Responsabili del trattamento e contratti privacy: cosa deve contenere un accordo conforme all’art. 28 GDPR

Nel sistema del Regolamento (UE) 2016/679 (GDPR), il trattamento dei dati personali non è quasi mai un’attività svolta in solitudine.
Ogni azienda, nella gestione quotidiana dei propri processi, si affida a una rete di soggetti esterni — fornitori di servizi informatici, cloud, consulenti, agenzie marketing, studi professionali — che accedono ai dati per conto del titolare.

In questi casi la legge impone di regolare il rapporto con un contratto di nomina a responsabile del trattamento, disciplinato dall’art. 28 del GDPR.
Vediamo, in termini concreti, quando serve, cosa deve contenere e quali errori evitare.

Scopri i nostri servizi legali in ambito privacy.

Quando serve la nomina a responsabile del trattamento

Ogni volta che un soggetto esterno tratta dati per conto del titolare, e non come titolare autonomo, è necessario un accordo conforme all’art. 28.

Esempi tipici:

• società di hosting o cloud provider (es. Google, AWS, Aruba);
• agenzie di digital marketing che gestiscono campagne e liste clienti;
• consulenti IT o software house che accedono ai database aziendali;
• società di videosorveglianza o di sicurezza informatica;
• consulenti HR o paghe che trattano dati dei dipendenti;
• commercialisti o studi legali che gestiscono informazioni personali dei clienti.

👉 Errore comune: pensare che basti un contratto di servizio.
In realtà, anche se il contratto commerciale è già in vigore, la parte relativa alla privacy deve essere formalizzata in un documento specifico, distinto o allegato, che definisca ruoli e responsabilità.

Scopri i 5 errori privacy da evitare assolutamente.

Cosa dice l’art. 28 GDPR

L’art. 28 del Regolamento prevede che il titolare scelga solo responsabili che presentino garanzie sufficienti in termini di competenze, sicurezza e affidabilità.

Il rapporto deve essere regolato da un contratto o altro atto giuridico vincolante, che disciplini in modo chiaro:

1. l’oggetto, la durata e la natura del trattamento;
2. le finalità e il tipo di dati personali trattati;
3. le categorie di interessati;
4. gli obblighi e i diritti del titolare.

Il contratto deve vincolare il responsabile a:

• trattare i dati solo su istruzione documentata del titolare;
• garantire la riservatezza del personale autorizzato;
• adottare misure tecniche e organizzative adeguate (art. 32 GDPR);
• rispettare le regole sui sub-responsabili (cioè eventuali fornitori a loro volta coinvolti nel trattamento);
• assistere il titolare nel rispondere alle richieste di esercizio dei diritti degli interessati;
• cancellare o restituire i dati al termine del rapporto;
• consentire e facilitare eventuali verifiche o audit da parte del titolare.

Struttura pratica di un contratto conforme

Un buon contratto di nomina deve combinare precisione giuridica e chiarezza operativa.
Ecco una struttura consigliata per un modello conforme all’art. 28 GDPR:

A. Premesse e definizioni

Chiarire chi è il titolare del trattamento e chi il responsabile, definendo l’ambito di collaborazione e le attività oggetto del trattamento.

B. Oggetto e finalità del trattamento

Specificare esattamente quali dati vengono trattati (es. anagrafici, contabili, immagini) e per quali scopi (es. gestione ordini, assistenza clienti, elaborazione paghe).

C. Istruzioni documentate del titolare

Prevedere che il responsabile agisca solo su istruzioni scritte del titolare e non possa utilizzare i dati per fini propri.

D. Misure di sicurezza

Inserire un richiamo alle misure tecniche e organizzative adottate: autenticazione, cifratura, backup, procedure di data breach, gestione accessi, formazione del personale.

E. Sub-responsabili

Stabilire che il responsabile non possa nominare sub-fornitori senza previa autorizzazione scritta del titolare, indicando criteri di selezione e obblighi analoghi.

F. Gestione delle richieste degli interessati

Obbligare il responsabile ad assistere il titolare nel rispondere alle richieste di accesso, rettifica o cancellazione.

G. Cancellazione o restituzione dei dati

Definire chiaramente come e quando i dati devono essere restituiti o cancellati alla fine del rapporto contrattuale.

H. Verifiche e audit

Prevedere il diritto del titolare di effettuare controlli o richiedere evidenze documentali di conformità.

I. Clausole di responsabilità

Stabilire limiti e condizioni di responsabilità in caso di violazioni, oltre alle eventuali penali o indennizzi.

Leggi la guida sul DPO.

Responsabili esterni vs. titolari autonomi

Non tutti i soggetti che trattano dati per l’azienda sono responsabili del trattamento.
La distinzione chiave è l’autonomia decisionale:

• se il soggetto decide in autonomia finalità e mezzi del trattamento, è titolare autonomo;
• se invece agisce su istruzione e per conto del titolare, è responsabile.

👉 Esempio pratico:
Un’agenzia di marketing che crea campagne su dati forniti dal cliente è responsabile del trattamento.
Ma se la stessa agenzia decide autonomamente target, strategie e finalità di analisi, diventa titolare autonomo.

Scopri la checklist per adeguare al GDPR la tua azienda.

Sub-responsabili e catena di trattamento

L’art. 28, par. 2 e 4 del GDPR disciplina il caso dei sub-responsabili, cioè fornitori scelti dal responsabile per svolgere parte del trattamento.
È il caso, ad esempio, di:

• un’agenzia marketing (responsabile) che usa una piattaforma di invio email (sub-responsabile);
• un consulente IT che si affida a un data center esterno.

Il responsabile deve ottenere autorizzazione scritta dal titolare e garantire che il sub-responsabile sia vincolato agli stessi obblighi di sicurezza e riservatezza.
Il titolare mantiene comunque responsabilità piena verso gli interessati.

Responsabilità e sanzioni

La mancata nomina o la stipula di un contratto incompleto espone entrambe le parti a sanzioni significative.
Il Garante per la protezione dei dati personali ha già sanzionato imprese per assenza di accordo conforme o contratti generici privi di riferimenti all’art. 28 GDPR (es. Provv. Garante 10 giugno 2021, doc. web 9685925).

Le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale (art. 83, par. 4 GDPR), oltre ai rischi reputazionali e contrattuali.

Consigli operativi per le aziende

Per garantire la conformità, ogni impresa dovrebbe:

1. Mappare tutti i fornitori che trattano dati personali;
2. Verificare i contratti in essere, aggiornandoli se non conformi all’art. 28;
3. Predisporre un modello standard di nomina per nuovi fornitori;
4. Conservare le prove documentali delle nomine e delle misure adottate;
5. Formare i responsabili interni sulla corretta gestione dei rapporti con terzi.