Verificare il DPA: i punti critici nella pratica

Punti chiave

• Un DPA mancante o lacunoso può comportare sanzioni, entro il limite di legge fino a 10 milioni di euro.
• Quando il fornitore coinvolge nuovi sub-fornitori, ti serve nel contratto un vero diritto di opposizione.
• Per rispettare il termine di notifica di 72 ore in caso di violazione dei dati, il DPA deve obbligare il fornitore di servizi a informarti in fretta.
• Dopo la fine del contratto deve essere regolato con chiarezza come e quando i tuoi dati vengono eliminati del tutto.

Perché la verifica del DPA si inceppa nella quotidianità

Quando acquisti software per la tua azienda, gli strumenti esterni trattano quasi sempre dati personali della tua clientela. Secondo l'art. 28 GDPR un accordo sul trattamento dei dati è un obbligo di legge. Se questo contratto manca o presenta lacune, si rischiano sanzioni ai sensi dell'art. 83, par. 4, GDPR fino a 10 milioni di euro o al 2 per cento del fatturato annuo mondiale¹. Che vengano puniti anche gli illeciti piccoli lo mostra un caso di Amburgo: un'azienda di vendita per corrispondenza ha ricevuto una sanzione di 5.000 euro più 250 euro di spese perché non aveva stipulato alcun accordo sul trattamento dei dati con un fornitore di servizi incaricato².

Il caos di carte nella quotidianità aziendale.

La realtà nelle piccole e medie imprese è di solito diversa da quella dei manuali. I contratti standard dei fornitori di software comprendono spesso decine di pagine di clausole giuridiche. Senza un ufficio legale interno, nella quotidianità si perde tempo prezioso. Chi guida l'azienda e chi guida un team deve valutare i rischi senza passare ore sui testi di legge.

Una verifica strutturata protegge la tua azienda dalle brutte sorprese. Invece di trattare ogni frase con l'avvocato, ti concentri sui punti critici in cui i contratti falliscono nella pratica. Questa guida non è una consulenza legale, serve da orientamento operativo. Se una clausola lascia dubbi, conviene rimandarla a una verifica legale.

• Sub-fornitori: chi tratta i tuoi dati dietro le quinte?
• Diritto di impartire istruzioni: mantieni il controllo pieno sul software?
• Diritti di audit: quanto sono dimostrabili le misure di protezione?
• Termini di notifica: ricevi notizia in tempo quando serve?
• Eliminazione: che cosa succede ai tuoi dati dopo la disdetta?

L'elenco dei subprocessori: chi legge davvero i tuoi dati?

Nessun servizio cloud moderno gestisce da solo tutta la propria infrastruttura. I fornitori SaaS usano data center esterni per l'hosting, terze parti per l'invio di email o motori di ricerca specializzati per l'analisi dei dati. Nel diritto della protezione dei dati questi fornitori di servizi si chiamano subprocessori o sub-responsabili del trattamento.

La trasparenza batte le promesse generiche.

Un contratto solido nomina tutti i sub-fornitori impiegati con nome, funzione e sede. Il punto critico sta nelle modifiche di questo elenco. Se il contratto consente al fornitore di coinvolgere nuovi sub-fornitori senza il tuo consenso esplicito, perdi il controllo sul percorso dei dati.

Ti serve una comunicazione garantita per contratto prima di ogni cambio. Il contratto deve concederti una finestra adeguata di almeno 14 giorni per opporti al coinvolgimento di un nuovo sub-fornitore. Se non è previsto alcun diritto di opposizione oppure l'informazione arriva solo attraverso una pagina web nascosta, la clausola non risponde ai requisiti di un trattamento dei dati sicuro.

Il diritto di impartire istruzioni: i limiti del controllo nella quotidianità SaaS

Come cliente resti il proprietario legale dei dati trattati e il titolare del trattamento. Il fornitore di servizi può trattare i tuoi dati solo esattamente come glielo indichi. Questo diritto di impartire istruzioni è il cuore del trattamento per conto ai sensi dell'art. 28 GDPR.

Come funzionano le istruzioni nella pratica.

Con software standardizzato raramente impartisci istruzioni per lettera o email. La configurazione dell'applicazione, l'attivazione di funzioni o l'impostazione di termini di eliminazione nell'interfaccia valgono come istruzione tecnica. Il contratto deve stabilire che l'uso del software vale come tua istruzione.

Un punto spesso trascurato è l'obbligo di avviso del fornitore. Il contratto deve obbligare il fornitore di servizi a informarti senza ritardo quando un'istruzione che hai impartito viola il diritto della protezione dei dati. Se questa clausola manca, l'intero rischio delle configurazioni illecite ricade solo su di te.

• Determinazione chiara: le impostazioni del software valgono come istruzione giuridicamente valida.
• Forma documentata: la forma testuale via email o sistema di ticket è sufficiente.
• Obbligo di avviso attivo: il fornitore ti informa in caso di istruzioni illecite.
• Limiti alle modifiche: il fornitore non può adattare le istruzioni di propria iniziativa.

Diritti di audit: tra la carta e le verifiche reali

Il GDPR ti obbliga a controllare con regolarità il rispetto delle misure tecniche e organizzative presso il fornitore di servizi. Un audit in loco nel data center del fornitore è però praticamente impossibile con i servizi cloud. Nessun data center concede a visitatori esterni libero accesso alle sale server.

