Emanate le clausole contrattuali tipo da utilizzare per la redazione della nomina dei responsabili esterni del trattamento dati.
Il responsabile esterno, figura normata dal GDPR, è la persona fisica o giuridica, autorità pubblica o organismo che tratta i dati per conto del titolare del trattamento.
È appena entrata in vigore la decisione della Commissione UE relativa alla definizione delle clausole contrattuali tipo che il titolare del trattamento può utilizzare come requisiti minimi dei contratti da stipulare con i propri responsabili esterni per adempiere alla normativa.
Ecco le principali clausole contrattuali relative agli obblighi del responsabile del trattamento specificate dal nuovo documento:
- Il responsabile esterno tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell’Unione o Nazione interessate.
- Il responsabile del trattamento tratta i dati personali soltanto per le finalità specifiche del trattamento descritto dal contratto / nomina.
- Il responsabile mette in atto le misure tecniche e organizzative atte a garantire la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali. Nel caso di trattamento di dati sensibili, applica limitazioni specifiche e/o garanzie supplementari.
- Il responsabile del trattamento concede l’accesso ai dati ai membri del suo personale, adeguatamente vincolati alla riservatezza dei dati, soltanto nella misura strettamente necessaria per l’attuazione, la gestione e il controllo del contratto.
- Il responsabile del trattamento risponde sempre alle richieste di informazioni del titolare relative al rispetto delle nuove clausole.
- Il responsabile del trattamento notifica prontamente al titolare del trattamento qualunque richiesta ricevuta dall’interessato. Non risponde egli stesso alla richiesta, a meno che sia stato autorizzato in tal senso dal titolare del trattamento.
Nello stesso documento sono normati anche il trasferimento di dati verso un paese terzo o un’organizzazione internazionale, il ricorso a sub-responsabili del trattamento, la gestione della notifica di eventuali violazioni dei dati personali e l’esecuzione di ispezioni da parte del titolare nei confronti del responsabile.
La decisione prevede inoltre che all’interno o in allegato al contratto / nomina venga chiaramente riportata la descrizione dettagliata di categorie di dati trattati, categorie di interessati, natura, finalità e durata del trattamento eseguito dal responsabile ed eventuali suoi sub-responsabili.
