cosa succede se non ho un contratto di elaborazione con il mio fornitore

Senza un accordo di responsabile del trattamento non conformi all'articolo 28 RGPD

Se un fornitore tratta dati personali per vostro conto e non esiste un accordo di responsabile del trattamento, ciò di per sé costituisce già una violazione del RGPD — indipendentemente dal fatto che accada qualcos'altro di sbagliato con quei dati. L'articolo 28 RGPD stabilisce che l'incarico di un responsabile del trattamento deve essere documentato in un contratto o in un altro atto giuridico; senza tale documentazione manca la base legale per la collaborazione, anche se il fornitore stesso gestisce i dati con diligenza.

Questo si verifica ad esempio con software in cui finiscono dati di clienti, dati del personale o dati di fatturazione: pacchetti contabili, strumenti di mailing, fornitori di hosting. Chi non è sicuro se un determinato strumento rientra in questo obbligo può verificarlo attraverso come faccio a sapere se il software che utilizzo è conforme al GDPR controllare; e la questione se questo vale anche per un commercialista torna in devo stipulare un contratto di elaborazione con il mio commercialista. L'assenza di un accordo di solito non emerge da solo, finché non si verifica una violazione di dati, un reclamo di un cliente o un controllo — e allora risulta che gli accordi non ci sono.

Dove questo deriva dall'articolo 28 RGPD

L'articolo 28 RGPD prevede che il trattamento da parte di un responsabile del trattamento sia disciplinato da un contratto che fissi obbligatoriamente un certo numero di argomenti, come lo scopo del trattamento, la durata e gli obblighi del responsabile del trattamento; quali argomenti siano esattamente questi è descritto in cosa deve contenere un accordo di responsabile del trattamento. L'obbligo di avere questo accordo incombe sia sul titolare del trattamento che sul responsabile del trattamento, e si applica in tutta l'UE direttamente dal regolamento; chi deve verificare il rispetto varia da un paese all'altro — nei Paesi Bassi è l'Autorità per la protezione dei dati, negli altri Stati membri l'autorità di vigilanza di quello Stato. Maggiori informazioni sull'autorità di vigilanza sono disponibili tramite l'Autorità per la protezione dei dati.