Source: http://www.dataweb.it/faq/Faq-Risposte.asp?id=929
Timestamp: 2016-09-26 22:23:25+00:00
Document Index: 24935080

Matched Legal Cases: ['art. 29', 'art. 8', 'art. 4', 'art. 29', 'art. 8', 'art. 29', 'art. 29']

FAQ - Privacy: l'outsourcer responsabile del trattamento?
RD Informatica.com F.A.Q.
Domande - RispostePrivacy: l'outsourcer responsabile del trattamento?
Page Chi
Siamo Contatti
Marketing Preventivi
Voip - Sms
Lavoro Pagamenti
mail FAQ News
Privacy: l'outsourcer responsabile del trattamento?
Negli ultimi anni si � venuta affermando una prassi secondo cui l'outsourcer il cui incarico prevede attivit� di �trattamento� su banche dati di titolarit� del proprio cliente, viene spesso nominato Responsabile del trattamento (esterno), ai sensi dell'art. 29 del D.Lgs. 30 giugno 2003, n. 196 (e, fino al 31/12/2003, ai sensi dell'art. 8 della Legge n. 675/1996).
La scelta potrebbe essere corretta e legittima sia sotto il profilo organizzativo che sotto quello giuridico, ma � bene chiarire che non esiste alcun �automatismo� n�, tantomeno, alcun obbligo legale di agire nel senso sopra indicato. La scelta deve essere attentamente valutata caso per caso, a seconda del rapporto con la societ� outsourcer e del tipo di funzione esternalizzata.
Fra le funzioni aziendali che vengono pi� spesso esternalizzate possiamo pensare all'elaborazione delle paghe, all'imbustamento e alla consegna di corrispondenza, all'archiviazione nonch�, pi� di recente, alla conservazione sostitutiva dei documenti aziendali.
La designazione dell'"outsourcer� come Responsabile del trattamento semplifica sicuramente l'attivit� dell'outsourcer, e, proprio per tale motivo, risulta la �soluzione� spesso promossa dagli outsourcer stessi, attraverso la predisposizione di testi di nomina che vengono sottoposti al cliente, da far sottoscrivere, contestualmente o anche successivamente al conferimento dell'incarico principale. Viceversa, come emerger� nel prosieguo, la suddetta designazione comporta una serie di obblighi di vigilanza che, di fatto, complicano l'attivit� del soggetto che ha esternalizzato le attivit�.
Per impostare correttamente il ragionamento e, di conseguenza, la scelta, preliminarmente � utile verificare che cosa preveda la legge.
L'art. 4 del Codice in materia di protezione dei dati personali (D.Lgs. n. 196/2003) definisce il responsabile del trattamento come �la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali�.
Una molteplicit� di articoli del medesimo Codice richiamano la figura del Responsabile quale soggetto cui fare riferimento per una serie di situazioni, in alternativa al Titolare (vd. artt. 7, 8, 9, 10, 13, 30, 142, ecc., D.Lgs. n. 196/2003).
In base all'art. 29, del Codice privacy:
�Il responsabile � designato dal titolare facoltativamente.
Se designato, il responsabile � individuato tra soggetti che per esperienza, capacit� ed affidabilit� forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
Ove necessario per esigenze organizzative, possono essere designati responsabili pi� soggetti, anche mediante suddivisione di compiti.
I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare.
Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni�.
Il D.Lgs. n. 196/2003 (cos� come, peraltro, negli stessi termini l'art. 8 della Legge n. 675/1996) prevede perci� che �il responsabile � designato dal titolare facoltativamente�: deve essere ben chiaro, quindi, che per legge non sussiste alcun obbligo, per il soggetto che d� in outsourcing determinate attivit� (da qui in avanti, lo indicheremo come il �cliente�), in qualit� di primo Titolare del trattamento, di nominare il proprio outsourcer quale proprio Responsabile (esterno). In assenza di nomina, si ricade, semplicemente, nella situazione �naturale� di Titolarit� autonoma nel trattamento dei dati da parte dell'outsourcer.
