Definizioni, ruoli, obblighi e responsabilità

1. Premessa e collocazione sistematica

La presente relazione costituisce il terzo approfondimento di un ciclo dedicato al Regolamento (UE) 2016/679 (GDPR), complementare alle precedenti analisi su accountability, obblighi del titolare e sistema sanzionatorio, nonché sulle basi giuridiche del trattamento. L’obiettivo è fornire una disamina tecnico-giuridica dei soggetti coinvolti nel trattamento dei dati personali, analizzandone definizioni, funzioni, obblighi e reciproche relazioni.

L’articolo 4 del GDPR fornisce le definizioni fondamentali, mentre il Capo IV (artt. 24-43) disciplina gli obblighi specifici dei diversi soggetti. A livello interpretativo, le Linee guida 07/2020 dell’EDPB sui concetti di titolare del trattamento e di responsabile del trattamento (versione 2.0 del 7 luglio 2021) rappresentano il documento di riferimento a livello europeo, sostituendo il precedente Parere 1/2010 del Gruppo di lavoro Articolo 29.

2. Nozioni fondamentali: dato personale e trattamento

2.1 Dato personale

L’articolo 4, punto 1, del GDPR definisce il dato personale come qualsiasi informazione riguardante una persona fisica identificata o identificabile (interessato). La nozione è volutamente ampia e comprende non solo identificatori diretti come nome, codice fiscale o immagine, ma anche informazioni che consentano l’identificazione indiretta attraverso la combinazione con altri dati, quali indirizzi IP, dati di localizzazione, identificativi online o fattori specifici dell’identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

Le categorie particolari di dati (art. 9 GDPR), precedentemente denominati “dati sensibili” nel Codice Privacy italiano, comprendono dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale. Per questi dati vige un divieto generale di trattamento, salvo le eccezioni tassativamente previste dall’articolo 9, paragrafo 2.

2.2 Trattamento

L’articolo 4, punto 2, definisce il trattamento come qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali. L’elenco fornito dal Regolamento è esemplificativo e comprende: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, raffronto o interconnessione, limitazione, cancellazione o distruzione.

L’ampiezza della definizione implica che qualsiasi contatto con dati personali, anche la mera consultazione occasionale, costituisce trattamento e ricade pertanto nell’ambito applicativo del GDPR.

3. Il titolare del trattamento

3.1 Definizione e natura funzionale

L’articolo 4, punto 7, del GDPR definisce il titolare del trattamento (controller) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. L’elemento caratterizzante è dunque il potere decisionale sugli aspetti essenziali del trattamento: il “perché” (finalità) e il “come” (mezzi).

Le Linee guida EDPB 07/2020 chiariscono che si tratta di un concetto funzionale, non formale: lo status di titolare deriva dall’analisi fattuale delle circostanze concrete, non dalla mera designazione contrattuale. L’EDPB sottolinea che “l’allocazione dei ruoli non è negoziabile tra le parti”: se un soggetto determina di fatto finalità e mezzi, sarà considerato titolare indipendentemente da quanto stabilito contrattualmente.

Il concetto è anche autonomo: la sua interpretazione si basa principalmente sul diritto dell’UE e non deve essere confusa con nozioni analoghe di altri ambiti giuridici (proprietà intellettuale, diritto societario, diritto del lavoro).

3.2 Determinazione delle finalità e dei mezzi

La titolarità può derivare da tre fonti. In primo luogo, da previsione normativa esplicita: quando la legge designa espressamente il titolare o ne stabilisce i criteri di individuazione. In secondo luogo, da competenza implicita: ruoli o funzioni tradizionalmente associati a determinate responsabilità (il datore di lavoro per i dati dei dipendenti, l’ospedale per i dati dei pazienti). Infine, dall’influenza fattuale: il soggetto che concretamente esercita il controllo sulle decisioni relative al trattamento.

L’EDPB distingue tra mezzi essenziali e mezzi non essenziali. I primi (tipo di dati trattati, durata, categorie di destinatari, categorie di interessati) devono essere determinati dal titolare. I secondi (aspetti tecnici come hardware, software, misure di sicurezza specifiche) possono essere delegati al responsabile del trattamento, che gode di un certo margine di autonomia nella loro scelta.

