Inquadrare un argomento dal punto di vista del diritto, nella maggior parte dei casi, significa partire dal porsi due domande: “Chi fa che cosa?” e “Cosa deve fare?”. Rispondere a questi due quesiti, seppur semplici all’apparenza, è sicuramente utile a fare il punto iniziale sul quadro normativo di una determinata materia.
Ed è così che procediamo in questa guida: il tema è sempre la tutela dei dati personali e gli obblighi per le aziende derivanti dall’applicazione del GDPR ma, in questo caso, parliamo di una qualifica soggettiva, definita dallo stesso Regolamento europeo, che finora non avevamo ancora trattato a dovere: il contitolare del trattamento.
Chi sono i contitolari del trattamento? Quando è necessario redigere un accordo di contitolarità e cosa deve contenere? In questa guida risponderemo a questi dubbi, mettendone in evidenza le caratteristiche principali, le differenze rispetto al ruolo del responsabile esterno e spiegando come devono muoversi le aziende che si trovano in questa situazione. Andiamo!
Indice
Titolare del trattamento e Contitolari del trattamento: il significato
Non si può parlare del significato di contitolare se prima non facciamo un recap della disciplina sulla figura del titolare del trattamento dei dati personali.
Nel GDPR, il “Titolare del trattamento” è identificato come il soggetto che, secondo l’art. 4 comma 7, determina autonomamente le finalità e i mezzi del trattamento dei dati personali.
Oltre a ciò, è il soggetto responsabile dell’implementazione concreta del principio di “accountability”, stabilito all’art. 24 del GDPR, che impone l’obbligo di documentare e dimostrare la conformità delle proprie azioni in materia di trattamento dei dati.
Questo principio richiede che il titolare non solo determini finalità e mezzi, ma che assuma anche la piena responsabilità dei rischi e delle misure adottate per proteggere i dati personali, inclusa l’adozione di adeguate misure tecniche e organizzative.
Approfondisci qui: Consulenza GDPR per siti web di professionisti e imprese
Nel caso in cui più soggetti condividano tali decisioni, si configura la contitolarità del trattamento, disciplinata dall’art. 26 del GDPR.
Qui è stabilito che:
Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni”.
La contitolarità implica, quindi, la condivisione delle responsabilità, una cooperazione continua e una gestione condivisa delle decisioni relative ai dati, per garantire un’azione coordinata nel rispetto dei diritti degli interessati e della normativa.
Esempi pratici di Contitolari del trattamento
Ma nella pratica quindi, quando si può parlare di rapporto di contitolarità? Gli esempi possono essere diversi, molti sono affrontati nelle Linee Guida dell’EDPB su questo argomento.
Un caso in particolare lo abbiamo già trattato nella guida dedicata alla privacy policy (informativa privacy) nell’ambito dei marketplace online: in questi grandi mercati digitali, i dati degli utenti sono trattati tanto dal titolare del marketplace quanto dai venditori ospitati sulla piattaforma, ed è semplice che il trattamento avvenga in maniera congiunta, determinandone la contitolarità.
Un altro esempio pratico può essere quello di due aziende che decidono di cooperare e lanciare un prodotto comune. Bene, l’attività di marketing e profilazione, che implica un trattamento particolare di dati, ricadrebbe certamente nel solco della contitolarità.
Approfondisci qui: Consenso privacy per marketing e profilazione
Differenze tra Contitolare del Trattamento e Responsabile del trattamento
Attenzione, la figura del contitolare può creare confusione con un altro soggetto previsto del GDPR: il “Responsabile del trattamento”.
In realtà ci troviamo di fronte a situazioni molto differenti. Il Responsabile, definito nell’art. 4 comma 8 e regolato dall’art. 28 del GDPR, è un soggetto esterno all’azienda che gestisce i dati secondo le istruzioni specifiche del titolare o dei contitolari, senza intervenire nelle finalità e nei mezzi del trattamento.
Chi tratta dati personali per conto del titolare del trattamento non partecipa alle decisioni fondamentali e opera sotto una direzione limitata e vincolante, rispettando le istruzioni stabilite per eseguire compiti specifici, spesso relativi alla gestione tecnica e operativa dei dati.
Tornando a uno degli esempi precedenti, il Responsabile può essere il provider che fornisce il servizio di hosting per il marketplace.
Approfondisci qui: Atto di nomina a responsabile del trattamento
Accordo di contitolarità: cosa deve contenere
Come abbiamo rilevato dall’art. 26, il GDPR stabilisce che nel caso di contitolari del trattamento debba essere redatto un “accordo interno” che definisca ruoli e responsabilità di ciascun soggetto, garantendo una gestione equa e conforme dei dati personali: questo è quello che viene definito “Accordo di contitolarità” e deve coprire tutti i principi generali e gli aspetti operativi del trattamento.
È necessario che l’accordo disciplini la validità delle basi giuridiche adottate, le misure di sicurezza tecniche e organizzative applicate ai dati trattati, nonché le procedure per la gestione delle violazioni dei dati personali (data breach), in conformità con l’art. 33 del GDPR.
