Le regole fondamentali dell'accordo di elaborazione si trovano nel GDPR stesso, e questo testo non cambia ogni anno. Quello che cambia è la pratica che le circonda: quali fornitori utilizzate, come questi fornitori a loro volta incaricano sub-responsabili, e le regole riguardanti il trasferimento dei dati al di fuori dell'Unione europea, che la Commissione europea adatta di tanto in tanto. Per la maggior parte delle piccole e medie imprese, questo non si riflette direttamente nel vostro contratto, ma nell'allegato: l'elenco dei sub-responsabili dell'elaborazione che il vostro fornitore incarica.
Questo rende importante la distinzione. L'obbligo di stipulare un accordo di elaborazione con ciascuna parte che tratta dati personali per conto vostro rimane invariato. Quello che cambia sta nei dettagli che rientrano in questo obbligo: quali sub-responsabili sono attivi, se un fornitore fa elaborare i dati al di fuori dell'UE, e quali accordi al riguardo sono considerati adeguati in un determinato momento.
Cosa non cambia nella legge stessa
L'obbligo di un accordo di elaborazione, i componenti minimi che deve contenere e il ruolo del titolare del trattamento nei confronti del responsabile del trattamento: questi sono componenti fissi del GDPR. Al momento non ci sono modifiche annunciate di queste disposizioni. Quando ciò accadrà, avverrà attraverso un emendamento del regolamento stesso o attraverso una sentenza della Corte di Giustizia dell'Unione Europea, non attraverso una comunicazione separata di un'autorità di controllo.
Cosa cambia nella pratica
Di solito tre cose cambiano, spesso senza che ve ne accorgiate immediatamente. In primo luogo, i fornitori di software espandono la loro funzionalità, ad esempio aggiungendo funzioni di intelligenza artificiale a uno strumento esistente. Questo può significare l'arrivo di un nuovo sub-responsabile dell'elaborazione che non conoscevate. In secondo luogo, le autorità di controllo e l'EDPB modificano regolarmente i loro orientamenti su argomenti specifici, come l'archiviazione nel cloud o il trasferimento internazionale, senza che la legge stessa cambi. In terzo luogo, la Commissione europea a volte adatta le clausole standard utilizzate per il trasferimento dei dati verso paesi al di fuori dell'UE.
Sub-responsabili dell'elaborazione: il cambio silenzioso
La maggior parte dei cambiamenti in un accordo di elaborazione non si trova nel documento principale, ma nell'allegato con i sub-responsabili dell'elaborazione. Un software di contabilità che incarica una nuova società di hosting, uno strumento di gestione delle risorse umane che affida il servizio clienti a un call center in un altro paese: questi sono cambiamenti che secondo il GDPR devono essere comunicati a voi, in modo che possiate valutare se siete contrari. Nella pratica, questa è proprio la parte che le aziende hanno maggiori probabilità di trascurare, perché spesso viene menzionata in un'e-mail con un aggiornamento del prodotto e non in un avviso legale separato.
Trasferimento al di fuori dell'UE
Se un fornitore fa elaborare i dati al di fuori dell'Unione europea, deve esserci una base giuridica separata per questo, ad esempio le clausole standard della Commissione europea o una decisione che riconosca che un paese offre un livello di protezione adeguato. Queste basi giuridiche sono esaminate di tanto in tanto; ciò che era considerato adeguato in un determinato momento può essere successivamente modificato. Per voi, in qualità di clienti di un fornitore SaaS, questo significa che la base giuridica di un accordo esistente può cambiare senza che il contratto stesso sia modificato. Cosa significhi concretamente per i vostri fornitori non può essere detto in generale; richiede uno sguardo all'accordo specifico e alla situazione attuale presso l'Autorità garante della protezione dei dati.
Cosa questo significa per i vostri accordi
La domanda pratica non è se la legge è stata modificata, ma se i sub-responsabili del trattamento e le regole di trasferimento secondo i vostri contratti esistenti corrispondono ancora a quello che avete concordato o verificato in precedenza. Ciò significa controllare periodicamente se un fornitore ha notificato nuovi sub-responsabili del trattamento e se gli allegati ai vostri contratti di responsabile del trattamento sono ancora attuali. Per un primo orientamento su cosa dovrebbe contenere esattamente un tale contratto, potete consultare la knowledge base sui contratti di responsabile del trattamento; è gratuitamente accessibile e selezionata per argomento, con il riferimento al testo normativo allegato.
È opportuno non considerare questo come un controllo una tantum, ma come qualcosa che continua fintanto che utilizzate fornitori che trattano dati per vostro conto. Chi utilizza più strumenti SaaS e non sa esattamente quali sub-responsabili del trattamento vi rientrano, può trovare la risposta nelle domande frequenti sui contratti di responsabile del trattamento in corso. E se dubitate che una modifica notificata da un fornitore abbia conseguenze sulla vostra responsabilità, è consigliabile farla valutare da un avvocato o, se dubitate dell'autorità di controllo corretta, contattare l'Autorità garante per la protezione dei dati personali.
Gli imprenditori che desiderano sapere come funziona in pratica tale monitoraggio possono leggere da dove provengono le informazioni su gdpria.eu e come vengono monitorate le modifiche presso i fornitori.
Verificare autonomamente la vostra situazione
La maggior parte delle incertezze su "cosa è cambiato quest'anno" non derivano da una modifica legislativa, ma da un fornitore che ha apportato modifiche senza che ve ne accorgeste. Se volete vedere in pochi minuti se la vostra situazione richiede attenzione, potete fare la scansione rapida gratuita o consultare la knowledge base sugli argomenti rilevanti per la vostra azienda.