Nomina a responsabile del trattamento (art. 28 GDPR): guida e fac simile

È il documento che quasi ogni agenzia dovrebbe avere firmato con ogni cliente e che quasi nessuna ha. Non per negligenza: perché il rapporto sembra già coperto dal contratto principale, perché la materia è tecnica, e perché i modelli disponibili sono quasi tutti pensati per la pubblica amministrazione e trattano di archivi e protocolli invece che di liste email e pixel di conversione.

Il punto è che nel marketing digitale il trattamento di dati personali per conto del cliente è la regola, non l’eccezione. Chi gestisce una piattaforma di invio delle email tratta indirizzi e comportamenti di apertura; chi gestisce le campagne carica liste di contatti e riceve dati di conversione; chi gestisce i social legge i messaggi ricevuti; chi mantiene un sito ha accesso alla base dati che contiene le anagrafiche. Ogni volta serve un atto di nomina.

Quando serve e quando no

La distinzione decisiva è fra chi decide le finalità del trattamento e chi lo esegue per conto di altri. Il cliente che decide di raccogliere contatti tramite il sito, di inviare comunicazioni commerciali e di costruire pubblici pubblicitari è titolare del trattamento. L’agenzia che esegue queste attività seguendo le sue istruzioni è responsabile del trattamento, e va nominata.

Non serve un atto di nomina quando il fornitore non accede ai dati: un consulente che analizza solo dati aggregati e anonimi, un formatore, un grafico che lavora su materiali privi di dati personali. E non serve quando le due parti trattano gli stessi dati ciascuna per finalità proprie, situazione in cui si è titolari autonomi e il rapporto va disciplinato diversamente.

Il caso ambiguo più frequente riguarda i dati raccolti dall’agenzia per proprie finalità, per esempio i contatti dei referenti del cliente ai fini della gestione del rapporto. Su quelli l’agenzia è titolare autonoma, e la distinzione va tenuta ferma anche nel documento.

Che cosa deve contenere l’atto

Il contenuto minimo non è una questione di stile: è indicato in modo puntuale dall’articolo 28 del Regolamento europeo. L’atto deve specificare materia, durata, natura e finalità del trattamento, i tipi di dati personali e le categorie di interessati, oltre agli obblighi e ai diritti del titolare. Un atto che rinvia genericamente al contratto senza descrivere il trattamento è incompleto anche se firmato da entrambi.

Sul versante degli obblighi del responsabile, l’articolo richiede che l’atto preveda: il trattamento solo su istruzione documentata; l’impegno alla riservatezza delle persone autorizzate; l’adozione di misure di sicurezza adeguate; la disciplina del ricorso ad altri responsabili; l’assistenza al titolare per i diritti degli interessati e per gli adempimenti in materia di sicurezza, violazioni e valutazioni d’impatto; la cancellazione o restituzione dei dati al termine; la messa a disposizione delle informazioni necessarie a dimostrare la conformità e la possibilità di verifiche.

Sono otto punti, e un atto che ne salta anche uno solo è incompleto rispetto alla norma. Per questo il fac-simile li segue nell’ordine, in modo che sia facile verificare la copertura.

I tre allegati, che sono la parte difficile

Allegato A — la descrizione del trattamento

È quello che soddisfa il requisito di specificità e che quasi tutti compilano in modo generico. Va indicato cosa si tratta davvero: dati anagrafici e di contatto, dati di navigazione e identificativi online, dati relativi agli acquisti, contenuto delle comunicazioni ricevute. E chi sono gli interessati: clienti, potenziali clienti, iscritti alle comunicazioni, visitatori del sito, utenti dei social.

Va anche indicato se sono coinvolte categorie particolari di dati. Nel marketing digitale succede più spesso di quanto si creda: un centro medico, una palestra, un’associazione, un negozio di prodotti per una specifica condizione di salute trattano informazioni che meritano attenzione maggiore, e questo cambia il livello di rischio dell’intero trattamento.

Allegato B — le misure di sicurezza

Deve contenere le misure realmente adottate, non un elenco di buone intenzioni. È il documento che, in caso di controllo o di incidente, dimostra che una valutazione è stata fatta: un elenco copiato da un modello e mai applicato produce l’effetto opposto a quello desiderato, perché documenta un impegno che non è stato rispettato.

Le voci che nel lavoro di un’agenzia contano davvero sono poche e concrete: credenziali individuali invece che condivise, autenticazione a più fattori dove disponibile, gestore di password invece di fogli di calcolo, revisione periodica dei permessi, ambiente di prova senza dati reali, copie di sicurezza con verifica di ripristinabilità, procedura scritta per gli incidenti con un referente indicato.

