posso ancora modificare un contratto di elaborazione che è già stato sottoscritto

Sì, si può modificare, purché entrambe le parti siano d'accordo

Un accordo di elaborazione dei dati firmato non è un documento che rimane fisso dopo la firma fino alla fine della collaborazione. Come con ogni altro contratto, le parti possono decidere insieme di apportare modifiche: aggiungere un nuovo sub-elaboratore, cambiare un periodo di conservazione, o precisare gli accordi perché qualcosa nella collaborazione è cambiato. Finché entrambe le parti sono d'accordo sulla modifica, non c'è nulla che ostacoli una revisione dell'accordo.

Quello che conta è che l'accordo continui a soddisfare quanto richiesto dall'articolo 28 del RGPD. Se cambia il modo in cui un fornitore elabora i dati, entra una nuova parte che agisce come sub-elaboratore, o cambia la finalità dell'elaborazione, allora spesso è proprio quel momento in cui cosa deve contenere un accordo di elaborazione dei dati diventa di nuovo rilevante: il testo esistente potrebbe non coprire più la nuova situazione. Una modifica può essere documentata con un'integrazione, un nuovo allegato, o firmando di nuovo l'intero accordo — la forma è meno importante che entrambe le parti registrino per iscritto cosa è stato concordato.

Su cosa si basa: articolo 28 RGPD

L'articolo 28 del RGPD prescrive quali argomenti deve contenere un accordo di elaborazione dei dati, ma non stabilisce da nessuna parte che un testo una volta firmato non possa più essere modificato. Le linee guida dell'EDPB sottolineano soprattutto che il contenuto dell'accordo deve continuare a rispecchiare la pratica dell'elaborazione — se quella pratica cambia, è logico che l'accordo si adatti. Un accordo che non è stato affatto redatto comporta un rischio diverso rispetto a un accordo che viene aggiornato; quali potrebbero essere le conseguenze è descritto in cosa succede se non c'è un accordo di elaborazione dei dati con un fornitore. Anche una modifica concordata solo via e-mail solleva la stessa domanda come per il primo contratto: se è sufficiente, è descritto in un accordo di elaborazione dei dati può essere concordato anche oralmente o via e-mail.