Responsabile trattamento dati GDPR: stai rispettando l’art. 28?

Ti sei mai chiesto chi è la figura del responsabile del trattamento dei dati (secondo l’art. 28 del GDPR) all’interno della tua azienda? Che tu raccolga dati particolari o che faccia attività di marketing volte alla profilazione dei contatti, è importante capire quali sono le responsabilità e le sanzioni in cui può incorrere il titolare del trattamento nel momento in cui il fornitore prescelto non sia conforme al Gdpr.

Partiamo dalle basi, secondo il Comma 1 dell’art. 28:

“Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento […]”

Il comma 1 dell’art 28 ci spiega che se un’attività che normalmente è in capo al titolare del trattamento (ossia al rappresentante legale di un’azienda), non viene svolta dallo stesso, ma da un professionista esterno (ad esempio il consulente per le buste paga dei dipendenti o il commercialista), quest'ultimo deve essere identificato come responsabile del trattamento.

Cosa comporta l’art. 28 del GDPR al comma 3 ?

Implica il fatto che l’azienda deve dare una prova scritta (tramite una nomina, un contratto o un altro atto giuridico):

• dei trattamenti che sono svolti dal responsabile del trattamento,
• della durata del trattamento,
• della natura e delle finalità del trattamento,
• della tipologia dei dati trattati e delle categorie di interessati,
• degli obblighi e diritti in capo al titolare del trattamento.

Come faccio a identificare quali dei miei fornitori sono dei responsabili esterni?

In primis il mio consiglio è quello di prendere in mano i diversi contratti di servizi stipulati e di verificare se ci sono clausole che rimandano all’argomento privacy. Fatto ciò, si dovranno verificate le reali attività previste e, di conseguenza, se l’attività implica un trattamento di dati personali oppure no.

Il commercialista invece, è da nominare come responsabile esterno?

Il commercialista, il consulente per le buste paga dei nostri dipendenti, il consulente marketing sono tutti da nominare quali responsabili del trattamento perché svolgono a tutti gli effetti attività volte al trattamento dei dati quali l’anagrafica dei dipendenti, il conteggio delle ore di lavoro, l'anagrafica dei clienti e molto altro.

Ovviamente, il nostro responsabile del trattamento ha dei limiti nello svolgere la tua attività, limiti che sono imposti dal titolare del trattamento nel momento in cui stabilisce le metodologie del trattamento e i mezzi da adottare. Qualora un responsabile violi le disposizioni previste, non verrà più considerato responsabile, ma titolare (vedi art. 28 comma 10).

Attenzione poi a non confondere l'identificazione del responsabile del trattamento con l'informativa privacy, errore comune che molte aziende fanno. Stiamo parlando in entrambi i casi di documenti inerenti alla privacy, ma il primo è un contratto da cui derivano funzioni e responsabilità, l'altro è un adempimento a scopo informativo. Per distinguere le 2 fattispecie in modo semplice basta individuare il riferimento normativo:

• se è richiamato l'art 28, parleremo di responsabile del trattamento.
• altrimenti, se indicati gli art 13 e 14, si tratterà di informativa.

Capire quale dei nostri collaboratori può essere inquadrato come responsabile del trattamento non è semplice. Ci sono molti aspetti da valutare e analisi giuridiche specifiche da considerare.

La soluzione più semplice, potrebbe essere quella di nominare a ruota libera tutti i nostri collaboratori esterni quali responsabili. Considera però che le responsabilità derivanti da questa nomina, sono pur sempre oggetto di contratto con valore legale a tutti gli effetti... meglio non abusarne!

Viste inoltre le salate sanzioni previste in caso di violazione dalla normativa in materia di privacy, noi ti consigliamo un check-up in materia di Gdpr.