Il fornitore invia un nuovo Data Processing Agreement e chiede di accettarlo entro una data. Il titolo del documento è invariato, ma alcune clausole possono cambiare istruzioni, sub-responsabili, misure di sicurezza, assistenza o restituzione dei dati. Una firma senza confronto rende difficile spiegare quale rischio sia stato valutato. Questa guida propone una scheda versionata che collega ogni cambiamento sostanziale alla conseguenza per il rapporto tra titolare e responsabile, alla decisione e al proprietario del seguito.
L’articolo 28 del GDPR stabilisce contenuti e condizioni del rapporto con il responsabile del trattamento, tra cui oggetto e durata, natura e finalità, categorie di dati, obblighi e diritti del titolare, nonché condizioni per ulteriori responsabili. Le linee guida EDPB su titolare e responsabile aiutano a interpretare i ruoli. Il NIST SP 1305 fornisce contesto sul rischio di fornitura, non sostituisce il GDPR. La scheda è un metodo editoriale, non un modulo imposto dalla legge.
Identificare quale accordo è davvero in vigore
Raccogliete il DPA firmato o altrimenti efficacemente accettato, gli allegati, la versione proposta, le condizioni principali del servizio e la data in cui la modifica dovrebbe applicarsi. Un link a una pagina web aggiornata può non dimostrare cosa prevedesse l’accordo alla data della precedente decisione. Salvate copie o riferimenti immodificabili secondo le regole interne, con data di acquisizione e fonte. Se il contratto incorpora versioni online, verificate il meccanismo di modifica concordato.
Stabilite per quali servizi e trattamenti il fornitore agisce effettivamente come responsabile. Lo stesso gruppo societario può fornire servizi diversi con ruoli diversi. Non applicate automaticamente una scheda articolo 28 a un rapporto in cui il fornitore è titolare autonomo per una parte delle attività. Il confronto contrattuale deve seguire la mappa dei trattamenti, non il solo nome commerciale del fornitore.
La guida alla nomina del responsabile ex articolo 28 spiega il contenuto generale dell’accordo. Qui il problema più ristretto è come decidere su una nuova versione senza perdere la traccia del testo precedente.
Produrre un confronto leggibile
Un confronto automatico di documenti è un punto di partenza, non una conclusione. Può segnalare molta punteggiatura e non mettere in evidenza una modifica importante in un allegato. Organizzate le differenze per tema: istruzioni, sub-responsabili, assistenza, sicurezza, violazioni, trasferimenti, conservazione, audit e responsabilità operative. Per ogni differenza registrate testo precedente, testo proposto, effetto pratico e fonte del giudizio. Se un allegato è sparito, trattatelo come modifica da capire anche se il corpo del DPA è quasi identico.
Indicate quali clausole non sono cambiate ma dipendono dal nuovo testo. Una modifica della definizione di «dati del cliente» può avere conseguenze su più sezioni apparentemente stabili. Un elenco di sub-responsabili spostato a un sito web può cambiare la modalità con cui il titolare riceve notizia degli aggiornamenti. La revisione deve seguire l’effetto combinato dei documenti, non soltanto il numero di righe aggiunte.
Fate leggere le differenze alle persone che conoscono il trattamento e il servizio. L’ufficio legale può rilevare un mutamento di obbligo; il responsabile tecnico può verificare se l’accesso remoto o la cancellazione promessa siano realizzabili; il business owner valuta la dipendenza operativa. La decisione finale dovrebbe vedere queste prospettive riunite.
Verificare i punti dell’articolo 28 interessati
Controllate se la nuova versione descrive ancora oggetto, durata, natura e finalità del trattamento, categorie di interessati e dati, obblighi e diritti del titolare. Verificate istruzioni documentate, riservatezza delle persone autorizzate, misure di sicurezza, condizioni per ulteriori responsabili, assistenza al titolare, restituzione o cancellazione alla fine del servizio e informazioni per dimostrare il rispetto degli obblighi e consentire audit. La valutazione concreta dipende dal testo e dal trattamento, non da una casella genericamente verde.
