Nomina del Responsabile del Trattamento (GDPR - Data Processor)

La nomina del responsabile del trattamento è il contratto o l'atto con cui il titolare del trattamento, cioè l'impresa, il professionista o l'ente che decide perché e come trattare dati personali, affida a un soggetto esterno il trattamento di quei dati per suo conto. È richiesta dall'art. 28 del Regolamento UE 2016/679 (GDPR) ogni volta che un fornitore tratta dati personali nell'interesse del titolare: software in cloud, gestionali, servizi di paghe, centri di elaborazione dati, agenzie di marketing, manutenzione informatica.

Titolare, responsabile, autorizzato

Il titolare decide finalità e mezzi. Il responsabile tratta i dati per conto del titolare e secondo le sue istruzioni. Le persone autorizzate sono i dipendenti e collaboratori che trattano i dati sotto l'autorità del titolare o del responsabile. Non ogni fornitore è un responsabile: chi tratta i dati per finalità proprie è un titolare autonomo. Un commercialista che tiene la contabilità di un'impresa, ad esempio, opera spesso come titolare autonomo per gli adempimenti propri della professione, mentre un consulente che elabora le buste paga dei dipendenti del cliente è di regola responsabile per quei dati. Qualificare correttamente il ruolo è il primo passo.

I contenuti obbligatori

L'art. 28 elenca ciò che l'atto deve prevedere: materia, durata, natura e finalità del trattamento, tipo di dati e categorie di interessati, obblighi e diritti del titolare. Il responsabile deve trattare i dati solo su istruzione documentata del titolare, garantire la riservatezza delle persone autorizzate, adottare misure di sicurezza adeguate (art. 32), non ricorrere ad altri responsabili senza autorizzazione, assistere il titolare nel rispondere agli interessati e nella gestione delle violazioni, cancellare o restituire i dati al termine e mettere a disposizione le informazioni necessarie per dimostrare il rispetto degli obblighi, consentendo verifiche e audit.

Sub-responsabili e trasferimenti all'estero

Molti fornitori usano a loro volta altri fornitori, come data center e servizi cloud. Il modello prevede l'autorizzazione generale o specifica ai sub-responsabili, con l'obbligo del responsabile di informare il titolare delle modifiche e di imporre ai sub-responsabili gli stessi obblighi. Se i dati vengono trasferiti fuori dallo Spazio Economico Europeo, servono le garanzie del Capo V del GDPR, come una decisione di adeguatezza o le clausole contrattuali tipo.

Violazioni dei dati

Il responsabile deve informare il titolare senza ingiustificato ritardo di qualsiasi violazione dei dati personali di cui venga a conoscenza. Il titolare, a sua volta, deve notificarla al Garante entro settantadue ore quando presenta un rischio per gli interessati. Il modello fissa un termine breve per la comunicazione del responsabile e le informazioni minime da fornire.

Sanzioni

La violazione degli obblighi dell'art. 28 può essere punita con sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Ma il rischio più concreto, per una piccola impresa, è non riuscire a dimostrare in caso di controllo o di reclamo di aver scelto fornitori affidabili e di averli vincolati per iscritto.

Domande frequenti

Il contratto con il fornitore può già contenere la nomina?

Sì, molti fornitori la includono nelle condizioni di servizio (DPA): va letta e conservata.

Serve per ogni fornitore?

Per ogni fornitore che tratta dati personali per conto del titolare.

Il responsabile deve tenere un registro?

Sì, il responsabile tiene un registro delle categorie di attività svolte per conto dei titolari, salvo le esenzioni previste.

Collegamenti utili

Se oltre ai dati personali condividi informazioni aziendali riservate, aggiungi un NDA. Per regolare l'incarico del professionista c'è la lettera di incarico, per i servizi esternalizzati il contratto di appalto di servizi.

Scheda a cura del Dott. Giorgio Taglione, Dottore Commercialista iscritto all'Ordine dei Dottori Commercialisti e degli Esperti Contabili di Cassino (n. 658, sez. A). Aggiornata a ottobre 2026. Il modello è uno schema di partenza da adattare al caso concreto: non sostituisce una consulenza sulla situazione specifica.