Nomina a responsabile del trattamento dati per l'email: cosa devi sapere
Cos'è la nomina a responsabile del trattamento per l'email?
L'atto di nomina a responsabile del trattamento (in inglese a volte DPA, Data Processing Agreement) è un contratto che regola come un responsabile del trattamento gestisce i dati personali che tratta per tuo conto. Il GDPR descrive all'articolo 28 cosa deve contenere un accordo di questo tipo.
L'idea di fondo è chiara: se tratti dati personali e per farlo ti affidi a un soggetto esterno, resti tu responsabile di ciò che accade a quei dati. La DPA mette per iscritto quali accordi valgono in merito, così non ci si ferma a promesse generiche. Pensa allo scopo del trattamento, alle misure di sicurezza, alla riservatezza e a cosa succede quando la collaborazione termina.
Perché è importante
Per chi lavora con dati di clienti, pazienti o soci, non è una formalità. Se tratti dati personali ed esternalizzi una parte di questo trattamento, il GDPR si aspetta che tu metta gli accordi per iscritto in modo ordinato. Senza un accordo è difficile dimostrare di agire con cura, e la responsabilità resta comunque tua.
C'è anche un aspetto pratico. Le autorità di controllo e i clienti lo chiedono sempre più spesso. Se puoi dimostrare di avere accordi scritti con i tuoi responsabili del trattamento, sei in una posizione più forte. “L'abbiamo concordato a voce” è una risposta che solleva domande.
Una precisazione importante: non ogni situazione richiede una DPA, e i requisiti precisi dipendono da chi svolge quale ruolo. Per questo è una valutazione caso per caso, e a volte è sensato farla verificare.
Per le piccole organizzazioni è spesso un punto che crea confusione. Si sente dire che “bisogna avere una nomina a responsabile del trattamento”, ma raramente per cosa esattamente. Nella pratica riguarda i soggetti che trattano dati per tuo conto: per esempio un software di contabilità, un servizio di newsletter o il tuo fornitore di email, a seconda di come li usi. Per ciascuno di essi la domanda se serva un accordo va posta separatamente. Avere una panoramica di quali siano questi soggetti è quindi il primo passo, e il più importante.
Come funziona
Per capire se te ne serve una, è utile distinguere i ruoli:
- Titolare del trattamento. Sei tu, se decidi perché e come vengono trattati i dati personali. La regia è tua.
- Responsabile del trattamento. È un soggetto che tratta dati personali per tuo conto, secondo le tue istruzioni, senza deciderne lo scopo.
- L'accordo. Se un soggetto esterno tratta dati per tuo conto, il GDPR può richiedere una nomina a responsabile del trattamento. Vi sono indicati tra l'altro l'oggetto e lo scopo, i tipi di dati, le misure di sicurezza, la riservatezza, il ricorso a sub-responsabili e cosa succede alla fine della collaborazione.
Se un fornitore di email sia un responsabile del trattamento nella tua situazione dipende da come usi il servizio e da quali dati vi vengono trattati. È proprio il tipo di valutazione per cui, in caso di dubbio, ti rivolgi a uno specialista. Cosa comporti inoltre “conforme al GDPR” lo leggi in email conforme al GDPR: cosa significa.
A cosa fare attenzione
Alcuni punti di attenzione e malintesi:
- Pensare che ti serva sempre una nomina a responsabile del trattamento. Non è così. Dipende dai ruoli e da cosa viene trattato esattamente. Non avere fretta, ma non ignorare la questione.
- Confondere i ruoli. Un soggetto non è automaticamente “responsabile del trattamento”. A volte un fornitore di servizi è esso stesso titolare del trattamento per determinati dati. Questa qualifica determina quali accordi sono adatti.
- Firmare un testo standard alla cieca. Un accordo deve essere adatto alla tua situazione e ai dati che tratti. Leggi cosa contiene e verifica che le misure di sicurezza e i sub-responsabili indicati siano corretti.
- Pensare che l'accordo faccia il lavoro al posto tuo. La carta da sola non ti rende conforme. Il tuo modo di lavorare, la sicurezza e l'attenzione continuano a contare. Vedi anche il GDPR per le piccole organizzazioni.
Ancora una volta: questi sono punti di attenzione generali, non un giudizio legale definitivo sulla tua situazione. Se e quale nomina a responsabile del trattamento ti serva è una valutazione caso per caso; in caso di dubbio rivolgiti a uno specialista o all'autorità belga per la protezione dei dati (GBA/APD).
E con Mailflux
Mailflux ospita la tua email in Europa, in conformità al GDPR, sul tuo dominio, con connessioni crittografate, filtri contro spam, phishing e malware, backup automatici e autenticazione a due fattori opzionale. I tuoi contenuti non vengono analizzati per la pubblicità. È la base tecnica e organizzativa su cui continui a costruire.
Ti serve una nomina a responsabile del trattamento per la tua situazione, o vuoi sapere quali accordi sono possibili? Contatta pure Mailflux e vediamo insieme cosa si può fare. Cosa sia richiesto nel tuo caso dipende dalla tua situazione e dai ruoli; in caso di dubbio rivolgiti a uno specialista. Per saperne di più sul lato hosting leggi hosting email europeo con il tuo dominio.
FAQ
Domande frequenti
Mi serve sempre una nomina a responsabile del trattamento per la mia email?
Non sempre. Dipende dai ruoli e da cosa viene trattato esattamente. Se un soggetto esterno tratta dati personali per tuo conto, il GDPR può richiedere un accordo. Cosa valga nel tuo caso è una valutazione caso per caso; in caso di dubbio rivolgiti a uno specialista.
Cosa deve contenere una nomina a responsabile del trattamento?
Il GDPR (articolo 28) indica tra l'altro l'oggetto e lo scopo del trattamento, i tipi di dati, le misure di sicurezza, la riservatezza, gli accordi sui sub-responsabili e cosa succede alla fine della collaborazione. Il contenuto preciso dipende dalla tua situazione.
Mailflux offre una nomina a responsabile del trattamento?
Per questo contatta Mailflux e vediamo insieme cosa è possibile per la tua situazione. La base, un hosting europeo conforme al GDPR con connessioni crittografate, c'è in ogni caso. Cosa serva in più è una valutazione caso per caso; in caso di dubbio rivolgiti a uno specialista.
Qual è la differenza tra un responsabile del trattamento e un titolare del trattamento?
Il titolare del trattamento decide perché e come vengono trattati i dati personali; sei tu, per i tuoi clienti o soci. Un responsabile del trattamento tratta quei dati per tuo conto, secondo le tue istruzioni. Dai ruoli dipende se il GDPR richiede degli accordi, e quali.