L'errore più comune nella valutazione di un contratto di responsabile del trattamento è che le aziende firmano il documento senza controllare chi ha quale ruolo in quella relazione. Un contratto di responsabile del trattamento regola gli accordi tra un titolare del trattamento, che determina perché e come i dati vengono trattati, e un responsabile del trattamento, che lo fa su istruzione. Se tale divisione dei ruoli non viene controllata, a volte firmate un documento che non si applica affatto alla vostra situazione, oppure vi manca proprio un contratto che avrebbe dovuto esserci.
Inoltre, le cose spesso vanno male su tre altri punti: responsabili del trattamento secondari che non sono menzionati, misure di sicurezza descritte solo in termini generali, e nessun accordo su cosa accade ai dati quando la collaborazione termina. Non sono dettagli minori ma il nocciolo di ciò per cui serve un contratto di responsabile del trattamento: stabilire chi è responsabile di cosa, finché la collaborazione dura e anche dopo.
Non controllare la divisione dei ruoli
Un contratto di responsabile del trattamento parte da una divisione fissa: una parte determina lo scopo e i mezzi del trattamento, l'altra esegue quel trattamento secondo le istruzioni. In pratica, questi ruoli a volte si alternano a seconda dell'incarico. Uno studio di contabilità è responsabile del trattamento per l'amministrazione degli stipendi di un cliente, ma titolare del trattamento per i propri dati personali dei dipendenti. Chi firma un contratto senza determinare questo ruolo non sa con certezza se viene firmato il documento giusto. La stessa GDPR descrive questa divisione dei ruoli e le linee guida dell'EDPB la trattano ampiamente.
Responsabili del trattamento secondari rimasti senza nome
Molti strumenti SaaS a loro volta coinvolgono altre parti, ad esempio per l'hosting o per il servizio clienti. Un contratto di responsabile del trattamento deve menzionare se ciò è consentito, a quali condizioni e se siete informati in anticipo. Se questa disposizione manca, semplicemente non sapete quali parti hanno effettivamente accesso ai dati che fornite. Questa è esattamente il tipo di informazione che potete consultare nella banca dati per argomento prima di firmare.
Sicurezza descritta solo in termini generali
Una frase come "vengono adottate misure tecniche e organizzative appropriate" di per sé dice poco. Un contratto che va oltre menziona concretamente cosa significano quelle misure: crittografia, controllo degli accessi, backup, procedure di notifica in caso di incidente. Più specificatamente questo è stabilito, più è chiaro cosa effettivamente fa un fornitore. Per il confronto: sulla pagina su come noi stessi trattiamo i dati e la sicurezza potete vedere come tale spiegazione può apparire nella pratica.
Nessun accordo sulla fine della collaborazione
Cosa succede ai dati quando il contratto termina? Vengono restituiti, distrutti o rimangono da qualche parte? Questo è uno dei punti che più spesso manca, mentre è proprio dopo la fine di una collaborazione che è difficile fare accordi in seguito. Un contratto di responsabile del trattamento che non dice nulla su questo vi lascia con una lacuna nella documentazione proprio nel momento in cui ne avete meno bisogno.
Come evitare questo
La maggior parte di questi errori non nascono da cattiva volontà ma dalla mancanza di tempo: un contratto di responsabile del trattamento è visto come una formalità mentre in realtà riguarda quattro o cinque punti concreti. Controllate questi punti prima di firmare e chiedete chiarimenti al fornitore se qualcosa manca o è formulato in modo vago. Se dubitate di una disposizione specifica, consultate un avvocato o, per domande sull'interpretazione della GDPR stessa, l'Autorità per la protezione dei dati. Le risposte alle domande frequenti su questo tipo di documenti le trovate anche in le domande frequenti sui contratti di trattamento dei dati.
Questa spiegazione è pensata per orientarvi su ciò che deve contenere un contratto di trattamento dei dati, non per valutare se un documento specifico che avete ricevuto sia conforme. Come arriviamo a queste informazioni e quali fonti ne stanno alla base, potete leggerlo su la pagina su come funziona.
Volete vedere rapidamente la situazione della vostra azienda? Effettuate la scansione rapida gratuita o sfogliate gli argomenti nella banca delle conoscenze per vedere quale fase è rilevante per la vostra situazione.