3.3 Obblighi principali del titolare

Il titolare è il principale destinatario degli obblighi previsti dal GDPR. Deve garantire e dimostrare la conformità al Regolamento attraverso misure tecniche e organizzative adeguate (art. 24), implementare la protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 25), tenere il registro delle attività di trattamento (art. 30), effettuare la valutazione d’impatto quando necessaria (art. 35), notificare le violazioni all’autorità di controllo e comunicarle agli interessati nei casi previsti (artt. 33-34), designare il DPO quando obbligatorio (art. 37) e rispettare i diritti degli interessati (artt. 12-22).

4. La contitolarità del trattamento

4.1 Nozione e presupposti

L’articolo 26 del GDPR disciplina la contitolarità (joint controllership): quando due o più titolari determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari. Non è necessario che la partecipazione sia paritaria: la responsabilità congiunta può derivare da decisioni comuni, da decisioni convergenti o anche dalla mera influenza determinante sugli elementi del trattamento.

Le Linee guida EDPB 07/2020 precisano che la contitolarità può sussistere anche quando i soggetti sono coinvolti in fasi diverse del trattamento o a livelli differenti, purché ciascuno eserciti un’influenza determinante su finalità o mezzi.

4.2 Giurisprudenza della CGUE sulla contitolarità

La Corte di Giustizia dell’Unione Europea ha progressivamente ampliato la nozione di contitolarità attraverso una serie di pronunce fondamentali.

Nella causa C-210/16 Wirtschaftsakademie Schleswig-Holstein (5 giugno 2018), la CGUE ha stabilito che l’amministratore di una fanpage su Facebook è contitolare insieme a Facebook del trattamento dei dati dei visitatori, in quanto la creazione della pagina implica decisioni su categorie di interessati e finalità del trattamento, anche se l’amministratore non ha accesso diretto ai dati.

Nella causa C-40/17 Fashion ID (29 luglio 2019), la Corte ha affermato che il gestore di un sito web che incorpora un plug-in social (come il pulsante “Mi piace” di Facebook) è contitolare limitatamente alle operazioni di raccolta e trasmissione dei dati, anche se non ha alcun controllo sulle successive fasi di trattamento effettuate dal fornitore del plug-in. La sentenza ha introdotto il concetto di contitolarità limitata a specifiche operazioni di trattamento.

4.3 Accordo tra contitolari

L’articolo 26, paragrafo 1, impone ai contitolari di determinare in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi del GDPR, con particolare riguardo all’esercizio dei diritti dell’interessato e agli obblighi informativi. Sebbene il GDPR non specifichi la forma dell’accordo, l’EDPB raccomanda un documento vincolante (contratto o altro atto giuridico) per garantire certezza del diritto.

Il contenuto essenziale dell’accordo deve essere messo a disposizione degli interessati (art. 26, par. 2). Tuttavia, l’accordo non è opponibile all’interessato: indipendentemente dalla ripartizione interna, l’interessato può esercitare i propri diritti nei confronti di ciascun contitolare (art. 26, par. 3).

5. Il responsabile del trattamento

5.1 Definizione e caratteristiche

L’articolo 4, punto 8, definisce il responsabile del trattamento (processor) come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare. Elementi caratterizzanti sono la separatezza giuridica dal titolare e l’agire nell’interesse di quest’ultimo secondo le sue istruzioni.

Le Linee guida EDPB 07/2020 chiariscono che agire “per conto di” richiama il concetto giuridico di delega: il responsabile serve gli interessi del titolare e non può trattare i dati per proprie finalità autonome. Se lo fa, diventa titolare autonomo per quel trattamento (art. 28, par. 10) con tutte le conseguenti responsabilità.

Non ogni fornitore esterno è automaticamente responsabile del trattamento. L’EDPB cita l’esempio del consulente IT chiamato a riparare un bug: se l’accesso ai dati è incidentale e non finalizzato al trattamento, il consulente non assume il ruolo di responsabile.

5.2 Il Data Processing Agreement (art. 28 GDPR)

L’articolo 28, paragrafo 3, impone che i trattamenti da parte del responsabile siano disciplinati da un contratto o altro atto giuridico vincolante che preveda contenuti obbligatori: oggetto e durata del trattamento, natura e finalità, tipo di dati e categorie di interessati, obblighi e diritti del titolare. Il contratto deve inoltre prevedere specifici obblighi in capo al responsabile.

