Si sente spesso nominare ilData Processing Agreement(DPA): ma quando è necessario? E perché?
Accade di frequente che l’esecuzione di un contratto comporti l’accesso, anche continuativo, a informazioni riferibili a clienti, dipendenti o utenti. Si pensi ai servizi cloud, alle piattaforme SaaS, alla gestione delle infrastrutture IT alle attività di marketing,siti webetc.
In simili rapporti, la disciplina della protezione dei dati personali dovrebbe essere integrata nella regolamentazione complessiva dei rapporti tra le parti. È in questo contesto che assume particolare rilievo il Data Processing Agreement, comunemente indicato con l’acronimo DPA.
Con tale espressione si identifica, in particolare, l’accordo attraverso il quale il titolare del trattamento disciplina il trattamento di dati personali effettuato, per proprio conto, da un soggetto esterno qualificabile come responsabile del trattamento.
Il Data Processing Agreement è, in altre parole, l’atto con cui si definiscono le condizioni, i limiti e le garanzie che devono accompagnare l’affidamento a terzi di attività comportanti il trattamento di dati personali.
L’obiettivo del presente articolo è chiarire quando un Data Processing Agreement sia giuridicamente necessario, in quali situazioni sia opportuno adottare una regolamentazione contrattuale specifica, e quali siano i contenuti essenziali che una DPA dovrebbe possedere in conformità con il GDPR e con i principi diaccountability.
Data Processing Agreement e ruoli privacy
Prima di stabilire se sia necessario predisporre unData Processing Agreement, occorre individuare correttamente il ruolo assunto dalle parti nel trattamento dei dati personali. La semplice circostanza che due soggetti si scambino o condividano dati, infatti, non determina automaticamente l’obbligo di stipulare una DPA.
Il GDPR distingue anzitutto tra titolare del trattamento e responsabile del trattamento. Il titolare è il soggetto che determina le finalità e i mezzi del trattamento, ossia decide, in sostanza, perché e secondo quali modalità essenziali i dati personali devono essere trattati. Ilresponsabile, invece, tratta i dati personali per conto del titolare, nell’ambito delle istruzioni ricevute e per consentire l’esecuzione del servizio affidatogli.
È proprio quest’ultima relazione a costituire il presupposto tipico delData Processing Agreement. Non rileva, a tal fine, il nome attribuito dalle parti al contratto o la qualificazione formalmente utilizzata: secondo l’impostazione del GDPR e dell’European Data Protection Board, la posizione di titolare o responsabile deve essere individuata sulla base delle attività concretamente svolte e dell’effettivo potere decisionale esercitato sul trattamento.
Occorre inoltre distinguere tale ipotesi dai casi in cui due soggetti trattino i medesimi dati perseguendo finalità proprie e autonome. In tale situazione, ciascuno potrà operare come titolare autonomo del trattamento e l’eventuale comunicazione dei dati dovrà essere valutata sotto il profilo della relativa base giuridica, senza che trovi necessariamente applicazionel’art. 28 GDPR.
Ancora diversa è l’ipotesi della contitolarità, che ricorre quando due o più soggetti determinano congiuntamente finalità e mezzi del trattamento. In questo caso trova applicazione l’art. 26 GDPR e le parti devono disciplinare mediante un accordo le rispettive responsabilità, con particolare riferimento all’esercizio dei diritti degli interessati e agli obblighi informativi.
Solo dopo aver accertato che un soggetto tratta effettivamente dati personali per conto dell’altro è possibile affermare che ricorrono i presupposti per la stipulazione di unData Processing Agreementai sensi dell’art. 28 GDPR.
Quando è obbligatorio il Data Processing Agreement?
L’art. 28 GDPR disciplina il trattamento di dati personali effettuato da unresponsabile per conto del titolare. Quando ricorre tale rapporto, la predisposizione di unData Processing Agreementrisponde a un preciso obbligo del Regolamento.
In particolare, l’art. 28 stabilisce che il trattamento effettuato dal responsabile debba essere disciplinato da un contratto o da altro atto giuridico vincolante nei confronti del titolare. Tale accordo deve individuare, tra l’altro, l’oggetto e la durata del trattamento, la sua natura e le sue finalità, le tipologie di dati personali trattati, le categorie di interessati, nonché gli obblighi e i diritti del titolare. Il GDPR richiede inoltre che l’accordo sia stipulato in forma scritta, anche elettronica.
