GDPR: Quando il responsabile del trattamento paga la multa (e quando no)

Chi paga quando i dati volano via?

Immagina di organizzare una festa e di affidare la lista degli invitati a un amico. Se lui perde il foglio, chi è responsabile? Tu che gliel'hai data o lui che l'ha smarrita? Nel GDPR, la risposta dipende dal ruolo: contitolare o responsabile del trattamento. E la differenza può costare fino a 20 milioni di euro o il 4% del fatturato annuo.

Contitolari: responsabilità condivisa, sanzione condivisa

Quando due o più soggetti determinano insieme le finalità e i mezzi del trattamento, sono contitolari. Esempio classico: una piattaforma di e-commerce e il suo partner logistico che decidono insieme come usare i dati dei clienti per le consegne. In questo caso, la responsabilità è solidale: l'autorità può multare uno solo o entrambi, a seconda di chi ha causato la violazione. Ma attenzione: se non avete un accordo di contitolarità che specifichi le rispettive responsabilità, rischiate di pagare tutti.

Responsabile del trattamento: esecutore, non decisore

Il responsabile del trattamento agisce per conto del titolare, seguendo le sue istruzioni. Se sbaglia, di solito paga il titolare, a meno che il responsabile non abbia agito oltre le istruzioni o violato direttamente il GDPR. Esempio: un provider cloud che subisce una violazione dei dati. Se ha seguito le misure di sicurezza richieste, la multa va al titolare. Ma se il provider non ha implementato le misure minime, paga lui.

Featured Snippet: Chi paga la sanzione GDPR tra contitolari e responsabili?

La sanzione GDPR può essere applicata sia al contitolare che al responsabile del trattamento, ma la responsabilità è diversa: i contitolari rispondono solidalmente per le violazioni derivanti dalle decisioni comuni, mentre il responsabile paga solo se ha agito oltre le istruzioni del titolare o violato obblighi propri. In pratica, il titolare è sempre in prima linea.

Come evitare brutte sorprese

La chiave è la documentazione. Per i contitolari: stipulate un accordo che definisca chi fa cosa e chi paga in caso di violazione. Per i responsabili: assicuratevi che il contratto specifichi chiaramente le istruzioni e le misure di sicurezza. E ricordate: il GDPR non perdona l'improvvisazione. Come dice il Garante: 'Chi tratta dati deve sapere cosa sta facendo'.

FAQ