un contratto di elaborazione può essere concluso anche verbalmente o via e-mail

Oralmente o per email non è sufficiente

No, un accordo verbale o uno scambio di email casuale non soddisfa i requisiti di un contratto di trattamento dati. L'articolo 28 del RGPD prescrive che gli accordi tra un titolare del trattamento e un responsabile del trattamento siano fissati in un contratto o altro atto giuridico che sia redatto per iscritto, e la forma scritta può essere anche elettronica. Una promessa telefonica o un accordo verbale durante una conversazione non rientra in questa categoria: non è documentato in modo verificabile in seguito.

Uno scambio di email si colloca in una situazione intermedia. Singole email in cui le parti menzionano alcuni accordi sul trattamento dei dati generalmente non costituiscono di per sé un contratto di trattamento dati completo, poiché il RGPD pone requisiti sui contenuti che di solito non sono completamente presenti in uno scambio di questo tipo. Un documento scritto o elettronico che copra completamente tali contenuti — e che sia stato anche scambiato per email e accettato da entrambe le parti — può invece qualificarsi come contratto di trattamento dati. Non si tratta quindi del mezzo in sé, ma della questione se tutti i componenti obbligatori siano presenti e se sia documentato che entrambe le parti ne convengono. Ciò che deve essere incluso esattamente è descritto in cosa deve contenere un accordo di responsabile del trattamento.

Dove questo deriva dall'articolo 28 RGPD

L'articolo 28, paragrafo 3 del RGPD stabilisce che il trattamento da parte di un responsabile del trattamento è disciplinato da un contratto o altro atto giuridico che vincola le parti, e che questo deve essere documentato per iscritto, anche in forma elettronica. Questo requisito si applica uniformemente in tutta l'UE perché il RGPD è un regolamento che ha effetto diretto; non c'è spazio per un'applicazione nazionale diversa su questo punto. Chi ha dubbi sul fatto che un accordo esistente con un fornitore soddisfi questo requisito può verificarlo tramite il controllo su o se il software utilizzato rispetta il RGPD; per informazioni generali sulle conseguenze dell'assenza di un tale contratto, esiste la pagina su cosa accade senza un contratto di trattamento dati con un fornitore. Per il testo ufficiale dell'articolo stesso, il riferimento è il RGPD su EUR-Lex, e per i chiarimenti dell'autorità di controllo nazionale, l'Autorità Garante per la Protezione dei Dati Personali è la fonte appropriata.