L'accordo sul trattamento dei dati e i subresponsabili

Modulo 9: Persone e regole · Tempo di lettura: 11 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di leggere e verificare un accordo sul trattamento dei dati sui punti richiesti dal GDPR, e di valutare un elenco di subresponsabili.

Concetti chiave: accordo sul trattamento dei dati (DPA), art. 28 par. 3 GDPR, istruzioni scritte, riservatezza, misure di sicurezza, subresponsabile, autorizzazione generale o specifica, diritto di opposizione, assistenza, restituzione o cancellazione, audit, trasferimento fuori dal SEE, termine di notifica della violazione dei dati, clausole contrattuali standard per i responsabili del trattamento

Perché un accordo sul trattamento dei dati?

Nella lezione 1.2 ha visto i ruoli: Bakkerij De Korrel è titolare del trattamento, il servizio cloud è responsabile del trattamento. L'articolo 28 paragrafo 3 del GDPR richiede che il trattamento da parte di un responsabile sia disciplinato da un contratto (o altro atto giuridico) stipulato per iscritto. Anche in forma elettronica. Questo è l'accordo sul trattamento dei dati, in inglese Data Processing Agreement (DPA) o Data Processing Addendum.

Con i grandi servizi cloud non firma Lei stesso un documento: il DPA fa parte delle condizioni che accetta, oppure spunta una casella nel pannello di gestione. Con fornitori più piccoli a volte scarica un documento, inserisce i propri dati e lo firma. In ogni caso, come titolare deve poter dimostrare che esiste un DPA e cosa contiene.

Questa è una spiegazione, non una consulenza legale. In caso di dubbi sui Suoi contratti, si rivolga a un legale o al Suo responsabile della protezione dei dati.

Cosa deve contenere secondo il GDPR

L'articolo 28 paragrafo 3 elenca prima gli argomenti che il contratto deve descrivere: l'oggetto e la durata del trattamento, la natura e la finalità, il tipo di dati personali, le categorie di interessati, e i diritti e gli obblighi del titolare. Seguono poi otto obblighi del responsabile del trattamento (lettere da a a h). Di seguito, in linguaggio semplice, con la domanda che Lei si pone durante la lettura:

La Commissione europea ha pubblicato anche delle clausole contrattuali standard per i responsabili del trattamento (decisione di esecuzione (UE) 2021/915). Può usarle come DPA: contengono tutti i punti obbligatori. Molti fornitori più piccoli usano un modello proprio, spesso basato su quello delle associazioni di categoria del proprio paese.

Subresponsabili: chi c'è dietro al Suo fornitore?

Il Suo servizio cloud non fa tutto da solo. Un subresponsabile è un soggetto incaricato dal responsabile del trattamento che può accedere ai Suoi dati, per esempio:

• il data center (se non appartiene al fornitore stesso);
• un fornitore di spazio di backup;
• un'azienda che filtra la posta da spam o virus;
• un partner di supporto o uno sviluppatore che interviene da remoto;
• un servizio di IA, se il fornitore offre una funzione di IA.

L'articolo 28 paragrafo 2 afferma: un responsabile del trattamento non incarica un subresponsabile senza una previa autorizzazione scritta specifica o generale del titolare. In caso di autorizzazione generale, il responsabile deve informarLa su subresponsabili nuovi o sostituiti, in modo che Lei possa fare opposizione. In pratica funziona così: il fornitore pubblica un elenco, comunica le modifiche (via email o su una pagina che può seguire), e Lei ha un termine entro cui fare opposizione. Se fa opposizione e non si trova una soluzione, spesso può recedere dal contratto.

Secondo il paragrafo 4, al subresponsabile devono essere imposti gli stessi obblighi, e il responsabile resta pienamente responsabile nei Suoi confronti.

A cosa prestare particolare attenzione in un passaggio a un servizio europeo

Quando passa a un servizio europeo, nell'elenco dei subresponsabili guardi soprattutto a due cose:

1. Dove si trovano i subresponsabili? Un fornitore europeo che fa filtrare la propria posta da un servizio statunitense, o che colloca i propri backup presso un cloud statunitense, espone comunque i Suoi dati al CLOUD Act (lezione 1.3). Guardi il paese e la casa madre di ciascun subresponsabile.
2. Cosa fanno? Un registro di dominio che conosce solo il Suo nome e indirizzo come titolare del dominio è cosa diversa da un soggetto che conserva le Sue caselle di posta.

