Il titolare del trattamento è chi determina finalità e mezzi del trattamento (art. 4, n. 7 GDPR); il responsabile è chi tratta i dati per conto del titolare (art. 4, n. 8). La differenza non è formale: decide chi risponde delle scelte, chi firma il contratto ex art. 28, chi notifica un data breach e chi rischia la sanzione più alta. Sbagliare la qualificazione può lasciare senza una base chiara le istruzioni, i contratti e la gestione dei diritti. Questa guida distingue i quattro ruoli del GDPR con casi italiani concreti.
Punti essenziali
- Il titolare decide il “perché” e il “come” del trattamento; il responsabile esegue seguendo le sue istruzioni.
- La contitolarità (art. 26) ricorre quando due o più soggetti determinano insieme le finalità.
- Il ruolo si qualifica in base ai fatti, non alle etichette scelte nel contratto.
- Il rapporto titolare-responsabile va regolato da un contratto ex art. 28 con contenuto minimo obbligatorio.
- L’autorizzato (art. 29) non è un soggetto autonomo: agisce sotto l’autorità del titolare o del responsabile.
Le definizioni: chi decide, chi esegue
Il criterio discriminante è il potere decisionale sulle finalità e sui mezzi essenziali del trattamento.
Il titolare (data controller) determina perché i dati vengono trattati e attraverso quali strumenti fondamentali. È il soggetto responsabile del rispetto dei principi dell’art. 5 e destinatario della gran parte degli obblighi: informativa, registro, DPIA, notifica dei breach.
Il responsabile (data processor) tratta i dati per conto del titolare, entro il perimetro delle sue istruzioni. Un fornitore di cloud, una software house SaaS o un centralino esterno possono agire così per specifiche operazioni, mentre decidono autonomamente altri trattamenti. Possono scegliere aspetti tecnici (i “mezzi non essenziali”), ma non lo scopo.
Le linee guida EDPB 07/2020 sono il riferimento interpretativo per distinguere i ruoli quando il caso è dubbio.
Contitolari e autorizzati: gli altri due ruoli
Oltre alla coppia base, il GDPR conosce altre due figure.
La contitolarità (art. 26) ricorre quando due o più titolari determinano congiuntamente le finalità e i mezzi. Devono definire con un accordo interno la ripartizione delle responsabilità, in particolare su informativa ed esercizio dei diritti. Esempio tipico: due aziende che gestiscono insieme una piattaforma di co-marketing decidendo di comune accordo il target.
L’autorizzato al trattamento (art. 29 GDPR e art. 2-quaterdecies Codice Privacy) è la persona fisica che, sotto l’autorità del titolare o del responsabile, tratta i dati seguendo istruzioni. Non è un soggetto autonomo: è il dipendente o il collaboratore designato. La sua disciplina è nella nomina degli autorizzati al trattamento.
Casi italiani: chi è cosa
La qualificazione dipende dai fatti. I casi seguenti sono esempi da verificare sul trattamento concreto, non qualificazioni automatiche.
| Soggetto | Ruolo tipico | Perché |
|---|---|---|
| Software house SaaS | Spesso responsabile per i dati affidati | Occorre separare il servizio al cliente dalle finalità proprie |
| Commercialista che elabora le paghe | Da valutare sul mandato | Autonomia professionale, obblighi propri e istruzioni incidono sulla qualifica |
| Agenzia marketing per un brand | Da valutare sulla campagna | Le decisioni su pubblico, finalità e mezzi essenziali possono variare |
| Amministratore di condominio | Da valutare sul flusso | Distinguere le decisioni del condominio da quelle dell’amministratore |
| Piattaforma di annunci immobiliari | Titolare autonomo | Determina proprie finalità sui dati raccolti |
| Datore di lavoro | Titolare | Decide le finalità del trattamento HR |
Il caso del commercialista è istruttivo: la qualifica per l’elaborazione delle buste paga dipende dal mandato concreto e dai propri obblighi professionali; per i trattamenti della propria organizzazione è titolare. Il tema è approfondito nella guida GDPR per commercialisti. Analogamente, una startup SaaS può essere responsabile dei dati che i clienti aziendali le affidano per le finalità da loro decise, come spiega la guida GDPR per startup e SaaS.
