Responsabile del Trattamento, una delle peculiarità del Regolamento generale sulla protezione dei dati rispetto alla normativa previgente è, certamente, il ruolo del di questa figura.

L'avv. Cristina Virarelli, ha già parlato dei problemi di traduzione, composti grazie all’intervento dell’Autorità Garante, e non mi dilungherò di nuovo su questo, se non per ricordare che le traduzioni di pareri del Gruppo di lavoro dei Garanti (WP29), precedenti al Regolamento, recano ancora i termini “responsabile” e “incaricato” per indicare il “controller” e il “processor” termini che oggi vengono tradotti come “titolare” e “responsabile”. Nel corso di questa breve disamina, trovandomi a richiamare il parere 1/2010 del WP29 renderò sempre con “titolare” e “responsabile” i termini  “controller” e “processor”, sostituendo direttamente la differente e confusoria terminologia utilizzata nelle traduzioni ufficiali.

Il “nuovo” responsabile del trattamento

Il Regolamento generale sulla protezione dei dati non muta di una virgola la definizione di titolare e responsabile del trattamento rispetto alla direttiva 95/45/CE che lo ha preceduto.

Il titolare (“controller”)  era definito nella direttiva come “la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali (.…)”

Il Responsabile (“processor”) invece era indicato come “la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento”.

Nel Regolamento generale queste figure sono definite rispettivamente come:

«titolare del trattamento» (controller): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali (…).

«responsabile del trattamento» (processor): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;

La novità del Regolamento, pertanto, non si annida nelle definizioni, pressoché identiche alle precedenti, ma nella rivoluzione copernicana che, nel suo complesso, il Regolamento fa compiere alla tutela dei dati personali, facendola passare da un approccio basato su adempimenti calati dall’alto a un approccio basato sul rischio, e consegna la protezione dei dati nelle mani del titolare, il quale, grazie al principio di responsabilizzazione, (“accountability”) potrà, nei limiti e dentro i parametri delineati dal Regolamento, adottare le misure che ritiene più opportune e comprovare il conseguimento degli obiettivi che ha raggiunto nel rispetto dei principi che presiedono il trattamento (lecito) dei dati personali.

Tale nuovo impianto lambisce anche il ruolo del responsabile del trattamento, il quale è insignito di nuovi compiti, condivide in certa misura le responsabilità del titolare in ordine al risarcimento del danno a terzi, ed è oggetto di autonome sanzioni amministrative, a differenza di quanto avveniva con il codice privacy, ove la sanzione amministrativa era sempre diretta contro il titolare.

Non solo: la nomina a responsabile è obbligatoria e non più facoltativa.

L’individuazione del responsabile non avviene più, quindi, a discrezione del titolare, ma è un atto dovuto. Non solo: la designazione del responsabile emerge ex se dallo stato di fatto: il titolare e il responsabile regoleranno i loro rapporti contrattualmente, ma non sarà possibile forzare l’assetto contrattuale per definire i reciproci ruoli: l’assetto contrattuale rispecchierà, invece, il concreto “potere” che questi soggetti eserciteranno sul trattamento dei dati personali, prendendo o meno decisioni in ordine alle finalità e ai mezzi del trattamento stesso.

Le garanzie di affidabilità del responsabile, ove si esternalizzi un servizio, pertanto, dovranno essere valutate attentamente già in fase di affidamento, dato che, come già avveniva con il codice privacy, il trattamento potrà essere affidato dal titolare solo a chi presenti “garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.

Responsabile interno o responsabile esterno?

I primi commentatori del Regolamento hanno evidenziato come il ruolo del responsabile del trattamento tratteggiato nel Regolamento sia cucito addosso al solo Responsabile esterno, notando come vi siano i talune indicazioni che non hanno senso se trasferite all’interno del rapporto di lavoro – su tutte, a titolo esemplificativo, si riporta l’obbligo di predisporre una idonea contrattualistica che preveda anche che il responsabile “metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato” (art. 28 c. 3 lett. h del Regolamento).

Nel tempo, però, questa posizione prima piuttosto uniforme si è frastagliata e oggi vi sono autorevoli commentatori che ritengono che sia possibile anche configurare un responsabile interno.

Tali argomentazioni poggiano sia sul fatto che la figura del responsabile interno non è espressamente esclusa dalla normativa europea, sia su alcune interpretazioni letterali, sia, infine, su talune annotazioni organizzative.

Il dato letterale

Per ricavare l’inquadramento del responsabile all’interno della struttura del titolare si può fare riferimento al tenore letterale della traduzione italiana del Regolamento, dandone una lettura aderente al diritto interno, risultato che si ottiene enfatizzando  i termini ’”organismo” o “servizio”, che nel nostro Paese possono, in effetti, richiamare un qualche affidamento all’interno della struttura del titolare. E’ lecito domandarsi però se sia opportuno interpretare il dato letterale di una sola traduzione senza interrogarsi sul senso di tali espressioni nelle altre lingue ufficiali, e senza valutare il significato che possano avere acquisito sul piano europeo.

Anzi sul piano europeo si è affermata l’interpretazione opposta: l’ICO, ad esempio, ha richiamato la precedente definizione di responsabile contenuta nel “Data Protection Act” (il codice privacy del Regno Unito, per intenderci, che escludeva espressamente che il ruolo potesse di responsabile essere affidato a dipendenti del titolare) sostenendo che la formulazione del Regolamento (che pure non riporta espressamente l’esclusione dei dipendenti)  nulla  muta rispetto all’individuazione di titolare e responsabile ivi contenute (cfr. ICO GDPR guidance: Contracts and liabilities between controllers and processors: “a processor is a natural or legal person or organisation which processes personal data on behalf of a controller.

