Caso d'uso
Art. 28 GDPR: l'accordo con il responsabile riletto clausola per clausola
Ogni settimana arriva un accordo ex art. 28 GDPR scritto dal fornitore, spesso in inglese, con allegati che rimandano a pagine web. Con Next-OS lo carichi e ottieni l'elenco delle clausole presenti, mancanti o da negoziare, con il riferimento alla lettera della norma. Il giudizio su cosa accettare resta tuo.
Art. 28 GDPR: accordi scritti dal fornitore, ruoli dati per scontati
L'atto di nomina a responsabile del trattamento è il contratto, o altro atto giuridico, con cui il titolare affida a un fornitore un trattamento per suo conto e lo vincola alle istruzioni e alle garanzie dell'art. 28 GDPR. Il fornitore diventa così responsabile esterno del trattamento.
Il DPO riceve ogni settimana contratti da rivedere: piattaforme cloud, software paghe, CRM, call center, strumenti di intelligenza artificiale. Quasi sempre l'accordo sul trattamento dei dati (il DPA, data processing agreement) è il modello del fornitore, spesso in inglese, con allegati su misure di sicurezza e sub-responsabili che rimandano a pagine web aggiornabili unilateralmente.
Le domande ricorrenti sono sempre le stesse:
- il fornitore è davvero responsabile del trattamento o decide finalità e mezzi, e quindi è titolare autonomo? L'art. 28, par. 10, ricorda che il responsabile che determina finalità e mezzi è considerato titolare;
- l'accordo contiene tutti gli elementi dell'art. 28, par. 3?
- come sono regolati i sub-responsabili e i trasferimenti fuori dallo Spazio economico europeo?
- il titolare può davvero fare audit e ispezioni, come prevede la lettera h)?
Per l'inquadramento del responsabile del trattamento GDPR il riferimento sono le linee guida EDPB 07/2020 su titolare e responsabile.
Come rivedi un accordo art. 28 GDPR con Next-OS
La revisione procede in tre passi: lettura completa dei documenti, confronto con la norma, richieste di modifica al fornitore.
1. Carica l'accordo e i suoi allegati
DPA, condizioni generali, allegato sulle misure tecniche e organizzative, elenco dei sub-responsabili. Next-OS legge anche scansioni PDF e testi in inglese, e risponde in italiano.
2. Confronta il DPA con l'art. 28 GDPR
Il contratto deve stipulare materia, durata, natura e finalità del trattamento, tipo di dati e categorie di interessati, obblighi e diritti del titolare. E deve prevedere che il responsabile:
| Lettera | Obbligo del responsabile |
|---|---|
| a) | tratta i dati solo su istruzione documentata, anche per i trasferimenti verso Paesi terzi |
| b) | vincola alla riservatezza le persone autorizzate |
| c) | adotta le misure di sicurezza dell'art. 32 |
| d) | rispetta le condizioni per ricorrere a sub-responsabili |
| e) | assiste il titolare nel dare seguito ai diritti degli interessati |
| f) | assiste il titolare negli obblighi degli artt. 32-36 (sicurezza, data breach, DPIA) |
| g) | cancella o restituisce i dati a fine servizio, a scelta del titolare |
| h) | mette a disposizione le informazioni e consente audit e ispezioni |
Next-OS ti restituisce questa tabella compilata sul contratto reale: clausola presente, assente o ambigua, con il passaggio del testo.
3. Prepara le richieste di modifica
Chiedi una bozza di addendum o di email al fornitore con le modifiche necessarie. La bozza è esportabile in docx e revisionabile con le revisioni attive; con il piano Professional puoi salvarla in Google Drive o SharePoint e preparare la mail da Gmail o Outlook.
Un esempio concreto: art. 28 GDPR e piattaforma HR in cloud
Una società di servizi sta per adottare una piattaforma HR con sede in Irlanda e supporto tecnico in India. Il DPO carica il DPA di 14 pagine e l'elenco dei sub-responsabili pubblicato online.
