Il responsabile del trattamento (art. 28 GDPR) è la persona fisica o giuridica, l’autorità pubblica o altro organismo che tratta dati personali per conto del titolare del trattamento, sulla base di un contratto o altro atto giuridico e seguendone le istruzioni. Il titolare, invece, è il soggetto che decide finalità e mezzi del trattamento.
Tra i soggetti coinvolti nel trattamento dei dati personali, un ruolo di particolare importanza è rivestito dal responsabile del trattamento, che trova apposita disciplina all’art. 28 del Reg. UE n. 679/2016 (GDPR – General Data Protection Regulation).
Ma cosa accade quando questo soggetto non viene nominato formalmente? Le conseguenze riguardano sia i soggetti che rivestono la qualifica di titolari del trattamento di dati personali – i quali dovrebbero provvedere a formalizzare la nomina dei soggetti responsabili – sia coloro che rivestono la qualifica di responsabili del trattamento e dovrebbero, quindi, essere formalmente nominati come tali.
Immagina, per esempio, di trovarti di fronte alla richiesta di un partner commerciale che desidera nominarti responsabile del trattamento ma non sei del tutto sicuro di cosa sia e di che cosa comporti. Oppure, pensa alla situazione inversa in cui un collaboratore rifiuta di accettare tale nomina, lasciandoti nel dubbio sulle relative conseguenze legali ed operative.
In questo articolo esploreremo le conseguenze della mancata nomina del responsabile del trattamento dei dati personali, evidenziando le responsabilità, i rischi, con l’obiettivo di fornire un quadro informativo utile a superare eventuali dubbi e perplessità.
Chi è il responsabile del trattamento dei dati personali?
Per comprendere pienamente il ruolo del responsabile del trattamento dei dati è opportuno esaminare questo ruolo congiuntamente a quello del titolare del trattamento. Responsabile e titolare del trattamento rappresentano, infatti, figure cruciali nel panorama del trattamento dei dati personali e, sebbene possano sembrare simili, hanno responsabilità e funzioni nettamente distinte.
- Il Titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità̀ e i mezzi del trattamento dei dati personali.
Questo significa che il titolare decide non solo le finalità – cioè il “perché” un determinato trattamento di dati deve avvenire – ma anche i mezzi, ossia il “come” questi dati devono essere trattati.
- D’altro canto, il responsabile del trattamento è la persona fisica o giuridica, l’autorità̀ pubblica, il servizio o altro organismo che tratta i dati personali per conto del titolare del trattamento.
Questo ruolo può essere ricoperto da un commercialista, un consulente di marketing, un consulente informatico o qualsiasi altro soggetto che venga a conoscenza, utilizzi o raccolga dati personali seguendo le finalità e i mezzi imposti dal titolare. Nel trattare i dati personali seguendo le istruzioni fornite dal titolare, il responsabile del trattamento può mantenere una certa discrezionalità e adottare i mezzi tecnici e organizzativi ch’egli reputa più idonei. Ciò nonostante, il responsabile deve sempre agire all’interno del quadro definito dal titolare del trattamento e nel rispetto delle normative vigenti.
In estrema sintesi, dunque, mentre il titolare “decide” le finalità e i mezzi del trattamento dei dati, il responsabile agisce all’interno di questi parametri.
La nomina del responsabile del trattamento
Il perimetro entro cui il responsabile del trattamento deve trattare i dati per conto del titolare viene definito nell’atto di nomina ex art 28 GDPR che, in conformità alla normativa, deve essere redatto in forma scritta.
Tale documento, che assume veste contrattuale, vincola il responsabile al titolare del trattamento, individua la materia e la durata del trattamento, la relativa natura e finalità, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Inoltre, deve includere ulteriori indicazioni prescritte dal GDPR che coprono aspetti come, a titolo meramente esemplificativo, misure di sicurezza e condizioni per l’eventuale coinvolgimento di altri soggetti nel trattamento dei dati.