If you are not sure whether you are a controller or a processor, please refer to our guidance Data controllers and data processors. Although it is based on the Data Protection Act 1998 (DPA), the parts of the guidance setting out how to determine who is the controller and who is the processor are still relevant under the GDPR.”

Fonte: https://ico.org.uk/media/about-the-ico/consultations/2014789/draft-gdpr-contracts-guidance-v1-for-consultation-september-2017.pdf)

Neppure il CNIL, che ad oggi presiede il WP29, pare sposare un simile orientamento: nella guida ai responsabili che ha pubblicato nel settembre 2017 per agevolare l’applicazione del Regolamento (GUIDE DU SOUS-TRAITANT EDITION SEPTEMBRE 2017) non solo si riferisce espressamente alla sola figura del responsabile esterno, inquadrando i rapporti tra titolare e responsabile più volte in termini di fornitore e cliente, ma richiama anche, espressamente, il Parere 1/2010 (WP 169)  sui concetti di titolare e responsabile del trattamento, dimostrando di ritenerlo ancora attuale.

Il Parere 1/2010 del Gruppo di lavoro Art. 29

Il Parere del WP29 richiamato dal CNIL aveva già affrontato il problema dell’inquadramento del responsabile come soggetto interno o esterno, in particolare indagando se quel trattare i dati “per conto” del titolare possa includere anche i soggetti interni alla sua struttura (argomento che potrebbe utilizzarsi anche oggi, per sostenere la compliance al Regolamento di un ruolo interno).

Ebbene, diceva il WP29 che l’esistenza di un responsabile del trattamento dipende da una decisione presa dal titolare del trattamento. Quest’ultimo può decidere o di trattare i dati all’interno della propria organizzazione – ad esempio attraverso collaboratori autorizzati a trattare i dati sotto la sua diretta autorità-, o di delegare tutte o una parte delle attività di trattamento a un’organizzazione esterna, cioè, come indica la relazione della proposta modificata della Commissione, a una “persona giuridicamente distinta dal titolare ma che agisce per conto di quest’ultimo“.

E’ chiara, quindi, l’intenzione del legislatore, esternata nella relazione della Commissione richiamata dal WP29, e la mera trasposizione della definizione dalla Direttiva al Regolamento non può autorizzare a presumere che l’intenzione del legislatore sia mutata.

Concludeva quindi il WP29 “Il presente parere analizza anche il concetto di “responsabile del trattamento“, la cui esistenza dipende da una decisione presa dal titolare del trattamento. Quest’ultimo può decidere o di trattare i dati all’interno della propria organizzazione o di delegare tutte o una parte delle attività di trattamento a un’organizzazione esterna. Per poter agire come responsabile del trattamento occorrono pertanto due requisiti: da un lato essere una persona giuridica distinta (rectius: entità giuridica distinta – nella versione francese è “une entité juridique distincte” n.d.r.) dal titolare del trattamento, e dall’altro elaborare i dati personali per conto di quest’ultimo. Questa attività di trattamento può essere limitata a un compito o a un contesto molto specifico, oppure può lasciar spazio a un certo margine di discrezionalità sul modo di servire gli interessi del titolare del trattamento, permettendo al responsabile del trattamento di scegliere i mezzi tecnici e organizzativi più adeguati” (riporto anche il testo in inglese, per dare modo al lettore di valutare come il riferimento alla “persona giuridica” non vada inteso in senso tecnico: “This opinion also analyzes the concept of processor, the existence of which depends on a decision taken by the controller, who can decide either to process data within his organization or to delegate all or part of the processing activities to an external organization. Therefore, two basic conditions for qualifying as processor are on the one hand being a separate legal entity with respect to the controller and on the other hand processing personal data on his behalf. This processing activity may be limited to a very specific task or context or may accommodate a certain degree of discretion about how to serve the controller’s interests, allowing the processor to choose the most suitable technical and organizational means.”)

A livello europeo, pertanto, l’interpretazione lascia poco margine ai dubbi: la figura del responsabile interno non è data.

L’esperienza italiana

Per contro, l’Italia ha sempre ammesso il ruolo di responsabile interno.

Un disallineamento, rispetto al WP29, che affondava le radici in epoca ben precedente al parere del 2010, e che si basava sull’ampio margine di discrezionalità concesso dalla direttiva.

Discrezionalità che non sussiste con il Regolamento: ove agli Stati è concesso operare deroghe e personalizzazioni è espressamente indicato (e non sono poche ipotesi), si guardi, in proposito la definizione di titolare. Tale deroga non è presente, però, nella definizione di responsabile.

Trarre la configurabilità di un responsabile interno (con il carico di oneri, -mi si passi il gioco di parole- responsabilità e sanzioni che questi reca con sé in base al Regolamento), in via interpretativa sulla sola assenza di un divieto in tal senso appare, quindi, piuttosto azzardato.

Senza considerare il noto brocardo “Ubi lex voluit dixit, ubi noluit tacuit”: quando il legislatore ha inteso assegnare un ruolo a soggetti sia interni che esterni alla struttura del titolare lo ha detto espressamente, come nel caso del data protection officer (cfr art. 37 comma 6).

La guida del Garante  

Quanto detto sin qui basta a escludere la  configurabilità di un ruolo interno del responsabile?

