Distinguere correttamente titolare e responsabile del trattamento è uno dei passaggi più importanti per costruire una compliance privacy solida. Il Regolamento (UE) 2016/679, GDPR, non assegna questi ruoli in base al nome usato nel contratto o all’etichetta scelta dall’azienda, ma in base alla funzione effettivamente svolta nel trattamento dei dati personali. La domanda centrale è semplice: chi decide perché e come i dati vengono trattati? Chi, invece, li tratta per conto di un altro soggetto, seguendo istruzioni documentate?

Questa distinzione ha conseguenze operative rilevanti: incide su informative, registro dei trattamenti, misure di sicurezza, gestione dei diritti degli interessati, contratti con i fornitori e responsabilità in caso di violazione. Un errore di qualificazione può rendere inefficaci le nomine, indebolire l’accountability e aumentare il rischio di contestazioni da parte del Garante per la protezione dei dati personali.

Chi è il titolare del trattamento secondo il GDPR

Secondo l’art. 4, punto 7 del GDPR, il titolare del trattamento è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Il criterio decisivo non è quindi formale, ma sostanziale: il titolare è il soggetto che decide perché i dati vengono trattati e con quali elementi essenziali.

In ambito aziendale, il titolare è spesso la società che decide di trattare dati di dipendenti, clienti, prospect, utenti del sito, fornitori o candidati. Può essere titolare anche un professionista, un ente pubblico, un’associazione o un’organizzazione non profit. Quando due o più soggetti decidono congiuntamente finalità e mezzi, si può configurare una contitolarità, disciplinata dall’art. 26 GDPR.

Il titolare deve essere in grado di dimostrare la conformità dei trattamenti, secondo il principio di accountability. Non basta, quindi, avere moduli o informative standard: occorre che le decisioni siano documentate, coerenti con le finalità dichiarate e supportate da misure tecniche e organizzative adeguate.

Chi è il responsabile del trattamento secondo il GDPR

Il responsabile del trattamento, secondo l’art. 4, punto 8 del GDPR, è il soggetto che tratta dati personali per conto del titolare. La sua funzione nasce quindi da un rapporto di servizio: il responsabile non decide autonomamente le finalità del trattamento, ma opera all’interno del perimetro definito dal titolare e sulla base di istruzioni documentate.

Esempi frequenti sono società che gestiscono paghe e contributi, fornitori di servizi cloud, software house, consulenti IT, piattaforme di email marketing, call center, società di archiviazione documentale o provider che trattano dati personali dei clienti del titolare. Tuttavia, non ogni fornitore è automaticamente responsabile del trattamento: bisogna verificare se tratta dati personali per conto del cliente e con quale grado di autonomia.

Le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile chiariscono che la qualificazione deve basarsi sull’analisi concreta dei ruoli e del potere decisionale. Un contratto che definisce un soggetto come responsabile non è sufficiente se, nella pratica, quel soggetto determina finalità o mezzi essenziali del trattamento.

Differenza tra titolare e responsabile del trattamento

La differenza principale riguarda il potere decisionale. Il titolare decide le finalità, cioè lo scopo del trattamento, e i mezzi essenziali, cioè gli elementi principali che rendono possibile il trattamento. Il responsabile, invece, esegue il trattamento per conto del titolare, applicando istruzioni documentate e garantendo misure adeguate di sicurezza e riservatezza.

In pratica, tra Titolare e Responsabile del trattamento si instaura un rapporto di servizio, che implica che dati personali di persone fisiche riconducibili all’ambito di operatività del Titolare del trattamento (suoi dipendenti, suoi candidati, suoi utenti del sito, suoi clienti persone fisiche, suoi iscritti alle newsletter, suoi abbonati, ecc.) siano veicolati in gestione al Responsabile del trattamento.

Il Responsabile del trattamento, in definitiva, è un fornitore del Titolare del trattamento, impegnato in un servizio che implica il trattamento di dati personali.

In questo rapporto, il Responsabile del trattamento assume, rispetto al Titolare del trattamento, un ruolo formalmente “servente”/”subordinato”.

