{"id":1813,"date":"2020-02-11T00:00:00","date_gmt":"2020-02-10T23:00:00","guid":{"rendered":"https:\/\/dev.pgmtechnology.it\/?p=1813"},"modified":"2023-01-05T15:16:49","modified_gmt":"2023-01-05T14:16:49","slug":"titolarita-e-responsabilita-nel-trattamento-dei-dati-personali-nelloutsourcing","status":"publish","type":"post","link":"https:\/\/www.leexe.it\/en\/titolarita-e-responsabilita-nel-trattamento-dei-dati-personali-nelloutsourcing\/","title":{"rendered":"Titolarit\u00e0 e responsabilit\u00e0 nel trattamento dei dati personali nell\u2019outsourcing"},"content":{"rendered":"\n

Il Regolamento UE 2016\/679 (\u201cGDPR<\/strong>\u201d), quanto alla individuazione dei ruoli di titolare e responsabile del trattamento, si pone in linea di continuit\u00e0 con quanto gi\u00e0 prefigurato nella Direttiva 95\/46\/CE, fatta eccezione per le definizioni terminologiche (il titolare era definito responsabile e il responsabile era definito incaricato del trattamento).<\/p>\n\n\n\n

Infatti, Il titolare del trattamento \u00e8 definito come \u201cla persona fisica o giuridica, l’autorit\u00e0 pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalit\u00e0 e i mezzi del trattamento di dati personali; quando le finalit\u00e0 e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri<\/em>\u201d (ex art. 4, n. 7, GDPR).<\/p>\n\n\n\n

Il titolare del trattamento \u00e8 dunque il soggetto responsabile del rispetto degli obblighi previsti dalla normativa, nazionale e comunitaria, in materia di trattamento di dati personali.<\/p>\n\n\n\n

Il responsabile del trattamento \u00e8 definito come \u201cla persona fisica o giuridica, l’autorit\u00e0 pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento\u201d<\/em> (ex art. 4, n. 8, GDPR).<\/p>\n\n\n\n

Innovativa rispetto alla disciplina previgente \u00e8 la puntuale individuazione delle caratteristiche e del contenuto dell’atto di nomina del responsabile del trattamento come disposto dall’art. 28, paragrafo 3 del GDPR. Si riscontra peraltro un irrigidimento del regime sanzionatorio; il responsabile del trattamento infatti risponde del danno causato dal trattamento di dati personali effettuato in violazione delle legittime istruzioni fornite dal titolare ovvero di una prescrizione del GDPR a lui specificamente diretta.<\/p>\n\n\n\n

Nella prassi commerciale \u00e8 molto frequente che nell’esercizio dell’attivit\u00e0 di impresa un soggetto si avvalga di organizzazioni esterne a cui vengono affidati incarichi che possono comportare il trattamento di dati personali.<\/p>\n\n\n\n

Tendenzialmente, il ruolo di responsabile del trattamento \u00e8 riconosciuto all’organizzazione esterna a cui il titolare del trattamento delega la totalit\u00e0 ovvero una parte delle attivit\u00e0 di trattamento di dati personali strumentali al business di quest’ultimo.<\/p>\n\n\n\n

Tuttavia, seppur le due figure cardine in materia di trattamento di dati personali siano puntualmente definite dal legislatore europeo, talvolta non risulta concretamente agevole determinare tale distinzione.<\/p>\n\n\n\n

Ci\u00f2 pu\u00f2 accadere, in particolare, quando un imprenditore, per erogare una o pi\u00f9 prestazioni, si avvalga di soggetti terzi in outsourcing<\/em>. Si pensi per esempio alle societ\u00e0 di telecomunicazione che appaltano il servizio di manutenzione della rete telefonica o quello di assistenza clienti; oppure, ancora, alle societ\u00e0 che forniscono servizi di cloud storage<\/em>, ma i cui server sono di titolarit\u00e0 di terzi fornitori.<\/p>\n\n\n\n

