Art. 4 GDPR n.8 – Definizioni
Responsabile del trattamento: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del Titolare del trattamento (soggetti esterni che trattano dati, ovvero hanno accesso “indiscriminato” ad una o più banche dati del Titolare).
Il Responsabile del trattamento è quindi il soggetto a cui si rivolge il Titolare per trattare dati per proprio conto.
La figura del Responsabile è trattata all’art. 28 del GDPR, tale articolo stabilisce che:
- il Titolare deve ricorrere “unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”.
- Il responsabile del trattamento non ricorre a un altro responsabile (sub responsabile) senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento.
- I rapporti tra Titolare e Responsabile debbono essere “disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri” accordo che deve essere stipulato in forma scritta anche in formato elettronico.
- Quando un Responsabile ricorre ad altro Responsabile “per l’esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento”.
Come abbiamo visto la scelta di un responsabile da parte del titolare deve essere ponderata, il titolare deve accertare che il responsabile operi nel rispetto di quanto previsto dall’art. 28 GDPR sia al momento dell’inizio del rapporto sia durante in rapporto, annualmente il titolare deve verificare attraverso una attività di audit che le garanzie sussistano tempo per tempo.
Per approfondimenti:
Sull’attività di Audit Federprivacy ha pubblicato recentemente un interessante articolo a firma dell’Ing. Gianluca Lombardi.
Sys-Dat mette a disposizione dei propri clienti un servizio denominato “Servizio gestione dei Responsabili Esterni in outsourcing” che consiste nelle seguenti attività:
Designazione a responsabile del trattamento
1) Predisposizione/aggiornamento e invio della nomina al responsabile del trattamento;
2) Verifica e sollecito della sottoscrizione della designazione a responsabile del trattamento;
3) Analisi delle eventuali criticità evidenziate e/o modifiche richieste dal responsabile del trattamento nella designazione;
4) Coordinamento con il titolare per la firma finale della designazione a responsabile del trattamento;
5) Archiviazione ed invio al Titolare delle designazioni a responsabile del trattamento firmate;
6) Relazione dell’esito, con indicazione dei riscontri ottenuti dai responsabili del trattamento.
Audit iniziale:
1) Predisposizione ed invio dei questionari per la verifica dei requisiti del responsabile del trattamento;
1) Sollecito delle risposte;
3) Verifica dell’esito delle risposte con valutazione del responsabile del trattamento (conforme, non conforme);
4) Relazione dell’esito degli audit, con indicazione dei riscontri ottenuti dai responsabili del trattamento.
Revisione annuale:
1) Revisione annuale dei responsabili del trattamento con integrazione eventuali modifiche.
Per ulteriori approfondimenti potete contattarci.
Condividi