Sono un incaricato del trattamento o un responsabile del trattamento?

Chi determina la finalità è il titolare del trattamento

La qualifica discende dalla domanda chi decide perché e come vengono trattati i dati, non da chi materialmente li inserisce o li conserva. Un'impresa che stessa determina quali dati di clienti raccoglie, a quale fine, e quanto a lungo li conserva, è titolare del trattamento di quei dati. Una parte che tratta quegli stessi dati esclusivamente su incarico — secondo istruzioni di un altro, senza aggiungervi un fine proprio — è incaricato del trattamento. Un software di contabilità che elabora fatture secondo le impostazioni dell'utente è tipicamente incaricato del trattamento; l'impresa che utilizza il software e determina quali dati di clienti vi confluiscono, è titolare.

Nella pratica un'impresa è spesso contemporaneamente entrambi, a seconda del flusso di dati che consideri. Uno studio di amministrazione del personale è incaricato del trattamento per i dati dei dipendenti che elabora a nome dei clienti, e allo stesso tempo titolare del trattamento per i dati dei propri collaboratori. La qualifica è quindi vincolata al trattamento specifico, non al tipo di organizzazione o al settore in cui opera. Tale distinzione determina successivamente quali obblighi sussistono: un titolare del trattamento sostiene la responsabilità principale della conformità e della rendicontazione, un incaricato opera entro i limiti di un contratto di incarico e delle istruzioni in esso contenute.

Dove ciò figura nell'articolo 4 e 28 RGPD

L'articolo 4 del RGPD fornisce le definizioni di entrambi i ruoli: il titolare del trattamento è colui che determina le finalità e i mezzi del trattamento, l'incaricato è colui che tratta dati personali per conto del titolare. L'articolo 28 del RGPD sviluppa quanto precede e descrive specificamente cosa ci si attende da un incaricato, tra l'altro l'operare secondo un contratto di incarico. Le linee guida dell'EDPB approfondiscono ulteriormente questo discrimine con esempi pratici, proprio perché il confine nella pratica non sempre è automaticamente chiaro.