Chi va nominato, in un'azienda normale
| Fornitore | Tratta dati per voi? | Serve la nomina? |
|---|---|---|
| Chi vi ospita il sito e i server | Sì | Sì |
| Chi vi ha fatto il gestionale e lo assiste | Sì, se accede ai dati | Sì |
| Servizio di invio newsletter | Sì | Sì |
| Consulente del lavoro | Sì | Sì, salvo che agisca come titolare autonomo per obblighi propri |
| Commercialista | Dipende dal rapporto | Va verificato caso per caso |
| Corriere | Tratta i dati di consegna | Di norma è titolare autonomo, non responsabile |
| Banca | Sì, per i suoi obblighi | No: è titolare autonomo |
Le ultime tre righe spiegano una confusione frequente: non tutti quelli che ricevono dati da voi sono responsabili. Chi li tratta per finalità proprie stabilite dalla legge è titolare autonomo, e con lui non serve alcuna nomina.
Cosa deve contenere il contratto
I contenuti minimi sono elencati dalla norma, e la loro assenza rende il documento inutile proprio nel momento in cui servirebbe. Quando vi arriva un modulo da firmare, sono queste le voci da cercare.
- Materia, durata, natura e finalità del trattamento, e categorie di dati e interessati.
- L'impegno a trattare i dati solo su vostra istruzione documentata.
- L'obbligo di riservatezza delle persone autorizzate.
- Le misure di sicurezza adottate.
- Le condizioni per ricorrere a sub-responsabili: autorizzazione vostra e stessi obblighi a valle.
- L'assistenza a voi nel rispondere alle richieste degli interessati.
- L'obbligo di informarvi di eventuali violazioni dei dati, e con quale tempistica.
- Cosa succede ai dati al termine del rapporto: restituzione o cancellazione, a vostra scelta.
- L'impegno a mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi, e a consentire verifiche.
La parte che riguarda voi, e che quasi nessuno fa
La nomina non è solo un foglio da firmare: comporta un obbligo vostro di scegliere fornitori che diano garanzie sufficienti. Non serve un audit: serve poter dire, se qualcuno lo chiede, su quali elementi avete valutato. È esattamente la stessa domanda che oggi i vostri clienti grandi fanno a voi.
Quattro elementi che bastano a documentare la scelta
- Dove sono ospitati i dati, e se restano nell'Unione europea
- Chi del fornitore può accedervi, e con quale forma di autenticazione
- Come e ogni quanto vengono fatti i backup, e se sono cifrati
- Se il fornitore si appoggia a sub-fornitori, e quali
Quattro domande per email, quattro risposte scritte conservate insieme alla nomina. È tutto quello che serve a un'azienda di dimensioni ordinarie, e trasforma un adempimento formale in una cosa che vi protegge davvero.