Che differenza c'è tra titolare, responsabile e autorizzato al trattamento dentro uno studio professionale?

Dentro uno studio professionale il titolare del trattamento decide perché e come vengono usati i dati; il responsabile del trattamento è di regola un soggetto esterno che li tratta per conto del titolare e su sue istruzioni; l'autorizzato al trattamento opera invece nella struttura del titolare, sotto la sua autorità. La differenza non è formale: cambia chi deve ricevere istruzioni, quale documento occorre predisporre e chi risponde delle scelte organizzative.

Un buon glossario serve proprio a leggere attività quotidiane come l'apertura di un fascicolo cliente, l'invio di una dichiarazione, la gestione di una busta paga o l'assistenza del fornitore informatico. Prima di predisporre nomine e informative, occorre associare ogni parola GDPR al flusso di lavoro reale dello studio.

Dato personale, categorie particolari, dati giudiziari

È dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile. Nome, codice fiscale, indirizzo, email nominativa, numero di telefono, IBAN e dati di fatturazione possono rendere identificabile il cliente, il dipendente, il collaboratore o il referente di una società. Anche dati apparentemente tecnici, se collegabili a una persona, meritano questa valutazione.

Le categorie particolari di dati sono indicate dall'articolo 9 del GDPR e comprendono, tra gli altri, dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, biometrici usati per identificare univocamente una persona, dati relativi alla salute, alla vita sessuale o all'orientamento sessuale. In studio possono emergere, ad esempio, in una pratica di lavoro che contiene certificati medici, in un contenzioso o nella gestione di assenze del personale.

I dati relativi a condanne penali, reati o connesse misure di sicurezza rientrano nell'articolo 10 del GDPR e seguono una disciplina distinta. Una visura, un atto giudiziario ricevuto per una pratica, una delega difensiva o documenti prodotti in un contenzioso richiedono attenzione sia alla base normativa sia alla limitazione degli accessi.

• Dato comune: recapito del referente cliente inserito nella rubrica dello studio.
• Categoria particolare: certificazione sanitaria allegata a una pratica del personale.
• Dato dell'articolo 10: documentazione su procedimenti o condanne presente in un fascicolo trattato nei casi previsti.

Trattamento, finalità, base giuridica

Il trattamento è un concetto molto ampio. Raccogliere un documento, registrare una fattura, consultare un gestionale, classificare una PEC, inviare un file al cliente, archiviare o cancellare un fascicolo sono tutte operazioni di trattamento. Non esiste quindi una fase dello studio davvero neutra solo perché il dato non viene comunicato all'esterno.

La finalità spiega lo scopo concreto dell'operazione: eseguire l'incarico professionale, rispettare un obbligo fiscale o lavoristico, tutelare un diritto in sede giudiziaria, amministrare il rapporto con fornitori e dipendenti. Per ciascuna finalità occorre individuare una base giuridica adeguata, normalmente tra quelle dell'articolo 6 del GDPR. Il consenso non è la scorciatoia universale: nel rapporto professionale spesso la base corretta è il contratto, un obbligo legale o un'altra condizione prevista dalla norma.

Finalità generiche come “gestione privacy” o “servizi vari” non aiutano né chi compila il registro né chi deve dare istruzioni al personale. Una finalità ben descritta rende verificabili dati trattati, destinatari, tempi di conservazione e misure applicate.

Titolare, contitolare, responsabile, autorizzato

Il titolare determina finalità e mezzi essenziali del trattamento. In uno studio individuale può coincidere con il professionista che acquisisce l'incarico e decide organizzazione, strumenti, accessi e modalità di gestione dei fascicoli. In una società o in un'associazione professionale la verifica deve partire dall'assetto concreto, non dal solo nome commerciale usato verso il cliente.

La contitolarità, disciplinata dall'articolo 26 GDPR, esiste quando due o più soggetti determinano congiuntamente finalità e mezzi di uno stesso trattamento. Gli interessati devono poter conoscere gli elementi essenziali dell'accordo tra contitolari. Non basta lavorare nello stesso ufficio, condividere una segreteria o utilizzare il medesimo software per diventare contitolari.

Il caso delle associazioni professionali merita un esame pratico. Se gli associati decidono insieme come gestire un'unica banca dati clienti, le procedure di acquisizione, l'archivio, le comunicazioni e gli strumenti essenziali, può configurarsi una contitolarità da disciplinare con un accordo. Se invece ogni professionista gestisce autonomamente i propri incarichi e le proprie decisioni, la condivisione di spazi o servizi non trasforma automaticamente i professionisti in contitolari.

Perché responsabile e autorizzato non coincidono

Il responsabile del trattamento, ai sensi dell'articolo 28 GDPR, è un soggetto distinto dal titolare che tratta dati personali per conto di quest'ultimo. Può essere il fornitore cloud, la software house che svolge assistenza con accesso ai dati, il servizio di elaborazione paghe o l'archiviatore esterno, quando opera secondo istruzioni documentate del titolare. Il rapporto richiede un atto o contratto con i contenuti previsti dal GDPR, non una semplice lettera generica di riservatezza.

L'autorizzato è invece una persona che agisce all'interno dell'organizzazione del titolare, o comunque sotto la sua autorità diretta, con accessi coerenti con le mansioni. Segretaria, praticante, dipendente amministrativo e collaboratore incaricato di lavorazioni interne possono essere autorizzati. L'articolo 29 e l'articolo 32, paragrafo 4, del GDPR impongono che chi agisce sotto l'autorità del titolare o del responsabile tratti i dati solo su istruzione, salvo obblighi di legge.