Ad avviso di chi scrive basterebbe, se avessimo la certezza che il parere 1/2010 reso dal WP29 sarà mantenuto fermo una volta insediatosi il Board; innanzi tutto, quindi, occorrerebbe sapere se il ridetto parere sopravviverà, negli stessi termini,  al 25 maggio 2018: certo, a guardare le indicazioni che provengono dall’ICO e dal CNIL si potrebbe optare per il sì, ma non possiamo ancora dirlo con assoluta certezza. Vi sono indizi sul piano nazionale che facciano propendere, invece, per il mantenimento di questa figura? A guardar bene, in effetti, qualche dubbio viene… vi sono delle indicazioni pratiche che possono indurre questa convinzione  e ciò per due ordini di ragioni:

• da un lato il Garante per la protezione dei dati personali ha annunciato di voler mantenere la figura dell’incaricato, e appare arduo a chi scrive immaginare strutture importanti composte di soli incaricati, senza responsabili. Dal punto di vista pratico, la figura di un soggetto sovraordinato agli incaricati potrebbe essere opportuna. E’ altamente probabile che, in assenza di “liberalizzazioni” sul punto (ad esempio lasciando libertà di assegnare ruoli di maggior o minore “responsabilità” agli incaricati, o eliminandoli del tutto, sulla scorta di altri paesi europei), l’esigenza di prevedere la figura del responsabile interno emerga dal basso, ovvero dalla presenza degli incaricati e dalle necessità organizzative che ne conseguono.

• Dall’altro lato il Garante nella sintetica “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali”, che ha pubblicato sul proprio sito istituzionale, non ha evidenziato alcuna novità in ordine al ruolo del responsabile, e se l’Autorità avesse voluto prendere una posizione netta in merito avrebbe potuto farlo senza difficoltà: invece ha laconicamente affermato nel capitolo dedicato al titolare e al Responsabile, sotto il paragrafo “cosa non cambia” che “Il regolamento definisce caratteristiche soggettive e responsabilità di titolare e responsabile del trattamento negli stessi termini di cui alla direttiva 95/46/CE (e, quindi, al Codice italiano)”.  Eppure il Codice parlava di responsabili come di soggetti “preposti dal titolare”, ammettendo pacificamente l’esistenza del responsabile interno, e dichiarava espressamente che la nomina era facoltativa. Inoltre le responsabilità definite dal Regolamento, ad avviso di chi scrive, non appaiono affatto così facilmente sovrapponibili a quelle della direttiva.

Tuttavia, se il Garante suggerisce una certa continuità tra i ruoli, evidentemente dobbiamo attenderci una continuità tra i ruoli: significa dunque che verrà ritenuto ammissibile il responsabile negli stessi termini del Codice italiano? Ossia un ruolo anche interno e facoltativo?

Che fare?

Come abbiamo visto sopra vi sono ragioni sistematiche, di matrice europea, che indurrebbero a preferire di non forzare l’interpretazione delle norme, in favore di una figura di cui buona parte dell’Europa è riuscita a fare a meno sino ad oggi senza inficiare la protezione dei dati. Dall’altra parte, però occorrerebbe da un lato che il Board restasse ancorato all’interpretazione offerta dal WP29, dall’altra che l’Italia trovasse il coraggio di “abbandonare la strada vecchia per la nuova” cosa che non è mai stata troppo nelle corde del nostro Paese. Non è impossibile, quindi, che l’Italia  mantenga l’impianto che le è più noto, ammettendo la permanenza del responsabile interno (almeno fino a che qualcuno non domandi un intervento chiarificatore sovranazionale).

Invero, il fatto che non sia giunta alcuna netta indicazione dall’Autorità su un aspetto tanto importante dal punto di vista organizzativo, se non un laconico riferimento al mantenimento dell’impianto pregresso in un’ottica di continuità, spinge a ritenere che non vi saranno mutamenti di rilievo sul punto: il passaggio da una figura sia “interna” sia “esterna” ad una solo “esterna”, e il passaggio da una figura facoltativa ad una obbligatoria avrebbero meritato un certo rilievo nel paragrafo della guida dedicato al “che cosa cambia”, ma non ve n’è traccia. Sono invece evidenziati i subresponsabili e gli obblighi di nomina del DPO e del rappresentante nello Stato.

Sarà quindi prudente, per le imprese, controllare le nomine di responsabili e incaricati, adeguando la contrattualistica relativa alla designazione del responsabile alle indicazioni offerte dal Regolamento, anche se, ove tale adempimento si rivolgesse all’interno della struttura del titolare, meriterebbero attenzione alcuni punti, da valutare in chiave giuslavoristica, afferenti le autonome responsabilità che si assume il dipendente, i nuovi compiti e poteri decisionali che sono connessi al ruolo di responsabile e la loro compatibilità con l’inquadramento e le mansioni già svolte dal dipendente (nonché rispetto alla retribuzione)  e la possibilità di incorrere  in autonome sanzioni, nonché le responsabilità in ordine al risarcimento del danno, per condotte assunte in qualità di dipendente, che, probabilmente, verranno prese in considerazione dal legislatore nella sua opera di armonizzazione sul piano del diritto interno (AGGIORNAMENTO: la nuova formulazione dell’articolo 29 del Codice privacy pare superare molte di queste discrasie, si veda “aggiornamento” in calce).

Perdurando l’incertezza e facendosi strada il sospetto malizioso che il legislatore nazionale abbia in mente di prendersi qualche licenza sul responsabile del trattamento, sarà più facile per i titolari, nel brevissimo tempo che ci separa dall’applicazione del Regolamento, revocare o modificare secondo la propria discrezione le nomine interne (comunque possibili fin tanto resta in vigore il Codice della privacy) ove si rivelassero superflue, che approntarle ex novo alla vigilia del 25 maggio 2018.

Accountability e tendenza alla burocratizzazione

E’ evidente che l’accountability e l’approccio basato sul rischio vanno in senso opposto rispetto alla burocratizzazione della privacy, che è stata la maggiore accusa da sempre rivolta alla nostra normativa nazionale. L’esperienza italiana sul punto, specialmente in ordine ai ruoli interni, non ha avuto un buon esito: un gran numero di imprese ha percepito la protezione dei dati personali come una serie di oneri burocratici da assolvere e non come un elemento da valorizzare.

