Fornitori come responsabili del trattamento: che cosa richiede in pratica l'art. 28 GDPR?

Responsabile del trattamento è chi tratta dati personali per conto e su istruzione di un titolare del trattamento (art. 4, punto 8, GDPR). Casi tipici sono l'hosting e i servizi di data center, il software as a service, la manutenzione IT con accesso ai dati o l'invio di posta ed e-mail per conto terzi.

Non si ha trattamento per conto quando un fornitore di servizi non ha alcun accesso ai dati personali oppure decide autonomamente sulle finalità e sui mezzi del trattamento.

Ai sensi dell'art. 28, paragrafo 3, GDPR, il contratto stabilisce la materia disciplinata e la durata, la natura e la finalità del trattamento, il tipo di dati personali, le categorie di interessati, nonché gli obblighi e i diritti del titolare del trattamento. In particolare, il responsabile si impegna a trattare i dati soltanto su istruzione documentata (lettera a), a garantire la riservatezza (lettera b), ad adottare le misure richieste ai sensi dell'art. 32 (lettera c), a rispettare le regole sui sub-responsabili (lettera d), ad assistere nell'esercizio dei diritti degli interessati (lettera e) e nel rispetto degli obblighi di cui agli artt. da 32 a 36 (lettera f), a cancellare o restituire i dati al termine della prestazione (lettera g) e a mettere a disposizione tutte le informazioni necessarie nonché a consentire le attività di revisione (lettera h).

Il contratto deve essere stipulato per iscritto, anche in formato elettronico (art. 28, paragrafo 9). Come base possono servire le clausole contrattuali tipo della Commissione europea (decisione di esecuzione (UE) 2021/915).

Già prima del contratto il cliente deve verificare se il fornitore presenta garanzie sufficienti (art. 28, paragrafo 1). Tra queste rientrano misure tecniche e organizzative documentate ai sensi dell'art. 32 – ad esempio protezione degli accessi, cifratura, backup e procedure per verifiche regolari.

L'adesione a codici di condotta approvati o a certificazioni ai sensi del GDPR può essere utilizzata come elemento per dimostrare garanzie sufficienti (art. 28, paragrafo 5). Non sostituisce però la verifica stessa.

Il fornitore può ricorrere ad altri responsabili del trattamento solo previa autorizzazione scritta, specifica o generale (art. 28, paragrafo 2). In caso di autorizzazione generale, informa il cliente di ogni modifica prevista e il cliente può opporsi.

Al sub-responsabile devono essere imposti gli stessi obblighi in materia di protezione dei dati; se non li adempie, il fornitore resta responsabile nei confronti del cliente (art. 28, paragrafo 4).

Spesso il contratto manca del tutto, oppure è stato firmato una volta e mai più riesaminato. Altrettanto frequenti sono elenchi di sub-responsabili non aggiornati, misure tecniche e organizzative formulate come testi generici senza riferimento al servizio e l'assenza di una disciplina sulla cancellazione al termine del contratto.

Ai sensi dell'art. 83, paragrafo 4, GDPR, le violazioni degli obblighi di cui all'art. 28 possono essere punite con sanzioni amministrative pecuniarie fino a 10 milioni di euro o fino al 2% del fatturato mondiale annuo, se superiore.

Il catalogo di Vendo4u chiede i punti che contano per la verifica ai sensi dell'art. 28 – se è disponibile un DPA, dove vengono trattati i dati, quali sub-responsabili sono impiegati –, e i fornitori caricano i relativi documenti. I buyer vedono queste informazioni per tutti i fornitori nella stessa struttura e le archiviano con l'esportazione nel proprio fascicolo.