Perché la qualificazione conta
Qualificare male il ruolo ha conseguenze concrete. Il titolare risponde delle scelte di finalità e sopporta gli obblighi principali; il responsabile risponde di aver agito oltre le istruzioni o senza misure di sicurezza adeguate (art. 32) e diventa esso stesso titolare se determina autonomamente finalità e mezzi (art. 28, par. 10). Le etichette del contratto non prevalgono sui fatti: se un presunto “responsabile” decide in autonomia le finalità, il Garante lo tratta come titolare, con il relativo carico sanzionatorio.
Da qui l’importanza di un contratto ex art. 28 ben scritto, con il contenuto minimo obbligatorio: oggetto, durata, natura e finalità, tipi di dati, obblighi di riservatezza, misure di sicurezza, sub-responsabili, assistenza al titolare, sorte dei dati a fine rapporto. La disciplina completa è nella guida alla nomina del responsabile del trattamento ex art. 28, mentre la mappatura dei ruoli va riportata nel registro dei trattamenti.
Nelle catene di fornitura complesse — un titolare, un responsabile e diversi sub-responsabili — tenere traccia di chi fa cosa e con quale contratto diventa un lavoro di governance. Una matrice dei trattamenti, dei ruoli e dei contratti aiuta a non perdere le dipendenze della catena.
Sub-responsabili e catene di trattamento
Il tema più insidioso nella pratica è la sub-responsabilità. Un responsabile (ad esempio una software house) che si appoggia a un fornitore cloud crea un sub-responsabile: la catena titolare → responsabile → sub-responsabile deve essere autorizzata dal titolare, almeno in forma generale, e ogni anello deve replicare gli obblighi di sicurezza dell’art. 28 verso l’anello successivo (art. 28, par. 4). Il titolare che ignora la composizione della propria catena rischia di scoprire, solo dopo un data breach, che i suoi dati transitavano da un sub-fornitore extra-UE senza garanzie adeguate.
Da qui l’importanza di due verifiche. La prima è la mappatura dei sub-responsabili: chi sono, dove trattano i dati, con quali garanzie sui trasferimenti. La seconda è il controllo sulle modifiche: molti contratti prevedono che il responsabile possa cambiare sub-fornitori dandone avviso, e il titolare deve poter obiettare.
Vale infine ricordare che la qualificazione del ruolo incide anche sulla notifica dei data breach. Il responsabile che subisce una violazione non notifica al Garante: informa senza ritardo il titolare (art. 33, par. 2), che valuta e — se necessario — notifica. Confondere i ruoli in quel momento fa perdere ore preziose sul termine delle 72 ore. Definire in anticipo chi fa cosa nella catena è parte della preparazione a un incidente.
Un metodo per qualificare il ruolo prima del contratto
Partire dal nome del fornitore conduce spesso fuori strada. La prima domanda è quale trattamento si sta qualificando: raccolta dei dati dei clienti, invio di newsletter, pagamento, assistenza, analisi di utilizzo o gestione amministrativa del fornitore. Un’organizzazione può essere responsabile per i dati che ospita per conto del cliente e titolare autonomo per fatturazione e gestione del proprio personale. Il ruolo va quindi scritto per operazione e per scopo, non assegnato una volta sola all’intera azienda.
Per ciascuna operazione, chiedere chi decide perché i dati sono usati, quali categorie di persone vengono coinvolte, quali dati sono necessari, per quanto tempo saranno conservati e chi può riceverli. Queste sono scelte sui fini e sui mezzi essenziali. Il responsabile può scegliere mezzi tecnici non essenziali, come una specifica configurazione di backup, purché rimanga entro istruzioni lecite e limiti contrattuali. Se il fornitore aggiunge di propria iniziativa una finalità di pubblicità, analisi commerciale o vendita di dati, quella finalità richiede una qualifica autonoma: non diventa lecita solo perché il contratto generale lo chiama «responsabile».
