Responsabili esterni del trattamento applicati alla PL

Quadro normativo

Art. 28 GDPR

• Disciplina del responsabile del trattamento;
• Contratto o altro atto giuridico vincolante con il titolare;
• Obblighi specifici elencati dall'art. 28;
• Sub-responsabili ammessi solo con autorizzazione scritta.

Codice Privacy

• Conferma disciplina GDPR;
• Adattamenti italiani.

Chi sono i responsabili esterni nella PL

Software house gestionali

• Gestionale verbali (es. Verbatel, MaggioliVerbal, ConcilioVerbali, ecc.);
• Trattano: dati trasgressori, proprietari, immagini autovelox, ecc.;
• Hosting spesso in cloud privato della software house;
• Necessario DPA specifico.

Gestori sistemi ZTL e varchi

• Aziende che forniscono telecamere + software OCR + database;
• Trattano: targhe + immagini di tutti i veicoli che transitano;
• Massivi: trattamenti di scala enorme;
• DPA + DPIA spesso obbligatorie.

Gestori videosorveglianza

• Per impianti di videosorveglianza urbana;
• Manutenzione + accesso tecnico;
• DPA rigoroso.

Cloud comunale

• Provider cloud (es. AWS, Azure, Google Cloud, ARUBA, TIM, ecc.);
• Storage documenti, backup, applicazioni;
• DPA + verifiche su localizzazione dati (UE/extra-UE);
• Trasferimenti extra-UE se applicabile.

Società di stampa e notifica verbali

• Stampano verbali, buste, raccomandate;
• Spediscono notifiche;
• Trattano: dati personali a flussi enormi;
• DPA + sicurezza fisica + tracciamento.

Gestori siti web e portali

• Sito istituzionale del Comune;
• Portali di servizi al cittadino;
• Newsletter, sondaggi;
• DPA + cookie policy.

Agenzia di riscossione

• Per recupero crediti da verbali non pagati;
• Trattano dati debitori;
• Convenzione specifica.

Software DPO/Privacy

• Software di gestione registro trattamenti, DPIA;
• DPA.

Sviluppatori app

• App comunale per servizi cittadini;
• DPA + privacy by design.

Contenuto del DPA (art. 28 par. 3 GDPR)

Obbligatori

1. Oggetto del trattamento;
2. Durata;
3. Natura e finalità del trattamento;
4. Categorie di interessati;
5. Categorie di dati personali;
6. Obblighi e diritti del titolare;

Obblighi specifici del responsabile

1. Trattare solo su istruzioni documentate del titolare;
2. Riservatezza del personale autorizzato;
3. Misure di sicurezza ex art. 32;
4. Sub-responsabili solo con autorizzazione scritta del titolare;
5. Supporto al titolare nell'esercizio dei diritti dell'interessato;
6. Notifica data breach al titolare;
7. Supporto al titolare per DPIA;
8. Restituzione/cancellazione dei dati a fine contratto;
9. Audit del titolare consentiti.

Sub-responsabili (art. 28 par. 4)

Disciplina

• Solo con autorizzazione scritta del titolare;
• Generale (per tipologie) o specifica (caso per caso);
• Stesse garanzie del responsabile principale verso titolare;
• Trasparenza: comunicazione delle modifiche al titolare.

Esempio

• Software house gestionale verbali subappalta hosting a cloud provider;
• Cloud provider = sub-responsabile;
• Necessario DPA tra software house e cloud + autorizzazione del Comune.

Verifiche del titolare

Cosa verifica il Comune (titolare)

• Affidabilità del responsabile (esperienza, certificazioni);
• Misure di sicurezza dichiarate e effettive;
• Conformità GDPR;
• Localizzazione dati (UE preferita);
• Capacità rispondere ai diritti interessati.

Audit

• Documentale: certificazioni, policy;
• Tecnico: verifiche su misure di sicurezza;
• Periodico;
• Su evento: in caso di breach o sospetti.

Responsabilità

Del responsabile esterno

• Direttamente verso il Garante;
• Direttamente verso l'interessato (art. 82 GDPR);
• Risarcimento per inadempimento DPA;
• Sanzioni Garante elevate.

Solidarietà

• Tra titolare e responsabile: solidale verso l'interessato per il danno (art. 82);
• Regresso interno tra titolare e responsabile;
• Tracciamento dei comportamenti per definire responsabilità.

Casi pratici

Caso 1 — Software house verbali ha data breach

• Hacker accede al server e ruba dati di 10.000 trasgressori;
• Software house notifica al Comune (titolare);
• Comune notifica al Garante entro 72h + agli interessati;
• Responsabilità: software house principale, ma Comune corresponsabile per scelte di sicurezza;
• Sanzioni: condivise.

Caso 2 — Cloud provider extra-UE

• Comune affida cloud a provider USA;
• Trasferimento extra-UE: necessarie clausole standard contrattuali (CCS) o decisione adeguatezza;
• Verifica: conformità Schrems II, accesso autorità USA;
• DPIA specifica.

Caso 3 — Stampa verbali esternalizzata

• Società di stampa riceve flusso verbali settimanali;
• DPA: dettagliato (sicurezza fisica, distruzione carta, accesso limitato);
• Audit: visite periodiche del DPO comunale.

Per il concorso

Domanda tipica

"Quali sono gli obblighi del responsabile esterno del trattamento?"

Risposta:

• Art. 28 GDPR: contratto scritto (DPA) con titolare;
• Per la PL: software house verbali, gestori ZTL/videosorveglianza, cloud comunale, società stampa/notifica, agenzie riscossione;
• Contenuto DPA: oggetto, durata, finalità, categorie, obblighi;
• Obblighi del responsabile: istruzioni documentate, riservatezza, misure sicurezza, sub-responsabili autorizzati, supporto diritti interessato, notifica breach, restituzione/cancellazione dati, audit;
• Sub-responsabili: solo con autorizzazione scritta titolare;
• Responsabilità: diretta verso Garante e interessato (solidale con titolare).