L'accordo deve descrivere il trattamento effettivo
Un accordo sul trattamento dei dati, spesso chiamato DPA (Data Protection Agreement), integra il contratto di servizio. Diventa rilevante quando un fornitore tratta dati personali per conto del proprio cliente. Questo può accadere con servizi di hosting, assistenza, distribuzione di newsletter o applicazioni cloud. Il fattore determinante è l'effettivo utilizzo dei dati, non il titolo del documento.
L'accordo deve chiarire le responsabilità. Tra le altre cose, spiega quali attività di trattamento vengono svolte, quali istruzioni si applicano e come il fornitore garantisce la protezione dei dati. Un testo standard prolisso è inefficace se descrive un prodotto completamente diverso. Pertanto, gli acquirenti dovrebbero esaminare i termini e le condizioni insieme all'offerta, alla documentazione tecnica e all'utilizzo previsto.
L'esistenza di un trattamento dei dati per conto di un titolare del trattamento e la necessità di un accordo specifico dipendono dal rapporto specifico e dalla legge applicabile. Una checklist generica non può sostituire questa classificazione legale. In caso di ruoli poco chiari, dati sensibili o attività di trattamento insolite, è opportuno richiedere una consulenza specialistica. Percorsi dei dati, responsabilità e dettagli contrattuali ben definiti forniscono una solida base fattuale a tal fine.
Titolari del trattamento e responsabili del trattamento hanno ruoli diversi.
Il titolare del trattamento determina le finalità e i mezzi essenziali del trattamento. Il responsabile del trattamento elabora i dati personali per conto del titolare del trattamento e secondo le sue istruzioni documentate. Questi termini descrivono i ruoli in materia di protezione dei dati e non stabiliscono una gerarchia generale tra le aziende. Un grande fornitore di piattaforme può essere un responsabile del trattamento, mentre un piccolo cliente agisce come titolare del trattamento per il trattamento in questione.
I ruoli possono variare a seconda della funzione. Un fornitore può elaborare i dati del cliente per conto di terzi, ma utilizzare determinati dati contrattuali o di fatturazione per i propri scopi. In questi casi, dovrebbe spiegare quale ruolo assume per quali processi. Un'affermazione generica secondo cui tutti i dati vengono elaborati solo per conto di terzi non è molto utile se le descrizioni dei prodotti o le informative sulla privacy menzionano anche i propri utilizzi.
Un contratto non può modificare i ruoli effettivi semplicemente cambiando la sua denominazione. Pertanto, prima della firma, deve essere chiaro chi decide sull'utilizzo dei dati. Se il fornitore definisce una nuova finalità indipendentemente dal cliente, questa potrebbe non rientrare nell'ambito dell'accordo sul trattamento dei dati concordato. Tali limiti richiedono una spiegazione chiara e comprensibile, in modo che le responsabilità, le informazioni per gli interessati e le altre basi giuridiche possano essere valutate correttamente.
L'oggetto, la durata e le tipologie di dati richiedono dettagli specifici.
L'accordo deve identificare chiaramente quale servizio viene fornito con quali dati personali. Formulazioni generiche come "erogazione dei servizi concordati" sono spesso insufficienti per comprendere il flusso dei dati. In un sistema di assistenza, potrebbero essere interessati i dati di contatto, il contenuto dei messaggi e i dati tecnici di utilizzo. Anche le categorie di interessati, come clienti, dipendenti o candidati, devono corrispondere all'effettivo utilizzo.
Il tipo e lo scopo del trattamento sono ugualmente importanti. Archiviazione, trasmissione, valutazione ed eliminazione descrivono processi diversi. Lo scopo spiega perché questi processi avvengono, ad esempio, per elaborare le richieste di assistenza o per gestire una piattaforma clienti. Quanto più precisamente viene descritto questo collegamento, tanto più facile sarà determinare in seguito se una nuova funzionalità del prodotto è ancora coperta dal contratto o richiede una nuova decisione.
