La nomina degli autorizzati al trattamento serve a rendere chiaro chi può usare determinati dati, per quali compiti e con quali limiti. Una lettera firmata può documentare bene queste scelte, ma non sostituisce le istruzioni, la formazione e le autorizzazioni effettive nei sistemi. Il punto da verificare è se la persona opera entro un ambito definito e sotto l’autorità del titolare o del responsabile.
Questa guida propone un fac-simile da adattare e spiega come collegarlo alle attività quotidiane. Il termine «nomina» è diffuso nella pratica italiana; non significa che il GDPR imponga a ogni organizzazione lo stesso modulo o una particolare formula di firma. Occorre distinguere gli obblighi giuridici dalle modalità organizzative scelte per dimostrarne il rispetto.
Che cosa prevedono il GDPR e il Codice privacy
L’articolo 29 del GDPR stabilisce che chi agisce sotto l’autorità del titolare o del responsabile e ha accesso a dati personali può trattarli soltanto su istruzione del titolare, salvo che lo richieda il diritto dell’Unione o degli Stati membri. L’articolo 32, paragrafo 4, richiede misure per assicurare il rispetto di questo limite. L’obbligo riguarda il comportamento effettivo, non soltanto l’esistenza di un documento.
In Italia, l’articolo 2-quaterdecies del Codice privacy, nel testo coordinato pubblicato dal Garante, contiene due disposizioni diverse. Il primo comma permette di attribuire specifici compiti e funzioni a persone fisiche espressamente designate, sotto la propria responsabilità e nell’ambito dell’organizzazione. Il secondo lascia al titolare o al responsabile la scelta delle modalità più opportune per autorizzare le persone che operano sotto la loro autorità diretta.
Una lettera individuale, un profilo di ruolo collegato a istruzioni e un sistema documentato di assegnazione possono concorrere a questa organizzazione. La soluzione deve consentire di ricostruire destinatario, ambito, istruzioni e decorrenza. Non si può dedurre automaticamente che ogni trattamento privo di una lettera separata sia illecito; allo stesso modo, una firma non rende lecito un accesso estraneo alle mansioni.
Autorizzato, designato, responsabile e DPO
L’autorizzato è una persona che tratta dati sotto autorità diretta. Può essere un dipendente, ma la valutazione non si esaurisce nel tipo di contratto di lavoro: anche un collaboratore inserito nell’organizzazione può trovarsi in questa posizione. Occorre verificare chi impartisce le istruzioni, quali margini decisionali esistono e come viene controllato l’accesso.
Un fornitore che tratta dati per conto del titolare può invece essere responsabile del trattamento. Il rapporto va regolato da un contratto o da un altro atto giuridico vincolante previsto dal diritto dell’Unione o degli Stati membri, con i contenuti dell’articolo 28 e in forma scritta, anche elettronica. Il fornitore che determina autonomamente finalità e mezzi essenziali può essere titolare per determinate attività. La collocazione «dentro o fuori» l’azienda non risolve da sola la qualificazione: approfondisci titolare e responsabile del trattamento.
La designazione di un responsabile di funzione ai sensi del primo comma dell’articolo 2-quaterdecies distribuisce compiti interni, senza trasferire automaticamente la titolarità del trattamento. Specifica quali decisioni può assumere, quali controlli deve svolgere e quando deve coinvolgere la direzione. Per un rapporto di esternalizzazione usa invece la guida sulla nomina del responsabile ex articolo 28.
Il DPO informa, consiglia e sorveglia l’osservanza della disciplina nei limiti dei suoi compiti. Non deve diventare automaticamente il dirigente che concede tutti gli accessi o decide le finalità operative. La guida a nomina e compiti del DPO aiuta a distinguere il ruolo di controllo dalle responsabilità gestionali. Il fatto di non avere un DPO non elimina la necessità di individuare chi approva e verifica le autorizzazioni.
