GDPR – Trattamento

Il Regolamento Generale sulla Protezione dei Dati (GDPR) offre una possibilità uniforme a livello europeo per il cosiddetto ‘trattamento dei dati su commissione’, che consiste nella raccolta, elaborazione o utilizzo di dati personali da parte di un responsabile del trattamento secondo le istruzioni del titolare del trattamento basate su un contratto.

I regolamenti pertinenti per il trattamento dei dati per conto di terzi si applicano già se il trattamento è connesso ad attività di uno stabilimento all’interno dell’UE. Ciò significa che è sufficiente se il titolare o il responsabile del trattamento gestisce uno stabilimento nell’UE e il trattamento avviene nel contesto delle sue attività. Bisogna differenziare tra trattamento e controllo congiunto (Art. 26 GDPR), dove entrambe le parti definiscono congiuntamente le finalità e i mezzi per il trattamento dei dati e sono quindi anche congiuntamente responsabili di questi.

In un rapporto di titolare-responsabile del trattamento, quest’ultimo può trattare i dati personali solo sulla base delle istruzioni documentate dal titolare. Il responsabile del trattamento non può incaricare un altro responsabile di aiutare a eseguire un contratto specifico senza l’autorizzazione scritta specifica o generale preventiva del rispettivo titolare. In caso di autorizzazione generale, il responsabile del trattamento deve informarlo su qualsiasi cambiamento rilevante riguardante il trattamento.

Nella maggior parte dei casi, il trattamento dei dati su commissione avviene sulla base di un contratto. L’art. 28(3) GDPR ne stabilisce i requisiti minimi. Il contratto deve contenere, tra le altre cose, il tipo di dati personali che saranno trattati, nonché l’oggetto e la finalità del trattamento. Inoltre, ci sono ulteriori obblighi per il responsabile del trattamento. Ad esempio, deve anche mantenere un registro delle attività di trattamento che includa i nomi e i dati di contatto di ciascun titolare per cui lavora, nonché le categorie di trattamento che sono effettuate per loro. Inoltre, l’indice deve includere, se applicabile, il trasferimento di dati personali verso paesi terzi e, se possibile, una descrizione generale delle misure tecniche e organizzative. Il titolare deve assicurarsi, nella selezione del responsabile del trattamento, che abbia implementato misure tecniche e organizzative sufficienti a garantire che il trattamento soddisfi i requisiti del Regolamento.

Fondamentalmente, il titolare del trattamento è il primo contatto per l’interessato ed è responsabile affinché il trattamento dei dati rispetti i requisiti legali. Questo non significa, tuttavia, che il responsabile del trattamento sia esente da responsabilità. Secondo l’art. 82 GDPR, egli è corresponsabile con il titolare del trattamento. Tuttavia, la responsabilità del responsabile del trattamento è limitata, come da paragrafo 2, alle violazioni degli obblighi specifici a lui. Entrambe le parti hanno la possibilità di esonerarsi. Per fare ciò, devono dimostrare che non sono in alcun modo responsabili dell’evento che ha portato ai danni.