La durata deve essere adeguata al servizio e al processo di eliminazione. Talvolta il trattamento continua per tutta la durata del contratto, mentre le copie di backup rimangono per un periodo limitato. Questo non deve essere reso incomprensibile da un periodo di conservazione indefinito. Gli acquirenti hanno bisogno di un quadro realistico di quando i dati attivi vengono rimossi, per quanto tempo persistono le copie tecniche e quali obblighi legali potrebbero impedire l'eliminazione immediata.
Le istruzioni devono essere effettivamente applicabili nella pratica.
I responsabili del trattamento dei dati devono trattare i dati personali secondo istruzioni documentate, a meno che un obbligo legale non imponga diversamente. Nei software standard, gran parte di queste istruzioni è già integrata nel contratto principale, nella selezione del prodotto e nelle impostazioni. L'accordo sul trattamento dei dati (DPA) deve essere allineato a questo. Una clausola generica relativa a istruzioni individuali arbitrarie è di scarsa utilità se nessuno sa attraverso quale contratto e in quale quadro tecnico possono essere implementate.
Chiarire quali modifiche sono considerate nuove istruzioni. L'attivazione di una funzione di analisi, una nuova posizione di archiviazione o periodi di conservazione più lunghi possono modificare il trattamento. Alcune impostazioni sono controllate dal cliente, altre solo dal fornitore. Gli acquirenti devono comprendere quali opzioni sono disponibili e quali sono le conseguenze. Un contratto non può compensare la mancanza o l'erroneità dei controlli del prodotto con diritti astratti.
Ai sensi del Regolamento generale sulla protezione dei dati (GDPR), il fornitore deve informare il cliente se ritiene che un'istruzione sia illegittima. L'accordo deve delineare una procedura pratica per questo caso. Chi verrà informato, cosa accadrà fino a quando la questione non sarà chiarita e quali attività di trattamento potranno essere sospese? Definire chiaramente i referenti e i canali di escalation è più utile di una formulazione che si limiti a ribadire il principio legale.
La riservatezza e la sicurezza devono essere adeguate al rischio.
Le persone che trattano dati per conto del fornitore devono essere vincolate da accordi di riservatezza o soggette a un corrispondente obbligo legale. È inoltre importante che gli acquirenti comprendano come viene limitato l'accesso nell'uso quotidiano. L'assistenza richiede l'accesso standard ai contenuti o l'accesso è consentito solo in casi specifici? Ruoli, autorizzazioni e registrazione degli accessi devono essere coerenti con il servizio promesso.
Le misure tecniche e organizzative descrivono la protezione del trattamento dei dati. Queste possono includere il controllo degli accessi, la crittografia, i backup, il ripristino e le verifiche periodiche. Un semplice elenco di termini di sicurezza noti dice poco sulla loro applicazione. Gli acquirenti devono essere in grado di comprendere quali dati sono protetti e quando, chi controlla le chiavi o l'accesso e quali misure si applicano effettivamente al prodotto scelto.
La sicurezza non è un bene statico. I sistemi e i rischi si evolvono man mano che i fornitori adattano la propria infrastruttura. L'accordo dovrebbe consentire miglioramenti significativi senza ridurre in modo subdolo il livello di protezione concordato. I clienti necessitano di informazioni sufficienti in merito a modifiche significative. Cosa costituisca una modifica significativa dipende dal servizio, ma potrebbe includere nuove posizioni di archiviazione, diversi metodi di accesso o la rimozione di una misura di sicurezza centrale.
Gli altri fornitori di servizi non devono rimanere invisibili.
Molti fornitori non erogano i propri servizi in autonomia. Si avvalgono di data center, servizi di posta elettronica o società di supporto che possono agire come ulteriori responsabili del trattamento dei dati. L'accordo sul trattamento dei dati (DPA) dovrebbe chiarire se si applica un'autorizzazione specifica o generale. In caso di autorizzazione generale, i clienti devono essere informati di qualsiasi modifica prevista e avere la possibilità concreta di opporsi.
