Responsabile del trattamento – Come fare

Il documento fornisce una guida operativa per qualificare, selezionare e governare i responsabili del trattamento ai sensi dell’art. 28 GDPR. Propone checklist e schemi per documentare le decisioni, disciplinare il rapporto, vigilare sui fornitori e mantenere coerenti contratti, istruzioni e registri.

Punti chiave
• Qualificazione del ruolo: conta la sostanza del trattamento, non l’etichetta usata nel contratto. Il titolare deve valutare chi decide finalità e mezzi essenziali; uno stesso fornitore può avere ruoli diversi per flussi o finalità differenti.
• Casi misti e rapporti di gruppo: se più soggetti determinano insieme finalità e mezzi, può esservi contitolarità; le società dello stesso gruppo restano soggetti distinti. I flussi e i ruoli vanno separati e documentati.
• Selezione del responsabile: prima dell’incarico il titolare deve verificare concretamente garanzie, competenze, misure di sicurezza, sub-responsabili, localizzazione dei dati e capacità di assistenza. La verifica va calibrata sulla criticità del servizio.
• Contratto ex art. 28: il rapporto deve essere regolato per iscritto, con descrizione concreta del trattamento e tutte le prescrizioni obbligatorie. Clausole generiche o semplice corrispondenza non sostituiscono un atto adeguato.
• Istruzioni e controllo: il responsabile opera solo su istruzioni documentate. Il titolare deve programmare verifiche periodiche, audit o questionari e intervenire sulle criticità; la vigilanza continua per tutta la durata del rapporto.
• Sub-responsabili: occorrono autorizzazione preventiva, identificazione precisa dei soggetti della filiera e replica sostanziale degli obblighi. Il responsabile iniziale conserva la responsabilità verso il titolare per l’adempimento dei sub-responsabili.
• Incidenti e violazioni: il responsabile informa il titolare senza ingiustificato ritardo e fornisce le informazioni e l’assistenza necessarie. Il titolare decide sulle notifiche all’autorità e sulle comunicazioni agli interessati.
• Registri e documentazione: titolare e responsabile tengono registri coerenti e aggiornati. Il fascicolo del fornitore deve documentare valutazioni, verifiche, decisioni, rimedi e riesami.

Punti di attenzione operativa
• Effettuare e verbalizzare la qualificazione prima dell’avvio del servizio e riesaminarla quando l’incarico o le funzionalità cambiano.
• Non concedere accesso ai dati né firmare il contratto se restano lacune bloccanti nella selezione; documentare la motivazione e la data della decisione.
• Compilare contratto e allegati con dettagli concreti su dati, interessati, finalità, conservazione, misure di sicurezza e sub-responsabili.
• Definire canali e tempi per istruzioni, richieste degli interessati, incidenti e comunicazioni lungo la filiera; le istruzioni orali o non tracciate vanno confermate per iscritto.
• Programmare controlli periodici proporzionati alla criticità, contestare per iscritto report incompleti e registrare lacune, rimedi e verifiche successive.
• Aggiornare contratto, allegati e registri a ogni cambiamento rilevante, conservando le versioni datate e lo storico delle decisioni.