Se il resto d’Europa lascia il titolare libero di gestire la propria organizzazione interna come meglio crede, permette alle imprese di competere anche sotto questo profilo: tanto più l’impresa sarà brava a proteggere i dati, tanto più sarà avvantaggiata sulla concorrenza.

L’Italia sembrava avere un discreto vantaggio in ordine all’applicazione del GDPR, date le molteplici somiglianze del proprio pregresso impianto normativo con il Regolamento, soprattutto in ordine all’acquisizione del consenso e alla tutela dei diritti dell’interessato, ma se non supera il proprio approccio tradizionale, accordando maggior fiducia ai titolari, rischia di vanificare l’esperienza maturata. L’indagine comparativa recentemente condotta dall’Autorità olandese, restituisce un’Italia fanalino di coda nella tutela dei dati personali, accanto alla Romania, mentre, come sempre, a guidare la volata, ci sono Germania e Olanda (“With the group of countries compared in this research, Germany is frontrunner in most aspects and Italy and Romania are at the other end of the spectrum. The Netherlands perform above average in most aspects”). Sarà bene che il legislatore nazionale rifletta attentamente in ordine alle procedure che intende aggiungere all’impianto regolamentare europeo  (anche al di là della mera riproposizione dei ruoli interni),  mantenendosi quanto più possibile in armonia con il resto dell’Unione, in modo da non relegare l’accountabilty ad una scialba funzione di precostituzione di documenti con sola funzione probatoria, che, mutilando nettamente la discrezionalità del titolare, finirebbe col ricondurre la responsabilizzazione nell’alveo sterile di  una piatta e blanda sfaccettatura della  responsabilità.

Continua a Leggere→

Il Regolamento generale sulla protezione dei dati modifica profondamente la figura del responsabile del trattamento, pur mantenendone ferma la definizione rispetto alla precedente direttiva da cui era derivata anche la normativa italiana.

Il Dlgs 196/03, all’articolo 4, definiva “responsabile”, “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali”, mentre l’Art. 29 del Codice privacy, rubricato “Responsabile del trattamento” disponeva:

1. “Il responsabile è designato dal titolare facoltativamente.
2. Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
3. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti.
4. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare.
5. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni.”

Il Regolamento generale sulla protezione dei dati, invece, si occupa del responsabile del trattamento all’articolo 28, individuandone analiticamente doveri e responsabilità, ma i suoi compiti, come vedremo più specificamente nel prosieguo, non si esauriscono nel citato articolo. Tuttavia basterà, per ora, limitarsi a riportare la definizione offerta dall’articolo 4 del medesimo Regolamento per poter già evidenziare alcune preliminari differenze: «responsabile del trattamento» è, per il legislatore europeo, “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”.

La prima differenza (già da molti evidenziata) rispetto alla normativa italiana (nella formulazione dell’articolo 29 del Codice privacy sopra riportata, antecedente alla novella del 20 novembre 2017), riguardava il passaggio da un ruolo “facoltativo” a uno “obbligatorio” nel senso che nel Regolamento -ove, peraltro, è molto aumentata la capacità del titolare del trattamento di operare scelte discrezionali (seppure nel rispetto dei parametri dettati dal Regolamento stesso)-  è precluso al titolare operare una scelta discrezionale in ordine alla  designazione del responsabile del trattamento. Il titolare può, in una fase antecedente, scegliere se operare o meno l’esternalizzazione di un servizio, ma non può, una volta che abbia optato per l’esternalizzazione, scegliere se nominare o meno il responsabile del trattamento: il ruolo di responsabile emerge ex se, in base all’atteggiamento che il soggetto concretamente assume rispetto alle attività di trattamento che gli sono state delegate da parte del titolare.

Il Codice della privacy, invece, qualifica espressamente come “facoltativa” la nomina del responsabile. In ordine alla nomina dei soggetti esterni, nel tempo, la facoltatività della designazione è stata mitigata da diverse eccezioni, derivanti da alcuni provvedimenti generali del Garante (in conseguenza dei quali si era aperto anche un certo dibattito in ordine al travalicamento, da parte dell’Autorità, dei limiti segnati dalla legge).

Al di là della discussione in ordine alla fonte del potere del Garante di dettare norme in contrasto con l’impianto normativo nazionale (seppure in via di eccezione), di fatto abbiamo avuto interventi del Garante che, ponendo un obbligo di designazione che scaturiva dal concreto assetto dei trattamenti operato dal titolare, gettavano le fondamenta di un impianto molto simile a quello tratteggiato dal Regolamento generale sulla protezione dei dati, in cui non ha alcun rilievo che le parti si qualifichino contrattualmente come titolari o come titolare e responsabile. Queste qualificazioni, infatti, sono del tutto irrilevanti se non riflettono il potere di disposizione che i contraenti esercitano sui dati: saranno l’assetto dei trattamenti operati di fatto e il potere decisionale che questi soggetti sono in grado di dispiegare in ordine alle finalità e ai mezzi dei trattamenti, a qualificarne il ruolo, definendoli come titolare o responsabile.

Come si riconosce, però, il titolare, rispetto al trattamento? E cosa differenzia il titolare dal responsabile?¹

Il titolare è colui che decide in ordine alle finalità e ai mezzi del trattamento (in altre parole decide per quale scopo trattare i dati e con quali modalità operare i trattamenti), mentre il responsabile (del trattamento) si limita a trattare i “ dati personali per conto del titolare del trattamento”, secondo la definizione offerta dall’articolo 4 del Regolamento.

La definizione, quindi, ricalca perfettamente quella già contenuta nella direttiva 95/46/CE.

