La nomina responsabile trattamento dati è il documento con cui il titolare affida a un soggetto esterno, in modo formale e scritto, attività che comportano trattamento di dati personali per suo conto. Serve a definire con precisione quali operazioni possono essere svolte, per quali finalità, con quali limiti e con quali misure di sicurezza, così da regolare in modo ordinato il rapporto con fornitori, consulenti e società che gestiscono informazioni riferite a lavoratori, clienti, candidati o altri interessati.
Questo fac-simile è utile quando l’azienda incarica un consulente del lavoro, un provider informatico, una piattaforma HR, un servizio di formazione, un soggetto che gestisce la sorveglianza sanitaria o un altro operatore che accede ai dati per svolgere un servizio. Proprio perché il documento incide sull’organizzazione del trattamento e sulle responsabilità delle parti, va compilato con attenzione, senza formule vaghe e senza lasciare spazi ambigui su dati, istruzioni, durata, sub-responsabili, gestione degli incidenti e restituzione o cancellazione delle informazioni.
Un modello di questo tipo non si esaurisce in una semplice intestazione: deve riflettere il servizio effettivamente affidato e le condizioni concrete in cui i dati vengono trattati. Per questo è opportuno adattarlo al caso specifico, verificando che le clausole siano coerenti con l’attività svolta, con le procedure interne e con l’assetto contrattuale già in essere tra le parti.
Indice
Come scrivere una nomina responsabile trattamento dati
La nomina a responsabile del trattamento dati personali deve essere scritta in modo chiaro, completo e coerente con l’attività affidata. Il punto di partenza è l’identificazione esatta delle parti. Nel testo vanno indicati senza omissioni la denominazione del titolare e quella del responsabile, la sede legale, il codice fiscale, la partita IVA, il comune e la provincia, oltre ai dati del legale rappresentante che sottoscrive l’atto. Quando il responsabile è una società o un professionista strutturato, è utile indicare anche il referente operativo per le comunicazioni privacy e, se presente, il DPO. Una compilazione approssimativa di questi dati crea incertezza su chi sia realmente vincolato dall’atto e rende più debole l’impianto documentale complessivo.
Accanto ai dati identificativi delle parti, il documento deve descrivere con precisione l’oggetto della nomina. Non basta scrivere che il soggetto è nominato responsabile del trattamento: occorre specificare per quali servizi viene designato e quali attività comportano trattamento di dati personali. La formulazione dovrebbe riflettere il servizio concreto, come elaborazione paghe, gestione presenze, manutenzione di sistemi informatici, supporto alla selezione del personale, gestione di piattaforme cloud o sorveglianza sanitaria, a seconda del caso. Più l’oggetto è definito, più è semplice delimitare ciò che il responsabile può fare e ciò che invece resta riservato alle decisioni del titolare.
La parte centrale della nomina riguarda la descrizione del trattamento. Qui è opportuno indicare la finalità per cui i dati sono trattati, le categorie di interessati coinvolti e le tipologie di dati trattati. Nei contesti aziendali si tratta spesso di dati riferiti a dipendenti, collaboratori, candidati, clienti o fornitori. Le categorie di dati possono comprendere dati identificativi, di contatto, amministrativi, retributivi, contributivi, presenze, log accessi, documenti di lavoro e, quando strettamente necessario, dati particolari o relativi a reati e condanne. È preferibile usare categorie generali ma precise, evitando sia elenchi eccessivamente dettagliati sia formule troppo ampie che non consentano di capire il perimetro del trattamento.
La durata va indicata con attenzione, perché la nomina non dovrebbe apparire slegata dalla durata del rapporto contrattuale o del servizio. È utile indicare una data di decorrenza e una data di cessazione, oppure richiamare la durata dell’incarico o del contratto principale. Il testo deve anche chiarire che, alla fine del rapporto, il responsabile cessa di trattare i dati per conto del titolare, salvo quanto necessario per obblighi di legge o diversa istruzione scritta. Questo passaggio è importante per evitare che il trattamento prosegua senza un fondamento operativo definito.
