnici, attestazione di cancellazione, eventuale conservazione obbligatoria e divieto di ulteriori utilizzi. Se è previsto il passaggio a un nuovo fornitore, vanno disciplinate esportazione sicura e continuità del servizio.

Una nomina efficace identifica il ruolo corretto, traduce l'articolo 28 in istruzioni verificabili, controlla la catena dei sub responsabili e pianifica la fine del rapporto. Per documenti coerenti con le attività dello studio o della PMI, e per i casi più delicati, è possibile scrivere dal modulo di contatto a Jimenez Julien.