• Al responsabile esterno si chiedono garanzie, istruzioni contrattuali, riservatezza e controllo del rapporto.
• All'autorizzato interno si assegnano mansioni, profili di accesso, istruzioni operative e formazione proporzionata.
• Chiamare un dipendente “responsabile esterno” o una software house “autorizzata” altera la struttura documentale e organizzativa.

DPO, referente privacy e amministratore di sistema

Il DPO, o responsabile della protezione dei dati, è una figura prevista dagli articoli 37-39 GDPR. Non è obbligatorio per ogni PMI o studio: la designazione dipende dai presupposti indicati dal Regolamento, tra cui le attività principali svolte da autorità pubbliche oppure trattamenti che richiedono monitoraggio regolare e sistematico su larga scala o riguardano su larga scala categorie particolari di dati o dati dell'articolo 10.

Quando è designato, il DPO informa e consiglia, sorveglia l'osservanza della disciplina, coopera con il Garante e funge da punto di contatto. Deve poter operare con autonomia e riferire al vertice, senza ricevere istruzioni sul contenuto dei suoi compiti. Non coincide automaticamente con il consulente informatico, con il titolare o con chi assume decisioni incompatibili sulle finalità e sui mezzi del trattamento.

Il referente privacy è invece un ruolo organizzativo interno, utile per raccogliere evidenze, aggiornare scadenze, coordinare istruzioni e tenere ordinati i documenti. Non è una figura tipizzata dal GDPR e non sostituisce il DPO quando la designazione di quest'ultimo è necessaria.

L'amministratore di sistema gestisce o può gestire componenti e servizi informatici con privilegi elevati: sistemi, basi dati, reti, backup o apparati di sicurezza. Questa figura non nasce dal GDPR, ma dal provvedimento del Garante del 27 novembre 2008, successivamente modificato, sugli amministratori di sistema. Lo studio deve valutare l'applicabilità delle prescrizioni, formalizzare le attribuzioni e mantenere controlli adeguati sugli accessi privilegiati, senza confondere tale funzione tecnica con quella del DPO.

Registro, informativa, consenso, valutazione d'impatto

Il registro dei trattamenti dell'articolo 30 è la mappa operativa delle attività: finalità, categorie di interessati e dati, destinatari, eventuali trasferimenti, conservazione e misure di sicurezza. Non è un elenco di software né un documento da compilare una volta e dimenticare in cartella. Deve rappresentare come lo studio lavora oggi e aggiornarsi quando entrano nuovi servizi, nuovi flussi o nuovi accessi.

Per impostare ogni scheda con criteri pratici, è utile seguire Come si compila il registro dei trattamenti dell'articolo 30 scheda per scheda senza copiare modelli?. La scelta dello strumento deve poi tenere conto di numero di attività, revisioni, deleghe e necessità di produrre evidenze: Conviene tenere il registro dei trattamenti su foglio di calcolo o su un software dedicato? affronta proprio questa decisione.

La valutazione d'impatto sulla protezione dei dati, o DPIA, prevista dall'articolo 35, non è necessaria per ogni trattamento. Va svolta prima dell'avvio quando il trattamento può presentare un rischio elevato, considerando natura, ambito, contesto e finalità, nonché gli elenchi pubblicati dal Garante. Se il rischio elevato residuo non può essere ridotto, può rendersi necessaria la consultazione preventiva dell'autorità.

TrattamentiInRegola costruisce passo passo registro, nomine e informative, così che lo studio disponga di documenti coerenti con i flussi effettivi e pronti da esibire in caso di verifica.

Violazione, notifica, comunicazione agli interessati

Una violazione di dati personali, o data breach, non coincide soltanto con un attacco informatico. Può derivare da una PEC inviata al destinatario sbagliato, da un fascicolo sottratto, da credenziali compromesse, dalla perdita di un backup, da un accesso non autorizzato o dall'indisponibilità di dati necessari per lavorare. Occorre valutare riservatezza, integrità e disponibilità, documentando fatti, effetti e azioni correttive.

La notifica al Garante prevista dall'articolo 33 e la comunicazione agli interessati prevista dall'articolo 34 sono obblighi distinti. Il titolare notifica all'autorità di controllo la violazione quando è probabile che presenti un rischio per i diritti e le libertà delle persone fisiche; la notifica va effettuata senza ingiustificato ritardo e, ove possibile, entro settantadue ore da quando il titolare ne viene a conoscenza. Se avviene oltre tale termine, occorre motivare il ritardo.

La comunicazione alle persone coinvolte è richiesta quando il rischio è elevato e deve permettere agli interessati di comprendere la natura dell'accaduto e le cautele utili. Non segue automaticamente ogni notifica: il GDPR prevede eccezioni, ad esempio se misure tecniche efficaci rendono i dati incomprensibili a chi non è autorizzato. Anche un evento non notificabile va comunque registrato e valutato. Per organizzare le prime decisioni, ruoli e raccolta delle evidenze, consulta Che cosa fare nelle prime settantadue ore dopo una violazione di dati personali in studio?.

In sintesi, il titolare decide e risponde dell'impianto del trattamento, il responsabile esterno opera per suo conto, l'autorizzato interno lavora secondo istruzioni; DPO, referente privacy e amministratore di sistema hanno poi compiti diversi e non sovrapponibili. Un glossario applicato ai flussi dello studio rende più solidi registro, nomine, informative e gestione degli incidenti. Per un confronto sulla vostra organizzazione, potete scrivere dal modulo di contatto; per altri approfondimenti editoriali, trovate le analisi di Jimenez Julien.