Un elenco di ulteriori responsabili del trattamento dei dati è utile solo se rimane comprensibile. Il nome, il ruolo e il luogo di elaborazione aiutano a valutare quale parte del servizio viene gestita dall'azienda. Un semplice elenco di nomi di aziende senza specificarne la funzione oscura il flusso dei dati. Dovrebbe inoltre essere chiaro dove reperire le informazioni aggiornate e come i clienti verranno informati in caso di nuovi fornitori o di sostituzione di quelli esistenti.
Il fornitore principale rimane responsabile dell'imposizione di obblighi di protezione dei dati sostanzialmente identici ai propri responsabili del trattamento dei dati aggiuntivi. Gli acquirenti non devono negoziare personalmente ogni singolo subappalto, ma necessitano di sufficienti garanzie lungo tutta la catena di fornitura. Un'obiezione a un nuovo fornitore non dovrebbe essere puramente teorica. Le conseguenze contrattuali, le possibili alternative e l'eventuale diritto di recesso devono essere chiaramente illustrati nel contesto del contratto principale.
L'assistenza per i diritti degli interessati e per la gestione di eventuali problematiche deve essere facilmente accessibile.
Gli interessati possono esercitare i propri diritti relativi ai dati personali. Il titolare del trattamento rimane responsabile del trattamento stesso, ma spesso necessita del supporto del fornitore di servizi. Il contratto deve descrivere come i dati possono essere reperiti, corretti, esportati o cancellati. Per una funzione self-service, è importante chiarire se copre tutti i dati rilevanti o se sono necessarie ulteriori richieste al fornitore.
In caso di violazione dei dati personali, il responsabile del trattamento deve informare il titolare del trattamento senza indebito ritardo dopo esserne venuto a conoscenza. Per l'acquirente, le informazioni che riceve e le modalità con cui le riceve sono cruciali. Un modulo di supporto difficile da trovare può far perdere tempo prezioso. I contatti di emergenza designati e gli aggiornamenti costanti aiutano a valutare l'impatto, i dati interessati e le misure adottate.
Potrebbe essere necessario fornire supporto anche per le valutazioni d'impatto sulla protezione dei dati e per le richieste di informazioni da parte delle autorità di controllo. La portata e i limiti pratici dipendono dal servizio e dalle informazioni disponibili. Pertanto, le promesse di supporto generiche devono essere allineate con i termini di supporto e i potenziali costi. Gli acquirenti devono poter verificare quali prove vengono fornite di default e quando un'indagine specifica o l'assistenza di esperti saranno concordate separatamente.
La cancellazione, la restituzione e la revisione richiedono un approccio realistico.
Al termine del servizio, i dati personali devono essere cancellati o restituiti a discrezione del titolare del trattamento, a condizione che non vi sia alcun obbligo legale di conservarli. Tale scelta deve essere tecnicamente fattibile. Gli acquirenti devono essere a conoscenza del formato dei dati in cui li riceveranno, per quanto tempo un'esportazione rimarrà disponibile e quando i sistemi attivi verranno svuotati. Un formato di esportazione illeggibile rende praticamente inefficace il diritto formale di restituzione.
Spesso le copie di backup non possono essere eliminate singolarmente e immediatamente. Pertanto, sono necessari una conservazione limitata, la protezione dall'uso normale e una procedura di eliminazione tracciabile. Le dichiarazioni relative alla rimozione successiva nell'ambito del ciclo regolare dovrebbero specificare un intervallo di tempo comprensibile. Dovrebbe inoltre essere chiaro se i log, gli allegati di supporto e le copie di prova seguono le stesse regole o vengono conservati più a lungo a causa di altri obblighi.
