LA DEFINIZIONE DI “TITOLARE DEL TRATTAMENTO”

Chiunque determini i mezzi e le finalità del trattamento di dati personali altrui (gli Interessati) è considerato, secondo le norme europee, il “Titolare” del trattamento di quei dati.
Questa posizione implica, come prima conseguenza diretta, l’assunzione in capo al titolare della responsabilità giuridica di osservare gli obblighi previsti dal GDPR e dalle altre norme applicabili al trattamento di dati personali.
In particolare il Titolare è, ai sensi dell’art. 4 nr. 7 del GDPR, “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri (contitolarità), determina le finalità e i mezzi del trattamento dei dati personali.
Nei casi in cui il trattamento sia svolto da una società o da una pubblica amministrazione, per titolare va intesa l’entità nel suo complesso e non l’individuo o l’organo che l’amministra o la rappresenta (presidente, amministratore delegato, sindaco, ecc.).
Al fine, dunque, di individuare se un soggetto possa essere considerato Titolare, si deve innanzi tutto verificare se sia in grado di decidere e determinare la finalità per la quale i dati sono trattati e i mezzi con i quali avviene il trattamento.
E’ dunque Titolare del trattamento il datore di lavoro (persona fisica o giuridica) che tratta i dati dei propri dipendenti al fine dell’esecuzione e della gestione del rapporto lavorativo, così come lo è per quanto riguarda il trattamento dei dati personali dei propri clienti nell’ambito della gestione del rapporto contrattuale in essere, sia esso di consulenza, di prestazione di servizi, di vendita o di esecuzione di una fornitura.
L’Amministratore di Condominio va considerato Titolare in tutte quelle operazioni di trattamento che riguardino la gestione dello Studio e, quindi, dei propri dipendenti, collaboratori, clienti e fornitori. L’Amministratore andrà infatti a trattare i dati dei dipendenti per l’esecuzione del contratto di lavoro, deciderà quale tipo di dati personali dei propri clienti raccogliere e gestire, e definire le “modalità di transito” dei dati personali attraverso altri soggetti (ad esempio un consulente del lavoro per l’elaborazione delle paghe dei propri dipendenti o un fornitore di servizi in cloud per lo storage del proprio data base).

LA CONTITOLARITÀ

Quando due o più Titolari determinano congiuntamente le modalità del trattamento per una o più finalità in comune, essi devono essere considerati Contitolari.
Il GDPR prevede espressamente che i contitolari specifichino in un accordo le rispettive responsabilità al fine di adempiere agli obblighi in materia di trattamento dei dati personali. Ciò significa che la situazione di contitolarità dovrà essere opportunamente contrattualizzata, e che gli ambiti di intervento di ciascuno dovranno essere ben definiti, soprattutto a fronte delle responsabilità giuridiche che derivano da una tale situazione.
Resta fermo, peraltro, che la contitolarità determina per i trattamenti effettuati una responsabilità comune ed “esterna”, con evidente finalità di maggiore tutela per i singoli Interessati.
L’Amministratore che opera congiuntamente con altri, non in veste di Studio Associato (nel qual caso lo Studio rimarrebbe l’unico “Titolare”), ma di autonomo professionista, dovrà quindi formalizzare l’accordo sopra visto, con specifica indicazione degli ambiti di intervento di ciascuno.
Un esempio? Una banca dati di clienti privati gestita e utilizzata da due professionisti, pur autonomi nella gestione delle proprie incombenze.

L’IMPORTANZA DELLA CORRETTA INDIVIDUAZIONE DEI RUOLI

Da quanto sopra esposto emerge la necessità di esaminare attentamente le diverse ipotesi in cui si opera al fine di gestirle correttamente.
Non solo per l’essenziale motivo di riferibilità dell’osservanza dei molti obblighi in capo al Titolare, ma anche per la destinazione delle richieste degli interessati, delle azioni ispettive dell’Autorità Garante e dei relativi provvedimenti (il Titolare è, in parole povere, il soggetto o l’ente destinatario di eventuali sanzioni).
L’Amministratore di Condominio quando si occupa delle attività di Studio deve ritenersi un Titolare del Trattamento. Al contrario, nello svolgimento del suo incarico su mandato dell’Ente di gestione, assume la qualifica di Responsabile del trattamento.
La Titolarità, infatti, in Condominio spetta all’Ente condominiale complessivamente considerato.In più occasioni il Garante della Privacy ha affermato che alcune tipologie di dati personali “… in termini generali, possono formare oggetto di trattamento da parte della compagine condominiale unitariamente considerata − di regola con l’ausilio dell’amministratore di condominio nell’eventuale veste di responsabile del trattamento…” (v. Prescrizioni del Garante del 18 maggio 2006).

Analizzeremo, nelle prossime puntate, le conseguenze di questa impostazione, e forniremo indicazioni e strumenti adeguati per affrontare (ben equipaggiati) il cambiamento imposto dal GDPR.

Avv. Andrea Broglia

Per approfondire:

Opinion 1/2010 dei Garanti europei in tema di Titolari e Responsabili, in lingua inglese

Opinion 1/2010 dei Garanti europei in tema di Titolari e Responsabili, in lingua italiana