Tra questi figurano: trattare i dati solo su istruzione documentata del titolare; garantire che le persone autorizzate si siano impegnate alla riservatezza; adottare misure di sicurezza ai sensi dell’articolo 32; rispettare le condizioni per il ricorso a sub-responsabili; assistere il titolare per l’evasione delle richieste degli interessati; assistere il titolare per gli obblighi degli articoli 32-36 (sicurezza, notifica violazioni, DPIA); cancellare o restituire i dati al termine del rapporto; mettere a disposizione informazioni per dimostrare la conformità e consentire audit.

La Commissione europea ha adottato clausole contrattuali tipo (Standard Contractual Clauses) con la Decisione di esecuzione (UE) 2021/915 del 4 giugno 2021 per facilitare la redazione di DPA conformi.

5.3 Sub-responsabili

L’articolo 28, paragrafo 2, subordina il ricorso a sub-responsabili all’autorizzazione scritta del titolare, che può essere specifica (per ciascun sub-responsabile) o generale (con obbligo di informativa preventiva sulle modifiche e possibilità di opposizione). Il sub-responsabile deve essere vincolato dagli stessi obblighi del responsabile principale, il quale rimane pienamente responsabile nei confronti del titolare per l’operato dei sub-responsabili (art. 28, par. 4).

6. Le persone autorizzate al trattamento

L’articolo 29 del GDPR prevede che il responsabile del trattamento, o chiunque agisca sotto la sua autorità o quella del titolare, non possa trattare dati personali se non è istruito in tal senso dal titolare, salvo obblighi di legge. Questa disposizione riguarda le persone autorizzate al trattamento, definite all’articolo 4, punto 10, come le persone fisiche autorizzate a compiere operazioni di trattamento sotto l’autorità diretta del titolare o del responsabile.

Questa figura sostituisce il precedente “incaricato del trattamento” del Codice Privacy italiano (art. 30 del D.lgs. 196/2003 nella versione ante D.lgs. 101/2018). L’articolo 2-quaterdecies del Codice novellato, introdotto dal D.lgs. 101/2018, prevede che il titolare o il responsabile possano prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento siano attribuiti a persone fisiche espressamente designate.

In un parere del Garante per la protezione dei dati personali del 12 maggio 2020 sugli Organismi di Vigilanza, l’Autorità ha precisato che i membri dell’OdV devono essere designati quali soggetti autorizzati ai sensi degli articoli 4, punto 10, 29 e 32, paragrafo 4, del GDPR, dovendo attenersi alle istruzioni impartite dal titolare. Questa impostazione trova applicazione generale per tutte le figure interne che accedono ai dati nell’ambito delle proprie funzioni.

L’obbligo di designazione e istruzione delle persone autorizzate rientra nelle misure tecniche e organizzative che il titolare deve adottare ai sensi dell’articolo 32, paragrafo 4. La formazione del personale e la definizione di policy interne sul trattamento dei dati costituiscono elementi di accountability valutabili in sede di verifica della conformità.

7. L’interessato e i suoi diritti

7.1 Nozione di interessato

L’interessato (data subject) è la persona fisica identificata o identificabile cui si riferiscono i dati trattati. Il GDPR tutela esclusivamente le persone fisiche: le persone giuridiche, gli enti e le associazioni non rientrano nell’ambito soggettivo di protezione del Regolamento, salvo che il trattamento di dati a essi riferiti comporti indirettamente il trattamento di dati di persone fisiche (es. dati del legale rappresentante).

7.2 Diritti dell’interessato

Il Capo III del GDPR (artt. 12-22) disciplina organicamente i diritti dell’interessato. L’articolo 12 fissa le modalità trasversali per l’esercizio di tutti i diritti: il titolare deve agevolare l’esercizio, rispondere senza ingiustificato ritardo e comunque entro un mese (prorogabile di due mesi per richieste complesse), fornire le informazioni a titolo gratuito salvo richieste manifestamente infondate o eccessive.

