L’art. 28 del GDPR è uno dei più importanti ma anche uno dei più sottovalutati. Stabilisce come deve comportarsi il responsabile del trattamento ovvero il soggetto esterno (persona fisica o giuridica) che tratta i dati personali per conto del titolare (per esempio, un call center che cura la fase di post‑vendita per i clienti di una casa automobilistica). Questo articolo, tra le altre cose, stabilisce che
- il titolare deve scegliere oculatamente il responsabile del trattamento affinché offra le garanzie adeguate a limitare i rischi per gli interessati;
- tra titolare e responsabile del trattamento deve esserci un contratto (o altro atto giuridicamente vincolante) che stabilisca puntualmente in che termini vengono protetti gli interessati.
Quindi, è necessario che i titolari rivedano i contratti esistenti alla luce delle nuove disposizioni. In alcuni casi, è necessario che i contratti verbali (validi nel nostro Paese, p.e. l’affidamento della contabilità ad un commercialista) siano formalizzati in accordi scritti.
L’ICO, il Garante per la Protezione dei Dati Personali inglese, è stato sensibile a questa esigenza pubblicando, qualche giorno fa, una check‑list che aiuta i titolari a rinnovare i contratti con i responsabili del trattamento senza perdersi clausole che possono risultare fondamentali rispetto alla protezione dei dati personali.
“Qua la mano!” Una frase d’altri tempi che potrebbe non essere più sufficiente per stipulare un contratto.
