Quando un professionista o un'azienda gestisce dati personali per conto di un cliente, il GDPR impone che questa relazione sia regolata da un accordo scritto. Si chiama Data Processing Agreement (DPA) o, in italiano, accordo di trattamento dei dati. Ignorarlo espone a rischi concreti.
Chi è il titolare e chi è il responsabile
Il GDPR distingue tra:
- Titolare del trattamento: decide perché e come vengono trattati i dati (di solito il cliente)
- Responsabile del trattamento: tratta i dati per conto del titolare (di solito il fornitore/consulente)
Se gestisci database di clienti, invii newsletter, gestisci CRM o elabori dati personali per un committente, probabilmente sei un responsabile del trattamento e il contratto deve contenere un DPA.
Cosa deve contenere il DPA
L'art. 28 del GDPR elenca i contenuti obbligatori:
- Oggetto, durata, natura e finalità del trattamento
- Tipo di dati personali trattati e categorie di interessati
- Obbligo di trattare i dati solo su istruzione documentata del titolare
- Misure di sicurezza adottate
- Condizioni per l'utilizzo di sub-responsabili
- Assistenza al titolare in caso di richieste degli interessati o violazioni
- Cancellazione o restituzione dei dati alla fine del rapporto
Il rischio di non averlo
L'assenza di un DPA quando obbligatorio è una violazione del GDPR che può portare a sanzioni amministrative. Ma il rischio più concreto per il freelance o il piccolo fornitore è la responsabilità condivisa in caso di data breach: senza un accordo che definisce le tue responsabilità, potresti essere esposto a richieste di risarcimento.
Cosa verificare nel contratto
Se il tuo contratto non contiene già un DPA o un allegato dedicato al trattamento dei dati, verifica:
- Se tratti effettivamente dati personali per conto del cliente
- Se il contratto definisce le misure di sicurezza attese da te
- Se specifica cosa fare in caso di violazione dei dati
- Se puoi usare sub-fornitori (es. cloud provider) per il trattamento
In molti casi vale la pena aggiungere un allegato DPA anche se non è richiesto esplicitamente dal cliente — ti protegge e dimostra professionalità.
Il trattamento dei dati è solo una delle clausole che un contratto B2B completo dovrebbe includere: leggi le clausole obbligatorie nel contratto di fornitura B2B per un quadro più ampio. Se collabori con sviluppatori o fornitori di servizi IT, valuta anche un accordo di riservatezza specifico: scopri quando e come usarlo in riservatezza nel contratto di sviluppo software.