Non ogni modifica è una violazione del GDPR. Una clausola può essere chiarita, spostata in un allegato o adattata a un nuovo servizio. Registrate se l’effetto migliora, mantiene o riduce una tutela pertinente, e perché. Quando il testo resta ambiguo, chiedete chiarimenti scritti prima di dichiararlo equivalente. Conservate la risposta del fornitore nel dossier, senza attribuirle automaticamente lo stesso valore di una clausola contrattuale.
La distinzione tra titolare e responsabile è importante quando una modifica introduce un uso ulteriore dei dati. Se il fornitore rivendica una finalità propria, analizzate separatamente ruolo e base del trattamento invece di nascondere il punto sotto la rubricazione «DPA».
Trattare i sub-responsabili con precisione
L’articolo 28 richiede autorizzazione scritta preventiva, specifica o generale, per ricorrere a un altro responsabile. In caso di autorizzazione generale, il responsabile informa il titolare delle modifiche previste relative ad aggiunta o sostituzione, dandogli occasione di opporsi. Il DPA concreto può specificare canale, anticipo e procedura; non inventate un termine universale. Confrontate la vecchia e la nuova modalità, l’elenco dei soggetti, le attività affidate e l’eventuale cambiamento di localizzazione.
Una notifica pubblicata in una pagina modificabile non equivale automaticamente a una comunicazione efficace nel rapporto specifico. Verificate cosa prevede il contratto e quale prova resta dell’invio e della ricezione. Se il titolare dispone di un diritto di opposizione, la scheda deve mostrare la data entro cui esercitarlo secondo l’accordo e chi prepara la risposta. L’assenza di risposta non deve essere scambiata per una valutazione positiva documentata.
Il software per la conformità GDPR può aiutare a tenere un registro, ma la presenza di una lista aggiornata non dimostra che la conseguenza della modifica sia stata valutata. La scheda conserva il ragionamento.
Creare la scheda di decisione
Una scheda sintetica per ogni nuova versione può contenere:
| Campo | Contenuto |
|---|---|
| Identità | Fornitore, servizio, trattamenti, titolare e responsabile |
| Versioni | DPA precedente, proposta, allegati e date |
| Clausola | Testo o riferimento prima/dopo, cambiamento materiale |
| Articolo 28 | Obbligo o condizione interessata e conseguenza |
| Rischio | Dati, operazioni, sub-responsabili e dipendenze |
| Decisione | Accettare, negoziare, chiedere chiarimenti o rifiutare |
| Responsabile | Chi istruisce, chi approva e chi esegue il seguito |
| Verifica | Documento finale, misura promessa e data di riesame |
La scheda non deve diffondere dati personali o clausole riservate senza controllo degli accessi. Può contenere riferimenti a un archivio contrattuale protetto. Se un tema richiede una valutazione di trasferimento internazionale o un’analisi delle misure di sicurezza, collegate il dossier dedicato; non comprimete questioni complesse in una nota di una riga.
Registrate anche le differenze giudicate non rilevanti, con una breve ragione. Un revisore successivo vedrà che sono state considerate invece di supporre che siano sfuggite. Questo è particolarmente utile quando il fornitore distribuisce molte versioni in poco tempo.
Esempio: variazione della clausola di cancellazione
In un esempio fittizio, il DPA precedente prevedeva restituzione dei dati alla fine del servizio e cancellazione successiva secondo un allegato con tempi definiti. La nuova bozza rinvia a una policy online che distingue dati attivi e backup, ma non indica chiaramente quando cessa l’accesso del personale di supporto. Il confronto evidenzia non solo una frase cancellata, bensì l’effetto operativo: il titolare deve capire che cosa riceverà, quali copie restano e quando non saranno più disponibili.
Il team privacy chiede il testo della policy applicabile e una descrizione delle copie residue. Il business owner verifica l’esigenza di esportazione prima della chiusura. Il responsabile sicurezza verifica la revoca degli accessi e le misure sulle copie di backup. La decisione può essere di negoziare un allegato esplicito, accettare con un piano documentato se la tutela è adeguata, o non accettare la modifica. Il caso non presuppone che ogni rinvio a una policy online sia illecito; richiede che il risultato sia chiaro e verificabile.
Quando la versione definitiva arriva, confrontatela ancora con quella valutata. Una trattativa può produrre modifiche laterali non presenti nella bozza iniziale. La firma dovrebbe riferirsi all’esatto pacchetto documentale approvato, non a una promessa di revisione.
