Il Responsabile del Trattamento Dati: perché la scelta non va sottovalutata

Partiamo da qui.

Chi è il RTD

È la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta i dati personali per conto del titolare del trattamento.

Cosa dice la norma

L’art.28 del Regolamento europeo 2016/679 (GDPR), richiama l’attenzione sulla prioritaria esigenza qualora un trattamento debba essere effettuato per conto del titolare, di individuare un soggetto che non solo abbia le capacitàdi trattare dati nel rispetto della normativa sulla tutela dei dati, ma anche presenti garanzie sufficienti per adottare e mettere in atto misure tecniche e organizzative adeguate e in modo tale che il trattamento soddisfi i requisiti del GDPR e garantisca la tutela dei diritti dell’interessato. È evidente come tale impostazione dispiega i suoi effetti in maniera rilevante per la PA, proprio nell’ambito delle sue procedure di selezione del fornitore: l’obbligo di compliance si colloca già nelle fasi antecedenti la stipula dell’atto disciplinante i rapporti tra titolare e responsabile. Il titolare deve prevedere l’adozione di misure tecnico-organizzative adeguate, tra i requisiti tecnici richiesti ai fini dell’aggiudicazione del servizio o della fornitura (ove sia previsto trattamento di dati personali) e, successivamente alla stipula dell’Atto, deve costantemente monitorare il permanere di tali requisiti quale condizione specifica per una corretta gestione del rapporto.

Sul tema è intervenuto l’EDPB[1] che nelle sue Linee Guida indica, quale premessa di una corretta impostazione del rapporto, l’esigenza di assicurare:

• la preventiva verifica della necessità di ricorrere ad un soggetto esterno, prevista all’art. 28, par. 1 GDPR;
• che la scelta ricada unicamente su soggetti che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del Regolamento e garantisca la tutela dei diritti dell’interessato;
• la stipula fra i due soggetti di un contratto o di un altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile al titolare e che regoli la materia e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi reciproci e i diritti dei soggetti interessati, le istruzioni e le misure tecniche e organizzative. L’atto deve contenere tutti gli elementi idonei a circoscrivere l’oggetto dell’attività affidata al responsabile e a fornire al RTD tutte le istruzioni necessarie al corretto trattamento dei dati personali[2].

Non solo, particolare attenzione viene posta in presenza di sub-responsabili e nelle situazioni di contitolarità laddove occorre definire con accuratezza rapporti e responsabilità anche se l’interessato ha comunque la potestà di esercitare i propri diritti nei confronti di ciascun contitolare.

Titolare e responsabile devono definire la propria organizzazione, i livelli di responsabilità, le procedure e le modalità attraverso le quali i trattamenti di dati personali devono essere effettuati, ed esplicitare i rispettivi obblighi.

Un caso pratico

Il Garante ha sanzionato[3] una compagnia telefonica per mancata vigilanza sull’operato dei partner commerciali ivi compresa la verifica dell’effettiva applicazione delle misure di protezione dei dati lungo l’intera filiera del telemarketing.

Il procedimento trae origine da numerosi reclami e segnalazioni relativi a chiamate promozionali indesiderate (circa 7.000/anno), rivolte anche a utenze iscritte al Registro pubblico delle opposizioni. Il Garante al termine dell’istruttoria ha accertato, tra l’altro, la violazione degli artt. 24, 25 e 28 del GDPR e sanzionato la società per aver messo in atto misure tecniche e organizzative non adeguate a garantire, fin dalla fase di progettazione, che il trattamento in ogni sua fase e da chiunque fosse posto in essere, venga sempre effettuato in conformità al Regolamento.

