Il 7 novembre 2019 l’EDPS, ossia l’omologo per le istituzioni europee del nostro Garante per la protezione dei dati personali, ha pubblicato linee guida sui concetti di titolare, responsabile, contitolare di trattamento. Il documento, riferito al regolamento (UE) 2018/1725 (sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati), ma pacificamente applicabile anche al GDPR, era oggetto, proprio per tale ragione, di considerevole attesa.
Sappiamo ormai tutti che il Titolare del trattamento è colui che stabilisce le modalità di trattamento e sul quale grava l’onere di mettere in atto tutte le misure, tecniche ed organizzative, adeguate a garantire che i suddetti trattamenti siano conformi alla normativa europea. Sappiamo, altresì, che il Responsabile del trattamento è la persona fisica o giuridica che tratta i dati per conto del Titolare, cioè un soggetto terzo al quale il Titolare ricorre per lo svolgimento di trattamenti fatti per suo conto ed in suo nome.
L’identificazione dei ruoli di trattamento ai sensi del regolamento (UE) 2016/679 (di seguito “il Regolamento” o “GDPR”) costituisce passaggio particolarmente complesso dal punto di vista applicativo e insieme di profonde conseguenze sistematiche, da esso dipendendo la corretta imputazione di obblighi e responsabilità. Discende, per esempio, dai ruoli di trattamento la determinazione di chi debba procedere all’individuazione delle basi giuridiche, dei tempi di conservazione, al riscontro all’interessato, all’informativa, ai principali adempimenti in materia di personal data breach, alla valutazione d’impatto. Dipendono altresì dai ruoli di trattamento i registri ex art. 30 GDPR, il contratto ex art. 28 GDPR, l’accordo ex art. 26 GDPR, la redazione delle standard clause. Se si cerca un paragone, errori nell’allocazione dei ruoli privacy sono assimilabili a errori strutturali di progettazione in un’opera, con le conseguenze immaginabili.
Tuttavia, proprio su un argomento di così notevole rilevanza sistemica incidono negativamente, da un lato, la scarsa nitidezza ed eccessiva astrazione delle definizioni normative e, dall’altro, l’assenza di aggiornamenti rispetto all’ultimo (e unico) lavoro generale e sistematico di orientamento a livello europeo, ossia l’Opinione 1/2010 dell’ex Gruppo 29, tanto più che la stessa lasciava trasparire l’opportunità di successivi e più maturi assestamenti, ad esempio rispetto a temi quali i margini (incerti) della contitolarità asimmetrica o il pieno superamento del criterio dell’esternalizzazione nella nozione di responsabile del trattamento (processor).
L’auspicata precisazione non è mai pervenuta, si sono semmai registrati interventi settoriali. Di qui l’estremo interesse per l’intervento dell’EDPS, pur non venendo, a stretto rigore, da un centro comune di elaborazione delle autorità di controllo europee, ma ancora una volta da una di esse, sia pure in posizione di speciale preminenza. Le linee guida in esame non hanno valore di interpretazione autentica ma esprimono posizioni istituzionali estremamente autorevoli. Come tali, tracciano un formante giuridico di comune riferimento, che è certamente possibile, ma arduo e comunque sconsigliato disattendere, ponendo lo standard de facto su cui si attesta la riflessione condivisa.
Nelle proprie Linee Guida l’EDPS si occupa, in particolare, di:
- chiarire i concetti di Titolare, di Responsabile e di Contitolarità:
- di spiegare come sono distribuiti gli obblighi e le responsabilità tra tali soggetti;
- di illustrare alcuni case studies (individuabili facilmente nel testo all’interno di riquadri colorati) con riferimento ai rapporti tra Titolari e Responsabili, tra Titolari indipendenti tra loro e tra Contitolari.
Gli spunti di maggiore interesse della quadratura fornita dall’EDPS non riguardano tanto la nozione di titolare del trattamento, che ricalca alla lettera quanto previsto dall’art. 3, par. 1, n. 8 del reg. (UE) 2018/1725, né quella di responsabile del trattamento, ben dentro le linee concettuali consuete, quanto l’approfondimento, sul piano casistico, di ipotesi di contitolarità asimmetrica, ossia il capitolo più sfuggente e, a tratti, ermetico dell’individuazione dei ruoli. La casistica permette la costruzione di analogie e fornisce modelli istituzionali di pronto utilizzo, entro i quali sussumere ipotesi concrete, dunque ha rilievo pratico notevole. Sono in particolare ricondotti alla nozione di contitolarità.
Secondo elemento di utilità concreta delle linee guida EDPS è costituito dalla formulazione di due checklist per l’individuazione dei ruoli di titolare e responsabile del trattamento, oltre a una flowchart riepilogativa. Si rendono tuttavia doverose alcune precisazioni. Si consideri per esempio la checklist per i titolari del trattamento. Gli addetti ai lavori esprimono tuttavia alcune perplessità: gli indici individuati sono relativamente pochi e comunque inferiori a quelli desiderabili nella regolarità dei casi, compongono dunque non tanto un elenco finito e autosufficiente quanto un nucleo essenziale di auspicabile integrazione. Analogamente, gli indici proposti non appaiono tutti conclusivi, ad es., non persuade che l’esercizio di una “valutazione professionale” (professional judgement) sia in sé dirimente. Altre riserve riguardano l’equipollenza attribuita a indici pacificamente connotati da peso diverso. Ad esempio, la sussistenza di un “contatto diretto” con gli interessati, anche ammesso che rilevi (e spesso non rileva), non può ricevere lo stesso punteggio della decisione sulla finalità del trattamento.
Queste poche osservazioni dovrebbero essere sufficienti a sconsigliare applicazioni meccaniche delle checklist, che risultano utili solo se opportunamente filtrate da consapevolezza critica.
In conclusione, la ragionata sintesi sui ruoli di trattamento proposta dall’EDPS fornisce utili spunti concreti all’interprete, che vanno gestiti con prudenza, mentre – sul piano sistematico – non modifica gli inquadramenti tradizionali, dunque non determina effetti apprezzabili sulla sostanza delle attività di analisi e compliance già svolte da soggetti pubblici e privati.