Non è necessario che il documento sia formalmente denominatoData Processing Agreementné che costituisca necessariamente un contratto autonomo. Gli obblighi previsti dall’art. 28 possono essere inseriti, ad esempio, all’interno del contratto principale oppure in un apposito allegato. Ciò che rileva è che il rapporto tra titolare e responsabile sia regolato mediante un atto giuridicamente vincolante e contenente gli elementi prescritti dal GDPR.
L’obbligo sorge, dunque, ogniqualvolta un’impresa affidi a un soggetto esterno un’attività che comporti il trattamento di dati personali per proprio conto. È quanto può accadere, ad esempio, quando un provider gestisce infrastrutture informatiche o servizi cloud contenenti dati personali, quando un fornitore svolge attività di assistenza avendo accesso alle banche dati del cliente oppure quando un’agenzia gestisce campagne di marketing utilizzando i dati messi a disposizione dall’impresa committente.
Casi in cui è opportuno redigere un Data Processing Agreement (come atto separato e specifico)
Nei rapporti caratterizzati da un accesso continuativo o sistematico ai dati personali, può risultare insufficiente limitarsi a poche clausole generali inserite nel contratto commerciale. È preferibile, in questi casi, predisporre una DPA autonoma o un allegato contrattuale specificamente dedicato al trattamento dei dati, nel quale siano definite con precisione le attività consentite al responsabile, le misure di sicurezza applicabili, le modalità di gestione degli incidenti e le condizioni per l’eventuale coinvolgimento di ulteriori fornitori.
Una regolamentazione particolarmente accurata appare opportuna, ad esempio, quando il servizio comporti l’accesso a quantità rilevanti di dati, l’utilizzo di infrastrutture cloud, l’integrazione tra differenti sistemi informatici oppure il ricorso a una articolata catena di sub-responsabili. Analoga attenzione dovrebbe essere riservata ai trattamenti aventi ad oggetto categorie particolari di dati o, più in generale, informazioni la cui perdita, alterazione o divulgazione potrebbe determinare conseguenze significative per gli interessati.
In questa prospettiva, ilData Processing Agreementassume anche una funzione di prevenzione e gestione del rischio contrattuale. Una puntuale distribuzione degli obblighi consente infatti alle parti di conoscere preventivamente le rispettive responsabilità e di stabilire procedure condivise per affrontare eventuali criticità durante l’esecuzione del rapporto.
Il contenuto del Data Processing Agreement: oggetto, finalità e istruzioni del titolare
IlData Processing Agreementdeve descrivere in maniera sufficientemente precisa il trattamento affidato al responsabile. Il Regolamento e laprassi del Garanterichiedono, infatti, che l’accordo individui almeno l’oggetto e la durata del trattamento, la natura e le finalità delle operazioni svolte, le tipologie di dati personali interessati e le categorie di soggetti cui tali dati si riferiscono, oltre ai diritti e agli obblighi del titolare.
Un contratto relativo, ad esempio, alla gestione di una piattaforma informatica dovrebbe chiarire se il fornitore possa limitarsi alla conservazione dei dati oppure possa anche consultarli, organizzarli, modificarli, estrarli o utilizzarli nell’ambito di attività di assistenza tecnica.
Particolare importanza assume, inoltre, il principio secondo cui il responsabile può trattare i dati personali soltanto sulla base delle istruzioni documentate del titolare, salvo che il trattamento sia imposto da una disposizione del diritto dell’Unione europea o nazionale applicabile al responsabile stesso. Le istruzioni rappresentano quindi il perimetro giuridico entro il quale il fornitore può operare.
IlData Processing Agreementdovrebbe pertanto definire con chiarezza quali trattamenti siano consentiti e per quali finalità, evitando che il responsabile possa utilizzare autonomamente i dati ricevuti per scopi ulteriori rispetto a quelli concordati.
Sicurezza, sub-responsabili e gestione degli incidenti
Accanto alla descrizione del trattamento e alle istruzioni impartite dal titolare, ilData Processing Agreementdeve disciplinare una serie di obblighi ulteriori destinati a garantire che i dati personali siano trattati in condizioni di adeguata sicurezza e sotto il controllo del titolare.
Un primo profilo riguarda le misure tecniche e organizzative adottate dal responsabile. La DPA dovrebbe richiamare gli obblighi previsti dall’art. 32 GDPR e individuare, con un livello di dettaglio proporzionato al rischio, le misure poste a tutela della riservatezza, integrità e disponibilità dei dati.