A questo punto è lecito domandarsi se, rispetto al Codice della privacy, vi siano mutamenti significativi (nel codice infatti la definizione era quella di soggetto “preposto” al trattamento) e se sia ancora possibile individuare il responsabile all’interno della struttura del titolare o se invece tale ruolo potrà essere ricoperto solo da un soggetto giuridicamente distinto dal titolare, quindi un soggetto esterno. Tale problematica (già trattata su queste pagine)², sebbene sia destinata a rimanere sullo sfondo per l’impatto pratico che dispiega sull’organizzazione del titolare, non è oggetto della presente analisi, che sarà limitata a individuare le novità introdotte dal Regolamento rispetto al ruolo del Responsabile del trattamento, senza declinarlo nelle peculiarità del nostro ordinamento, salvo quanto si dirà brevemente ora.

Il nuovo articolo 29 del Codice della privacy

Nel dibattito in ordine alla configurabilità o meno del responsabile interno, infatti, si è appena registrato un sorprendente intervento del legislatore nazionale il quale, con la Legge europea, ha pensato bene di modificare ed integrare anche l’articolo 29 del Codice della Privacy.

La Legge 20 novembre 2017, n. 167  “Disposizioni per l’adempimento degli obblighi derivanti dall’appartenenza dell’Italia all’Unione europea – Legge europea 2017”³  all’articolo Art. 28 reca la modifica dell’articolo 29 del Codice della Privacy, disponendo quanto segue:
“Modifiche al codice in materia di protezione dei dati  personali, di cui al decreto legislativo 30 giugno 2003, n. 196
1. Al codice in materia di protezione dei dati personali, di cui al decreto legislativo  30 giugno  2003,  n.  196,  sono  apportate  le seguenti modificazioni:

a) all’articolo 29:

1) dopo il comma 4 e’ inserito il seguente:

«4-bis. Fermo restando quanto previsto ai commi 1, 2, 3 e  4, il titolare  può  avvalersi,  per  il  trattamento  di  dati,  anche sensibili, di  soggetti  pubblici  o  privati  che,  in  qualità  di responsabili del trattamento, forniscano le garanzie di cui al  comma 2. I titolari stipulano con i predetti responsabili atti giuridici in forma scritta, che specificano la finalità perseguita, la  tipologia dei dati, la durata del trattamento, gli obblighi e i diritti  del responsabile  del  trattamento  e  le  modalità  di  trattamento;  i predetti atti sono adottati in conformità a schemi tipo  predisposti dal Garante»;

2) il comma 5 e’ sostituito dal seguente:

«5. Il responsabile effettua il trattamento attenendosi  alle condizioni stabilite ai sensi  del comma  4-bis  e  alle  istruzioni impartite dal titolare, il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui  al  comma 2, delle proprie istruzioni e di quanto stabilito negli atti  di  cui al comma 4-bis»⁴;

E’ evidente l’intento del legislatore di  distinguere un soggetto interno da uno esterno, e spostare l’asse della discrezionalità della nomina: la nomina del responsabile è discrezionale, dice in sostanza il comma 4 bis (richiamando il comma 1, che enuncia la facoltatività della designazione), tuttavia, se il responsabile si avvale di soggetti pubblici o privati esterni per i trattamenti, deve nominarli responsabili.

Infatti, il titolare esercita la sua discrezionalità nel momento in cui decide di avvalersi di soggetti  esterni (“il titolare  può  avvalersi,  per  il  trattamento  di  dati,  anche sensibili, di  soggetti  pubblici  o  privati”), ma una volta che abbia scelto di chi avvalersi, non può scegliere se nominare o meno il prescelto responsabile: i soggetti esterni, infatti, operano solo in qualità di responsabili del trattamento.

C’è da domandarsi come la norma potrà trovare applicazione in assenza dei citati schemi tipo che l’Autorità dovrebbe emanare (presumibilmente ai sensi dell’articolo 28 comma 8, che, peraltro richiama il meccanismo di coerenza), e come faranno i titolari e i responsabili ad avvantaggiarsi sulla imminente scadenza in ordine alla contrattualizzazione dei trattamenti, in assenza degli schemi tipo che la norma impone (almeno fino al 25 maggio 2018, quando la norma interna in contrasto con il Regolamento potrà comunque essere disapplicata), ma tali interrogativi esulano dal tema del presente articolo, e meritano un’analisi mirata e certamente più dotta di quella che chi scrive potrebbe tentare.

C’è da domandarsi, anche, che senso possa avere una modifica di tale tenore, alla vigilia dell’applicabilità del Regolamento. A chi scrive pare che non abbia alcuna evidente utilità,  se non quella di preservare, accanto alla nomina a responsabile esterno, anche una nomina a responsabile “interno”⁵ che mantenga la sua natura facoltativa a si discosti dal novero delle responsabilità dettate dai data processing agreement (accordi sul trattamento), sommariamente richiamati nell’articolo solo per la parte che riguarda i responsabili esterni.

Il legislatore sembra far trasparire la pervicace intenzione di lasciar sopravvivere l’articolo 29 del Codice della Privacy, e l’impianto delle nomine interne (scritte) che reca con sé, senza scossoni o discontinuità di rilevo (al netto della compatibilità di tale scelta con la struttura europea edificata dal Regolamento -quando non proprio con la lettera del RGPD- che come detto, non è oggetto della presente disamina), pertanto, le novità in ordine al ruolo di responsabile del trattamento si moduleranno, con ogni probabilità, sul solo responsabile esterno.

I limiti del responsabile nel Regolamento

Prima di addentrarci nell’analisi del ruolo di responsabile del trattamento delineato dal Regolamento, occorre evidenziare i limiti entro cui tale ruolo si configura, puntualizzando che:

1. Un soggetto che tratti i dati personali per conto del titolare è responsabile rispetto ai trattamenti che effettui, appunto, per conto del titolare, ma resta titolare autonomo dei trattamenti che effettui per proprio conto (ovvero dei quali decide in autonomia finalità e mezzi – come nel caso dei propri dipendenti, ad esempio);
2. Un responsabile che, violando il Regolamento, determini finalità e mezzi dei trattamenti che effettui per conto del titolare sarà considerato titolare del trattamento in questione.