Legga anche l'articolo sul trasferimento. Un buon DPA europeo dichiara che i dati vengono trattati entro l'UE o il SEE, e che il trasferimento al di fuori è consentito solo con la Sua previa autorizzazione. Se invece c'è scritto "possiamo trattare i dati a livello globale con garanzie adeguate", sa che il trasferimento è possibile.

Segnali a cui prestare attenzione

• Nessun DPA disponibile per un servizio ad uso professionale: non è una buona scelta.
• Un elenco obsoleto di subresponsabili che non corrisponde a quanto il fornitore dichiara altrove (per esempio un data center diverso): chieda chiarimenti.
• Un termine di notifica delle violazioni dei dati così lungo da non permetterLe di rispettare il Suo termine di 72 ore (art. 33). Molti DPA indicano 24 o 48 ore.
• Una responsabilità completamente esclusa. È prassi comune entro certi limiti, ma dice qualcosa sulla sicurezza che il fornitore ha di sé stesso.
• Nessuna regola per la fine del rapporto: cosa succede ai Suoi dati dopo la disdetta, e riceve una conferma di cancellazione?

Chi firma, e dove conservarlo?

Presso De Korrel firma Sanne in qualità di titolare. Conserva il DPA insieme al registro delle attività di trattamento (lezione 9.3), con data e versione. Se il fornitore modifica il DPA o i subresponsabili, conserva anche quella comunicazione. In caso di controllo da parte dell'autorità di controllo, o di una domanda di un cliente ("come trattate i miei dati?"), può così mostrarlo subito.

Nella pratica: come si presenta presso un fornitore

WebOké dispone di un accordo sul trattamento dei dati standard con un allegato con i terzi incaricati, in cui si specifica che il trattamento avviene entro l'UE e che il trasferimento al di fuori è consentito solo con autorizzazione scritta. Nelle domande frequenti della guida di Nextcloud è indicato quando ne ha bisogno. Presso altri fornitori il documento si chiama spesso "Data Processing Agreement" e l'elenco dei subresponsabili si trova in una pagina separata ("Subprocessors"). Confronti quell'elenco con quanto il fornitore dichiara sul proprio sito riguardo a data center e supporto.

Riepilogo

• L'articolo 28 paragrafo 3 del GDPR richiede un accordo scritto sul trattamento dei dati con argomenti fissi e otto obblighi del responsabile del trattamento.
• Verifichi soprattutto: nessun uso per fini propri, sicurezza, subresponsabili, assistenza nelle violazioni dei dati, restituzione o cancellazione al termine del rapporto, e audit.
• Subresponsabili solo con la Sua autorizzazione; con l'autorizzazione generale deve essere informato delle modifiche e poter fare opposizione.
• Quando passa a un servizio europeo, nell'elenco dei subresponsabili guardi il paese e la casa madre di ciascun soggetto.
• Conservi il DPA e le comunicazioni di modifica insieme al Suo registro delle attività di trattamento.

Quiz

Esercizio

Esercizio E9.2: Verifichi un accordo sul trattamento dei dati. Prenda l'accordo sul trattamento dei dati del Suo servizio cloud attuale o nuovo. Ripercorra gli otto punti dalla a alla h e annoti per ciascuno: è presente (sì, no, non chiaro) e dove. Valuti l'elenco dei subresponsabili: annoti per ciascun subresponsabile il paese, la casa madre e cosa fa.

Per saperne di più

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• Guida a Nextcloud 14.8: Assistente IA nel Suo Nextcloud
• Regolamento (UE) 2016/679 (GDPR), articolo 28, su EUR-Lex
• Decisione di esecuzione (UE) 2021/915 (clausole contrattuali standard tra titolari e responsabili del trattamento), su EUR-Lex
• Garante per la protezione dei dati personali (Paesi Bassi, Autoriteit Persoonsgegevens), sezione "Verwerkersovereenkomst" (accordo sul trattamento dei dati): https://www.autoriteitpersoonsgegevens.nl