Tipici esempi di Responsabile del trattamento sono: il centro paghe, il consulente del lavoro, la società che gestisce le convocazioni per la sorveglianza sanitaria, la società che fornisce il gestionale della fatturazione. Tutti trattano dati personali per conto del o in servizio al Titolare del trattamento. Questa distinzione deve emergere nei contratti, nel registro dei trattamenti, nelle informative e nelle procedure interne.

La linea di confine può diventare meno evidente quando il fornitore dispone di forte autonomia tecnica. Un cloud provider, ad esempio, può decidere alcuni mezzi tecnici e organizzativi del servizio, ma ciò non lo rende necessariamente titolare se non determina le finalità del trattamento. Diverso è il caso in cui utilizzi i dati per proprie finalità ulteriori, come profilazione autonoma, arricchimento di database o analisi non previste dal contratto.

Obblighi del titolare del trattamento GDPR

Il titolare deve costruire e mantenere l’intero impianto di conformità. Deve individuare una base giuridica per ogni trattamento, fornire informative trasparenti agli interessati, rispettare i principi dell’art. 5 GDPR, garantire l’esercizio dei diritti, adottare misure di sicurezza adeguate, gestire eventuali data breach e, quando necessario, svolgere una valutazione d’impatto sulla protezione dei dati.

Il titolare deve, inoltre, tenere il registro delle attività di trattamento nei casi previsti dall’art. 30 GDPR e, più in generale, quando la complessità o rischiosità dei trattamenti lo renda necessario come strumento di accountability. Il Garante ricorda che anche imprese o organizzazioni con meno di 250 dipendenti possono essere tenute al registro se effettuano trattamenti non occasionali, rischiosi o relativi a categorie particolari di dati.

Un obbligo particolarmente importante riguarda la scelta dei responsabili. L’art. 28 GDPR stabilisce che il titolare deve ricorrere solo a responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. La selezione del fornitore, quindi, non può essere solo economica o commerciale: deve includere una valutazione privacy.

Obblighi del responsabile del trattamento GDPR

Il responsabile deve trattare i dati personali soltanto su istruzione documentata del titolare, salvo obblighi di legge. Deve garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza, e deve adottare misure di sicurezza coerenti con l’art. 32 GDPR.

Il responsabile deve assistere il titolare nella gestione delle richieste degli interessati, nelle valutazioni d’impatto, nella sicurezza dei trattamenti e nella gestione di eventuali violazioni dei dati personali. Deve inoltre mettere a disposizione del titolare le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dall’art. 28 e consentire attività di audit o verifica.

Un altro tema centrale è il ricorso a sub-responsabili. Il responsabile non può coinvolgere un altro soggetto nel trattamento senza autorizzazione scritta, specifica o generale, del titolare. In caso di sub-responsabile, devono essere imposti obblighi equivalenti a quelli previsti nel contratto principale.

Articolo 28 GDPR e contratto tra titolare e responsabile

Il rapporto tra titolare e responsabile deve essere disciplinato da un contratto o da altro atto giuridico vincolante ai sensi dell’art. 28 GDPR. Non è sufficiente una semplice clausola generica nel contratto commerciale: l’accordo deve indicare oggetto, durata, natura e finalità del trattamento, tipologia di dati personali, categorie di interessati e obblighi e diritti del titolare.

L’accordo deve prevedere, tra gli altri aspetti, che il responsabile tratti i dati solo su istruzione documentata, garantisca riservatezza, adotti misure di sicurezza, rispetti le regole sui sub-responsabili, assista il titolare, cancelli o restituisca i dati al termine del servizio e renda disponibili le informazioni necessarie per verificare la conformità.

La nomina deve essere coerente con il servizio realmente svolto. Una designazione formalmente corretta ma non allineata alle attività effettive può non bastare in caso di controllo o contenzioso. Per questo è utile mantenere un inventario dei fornitori che trattano dati personali e aggiornare periodicamente le nomine.

Quando il responsabile diventa titolare autonomo

Un responsabile può diventare titolare autonomo quando supera le istruzioni ricevute e determina finalità proprie o mezzi essenziali del trattamento. In questi casi, non opera più soltanto per conto del titolare, ma assume un ruolo decisionale autonomo, con conseguenti responsabilità dirette.

