Sì, potete redigere autonomamente un contratto con il responsabile del trattamento. Il RGPD non prescrive un formato obbligatorio: non esiste un modello ufficiale che dovete utilizzare, solo una serie di argomenti che il contratto deve comunque disciplinare. Per una relazione semplice con un unico servizio chiaramente definito, senza sub-responsabili e senza dati trasferiti al di fuori dell'UE, la redazione autonoma è spesso un compito fattibile in una pomeriggiata.
La questione non è tanto se sia permesso, ma se la situazione sia sufficientemente semplice per essere gestita correttamente senza aiuto. Non appena ci sono più soggetti nella catena, vengono trattati dati sensibili, oppure l'altra parte invia una propria bozza di contratto che diverge da ciò di cui avete bisogno, la redazione autonoma diventa più difficile da controllare. In questi casi è più sensato ricorrere a una consulenza legale, o quantomeno a una valutazione strutturata, piuttosto che compilare un modello e sperare che sia corretto.
Cosa deve comunque figurare
Indipendentemente da chi redige il contratto, un contratto con il responsabile del trattamento disciplina una serie fissa di argomenti. Contiene quale sia l'oggetto e la durata del trattamento, quali categorie di dati personali e di interessati siano coinvolti, e quale sia lo scopo del trattamento. Inoltre, il contratto stabilisce che il responsabile del trattamento agisce solo su istruzione del titolare del trattamento, che i dipendenti del responsabile del trattamento sono obbligati alla riservatezza, quali misure di sicurezza si applicano, come vengono incaricati e comunicati i sub-responsabili, come il responsabile del trattamento collabora alle richieste degli interessati e alle notifiche di violazione dei dati, e cosa accade ai dati dopo la conclusione del contratto. Questi elementi figurano letteralmente nel regolamento stesso; chi li omette in una bozza, omette qualcosa che dovrebbe essercene.
Quando la redazione autonoma funziona in pratica
La redazione autonoma funziona bene quando la relazione è trasparente: siete voi stessi il titolare del trattamento, incaricate un unico fornitore per un unico servizio delimitato, non ci sono sub-responsabili noti al di fuori dell'UE, e i dati non sono particolarmente sensibili. Pensate a un software di contabilità, uno strumento di mailing o un sistema di pianificazione di cui il fornitore offre già una versione standard. In questo caso il vostro compito è principalmente verificare se il testo standard copre gli elementi fissi, e se gli accordi stipulati corrispondono a ciò che lo strumento effettivamente fa. Chi vuole disporre di questa trasparenza per gli strumenti utilizzati quotidianamente, trova in la banca dati con gli elementi fissi per ogni situazione una struttura di riferimento.
Quando l'affidamento a terzi è più sensato
Il confine si sposta non appena la catena diventa più complessa: più sub-responsabili, trasferimento di dati verso paesi al di fuori dell'UE, trattamento di dati sanitari, dati biometrici o dati riguardanti minori, oppure una controparte che invia una propria bozza che diverge da ciò che vi aspettavate. In questi casi il rischio non è di non avere un contratto, ma di sottoscriverne o redarne uno che non copre ciò che effettivamente accade. Un legale o un consulente specializzato può allora valutare se gli accordi si adattano al flusso di dati effettivo, cosa che un modello non fa per voi.
Utilizzare un modello è diverso da redigere autonomamente
Esiste una differenza tra utilizzare un modello come punto di partenza e redigere completamente autonomamente un contratto. Un modello vi costringe a considerare gli elementi fissi, ma non li completa automaticamente in modo corretto per la vostra situazione. Vale anche il contrario per un contratto che un cliente o fornitore vi invia: può sembrare completo e tuttavia omettere un elemento, oppure contenere un accordo che non corrisponde a ciò che effettivamente accade in pratica. Le risposte alle domande frequenti al riguardo, ad esempio cosa un cliente può ragionevolmente pretendere e cosa no, sono raccolte in le domande frequenti sugli accordi con i responsabili del trattamento.
Cosa gdpria.eu fa al riguardo
Il controllo di un contratto per l'incaricato del trattamento che qualcuno le invia, e la ricerca dei componenti fissi nella banca dati delle conoscenze, è gratuito e senza account. Il sistema circostante — la serie di documenti con modelli, il monitoraggio dei contratti in corso e i termini ad essi collegati — è incluso nell'abbonamento. Ciò che contiene è elencato chiaramente in la panoramica dei moduli di abbonamento. Forniamo chiarimenti e struttura, non consulenza legale: lei decide da sola se redige personalmente, utilizza un modello o coinvolge un avvocato.
Vuole prima vedere come funziona nella pratica prima di creare qualcosa? Legga gli argomenti nella banca dati delle conoscenze, o crei un account aziendale per configurare il registro e il monitoraggio per i suoi contratti di incaricato del trattamento.