Come redigere un Accordo sul trattamento dei dati (DPA) con l'AI

I passaggi

1. 1.

   Identificazione delle parti e qualificazione dei ruoli

   Il primo passaggio richiede l'esatta identificazione del titolare e del responsabile del trattamento, accertando che la natura delle prestazioni implichi effettivamente un trattamento per conto terzi. Ai sensi dell'art. 28, par. 1, del GDPR, occorre verificare che il responsabile presenti garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. È fondamentale che l'accordo sia collegato al contratto principale di servizio, di cui costituisce un allegato tecnico inscindibile. La qualificazione giuridica deve essere univoca: qualora il fornitore determini autonomamente finalità e mezzi del trattamento, non potrà essere designato quale responsabile ai sensi dell'art. 28 GDPR.

2. 2.

   Definizione dell'ambito e dei dettagli del trattamento

   L'atto deve specificare in modo analitico gli elementi richiesti dall'art. 28, par. 3, del GDPR, evitando clausole generiche o rinvii indeterminati. Occorre elencare con esattezza le categorie di dati trattati (quali dati anagrafici, giudiziari o relativi alla salute) e le categorie di interessati (quali dipendenti, clienti o utenti web). La durata del trattamento deve essere coerente con l'esecuzione delle prestazioni contrattuali e disciplinare la sorte dei dati al termine del rapporto. Una perimetrazione incompleta di tali elementi vizia di illiceità il trattamento ed espone all'irrogazione delle sanzioni amministrative previste dal diritto dell'Unione Europea.

3. 3.

   Articolazione delle istruzioni documentate

   Il responsabile ha l'obbligo di elaborare i dati personali esclusivamente sulla base delle istruzioni documentate del titolare, anche con riferimento ai trasferimenti di dati verso paesi terzi. Tali direttive devono essere integrate nel testo contrattuale ovvero trasmesse successivamente in forma scritta, garantendo la piena tracciabilità di ciascuna operazione. È altresì indispensabile inserire una clausola che imponga al responsabile di informare tempestivamente il titolare qualora un'istruzione violi il GDPR o altre disposizioni nazionali applicabili. In mancanza di un flusso di istruzioni chiaro, il responsabile esorbita dal perimetro di legittimità, assumendo la qualifica di titolare autonomo con le relative responsabilità civili e sanzionatorie.

4. 4.

   Implementazione delle misure di sicurezza

   L'accordo deve vincolare il responsabile al rispetto delle prescrizioni dell'art. 32 del GDPR, imponendo l'adozione di misure tecniche e organizzative adeguate al livello di rischio. Tali misure comprendono la pseudonimizzazione, la cifratura, la capacità di garantire la riservatezza e la resilienza dei sistemi, unitamente a procedure volte a testare regolarmente l'efficacia delle garanzie adottate. Non è sufficiente un mero rinvio formale al dettato normativo: le misure devono essere dettagliate in uno specifico allegato tecnico che il responsabile si obbliga a mantenere aggiornato. Il titolare deve riservarsi il diritto di verificare l'adeguatezza di tali garanzie mediante audit e ispezioni periodiche condotte direttamente o tramite terzi incaricati.

5. 5.

   Disciplina del sub-trattamento e assistenza

   Il ricorso a un sub-responsabile richiede l'autorizzazione scritta, specifica o generale, del titolare, secondo quanto stabilito dall'art. 28, par. 2 e 4, del GDPR. In caso di autorizzazione generale, il responsabile è tenuto a informare il titolare di qualsiasi modifica riguardante l'aggiunta o la sostituzione di altri responsabili, accordandogli il diritto di opporsi. L'accordo deve inoltre sancire l'obbligo del responsabile di assistere il titolare nel dare seguito alle richieste di esercizio dei diritti formulate dagli interessati. Tale cooperazione risulta essenziale per consentire al titolare di adempiere agli obblighi di legge entro i termini perentori stabiliti dal regolamento.

Base giuridica: art. 28 Reg. UE 2016/679 (GDPR)art. 32 Reg. UE 2016/679 (GDPR)