Posto, quindi, che la nomina a Responsabile del trattamento esterno configura semplicemente una delle possibili strade percorribili, per verificarne, a questo punto, la fattibilit� e la convenienza nella situazione concreta, � utile esaminare la prassi dell'Autorit� Garante sull'argomento (vd. risposte a istanze del 9 giugno 1998, 8 ottobre 1998, 19 dicembre 1998, 18 maggio 2000, 29 aprile 2004). L'orientamento del Garante per la privacy mette in evidenza come sia anzitutto essenziale verificare quale rapporto intercorra tra l'azienda cliente e l'outsourcer per ci� che riguarda il trattamento dei dati personali. Occorre in altre parole chiarire, se l'outsourcer:
svolga unicamente il ruolo di collaboratore �esterno� di un trattamento di dati personali le cui scelte di fondo (e responsabilit�) sulle finalit� e modalit� di utilizzazione dei dati competono essenzialmente se non esclusivamente all'azienda cliente; l'outsourcer avrebbe perci� solo limitati margini di autonomia in ordine al concreto svolgimento del servizio ed a scelte tecnico-operative. In questo caso, � corretto che la societ� cliente rappresenti l'esclusivo �titolare�, che ha la facolt� di designare l'outsourcer quale �responsabile del trattamento� (esterno), permettendogli, quindi, di accedere ai dati, in funzione, per�, unicamente strumentale allo svolgimento dell'incarico, nei limiti e secondo le finalit� individuate analiticamente dall'azienda cliente (es. qualit� e quantit� delle informazioni trattabili, operazioni eseguibili, logiche di aggregazione, misure di sicurezza);
possa e intenda accedere alla documentazione del cliente (contenente dati personali), utilizzandola s� per scopi inerenti all'incarico ma individuando in proprio le finalit� e le modalit� del trattamento in condizioni di autonomia rispetto al soggetto cliente. In questo caso l'outsourcer opera quale autonomo titolare (o contitolare) del trattamento, avente responsabilit� distinte rispetto al cliente stesso.
L'aspetto cruciale della questione, dal punto di vista organizzativo, � che nella prima ipotesi non si realizza, in termini �tecnici�, una �comunicazione� di dati a terzi, e l'accesso ai dati da parte della societ� outsourcer � come se fosse �interno� ad un trattamento che si sviluppa, sul piano giuridico, nell'ambito della sfera di responsabilit� della sola struttura cliente.
Nel secondo caso, si realizza, invece, una vera e propria �comunicazione� di dati a terzi, con tutte le conseguenze anche a livello di �consenso� e di esercizio, per gli interessati, dei particolari diritti previsti dalla normativa sulla privacy.
La stessa Autorit� Garante ha osservato che in alcune ipotesi la scelta di designare un responsabile esterno pu� apparire, di fatto, impraticabile; in particolare:
qualora gli outsourcer (e gli eventuali sub-outsourcer) siano numerosi, perch� ci� determinerebbe alcuni inconvenienti nella ricognizione e nell'esecuzione degli adempimenti (ad esempio della Notifica e dell'Informativa);
nelle situazioni in cui l'outsourcer abbia una piena ed effettiva autonomia riguardo non solo alla disciplina del servizio e alle scelte tecnico-operative, ma anche alle decisioni principali sulle finalit� e sulle modalit� di utilizzazione dei dati (es. misure di sicurezza).
L'Ufficio del Garante, nelle sue �pronunce�, che si sono susseguite in questi anni di applicazione della normativa, ha segnalato pi� volte che la legge, a tutela dei terzi interessati, pone a carico del designante Titolare precisi obblighi:
di valutazione della sussistenza dei requisiti per l'assunzione della carica di Responsabile,
di vigilanza sull'attivit� di trattamento svolta all'esterno della propria sfera operativa, presso la struttura del Responsabile (esterno).
