Modello di accordo di nomina a responsabile del trattamento (art. 28 RGPD)

Presentazione

L'accordo di nomina a responsabile del trattamento (Data Processing Agreement, DPA) è la base contrattuale imposta dall'art. 28, par. 3, del Regolamento (UE) 2016/679 (RGPD) per ogni trattamento di dati personali effettuato da un responsabile del trattamento per conto e su istruzione di un titolare del trattamento. Va distinto dalla contitolarità del trattamento (art. 26 RGPD): nel DPA il titolare resta il solo responsabile della liceità del trattamento, mentre il responsabile agisce esclusivamente su istruzione documentata e non persegue finalità proprie del trattamento (esempio: un fornitore di hosting, un fornitore SaaS, un gestore di paghe o uno strumento di email marketing che tratta dati per conto del cliente). In Italia il RGPD si applica direttamente ed è integrato dal D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018, che ha adeguato l'ordinamento nazionale al Regolamento. Il contratto deve obbligatoriamente essere concluso per iscritto, anche in formato elettronico (art. 28, par. 9, RGPD), e contenere tutti gli elementi minimi elencati tassativamente all'art. 28, par. 3, RGPD. L'assenza o l'incompletezza di un DPA costituisce una violazione autonoma, sanzionabile ai sensi dell'art. 83, par. 4, lett. a), RGPD fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, indipendentemente dal fatto che il trattamento sottostante sia stato o meno lecito. Quando utilizzarlo: ogni volta che un fornitore (hosting, SaaS, cloud, gestione paghe, outsourcing dell'assistenza clienti, invio di email, marketing automation, ecc.) tratta dati personali per conto di un titolare del trattamento, senza decidere autonomamente le finalità e i mezzi essenziali del trattamento. Parti: il titolare del trattamento (che determina finalità e mezzi del trattamento) e il responsabile del trattamento (che tratta i dati esclusivamente su istruzione documentata del titolare). Clausole essenziali: oggetto, durata, natura e finalità del trattamento, nonché categorie di dati personali e di interessati (art. 28, par. 3, prima frase, RGPD); l'obbligo del responsabile di agire solo su istruzione documentata del titolare (lett. a); l'obbligo di riservatezza delle persone autorizzate al trattamento (lett. b); l'adozione di misure tecniche e organizzative adeguate ai sensi dell'art. 32 RGPD (lett. c); le condizioni per il ricorso a sub-responsabili, compresa l'autorizzazione scritta preventiva, generale o specifica, del titolare (lett. d); gli obblighi di assistenza per l'esercizio dei diritti degli interessati (lett. e); l'assistenza nel garantire il rispetto degli obblighi di cui agli artt. 32-36 RGPD, in particolare in caso di violazione dei dati personali (lett. f); la cancellazione o restituzione dei dati al termine della prestazione (lett. g); e la messa a disposizione di tutte le informazioni necessarie a dimostrare la conformità, nonché la possibilità di verifiche e ispezioni da parte del titolare (lett. h). Errori da evitare: concludere un contratto SaaS o di prestazione di servizi senza un separato DPA, pur trattandosi dati personali; ricorrere a sub-responsabili senza previa autorizzazione del titolare e senza imporre loro contrattualmente gli stessi obblighi di protezione dei dati (art. 28, par. 4, RGPD); descrivere le misure tecniche e organizzative in modo generico anziché concreto e verificabile; e non disciplinare i trasferimenti internazionali di dati qualora si faccia ricorso a sub-responsabili stabiliti fuori dall'UE/SEE.

Informazioni da personalizzare

• Ragione sociale del titolare del trattamento

• Sede legale del titolare del trattamento

• Ragione sociale del responsabile del trattamento

• Sede legale del responsabile del trattamento

• Riferimento del contratto principale sottostante

• Oggetto del trattamento

• Finalità del trattamento

• Durata del trattamento

• Categorie di dati personali trattati

• Categorie di interessati

• Descrizione delle misure tecniche e organizzative (art. 32 RGPD)

• Elenco dei sub-responsabili autorizzati

• Indicazioni su trasferimenti di dati verso paesi extra-UE

• Termine per la cancellazione o restituzione dei dati a fine contratto

• Contatto per le questioni di protezione dei dati (DPO)

• Data di sottoscrizione del contratto

Personalizza il tuo modello

Domande frequenti

Quando serve un accordo di nomina a responsabile del trattamento (DPA)?

Ogni volta che un fornitore tratta dati personali per conto e su istruzione di un titolare del trattamento, senza decidere autonomamente le finalità e i mezzi essenziali del trattamento — ad esempio un fornitore di hosting, SaaS, gestione paghe o email marketing. L'art. 28, par. 3, RGPD impone in tal caso un contratto scritto o elettronico.

Qual è la differenza tra responsabile del trattamento e contitolare del trattamento?

Nel trattamento su incarico (art. 28 RGPD), il fornitore agisce esclusivamente su istruzione del titolare e non persegue finalità proprie. Nella contitolarità (art. 26 RGPD), due o più soggetti determinano congiuntamente finalità e mezzi del trattamento, con obblighi contrattuali diversi.

Cosa succede in assenza di un DPA o con un DPA incompleto?

L'assenza di un DPA costituisce una violazione autonoma del RGPD, indipendentemente dalla liceità del trattamento sottostante. Può essere sanzionata ai sensi dell'art. 83, par. 4, lett. a), RGPD fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.

Il responsabile del trattamento può liberamente avvalersi di sub-responsabili?

No. Il responsabile deve ottenere la previa autorizzazione scritta, specifica o generale, del titolare e deve imporre contrattualmente al sub-responsabile gli stessi obblighi di protezione dei dati previsti nel DPA originario.

Cosa occorre verificare in caso di trasferimento di dati fuori dall'UE?

Se i dati personali sono trasferiti a un sub-responsabile stabilito fuori dall'UE/SEE, oltre al DPA è necessaria una garanzia adeguata ai sensi del Capo V RGPD, come la stipula delle clausole contrattuali standard della Commissione europea o una decisione di adeguatezza per il paese in questione.

Cosa accade ai dati al termine del contratto?

Al termine della prestazione dei servizi di trattamento, il responsabile deve, a scelta del titolare, restituire o cancellare i dati personali e le copie esistenti, salvo un obbligo legale di conservazione contrario.

Modelli associati