Guida completa alla figura del Titolare del Trattamento dei Dati Personali, compiti, responsabili e differenze operativo con il Responsabile del Trattamento.
Quando si parla di GDPR, il confine tra chi assume le decisioni strategiche e chi si limita a eseguire compiti operativi è sottile, ma fondamentale.
Attribuirsi un ruolo errato, o ignorare la qualifica di Titolare del Trattamento, significa esporsi a gravi vulnerabilità legali e operative.
In questa guida approfondiremo la figura del titolare del trattamento dei dati personali, dalle sue funzioni alle differenze chiave con il Responsabile del Trattamento.
L'articolo 4 del GDPR definisce il titolare del trattamento dati personali come la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali.
Le principali caratteristiche di questa figura sono:
La Corte di Giustizia europea ha chiarito che la qualifica di titolare va valutata sulla base della situazione reale. Nella sentenza Fashion ID (C-40/17, 29 luglio 2019) ha stabilito che il gestore di un sito web che vi inserisce il social plugin di Facebook è contitolare del trattamento con Facebook, limitatamente alle operazioni di raccolta e trasmissione dei dati, di cui determina congiuntamente finalità e mezzi.
Nel settore pubblico e privato, la figura del titolare assume diverse forme.
Il GDPR riconosce anche la contitolarità del trattamento - Articolo 26 GDPR. Più titolari possono decidere congiuntamente il trattamento di uno stesso insieme di dati per perseguire una finalità comune.
La normativa impone ai contitolari di definire, con un atto giuridicamente valido, il rispettivo ambito di responsabilità e i compiti, in particolare per l’esercizio dei diritti degli interessati e per le informative.
Il contenuto dell’accordo è messo a disposizione degli interessati che possono esercitare i propri diritti nei confronti di ciascun contitolare.
La differenza con il Responsabile del Trattamento si fonda sul livello di autonomia decisionale:
A differenza del Titolare, il Responsabile è legato a un vincolo contrattuale e deve attenersi alle istruzioni ricevute:
Per garantire che il Responsabile operi nell'alveo delle direttive ricevute, il GDPR impone di formalizzare questo rapporto attraverso un contratto scritto, disciplinato dall’articolo 28 del GDPR o un altro atto giuridico vincolante, il cosiddetto Data Processing Agreement.
Questo accordo deve definire con estrema precisione i confini dell'incarico e specificare obbligatoriamente:
Le istruzioni del titolare vanno documentate con precisione. Un contratto incompleto o assente espone entrambe le parti a responsabilità dirette.
La gestione della protezione dati non si esaurisce nella definizione dei ruoli aziendali e nella firma dei contratti: il GDPR richiede che le garanzie teoriche si traducano in misure di protezione concrete.
L'Articolo 32 del GDPR, la norma cardine, disciplina la sicurezza del trattamento e impone al Titolare un principio fondamentale, l'approccio basato sul rischio - Risk-Based Approach.
Secondo questo principio il Titolare ha il dovere di valutare costantemente il contesto in cui opera, e calibrare le difese necessarie in base alla reale pericolosità dei trattamenti effettuati.
Il Titolare deve attuare misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio.
La norma indica espressamente le seguenti misure.
Comprendere chi è e cosa fa il Titolare del Trattamento non è un semplice esercizio di stile normativo, ma il pilastro su cui poggia l'intera sicurezza della tua organizzazione.
Ignorare i confini della propria responsabilità, o gestire in modo approssimativo i contratti con i fornitori esterni, espone la tua attività a sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo e a gravi danni di reputazione.
Verifica subito se la tua attività è soggetta agli obblighi privacy, quali sono i provvedimenti da adottare e qual è il Piano Privacy giusto per te.
Ti garantiamo la nostra assistenza specialistica per tutti gli aspetti relativi al nostro servizio e agli adempimenti Privacy.
Uno dei nostri esperti è a tua disposizione e ti risponderà gratuitamente.