Analoghe questioni possono porsi, inoltre, nelle ipotesi in cui un imprenditore incarichi soggetti terzi di promuovere propri prodotti o finanche di sottoscrivere contratti in nome e per conto proprio. Si pensi, per esempio, al rappresentante che spende il nome dell’imprenditore o che utilizza la modulistica ad esso intestata.<\/p>\n\n\n\n

In queste situazioni se, da un lato, l’imprenditore mandante riveste, quantomeno sulla carta, il ruolo di titolare del trattamento dei dati personali raccolti dai propri mandatari, in quanto \u00e8 lui stesso che ne determina le finalit\u00e0 e modalit\u00e0 del trattamento, dall’altro, il terzo outsourcer<\/em>, risulta essere solo un mero esecutore delle direttive e delle indicazioni del proprio mandante e, pertanto, agisce, sempre sulla carta, in qualit\u00e0 di responsabile del trattamento dei dati raccolti per conto dell’imprenditore.<\/p>\n\n\n\n

Senonch\u00e9 tale distinzione non \u00e8 cos\u00ec cristallina se si ha riguardo alle ipotesi in cui l’outsourcer<\/em> non agisce semplicemente come longa manus<\/em> dell’imprenditore mandante, ma conserva un qualche margine di autonomia nell’esecuzione dell’attivit\u00e0 affidata. In queste ipotesi, infatti, non si pu\u00f2 certo escludere che il terzo non determini in alcun caso le finalit\u00e0 e le modalit\u00e0 del trattamento dei dati personali, ancorch\u00e9 la raccolta dei dati avvenga per conto del mandante. Ben pu\u00f2 essere, per esempio, che l’impresa appaltatrice del servizio di assistenza clienti operi, s\u00ec, sotto le direttive dell’impresa di telecomunicazioni, ma che tali direttive siano solo di carattere generale e che le modalit\u00e0 di svolgimento del servizio siano rimesse alla totale autonomia dell’appaltatrice stessa.<\/p>\n\n\n\n

Come \u00e8 possibile, allora, determinare con certezza quando sussiste titolarit\u00e0 e quando responsabilit\u00e0? Esiste un criterio dirimente applicabile in ogni circostanza?<\/p>\n\n\n\n

La risposta \u00e8 che ad oggi non esiste alcuna soluzione pressoch\u00e9 univoca \u2013 n\u00e9 di fonte legale n\u00e9 di fonte interpretativa \u2013 applicabile ad ogni fattispecie astratta.<\/p>\n\n\n\n

Ciononostante \u00e8 possibile avvalersi delle indicazioni fornite a vario titolo dalla dottrina e dalla giurisprudenza, nonch\u00e9 dagli organi consultivi e dalle Autorit\u00e0 Indipendenti sia nazionali che comunitarie. Indicazioni che consentono di stabilire, attraverso valutazioni da operare caso per caso, quando vi siano titolarit\u00e0 e responsabilit\u00e0 del trattamento in situazioni borderline come quelle sopra descritte.<\/p>\n\n\n\n

Sul tema si era gi\u00e0 soffermato nel 2010 l’Article 29 Working Party<\/em> (ora European Data Protection Board) quando, con il Parere 1\/2010<\/em> sui concetti di \u201cresponsabile del trattamento\u201d<\/em> e \u201cincaricato del trattamento\u201d<\/em>, aveva tracciato alcuni criteri risolutivi per l’individuazione della titolarit\u00e0 del trattamento.<\/p>\n\n\n\n

In assenza di un’esplicita previsione normativa ovvero di una prassi giuridica consolidata, deve farsi riferimento alla c.d. influenza effettiva<\/em>: la titolarit\u00e0 del trattamento deve essere attribuita in base ad una valutazione delle circostanze di fatto, quale pu\u00f2 essere quella delle relazioni contrattuali fra le varie parti interessate. Tuttavia, in caso di dubbio, per individuare il titolare del trattamento si pu\u00f2 ricorrere anche ad elementi extracontrattuali, come il grado di controllo reale esercitato da una parte sull’attivit\u00e0 dell’altra, l’immagine data agli interessati e il legittimo affidamento di questi ultimi sulla base di questa visibilit\u00e0.<\/p>\n\n\n\n