La nuova “responsabilità del responsabile” del Trattamento nel Regolamento

La prima novità di rilievo rispetto alla normativa previgente riguarda il fatto che il Codice della privacy si rivolgeva esclusivamente al titolare, prevedendo che solo al titolare fosse imputata la responsabilità per eventuali mancanze⁶.

Invece il Regolamento coinvolge entrambi gli attori del trattamento, “responsabilizzandoli”.

In tal senso va letto l’articolo 28 del Regolamento, che elenca i compiti del responsabile, enfatizzando la collaborazione che questi è tenuto a prestare al titolare e prevedendo una sua peculiare responsabilità diretta⁷.

In tal senso si legge anche l’obbligo di tenere i registri del trattamento per conto del titolare, posto dall’articolo 30 comma 2 del RGPD, o, ancora, l’obbligo di designare il responsabile della protezione dei dati (o data protection officer) dettato dall’articolo 37 sempre del RGPD.

Cosa deve fare in concreto il responsabile del trattamento?

L’Autorità francese per la protezione dei dati (Commission Nationale de l’Informatique et des Libertés) ha pensato di pubblicare una guida che, in maniera semplice e schematica, aiuti i responsabili del trattamento ad orientarsi tra i nuovi obblighi. L’autorità individua gli obblighi dei responsabili, che schematizza secondo 3 grandi insiemi (obbligo di tracciabilità e trasparenza, obbligo di garantire la sicurezza dei dati, e obbligo di avvisare, assistere e consigliare il titolare), ai quali aggiunge il fatto di dover tenere in considerazione anche gli obblighi riferiti alla protezione dei dati sin dalla progettazione e per impostazione predefinita, seppure questi ultimi,  prima facie, sembrino gravare sul solo titolare.

Tracciabilità e trasparenza

Innanzi tutto la CNIL evidenzia il fatto che il rapporto tra titolare e responsabile sia tracciabile e trasparente, effetto che si ottiene, ai sensi dell’articolo 28 del Regolamento, contrattualizzando i reciproci obblighi.

In particolare il responsabile del trattamento ha necessità di ricevere per iscritto le istruzioni in ordine ai trattamenti che effettui per conto del titolare, dato che dovrà poter dimostrare che tratta i dati personali soltanto su istruzione documentata del titolare del trattamento.

Sempre per iscritto il responsabile dovrà essere autorizzato dal titolare ad avvalersi di un sub-responsabile, nel caso in cui voglia designarne uno.

Inoltre il responsabile del trattamento dovrà mettere a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi che gli impone l’articolo 28 del Regolamento, e dovrà consentire e contribuire alle attività di revisione, comprese le ispezioni (o audit), realizzate dal titolare del trattamento.

Infine, dovrà anche tenere il registro dei trattamenti per conto del titolare per cui tratti i dati.

Sicurezza dei dati

Uno specifico obbligo del responsabile è quello riferito alla sicurezza dei dati: il responsabile del trattamento non ha solo l’obbligo di adottare tutte le misure che consentano un livello di sicurezza dei dati personali che sia adeguata al rischio, ma deve anche garantire la riservatezza dei trattamenti (anche vincolando alla riservatezza i propri dipendenti), deve informare il titolare del trattamento di tutte le violazioni di dati di cui sia venuto a conoscenza,  e una volta terminata la prestazione di servizi, secondo le istruzioni ricevute dal titolare, dovrà cancellare tutti dati o restituirli al titolare, e cancellare tutte le copie esistenti (a meno che non sussista un obbligo di conservazione dettato dalla legge).

Avvisare, assistere e consigliare il titolare

Al responsabile sono posti in capo anche obblighi che implicano una collaborazione col titolare che si concreta nell’avvisare, assistere e consigliare il titolare in merito al trattamento; ad esempio, in ordine al fatto di dover dare avviso al titolare, se il responsabile del trattamento ritiene che un’istruzione ricevuta dal titolare violi una qualche norma sulla protezione dei dati, ne informa immediatamente il titolare.

Egli, inoltre deve prestare assistenza la titolare per consentirgli di evadere le richieste inerenti l’esercizio dei diritti degli interessati (“tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile al fine di soddisfare l’obbligo del titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato”).

Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, dovrà aiutare il titolare a garantire la conformità con i requisiti di sicurezza del trattamento, notifica delle violazioni di dati e valutazioni di impatto sulla protezione dei dati.

Privacy by design e by default

Inoltre il responsabile dovrà tener conto del rispetto degli obblighi che discendono dai principi di privacy by design e privacy by default, cui è tenuto il titolare ai sensi dell’articolo 25 del Regolamento. Infatti, sebbene tale obbligo gravi formalmente sul solo titolare, la strumentalità che caratterizza il ruolo del responsabile ed il fatto che egli debba offrire le  garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, in modo tale che il trattamento soddisfi i requisiti del regolamento e garantisca la tutela dei diritti dell’interessato, implica che nel momento in cui offre un servizio al titolare (di qualsiasi tipo, anche attraverso, ad esempio, una applicazione):

1. il responsabile, sin dalla fase di progettazione, metta in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del Regolamento e tutelare i diritti degli interessati (privacy by design).
2. metta in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità (privacy by default).

Ad esempio il responsabile dovrà garantire che non sia obbligatorio, dal punto di vista tecnico, compilare un campo il cui conferimento di dati è facoltativo, ma dovrà anche implementare sistemi di cancellazione automatica, di minimizzazione dei dati, di cancellazione automatica e selettiva dei dati personali contenuti in banche dati dopo un certo periodo di tempo, o di gestione dei diritti di accesso o autenticazione su richiesta degli interessati.