Analoga attenzione deve essere riservata al ricorso a eventuali sub-responsabili del trattamento. Il responsabile non può affidare liberamente a terzi parte delle attività ricevute dal titolare: l’art. 28 GDPR richiede infatti una preventiva autorizzazione, specifica o generale, e impone che il sub-responsabile sia assoggettato a obblighi sostanzialmente equivalenti a quelli previsti nel rapporto principale. Il Data Processing Agreement dovrebbe quindi chiarire le modalità attraverso cui il titolare viene informato dell’ingresso di nuovi sub-responsabili e può, ove previsto, formulare eventuali obiezioni.
Particolarmente rilevante è anche la disciplina degli incidenti di sicurezza e deidata breach. Il responsabile deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali e deve metterlo nelle condizioni di adempiere agli eventuali obblighi di notifica all’Autorità di controllo e di comunicazione agli interessati.
IlData Processing Agreementdovrebbe infine regolare l’assistenza prestata dal responsabile nell’esercizio dei diritti degli interessati, nelle valutazioni d’impatto, negli audit e nelle attività necessarie a dimostrare la conformità al GDPR.
Trasferimenti di dati fuori dallo Spazio Economico Europeo
Un ulteriore profilo che assume particolare rilievo nella predisposizione di unData Processing Agreementriguarda l’eventuale trasferimento di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo. La questione si presenta con frequenza nei rapporti con provider cloud, piattaforme SaaS o agenzie di marketing che utilizzano infrastrutture o subfornitori localizzati in Paesi terzi.
In questi casi, è necessario distinguere il piano relativo alla nomina del responsabile da quello concernente la liceità del trasferimento internazionale. La stipulazione di una DPA conforme all’art. 28 GDPR, infatti, non costituisce di per sé una base sufficiente per trasferire dati personali verso un Paese terzo. Quando il trattamento comporta un trasferimento internazionale, devono essere rispettate anche le condizioni previste dal Capo V del GDPR e, in particolare, dagli artt. 44 e seguenti.
IlData Processing Agreementdovrebbe pertanto chiarire se il responsabile o i suoi eventuali sub-responsabili possano trattare dati al di fuori dello Spazio Economico Europeo e subordinare tali operazioni al rispetto delle condizioni previste dalla normativa applicabile. In assenza di una decisione di adeguatezza della Commissione europea, il trasferimento può richiedere l’adozione di garanzie appropriate, tra le quali assumono particolare rilevanza le Standard Contractual Clauses adottate dalla Commissione europea ai sensi dell’art. 46 GDPR.
Si tratta di strumenti distinti, destinati ad assolvere funzioni differenti: le prime riguardano la disciplina del rapporto titolare-responsabile, mentre le seconde forniscono, ricorrendone i presupposti, una delle garanzie utilizzabili per legittimare il trasferimento internazionale dei dati.
Considerazioni finali.La DPA nella gestione concreta dei rapporti con fornitori e partner commerciali
In definitiva, la verifica circa la necessità della DPA dovrebbe essere effettuata già nella fase di selezione e contrattualizzazione del provider. È infatti in tale momento che il titolare può accertare quali dati personali saranno messi a disposizione del fornitore, per quali finalità, attraverso quali infrastrutture e con l’eventuale coinvolgimento di ulteriori soggetti.
IlData Processing Agreementdeve risultare coerente con il contratto principale quanto alla durata del trattamento, ai livelli di servizio, alla modalità di accesso ai sistemi, agli obblighi di riservatezza, etc.
Particolare attenzione dovrebbe essere dedicata ai rapporti caratterizzati da una pluralità di fornitori o sub-responsabili. In questi casi, il titolare deve avere una visione sufficientemente chiara della catena di trattamento e delle modalità attraverso cui i dati vengono trasferiti, conservati o resi accessibili.
Assistenza legale in materia di data protection & digital privacy
Il nostro Studio Legale assisteimprese, start up e professionistinella gestione degli aspetti giuridici connessi alla protezione dei dati personali e, più in generale, alla compliance aziendale. L’attività comprende, tra l’altro, la qualificazione dei ruoli privacy nei rapporti contrattuali, la predisposizione e revisione diData Processing Agreement, la disciplina dei rapporti con fornitori e partner commerciali e l’adeguamento della contrattualistica alle prescrizioni del GDPR.
Fac simile di Data Processing Agreement ai sensi dell’art. 28 GDPR
Il seguente modello costituisce un fac simile diData Processing Agreemente deve essere inteso come semplice guida orientativa, senza alcuna pretesa di correttezza o completezza.