Allegato C — i sub-responsabili

È l’allegato compilato peggio in assoluto, perché richiede di guardare in faccia una realtà scomoda: un’agenzia digitale si appoggia a molti fornitori che accedono ai dati dei suoi clienti. Rientrano fra i sub-responsabili il fornitore di hosting, la piattaforma di invio delle email, il sistema di gestione dei contatti, gli strumenti di archiviazione e collaborazione, i servizi di analisi, e ogni collaboratore esterno che accede ai sistemi.

Non elencarli non li fa sparire: li rende soltanto non autorizzati, il che è la situazione peggiore. L’atto deve prevedere anche cosa accade quando se ne aggiunge uno nuovo — informazione preventiva al cliente con un termine per opporsi — perché lo stack di strumenti di un’agenzia cambia più volte l’anno.

Nella stessa tabella vanno indicati i trasferimenti verso Paesi terzi e le garanzie applicabili. Molti strumenti di uso quotidiano nel marketing digitale comportano trasferimenti: ignorarli non elimina il problema, lo lascia soltanto non documentato.

Due clausole che meritano attenzione particolare

Il termine per comunicare le violazioni

Il titolare ha un termine stretto per notificare una violazione all’autorità di controllo, e quel termine decorre da quando ne viene a conoscenza. Se il responsabile comunica con giorni di ritardo, il titolare si trova fuori tempo per un fatto che non dipende da lui.

Per questo l’atto deve indicare un termine espresso in ore — ventiquattro o quarantotto sono le scelte più diffuse — e specificare cosa deve contenere la comunicazione: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolti, probabili conseguenze, misure adottate, punto di contatto. Resta al titolare ogni valutazione sulla notifica e sulla comunicazione agli interessati.

La cancellazione e le copie di sicurezza

Alla cessazione del rapporto il responsabile deve cancellare o restituire i dati, a scelta del titolare. Il punto pratico quasi sempre ignorato riguarda le copie di sicurezza: la cancellazione immediata dalle copie non è tecnicamente possibile nella maggior parte dei sistemi, perché le copie sono immutabili fino alla rotazione.

Dichiarare il ciclo di rotazione e indicare entro quando i dati saranno effettivamente eliminati è più corretto — e più difendibile — che promettere una cancellazione istantanea che non avverrà.

Gli errori che si vedono più spesso

Il primo è non averlo affatto, che è la situazione della maggior parte dei rapporti fra agenzie e clienti in Italia.

Il secondo è compilarlo in modo generico, con allegati che rinviano al contratto invece di descrivere il trattamento.

Il terzo è omettere i sub-responsabili, e quindi utilizzarne di non autorizzati.

Il quarto è elencare misure di sicurezza non applicate, che documenta un inadempimento invece di dimostrare conformità.

Il quinto è confonderlo con l’accordo di riservatezza: sono due documenti distinti con funzioni diverse, e servono entrambi.

Come usare il fac-simile

Il documento va allegato al contratto principale, con un richiamo espresso in entrambi. Il corpo dell’atto è relativamente stabile e cambia poco fra un cliente e l’altro; sono gli allegati a richiedere lavoro, e vanno compilati una prima volta con attenzione e poi aggiornati quando cambia qualcosa nello stack di strumenti.

Un consiglio pratico: compilare l’Allegato C una volta sola, per la propria agenzia, e riutilizzarlo per tutti i clienti aggiornandolo quando si aggiunge o si dismette uno strumento. È l’unico modo perché resti veritiero nel tempo.

Sul blog trovi gli approfondimenti collegati su GDPR e privacy nel digital marketing, sulla gestione del consenso e sul tracciamento lato server. Il documento che sta accanto a questo, con funzione diversa, è l’accordo di riservatezza.

Gli altri fac-simile per chi lavora nel digitale

Tutti i modelli sono in PDF e in Word editabile, con download libero e una guida che spiega le clausole una per una: Contratto influencer · Contratto di consulenza SEO · Contratto social media manager · Contratto di realizzazione sito web · Contratto gestione campagne pubblicitarie · Contratto di consulenza web marketing · Contratto di sviluppo ecommerce · Contratto di manutenzione sito web · Accordo di riservatezza (NDA) · Liberatoria per immagine, foto e video · Cessione dei diritti su contenuti e grafiche · Modello di preventivo e proposta commerciale. L’indice completo è nella pagina modelli e fac-simile di contratto.

Domande frequenti

Avvertenza: il fac-simile e i contenuti di questa pagina hanno finalità informativa e divulgativa. Si tratta di un modello generico, non calibrato su un caso concreto: non costituisce un parere legale e non sostituisce l’assistenza di un professionista abilitato. La soluzione migliore resta sempre rivolgersi a uno studio legale specializzato in diritto digitale e contrattualistica d’impresa, che possa redigere un documento cucito su misura sulle caratteristiche del progetto, sul tipo di cliente e sul livello di rischio che si è disposti ad assumersi. Gli aspetti fiscali e previdenziali vanno sottoposti al proprio commercialista.