Accordo sul trattamento dei dati (DPA): cos’è e come funziona
L’accordo sul trattamento dei dati (DPA) è il contratto scritto con cui un titolare del trattamento affida a un fornitore esterno la gestione di dati personali, stabilendo ruoli, istruzioni e misure di sicurezza secondo l’articolo 28 del GDPR. Senza questo accordo la delega non è conforme alla normativa europea sulla privacy.
Accordo sul trattamento dei dati in sintesi
- Obbligo: serve ogni volta che un fornitore esterno tratta dati personali per conto di un’azienda.
- Base normativa: l’articolo 28 del GDPR impone la forma scritta, anche elettronica.
- Contenuto minimo: ruoli delle parti, oggetto, durata, natura e finalità del trattamento, misure di sicurezza.
- Sub-responsabili: il fornitore può avvalersi di terzi solo con autorizzazione scritta del titolare.
- Violazioni: il DPA fissa i tempi e le modalità di notifica di un data breach.
- Sanzioni: l’assenza o l’inadeguatezza del DPA espone a sanzioni fino a 20 milioni di euro o al 4% del fatturato globale.
Che cos’è l’accordo sul trattamento dei dati
L’accordo sul trattamento dei dati nasce dall’articolo 28 del GDPR, la norma che obbliga a formalizzare per iscritto ogni rapporto in cui un soggetto tratta dati personali per conto di un altro. Il documento accompagna un contratto principale (fornitura software, hosting, marketing) e ne diventa parte integrante, cristallizzando responsabilità che altrimenti resterebbero implicite.
Il termine DPA viene spesso usato come sinonimo di “nomina a responsabile del trattamento”, ma non coincide sempre con essa: può includere contenuti più ampi, come clausole su trasferimenti internazionali o su strumenti di verifica. Quando le parti determinano insieme finalità e mezzi del trattamento, il documento corretto non è un DPA ma un accordo di contitolarità o un data sharing agreement, perché in quel caso nessuna delle due agisce esclusivamente su istruzione dell’altra.
Il GDPR non è l’unica cornice che impone questo tipo di accordo. Normative extraeuropee come il CCPA, il CDPA e la LGPD brasiliana richiedono contratti analoghi tra chi raccoglie i dati e chi li elabora per suo conto, anche se con contenuti minimi leggermente diversi rispetto a quelli dell’articolo 28.
Quando è obbligatorio stipulare un DPA
Il DPA è obbligatorio quando si verificano insieme due condizioni: un soggetto esterno elabora dati personali e lo fa esclusivamente per conto di chi gliela affida, senza un proprio scopo autonomo sui dati. Rientrano in questa casistica i fornitori di hosting e servizi cloud, le agenzie che gestiscono campagne di marketing, i software CRM gestiti da terzi, gli studi che curano l’elaborazione delle buste paga.
La distinzione tra chi tratta dati in autonomia e chi lo fa per conto altrui determina se serve l’accordo. Nello sviluppo e nella manutenzione di software e infrastrutture web affidati a terzi, ad esempio, il fornitore agisce quasi sempre come responsabile del trattamento e richiede un DPA formalizzato prima dell’avvio del servizio.
Se tratti i dati dei clienti direttamente, senza fornitori esterni
In questo caso non serve alcun DPA: l’organizzazione resta l’unico titolare del trattamento e risponde in prima persona della conformità al GDPR, ad esempio quando gestisce un database clienti su un sistema interno senza coinvolgere terze parti.
Se affidi il trattamento a un fornitore esterno
In questo caso il DPA è obbligatorio prima dell’inizio del servizio: il fornitore diventa responsabile del trattamento e deve operare solo sulla base di istruzioni documentate, pena l’esposizione dell’azienda committente a responsabilità per le irregolarità commesse dal fornitore stesso.
Cosa contiene un DPA e cosa richiede l’articolo 28 del GDPR
Un DPA conforme all’articolo 28 del GDPR deve contenere elementi precisi, non genericamente richiamati ma descritti nel dettaglio rispetto ai flussi di dati reali tra le parti.
- Identificazione delle parti
- Nome, indirizzo legale e referenti del titolare e del responsabile del trattamento, in modo che le responsabilità siano riconoscibili senza ambiguità.
- Oggetto, durata, natura e finalità
- Descrizione delle operazioni autorizzate sui dati, del periodo di validità e delle condizioni di rinnovo o cessazione del rapporto.
- Tipologia di dati e categorie di interessati
- Indicazione dei dati trattati (identificativi, di contatto, finanziari) e dei soggetti a cui appartengono (clienti, dipendenti, fornitori).