Un altro profilo essenziale è quello delle istruzioni documentate del titolare. La nomina deve stabilire che il responsabile tratta i dati soltanto entro i limiti delle istruzioni ricevute e che eventuali istruzioni successive possono essere comunicate per iscritto, tramite i canali indicati nel documento. È bene non lasciare questa parte generica: il responsabile deve sapere come riceverà le istruzioni, chi può impartirle e come dovrà comportarsi se ritiene che un’istruzione non sia compatibile con la disciplina applicabile. La chiarezza delle istruzioni è uno dei punti che più incidono sulla correttezza del rapporto.
Devono essere ben definite anche le misure tecniche e organizzative di sicurezza. Il fac-simile dovrebbe richiamare l’impegno del responsabile ad adottare misure adeguate rispetto alla natura dei dati e dei trattamenti affidati, con una descrizione almeno sommaria delle cautele previste, come controllo degli accessi, riservatezza del personale autorizzato, procedure di backup, protezione dei sistemi, tracciamento degli accessi, aggiornamento dei software e formazione degli addetti. Se le misure sono più articolate, conviene rinviare a un allegato tecnico, così da mantenere il corpo principale del documento leggibile e al tempo stesso sufficientemente preciso.
Non meno delicata è la disciplina dei sub-responsabili. Se il responsabile intende affidare parte delle attività a terzi, il testo deve prevedere se ciò sia consentito e a quali condizioni. È opportuno specificare se l’autorizzazione del titolare è preventiva e specifica oppure generale, e come il titolare verrà informato di eventuali nuove nomine o sostituzioni. Questa clausola evita che il trattamento si estenda a una catena di fornitori non governata e consente al titolare di mantenere il controllo sui soggetti che entrano nella gestione dei dati.
Il documento deve poi regolare la collaborazione del responsabile in caso di richieste degli interessati, necessità di assistenza, verifiche interne e violazioni di dati personali. La clausola sul data breach non dovrebbe essere formulata in modo generico: è preferibile stabilire che il responsabile avvisa il titolare senza ingiustificato ritardo, indicando le informazioni disponibili al momento della segnalazione e il canale da usare per la comunicazione. Allo stesso modo, è utile prevedere che il responsabile assista il titolare nella gestione delle richieste di accesso, rettifica, cancellazione, limitazione, nella valutazione d’impatto e nelle altre attività connesse alla sicurezza del trattamento, nei limiti delle proprie competenze e delle informazioni a disposizione.
Un buon fac-simile deve disciplinare anche la restituzione e la cancellazione dei dati alla cessazione del servizio. Questa parte non va trascurata, perché evita il permanere presso il responsabile di dati non più necessari o privi di una base contrattuale attuale. Il testo dovrebbe prevedere che, su scelta del titolare, i dati siano restituiti oppure cancellati, con eventuale attestazione scritta dell’avvenuta operazione, salvo gli obblighi di conservazione previsti da norme di legge. Anche qui è preferibile indicare tempi concreti o rinviare a istruzioni scritte del titolare, così da non lasciare il punto sospeso.
Quando si compila il documento, non bisogna lasciare ambigui i campi relativi ai contatti, ai referenti e agli allegati. I recapiti email o PEC sono utili per le comunicazioni operative, mentre gli allegati servono a rendere più dettagliati gli aspetti tecnici o organizzativi, come l’elenco dei trattamenti, le misure di sicurezza, l’eventuale elenco dei sub-responsabili o le procedure di gestione delle richieste. Se un allegato è richiamato nel testo, deve essere effettivamente predisposto e coerente con il contenuto della nomina, altrimenti il documento perde in solidità e completezza.
Vanno evitati errori ricorrenti come l’uso di definizioni troppo generiche, la mancanza di date, la mancata indicazione delle categorie di dati o interessati, l’assenza di istruzioni sulla gestione degli incidenti, o la previsione di clausole contraddittorie rispetto al rapporto contrattuale principale. Non è opportuno inserire formule che escludano in modo assoluto la responsabilità del responsabile o che facciano apparire la nomina come una mera formalità. Il documento deve invece mostrare che le parti hanno identificato con attenzione il servizio, i trattamenti, i limiti operativi e gli obblighi reciproci.