DATA PROCESSING AGREEMENT
Accordo sul trattamento dei dati personali ai sensi dell’art. 28 del Regolamento (UE) 2016/679
Tra:
[DENOMINAZIONE DEL TITOLARE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Titolare”
e
[DENOMINAZIONE DEL RESPONSABILE], con sede in [●], C.F./P. IVA [●], in persona del legale rappresentante pro tempore, di seguito denominato anche il“Responsabile”
congiuntamente denominate le“Parti”.
Art. 1 – Premesse e oggetto dell’Accordo
Le premesse costituiscono parte integrante e sostanziale del presente accordo.
Tra le Parti è in essere un rapporto contrattuale avente ad oggetto [descrivere sinteticamente il servizio], la cui esecuzione comporta il trattamento, da parte del Responsabile, di dati personali per conto del Titolare.
Con il presenteData Processing Agreement, le Parti intendono disciplinare tale trattamento in conformità all’art. 28 del Regolamento (UE) 2016/679 (“GDPR”) e alla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile si impegna a trattare i dati personali esclusivamente nei limiti necessari all’esecuzione dei servizi affidati e nel rispetto delle istruzioni documentate impartite dal Titolare.
Art. 2 – Durata del trattamento
Il presente Data Processing Agreement ha efficacia per tutta la durata del rapporto contrattuale intercorrente tra le Parti e, in ogni caso, sino a quando il Responsabile continuerà a trattare dati personali per conto del Titolare.
Alla cessazione del rapporto trovano applicazione le disposizioni previste dal successivo art. 13 in materia di restituzione e cancellazione dei dati personali.
Art. 3 – Natura e finalità del trattamento
Il Responsabile è autorizzato a trattare i dati personali esclusivamente per le finalità connesse all’esecuzione dei servizi oggetto del contratto principale e secondo quanto specificato nel presente Data Processing Agreement.
Il trattamento potrà comprendere, nei limiti strettamente necessari allo svolgimento dei servizi, operazioni quali [raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, comunicazione, cancellazione o altre operazioni effettivamente pertinenti].
Le categorie di interessati coinvolte comprendono [clienti, utenti, dipendenti, collaboratori, fornitori o altre categorie].
Le categorie di dati personali oggetto del trattamento comprendono [dati identificativi, dati di contatto, dati contrattuali, dati economici, dati relativi all’utilizzo dei servizi o altre categorie]. Qualora siano trattate categorie particolari di dati ai sensi dell’art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR, tale circostanza dovrà essere espressamente indicata e specificamente disciplinata.
Art. 4 – Istruzioni del Titolare
Il Responsabile tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, incluse quelle relative agli eventuali trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali, salvo che il trattamento sia imposto dal diritto dell’Unione europea o dalla normativa nazionale applicabile.
Qualora il Responsabile ritenga che un’istruzione impartita dal Titolare violi il GDPR o altra disposizione applicabile in materia di protezione dei dati personali, ne informa tempestivamente il Titolare.
Il Responsabile non potrà utilizzare i dati personali per finalità proprie, incompatibili o comunque ulteriori rispetto a quelle derivanti dalle istruzioni ricevute.
Art. 5 – Riservatezza e persone autorizzate al trattamento
Il Responsabile garantisce che le persone autorizzate a trattare i dati personali siano vincolate da adeguati obblighi di riservatezza oppure siano soggette a un pertinente obbligo legale di segretezza.
Il Responsabile assicura inoltre che l’accesso ai dati sia consentito esclusivamente ai soggetti che ne abbiano effettiva necessità in relazione alle mansioni svolte e che tali soggetti ricevano adeguate istruzioni in materia di trattamento e protezione dei dati personali.
Art. 6 – Misure tecniche e organizzative di sicurezza
Il Responsabile adotta e mantiene misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.
Le misure adottate dovranno essere idonee a garantire un livello di sicurezza proporzionato al rischio e dovranno, ove pertinente, riguardare la tutela della riservatezza, dell’integrità, della disponibilità e della resilienza dei sistemi e dei servizi di trattamento.
Le specifiche misure tecniche e organizzative applicabili al rapporto potranno essere descritte in un apposito allegato al presente Accordo.
Art. 7 – Ricorso a sub-responsabili
Il Responsabile non può ricorrere ad altro responsabile del trattamento senza preventiva autorizzazione scritta, specifica o generale, del Titolare.