- Misure di sicurezza tecniche e organizzative
- Impegni concreti come cifratura, controllo degli accessi, backup e procedure di ripristino, richiesti dall’articolo 32 del GDPR.
- Gestione dei sub-responsabili
- Regole per l’eventuale ricorso a ulteriori fornitori da parte del responsabile, subordinato ad autorizzazione scritta, generale o specifica, del titolare.
- Notifica delle violazioni
- Procedura e tempistica con cui il responsabile deve informare il titolare in caso di data breach, così che quest’ultimo possa rispettare i propri obblighi verso l’autorità di controllo.
- Cancellazione o restituzione dei dati
- Modalità con cui, al termine del servizio, i dati vengono eliminati o restituiti al titolare, senza che il fornitore ne conservi copie non autorizzate.
Un DPA che riporta questi elementi solo in forma generica, senza riferimento ai flussi effettivi dell’attività svolta, non garantisce la stessa tutela di un documento costruito sulla mappatura reale dei trattamenti.
A cosa serve l’accordo sul trattamento dei dati
Il DPA serve a definire in modo verificabile chi fa cosa quando i dati personali passano da un’organizzazione a un fornitore esterno, riducendo le aree grigie che altrimenti genererebbero contestazioni in caso di incidenti o controlli. Per il titolare, l’accordo dimostra l’adozione di misure adeguate alla protezione dei dati, un elemento centrale del principio di accountability previsto dal GDPR.
Per il fornitore, il documento delimita con precisione il perimetro delle proprie responsabilità operative, evitando che gli vengano attribuite scelte che non gli competono, come la decisione sulle finalità del trattamento. Questo equilibrio contrattuale rientra tra gli strumenti con cui un’organizzazione gestisce i rischi legati alla propria strategia di conformità e gestione del business, al pari di altri obblighi contrattuali e regolatori che oggi coinvolgono anche l’uso di sistemi automatizzati nel trattamento delle informazioni.
Il DPA, inoltre, rafforza la fiducia tra le parti coinvolte: clienti e utenti finali beneficiano indirettamente di un trattamento più trasparente, perché l’accordo impone al fornitore standard di sicurezza verificabili e tempi certi di notifica in caso di violazione.
Chi firma il DPA: titolare, responsabile e sub-responsabile
| Ruolo | Chi è | Obbligo principale |
|---|---|---|
| Titolare del trattamento | Il soggetto che decide finalità e mezzi del trattamento dei dati | Stipulare il DPA con ogni fornitore esterno coinvolto e verificarne l’applicazione |
| Responsabile del trattamento | Il fornitore che tratta dati per conto del titolare, senza scopi propri | Agire solo su istruzione documentata e garantire le misure di sicurezza previste |
| Sub-responsabile | Il terzo soggetto incaricato dal responsabile di parte del trattamento | Operare solo previa autorizzazione scritta del titolare, trasmessa dal responsabile |
Il responsabile del trattamento resta comunque responsabile verso il titolare per le azioni dei propri sub-responsabili, anche quando l’autorizzazione concessa è di tipo generale. Questa catena di responsabilità è lo stesso principio che normative extraeuropee come il CCPA, il CDPA e la LGPD applicano ai rapporti tra chi raccoglie i dati e chi li elabora, con clausole che variano nei contenuti minimi richiesti ma non nella logica di fondo: chi tratta dati per conto altrui risponde delle proprie istruzioni documentate.
Come redigere un DPA efficace
La redazione di un DPA efficace segue una sequenza precisa, costruita sui flussi di dati reali tra le parti piuttosto che su un modello generico adattato in modo superficiale.
- Mappare i trattamenti e i flussi di dati effettivi tra titolare e fornitore esterno.
- Identificare con precisione le parti coinvolte e i rispettivi ruoli contrattuali.
- Definire oggetto, durata, natura e finalità del trattamento in modo specifico, non generico.
- Elencare le misure di sicurezza tecniche e organizzative previste dall’articolo 32 del GDPR.
- Inserire la clausola sui sub-responsabili e le condizioni della loro autorizzazione.
- Stabilire la procedura e i tempi di notifica in caso di data breach.
- Specificare la sorte dei dati al termine del rapporto, tra cancellazione e restituzione.
- Verificare che il testo rifletta le pratiche aziendali effettive, non solo gli obblighi di legge.
