Soft law: Privacy, diritto dei dati e IA
European Data Protection Board, Opinion 22/2024
L’opinion n. 22/2024 “su alcuni obblighi che scaturiscono dal ricorso a responsabili e sub-responsabili [del trattamento]” rilasciato dell’European Data Protection Board chiarisce gli obblighi del titolare e del responsabile del trattamento all’interno della filiera del dato personale. Dall’interpretazione fornita dal Comitato emerge il ruolo sempre più centrale, ai fini della conformità, della capacità di controllare e governare la catena dei fornitori. Tuttavia, le modalità pratiche di attuazione delle indicazioni del Comitato sollevano alcune criticità, specie se messe a confronto con le condizioni effettive del mercato.
Il quesito dell’Autorità di controllo Danese
Il parere prende le mosse da due quesiti presentati dall’Autorità di controllo Danese, i quali concernono gli obblighi del titolare del trattamento rispetto ai fornitori. Quelli di maggiore interesse domandavano se il titolare dovesse identificare tutti i responsabili e sub-responsabili del trattamento coinvolti nella filiera, quali fossero i suoi obblighi di verifica circa la conformità di questi ultimi, nonché se tali obblighi siano in qualche modo influenzati dalla qualificazione del fornitore come “ad alto rischio”.
Il Parere del Comitato
Obbligo di verifica del titolare del trattamento
Circa l’obbligo di identificazione dei soggetti coinvolti nella filiera, il Comitato chiarisce il ruolo “centrale” ricoperto dal titolare del trattamento, il quale è onerato di identificare tutti i soggetti che fanno parte della filiera, compresi i responsabili, i loro sub-responsabili, i successivi sub-responsabili e così via.
L’identificazione consiste nell’individuazione del nome e dell’indirizzo del responsabile, dei dati di contatto di una persona incaricata, della descrizione del trattamento, nonché di una chiara delimitazione delle responsabilità connesse al trattamento dei dati.
I titolari del trattamento, inoltre, dovrebbero trovarsi in una condizione che permetta loro di determinare effettivamente i mezzi e le finalità del trattamento, nonché di esercitare in modo effettivo i poteri autorizzativi riguardanti l’identificazione dei sub-responsabili ai sensi dell’art. 28(4) GDPR. In questo senso, alcuni chiarimenti vengono forniti in merito all’autorizzazione generale, la quale richiede l’allegazione di un elenco dei responsabili del trattamento che, successivamente alla sottoscrizione dell’accordo deve essere mantenuto aggiornato. Il Comitato specifica altresì che solo al titolare spetta la possibilità di decidere in merito all’impiego di ulteriori e nuovi sub-responsabili del trattamento.
La conoscenza di tali informazioni, osserva il Comitato, è necessaria non solo ai fini della conformità all’art. 28 GDPR, ma anche per dare corretta esecuzione agli obblighi di trasparenza (artt. 13 – 14 GDPR), al diritto di accesso (art. 15 GDPR) e agli obblighi di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento (art. 19 GDPR).
Specularmente a questo schema, il responsabile del trattamento è obbligato a tenere aggiornata la lista dei sub-responsabili del trattamento, nonché a renderla prontamente accessibile al titolare.
E’ degna di nota anche l’osservazione che invita le parti del contratto sul trattamento dei dati a definire le modalità per la comunicazione dell’elenco dei responsabili, anche concordando, se del caso, il formato del file contenente l’elenco. Si tratta di un riferimento alla possibilità di trasferire le informazioni in formati leggibili da software specifici.
Gradazione degli obblighi del titolare sulla base del rischio
Venendo alle domande rivolte dall’Autorità danese in merito alla possibilità di gradare gli obblighi del titolare in relazione al livello di rischio associato al fornitore, le risposte del Comitato sono di grande interesse.
Difatti, se da un lato il Comitato chiarisce che gli obblighi di verifica in capo al titolare del trattamento trovano applicazione indipendente dal livello di rischio, dall’altro, la modalità di esecuzione può ben essere gradata in ragione di tale fattore.
La ratio di questa interpretazione trova il proprio fondamento nella differente natura degli artt. 24 e 28 del GDPR. Il primo, infatti, non può essere interpretato nel senso che il titolare del trattamento può esimersi dall’esecuzione dei propri obblighi di legge sulla base del fatto che il rischio è basso. Al contrario, le misure di sicurezza adeguate, che il responsabile del trattamento deve garantire ai sensi della seconda norma, devono essere proporzionate al rischio associato al trattamento a questi affidato.
Ne deriva che il titolare deve sempre svolgere una mappatura dei responsabili del trattamento coinvolti, e verificare che questi impongano ai sub-responsabili analoghi obblighi, così come su tutta la filiera. Le modalità operative messe in campo per svolgere tali verifiche possono però variare, imponendo misure più stringenti e controlli più severi a quei responsabili del trattamento che presentano un elevato grado di rischio.
Considerazioni di carattere operativo
Se da un lato l’opinione del Board è utile al fine di chiarire l’importanza del controllo del dato all’interno della filiera produttiva, dall’altro alcuni aspetti rimangono ancora sfuggenti.
In particolare, occorre comprendere in che modo i titolari del trattamento potranno rispettare gli obblighi in oggetto quando le condizioni vengono dettate unilateralmente, dal fornitore di un servizio che dispone di una posizione di vantaggio dal punto di vista economico. L’osservazione non è scontata: infatti, la richiesta dell’Autorità di controllo danese muove proprio da una serie di accertamenti svolti nel contesto dei servizi cloud-based, dove la catena dei fornitori risulta particolarmente sfilacciata e la forza dei contrattuale distribuita verso i fornitori.
L’interpretazione dell’EDBP è coerente da un punto di vista giuridico, ma non risolve i dubbi delle aziende titolari del trattamento, che si trovano in difficoltà quando devono dimostrare la conformità dei trattamenti svolti tramite i servizi in oggetto.
Da un punto di vista strategico, risulta sempre più preminente il ruolo del fornitore di servizi, ancora più onerato di garantire, oltre che l’efficienza del proprio prodotto, anche la sua rispondenza ai requisiti di legge, compresi quelli di carattere organizzativo e inerenti al ricorso ai sub-fornitori. Per chi intende sviluppare servizi cloud based la conformità alle normative sul diritto dei dati assume, quindi, un ruolo di mercato, in quanto fa parte delle garanzie che devono essere offerte ai propri clienti.
Su questo punto, occorre altresì osservare che al responsabile del trattamento (e, quindi, al fornitore del servizio) è richiesto un ruolo attivo. Questo, come emerge chiaramente non solo dal tenore del provvedimento in oggetto ma anche dai precedenti del Garante per la Protezione dei Dati Personali, è destinatario di specifici obblighi di legge, autonomi e paralleli rispetto a quelli del titolare, i quali conducono, in sede di procedimento amministrativo, ad autonome sanzioni. In questo senso, non sono nemmeno da trascurare gli aspetti di natura civilistica, poiché, come sottolineato dallo stesso EDPB, esiste la possibilità per il titolare del trattamento di esercitare un’azione per responsabilità contrattuale nei confronti del responsabile inadempiente.
Articolo a cura di: Avv. Gabriele Ientile
Professionisti
