Il Regolamento Generale sulla Protezione dei Dati (GDPR) rappresenta una pietra miliare nel delineare e garantire i diritti degli interessati. All’interno di questo quadro normativo, l’articolo 28 del GDPR è fondamentale per definire i ruoli e le responsabilità di coloro che trattano dati personali. In questo articolo, esploriamo in dettaglio il ruolo del responsabile del trattamento, il suo rapporto con il titolare, e come vengono gestiti i sub-responsabili.

Definizioni

Titolare del Trattamento: Secondo l’articolo 4.7 del GDPR, è la persona fisica o giuridica, autorità pubblica, servizio o altro organismo che determina le finalità e i mezzi del trattamento dei dati personali. Questa figura ha il controllo complessivo sul trattamento dei dati, decidendo perché e come i dati personali debbano essere trattati.

Responsabile del Trattamento: L’articolo 4.8 del GDPR definisce il **responsabile del trattamento** come la persona fisica o giuridica, autorità pubblica, servizio o altro organismo che tratta dati per conto del titolare del trattamento. Mentre il concetto di responsabile del trattamento non è nuovo, il GDPR ha rafforzato la sua responsabilità nella gestione del trattamento dei dati, introducendo nuove sfide e opportunità per garantire la conformità.

Requisiti dell’Articolo 28 del GDPR

Nomina del Responsabile: L'[articolo 28] del GDPR dettaglia i requisiti per la nomina del responsabile del trattamento. Il responsabile deve fornire garanzie sufficienti per implementare misure tecniche e organizzative adeguate, garantendo la tutela dei diritti degli interessati. Il titolare del trattamento deve nominare il responsabile attraverso un contratto scritto o un altro atto giuridico che li vincoli reciprocamente.

Nomina del Responsabile: L'[articolo 28] del GDPR dettaglia i requisiti per la nomina del responsabile del trattamento. Il responsabile deve fornire garanzie sufficienti per implementare misure tecniche e organizzative adeguate, garantendo la tutela dei diritti degli interessati. Il titolare del trattamento deve nominare il responsabile attraverso un contratto scritto o un altro atto giuridico che li vincoli reciprocamente.

Obblighi del Responsabile:

• Trattare i dati personali solo su istruzione documentata del titolare.
• Garantire che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza.
• Implementare misure di sicurezza appropriate per il trattamento dei dati.
• Assistere il titolare nell’adempimento degli obblighi legati alla sicurezza dei dati.
• Restituire o cancellare i dati personali al termine del servizio, salvo eccezioni legali.
• Fornire al titolare le informazioni necessarie per dimostrare la conformità alle normative.

Sub-Responsabili: L’articolo 28 del GDPR introduce questa figura (sub-), che sono entità a cui il responsabile del trattamento può affidare, in parte o in toto, un servizio connesso al trattamento dei dati. Questa disposizione rispecchia la realtà operativa moderna, dove spesso i responsabili del trattamento esternalizzano alcune operazioni.

Il responsabile del trattamento deve ottenere un’autorizzazione preventiva e scritta dal titolare per nominare sub-responsabili. Questo può avvenire attraverso un’autorizzazione specifica o generale. In caso di autorizzazione generale, il responsabile è obbligato a informare il titolare su eventuali modifiche nella catena di trattamento, inclusa l’aggiunta o la sostituzione di altri responsabili, a cui il titolare può opporsi.

Quando un responsabile del trattamento ricorre a sub-responsabili, le garanzie fornite dal sub-responsabile devono essere equivalenti a quelle del responsabile stesso, assicurando che la catena di responsabilità e conformità sia mantenuta lungo l’intero processo di trattamento dei dati.

Ulteriori Obblighi del Responsabile

Oltre all’articolo 28, gli articoli 32-36 del GDPR impongono ulteriori obblighi al responsabile del trattamento, tra cui:

• Sicurezza dei Dati: Implementazione di misure di sicurezza per proteggere i dati da accessi non autorizzati e violazioni.
• Data Breach: Segnalazione tempestiva di eventuali violazioni dei dati all’Autorità di controllo.
• Valutazione d’Impatto: Collaborazione con il titolare per effettuare valutazioni di impatto sulla protezione dei dati quando richiesto.
• Consultazione Preventiva: Coinvolgimento dell’Autorità di controllo nei casi in cui il trattamento possa comportare un rischio elevato per i diritti degli interessati.

Responsabilità e Sanzioni: Il responsabile del trattamento è responsabile dei danni causati da una violazione dei suoi obblighi secondo l’articolo 82 del GDPR. In caso di incidente, deve cooperare con il titolare per valutare e mitigare i rischi, implementando misure di sicurezza adeguate e mantenendo un registro dei trattamenti. Inoltre, deve nominare un responsabile della protezione dei dati (DPO) se necessario, e collaborare con le autorità di controllo. È essenziale che il contratto tra titolare e responsabile sia dettagliato e chiaro, per evitare ambiguità nella distribuzione delle responsabilità. Una definizione contrattuale ben strutturata contribuisce a prevenire dispute e garantisce che entrambi i soggetti comprendano appieno i loro ruoli nel proteggere i dati personali.

L’articolo 28 del GDPR sottolinea l’importanza di un rapporto ben definito tra titolare e responsabile del trattamento, assicurando che la protezione dei dati sia gestita con la massima attenzione e responsabilità. E’ fondamentale per mantenere la fiducia degli utenti e la conformità normativa, una comprensione chiara delle responsabilità e degli obblighi è essenziale per ogni organizzazione che gestisce dati personali.