Per rendere la scheda utilizzabile, ecco due righe interamente fittizie. I testi delle clausole sono riassunti per mostrare il confronto; non sono citazioni di un DPA reale né clausole modello da adottare senza revisione.
| Versione e clausola | Prima / proposta riassunta | Conseguenza da esaminare | Decisione, ruolo e prova di seguito |
|---|---|---|---|
| V1 → V2, allegato cancellazione | Prima: restituzione e calendario di cancellazione esplicito. Proposta: rinvio a policy online senza data chiara per le copie di backup. | Art. 28(3)(g): restituzione o cancellazione alla fine del servizio, fatte salve le conservazioni imposte dal diritto applicabile. Occorre conoscere copie residue e tempi. | Responsabile privacy: chiedere allegato e calendario entro il 15 ottobre 2026; il business owner verifica un export campione; conservare risposta e testo finale. Nessuna accettazione automatica della bozza. |
| V1 → V2, sub-responsabili | Prima: elenco allegato e avviso diretto degli aggiornamenti. Proposta: elenco web modificabile con avviso non precisato. | Art. 28(2): per autorizzazione generale, informare sulle aggiunte o sostituzioni previste e dare occasione di opporsi; verificare canale e termini pattuiti. | Responsabile contratti: negoziare canale e anticipo entro il 15 ottobre 2026; conservare versione dell’elenco, messaggio del fornitore e decisione del titolare. |
Le date e i ruoli sono ipotesi organizzative del caso, non scadenze del GDPR. La prima riga resta aperta finché il testo finale e la prova di export non sono confrontati; la seconda finché il meccanismo di comunicazione non consente un’opposizione effettiva secondo l’accordo. Se il fornitore modifica nuovamente la bozza, create una nuova versione della valutazione anziché correggere retroattivamente queste righe.
Separare la decisione legale dal piano operativo
La valutazione della clausola può concludere che il DPA soddisfa le condizioni pertinenti, ma il servizio può ancora richiedere attività: aggiornare il registro dei fornitori, modificare una procedura di notifica o testare l’export. Scrivete le attività con proprietario e data, senza trasformarle in una vaga nota «da monitorare». L’accettazione giuridica e l’implementazione operativa sono due stati diversi.
Se la modifica riguarda un nuovo sub-responsabile, il titolare può avere bisogno di verificare sicurezza, localizzazione o trasferimenti. Se riguarda una nuova assistenza alle richieste degli interessati, il team operativo deve conoscere il canale e i tempi contrattuali. Un testo firmato che nessuno applica può non produrre la protezione attesa. Il monitoraggio continuo dei controlli offre un contesto per non chiudere una verifica quando il risultato resta inconclusivo.
La responsabilità condivisa nei servizi cloud può aiutare a distinguere attività del fornitore e del cliente. Il DPA non sostituisce automaticamente le verifiche tecniche sul servizio realmente usato.
Gestire scadenze e versioni frequenti
Fissate un punto di ingresso per le comunicazioni contrattuali. Se l’avviso arriva a una casella di un ex dipendente, la possibilità di decidere entro il termine pattuito può andare persa. Registrate data di ricezione, destinatario, canale e termine previsto dal contratto. Se il fornitore pubblica aggiornamenti senza avviso diretto, verificate se la procedura corrisponde agli impegni assunti. Non presupponete che una richiesta di chiarimento sospenda automaticamente ogni termine.
Per fornitori che aggiornano spesso il DPA, mantenete una cronologia: versione, data di entrata in vigore, clausole cambiate, esito e azioni aperte. Le decisioni precedenti non devono essere sovrascritte. Una modifica successiva può ripristinare una tutela persa o crearne una nuova lacuna. La cronologia permette di spiegare quale testo era applicabile quando si è svolto un trattamento o un incidente.
Non approvate in blocco tutte le future versioni solo perché un aggiornamento è stato benigno. Stabilite categorie di modifica che richiedono un nuovo controllo: nuovi usi dei dati, sub-responsabili, trasferimenti, misure, tempi di conservazione, diritti di audit e assistenza. Una variazione puramente editoriale può essere registrata più rapidamente, con una motivazione.
