Individuare e disciplinare ruoli e responsabilità delle parti coinvolte nel trattamento dei dati personali è una delle questioni più rilevanti, e talvolta più spinose, che la normativa in materia di protezione dei dati personali, ed in particolare il Regolamento (UE) 679/2016 (di seguito “Regolamento” o “GDPR”)[1], richiede di dover affrontare. Di sicuro lo è nei rapporti tra titolare e responsabile, soprattutto quando a quest’ultimo viene affidato lo svolgimento di attività che comportino trattamenti di dati personali idonei ad incidere in maniera rilevante sui diritti e libertà delle persone.
A tal riguardo, importanza primaria è rivestita dall’accordo ai sensi dell’art. 28 (nel prosieguo indicato per comodità con i termini “Accordo” o anche “Atto di designazione a responsabile”[2], anche se sostanzialmente trattasi di un vero e proprio contratto e quest’ultima terminologia non deve sviare il lettore), la cui stipulazione risulta imprescindibile, tanto per il titolare quanto per il responsabile, per agire conformemente alla citata normativa.
💡POTREBBE INTERESSARTI – Suggerimenti operativi sulle modalità di verifica della certificazione verde Covid-19
La mancanza della Nomina a responsabile nelle recenti pronunce del Garante
La centralità dell’Accordo è stata di recente rimarcata dal Garante per la protezione dei dati personali (il “Garante”) nei provvedimenti emanati nei confronti di Roma Capitale, Atac S.p.a. e Flowbird Italia S.r.l., i quali, nella vicenda esaminata dall’Autorità, hanno assunto rispettivamente i ruoli di titolare, responsabile e sub-responsabile (o altro responsabile), con riguardo ai trattamenti di dati personali finalizzati alla regolazione delle soste e dei parcheggi a pagamento in alcune aree. In sintesi, Roma Capitale ha affidato alcuni servizi di gestione dei parcheggi ad Atac, la quale a sua volta si è avvalsa di Flowbird per l’installazione di alcuni parcometri in grado, tra l’altro, di consentire la personalizzazione del pagamento mediante l’inserimento della targa del veicolo. I provvedimenti sanzionatori del Garante, in relazione alle numerose violazioni formali e sostanziali rilevate, hanno portato rispettivamente a sanzioni di 800.000 euro nei confronti di Roma Capitale, 400.000 euro nei confronti di Atac e 30.000 euro nei confronti di Flowbird. Comunque, a prescindere dalle contestazioni riferibili al titolare (Roma Capitale), concentreremo la nostra attenzione nel presente articolo sulle contestazioni del Garante riferibili ai ruoli di responsabile (Atac) e sub-responsabile (Flowbird).
Ciò che qui interessa sottolineare è che le attività di cui sopra, e le relative obbligazioni, erano regolate contrattualmente tra le Parti. Inoltre, come pure rilevato dal Garante:
- i trattamenti riconducibili alla regolazione delle soste e dei parcheggi a pagamento sono attività rientranti tra quelle istituzionali degli enti locali: tale circostanza giustificherebbe la liceità del trattamento, individuandone la base giuridica nell’art. 6, par. 1, lett. c) ed e).
Nonostante il ricorrere di tali circostanze, con due separate ordinanze di ingiunzione del 22 luglio 2021 – una emanata nei confronti di Atac, l’altra nei confronti di Flowbird – il Garante, accertato, tra l’altro, che dette società hanno trattato dati personali senza che il loro ruolo di responsabile (e sub-responsabile) del trattamento fosse disciplinato ai sensi dell’art. 28, le ha così sanzionate anche per violazione dell’art. 6. Dunque, per mancanza di idonea base giuridica che renda lecito il trattamento.
Interessante notare come il Garante, dando seguito ad un proprio recente orientamento, abbia ritenuto configurarsi la violazione dell’art. 6 in capo a due soggetti, il responsabile e il sub-responsabile del trattamento, sui quali non graverebbe l’onere di individuare la corretta base giuridica del trattamento (ciò che rende lecito il trattamento ai sensi del citato art. 6), mentre ha ritenuto di dover sanzionare il titolare del trattamento, sul punto, solo per violazione dell’art. 28.
Di seguito alcune considerazioni al riguardo.
Quale relazione tra la designazione a responsabile e la base giuridica del trattamento?
La stretta correlazione che viene fatta tra la designazione a responsabile e la liceità del trattamento intesa come presenza di idonea base giuridica emerge dalla lettura dei due provvedimenti in questione, in cui il Garante sembra individuare nella designazione a responsabile una base giuridica a sé stante, anche se operante limitatamente ai trattamenti svolti per conto del titolare da parte dei responsabili del trattamento.
A tale conclusione propendono diversi passaggi, pressoché identici:
“Non essendo stata individuata come responsabile del trattamento e non essendo stati indicati da parte della società [Atac] specifici presupposti che abbiano legittimato il trattamento dei dati personali, si deve concludere che lo stesso è stato effettuato in assenza delle condizioni di liceità […]”; e
“Pertanto, in assenza della designazione quale responsabile del trattamento […] da parte del titolare e non essendo stati individuati dalla società [Atac] altri presupposti che possano legittimare il trattamento dei dati personali degli utenti del servizio in esame, il trattamento svolto per conto e nell’interesse di Roma Capitale risulta essere stato effettuato dalla società in assenza di idonea base giuridica e quindi in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento.”
