Source: http://marcellopolacchini.postilla.it/2011/10/14/l%E2%80%99affidamento-in-outsourcing-di-un-trattamento-non-fa-venire-meno-la-titolarita-del-trattamento-dei-dati-e-la-relativa-responsabilita/
Timestamp: 2018-10-19 10:47:32+00:00
Document Index: 160576219

Matched Legal Cases: ['art. 17', 'art. 4', 'art. 3', 'art. 11', 'art. 4', 'art. 28', 'art. 4', 'art. 29', 'art. 29', 'art. 4', 'art. 28', 'art. 11', 'art. 28', 'art. 4', 'art. 29', 'art. 2']

L’affidamento in outsourcing di un trattamento non fa venire meno la titolarità del trattamento dei dati e la relativa responsabilità - Il Blog di Marcello Polacchini
Postilla » Impresa » Il Blog di Marcello Polacchini » Privacy » L’affidamento in outsourcing di un trattamento non fa venire meno la titolarità del trattamento dei dati e la relativa responsabilità
Recentemente il Garante per la privacy ha dato notizia del suo provvedimento n. 285 del 7 luglio 2011, emanato ai sensi dell’art. 17 del Codice della privacy, secondo il quale “Il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici… in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell’interessato… prescritti dal Garante… nell’ambito di una verifica preliminare all’inizio del trattamento, effettuata… anche a seguito di un interpello del titolare”.
Con il provvedimento il Garante ha risposto a una richiesta di verifica preliminare presentata da una società di trasporti che voleva installare a bordo dei veicoli aziendali un sistema satellitare per localizzare i veicoli e nel contempo elaborare un rapporto di guida contenente i tempi di percorrenza dei mezzi, la loro velocità media, le distanze percorse e i consumi di carburante.
La società istante aveva precisato all’Authority che il sistema di geolocalizzazione sarebbe stato fornito e gestito da una società terza fornitrice del servizio e che la conservazione dei dati rilevati sarebbe stata fatta sul server di un’ulteriore società terza. Inoltre, dato che l’impianto di localizzazione satellitare poteva consentire anche una forma di controllo a distanza dell’attività dei lavoratori, la società aveva comunicato al Garante di avere già ottenuto la necessaria autorizzazione preventiva da parte della competente DPL, ai sensi dell’art. 4 della legge n. 300/1970. L’autorizzazione ottenuta dalla società di trasporti vietava l’uso del sistema satellitare al fine di controllo delle attività lavorative dei suoi dipendenti e vietava anche l’uso dei dati raccolti per contestare eventuali illeciti disciplinari commessi dagli stessi. Inoltre, l’autorizzazione della DPL disponeva che la registrazione dei dati non eccedesse le necessità della disposizione logistica dei mezzi, della telecomunicazione di servizio e dei rapporti di viaggio.
Nel suo provvedimento il Garante per la privacy ha riconosciuto la liceità delle finalità del trattamento dichiarate dalla società istante, ritenendole riconducibili a precise esigenze organizzative e produttive, ma ha precisato che per il perseguimento di tali finalità la società di trasporti dovrà trattare solo i dati idonei a localizzare i veicoli, quando necessario, e le informazioni indispensabili per la compilazione dei rapporti di guida (cioè la distanza percorsa e il consumo di carburante), mentre non potrà trattare ulteriori dati che possano comportare un controllo sulla condotta di guida dei lavoratori conducenti (come ad esempio quelli relativi alla velocità media).
Pertanto, secondo l’Authority, nel rispetto dell’art. 3 del Codice la società dovrà adottare adeguate soluzioni tecnologiche affinché non siano trattati dati non necessari rispetto alle finalità perseguite e autorizzate.
Inoltre, secondo quanto previsto dall’art. 11 del Codice, i dati personali trattati non potranno essere conservati per un tempo superiore a quello necessario al conseguimento delle finalità legittimamente perseguite. In particolare, il Garante precisa che la società di trasporti potrà conservare i dati relativi alle presenze e ai tempi di lavoro dei dipendenti per cinque anni (secondo quanto prescritto dalle norme sulle modalità di tenuta e di conservazione del libro unico del lavoro, nel quale quei dati devono essere annotati), mentre gli altri dati, diversi da quelli personali o comunque resi anonimi, potranno essere trattati anche per un periodo più lungo.