Ai sensi di legge, la verifica di sussistenza dei requisiti obbligatori e del loro mantenimento nel tempo appare particolarmente critica nel caso di nomina di Responsabili esterni a una societ�; anche per questo l'orientamento del Garante � contrario ad ogni automatismo, a favore di una ponderata valutazione sui reciproci spazi di autonomia, tra Titolare e Responsabile, nelle scelte su finalit� e modalit� di trattamento di dati personali.
L'obbligo di vigilanza, inoltre, � un altro aspetto fondamentale nella valutazione della nomina dell'outsourcer quale proprio Responsabile esterno: il Titolare non pu� delegare l'intera gestione del trattamento e disinteressarsene; anzi deve assumere un ruolo attivo per tutta la sua durata, ivi compresa la fase di definitiva cessazione di ogni operazione, tenendo sotto controllo l'operato dell'outsourcer. In molti rapporti contrattuali tale vigilanza �, di fatto, non voluta o addirittura materialmente impraticabile; ne consegue che la nomina del terzo quale Responsabile esterno non sarebbe la scelta corretta.
In conclusione, alla luce di quanto fin qui evidenziato, � da osservare che:
la nomina di un soggetto (interno o esterno) quale Responsabile del trattamento � una mera facolt� e mai un obbligo (nemmeno nel caso di outsourcing);
in linea di massima, a prescindere da qualsiasi giudizio di valore sul singolo outsourcer, quindi solo agli specifici fini della disciplina di cui trattasi, l'attribuzione al terzo del ruolo di Responsabile del trattamento esterno � per molti versi poco conveniente per l'azienda Titolare, in quanto il Titolare-cliente manterrebbe la responsabilit� di azioni compiute da soggetti che di fatto possono essere ben al di fuori della sua sfera di controllo (pur essendo obbligato per legge ad esercitare la propria vigilanzasull'outsourcer);
in ogni caso, qualsiasi modalit� di nomina impostata come mera formalit� contrasta con le prescrizioni legali, in quanto la normativa sulla privacy (vd. art. 29, D.Lgs. n. 196/2003) subordina la validit� e l'efficacia dell'atto di nomina del Responsabile del trattamento ad una preventiva verifica della sussistenza dei requisiti di legge in capo al destinatario della nomina;
la designazione di eventuali Responsabili �esterni� pu� essere effettuata solo se l'organismo esterno svolge prestazioni strumentali e subordinate alle scelte del cliente. Questo non deve essere, ovviamente, un espediente per eludere la normativa in materia di protezione dei dati personali, come potrebbe accadere, per esempio, nel caso in cui la designazione del soggetto �esterno� quale Responsabile del trattamento sia volta a mascherare una �comunicazione� di dati a terzi senza che sia chiesto il �consenso� degli interessati, oppure nel caso di diversit� o incompatibilit� tra le finalit� perseguite dai soggetti che si scambiano i dati.
Non sembrano perci� condivisibili le affermazioni in base alle quali l'outsourcer, per le attivit� esternalizzate, si posiziona �naturalmente e inevitabilmente�, ai sensi della normativa sulla privacy, come Responsabile del trattamento dei dati personali del cliente.
RIFERIMENTI NORMATIVID.Lgs. 30 giugno 2003, n. 196 (art. 29)
Autore: Fabio Ledda - Dottore commercialista in MilanoFonte: Azienda & Fisco - Ipsoa Editore, n. 10, Maggio 2007
Stampa Home |
Chi Siamo | Contatti | Internet
Provider | Software House | Active
Web | Web Marketing | VideoWeb | Realizzazioni | Preventivi | Supporto |
Lavoro | Condizioni RD Informatica - Str. Rupola 14 -
61122 Pesaro PU - Tel 0721 206238 Fax 0721 1835042 P.Iva 01241970415 -
info@rdinformatica.com