Nomina a responsabile del trattamento (DPA): come farla firmare senza rincorrere nessuno

Consulente paghe, gestionale in cloud, agenzia della newsletter, assistenza informatica: ogni fornitore che tratta dati personali per conto tuo va vincolato con un accordo scritto. Scriverlo è facile. Il difficile è farlo firmare a tutti e, sei mesi dopo, sapere chi l'ha firmato.

Cosa chiede l'art. 28 GDPR

Quando un fornitore tratta dati per tuo conto, tu sei il titolare e lui il responsabile del trattamento. L'art. 28 GDPR vuole un contratto o altro atto giuridico che vincola il responsabile, stipulato in forma scritta, anche in formato elettronico (paragrafo 9). È il DPA, che in Italia molti chiamano ancora "nomina a responsabile". Il nome conta poco: una nomina firmata solo da te e mai restituita prova al massimo che l'hai spedita, non che il fornitore si è impegnato. Per questo conviene raccogliere la sua firma.

Prima di fare l'elenco, chiediti chi va nominato. Lo è chi tratta dati su tue istruzioni e per tue finalità: il cloud con l'archivio clienti, chi elabora le buste paga, l'agenzia che invia le tue email. Non chi decide da sé perché e come trattarli (è un titolare autonomo), né chi non vede dati personali. E se sei tu il fornitore, vale il contrario: un tuo DPA standard, pronto da firmare, accorcia le trattative con i clienti più attenti.

Il contenuto minimo del DPA

Il paragrafo 3 chiede di descrivere oggetto e durata del trattamento, natura e finalità, tipo di dati, categorie di interessati (clienti, dipendenti, pazienti), obblighi e diritti del titolare. E impegna il responsabile a:

• trattare i dati solo su istruzioni documentate del titolare, anche per eventuali trasferimenti fuori dall'UE;
• vincolare alla riservatezza chi li tratta e adottare le misure di sicurezza richieste dall'art. 32;
• ricorrere a sub-responsabili solo con autorizzazione scritta del titolare, specifica o generale, imponendo loro gli stessi obblighi e restando responsabile verso di te se non li rispettano;
• assistere il titolare nelle richieste degli interessati e negli adempimenti su sicurezza, violazioni dei dati e valutazioni d'impatto;
• a fine rapporto cancellare o restituire i dati, a scelta del titolare, salvo obblighi di conservazione previsti dalla legge;
• fornire le informazioni che dimostrano il rispetto degli obblighi e consentire audit e ispezioni.

Da dove partire

Non da zero: la Commissione europea ha adottato clausole contrattuali tipo per l'art. 28 (diverse da quelle per i trasferimenti extra UE), da completare con la descrizione del tuo trattamento. Un nuovo fornitore firma il DPA come allegato del contratto principale, in un colpo solo, come in firmare un contratto di fornitura B2B . Per i rapporti in corso basta un DPA separato che richiama il contratto esistente. Se è il fornitore a proporre il suo standard, leggilo e controlla dove finiscono i dati (vedi data residency in UE ).

Il problema vero: rincorrere trenta fornitori

Il collo di bottiglia non è giuridico. È la mail a trenta fornitori con un PDF da stampare, firmare, scansionare e rimandare: metà risponde, qualcuno rimanda una versione modificata, il resto sparisce. Il metodo che regge è un modello unico con i soli campi variabili (ragione sociale, partita IVA, servizio, categorie di dati), come in template di contratto riutilizzabili , spedito con un invio massivo (una copia a testa), come in firma massiva . Poi promemoria a chi non ha firmato e un registro di chi ha firmato quale versione. Il GDPR ti chiede di poter dimostrare di rispettarlo: un DPA di cui non trovi la copia firmata pesa quanto un DPA mai fatto.

Come si fa con DOCUJET

Carichi il DPA come modello, definisci i campi che ogni fornitore compila (partita IVA e codice fiscale vengono controllati nel formato) e lo invii in blocco. Il fornitore non crea account: apre il link, verifica un codice usa e getta e firma dal browser. Puoi mandare un promemoria a chi è indietro, e DOCUJET ti avvisa se un documento resta fermo dopo 2 e dopo 7 giorni. Ogni DPA firmato ha sigillo elettronico qualificato e marca temporale inclusi, con il registro di chi ha firmato, quando e da dove. Anche chi ti fornisce la firma tratta dati per tuo conto: cosa chiedergli è in GDPR e firma elettronica .

Tutti i DPA firmati, in un solo posto. Apri un account gratuito e prova il flusso con il tuo primo fornitore: 3 documenti al mese per sempre, con audit trail completo. Inizia gratis →