Modello di accordo di nomina a responsabile del trattamento (art. 28 RGPD)

Presentazione

L'accordo di nomina a responsabile del trattamento (Data Processing Agreement, DPA) è la base contrattuale imposta dall'art. 28, par. 3, del Regolamento (UE) 2016/679 (RGPD) per ogni trattamento di dati personali effettuato da un responsabile del trattamento per conto e su istruzione di un titolare del trattamento. Va distinto dalla contitolarità del trattamento (art. 26 RGPD): nel DPA il titolare resta il solo responsabile della liceità del trattamento, mentre il responsabile agisce esclusivamente su istruzione documentata e non persegue finalità proprie del trattamento (esempio: un fornitore di hosting, un fornitore SaaS, un gestore di paghe o uno strumento di email marketing che tratta dati per conto del cliente). In Italia il RGPD si applica direttamente ed è integrato dal D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018, che ha adeguato l'ordinamento nazionale al Regolamento. Il contratto deve obbligatoriamente essere concluso per iscritto, anche in formato elettronico (art. 28, par. 9, RGPD), e contenere tutti gli elementi minimi elencati tassativamente all'art. 28, par. 3, RGPD. L'assenza o l'incompletezza di un DPA costituisce una violazione autonoma, sanzionabile ai sensi dell'art. 83, par. 4, lett. a), RGPD fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, indipendentemente dal fatto che il trattamento sottostante sia stato o meno lecito. Quando utilizzarlo: ogni volta che un fornitore (hosting, SaaS, cloud, gestione paghe, outsourcing dell'assistenza clienti, invio di email, marketing automation, ecc.) tratta dati personali per conto di un titolare del trattamento, senza decidere autonomamente le finalità e i mezzi essenziali del trattamento. Parti: il titolare del trattamento (che determina finalità e mezzi del trattamento) e il responsabile del trattamento (che tratta i dati esclusivamente su istruzione documentata del titolare). Clausole essenziali: oggetto, durata, natura e finalità del trattamento, nonché categorie di dati personali e di interessati (art. 28, par. 3, prima frase, RGPD); l'obbligo del responsabile di agire solo su istruzione documentata del titolare (lett. a); l'obbligo di riservatezza delle persone autorizzate al trattamento (lett. b); l'adozione di misure tecniche e organizzative adeguate ai sensi dell'art. 32 RGPD (lett. c); le condizioni per il ricorso a sub-responsabili, compresa l'autorizzazione scritta preventiva, generale o specifica, del titolare (lett. d); gli obblighi di assistenza per l'esercizio dei diritti degli interessati (lett. e); l'assistenza nel garantire il rispetto degli obblighi di cui agli artt. 32-36 RGPD, in particolare in caso di violazione dei dati personali (lett. f); la cancellazione o restituzione dei dati al termine della prestazione (lett. g); e la messa a disposizione di tutte le informazioni necessarie a dimostrare la conformità, nonché la possibilità di verifiche e ispezioni da parte del titolare (lett. h). Errori da evitare: concludere un contratto SaaS o di prestazione di servizi senza un separato DPA, pur trattandosi dati personali; ricorrere a sub-responsabili senza previa autorizzazione del titolare e senza imporre loro contrattualmente gli stessi obblighi di protezione dei dati (art. 28, par. 4, RGPD); descrivere le misure tecniche e organizzative in modo generico anziché concreto e verificabile; e non disciplinare i trasferimenti internazionali di dati qualora si faccia ricorso a sub-responsabili stabiliti fuori dall'UE/SEE.