Definire l’ambito prima di preparare la lettera
Parti dall’attività concreta: gestione delle richieste dei clienti, amministrazione del personale, assistenza tecnica o accesso a un archivio sanitario. Collega l’attività alla corrispondente voce del registro dei trattamenti, quando presente. Il registro descrive il trattamento; la documentazione degli autorizzati precisa quali persone eseguono quali operazioni all’interno di quel contesto.
Individua categorie di dati e interessati, applicazioni, archivi cartacei e operazioni consentite. Un addetto alle prenotazioni può dover leggere un recapito e modificare un appuntamento senza poter consultare l’intera documentazione clinica. Un impiegato contabile può aver bisogno dei dati di fatturazione, ma non delle note riservate dell’assistenza. La denominazione del reparto, da sola, spesso non basta a esprimere questi limiti.
Distinguere consultazione, inserimento, modifica, estrazione e cancellazione rende l’autorizzazione verificabile. Se l’esportazione massiva richiede un’approvazione ulteriore, indicalo nelle istruzioni e configura coerentemente il software. Se il programma non permette una limitazione adeguata, documenta il problema e valuta misure compensative; non descrivere nella lettera una separazione che il sistema non attua.
Considera anche il lavoro occasionale. Una sostituzione durante le ferie può richiedere un accesso temporaneo con una scadenza, non l’aggiunta permanente a tutti i gruppi del collega. Nei progetti trasversali definisci chi verifica il bisogno di accesso e chi ne dispone la revoca. Queste sono scelte operative da adattare al rischio e alle dimensioni dell’organizzazione.
Fac-simile della lettera di autorizzazione
Il modello seguente è una struttura di lavoro. Completa tutti i campi, elimina ciò che non corrisponde all’attività e allega istruzioni effettivamente disponibili alla persona. Non è un’autorizzazione generale a qualunque trattamento e non costituisce, da solo, una base giuridica per raccogliere nuovi dati.
Autorizzazione al trattamento di dati personali
[Organizzazione], in qualità di [titolare/responsabile per il servizio indicato], autorizza [nome e identificativo professionale] a trattare dati nello svolgimento delle seguenti attività: [attività e riferimento].
L’ambito comprende [categorie di interessati e dati], negli archivi e sistemi [elenco], per le sole operazioni [operazioni]. Sono esclusi [accessi o usi non consentiti]. L’autorizzazione decorre dal [data] e resta collegata alle mansioni assegnate; per gli accessi temporanei la scadenza è [data].
La persona opera secondo le istruzioni [versione e luogo di consultazione], osserva gli obblighi di riservatezza applicabili e segnala dubbi, richieste anomale e incidenti a [contatto]. Le richieste di estensione dell’accesso sono approvate da [funzione].
Alla variazione o cessazione dell’incarico si applicano le istruzioni per revoca degli accessi, restituzione dei materiali e gestione delle copie di lavoro. La riservatezza continua secondo gli obblighi applicabili.
Responsabile dell’assegnazione: [nome, funzione, data]. Conferma di ricezione delle istruzioni: [modalità, persona e data]. Allegati: [elenco e versioni].
La conferma di ricezione documenta che le istruzioni sono state consegnate; non prova automaticamente che siano comprensibili o rispettate. Prevedi uno spazio per chiedere chiarimenti e verifica le attività più delicate. Se utilizzi una piattaforma interna, conserva il collegamento tra persona, versione ricevuta e ambito assegnato, senza raccogliere prove ulteriori che non servono alla finalità.
Istruzioni che aiutano nelle attività quotidiane
Le istruzioni dovrebbero rispondere alle situazioni in cui una persona deve scegliere come agire. Per l’invio di documenti, spiega come verificare il destinatario, quali canali sono ammessi e quando applicare protezioni aggiuntive. Per una telefonata, indica come controllare l’identità del richiedente e quali informazioni non comunicare prima della verifica. Dire soltanto «rispettare il GDPR» lascia irrisolta la decisione concreta.
Per gli strumenti digitali, tratta credenziali individuali, autenticazione, blocco della sessione e gestione dei dispositivi. Non autorizzare la condivisione ordinaria di account come scorciatoia organizzativa. Se un’applicazione impone un’utenza tecnica condivisa, valuta il caso e predisponi misure che consentano di attribuire le operazioni; una clausola di riservatezza non sostituisce questa valutazione tecnica.
