Quasi nessuna azienda tratta i dati personali soltanto «in casa»: si affida a un gestionale in cloud, a un servizio di hosting, a un’agenzia che invia le newsletter, a un consulente che elabora le buste paga. Ogni volta che un fornitore tratta dati per conto del titolare, il GDPR impone di nominarlo responsabile del trattamento con un apposito contratto. Vediamo quando serve e cosa deve contenere.
Chi è il responsabile del trattamento
Il responsabile del trattamento è, secondo la definizione dell’art. 4, n. 8, del GDPR, il soggetto che tratta dati personali per conto del titolare. La distinzione è netta: il titolare decide perché e come si trattano i dati; il responsabile li tratta seguendo le istruzioni ricevute. Un fornitore di servizi informatici, ad esempio, è quasi sempre responsabile rispetto ai dati dei clienti dell’azienda che lo ha incaricato.
Quando serve la nomina
La nomina è dovuta ogni volta che un terzo tratta dati personali per conto del titolare: hosting e cloud, software gestionali e CRM, agenzie di marketing, piattaforme di invio email, società di assistenza, taluni consulenti. Non rileva che il fornitore «non guardi» i dati: è sufficiente che possa accedervi o conservarli per conto del titolare.
Il contratto di nomina (DPA)
Lo strumento è il contratto previsto dall’articolo 28, paragrafo 3, del GDPR — spesso chiamato Data Processing Agreement (DPA). Deve disciplinare oggetto, durata, natura e finalità del trattamento, il tipo di dati e le categorie di interessati, gli obblighi del titolare, e in particolare vincolare il responsabile a:
- trattare i dati solo su istruzione documentata del titolare;
- garantire la riservatezza di chi è autorizzato al trattamento;
- adottare le misure di sicurezza adeguate (art. 32);
- rispettare le condizioni per il ricorso a sub-responsabili;
- assistere il titolare per le richieste degli interessati e per gli obblighi di sicurezza e di gestione dei data breach;
- cancellare o restituire i dati al termine del rapporto;
- mettere a disposizione le informazioni e consentire audit e ispezioni.
I sub-responsabili
Il responsabile non può ricorrere a un altro responsabile (sub-responsabile) senza l’autorizzazione del titolare (art. 28, paragrafi 2 e 4). Quando lo fa, deve imporgli per contratto gli stessi obblighi di protezione dei dati: la catena dei fornitori non può diventare il punto di fuga delle garanzie.
Cosa succede se manca
L’assenza del contratto, o un contratto carente, è una violazione autonoma del GDPR, sanzionabile a prescindere dal verificarsi di un danno. Va inoltre ricordato che il titolare deve ricorrere unicamente a responsabili che offrano garanzie sufficienti (art. 28, paragrafo 1): la scelta del fornitore è essa stessa un adempimento, da documentare. Tutti i responsabili nominati vanno annotati nel registro dei trattamenti.
Gli errori più frequenti
- Nessun contratto con i fornitori che trattano dati: è la carenza più comune.
- Modulo generico non adattato al trattamento concreto (dati, finalità, durata).
- Sub-fornitori non disciplinati, attivati senza autorizzazione né obblighi equivalenti.
- Confondere i ruoli: trattare come «responsabile» un soggetto che è in realtà autonomo titolare (o contitolare).
Cosa dice la giurisprudenza
Che la nomina del responsabile non sia una formalità lo dimostra la prassi sanzionatoria del Garante. Con l’ordinanza ingiunzione n. 9 del 14 gennaio 2021 (doc. web n. 9542113) l’Autorità ha sanzionato per 75.000 euro la Regione Lazio, che si era avvalsa per anni di un soggetto esterno (per un servizio di prenotazione sanitaria) senza designarlo formalmente responsabile ai sensi dell’art. 28: la nomina «di fatto» non sana l’omessa nomina formale, e in mancanza di un atto scritto che disciplini materia, durata, natura e finalità del trattamento con istruzioni documentate, il trattamento è privo di un valido presupposto di liceità. Il messaggio per le organizzazioni è chiaro: ogni fornitore che accede ai dati va nominato per iscritto prima di iniziare a trattarli, non dopo.
Domande frequenti
Devo nominare responsabile il mio fornitore cloud? Sì, se tratta dati personali per tuo conto: serve un contratto ai sensi dell’art. 28 GDPR.
Basta un modello standard? Il modello è un punto di partenza, ma va adattato al trattamento concreto (oggetto, dati, finalità, durata, sub-responsabili).
Chi risponde in caso di violazione del fornitore? Dipende dai ruoli e dalle circostanze; il titolare resta comunque responsabile di aver scelto un fornitore con garanzie adeguate e del rispetto degli obblighi che gli competono.
Mappare i fornitori che trattano dati e dotarsi dei contratti corretti è uno dei passaggi più trascurati dell’adeguamento. Offriamo supporto nella redazione e revisione dei DPA nell’ambito della consulenza in materia di privacy e GDPR.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 23 giugno 2026.