Un accordo di elaborazione dei dati è un accordo scritto tra due parti: colui che determina perché e come vengono elaborati i dati personali, e colui che lo esegue per suo conto. Il primo è chiamato nella RGPD il titolare del trattamento, il secondo è l'incaricato del trattamento. Hai bisogno di un tale accordo non appena affidi i dati personali a un'altra azienda, ad esempio a uno studio di amministrazione del personale, a un provider di hosting o a uno strumento SaaS in cui sono archiviati i dati dei clienti.
Il nocciolo è semplice: la legge obbliga questo accordo perché il titolare del trattamento rimane responsabile di ciò che accade ai dati, anche se un'altra azienda svolge il lavoro tecnico. Senza chiari accordi, non è stabilito cosa quell'altra parte può e non può fare con i dati, per quanto tempo vengono conservati e cosa accade in caso di violazione dei dati. Un accordo di elaborazione dei dati rende visibile questa divisione.
Quando siamo di fronte a un incaricato del trattamento
Non tutte le parti con cui collabori sono incaricati del trattamento. Un ragioniere che redige il tuo rendiconto annuale con propria responsabilità professionale è solitamente titolare del trattamento per quel compito. Un servizio cloud che archivia ed elabora il tuo elenco di clienti secondo le tue istruzioni è generalmente un incaricato del trattamento. La distinzione sta nella questione di chi determina lo scopo e i mezzi del trattamento. Se dubbi se una parte è un incaricato del trattamento, la banca dati dell'Autorità per la protezione dei dati personali ti dà indicazioni, e puoi anche verificare questa situazione per situazione nella banca dati con argomenti RGPD per situazione.
Cosa deve contenere come minimo
La RGPD elenca una serie di argomenti che devono essere disciplinati in un accordo di elaborazione dei dati: l'oggetto e la durata del trattamento, la natura e lo scopo di esso, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento, e accordi sulla sicurezza, la riservatezza, i sub-incaricati e il modo in cui si collabora ai controlli. Inoltre, è incluso come viene gestita una possibile violazione dei dati presso l'incaricato del trattamento, e cosa accade ai dati una volta che la collaborazione termina.
Questo elenco è riportato letteralmente nella normativa stessa; se vuoi rileggere la formulazione esatta, la trovi su EUR-Lex. Le autorità di controllo come il Comitato europeo per la protezione dei dati hanno inoltre pubblicato linee guida su come queste disposizioni vengono interpretate nella pratica, ad esempio sulla questione di quando un sub-incaricato deve o meno essere notificato in anticipo.
Chi redige l'accordo
In pratica, spesso la parte più grande fornisce il modello: un fornitore di software allega il suo proprio accordo di elaborazione dei dati all'attivazione di un abbonamento, o un cliente te lo invia perché elabori dati per lui. Questo non significa che tu debba semplicemente firmare un testo fornito. Si consiglia di verificare se tutti gli argomenti menzionati sono inclusi, se gli accordi di sicurezza si allineano con ciò che ti aspetti dall'altra parte, e se la responsabilità è ragionevolmente ripartita. In caso di dubbi su una clausola specifica, è consigliabile sottoporla a un legale.
Perché è più di una firma
Un accordo di elaborazione dei dati non è una formalità che regoli una volta e poi dimentichi. Non appena cambia un fornitore di strumenti, coinvolgi un sub-incaricato al di fuori dell'UE, o cambia la natura del trattamento dei dati, l'accordo esistente può diventare obsoleto. Le aziende che lavorano con più strumenti SaaS spesso hanno rapidamente dieci o venti di questi accordi in corso, ognuno con una propria durata e propri accordi. Tenere traccia di quali accordi hai, quali sono obsoleti e quali mancano è un lavoro a parte oltre alla gestione quotidiana dell'azienda.
Anche gli accordi di sicurezza inclusi nell'accordo meritano attenzione: dicono qualcosa su come un incaricato del trattamento gestisce l'accesso, la crittografia e le notifiche in caso di incidenti. Leggi di più su ciò che è rilevante a questo proposito nella pagina su sicurezza dei dati personali presso gli incaricati del trattamento.
Quello che potete fare voi
Ad ogni nuova collaborazione, verificate se vengono condivisi dati personali e, in caso affermativo, se è necessario e presente un contratto di responsabile del trattamento. Conservate questi contratti in modo ordinato, insieme al registro delle attività di trattamento in cui è indicato quale strumento tratta quali dati. Se dubbitate che un contratto concreto sia completo, potete farlo verificare gratuitamente sui punti essenziali. Per domande frequenti su questo argomento, ad esempio cosa fare se un fornitore non vuole firmare un contratto, c'è una panoramica nella pagina con domande frequenti sul RGPD.
Volete sapere come questo si adatta alla vostra situazione specifica, ad esempio quanti contratti di responsabile del trattamento vi servono probabilmente e quali richiedono attenzione? Fate la quick-scan gratuita o registrate un account aziendale per tenere traccia dell'overview. In pochi minuti vedete dove siete, senza che siate immediatamente obbligati a nulla.