Al criterio del legittimo affidamento degli interessati fa riferimento anche il Garante per la Protezione dei Dati Personali che, con il provvedimento n. 230 del 15 giugno 2011 in materia di contratti di agenzia, ha individuato altres\u00ec ulteriori circostanze concrete per la definizione della titolarit\u00e0 del trattamento. Nello specifico, la titolarit\u00e0 sussiste allorch\u00e9 le attivit\u00e0 svolte dall’outsource<\/em>r (nel caso di specie l’agente) siano appannaggio esclusivo dell’imprenditore mandante. Tale eventualit\u00e0 va verificata tenendo in considerazione, inter alia<\/em>, i margini di autonomia dell’outsourcer<\/em> nell’esercizio delle proprie attivit\u00e0, l’eventuale utilizzo della modulistica predisposta dal mandante, la vincolativit\u00e0 delle istruzioni impartite e il grado di controllo esercitato da quest’ultimo.<\/p>\n\n\n\n

Anche la Corte di Giustizia dell’Unione Europea, con la sentenza del 29 luglio 2019 emessa all’esito della causa C-40\/17, si \u00e8 preoccupata di tracciare il perimetro della titolarit\u00e0 del trattamento, seppur con riferimento al rapporto tra soggetti contitolari. Infatti, richiamando i consolidati orientamenti interpretativi in materia, ha affermato anch’essa la necessit\u00e0 di ricorrere alle circostanze di fatto quale criterio dirimente per la determinazione delle finalit\u00e0 e delle modalit\u00e0 del trattamento e pertanto per l’individuazione della titolarit\u00e0.<\/p>\n\n\n\n

In conclusione, con riferimento all’attribuzione del ruolo di titolare o di responsabile del trattamento, non sempre le definizioni normative consentono di risolvere le situazioni connesse agli articolati rapporti commerciali. Riassumendo le interpretazioni sopra richiamate, in tali casi, al fine di comprendere chi sia concretamente il titolare del trattamento, si deve tenere conto dei seguenti elementi: (i) il legittimo affidamento degli interessati, (ii) l’autonomia dell’outsourcer<\/em> nello svolgimento dell’attivit\u00e0 per conto dell’imprenditore mandante, (iii) il grado di vincolativit\u00e0 delle istruzioni impartite all’outsourcer<\/em> dall’imprenditore mandante, (iv) il grado di controllo esercitato dall’imprenditore mandante sull’operato dell’outsourcer<\/em>.<\/p>\n\n\n\n

Ne deriva che, ogniqualvolta l’outsourcer<\/em> agisca esclusivamente in nome e per conto dell’imprenditore non potr\u00e0 che trattare i dati personali in qualit\u00e0 di responsabile del trattamento.<\/p>\n","protected":false},"excerpt":{"rendered":"

Il Regolamento UE 2016\/679 (\u201cGDPR\u201d), quanto alla individuazione dei ruoli di titolare e responsabile del trattamento, si pone in linea di continuit\u00e0 con quanto gi\u00e0 prefigurato nella Direttiva 95\/46\/CE, fatta eccezione per le definizioni terminologiche (il titolare era definito responsabile e il responsabile era definito incaricato del trattamento). Infatti, Il titolare del trattamento \u00e8 definito […]<\/p>\n","protected":false},"author":9,"featured_media":3846,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"none","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"both","_seopress_redirections_param":"","_seopress_redirections_type":301,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"iawp_total_views":7,"footnotes":""},"categories":[],"tags":[],"class_list":["post-1813","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry"],"_links":{"self":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1813","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/comments?post=1813"}],"version-history":[{"count":0,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/posts\/1813\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media\/3846"}],"wp:attachment":[{"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/media?parent=1813"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/categories?post=1813"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.leexe.it\/en\/wp-json\/wp\/v2\/tags?post=1813"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}