La firma finale deve essere apposta da entrambe le parti, con luogo e data ben visibili. Se la sottoscrizione avviene su supporto cartaceo, il documento va firmato in modo leggibile dal titolare e dal responsabile, o dai rispettivi legali rappresentanti. Se l’atto viene gestito in formato elettronico, è opportuno che la modalità di sottoscrizione sia coerente con l’organizzazione del rapporto e con le prassi interne di conservazione documentale. Una copia va conservata da entrambe le parti insieme agli eventuali allegati richiamati nel testo, perché la nomina è un documento operativo che può essere utile in caso di verifiche, contestazioni o aggiornamenti successivi.
Può essere opportuno chiedere supporto a un professionista, a un consulente privacy, a un ufficio legale o a chi gestisce la compliance aziendale quando il trattamento riguarda dati sensibili, sorveglianza sanitaria, sistemi informatici complessi, trasferimenti verso soggetti terzi o rapporti con più fornitori collegati tra loro. In questi casi il fac-simile resta una base utile, ma deve essere adattato con rigore al contesto concreto, perché la qualità della nomina dipende dalla coerenza tra il testo, il servizio affidato e l’organizzazione effettiva del trattamento.
Esempio nomina responsabile trattamento dati
ATTO DI NOMINA A RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI AI SENSI DELL’ART. 28 DEL REGOLAMENTO (UE) 2016/679
Tra
Il Titolare del trattamento ___________, con sede legale in _________, CAP _________, Comune _________, Provincia _________, Codice Fiscale _________, Partita IVA _________, in persona del legale rappresentante pro tempore _________, nato a _________ il _________, Codice Fiscale _________, domiciliato per la carica presso la sede legale, di seguito anche “Titolare”
e
Il Responsabile del trattamento _________, con sede legale in _________, CAP _________, Comune _________, Provincia _________, Codice Fiscale _________, Partita IVA _________, in persona del legale rappresentante pro tempore _________, nato a _________ il _________, Codice Fiscale _________, domiciliato per la carica presso la sede legale, di seguito anche “Responsabile”
Premesso che
Il Titolare intende affidare al Responsabile lo svolgimento delle attività di cui al presente atto, che comportano trattamento di dati personali per conto del Titolare
Le parti intendono disciplinare per iscritto, ai sensi dell’art. 28 del Regolamento (UE) 2016/679, i termini, i limiti, le istruzioni e le misure di sicurezza relativi ai trattamenti affidati
Il Responsabile dichiara di possedere garanzie sufficienti in termini di conoscenza specialistica, affidabilità e risorse per mettere in atto misure tecniche e organizzative adeguate in modo che il trattamento soddisfi i requisiti del Regolamento (UE) 2016/679 e garantisca la tutela dei diritti degli interessati
Tutto ciò premesso, che costituisce parte integrante e sostanziale del presente atto, si conviene e stipula quanto segue
Articolo 1. Oggetto della nomina
Il Titolare nomina il Responsabile quale responsabile del trattamento dei dati personali ai sensi e per gli effetti dell’art. 28 del Regolamento (UE) 2016/679 limitatamente ai trattamenti necessari per l’esecuzione dei servizi di _________
Il Responsabile tratterà i dati personali esclusivamente per conto del Titolare e nei limiti delle istruzioni documentate impartite da quest’ultimo
Articolo 2. Servizi affidati
I servizi/attività oggetto della presente nomina sono i seguenti: _________
Le attività sopra indicate comportano, a titolo esemplificativo e non esaustivo, le seguenti operazioni di trattamento: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, comunicazione, raffronto, limitazione, cancellazione e distruzione dei dati, nei limiti strettamente necessari all’esecuzione dei servizi affidati
Articolo 3. Finalità del trattamento
Il trattamento dei dati personali è effettuato esclusivamente per le seguenti finalità: _________
Ogni trattamento ulteriore, diverso o incompatibile con le finalità sopra indicate è vietato salvo nuova istruzione scritta del Titolare
Articolo 4. Durata del trattamento e del rapporto
La presente nomina decorre dal _________ e resta efficace fino al _________