Cosa dovranno cominciare a fare i responsabili del trattamento per adeguarsi al Regolamento?

1. capire se occorre nominare un DPO

Il primo passo che suggerisce la  CNIL è comprendere se il responsabile deve nominare un data protection officer (responsabile per la protezione dei dati).

La nomina è obbligatoria in tre ipotesi principali:

• il l trattamento è effettuato da un’autorità pubblica o da un organismo pubblico;
• l’attività principale, effettuata per conto del titolare, comporta il monitoraggio regolare e sistematico degli interessati su larga scala;
• l’attività principale effettuata per conto del titolare consiste nel trattamento di dati sensibili (categorie particolari di dati personali) o giudiziari (dati relativi a condanne penali e a reati) su larga scala.

Le indicazioni per definire meglio il campo di obbligatorietà della designazione del DPO si traggono dalle Linee – guida sui responsabili della protezione dei dati (RPD o DPO) pubblicate dal Gruppo di Lavoro Articolo 29 che, al paragrafo 2.2, si dedica alla designazione del DPO da parte del responsabile, fornendo anche alcuni esempi.

La CNIL ricorda che è una buona prassi nominare il DPO, anche nei casi in cui tale designazione non sia obbligata dalla legge.

Chi scrive rammenta che le norme nazionali possono individuare altri casi in cui la nomina del data protection officer sia obbligatoria, e che, in ogni caso, tranne quando sia evidente che un soggetto non è tenuto a nominare un DPO, il WP29 raccomanda a titolari e responsabili di documentare le valutazioni compiute all’interno dell’azienda o dell’ente per stabilire se si applichi o meno l’obbligo di nomina di un DPO, così da poter dimostrare che l’analisi ha preso in esame correttamente i fattori pertinenti.

Tale analisi fa parte della documentazione da produrre in base al principio di responsabilizzazione (accountability).

2. Analizzare e rivedere i contratti

I contratti dovranno contenere (per iscritto):

• l’oggetto e la durata della prestazione che il responsabile effettuerà per conto del titolare;
• la natura e la finalità del trattamento;
• il tipo di dati personali trattati per conto del titolare;
• le categorie di interessati,
• gli obblighi e i diritti del titolare del trattamento
• gli obblighi e i diritti del responsabile del trattamento, come previsti dall’articolo 28 del Regolamento.

La CNIL fornisce anche alcuni esempi di clausole, essenzialmente ricalcate sull’articolo 28 del Regolamento, che possono essere inserite nei data processing agreement fino a quando non saranno adottate dalla Commissione Europea  le clausole standard, secondo quanto disposto dall’art. 28.7 del RGPD.

3. dotarsi di un registro dei trattamenti

Il responsabile del trattamento, quando previsto dal Regolamento,  deve tenere un registro dei trattamenti che effettua per conto del titolare.

Il registro, che deve essere tenuto per iscritto,  deve contenere:

• il nome e i dati di contatto di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento;
• il nome e i dati di contatto del responsabile stesso o dei responsabili del trattamento, se sono più di uno;
• il nome e i dati di contatto del responsabile della protezione dei dati (data protection officer) se applicabile;
• le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
• ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, e la documentazione delle garanzie adeguate su cui si fondano;
• ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1 del Regolamento.

La CNIL evidenzia come se il responsabile svolge trattamenti per proprio conto, dovrà tenere un altro registro, relativo a quei trattamenti dei quali è titolare: in questi casi andranno tenuti non uno, ma due registri.

È il caso di ricordare che il tema del registro dei trattamenti è stato affrontato anche dal Garante privacy nella sua “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali”.  Il Garante ha ricordato che il registro deve avere forma scritta, ma che questa può essere anche elettronica, ed ha richiamato l’attenzione sulla sostanziale coincidenza fra i contenuti della notifica dei trattamenti di cui all’art. 38 del Codice privacy e quelli che devono costituire il registro dei trattamenti ex art. 30 Regolamento; ha anche dato atto che l’Autorità sta valutando di mettere a disposizione un modello di registro dei trattamenti sul proprio sito, che i singoli titolari potranno integrare nei modi opportuni.

Il Garante ha ricordato, altresì, l’opportunità di procedere, comunque, a una ricognizione dei trattamenti effettuati, catalogandoli sulla base degli elementi sopra elencati e ciò anche prima di predisporre il registro vero e proprio e a prescindere dai limiti dimensionali dell’impresa.

Obblighi del responsabile che nomini un sub-responsabile

Il responsabile del trattamento può designare un altro responsabile del trattamento previa autorizzazione scritta del titolare del trattamento.

l’autorizzazione può essere:

• specifica, cioè accordata per un solo particolare sub-responsabile, oppure
• generale, e in questo caso il responsabile del trattamento dovrà informare il titolare del trattamento di eventuali modifiche riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.

Al sub-responsabile, mediante un contratto, sono imposti gli stessi obblighi in materia di protezione dei dati contenuti nel contratto stipulato tra il titolare del trattamento e il responsabile del trattamento.

E’ importante che il responsabile si avveda che qualora il sub-responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, sarà egli stesso a doverne rispondere al titolare: il responsabile iniziale, infatti, conserva nei confronti del titolare del trattamento la piena responsabilità per il corretto adempimento del sub-responsabile.

Ruolo del responsabile in una violazione dei dati

La violazione dei dati personali è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Il responsabile del trattamento, venuto a conoscenza di una violazione, ne informa il titolare del trattamento senza ingiustificato ritardo.

Il titolare a quel punto potrà trovarsi a dover notificare la violazione all’Autorità, ai sensi dell’articolo 33 del RGPD, e, nei casi di cui all’articolo 34 RGPD, anche a comunicarla all’interessato.