Il fornitore deve rendere disponibili informazioni che dimostrino la conformità ai propri obblighi e consentano le verifiche. Nei servizi cloud più comuni, a tale scopo si utilizzano spesso report indipendenti, certificati e informative standardizzate. Questi possono essere utili se l'ambito, il periodo di tempo e il servizio interessato sono appropriati. Un diritto di verifica più completo rimane importante, ma dovrebbe tenere conto della sicurezza degli altri clienti, della riservatezza e di una procedura proporzionata.
Un accordo sul trattamento dei dati (DPA) non risolve automaticamente i trasferimenti internazionali di dati.
Se i dati vengono trattati al di fuori dello Spazio economico europeo (SEE) o resi accessibili da esso, sorgono ulteriori questioni. Un DPA ai sensi dell'articolo 28 non costituisce automaticamente una base completa in tal senso. Gli acquirenti devono essere consapevoli dei luoghi di trattamento, del potenziale accesso remoto e delle società coinvolte. La semplice affermazione "hosting nell'UE" non è sufficiente se l'assistenza o l'amministrazione possono essere regolarmente effettuate da un paese terzo.
A seconda del Paese e delle circostanze specifiche, una decisione di adeguatezza, le clausole contrattuali standard o altri strumenti possono essere rilevanti. Per ogni singolo trasferimento è necessario valutare quale base giuridica sia appropriata e quali misure aggiuntive siano necessarie. Il contratto non dovrebbe mescolare documenti diversi con abbreviazioni simili. Un accordo sul trattamento dei dati (DPA) disciplina il trattamento dei dati per conto di un titolare del trattamento, mentre le clausole contrattuali standard affrontano diverse problematiche relative al trasferimento a seconda della loro applicazione.
È necessario considerare anche le modifiche. Un nuovo subappaltatore o una nuova sede di supporto possono modificare una valutazione precedente. I clienti necessitano quindi di informazioni prima dell'inizio del nuovo trattamento e di tempo sufficiente per una revisione adeguata. La consulenza legale è particolarmente consigliabile per catene di trasferimento dati complesse. Dettagli contrattuali chiari e concisi stabiliscono la base fattuale, ma non sostituiscono la necessaria valutazione legale.
Un buon accordo può essere spiegato utilizzando il prodotto.
Prima della firma, una persona competente dovrebbe essere in grado di descrivere il flusso dei dati in termini semplici. Quali dati raggiungono il fornitore, a cosa servono, chi vi ha accesso e quando vengono cancellati? Le risposte devono essere coerenti tra il prodotto, il contratto principale, l'accordo sul trattamento dei dati (DPA) e la documentazione sulla sicurezza. Le incongruenze richiedono chiarimenti, non si può presumere che un'appendice più specifica risolva automaticamente tutto.
Coinvolgere la protezione dei dati, la sicurezza delle informazioni, gli acquisti e il dipartimento responsabile in base al rischio. Ogni prospettiva individua lacune diverse: ruoli legali, garanzie, implicazioni contrattuali o una funzionalità del prodotto inadeguata. Per un servizio di piccole dimensioni e a basso rischio, la revisione può rimanere gestibile. Un trattamento esteso o sensibile richiede un'analisi più approfondita. La chiave è una revisione appropriata, non la stessa quantità di documentazione per ogni fornitore.
Un accordo sul trattamento dei dati (DPA) chiaro e comprensibile non garantisce di per sé la sicurezza, ma rende trasparenti le aspettative verificabili. Collega il trattamento commissionato con le istruzioni, la protezione, l'assistenza, i subappaltatori e la fine del utilizzo. Quando queste dichiarazioni riflettono accuratamente il servizio effettivamente fornito, gli acquirenti possono valutare meglio le responsabilità e identificare tempestivamente eventuali modifiche. Eventuali questioni legali residue dovrebbero quindi essere affrontate tramite una consulenza legale qualificata, non basandosi su supposizioni relative a clausole standard.