In caso di cessazione, scadenza, risoluzione o comunque conclusione del rapporto contrattuale o del servizio, il Responsabile cesserà ogni trattamento dei dati personali per conto del Titolare, salvo quanto necessario per adempiere a obblighi di legge o per diversa istruzione scritta del Titolare
Articolo 5. Categorie di interessati
Le categorie di interessati oggetto del trattamento sono le seguenti: _________
Articolo 6. Categorie di dati personali trattati
Le categorie di dati personali trattati sono le seguenti: _________
Qualora l’esecuzione dei servizi richieda il trattamento di categorie particolari di dati personali ai sensi dell’art. 9 del Regolamento (UE) 2016/679, le medesime sono le seguenti: _________
Qualora l’esecuzione dei servizi richieda il trattamento di dati relativi a condanne penali e reati ai sensi dell’art. 10 del Regolamento (UE) 2016/679, le medesime sono le seguenti: _________
Articolo 7. Istruzioni del Titolare
Il Responsabile si impegna a trattare i dati personali soltanto su istruzione documentata del Titolare, anche per quanto riguarda eventuali trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, salvo che tale trattamento sia richiesto dal diritto dell’Unione o dello Stato membro cui è soggetto il Responsabile
Le istruzioni del Titolare sono contenute nel presente atto, nei relativi allegati e nelle ulteriori istruzioni scritte successivamente comunicate dal Titolare mediante _________
Il Responsabile si impegna a informare tempestivamente il Titolare qualora ritenga che un’istruzione violi il Regolamento (UE) 2016/679 o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati
Articolo 8. Riservatezza e persone autorizzate al trattamento
Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali, che agiscono sotto la sua autorità, si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza
Il Responsabile assicura che le persone autorizzate al trattamento ricevano idonea formazione e istruzioni operative in materia di protezione dei dati personali, in relazione alle attività loro affidate
Articolo 9. Misure tecniche e organizzative di sicurezza
Il Responsabile si impegna ad adottare misure tecniche e organizzative adeguate ai sensi dell’art. 32 del Regolamento (UE) 2016/679, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche
Le misure di sicurezza adottate includono almeno le seguenti: _________
Le misure di sicurezza sono descritte in dettaglio nell’Allegato _________, che costituisce parte integrante del presente atto
Articolo 10. Tenuta del registro dei trattamenti
Il Responsabile, ove ne ricorrano i presupposti normativi, tiene un registro delle attività di trattamento svolte per conto del Titolare e mette tale registro a disposizione dell’autorità di controllo su richiesta
Articolo 11. Sub-responsabili
Il Responsabile non può ricorrere ad altri responsabili del trattamento, ivi compresi sub-responsabili, senza preventiva autorizzazione scritta del Titolare
L’autorizzazione del Titolare è _________
In caso di autorizzazione generale, il Responsabile informa il Titolare di ogni prevista modifica concernente l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al Titolare l’opportunità di opporsi a tali modifiche
Qualora il Responsabile ricorra a un sub-responsabile, impone a quest’ultimo, mediante contratto o altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati previsti nel presente atto, in particolare quelli relativi a garanzie sufficienti per l’adozione di misure tecniche e organizzative adeguate
Articolo 12. Assistenza al Titolare
Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare di dare seguito alle richieste per l’esercizio dei diritti dell’interessato
Il Responsabile assiste altresì il Titolare, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile, nel garantire il rispetto degli obblighi relativi a sicurezza del trattamento, notifica di violazione dei dati personali, valutazione d’impatto sulla protezione dei dati e consultazione preventiva
Le richieste di assistenza e le relative modalità operative saranno trasmesse tramite _________
Articolo 13. Violazione dei dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali
La comunicazione dovrà contenere, per quanto possibile, almeno le seguenti informazioni: natura della violazione, categorie e numero approssimativo degli interessati coinvolti, categorie e numero approssimativo di registrazioni dei dati personali interessate, probabili conseguenze della violazione, misure adottate o proposte per porvi rimedio, recapito del referente competente