A nulla sono valse le difese della Società che miravano a:

• evidenziare l’adozione di un modello di governance e l’adesione ad un Codice di Condotta: entrambi tali comportamenti non sono, di per sé, sufficienti a garantire l’immunità da sanzioni qualora le misure attuate si rivelino inefficaci all’atto pratico, ovvero laddove il trattamento continui a violare le disposizioni del Regolamento. Al più possono determinare una riduzione della sanzione;
• dimostrare di aver “prescritto” delle regole formali in capo ai diversi soggetti della filiera: occorre anche un costante monitoraggio con l’obiettivo di verificare l’effettiva applicazione e la sostanziale efficacia;
• attribuire la responsabilità per i trattamenti illeciti in via esclusiva sui soggetti del cd. “sottobosco”, fenomeno che sfuggirebbe al controllo del committente.

Il provvedimento del Garante torna a sottolineare come il GDPR pone in capo al titolare obblighi precisi di vigilanza e controllo sull’operato dei responsabili del trattamento: l’omissione di tali presidi integra, a tutti gli effetti, la sussistenza della colpa in capo al titolare. Un titolare può essere considerato “colpevole” di una violazione commessa dal responsabile del trattamento se non ha esercitato il dovuto controllo o non ha adottato le misure di vigilanza necessarie per prevenire il trattamento illecito, siano essi attribuibili ad una carenza organizzativa o ad una mancanza di supervisione. Può non rispondere del fatto illecito altrui in termini assoluti, ma risponde sicuramente della propria “culpa in vigilando” e/o “culpa in eligendo”.

La Checklist: 3 cose da fare (o non fare) subito

Dallo stesso provvedimento del Garante emergono alcune indicazioni sul corretto comportamento:

• occorre valutare i trattamenti che possono essere conferiti all’esterno dell’organizzazione e le loro caratteristiche in modo da costruire in modo adeguato i criteri di qualificazione e di selezione del fornitore;
• bisogna blindare la catena della fornitura per evitare l’affidamento a sub-responsabili senza il previo assenso del titolare;
• prevedere monitoraggio dell’attività per tutta la durata del contratto e oltre, anche ricorrendo, nei casi più rilevanti, ad audit di terze parti.

La domanda che tutti si fanno

“Cosa non deve mancare nel contratto tra titolare e responsabile?”

Occorre espressamente prevedere (ma anche assicurarsi che avvenga) che il RTD:

• tratti i dati personali solo nel rispetto delle istruzioni del titolare del titolare del trattamento;
• garantisca che le persone autorizzate al trattamento dei dati siano adeguatamente formate e soggette a un adeguato obbligo legale di riservatezza;
• garantisca la sicurezza del trattamento;
• non coinvolga un altro responsabile del trattamento senza previa autorizzazione scritta specifica o generale del titolare del trattamento, che deve avere una effettiva possibilità di opporsi;
• assista il titolare nell’adempimento degli obblighi del trattamento compresa la gestione delle richieste di esercizio dei propri diritti da parte dei soggetti interessati;
• assista prontamente il titolare nella messa in sicurezza del trattamento, nella notifica delle violazioni dei dati e nell’esecuzione delle DPIA;
• su indicazione del titolare, cancelli o restituisca tutti i dati personali al titolare del trattamento, alla cessazione del contratto;
• metta a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal GDPR;
• consenta e contribuisca agli audit, comprese le ispezioni condotte dal titolare del trattamento o da un altro revisore incaricato dal titolare.

Questa La Rubrica “Appunti di privacy: pillole di formazione” – a cura di Patrizia Cardillo, Esperta di Protezione dati personali, in collaborazione con FPA – offre spunti pratici per chi lavora nella PA e si trova ogni giorno a gestire dati e informazioni, dovendo padroneggiare strumenti e normative in costante aggiornamento. Come dice il titolo stesso, si tratta di “pillole di formazione”: uno strumento agile e veloce, con risposte dirette a problemi reali e indicazioni pratiche. Se sei interessato a questi temi segui i nostri canali e scrivici per maggiori informazioni.

[1] Cfr.: European Data Protection Board “Linee Guida n. 7/2020 del 7 luglio 2021 sui concetti di titolare e responsabile”.

[2] Cfr.: GDPR, art. 28 par. 3

[3] Cfr.: GPDP Provvedimento n. 556 del 23 luglio 2026