I diritti specifici comprendono: il diritto di informazione (artt. 13-14), ossia il diritto a ricevere un’informativa completa al momento della raccolta dei dati (art. 13) o entro un mese se i dati non sono raccolti presso l’interessato (art. 14); il diritto di accesso (art. 15), che consente di ottenere conferma del trattamento, copia dei dati e informazioni su finalità, categorie, destinatari, periodo di conservazione, origine dei dati e logica del trattamento automatizzato;

il diritto di rettifica (art. 16), per ottenere la correzione di dati inesatti o l’integrazione di dati incompleti; il diritto alla cancellazione o diritto all’oblio (art. 17), esercitabile quando i dati non sono più necessari, il consenso è revocato, vi è opposizione accolta, il trattamento è illecito, o sussiste un obbligo legale di cancellazione; il diritto di limitazione (art. 18), che consente di “congelare” il trattamento in determinate situazioni (contestazione dell’esattezza, trattamento illecito ma l’interessato si oppone alla cancellazione, dati necessari per difesa in giudizio, opposizione in attesa di verifica);

il diritto alla portabilità (art. 20), che permette di ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmetterli a un altro titolare, quando il trattamento si basa su consenso o contratto ed è effettuato con mezzi automatizzati; il diritto di opposizione (art. 21), esercitabile per motivi connessi alla situazione particolare dell’interessato quando la base giuridica è il legittimo interesse o l’interesse pubblico, e in modo incondizionato per il marketing diretto; il diritto a non essere sottoposto a decisioni automatizzate (art. 22), inclusa la profilazione, quando producano effetti giuridici significativi, salve le eccezioni previste.

Le Linee guida EDPB 01/2022 sul diritto di accesso (versione adottata il 28 marzo 2023) forniscono indicazioni operative dettagliate su portata del diritto, modalità di risposta, formato delle informazioni e gestione di richieste complesse.

8. Il Responsabile della protezione dei dati (DPO)

8.1 Natura e collocazione sistematica

Il Data Protection Officer (DPO) o Responsabile della protezione dei dati (RPD) è una figura introdotta dal GDPR agli articoli 37-39. A differenza degli altri soggetti analizzati, il DPO non è parte attiva nel trattamento: la sua funzione è di consulenza, sorveglianza e raccordo tra titolare/responsabile, interessati e autorità di controllo. Le Linee guida WP 243 del Gruppo di lavoro Articolo 29, adottate il 13 dicembre 2016 e emendate il 5 aprile 2017, successivamente approvate dall’EDPB, costituiscono il documento interpretativo di riferimento.

8.2 Designazione obbligatoria

L’articolo 37, paragrafo 1, prevede l’obbligatorietà della designazione in tre casi: quando il trattamento è effettuato da autorità o organismo pubblico (eccetto le autorità giurisdizionali nell’esercizio delle funzioni giurisdizionali); quando le attività principali consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attività principali consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.

Le Linee guida WP 243 chiariscono i concetti indeterminati. Per “attività principali” si intendono le operazioni essenziali per raggiungere gli obiettivi del titolare o del responsabile, incluse quelle in cui il trattamento dei dati è parte ineludibile dell’attività. Per “larga scala” rilevano: volume dei dati, numero di interessati (anche in percentuale sulla popolazione), estensione geografica, durata o permanenza del trattamento. Per “monitoraggio regolare e sistematico” si includono tutte le forme di tracciamento e profilazione, anche online, indipendentemente dal fatto che l’interessato sia cliente del titolare.

8.3 Requisiti, posizione e compiti

Il DPO deve essere designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati (art. 37, par. 5). Può essere un dipendente o un soggetto esterno (art. 37, par. 6). Un gruppo imprenditoriale può nominare un unico DPO, purché facilmente raggiungibile da ciascuno stabilimento.

L’articolo 38 disciplina la posizione del DPO, garantendone l’indipendenza: deve essere coinvolto tempestivamente in tutte le questioni riguardanti la protezione dei dati; non può ricevere istruzioni relative all’esecuzione dei suoi compiti; non può essere rimosso o penalizzato per l’adempimento delle sue funzioni; riferisce direttamente al vertice gerarchico; gli interessati possono contattarlo per tutte le questioni relative al trattamento e all’esercizio dei loro diritti.