La comunicazione dovrà essere trasmessa a mezzo _________ al seguente recapito del Titolare _________
Articolo 14. Restituzione e cancellazione dei dati
Alla cessazione del servizio, su scelta del Titolare, il Responsabile restituisce tutti i dati personali trattati per conto del Titolare e cancella le copie esistenti, salvo che il diritto dell’Unione o dello Stato membro preveda la conservazione dei dati
La restituzione e/o cancellazione avverranno entro _________ giorni dalla cessazione del rapporto, secondo le istruzioni scritte del Titolare
Su richiesta del Titolare, il Responsabile fornisce attestazione scritta dell’avvenuta restituzione e/o cancellazione
Articolo 15. Cooperazione con l’autorità di controllo
Il Responsabile coopera, su richiesta del Titolare o dell’autorità di controllo, con il Titolare per ogni attività connessa al trattamento dei dati personali oggetto del presente atto, nei limiti delle competenze attribuite e delle istruzioni ricevute
Articolo 16. Audit e verifiche
Il Titolare ha facoltà di verificare, direttamente o tramite soggetto terzo incaricato, il rispetto delle disposizioni del presente atto e delle misure di sicurezza adottate dal Responsabile, previo preavviso di _________ giorni, salvo casi di urgenza o necessità connessi a violazioni di sicurezza o richieste dell’autorità competente
Il Responsabile collabora ragionevolmente con il Titolare fornendo la documentazione e le informazioni necessarie alla verifica
Articolo 17. Trasferimenti verso paesi terzi o organizzazioni internazionali
Il Responsabile non effettua trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali senza previa istruzione scritta del Titolare e senza la sussistenza di un adeguato presupposto giuridico ai sensi del Regolamento (UE) 2016/679
Eventuali trasferimenti autorizzati avverranno secondo le seguenti modalità e garanzie: _________
Articolo 18. Responsabilità
Il Responsabile è tenuto a rispettare tutte le obbligazioni previste dal presente atto e dalla normativa applicabile in materia di protezione dei dati personali
Resta fermo che il Responsabile risponde dei danni causati dal trattamento laddove non abbia adempiuto agli obblighi del Regolamento (UE) 2016/679 specificamente diretti ai responsabili del trattamento o laddove abbia agito in modo difforme o contrario alle istruzioni lecite del Titolare
Articolo 19. Referenti e contatti
Referente del Titolare per le comunicazioni in materia di protezione dei dati personali: _________
Recapito email/PEC del Titolare: _________
Eventuale DPO del Titolare: _________
Recapito DPO del Titolare: _________
Referente del Responsabile per le comunicazioni in materia di protezione dei dati personali: _________
Recapito email/PEC del Responsabile: _________
Eventuale DPO del Responsabile: _________
Recapito DPO del Responsabile: _________
Articolo 20. Allegati
Costituiscono parte integrante e sostanziale del presente atto i seguenti allegati: _________
Articolo 21. Disposizioni finali
Per quanto non espressamente previsto nel presente atto, si applicano le disposizioni del Regolamento (UE) 2016/679 e della normativa nazionale vigente in materia di protezione dei dati personali
Il presente atto può essere integrato o modificato esclusivamente per iscritto
Letto, confermato e sottoscritto
Luogo _________, data _________
Il Titolare del trattamento
Denominazione _________
Nome e cognome del legale rappresentante _________
Firma _________
Il Responsabile del trattamento
Denominazione _________
Nome e cognome del legale rappresentante _________
Firma _________
Timbro aziendale ___________
Fac simile nomina responsabile trattamento dati Word
Il fac-simile in formato Word può essere scaricato, aperto e modificato in base alle esigenze del caso concreto. Prima dell’uso, è opportuno verificare che i campi siano compilati con dati corretti e che le clausole rispecchino il servizio effettivamente affidato, le categorie di dati trattati e le istruzioni organizzative già adottate.
Quando il documento incide su rapporti aziendali o contrattuali, può essere utile farlo controllare da un professionista o dall’ufficio competente, così da adattarlo alla situazione specifica e ridurre il rischio di incongruenze tra modello, contratto e prassi operative.