Il linguaggio utilizzato deve restare chiaro e privo di ambiguità, perché ogni clausola vaga si traduce in un rischio di interpretazione divergente nel momento in cui si verifica un incidente di sicurezza o una richiesta da parte di un interessato.
Errori frequenti nella redazione di un DPA
Alcuni errori ricorrono con frequenza nei DPA predisposti senza un’analisi preliminare dei trattamenti effettivi, e compromettono la validità dell’accordo pur in presenza di una struttura formalmente corretta.
- Utilizzare un modello standard non adattato ai flussi di dati reali dell’attività svolta.
- Omettere indicazioni concrete sulle misure di sicurezza, limitandosi a richiami generici alla normativa.
- Non prevedere clausole specifiche sui sub-responsabili, lasciando indefinito il perimetro di autorizzazione.
- Non fissare tempi di conservazione o cancellazione dei dati al termine del rapporto contrattuale.
- Scrivere un DPA incoerente con le pratiche aziendali effettivamente seguite dal fornitore.
- Confondere il DPA con un semplice addendum generico, senza distinguerlo da un accordo di contitolarità quando le parti decidono insieme le finalità del trattamento.
Ognuno di questi errori riduce la capacità del documento di proteggere le parti in caso di controllo da parte dell’autorità di controllo o di contestazione da parte di un interessato, e in alcuni casi rende l’accordo privo di effetti rispetto agli obblighi previsti dall’articolo 28.
Rischi e sanzioni in assenza di un DPA
L’assenza di un DPA, o l’uso di un accordo inadeguato rispetto ai trattamenti effettivi, espone l’organizzazione a sanzioni amministrative pecuniarie fino a 20 milioni di euro o al 4% del fatturato annuo globale, secondo quanto previsto dall’articolo 83 del GDPR, con l’importo più alto tra i due a determinare il tetto massimo applicabile.
Oltre alla sanzione pecuniaria, il titolare che non ha formalizzato un DPA può essere chiamato a rispondere in modo solidale per un trattamento illecito compiuto dal fornitore, perché in assenza di istruzioni documentate non è possibile distinguere con chiarezza le responsabilità delle due parti. Questo aggrava la posizione dell’azienda committente anche quando la violazione materiale è stata commessa da un soggetto terzo.
Un DPA incompleto produce effetti simili a quello assente: se manca la clausola sui tempi di notifica del data breach, il titolare rischia di non rispettare a sua volta gli obblighi di comunicazione verso il Garante per la Privacy, con conseguenze sanzionatorie aggiuntive indipendenti dalla violazione originaria.
Domande frequenti
Cos’è un DPA?
È il contratto scritto previsto dall’articolo 28 del GDPR con cui un titolare del trattamento affida a un fornitore esterno la gestione di dati personali, stabilendo ruoli, istruzioni e misure di sicurezza vincolanti per entrambe le parti.
Quando è obbligatorio stipulare un DPA?
Quando un fornitore esterno elabora dati personali esclusivamente per conto di un’altra organizzazione, senza un proprio scopo autonomo sui dati: è il caso di servizi cloud, CRM, hosting, payroll e strumenti di marketing gestiti da terzi.
Cosa deve contenere un DPA secondo l’articolo 28 del GDPR?
Identificazione delle parti, oggetto e durata del trattamento, tipologia di dati e categorie di interessati, misure di sicurezza, regole sui sub-responsabili, procedura di notifica delle violazioni e sorte dei dati a fine contratto.
A cosa serve l’accordo sul trattamento dei dati?
Serve a definire in modo verificabile i ruoli e le responsabilità tra chi affida i dati e chi li elabora, dimostrando la conformità al GDPR e riducendo le contestazioni in caso di incidente o controllo.
Cosa rischia un’azienda senza un DPA?
Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato globale annuo, oltre alla responsabilità solidale per i trattamenti illeciti compiuti dal fornitore in assenza di istruzioni documentate.
Chi deve firmare il DPA?
Il titolare del trattamento e il responsabile del trattamento, cioè il fornitore esterno; se il responsabile si avvale di sub-responsabili, questi devono essere autorizzati per iscritto dal titolare.
Un DPA serve anche se tratto i dati dei miei clienti direttamente?
No: se non coinvolgi fornitori esterni nel trattamento, resti l’unico titolare e risponde direttamente della conformità al GDPR, senza bisogno di un accordo con terze parti.
Cosa succede ai dati al termine del contratto con il fornitore?
Il DPA deve specificare se i dati vengono cancellati o restituiti al titolare alla fine del servizio, impedendo al fornitore di conservarne copie non autorizzate dopo la cessazione del rapporto.