Riesaminare l’esito dopo l’entrata in vigore
Controllate che il pacchetto firmato sia archiviato e che le attività concordate siano state eseguite. Se il fornitore ha promesso una funzione di esportazione o una comunicazione di sicurezza, verificate la disponibilità nella realtà del servizio. Una clausola può essere adeguata sulla carta e non trovare ancora attuazione. In tal caso aprite un problema operativo o contrattuale specifico invece di alterare retroattivamente il giudizio sul testo.
Rivedete la decisione quando cambiano trattamento, dati, servizio, localizzazione, sub-responsabili o istruzioni. La scheda originale dovrebbe indicare quali premesse sostenevano l’accettazione. Se una premessa cade, l’accettazione non dovrebbe restare valida per inerzia. Il registro delle decisioni di accountability aiuta a mantenere espliciti fatti, ragioni e seguito.
La scheda conclusa risponde a domande verificabili: quale versione è stata confrontata, quali clausole sono cambiate, quale obbligo dell’articolo 28 o rischio pratico è interessato, chi ha deciso e quale azione resta da fare. In questo modo la prossima proposta del fornitore può essere valutata sulla storia reale del rapporto, non su un DPA genericamente segnato come «presente».
Verificare gli allegati tecnici e le istruzioni
Molti cambiamenti rilevanti non sono nel testo principale. Un allegato può ridefinire i servizi, i luoghi di trattamento, le categorie di dati o le misure tecniche. Confrontate ciascun allegato con la versione precedente e con l’effettivo servizio utilizzato. Se l’allegato descrive un ambiente standard ma il cliente ha configurato una funzione aggiuntiva, chiedete quale documento la copra. La valutazione deve riferirsi al trattamento reale e alle istruzioni documentate, non a un catalogo generico.
Verificate anche chi può modificare quelle istruzioni. Se il nuovo DPA rinvia a una policy che il fornitore può cambiare unilateralmente, analizzate il meccanismo di comunicazione e la possibilità di reagire. Non ogni aggiornamento unilaterale è automaticamente inefficace, ma la decisione deve considerare se il titolare conserva controllo sufficiente sulle istruzioni pertinenti. Una descrizione vaga di «misure adeguate» può richiedere un allegato più preciso o una verifica separata.
Gestire un rifiuto senza interrompere alla cieca
Se una modifica non è accettabile, documentate il punto esatto da negoziare e la conseguenza sul servizio. Il rifiuto del DPA non equivale sempre all’immediata cessazione tecnica del trattamento; la relazione contrattuale e la continuità operativa devono essere esaminate da chi ha competenza. Stabilite chi contatta il fornitore, quali dati possono continuare a essere trattati nel frattempo e quale decisione è necessaria prima della data proposta. Evitate sia la firma frettolosa sia l’uso indefinito di un accordo contestato senza piano.
Può essere utile proporre una formulazione alternativa o un allegato limitato al servizio effettivamente usato. Se il fornitore rifiuta, la direzione competente deve valutare rischio, obblighi e alternative pratiche. Conservate il testo delle proposte e delle risposte: una nota «negoziazione fallita» non permette di capire quali garanzie mancavano. Il dossier finale deve mostrare una scelta motivata e un percorso per rivederla.
Collegare il confronto alla gestione dei fornitori
Quando cambia il DPA, possono cambiare anche le informazioni raccolte in due diligence: sub-responsabili, sedi, meccanismi di assistenza e condizioni di audit. Aggiornate i registri pertinenti solo dopo aver compreso la modifica, e conservate il riferimento alla versione valutata. Un elenco aggiornato senza il confronto non spiega perché il nuovo rischio sia stato accettato. Il coordinamento dei controlli DORA e GDPR può essere utile per i soggetti cui entrambe le discipline si applicano, mantenendo distinti i rispettivi ambiti.
Se il fornitore presta più servizi, verificate quali contratti e istruzioni sono toccati dalla nuova versione. Una modifica che riguarda solo un servizio non dovrebbe riscrivere silenziosamente la valutazione di tutti gli altri. Al contrario, una clausola generale sui sub-responsabili può avere effetti trasversali. La scheda deve dichiarare la granularità scelta e consentire di trovare le decisioni collegate.