Fin qui la decisione del Garante sulla specifica istanza della società di trasporti, ma l’aspetto a mio avviso più interessante della decisione dell’Authority è quello che riguarda il rapporto intercorrente tra la società istante e le altre società che si occupano della gestione del sistema di localizzazione e della conservazione dei dati raccolti. Tali soggetti terzi (che operano in outsourcing) non possono certamente essere considerati degli autonomi “titolari del trattamento”. Essi, infatti, forniscono un servizio alla società di trasporti sulla base di uno specifico contratto e quindi operano per conto e nell’interesse della società committente, la quale deve fornire loro le direttive operative e le istruzioni pratiche per eseguire il trattamento dei dati loro affidato. Tali società terze, non hanno quindi il potere, del tutto autonomo, di decidere riguardo alle finalità, alle modalità del trattamento ed agli strumenti utilizzati per lo stesso (potere che secondo l’art. 4, comma 1, lettera f) e l’art. 28 del Codice compete solo al titolare del trattamento).
Dunque, il vero e unico “titolare” è solo la società di trasporti, la quale, ai sensi dell’art. 4 comma 1, lettera. g) e dell’art. 29 commi 4 e 5 del Codice, ha l’obbligo di designare formalmente per iscritto come “responsabili del trattamento” i soggetti terzi che operano in outsourcing (cioè le due società fornitrici di servizi), nonché l’obbligo di impartire alle stesse le necessarie istruzioni operative, anche sulla base delle prescrizioni stabilite dal Garante con il suo provvedimento.
In sostanza, i trattamenti di dati fatti dai soggetti esterni ricadono sotto la giurisdizione del titolare e il responsabile non ha ampi poteri decisionali in merito alle tipologie di trattamento da eseguire e alle loro modalità. Gli outsourcers quindi si devono limitare a eseguire i trattamenti indicati dal titolare, rispettando le istruzioni loro impartite per garantire la sicurezza dei dati che gli sono stati affidati.
Ovviamente, sul titolare grava sempre l’obbligo di vigilare sulla puntuale osservanza delle disposizioni da esso impartite, anche tramite verifiche periodiche (v. art. 29, comma 5) e si tratta di un onere che può essere piuttosto gravoso e rischioso accollarsi da parte del titolare. E’ del tutto evidente infatti, che per effettuare il controllo sull’operato del responsabile la soluzione migliore sarebbe quella di fare un sopralluogo presso il responsabile stesso, ma questa strada nella pratica è difficilmente percorribile. In alternativa il titolare potrebbe chiedere annualmente ai responsabili esterni una relazione sul loro operato in ordine ai compiti attribuiti con la nomina ricevuta; ma francamente non credo che questa relazione sarebbe facilmente ottenibile. Migliore soluzione potrebbe essere quella di inviare ai responsabili esterni un questionario con domande mirate e risposte multiple, che riporti anche un campo per le eventuali note, in modo da poter verificare almeno sulla carta il rispetto della normativa sulla privacy e l’adempimento dei compiti affidati esternamente.
Il problema del controllo rimane dunque molto delicato, dato che la responsabilità grava sempre sul titolare del trattamento.
Letture: 9103 | Commenti: 14 |
14 Commenti a “L’affidamento in outsourcing di un trattamento non fa venire meno la titolarità del trattamento dei dati e la relativa responsabilità”
Baronio Anna scrive:
Scritto il 23-10-2011 alle ore 09:28
Prima di tutto, grazie di esistere! Sintetico e chiaro come nessuno nello spiegare cose anche complicate!
Le pongo un quesito: una società affida la gestione del personale ad una cooperativa, cioè chi lavora per la società, con strumenti della società presso la sede della stessa società in verità è dipendente della cooperativa.
Come procedo per le nomine ad incaricato?
La società nomina incaricati i singoli dipendenti e responsabile la cooperativa?
Scritto il 30-10-2011 alle ore 13:37
Innanzitutto la ringrazio per le sue parole Anna. Commenti come il suo mi gratificano e mi stimolano a continuare ad approfondire la materia della privacy.
La risposta al suo quesito è semplicissima.