Chiede: "Cosa manca rispetto all'art. 28? Ci sono trasferimenti extra UE e su quale base?".
Cosa ottieni:
- la tabella delle lettere a)-h) con le clausole trovate e quelle mancanti (ad esempio, l'obbligo di informare subito il titolare se un'istruzione viola il GDPR, previsto dal secondo comma del par. 3);
- l'osservazione che l'autorizzazione generale ai sub-responsabili è ammessa solo se il fornitore informa delle modifiche e lascia al titolare la possibilità di opporsi (art. 28, par. 2);
- l'individuazione dell'accesso dall'India come trasferimento verso un Paese terzo, con la richiesta di verificare lo strumento usato. Per approfondire c'è la guida sul trasferimento dei dati extra UE.
Il giudizio su cosa negoziare e cosa accettare resta tuo, in base al rischio e al peso contrattuale del titolare.
DPA GDPR: cosa verificare prima di firmare
- Il ruolo effettivo. Leggi il contratto alla luce di cosa fa davvero il fornitore. Se usa i dati per finalità proprie, la nomina a responsabile non basta.
- La forma. L'accordo va stipulato in forma scritta, anche in formato elettronico (art. 28, par. 9).
- La catena. Il responsabile che ricorre a un sub-responsabile deve imporgli gli stessi obblighi e resta responsabile verso il titolare (art. 28, par. 4).
- Il registro. Ogni nuovo fornitore cambia le categorie di destinatari e, a volte, i trasferimenti: aggiorna il registro dei trattamenti del titolare.
- Il DPO non è un responsabile. Il Garante ha chiarito nelle sue FAQ che il DPO, per l'autonomia che gli riconoscono gli artt. 38 e 39, non può essere nominato responsabile del trattamento.
Lo stesso metodo vale per ogni fornitore, compresi quelli di AI. Torna alla pagina sul software privacy per DPO per vedere gli altri casi d'uso.
Altre domande da provare
Domande reali del lavoro di tutti i giorni. Ognuna apre Next-OS con la domanda già scritta: rispondono le fonti, con i riferimenti da verificare.
- Cosa deve contenere l'accordo con un responsabile del trattamento secondo l'art. 28 GDPR?Chiedi all'Assistente AI
- Questo fornitore di servizi di marketing è responsabile o titolare autonomo?Chiedi all'Assistente AI
- Prepara un addendum al DPA del fornitore con le clausole mancanti rispetto all'art. 28Chiedi all'Assistente AI
Domande frequenti
L'accordo ex art. 28 GDPR deve essere scritto?
Sì. Il contratto o l'altro atto giuridico che disciplina il trattamento per conto del titolare è stipulato in forma scritta, anche in formato elettronico (art. 28, par. 9, GDPR). Può basarsi, in tutto o in parte, su clausole contrattuali tipo adottate dalla Commissione europea o da un'autorità di controllo (art. 28, parr. 6-8).
Il responsabile del trattamento può designare un altro responsabile senza chiedere?
No. Serve una previa autorizzazione scritta del titolare, specifica o generale (art. 28, par. 2, GDPR). Con l'autorizzazione generale il responsabile deve informare il titolare delle aggiunte o sostituzioni previste, lasciandogli la possibilità di opporsi. Al sub-responsabile vanno imposti gli stessi obblighi del contratto principale (par. 4).
Che differenza c'è tra responsabile del trattamento e titolare autonomo?
Nel GDPR responsabile del trattamento è chi tratta i dati per conto del titolare e secondo le sue istruzioni documentate; il titolare autonomo determina da sé finalità e mezzi. Il ruolo dipende da cosa il soggetto fa in concreto, non dal nome nel contratto. Se un responsabile decide finalità e mezzi diventa titolare di quel trattamento (art. 28, par. 10).
Fonti
Il prossimo DPA del fornitore, rivedilo lettera per lettera
Prova gratuita di 7 giorni, senza alcun pagamento iniziale. La disattivi quando vuoi.