Un utile documento di una pagina può contenere scopo, soggetti, decisioni di ciascuno, dati interessati, base per l’eventuale accordo ex art. 28 e punti ancora controversi. Allegare il flusso dei dati aiuta più di una matrice astratta. Le linee guida EDPB 07/2020 distinguono il potere sui mezzi essenziali dalla mera libertà tecnica. La mappa delle basi giuridiche è invece compito del titolare per la propria finalità.
Tre scenari che richiedono risposte diverse
Piattaforma SaaS e dati caricati dal cliente. Il cliente decide quali persone inserire nel sistema e per quali attività; il fornitore esegue il servizio secondo il contratto. Per quella parte è normalmente responsabile. Se usa i dati di contatto del proprio referente commerciale per fatturare l’abbonamento, agisce invece come titolare di quel trattamento. Se il prodotto offre funzioni di analisi, va verificato se restano al servizio del cliente o se il fornitore decide un uso proprio. La guida GDPR per startup SaaS approfondisce questa separazione; la scheda sulla responsabilità condivisa nel cloud aiuta a distinguere controlli tecnici e ruolo giuridico.
Consulente professionale. Non basta dire che riceve istruzioni sul risultato. Occorre verificare quali scelte professionali e obblighi propri incidono sul trattamento. Un consulente può decidere in autonomia determinati fini e mezzi in relazione al proprio incarico; in altri flussi agisce per conto del cliente. Le qualificazioni del commercialista, dell’avvocato o del consulente del lavoro non si ricavano automaticamente dalla fattura né dalla disponibilità dei dati. La guida per commercialisti può dare il contesto, ma il mandato concreto resta decisivo.
Campagna con due organizzazioni. Se due soggetti definiscono insieme pubblico, scopo e modalità essenziali di raccolta, può esserci contitolarità; non è sufficiente che collaborino o si scambino dati. Se ciascuno determina indipendentemente una fase, possono essere titolari autonomi successivi. L’accordo dell’art. 26 distribuisce i compiti, ma non elimina il diritto delle persone di rivolgersi a ciascun contitolare. Gli elementi essenziali dell’accordo devono essere messi a disposizione delle persone interessate.
Cosa verificare nel contratto ex articolo 28
La qualificazione corretta deve riflettersi anche negli aggiornamenti contrattuali successivi. Una scheda per confrontare il DPA del fornitore rende visibile quale clausola cambia, quale trattamento riguarda e chi deve decidere o negoziare prima dell’entrata in vigore.
Una nomina che ripete il testo del GDPR senza descrivere il servizio non aiuta quando qualcosa va storto. Il contratto dovrebbe identificare dati e categorie di interessati, natura e durata delle operazioni, istruzioni documentate, misure di sicurezza, persone autorizzate, regole per sub-responsabili, assistenza sui diritti e sulle violazioni, audit e sorte dei dati a fine rapporto. Per documentare chi ha deciso cosa e con quali prove, è utile una traccia di accountability. Il titolare deve poter controllare anche la realizzabilità delle clausole: se il fornitore promette cancellazione immediata ma conserva backup per mesi, il testo e la pratica divergono. La guida alla nomina ex articolo 28 offre un controllo dei contenuti.
L’autorizzazione dei sub-responsabili può essere specifica o generale, con informazione delle modifiche e possibilità di obiezione secondo l’art. 28. Il responsabile deve imporre al sub-responsabile obblighi di protezione equivalenti e resta responsabile verso il titolare se il sub-responsabile non adempie. Chiedere solo una lista di nomi è insufficiente: occorrono servizio prestato, luogo di trattamento, accesso ai dati, ulteriori subfornitori e garanzie per eventuali trasferimenti internazionali. Per un’infrastruttura critica, la mappa della catena serve anche a valutare dipendenze e tempi di notifica.