La Società nomina la Cooperativa “Responsabile esterno del trattamento”; mentre la Coopertaiva nomina i propri soci/dipendenti che trattano i dati della Società “Incaricati del trattamento”. Questo perchè solamente il Titolare o il Responsabile del trattamento dei dati personali può nominare i propri Incaricati. Gli Incaricati devono avere un rapporto gerarchico rispetto al Titolare o al Responsabile, perciò devono essere suoi dipendenti o collaboratori che eseguono le istruzioni per il trattamento dei dati loro affidati; istruzioni che gli devono essere fornite per iscritto dal Titolare o dal Responsabile stesso nella lettera di nomina quale “Incaricato del trattamento”.
In pratica la Socieà non può nominare Incaricati i dipendenti di un altro soggetto giuridico (la Cooperativa).
Scritto il 2-11-2011 alle ore 15:19
Metaj Ali scrive:
Scritto il 13-2-2012 alle ore 00:29
Salve,vorrei chiedere cortesemente un informazione, come posso chiedere al comune per installare un videocamera di sorveglianza nel parcheggio del quartiere proprietà del comune.Questa videosorveglianza viene chiesta a causa dei diversi danni causate a tutte le machine dei condomini del quartiere ripetutamente per diversi anni e che continua ancora.Grazie.
claudio spadi scrive:
Scritto il 8-5-2013 alle ore 11:09
Gentile dottor Polacchini, sperando di postare correttamente la questione nel topic giusto vorrei sottoporle un mio dubbio circa la differenza tra titolare autonomo e responsabile del trattamento.
Per essere considerato titolare autonomo devono concorrere almeno 5 condizioni (come si desume da art. 4 lettera f e da art. 28):
1)sia una persona fisica o giuridica
2)compia un trattamento
3)decida lui le modalità del trattamento
4)decida lui le finalità del trattamento
5)decida lui quali strumenti utilizzare per compiere il trattamento e per proteggere i dati.
La società che gestisce la localizzazione satellitare degli autocarri della ditta cliente è:
1) una persona giuridica
2) compie un trattamento e nello specifico si può presumere almeno la raccolta, la registrazione e la conservazione dei dati nonché la comunicazione dei dati al cliente su richiesta
3) decide le modalità: magari ad esempio raccoglie i dati dal satellite ogni 5 minuti e li registra e la società di trasporti deve per forza accettare questa modalità perché non ce ne sono altre disponibili
4) decide le finalità: (qui è più difficile!)raccoglie i dati perché il suo scopo determinato, esplicito e legittimo (art. 11 lettera b) è quello di fornire il servizio richiesto dal cliente!!!!!
5) decide gli strumenti e le misure di protezione relative al trattamento.
Mi scuso da subito per l’evidente tendenziosità della questione (di fatto un “bieco” tentativo di arrampicarsi sugli specchi) ma converrà che per un’azienda è molto più semplice gestire autonomi titolari piuttosto che responsabili esterni. Grazie e saluti.
Scritto il 9-5-2013 alle ore 13:50
Salve vorrei sapere se i cartelli relativi alla videosorveglianza debbono contenere obbligatoriamente l’indicazione sul responsabile dei dati e la loro finalità. Spesso noto cartelli generici senza queste due informazioni. Ci sono sanzioni in merito?
Scritto il 9-5-2013 alle ore 14:23
Claudio, la questione è posta correttamente e il caso da lei prospettato è pertinente, ma francamente non vedo come si possa aggirare l’ostacolo della piena responsabilità che grava sul titolare del trattamento.
Il “titolare”, a mio avviso, è e rimane la società di trasporti. La società terza che si occupa della gestione del sistema di localizzazione e della conservazione dei dati raccolti (outsourcer) non può essere considerata un autonomo “titolare”, perché tale società si limita a fornire al titolare vero e proprio, sulla base di uno specifico contratto, un servizio, e quindi opera per conto e nell’interesse del committente che deve fornirle le direttive operative e le istruzioni pratiche per eseguire il trattamento dei dati affidatole, in particolare per ciò che riguarda le misure di sicurezza da osservare.
La società terza – a mio parere – non ha un autonomo e completo potere decisionale, in quanto deve pur sempre rispettare le direttive del vero titolare del trattamento. In sostanza, la società esterna non ha gli ampi poteri decisionali riguardo alle tipologie di trattamento da eseguire e alle sue modalità previsti dall’art. 28 del Codice, e il trattamento di dati fatto dalla società esterna ricade sempre sotto la giurisdizione del titolare.