L’articolo 39 elenca i compiti minimi del DPO: informare e fornire consulenza al titolare/responsabile e ai dipendenti; sorvegliare l’osservanza del GDPR; fornire parere in merito alla DPIA e sorvegliarne lo svolgimento; cooperare con l’autorità di controllo; fungere da punto di contatto per l’autorità. Il DPO deve svolgere i propri compiti considerando i rischi associati ai trattamenti, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento.

8.4 Incompatibilità e conflitto di interessi

L’articolo 38, paragrafo 6, consente al DPO di svolgere altri compiti e funzioni, purché non diano adito a conflitto di interessi. Le Linee guida WP 243 indicano che il DPO non può ricoprire posizioni che comportino la determinazione di finalità e mezzi del trattamento: sono incompatibili ruoli quali amministratore delegato, responsabile operativo, responsabile finanziario, responsabile del personale, responsabile IT e responsabile marketing. L’esistenza di conflitti deve essere valutata caso per caso.

9. Altri soggetti rilevanti

9.1 Destinatario

L’articolo 4, punto 9, definisce il destinatario come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Le autorità pubbliche che ricevono dati nell’ambito di un’indagine specifica non sono considerate destinatari. La nozione rileva ai fini dell’informativa (art. 13, par. 1, lett. e) e art. 14, par. 1, lett. e)) e della comunicazione di rettifiche, cancellazioni e limitazioni (art. 19).

9.2 Terzo

L’articolo 4, punto 10, definisce il terzo come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo diverso dall’interessato, dal titolare, dal responsabile e dalle persone autorizzate al trattamento. La nozione serve a delimitare i soggetti legittimati al trattamento da quelli esterni all’organizzazione privacy.

9.3 Rappresentante

L’articolo 27 impone ai titolari o responsabili non stabiliti nell’Unione che trattano dati di interessati che si trovano nell’UE di designare per iscritto un rappresentante nell’Unione, stabilito in uno degli Stati membri in cui si trovano gli interessati. Il rappresentante funge da interlocutore per le autorità di controllo e gli interessati per tutte le questioni relative al trattamento.

10. Conclusioni

La corretta qualificazione dei soggetti del trattamento costituisce un presupposto indefettibile per l’applicazione del GDPR. L’approccio funzionale adottato dal Regolamento e confermato dalla giurisprudenza della CGUE e dalle Linee guida dell’EDPB impone un’analisi sostanziale delle relazioni e dei poteri effettivi, non limitata alle qualificazioni formali.

La distinzione tra titolare e responsabile determina l’allocazione degli obblighi e delle responsabilità, incluse quelle risarcitorie (art. 82) e sanzionatorie (art. 83). La contitolarità, fenomeno in espansione per effetto della digitalizzazione e dell’interconnessione dei servizi, richiede accordi chiari e trasparenti ma non solleva alcun contitolare dalla responsabilità solidale verso gli interessati.

Il DPO, figura di garanzia e raccordo, deve operare in condizioni di indipendenza effettiva. Le persone autorizzate al trattamento devono essere adeguatamente istruite e la loro designazione documentata ai fini dell’accountability. L’interessato, infine, è titolare di un fascio di diritti azionabili che costituiscono il nucleo della tutela apprestata dal Regolamento.

Riferimenti normativi e documentali

Fonti normative:

– Regolamento (UE) 2016/679 (GDPR)

– D.lgs. 30 giugno 2003, n. 196, come modificato dal D.lgs. 10 agosto 2018, n. 101

– Decisione di esecuzione (UE) 2021/915 della Commissione (clausole contrattuali tipo)

Linee guida e documenti interpretativi:

– EDPB, Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento, versione 2.0 del 7 luglio 2021

– Gruppo di lavoro Articolo 29, Linee guida sui responsabili della protezione dei dati (WP 243 rev. 01), 5 aprile 2017

– EDPB, Linee guida 01/2022 sul diritto di accesso, versione adottata il 28 marzo 2023

– Garante per la protezione dei dati personali, Parere sulla qualificazione soggettiva degli OdV, 12 maggio 2020, doc. web n. 9347842

Giurisprudenza CGUE:

– CGUE, causa C-210/16, Wirtschaftsakademie Schleswig-Holstein, 5 giugno 2018

– CGUE, causa C-40/17, Fashion ID, 29 luglio 2019