Alla cessazione del rapporto, decidere se i dati vengono restituiti o cancellati, salvo obblighi di legge applicabili. Stabilire formato dell’esportazione, assistenza alla migrazione e modalità di conferma della cancellazione. Se il fornitore non può restituire i dati in un formato utilizzabile, la clausola contrattuale rischia di restare teorica. Anche l’accesso del personale del fornitore va riesaminato quando una persona cambia ruolo o termina il rapporto.
Diritti, violazioni e trasparenza lungo la catena
Quando un interessato chiede accesso o cancellazione, il titolare deve poter trovare i dati presso i propri responsabili e ricevere aiuto entro termini utili. L’atto ex art. 28 deve quindi specificare un canale operativo, non solo un obbligo generico di „collaborazione“. Il registro dei trattamenti dovrebbe indicare i sistemi e i destinatari coinvolti, così da non dimenticare dati in un servizio esterno. Il responsabile non dovrebbe decidere autonomamente di respingere la richiesta dell’interessato riferita ai dati del cliente.
Se il responsabile rileva una violazione, informa il titolare senza ingiustificato ritardo ai sensi dell’art. 33, par. 2. Il titolare valuta il rischio, l’eventuale notifica all’autorità e la comunicazione agli interessati. Il primo avviso del fornitore dovrebbe dare momento della scoperta, sistemi e dati potenzialmente coinvolti, misure di contenimento e contatto reperibile; le informazioni mancanti arrivano dopo. Pretendere la certezza assoluta prima dell’avviso può compromettere il termine dell’art. 33. Un’esercitazione con il fornitore verifica se i recapiti funzionano anche fuori orario.
Infine la qualifica deve riflettersi nell’informativa e nei rapporti interni. Se un soggetto è titolare autonomo, non si può nasconderlo dietro un AVV e una formula vaga su „fornitori“. Se due soggetti sono contitolari, vanno resi disponibili gli elementi essenziali dell’accordo. Se si tratta di personale autorizzato, servono istruzioni e limiti di accesso, non un contratto tra titolari. Una revisione annuale dei ruoli e una verifica in occasione di nuovi scopi o nuovi subfornitori sono più affidabili di una qualifica immutabile nel tempo.
FAQ
Qual è la differenza pratica tra titolare e responsabile?
Il titolare decide finalità e mezzi essenziali del trattamento e sopporta gli obblighi principali (informativa, registro, DPIA, notifica breach). Il responsabile esegue per conto del titolare seguendone le istruzioni e risponde soprattutto della sicurezza e del rispetto del mandato. Chi decide le finalità è titolare, chiunque lo chiami.
Un fornitore di software è titolare o responsabile?
Dipende dal trattamento. Può essere responsabile per i dati trattati su istruzioni del cliente e titolare per finalità proprie, come fatturazione o determinate analisi autonome. La presenza di dati aggregati non risolve da sola la qualifica: occorre verificare se siano ancora personali e chi decida lo scopo.
Cos’è la contitolarità?
È la situazione (art. 26 GDPR) in cui due o più soggetti determinano insieme finalità e mezzi del trattamento. Devono stipulare un accordo che ripartisce le responsabilità, in particolare su informativa e diritti degli interessati, e renderne noti gli elementi essenziali agli interessati.
Cosa succede se qualifico male il ruolo?
La qualificazione si basa sui fatti, non sulle etichette. Se un “responsabile” decide in autonomia le finalità, il Garante lo tratta come titolare, con il pieno carico di obblighi e sanzioni. Occorre correggere contratto, informativa e processi in base al ruolo effettivo.
Vedi anche: le sei basi giuridiche del trattamento (art. 6) che il titolare deve individuare per ciascun trattamento.
Fonti ufficiali: le linee guida EDPB 07/2020 su titolare e responsabile, il testo del GDPR su EUR-Lex e il Garante per la protezione dei dati personali.