Per documenti cartacei e lavoro da remoto, stabilisci dove si possono consultare gli atti, come custodirli e come smaltire le copie. Considera trasporto, stampanti condivise e conversazioni in luoghi accessibili ad altri. La politica di sicurezza informatica aziendale può contenere regole generali, mentre l’istruzione di reparto deve spiegare come applicarle al compito assegnato.
Anche l’uso di strumenti esterni merita una regola chiara. Un dipendente non dovrebbe caricare elenchi di clienti in un servizio personale per tradurre o riassumere un documento senza una valutazione autorizzata. Indica quali strumenti sono approvati, quali dati possono essere usati e a chi chiedere una verifica per un nuovo servizio. La disponibilità pubblica di uno strumento non equivale a un’autorizzazione aziendale.
Accessi privilegiati e dati particolari
Quando la persona svolge funzioni di amministrazione tecnica, verifica separatamente il fascicolo degli amministratori di sistema, nel perimetro delle prescrizioni italiane applicabili. La lettera generale agli autorizzati non risolve l’individuazione delle funzioni privilegiate, gli adempimenti sui log o le verifiche previste per tali ruoli. Non attribuire però automaticamente la qualifica a chiunque utilizzi un computer.
Per dati sanitari, biometrici o altre categorie particolari, l’autorizzazione interna non rimuove i limiti dell’articolo 9 e delle norme nazionali. Controlla che l’attività dell’organizzazione abbia un presupposto valido e che la persona acceda solo a ciò che serve. Anche un professionista abilitato può compiere un accesso non giustificato se consulta il fascicolo di un conoscente per curiosità.
Il Garante, nel provvedimento dell’11 settembre 2025 sul dossier sanitario, richiama la necessità di collegare gli accessi alle esigenze di cura e di configurare profili coerenti. Per applicare questa distinzione, la guida sul controllo degli accessi al dossier sanitario separa il titolo professionale dalla necessità concreta di consultare un determinato episodio.
Richieste degli interessati e incidenti
Una persona autorizzata può essere il primo contatto quando un cliente chiede una copia dei dati o segnala un errore. Le istruzioni devono indicare come riconoscere la richiesta e trasmetterla al referente competente, senza pretendere che il cliente usi una formula particolare. Evita risposte improvvisate o l’invio di documenti a un indirizzo non verificato.
L’informativa sul trattamento comunica alle persone come vengono utilizzati i loro dati; l’autorizzazione interna dice al personale come svolgere il lavoro. I due documenti devono essere coerenti, ma hanno destinatari e funzioni diversi. Un addetto non può promettere un uso dei dati incompatibile con quello effettivamente deciso dal titolare.
Per gli incidenti, chiedi di segnalare prontamente anche il sospetto attraverso una via concreta. Un allegato errato o una cartella visibile al reparto sbagliato può richiedere una valutazione. L’addetto non deve decidere da solo se notificare al Garante. La procedura sulla notifica di una violazione dei dati assegna tale valutazione all’organizzazione competente e distingue il primo allarme dalle successive decisioni.
Non inserire nella lettera una clausola che scarichi sul lavoratore ogni responsabilità per qualsiasi violazione. Il titolare o il responsabile deve organizzare il trattamento e adottare misure adeguate; gli eventuali profili di responsabilità individuale richiedono una valutazione distinta. La paura di conseguenze automatiche può inoltre ostacolare la segnalazione tempestiva degli errori.
Formazione, cambi di mansione e uscita
Prima dell’accesso, verifica che la persona conosca le istruzioni pertinenti. Un breve confronto su un caso reale del reparto può essere più informativo della sola consegna di un manuale. Per esempio, chiedi come gestirebbe una richiesta urgente proveniente dall’indirizzo personale di un dirigente. L’obiettivo è capire se sa riconoscere la situazione e utilizzare il canale previsto.
