EDPB: Linea Guida Per Titolari E Responsabili Del Trattamento

Il Garante Europeo dei Dati personali ha pubblicato una nuova linea guida chiarendo i concetti di titolare, contitolare e responsabile:

• Il titolare del trattamento è la a persona fisica o giuridica che determina le finalità e i mezzi del trattamento di dati personali;
• Il responsabile è colui che agisce per nome e conto del titolare, intendendo in tal senso, specificano le Linee Guida, operare nell’interesse di qualcun altro secondo il concetto di “delega”;
• La contitolarità, è una situazione particolare, in cui le finalità ed in mezzi del trattamento sono determinati in modo integrato da due o più soggetti. I contitolari del trattamento determinano e concordano i rispettivi compiti e responsabilità.

Il principio di accountability è alla base della relazione giuridica tra titolare e responsabile difatti, sono in capo al titolare e al responsabile (e ai contitolari) del trattamento tanto la responsabilità del rispetto del GDPR, quanto la capacità di dimostrare la propria conformità alla norma.

I concetti di titolare e responsabile sono funzionali, cioè mirano ad individuare le responsabilità sulla base dei ruoli effettivamente svolti dagli stessi prescindendo così da una designazione formale. Di conseguenza il rifiuto di sottoscrivere un accordo di nomina o, ancora più semplicemente, l’omessa nomina per semplice imperizia, non incidono in alcun modo sull’applicazione della norma e pertanto nei conseguenti obblighi e responsabilità.

II Garante precisa, quindi, come uno stesso soggetto possa agire contemporaneamente in qualità di titolare del trattamento per taluni trattamenti e come responsabile del trattamento per altri.

Le Linee Guida riportano come esempio quello di uno studio legale (titolare per clienti diretti, e responsabile per esempio per i dipendenti di una società cliente), ma può benissimo essere esteso a gran parte dei professionisti (commercialisti, consulenti del lavoro, medici, consulenti, ecc.).

Inoltre si precisa che le istruzioni del titolare al responsabile possono lasciare un certo grado di discrezionalità a quest’ultimo, consentendogli di scegliere la soluzione tecnica e organizzativa più adatta. I mezzi essenziali del trattamento li scegli il titolare; i mezzi non essenziali, come la scelta di un particolare tipo di hardware o software o le misure di sicurezza dettagliate (Esempi ne sono: la gestione delle buste paga, i pagamenti bancari, l’accounting) possono far capo al responsabile.

Ancora, nelle linee guida: “un fornitore può agire quale responsabile del trattamento anche se l’elaborazione dei dati personali gestiti dal titolare non sia l’oggetto principale del servizio (è l’esempio del supporto tecnico informatico per l’assistenza ad un gestionale o genericamente al sistema informatico). In questo caso infatti il trattamento svolto dal fornitore è meramente incidentale e la conseguente attività non incide sulla gestione dei dati, per esempio in caso di una consulenza tecnica per problemi software, non sussiste la figura del responsabile del trattamento.

Il garante ricorda che il GDPR si applica anche quando nulla viene indicato nel contratto tra due soggetti: nel momento in cui, di fatto, vi è una parte che ha il potere di decidere il perché ed il come vengono elaborati dati personali, quella parte sarà un titolare del trattamento. Quest’ultima precisazione però non deve portare a pensare che la redazione di un accordo scritto sia facoltativa, anzi il garante chiarisce che l’assenza di un accordo scritto costituisce una violazione del GDPR, sanzionabile. La responsabilità è reciproca: sia il titolare che il responsabile del trattamento devono preoccuparsi tanto della presenza dell’accordo, quanto del corretto contenuto dello stesso. Se il titolare del trattamento non provvede alla nomina, dovrà essere il responsabile a farsi parte diligente ed attivarsi in tal senso; diversamente, viene scritto esplicitamente nelle Linee Guida, l’autorità di controllo potrà imporre una sanzione amministrativa sia al titolare che al responsabile del trattamento.

L’accordo di nomina a responsabile del trattamento, di conseguenza, dovrebbe includere clausole specifiche e concrete su come verranno soddisfatti i requisiti di cui al Regolamento e quale sia il livello di sicurezza necessario per il trattamento dei dati personali svolto in occasione dei rapporti commerciali tra titolare e responsabile (non limitarsi quindi ad una mera riformulazione delle disposizioni contenute nel GDPR).