Responsabile del trattamento (art. 28)

Art. 28 — Responsabile

Chi è

• Tratta per conto del titolare

Art. 4 n. 8

• Definizione

Esempi responsabili

Fornitori IT

• Cloud, hosting

Commercialisti

• Consulenti

Call center

• Esterni

Agenzie marketing

Studi legali

Titolare → Responsabile

Catena

• Principale

Responsabilità

• Titolare scegli

Scelta diligente

Art. 28.1

• Sufficienti garanzie

Misure

• Tecniche e organizzative

Verifica garanzie

Prima contratto

• Due diligence

Documentata

• Audit

Contratto obbligatorio

Art. 28.3

• Scritto

Forma elettronica

• Ammessa

Contenuto contratto

a) Oggetto e durata

b) Natura e finalità

c) Tipi di dati

d) Categorie interessati

e) Obblighi e diritti titolare

Art. 28.3 co. 2 — 8 clausole

Responsabile:

• a) Tratta solo per istruzioni
• b) Riservatezza personale
• c) Sicurezza art. 32
• d) Sub-responsabili con autorizzazione
• e) Assistenza diritti interessati
• f) Assistenza sicurezza e breach
• g) Restituisce/cancella dati fine
• h) Informazioni e audit

Istruzioni documentate

Titolare dà

• Istruzioni

Responsabile esegue

• Secondo

Riservatezza

Personale responsabile

• Vincolato

NDA

• Spesso

Sicurezza responsabile

Stesso standard

• Titolare

Misure

• Adeguate

Sub-responsabili

Art. 28.2

• Autorizzazione
• Scritta

Specifica o generale

Autorizzazione generale

Titolare deve poter opporsi

• Informato anticipatamente

Lista sub-responsabili

Tenuta

• Aggiornata

Comunicazione

• Cambiamenti

Sub-catena

Responsabile → sub-responsabile → sub-sub

• Tutti contratti

Responsabilità

• Solidali

Assistenza diritti interessati

Tempi GDPR (1 mese)

• Supporto

Tecnico

Assistenza sicurezza

Breach notification

• Rapida

Informazione titolare

Data breach responsabile

Informa titolare

• Senza ritardo

Titolare notifica Garante

Fine contratto

Restituzione dati

• O cancellazione

Documentata

Audit e ispezioni

Responsabile

• Consente

Titolare o auditor terzo

• Diritti

Clausole contrattuali tipo

SCC (Standard Contractual Clauses)

• Per trasferimenti

Modello UE

• Per contratti 28

Modello contratto 28

Commissione UE 2021

• Pubblicato

Adattabile

Tariffe

Libere

• Tra parti

Negoziabili

Sanzioni responsabile

Art. 83 GDPR

• Direttamente

Fino 20 milioni

Responsabilità solidale

Art. 82.4

• Verso interessato

Poi rivalsa

Eccezione responsabilità

Se non responsabile in parte

• Onere prova

Art. 82.2

Sub-responsabile

Stesso regime

• Responsabile

Contratto

• Obbligatorio

Titolare vs responsabile — criteri

Decide finalità

• Titolare

Esegue

• Responsabile

Mix

• Contitolari

Casi misti

Qualificazione complessa

• Caso per caso

EDPB linee guida

Linee guida EDPB

Titolare vs responsabile

• Criteri

Concrete

Esempi dubbi

Commercialista

• Responsabile di regola

Professionisti autonomi

• Caso per caso

Avvocati

Spesso titolare

• Per propria attività

Responsabile

• Se per cliente

Cloud provider

Responsabile

• Tipico

AWS, Google, Microsoft

Standard contracts

• Comuni

SaaS

Software as a Service

• Provider = responsabile

Contratto obbligatorio

PaaS / IaaS

Stesso regime

• Responsabili

Contratti

Email hosting

Provider responsabile

• Per messaggi

Crittografia

• Obbligatoria

PEC

Responsabile

• Per invio

Gestori

Notaio

Contitolare in certi casi

• Atto pubblico

Responsabile

• Per clienti

Medici

Titolari

• Dati pazienti

Ospedale

• Contitolare a volte

Farmacie

Titolari

• Dati clienti

SSN

• Responsabile del titolare (ASL)

Paghe (consulente lavoro)

Responsabile

• Dei dati dipendenti

Contratto

• Datore

ODV (associazioni)

Titolare

• Propri dati

Responsabile

• Per progetti altrui

PA

Contratti con fornitori

• Art. 28 obbligatori

Sempre

Polizia Locale

Fornitori software

• Responsabili

Body-cam vendor

• Responsabile

Sistemi gestionali PL

Contratto specifico

• Privacy

Clausole

• Complete

Outsourcing

Chiamate

• Call center

Dati cittadini

• Trattati

Responsabile

Consulenti esterni

DPO esterno

• Responsabile?
• No: figura autonoma

Ma contratti

• Sì

Formazione fornitori

Documentate

• Attestati

Responsabilità

• Del titolare

Audit

Annuali

• Raccomandati

Certificazioni

• Verifiche

Cessazione

Obblighi post

• Restituzione

Cancellazione

Certificazione

Costi

Audit, compliance

• Inclusi nel contratto

Responsabile

Garanzie finanziarie

Per grandi contratti

• Fideiussioni

Copertura sanzioni

Assicurazione

Cyber

• Coperta breach

Responsabilità civile

EDPB guidelines 7/2020

Titolare vs responsabile

• Approfondite

Garante provvedimenti

Casi

• Di confusione ruoli

Sanzioni

Giurisprudenza

Sempre più casi

• Responsabile: obblighi

Cause civili

• Rilevanti

Modifica contratto

Adeguamenti

• Normativi

Formale

• Firme

Trasferimento extra-UE

Responsabile deve

• Stesse garanzie

SCC aggiornate

Hosting in UE vs extra

Preferibile UE

• Rischi ridotti

Schrems II

• Impatti

Multe significative

Responsabili cloud

• Sanzionati

Casi UE

Giurisprudenza

CGUE

• Ruoli: chiarimenti

Casi

• Complessi

Conclusioni

Soggetto cruciale

• Catena trattamento

Per titolare

• Scelta responsabile

Per responsabile

• Rigore
• Compliance

Per interessato

• Tutela
• Trasparenza catena