26 Ott Privacy: nuove linee guida su titolare, contitolare e responsabile

Lo scorso settembre il Garante Europeo per la Privacy ha diffuso delle nuove linee guida per fare chiarezza sui concetti di titolare, contitolare e responsabile per il trattamento dei dati personali.

Il 7 Settembre il Garante Europeo per la Privacy (EDPB) ha pubblicato un testo con le nuove linee guida sui concetti di titolare, contitolare e responsabile per il trattamento dei dati personali. Il documento fornisce alcune indicazioni pratiche sulle figure a cui è destinato il trattamento dei dati personali in conformità con quanto espresso dal GDPR, illustrandone ruoli e obblighi all’interno dello spazio comunitario europeo. 

Nello specifico, il titolare del trattamento è “la persona fisica o giuridica che determina le finalità e i mezzi del trattamento dei dati”. Il responsabile è un soggetto distinto dal titolare, che agisce a suo nome e per suo conto. La contitolarità invece si presenta quando il titolare del trattamento sono due o più soggetti, con compiti e responsabilità specifici. Sia il titolare (o i contitolari) che il responsabile hanno l’obbligo di agire in conformità e nel rispetto dell’attuale Regolamento Europeo sulla Privacy. 

In tal senso, finalità e mezzi vengono decisi dal titolare del trattamento. Tuttavia, il responsabile è libero di poter scegliere la soluzione tecnica e organizzativa migliore per raggiungere l’obiettivo. Il testo chiarisce infatti che “i mezzi essenziali” sono a discrezione del titolare, mentre “i mezzi non essenziali”, come ad esempio la scelta di un determinato software, fanno capo al responsabile. L’Autorità inoltre ha precisato che uno stesso soggetto può rivestire contemporaneamente sia il ruolo di titolare che di responsabile. Per chiarire questo passaggio il Garante ha portato l’esempio di uno studio legale, in cui esso il soggetto giuridico o la persona fisica può essere titolare del trattamento per i clienti diretti e responsabile per i dipendenti di una società cliente.

Infine, le linee guida si soffermano sul rapporto contrattuale tra titolare e responsabile. Dal testo si evince che all’interno dell’accordo dovrebbero esserci “delle clausole specifiche e concrete su come verranno soddisfatti i requisiti del GDPR e sul livello di sicurezza necessario per il trattamento dei dati personali svolto in occasione dei rapporti commerciali tra titolare e responsabile”. L’accordo dev’essere stipulato in forma scritta. Il Garante Europeo ha infatti specificato che in assenza di un contratto scritto, titolare e responsabile possono incorrere entrambi in una sanzione amministrativa.

Immagine: https://it.freepik.com/