I certificati come via di verifica pragmatica.

Il contratto deve perciò fissare misure sostitutive chiare per gli audit fisici. Le relazioni di audit riconosciute secondo ISO 27001, SOC 2 o BSI C5 attestano la sicurezza dell'infrastruttura tramite terze parti indipendenti. È importante che il fornitore ti metta a disposizione queste prove gratuitamente e senza lunghi ritardi.

Un contratto che lega i diritti di verifica a costi elevati o esclude in blocco gli audit non è accettabile. Devi mantenere il diritto di chiedere informazioni aggiuntive in caso di dubbi fondati o dopo incidenti di sicurezza.

Nella pratica hai tre vie di verifica. Un audit in loco offre la visione più diretta, ma presuppone viaggio, accordo sulle date e personale specializzato proprio, e i grandi fornitori cloud di regola non lo concedono affatto. I certificati e le relazioni di audit riconosciuti secondo ISO 27001, SOC 2 o BSI C5 sono redatti da auditor indipendenti e si possono per lo più richiedere subito, a te resta solo da leggerli rispetto ai tuoi requisiti. I questionari stanno nel mezzo: rispondono alle tue domande specifiche, ma richiedono che sia tu a formulare le domande e a valutare le risposte, e il fornitore ha bisogno di tempo per rispondere.

Termini di notifica: quando ogni ora conta

Se presso il fornitore di servizi si verifica una falla di sicurezza, il tempo corre. Ai sensi dell'art. 33 GDPR devi notificare una violazione dei dati personali all'autorità di controllo competente entro 72 ore da quando ne vieni a conoscenza³. Questo termine corre senza interruzione, anche nei fine settimana e nei giorni festivi³.

Senza ritardo non basta come parola.

Il legislatore chiede al responsabile del trattamento di informare senza ritardo il titolare del trattamento sugli incidenti di sicurezza³. Nel contratto questa parola indeterminata andrebbe precisata con un'indicazione di tempo concreta. Se il fornitore ti informa solo dopo due giorni, ti restano poche ore per le tue analisi.

Concorda nel contratto un termine di notifica da 24 a 48 ore al massimo dalla scoperta dell'incidente. Il fornitore deve trasmetterti tutte le informazioni disponibili sull'entità della violazione, sulle categorie di dati coinvolte e sulle contromisure avviate.

• Arco di tempo concreto: notifica a te entro un massimo da 24 a 48 ore.
• Indicazioni complete: tipo di incidente, persone coinvolte e categorie di dati.
• Referente: indicazione di un contatto diretto per le emergenze.
• Obbligo di documentazione: relazione scritta sulle cause e sulle contromisure.

Eliminazione dopo la fine del contratto: il taglio netto

Dopo la fine della collaborazione i tuoi dati non possono restare sui server del fornitore di servizi. L'art. 28, par. 3, primo periodo, lett. g), GDPR prescrive che tutti i dati personali siano, a scelta del cliente, o eliminati del tutto o restituiti.

Ostacoli nascosti alla disdetta.

Nella pratica alcuni fornitori provano a far pagare le esportazioni di dati o a imporre lunghi periodi di conservazione. Un contratto serio garantisce che l'esportazione dei tuoi dati in un formato diffuso come JSON o CSV sia possibile gratuitamente.

Fai attenzione a una conferma scritta dell'eliminazione. Il fornitore di servizi deve confermare per iscritto, entro un termine definito, l'eliminazione definitiva di tutte le copie, anche nei backup. Gli obblighi di conservazione di legge del fornitore sono l'unica eccezione.

• Diritto di scelta: decisione tra eliminazione completa e restituzione dei dati.
• Formato diffuso: esportazione gratuita di tutte le strutture di dati.
• Eliminazione nei backup: eliminazione nelle copie di sicurezza entro un termine adeguato.
• Conferma: prova scritta dell'eliminazione effettuata.

Un esempio dalla pratica: supporto senza mal di testa da DPA

Che software moderno per il servizio clienti e protezione dei dati affidabile stiano insieme lo mostra ComLayer. Come piattaforma per il supporto clienti con IA, lo strumento tratta le richieste della clientela per conto delle aziende. Tutti i contenuti e le conversazioni restano in regioni europee.

Automazione senza zone grigie giuridiche.

Per il rispetto di tutti i requisiti di privacy, ComLayer mette a disposizione un accordo sul trattamento dei dati verificato. I fornitori di servizi impiegati vengono nominati apertamente. L'IA non usa i dati dei clienti per scopi di addestramento propri. Così si può usare IA conforme al GDPR nel supporto senza creare incertezza giuridica.

Il modello di prezzi flessibile permette a team di ogni tipo di iniziare. L'offerta parte con la variante Free a 0 euro al mese per provare. Per un supporto IA in produzione c'è il piano Pro da 49 euro al mese più 12 euro per posto, mentre il piano Scale copre volumi maggiori a 199 euro al mese.

• Hosting nell'UE: tutti i contenuti restano su server europei.
• DPA trasparente: modelli di contratto pronti ai sensi dell'art. 28 GDPR disponibili.
• Nessun addestramento dei modelli: la tua base di conoscenza resta tua proprietà protetta.
• Comunicazione aperta: tutti i sub-fornitori sono elencati in modo trasparente.

Domande frequenti