Cosa deve contenere un contratto tra responsabile del trattamento e incaricato del trattamento?

Cosa deve contenere un accordo di elaborazione dei dati

Un accordo di elaborazione dei dati deve descrivere cosa fa il responsabile del trattamento per il titolare del trattamento con i dati personali e sotto quali condizioni. Ciò inizia con i dati di base: l'oggetto e la durata del trattamento, la natura e la finalità dello stesso, il tipo di dati personali interessati e le categorie di interessati coinvolti. Senza questa descrizione non è possibile verificare se un fornitore rispetta gli accordi.

Inoltre, deve contenere una serie di obblighi che derivano direttamente dal GDPR. Il responsabile del trattamento tratta i dati solo sulla base di istruzioni scritte del titolare del trattamento, assicura che le persone che trattano i dati siano tenute al segreto professionale, e adotta misure di sicurezza appropriate. Deve inoltre essere specificato cosa accade se il responsabile del trattamento incarica un'altra parte (un sub-responsabile del trattamento), come il responsabile del trattamento assiste nell'esecuzione delle richieste degli interessati e nella comunicazione delle violazioni dei dati, e cosa succede ai dati quando il servizio termina — distruzione o restituzione. Spesso è inoltre specificato che il titolare del trattamento può controllare se gli accordi vengono rispettati, ad esempio attraverso un audit.

Dove discende questo: articolo 28 del RGPD

Questo elenco deriva direttamente dall'articolo 28 del GDPR, che descrive specificamente cosa deve contenere un accordo di elaborazione dei dati quando un titolare del trattamento incarica un responsabile del trattamento. Le linee guida dell'EDPB forniscono ulteriori chiarimenti su come queste disposizioni possono essere applicate nella pratica, ad esempio nella valutazione delle misure di sicurezza o nell'incarico di sub-responsabili del trattamento. Per la formulazione esatta di ogni obbligo, il testo dell'articolo 28 stesso rimane il punto di riferimento.