“l’Ufficio ha rilevato che la società [Flowbird] ha partecipato al trattamento dei dati personali raccolti attraverso i nuovi parcometri installati sul territorio, senza che il suo ruolo fosse stato definito e dunque in assenza di una condizione di liceità […]”; e
“Pertanto, in assenza della prescritta nomina quale “(sub)responsabile del trattamento” e non essendo stati individuati dalla società altri presupposti che possano legittimare il trattamento dei dati personali degli utenti del servizio in esame, il trattamento dei dati personali svolto dalla società [Flowbird] a partire dal mese di XX e fino alla data di effettiva designazione, avvenuta in data XX (nota del XX, all. 5 e 6), risulta essere stato effettuato in assenza di idonea base giuridica e quindi in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento.”
A ben vedere, però, a nostro avviso, la natura dell’elenco di cui all’art. 6, la cui tassatività non ammetterebbe ampliamenti a opera del Garante, non consentirebbe tale interpretazione. Avrebbe forse più senso, allora, sostenere che solo attraverso la formalizzazione e, quindi, la sottoscrizione della designazione a responsabile, la base giuridica su cui si fondano i trattamenti del titolare si estende funzionalmente anche ai trattamenti svolti dai responsabili e sub-responsabili? È quanto sembra voler far intendere il Garante quando precisa che:
| “L’art. 6, par. 1, lett. e) del Regolamento, infatti, ammette il trattamento se necessario “per l’esecuzione di un interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento”, legittimando, pertanto, il “titolare del trattamento” (Roma Capitale), investito da un compito di interesse pubblico, a trattare i dati per tale finalità e non altri soggetti che trattano i dati per conto del titolare […]” |
Anche tale interpretazione non convince del tutto. Sarebbe preferibile considerare, piuttosto, un valido contratto di “esternalizzazione”, anche in tutto o in parte privo degli elementi richiesti dall’art. 28, come strumento idoneo a trasferire la base giuridica ai trattamenti svolti dai responsabili del trattamento, proprio in virtù del fatto che l’esecuzione di tale contratto renda indispensabile procedere ad un trattamento di dati personali “in nome e per conto” del titolare.
Fermo restando che la violazione degli artt. 6 e 9 debba restare – in ogni caso, dunque anche in presenza di un valido contratto di esternalizzazione e di designazione a responsabile – configurabile solo in capo al titolare del trattamento, unico soggetto su cui dovrebbe gravare l’onere di individuare la base giuridica dei propri trattamenti, ivi compresi quelli esternalizzati a soggetti terzi esterni alla propria organizzazione.
Conclusioni
È lecito, quindi, chiedersi perché il Garante non si sia limitato a sanzionare, in capo al responsabile e al sub-responsabile del trattamento, la violazione degli obblighi derivanti dall’art. 28 – come invece fatto nei confronti di Roma Capitale – nella misura in cui le parti non hanno concluso l’accordo prescritto da detta norma, ma abbia invece preferito accertare una violazione dell’art. 6. Quale che sia la risposta, i provvedimenti presi in esame rivelano chiaramente la forte volontà dell’Autorità di evidenziare tanto:
- l’importanza che i rapporti tra le parti coinvolte nel trattamento vengano disciplinati conformemente al GDPR, ed in particolare al relativo art. 28, se trattasi di titolare e responsabile del trattamento, quanto
- la non secondarietà della figura del responsabile del trattamento, spesso chiamato a svolgere un ruolo preminente nel trattamento dei dati che ricade sotto la titolarità di altri soggetti.
In tale ottica, è necessario non trascurare nessun aspetto quando si intende affidare lo svolgimento di talune attività a un soggetto esterno alla propria organizzazione e realizzare sin dalle origini un rapporto che consenta alle parti di agire in conformità al GDPR.
Quel che si chiede a titolare e responsabile del trattamento, in altre parole, è di costruire processi aziendali interni ispirati al rispetto dei principi e delle norme del GDPR, la cui osservanza deve guidare anche le scelte relative ai rapporti con soggetti esterni alla propria organizzazione, a maggior ragione quando tali rapporti comportano un trattamento di dati personali.
Tante le misure da mettere in pratica per raggiungere tale obiettivo, che peraltro necessita di adeguata formazione e sensibilizzazione del personale interno coinvolto. Cerchiamo di individuarne alcune basilari, anche alla luce del messaggio lanciato dal Garante. Da una parte, soprattutto il titolare del trattamento, dovrebbe individuare con precisione i trattamenti che intende affidare all’esterno sin da subito, avendo cura di selezionare i responsabili del trattamento, anche in base alla loro affidabilità e alle garanzie offerte relativamente alla protezione dei dati personali, altresì assicurandosi della loro disponibilità a disciplinare altrettanto puntualmente ruoli e responsabilità nel trattamento dei dati.
Dall’altra parte, il responsabile del trattamento dovrebbe farsi parte diligente, per quanto di propria competenza, in caso di inerzia del titolare del trattamento. La circostanza che non sia il soggetto deputato a scegliere finalità e mezzi del trattamento non può e non deve essere una scriminante per l’osservanza degli obblighi che la normativa in materia di protezione dei dati personali pone a suo carico.
Entrambe le parti dovrebbero recepire internamente procedure volte a subordinare l’inizio dell’esecuzione di un contratto, o la conclusione dello stesso, alla formalizzazione di un apposito accordo che disciplini i rispettivi ruoli e responsabilità con riguardo al trattamento di dati personali che ne consegue. Il tutto, in un’ottica di piena, effettiva e reciproca collaborazione, che deve necessariamente alimentare il rapporto tra titolare e responsabile del trattamento, e tra questi e il sub-responsabile.
[1] Ove non diversamente indicato, gli articoli menzionati si riferiscono al Regolamento (UE) 679/2016.
[2] L’art. 28 GDPR prevede che “i trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”.