Questo atto di nomina, quindi, non è una mera formalità burocratica ma un documento essenziale che recepisce i ruoli, le responsabilità e definisce i rapporti intercorrenti tra titolare e responsabile nella gestione dei dati. La sua redazione accurata e sottoscrizione rappresenta una tutela tanto per il titolare quanto per il responsabile ed è fondamentale per garantire a tali soggetti di operare nel pieno rispetto dei principi e delle disposizioni del GDPR.
L’assenza della nomina a responsabile del trattamento ex art 28 GDPR
Uno scenario che può essere fonte di importanti conseguenze è quello in cui tale atto di nomina manchi. Ciò può verificarsi, ad esempio, quando:
- il responsabile del Trattamento dei Dati rifiuta di sottoscrivere l’atto di nomina ex art. 28 GDPR;
- oppure, il titolare del trattamento omette di conferire detta nomina al responsabile.
Rischi dall’assenza di nomina del responsabile del trattamento
In tali casi si è di fronte ad una violazione del GDPR che può comportare rischi notevoli, incluse importanti sanzioni.
Ciò che è importante sapere è che quando tra due soggetti si instaura un rapporto (commerciale, contrattuale, professionale etc.) che postula il trattamento dei dati personali da parte di un soggetto per conto di un altro, la nomina non fa altro che formalizzare i limiti e le modalità di un trattamento che, di fatto, è già stato implicitamente autorizzato.
Le responsabilità delineate nell’atto di nomina – che possono spesso intimidire i soggetti designati come responsabili – esistono indipendentemente dalla firma di tale documento (e quindi anche in assenza dello stesso) e derivano dal rapporto principale instaurato tra il titolare e il responsabile del trattamento.
Il rifiuto di sottoscrivere l’atto di nomina ex art 28 GDPR non esonera il responsabile del trattamento dalle proprie responsabilità e dalla necessità di trattare i dati personali in conformità al GDPR (oltre che a quanto prescritto dal titolare) ma, al contrario, comporta sanzioni.
In conclusione
La nomina formale ai sensi dell’art. 28 GDPR rappresenta una tutela tanto per il titolare del trattamento che per il responsabile e la sua mancanza, così come la sua mancata sottoscrizione, può comportare pesanti sanzioni a carico di entrambi i soggetti.
Se desideri approfondire ulteriormente il tema oppure necessiti di assistenza per la redazione o la revisione di una nomina del responsabile del trattamento contattami per una consulenza.
Potrebbe interessarti anche
Domande frequenti sul responsabile del trattamento
Chi è il responsabile del trattamento dei dati?
Il responsabile del trattamento è la persona fisica o giuridica, l’autorità pubblica o altro organismo che tratta dati personali per conto del titolare del trattamento, sulla base di un contratto o altro atto giuridico. Agisce cioè seguendo le istruzioni del titolare, che resta il soggetto che decide finalità e mezzi del trattamento.
Qual è la differenza tra titolare e responsabile del trattamento?
Il titolare determina le finalità e i mezzi del trattamento, cioè il perché e il come i dati vengono trattati. Il responsabile, invece, tratta i dati per conto del titolare seguendone le istruzioni. La distinzione è centrale perché da essa dipendono ruoli, obblighi e responsabilità di ciascun soggetto ai sensi del GDPR.
Quando va nominato il responsabile del trattamento?
La nomina è necessaria ogni volta che un soggetto esterno tratta dati personali per conto del titolare, ad esempio un fornitore di servizi informatici, un consulente o chi gestisce buste paga. In questi casi l’art. 28 del GDPR richiede un atto giuridico che disciplini il rapporto.
Cosa deve contenere l’atto di nomina ex art. 28 GDPR?
L’atto deve indicare oggetto, durata, natura e finalità del trattamento, il tipo di dati e le categorie di interessati, oltre agli obblighi del responsabile: agire su istruzioni documentate del titolare, garantire la riservatezza, adottare misure di sicurezza adeguate e assistere il titolare negli adempimenti previsti dal GDPR.