Al massimo si potrebbe parlare di una “contitolarità” del trattamento, ma questa è un’ipotesi marginale che, in ogni caso, non farebbe venire meno le responsabilità di ciascun titolare riguardo i dati raccolti tramite il sistema satellitare.
Secondo me quindi, il vero e unico “titolare” è la società di trasporti, che ha l’obbligo di designare formalmente per iscritto come “responsabile” il soggetto terzo che opera in outsourcing (art. 4 comma 1, lettera. g) e art. 29 commi 4 e 5 del Codice), e soprattutto ha l’obbligo di impartirgli le istruzioni operative necessarie e di vigilare sul loro rispetto.
Scritto il 9-5-2013 alle ore 14:26
Alessandro i cartelli di avviso sulla presenza di un impianto di videosorveglianza (cd. “informativa minima”) debbono contenere obbligatoriamente l’indicazione del titolare del trattamento (o del responsabile) e la finalità del trattamento medesimo.
La mancata indicazione di questi aspetti può fare scattare la sanzione amministrativa prevista dal Codice della privacy per l’omessa o INCOMPLETA informativa.
Solo una domanda: che cosa c’entra la sua domanda con l’argomento di questo topic??!
Scritto il 9-5-2013 alle ore 14:41
Egr. Marcello
scusi ma ho sbagliato a inserire il commento. volevo aprire una nuova discussione in merito a:
CARTELLI NON IDONEI
CARTELLI PRESENTI MA SENZA TELECAMERE
TELECAMERE FINTE CON O SENZA CARTELLI.
Devo riuscire a capire come inserire la discussione. non sono molto pratico di internet
Scritto il 9-5-2013 alle ore 17:57
Gentile dottor Polacchini, mi limito a fare una sola ed ultima riflessione in merito al caso e la ringrazio del tempo che mi ha concesso. Mi sto appassionando all’argomento ed ho trovato molto interessante il suo libro “privacy in azienda” (tra l’altro le faccio i miei complimenti perché molto ben scritto oltre che illuminante).
La questione da me posta non mira a “deresponsabilizzare” (testualmente “aggirare l’ostacolo della piena responsabilità”) in tema di tutela del trattamento dei dati la società di trasporti; è infatti del tutto evidente che tale società tratta tali dati e deve perciò mettere in pratica tutte le misure previste dal codice (informative; incaricati; misure di sicurezza ecc.).
Il fatto è che anche la società che gestisce la localizzazione satellitare tratta tali dati. Certo i trattamenti fatti dai due soggetti sono diversi: la società che gestisce il satellite raccoglie, registra, organizza, conserva, elabora, blocca (nel caso magari che l’altro non paga le fatture del servizio!!!), comunica, cancella e distrugge secondo modalità e finalità che meglio crede utili per il cliente; la società di trasporto consulta, elabora, seleziona, estrae (magari da un archivio on line), raffronta, utilizza, comunica, diffonde, cancella e distrugge tali dati secondo modalità e finalità che meglio crede. I dati sono gli stessi ma il trattamento può essere diverso (per questo la nozione di contitolarità del trattamento mi pare dubbia). Se ogni soggetto compie un trattamento e ne decide modalità,finalità e protezione, ogni soggetto è responsabile della riservatezza di tali dati trattati e considerato dalla legge come titolare; se ogni soggetto è titolare e responsabile della riservatezza, ogni soggetto deve mettere in pratica le misure per la tutela; nel rapporto tra due soggetti titolari ed impegnati a garantire la riservatezza dei dati nei propri sistemi basta una dichiarazione di essere autonomo titolare e rispettare la normativa privacy. Di fatto si giunge a qualcosa di simile a cui lei giungeva alla fine dell’articolo dicendo che, essendo i controlli sui responsabili esterni molto difficili e malvisti, una soluzione alternativa poteva essere l’invio di un questionario da riavere compilato attraverso il quale “verificare almeno sulla carta il rispetto della normativa privacy”. La conclusione a cui si arriva (cioè un semplice foglio di carta sia questo una dichiarazione come la vedo io o un questionario come la vede lei) è quasi simile ma, e qui concludo, anche in ragione della finalità stessa del codice (art. 2) non è forse meglio responsabilizzare al massimo grado tutti i soggetti coinvolti (dal punto di vista sanzionatorio il ruolo di titolare fa venire i brividi) piuttosto che per un soggetto, in questo caso la società di gestione del satellite, limitare l’impegno della privacy ad una semplice compilazione di un questionario. Grazie e saluti.
