Catene di subappalto - Conformita all'art. 28 cc. 2 e 4 GDPR

La mappatura della catena di subappalto e il punto di partenza obbligatorio. Senza conoscere i subfornitori non e possibile esercitare alcun controllo ne garantire la conformita al GDPR lungo tutta la filiera.

Si raccomanda di inserire nei DPA clausole che obblighino il fornitore a: comunicare tempestivamente qualsiasi modifica alla propria catena; fornire l'elenco aggiornato dei subfornitori su richiesta; notificare con sufficiente anticipo eventuali aggiunte, sostituzioni o eliminazioni di subfornitori.

Il GDPR vieta al Responsabile di coinvolgere ulteriori Responsabili senza la previa autorizzazione scritta del Titolare. L'autorizzazione puo essere:

Generale: contenuta nel DPA, consente al Responsabile di avvalersi di subfornitori entro condizioni predefinite (es. solo societa del gruppo, solo soggetti con certificazioni specifiche). Il Titolare deve essere informato con sufficiente anticipo di ogni modifica e ha diritto di opporsi.

Specifica: richiede di interpellare il Titolare caso per caso prima di ogni nomina di subfornitore. Piu garantista ma meno flessibile operativamente.

In entrambi i casi il diritto di veto del Titolare deve essere contrattualmente garantito. E possibile prevedere che il rifiuto debba essere motivato.

L'obbligo di autorizzazione preventiva deve essere riproposto a cascata lungo tutta la catena: ogni sub-responsabile deve informare preventivamente il proprio committente e ottenere il suo consenso prima di affidare ulteriormente il trattamento a terzi.

Occorre prevedere tempistiche di segnalazione coerenti con la catena, affinche ogni soggetto possa adempiere per tempo al proprio analogo obbligo. Le comunicazioni devono essere tracciate anche per mantenere aggiornato il registro delle attivita di trattamento (art. 30 GDPR) e per dimostrare l'accountability in caso di ispezione.

L'art. 28 par. 4 impone che i contratti con i subfornitori contengano gli stessi obblighi di protezione dei dati presenti nel contratto tra Titolare e Responsabile. Il Responsabile principale risponde nei confronti del Titolare delle eventuali inadempienze dei subfornitori nominati.

Nella pratica l'allineamento e spesso difficile per disparita di potere negoziale, specie con grandi operatori cloud o infrastrutturali che offrono condizioni standardizzate. In tal caso occorre: identificare quali obblighi sono concretamente trasferibili; documentare le ragioni di eventuali scostamenti; informare il Titolare delle limitazioni esistenti; valutare misure compensative (audit, certificazioni, clausole di responsabilita rafforzata).

Si raccomanda di inserire nel DPA l'obbligo per il Responsabile di produrre su richiesta copia degli estratti dei contratti con i subfornitori.

Il Responsabile deve applicare rigorosi criteri di selezione basati sull'affidabilita del subfornitore: risponde direttamente al Titolare delle inadempienze dei sub-responsabili nominati (art. 28 par. 4). Il Titolare, a sua volta, deve verificare che il Responsabile principale applichi questi criteri.

Si raccomanda di preferire fornitori che garantiscano trasparenza sulla propria catena di subappalto o catene piu corte e definite. L'adesione a codici di condotta (art. 40 GDPR) o il possesso di certificazioni (art. 42 GDPR) sono elementi indicativi di affidabilita, ma non esonerano il Titolare dallo svolgimento dei controlli adeguati.

Il rispetto dei requisiti deve essere monitorato nel tempo. Si raccomanda di inserire nei DPA l'obbligo per il Responsabile di produrre estratti dei contratti con i subfornitori su richiesta e di consentire audit periodici.

L'assenza di controlli espone il Titolare a responsabilita solidale ex art. 82 GDPR in caso di violazione causata da un sub-responsabile, anche se la violazione e imputabile esclusivamente al subfornitore. Documentare le verifiche effettuate e fondamentale per poter invocare l'esonero di responsabilita previsto dall'art. 82 par. 3 GDPR.

L'art. 28 cc. 6, 7 e 8 prevede che la Commissione Europea e le Autorita di controllo possano adottare clausole contrattuali tipo per disciplinare i rapporti tra Titolari, Responsabili e sub-responsabili. L'utilizzo di tali clausole facilita significativamente le PMI che difficilmente dispongono di risorse per negoziare DPA complessi.

L'adozione di modelli uniformi lungo tutta la catena garantisce coerenza degli obblighi ed evita incongruenze. Le clausole tipo possono essere integrate con clausole piu specifiche ove necessario, purche non si riducano le garanzie previste.

Occorre monitorare gli sviluppi in questa materia: la Commissione e le Autorita di controllo continuano ad aggiornare i modelli disponibili.

La tracciabilita dei soggetti coinvolti nel trattamento e essenziale per un corretto governo dei dati. L'art. 30 GDPR impone la tenuta del registro delle attivita di trattamento, che deve includere anche i destinatari dei dati, tra cui i subfornitori.

Un aggiornamento costante del flusso informativo consente a Titolare e Responsabile di mantenere aggiornato il registro, strumento fondamentale in caso di ispezione del Garante o di notifica di data breach. Le procedure di aggiornamento del registro devono essere collegate alle procedure di gestione delle autorizzazioni ai subfornitori.

L'art. 28 par. 9 impone che il trattamento da parte del sub-responsabile sia disciplinato da un contratto o altro atto giuridico vincolante per il terzo, redatto in forma scritta anche in formato elettronico. L'assenza di un DPA scritto costituisce una violazione autonoma del GDPR, indipendentemente dall'effettivo verificarsi di un data breach.

Le sanzioni per violazione dell'art. 28 possono arrivare fino a 10 milioni di euro o il 2% del fatturato mondiale (art. 83 par. 4 GDPR). In caso di danno agli interessati, Titolare e Responsabile rispondono in solido per l'intero ammontare (art. 82 par. 4 GDPR).

Il Responsabile deve verificare il giusto allineamento tra l'esposizione assunta verso il Titolare e quella verso i propri subfornitori. Nella pratica, specie con grandi operatori cloud o infrastrutturali, il Responsabile potrebbe trovarsi in posizione negoziale debole e non riuscire a trasferire integralmente tutti gli obblighi assunti.

In tal caso occorre: (i) identificare quali obblighi sono concretamente trasferibili; (ii) documentare le ragioni degli scostamenti; (iii) informare il Titolare delle limitazioni esistenti; (iv) valutare misure compensative (audit, certificazioni, clausole di responsabilita rafforzata). Se necessario, integrare gli accordi contrattuali.

Il Responsabile risponde in solido verso il Titolare delle inadempienze dei subfornitori (art. 28 par. 4), anche in caso di disparita negoziale: questa verifica e quindi essenziale per gestire correttamente il rischio contrattuale.

L'adesione a codici di condotta approvati o il possesso di certificazioni riconosciute puo essere un elemento per stabilire l'idoneita del soggetto ai sensi dell'art. 28 par. 1 GDPR e per dimostrare l'accountability lungo la catena di subappalto.

Attenzione: l'adesione da parte del fornitore - pur essendo un elemento positivo per la valutazione - non esonera il Titolare dallo svolgimento dei controlli adeguati per verificare che il soggetto esterno sia effettivamente in grado di fornire i servizi in conformita con il GDPR.

Valutare l'inserimento del possesso di certificazioni tra i criteri di selezione dei fornitori e subfornitori.