Un esempio può riguardare un fornitore che, oltre a prestare il servizio richiesto, utilizza i dati ricevuti per proprie attività di marketing, profilazione, sviluppo commerciale o arricchimento di database. In questo caso il trattamento ulteriore non è più semplicemente esecuzione del mandato, ma trattamento per finalità proprie.

In alcune situazioni può configurarsi anche una contitolarità, quando due o più soggetti determinano congiuntamente finalità e mezzi. La corretta qualificazione deve essere valutata prima dell’avvio del trattamento, perché incide su informative, basi giuridiche, accordi contrattuali e ripartizione delle responsabilità.

Esempi pratici di titolare e responsabile del trattamento

Un’azienda che raccoglie dati dei propri dipendenti per la gestione del rapporto di lavoro è titolare del trattamento. Il consulente paghe o il provider payroll che elabora cedolini e adempimenti per conto dell’azienda è normalmente responsabile del trattamento, se opera seguendo le istruzioni del cliente.

Una società che utilizza un software CRM per gestire clienti e prospect è titolare dei dati inseriti nella piattaforma. Il fornitore del software può essere responsabile del trattamento se conserva, ospita o elabora quei dati per conto del cliente. Se però usa i dati per finalità proprie non autorizzate, occorre rivalutare il ruolo.

Un ente pubblico che affida a un fornitore esterno la gestione tecnica di una piattaforma per servizi ai cittadini rimane titolare delle finalità istituzionali del trattamento. Il fornitore tecnico è responsabile se agisce nei limiti del contratto e delle istruzioni ricevute.

Responsabilità e sanzioni per titolare e responsabile GDPR

La mancata corretta qualificazione dei ruoli può generare conseguenze importanti. Il titolare può essere chiamato a rispondere per la scelta di responsabili non adeguati, per nomine incomplete o assenti, per informative non coerenti e per trattamenti non conformi. Il responsabile può essere responsabile se viola gli obblighi specifici previsti dal GDPR o agisce al di fuori delle istruzioni ricevute.

L’art. 83 GDPR prevede sanzioni amministrative pecuniarie graduate in base alla natura, gravità e durata della violazione, al numero di interessati coinvolti, al danno subito, al grado di responsabilità, alle misure adottate e alla cooperazione con l’autorità di controllo. Alcune violazioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, altre fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore.

Oltre alla sanzione, l’errore può produrre conseguenze contrattuali, reputazionali e organizzative. Una mappatura corretta dei ruoli, contratti ex art. 28 aggiornati, istruzioni documentate e controlli periodici sui fornitori riducono il rischio e rafforzano la dimostrazione di accountability.

Domande frequenti

Chi è il titolare del trattamento secondo il GDPR?

È il soggetto che determina finalità e mezzi del trattamento, cioè decide perché e come vengono trattati i dati personali.

Chi è il responsabile del trattamento?

È il soggetto che tratta dati personali per conto del titolare, sulla base di istruzioni documentate e di un contratto o altro atto giuridico ai sensi dell’art. 28 GDPR.

Titolare e responsabile possono essere due aziende?

Sì. Entrambi possono essere persone fisiche o giuridiche, autorità pubbliche, servizi o altri organismi.

Il responsabile del trattamento deve sempre essere nominato?

Quando un soggetto tratta dati personali per conto del titolare, il rapporto deve essere disciplinato da un contratto o altro atto giuridico conforme all’art. 28 GDPR.

Cosa deve contenere il contratto ex art. 28 GDPR?

Deve indicare oggetto, durata, natura, finalità del trattamento, dati trattati, categorie di interessati, istruzioni, obblighi di sicurezza, riservatezza, sub-responsabili, audit e restituzione o cancellazione dei dati.

Quando il responsabile diventa titolare autonomo?

Quando determina finalità proprie o mezzi essenziali del trattamento, oppure usa i dati per scopi ulteriori non riconducibili alle istruzioni del titolare.

Il provider cloud è sempre responsabile del trattamento?

Spesso sì, se tratta dati per conto del cliente. Tuttavia il ruolo dipende dal servizio concreto, dal contratto e dal grado di autonomia nel trattamento.

Quali sanzioni rischiano titolare e responsabile?

Il GDPR prevede sanzioni fino a 10 milioni di euro o 2% del fatturato mondiale annuo, oppure fino a 20 milioni di euro o 4%, a seconda della violazione.