Titolare

La nozione di Titolare semplice e': colui che decide quali dati raccogliere e perche'.

Nella realtà il Titolare ha un progetto commerciale e per realizzarlo usa i dati per piu' "motivi". Questi motivi diventano le finalità di Trattamento dei dati.

Il Titolare si avvale di:

• lavoro proprio,
• collaboratori interni,
• collaboratori/aziende esterne,
• contitolari,
• titolari autonomi.

L'EDPB stesso nelle proprie guidelines confessa che non e' sempre chiara l'individuazione. Ecco perche' cosi' tanti termini ulteriori.

Portiamo a casa la regola: il Titolare decide di usare i dati dei clienti per inviare gli ebook, fatturare, incassare, inviare le newsletter.

Si avvale di:

• collaboratori interni (dipendenti) che seguono le sue istruzioni;
• fornitori esterni (banche, commercialisti), che lavorano secondo standard fissati dalle leggi;
• altri fornitori esterni (servizi web) secondo standard propri.

Ovviamente la distinzione, per i fornitori esterni, non e' netta.

Il termine inglese e' migliore:

• controller (titolare) e' chi decide come trattare i dati che raccoglie;
• processor (responsabile del trattamento) e' chi tratta i dati PER CONTO del titolare.

L'azienda web e' Titolare autonomo (decide in proprio come trattare i dati) o li tratta come ha deciso il Titolare ?

Se e' un servizio su misura, lo realizza come vuole il titolare. Altrimenti il Titolare sceglie chi gli offre già qualcosa che e' come vuole lui: ai fini privacy scopriamo quindi che i criteri contrattuali valgono fino ad un certo punto, non perfettamente definito.

Sta di fatto che il Titolare sceglie il Responsabile del Trattamento che gia' tratta i dati come vuole lui: e' Responsabile anche se non contrattualmente non c'e' una vera delega.

Ma ai fini privacy e' cosi'. Si veda la fonte sotto indicata.

Alla scelta, segue la documentazione degli incarichi, scaricando spesso le informative online.

Si noti che, ai fini privacy, alcune mansioni vengono imposte dal GDPR oltre quanto previsto dal contratto, indipendentemente dalla volontà delle parti. Anzi, se le parti rinunciano, viene considerata una confessione.

Unica soluzione: redigere contratti a prova di bomba ai fini privacy, richiamando con chiarezza chi fa cosa.

Link:

(Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 1.0 Adopted on 02 September 2020)