In caso di autorizzazione generale, il Responsabile informa preventivamente il Titolare di qualsiasi modifica prevista riguardante l’aggiunta o la sostituzione di sub-responsabili, consentendogli di formulare eventuali obiezioni secondo le modalità concordate tra le Parti.
Il Responsabile assicura che ogni sub-responsabile sia vincolato, mediante contratto o altro atto giuridico, a obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli previsti dal presenteData Processing Agreement.
Art. 8 – Assistenza nell’esercizio dei diritti degli interessati
Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile, nell’adempimento degli obblighi relativi alle richieste di esercizio dei diritti riconosciuti agli interessati dagli artt. 12 e seguenti GDPR.
Qualora una richiesta proveniente da un interessato sia ricevuta direttamente dal Responsabile e riguardi dati trattati per conto del Titolare, il Responsabile la trasmette tempestivamente al Titolare e non vi dà autonomamente seguito, salvo diversa istruzione o obbligo derivante dalla normativa applicabile.
Art. 9 – Violazioni dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali relativa ai trattamenti oggetto del presente Accordo.
La comunicazione dovrà contenere, per quanto disponibile, tutte le informazioni utili a consentire al Titolare di valutare la violazione e adempiere agli obblighi previsti dagli artt. 33 e 34 GDPR.
Il Responsabile collabora con il Titolare nell’attività di analisi, contenimento, mitigazione e gestione dell’incidente, adottando senza ritardo le misure ragionevolmente necessarie per limitarne le conseguenze.
Art. 10 – Assistenza al Titolare e valutazione d’impatto
Tenuto conto della natura del trattamento e delle informazioni a propria disposizione, il Responsabile presta al Titolare l’assistenza necessaria per garantire il rispetto degli obblighi previsti dagli artt. 32-36 GDPR.
In particolare, ove necessario, il Responsabile fornisce le informazioni ragionevolmente richieste dal Titolare ai fini della predisposizione o dell’aggiornamento di una valutazione d’impatto sulla protezione dei dati e collabora nell’eventuale procedura di consultazione preventiva dell’Autorità di controllo.
Art. 11 – Restituzione e cancellazione dei dati
Alla cessazione della prestazione dei servizi relativi al trattamento, il Responsabile, secondo le istruzioni del Titolare, cancella o restituisce tutti i dati personali trattati per conto di quest’ultimo e provvede alla cancellazione delle eventuali copie esistenti, salvo che il diritto dell’Unione europea o nazionale imponga la conservazione dei dati.
Qualora sussista un obbligo legale di conservazione, il Responsabile assicura che i dati siano mantenuti esclusivamente per il periodo e per le finalità previste dalla normativa applicabile e che non siano sottoposti a ulteriori operazioni incompatibili con tale obbligo.
Art. 12 – Responsabilità e conformità normativa
Ciascuna Parte è tenuta al rispetto degli obblighi direttamente posti a proprio carico dal GDPR e dalla normativa applicabile in materia di protezione dei dati personali.
Il Responsabile informa tempestivamente il Titolare di qualsiasi circostanza che possa incidere in maniera significativa sulla propria capacità di adempiere agli obblighi derivanti dal presente Data Processing Agreement.
Resta ferma l’applicazione delle disposizioni del GDPR in materia di responsabilità e diritto al risarcimento, nonché delle eventuali ulteriori previsioni sulla responsabilità contenute nel contratto principale, purché compatibili con la normativa inderogabile applicabile.
Art. 13 – Rapporti con il contratto principale e disposizioni finali
Il presenteData Processing Agreementcostituisce parte integrante del contratto intercorrente tra le Parti avente ad oggetto [●].
In caso di contrasto tra le disposizioni del presente Accordo relative alla protezione dei dati personali e quelle contenute nel contratto principale, prevalgono le disposizioni del presente Accordo per quanto concerne gli aspetti specificamente relativi al trattamento dei dati personali, salvo che sia espressamente previsto diversamente e purché la diversa disciplina sia compatibile con il GDPR.
Qualsiasi modifica del presente Data Processing Agreement dovrà risultare da atto scritto, anche in formato elettronico.
Per quanto non espressamente previsto trovano applicazione il Regolamento (UE) 2016/679, la normativa nazionale applicabile e gli altri atti normativi pertinenti in materia di protezione dei dati personali.
Ai sensi dell’art. 70-quater della Legge 633/1941, ai fini della tutela del diritto d’autore, si dichiara che il presente contenuto è riservato, e ne è vietata la riproduzione o l’estrazione di testo, anche mediante sistemi di intelligenza artificiale.