Inoltre, l’accordo deve includere direttive sulle valutazioni d’impatto in base all’art. 35 e sulle modalità di nomina di eventuali responsabili esterni, come il già citato Responsabile del trattamento o il DPO.
Approfondisci qui: DPO e-commerce: quando è necessario nominare un data protection officer?
L’accordo, pertanto, deve essere strutturato come un documento legalmente vincolante, garantendo un approccio uniforme e condiviso che chiarisca le responsabilità reciproche.
In particolare, il Regolamento, pone l’attenzione su due passaggi:
- la gestione delle richieste di esercizio dei diritti (ad esempio accesso, rettifica e cancellazione);
- la trasparenza delle informazioni da fornire agli interessati dal trattamento (leggasi informativa privacy);
Come cambia l’informativa privacy in presenza di più Contitolari
Le indicazioni di base per la privacy policy restano quelle esplicitate nell’art. 13 del GDPR e alle quali abbiamo dedicato diverse guide specifiche, difatti però, in presenza di un accordo di contitolarità e nel rispetto pieno del principio di trasparenza, è bene seguire alcune accortezze nella redazione del documento.
I contitolari devono essere indicati entrambi, in maniera esplicita, con l’obiettivo di informare chiaramente gli utenti sulla gestione dei loro dati e devono essere esplicite anche le informazioni relative ai rispettivi ruoli e responsabilità di ognuno dei soggetti coinvolti.
Riassumendo, i punti principali da indicare nell’informativa privacy sono:
- l’identità e i contatti dei contitolari, dei responsabili del trattamento e del DPO;
- la tipologia di dati trattati;
- le finalità del trattamento;
- la base giuridica;
- indicazioni su eventuali trasferimenti a soggetti terzi;
- il periodo di conservazione dei dati personali;
- le modalità di esercizio dei diritti degli interessati;
- l’eventuale esistenza di un processo decisionale automatizzato
Approfondisci qui: Privacy Policy sito web: il modello a norma di GDPR e Informativa Privacy per e-commerce
Il rapporto con gli interessati dal trattamento
Altro aspetto da attenzionare è la gestione delle richieste degli interessati. Come accennato, il GDPR richiede che i contitolari stabiliscano un punto di contatto unico, facilmente individuabile, a cui gli interessati possano rivolgersi per esercitare i loro diritti in modo semplice e trasparente.
Secondo l’art. 12 del GDPR, infatti, la risposta alle richieste deve avvenire entro un mese dalla loro ricezione, un requisito che impone una stretta collaborazione tra i contitolari per garantire il rispetto di questa scadenza.
Per questo motivo, nell’accordo di contitolarità, è essenziale stabilire chi è responsabile della gestione dei diritti degli interessati, come accesso, rettifica, cancellazione o limitazione del trattamento.
Inoltre, anche se i contitolari possono definire un punto di contatto centralizzato, ogni interessato ha il diritto di rivolgersi a ciascun contitolare. Questo aspetto obbliga i contitolari a mantenere una comunicazione interna costante per evitare duplicazioni, ritardi o discrepanze nella risposta alle richieste.
Cosa succede in caso di violazioni e come può aiutarti E-commerce Legale
In caso di violazioni dei dati, la responsabilità condivisa tra contitolari deve assicurare anche una risposta rapida e coordinata all’evento dannoso e il rispetto del termine di 72 ore per la notifica dell’incidente all’Autorità Garante, come previsto dall’art. 33 del GDPR.
L’accordo di contitolarità, in questo contesto, deve includere specifiche procedure d’emergenza e assegnare compiti chiari a ciascun contitolare, in modo da garantire una risposta adeguata che minimizzi i danni e informi tempestivamente sia le autorità che gli interessati coinvolti.
Inoltre, secondo l’art. 82 del GDPR, i contitolari sono soggetti a una responsabilità solidale, il che significa che entrambi possono essere chiamati a risarcire eventuali danni subiti dagli interessati a causa della violazione dei dati.
In questi casi, il contitolare che risarcisce l’interessato ha diritto di rivalersi sugli altri contitolari per la quota di danno che a loro compete, rendendo cruciale una suddivisione chiara delle responsabilità e una pianificazione accurata della scelta delle procedure interne.
Alla luce di quanto visto finora è evidente che nella gestione dei processi di trattamento dei dati personali degli utenti in caso di più titolari del trattamento e nella redazione dell’Accordo di contitolarità, diventa imprescindibile entrare nei minimi dettagli e lasciarsi supportare da uno studio legale specializzato nella materia.
Il team di avvocati di Ecommerce Legale può essere al tuo fianco, dalle fasi iniziali alla gestione e aggiornamento della documentazione: questo è fondamentale per tutelare il tuo business, evitare sanzioni pesanti e salvaguardare la reputazione del tuo marchio agli occhi di consumatori e stakeholders.
Floriana Capone
L’Avvocato dell’Ecommerce