A norma dell’articolo 28 RGPD il responsabile deve assistere il titolare nel garantire la conformità dei trattamenti alle norme che presiedono alla loro sicurezza, comprese quelle inerenti la violazione dei dati personali. Le linee guida in tema di violazione dei dati personali pubblicate in bozza dal Gruppo di lavoro articolo 29 (in fase di consultazione pubblica sino al 28 novembre 2017) hanno chiarito che il contratto tra titolare e responsabile può quindi prevedere anche la possibilità che il responsabile effettui notifiche e comunicazioni per conto del titolare.

Quindi nel caso in cui vi sia una pattuizione che preveda espressamente tale ipotesi nel contratto che lega titolare e responsabile, il responsabile potrà anche ricevere istruzioni in ordine alle modalità di effettuazione della notifica della violazione all’Autorità e alla comunicazione agli interessati.

Ruolo del responsabile nella valutazione di impatto

A dover effettuare la valutazione di impatto sulla protezione dei dati a norma dell’articolo 35 RGPD è il titolare, e la relativa responsabilità gli pende in capo e non può essere traslata sul responsabile.

L’unico obbligo che si configura in capo al responsabile riguarda  il fatto che quest’ultimo deve assistere il titolare nella conduzione della DPIA fornendo ogni informazione necessaria. Questa forma di assistenza dovrà essere prevista nel contratto con il titolare.

Il responsabile beneficia dello sportello unico?

Anche il responsabile stabilito in UE, in caso di trattamenti transfrontalieri, può beneficiare dello  “sportello unico” che gli consente di rapportarsi, per lo più, con una sola Autorità territoriale che viene denominata “capofila”.

Il criterio per l’individuazione dell’autorità capofila è quello dello stabilimento principale, che per il responsabile è il luogo in cui ha sede la sua amministrazione centrale nell’Unione o, se il responsabile del trattamento non ha un’amministrazione centrale nell’Unione, lo stabilimento in cui sono condotte le principali attività di trattamento.

Il responsabile che non è stabilito in UE è comunque soggetto al Regolamento?

Anche se non è stabilito in UE, il responsabile del trattamento è soggetto al Regolamento se:

• tratti, per conto del titolare, dati di interessati che si trovano nell’Unione offrendo loro beni o servizi, anche gratuiti
• monitori, per conto del titolare, il loro comportamento, nella misura in cui tale comportamento abbia luogo all’interno dell’Unione

In questi casi il responsabile deve nominare un rappresentante nell’unione che funga da interlocutore per le autorità di controllo e per gli interessati.

Che succede se il responsabile del trattamento viene meno ai suoi obblighi?

Chiunque subisca un danno materiale o immateriale causato da una violazione del RGPD ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.

Quindi il responsabile potrebbe essere tenuto a rifondere i danni causati dal trattamento effettuato in violazione della normativa, ma non solo: il responsabile può anche essere destinatario di sanzioni amministrative che possono giungere, a seconda della gravità dell’infrazione commessa sino a 10 o 20 milioni di Euro o, per le imprese,  sino al 2% o al 4% del fatturato globale annuo.

Sanzioni che, a titolo esemplificativo, potrebbero applicarsi nei seguenti casi:

• se il responsabile agisse travalicando le lecite istruzioni del titolare o contrariamente a tali istruzioni;
• se il responsabile non aiutasse il titolare a rispettare i suoi obblighi (ad esempio per una notifica di una violazione di dati o per una valutazione di impatto);
• se il responsabile non mettesse a disposizione del titolare le informazioni che gli consentirebbero di dimostrare il rispetto degli obblighi gravanti sul titolare stesso, o che gli permetterebbero di effettuare l’audit;
• se il responsabile non informasse il titolare che una sua istruzione costituisce violazione del RGPD;
• se designasse il sub-responsabile senza essere stato previamente autorizzato dal titolare;
• se si rivolgesse a un sub-responsabile che non presentasse garanzie sufficienti;
• se non designasse il DPO essendovi obbligato
• se non tenesse il registro delle attività di trattamento svolte per conto del titolare

Conclusioni

La figura di responsabile che emerge dal Regolamento è piuttosto complessa, l’intreccio di obblighi e responsabilità necessita di un solido supporto contrattuale, che ne tessa la trama e ne riordini le fila, per consentire ai principali attori del trattamento un’immediata comprensione delle condotte che devono tenere per garantire gli interessati e garantirsi l’immunità dalle sanzioni.

La guida dell’Autorità garante francese che qui si è cercato di seguire quanto più possibile (ma della quale si consiglia la lettura diretta, essendo ben più semplice e sintetica del presente scritto) ha il pregio di schematizzare e semplificare una normativa a tratti frammentata, di lettura non sempre agile, e di darne una visione d’insieme ispirata a indubbia concretezza.

In calce alla guida sono riportate delle clausole esemplificative, che possono ispirare anche la contrattazione nostrana, nei limiti in cui l’infelice, recentissimo, intervento del legislatore non ce lo precluda (ma chi scrive ritiene che la norma, mancando la condizione che la renderebbe applicabile -perché gli schemi contrattuali cui si riferisce non esistono- sia destinata, almeno in parte qua, a non produrre alcun effetto).

Quelli forniti dalla CNIL sono meri esempi, non certo schemi tipo o clausole standard vincolanti, dai quali pertanto ci si può discostare, e che possono essere personalizzati secondo necessità, ma costituiscono un ottimo punto di partenza, riassumendo in un unico documento tutti gli aspetti che si dovranno tenere in considerazione nella redazione dei contratti tra titolare e responsabile in ordine ai trattamenti, compreso il mandato per la notifica per le violazioni di dati, che non emerge ictu oculi dal disposto dell’articolo 28 del Regolamento, ma che potrebbe essere utile nella pratica, soprattutto ove il responsabile abbia una dimensione molto maggiore e una struttura più efficace e organizzata di quella del titolare.