Scritto il 10-5-2013 alle ore 10:41
Alessandro comprendo la sua scarsa dimestichezza con Internet, ma volevo segnalarle che Postilla.it non è un FORUM, nel quale ogni utente può aprire nuove discussioni, ma è solamente un BLOG in cui ciascun professionista titolare del blog scrive dei “topic” relativi ad argomenti di sua competenza e sollecita una discussione su tali argomenti.
Molto spesso però, il blog viene utilizzato dagli utenti per porre ai professionisti delle domande (e non per discutere dell’argomento o commentarlo) e per di più le domande non sono attinenti all’argomento specifico.
Scritto il 10-5-2013 alle ore 11:50
Signor Spandi la questione secondo me sta tutta nel comprendere bene a che cosa si riferisce la “titolarità” dei dati.
La società che gestisce la localizzazione satellitare è sicuramente “titolare del trattamento” per quanto riguarda i dati dei propri clienti, ai quali pertanto deve applicare tutto ciò che prevede il Codice della privacy (in particolare le misure di sicurezza), ma non è titolare del trattamento dei dati dei dipendenti dei clienti. Di questi dati, a mio avviso, sono e rimangono titolari i singoli clienti, i quali, per responsabilizzare e coinvolgere maggiormente la società che fornisce il servizio di localizzazione satellitare dei veicoli all’interno dei quali si trovano i loro dipendenti, possono facoltativamente decidere di nominarli “responsabili esterni del trattamento”. La responsabilità principale però rimane sempre in capo al titolare, che deve necessariamente fornire all’eventuale responsabile le istruzioni per il trattamento dei dati (in particolare per la loro sicurezza) e deve controllare, nel modo ritenuto più opportuno, che tali istruzioni siano rispettate.
La ringrazio per l’apprezzamento manifestato sul mio libro che ormai… sembra essere diventato un punto di riferimento sulla materia e con l’occasione la informo dell’imminente uscita di un nuovo e ben più completo libro (del quale io sono uno dei coautori) intitolato: “Il Privacy Officer, figura chiave della data protection europea”, che sarà presentato il prossimo 23 maggio al “Privacy Day Forum”.
Si tratta di un manuale operativo di 400 pagine edito da IPSOA e realizzato da Federprivacy con i contributi dei maggiori esperti della materia, destinato a coloro i quali devono gestire la privacy nelle aziende, preparandosi a svolgere il ruolo di “Data Protection Officer” .
Il Privacy Officer è una figura con competenze giuridiche e informatiche da molti anni diffusa oltreoceano, che arriverà anche in Europa grazie al nuovo Regolamento Europeo sulla protezione dei dati che a breve entrerà in vigore contemporaneamente in tutti i 27 Stati membri UE e che in Italia sostituirà il Codice della privacy (D.Lgs. n. 196/03).
Per effetto delle nuove regole comunitarie tutte le pubbliche amministrazioni e le imprese che rientreranno in determinati parametri dovranno obbligatoriamente dotarsi di questa figura professionale che nel nostro Paese assumerà la denominazione di “Responsabile della protezione dei dati”.
Scritto il 10-5-2013 alle ore 23:05
ma allora praticamente a che sanzioni si va incontro per l’apposizione di cartelli ove le telecamere non esistono.
E per le telecamere finte o spente?
c’è una sanzione specifica sulla privacy oppure c’è una violenza privata visto che le telecamere finte o il cartello della loro presenza ma inesistenti provoca nelle persone un atteggiamento non naturale
Marcello Polacchin scrive:
Scritto il 11-5-2013 alle ore 09:22
Alessandro, dato che lei continua a postare domande sull’informativa in questo thread che riguarda i responsabili esterni del trattamento, la invito a… fare un pò di pratica con l’utilizzo di Internet e a usare un motore di ricerca (ad es. Google) per trovare ciò che le interessa.
E’ molto facile: basta digitare le parole chiave “informativa privacy”, “cartello di avviso videosorveglianza”, “telecamera finta”, sanzioni privacy”, eccetera.
Oltretutto, nel thread opportuno ho già risposto molte volte a tutte le sue domande e non mi va di ripetermi.
Infine, le preciso che (come scritto chiaramente nel mio “profilo”) io mi occupo esclusivamente di privacy nelle aziende e non fornisco consulenza gratuita ai privati cittadini.