Nell’ambito del trattamento di dati personali, Il GDPR prevede l’introduzione, invero eventuale, della figura del sub-responsabile del trattamento. Si tratta di un soggetto che può essere, a sua volta, nominato responsabile del trattamento di dati personali da un responsabile del trattamento.

Occorre tuttavia precisare che il Regolamento non contiene un articolo specificamente dedicato a tale soggetto, che è rintracciabile all’art. 28, secondo comma, laddove a proposito dei responsabili del trattamento, si stabilisce che “Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche”

La norma è certamente figlia di una moderna realtà di condivisione e sempre maggiore interconnessione che caratterizza la nuova società dell’informazione e delle tecnologie (e.g. cloud computing ed altri servizi IT).

Per queste ragioni, il Regolamento mostra sensibilità verso modelli di segmentazione organizzativa speculari ai nuovi modelli di prestazione di servizi, molto spesso in outsourcing che implicano ormai rapporti contrattuali “multi-level” inevitabilmente correlati al trattamento di dati personali.

In tale logica, viene ad innestarsi la figura del sub-responsabile.

La suddetta figura se da un lato è legittimata dalla delega, dall’altro è saldamente circoscritta entro limiti ben precisi che si specificano nel potere del titolare del trattamento di opporsi alle modifiche riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento ad opera del responsabile iniziale, corroborato da un rigoroso onere informativo a carico di quest’ultimo.

Specularmente, dunque, il sub-responsabile dovrà eseguire le attività e le operazioni di trattamento per conto del titolare, nella pedissequa osservanza delle finalità dal medesimo determinate.

A ciò si aggiunga che, come dettato dal paragrafo 3 dell’art. 28, il responsabile (e dunque anche il sub-responsabile) deve fornire “garanzie sufficienti”, contrattualmente disciplinate, in ordine alla natura, durata e finalità del trattamento o dei trattamenti assegnati, delle categorie di dati oggetto di trattamento, delle misure tecniche e organizzative adeguate a consentire il rispetto delle istruzioni impartite dal titolare e, in via generale, delle disposizioni contenute nel Regolamento;

In mancanza, il responsabile del trattamento risponde dinanzi al titolare dell’inadempimento dell’eventuale sub-responsabile, anche ai fini del risarcimento di eventuali danni causati dal trattamento, salva la prova che l’evento dannoso “non gli è in alcun modo imputabile” (art. 82, paragrafo 1 e paragrafo 3).

Diverse sul tema le raccomandazioni del Garante.

In particolare, è stato raccomandato che i titolari di trattamento dovrebbero verificare che i contratti o altri atti giuridici che attualmente disciplinano i rapporti con i rispettivi responsabili siano conformi a quanto previsto, in particolare, dall’art. 28, paragrafo 3, del regolamento e che, qualora si intendano designare sub-responsabili nei termini sopra descritti, si dovranno apportare le necessarie integrazioni o modifiche.

Malgrado ciò, l’adeguamento all’innovativo Regolamento non può certamente ritenersi definito.

Infatti, occorrerà certamente implementare il riconosciuto schema relazionale tra responsabili in tutti i contesti del trattamento dei dati personali, con particolare riguardo, soprattutto, ai flussi transfrontalieri di dati.

In tale, ultimo caso -particolarmente dibattuto- è auspicabile che le ipotesi di trasferimento di dati all’estero tra responsabile e sub-responsabile vengano normativamente regolate, ovvero inserite nel contesto di clausole contrattuali standard, speculari a quelle già previste per le ipotesi di trasferimento di dati tra titolare e responsabile.