Quando cambiano mansioni, controlla gli accessi precedenti prima di aggiungere quelli nuovi. Il passaggio dalle risorse umane all’amministrazione non giustifica il mantenimento automatico delle cartelle del personale. Aggiorna ambito, istruzioni e autorizzazioni tecniche nello stesso processo organizzativo, mantenendo traccia delle date effettive. Evita di retrodatare una lettera per far apparire tempestiva una revoca tardiva.
Alla cessazione dell’incarico, coordina risorse umane, responsabile di funzione e IT. Revoca gli accessi, gestisci dispositivi e supporti, recupera i documenti e verifica le copie di lavoro secondo le regole applicabili. La cancellazione dell’account non deve distruggere indiscriminatamente documenti che l’organizzazione deve conservare. Allo stesso tempo, conservare l’archivio non giustifica lasciare attiva la credenziale della persona uscita.
Le verifiche periodiche devono avere una frequenza motivata dal contesto, oltre a essere attivate da cambiamenti significativi. Confronta un campione di autorizzazioni con i permessi reali e chiedi al responsabile operativo se sono ancora necessari. Per ruoli privilegiati o archivi particolarmente delicati, un controllo più ravvicinato può essere appropriato. Non presentare una cadenza aziendale come obbligo universale del GDPR.
Verificare una nuova autorizzazione sul campo
Immagina un addetto che passa dall’assistenza agli acquisti. Il nuovo responsabile conferma quali archivi fornitori servono; IT verifica le operazioni abilitate e rimuove l’accesso ordinario alle segnalazioni dei clienti. Se occorre completare un vecchio caso, l’eccezione può essere circoscritta e temporanea. La documentazione deve distinguere questo accesso residuo dai permessi permanenti del nuovo ruolo.
Chiedi poi alla persona di individuare le istruzioni applicabili e il contatto per un dubbio. Se non riesce a trovare il documento citato nella lettera, la consegna formale non basta a rendere il processo utilizzabile. Registra l’esito e correggi collegamenti, permessi o spiegazioni prima che il problema si ripeta su dati reali.
Conservare una prova utilizzabile
Un fascicolo utile riunisce l’assegnazione, le istruzioni applicabili, le conferme di ricezione, le attività formative pertinenti e la storia delle modifiche. Non occorre duplicare ogni documento per ogni persona: si può richiamare una versione comune, purché resti recuperabile. Se il testo viene sovrascritto senza storico, diventa difficile ricostruire quali regole fossero state comunicate al momento di un evento.
Proteggi anche queste evidenze, che contengono dati dei lavoratori. Definisci chi può leggerle e per quanto tempo conservarle in relazione a esigenze organizzative, obblighi applicabili e tutela dei diritti. Non promettere nella lettera una conservazione eterna né una cancellazione immediata incompatibile con esigenze documentate. Le ragioni della conservazione vanno valutate per tipologia di documento.
Domande frequenti
È necessaria una firma autografa?
Non esiste una prescrizione generale del GDPR che imponga una firma autografa sulla singola lettera agli autorizzati. Conta dimostrare un’organizzazione adeguata, l’ambito assegnato e le istruzioni impartite, rispettando eventuali norme specifiche del settore. Una conferma elettronica può essere utile se è attribuibile alla persona e collegata al documento corretto.
Posso usare una lettera uguale per tutti?
Puoi condividere regole generali, ma l’ambito deve riflettere i compiti. Un modello comune con allegati o profili differenziati può funzionare. Una formula che consente a chiunque di trattare tutti i dati aziendali rende invece difficile verificare la necessità degli accessi. Controlla sempre che il profilo descritto corrisponda ai permessi effettivamente assegnati.
Il responsabile esterno deve autorizzare il proprio personale?
Chi tratta dati sotto l’autorità diretta del responsabile deve ricevere istruzioni e operare entro l’ambito consentito. L’articolo 28 richiede inoltre che le persone autorizzate si impegnino alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. Il titolare verifica il rapporto con il fornitore; non basta inviare ai suoi dipendenti la stessa lettera usata internamente per risolvere la qualificazione del servizio.