Quando due o più organizzazioni decidono insieme le finalità e i mezzi di un trattamento, la legge impone la stipula di un atto formale. Il nostro modello di accordo di contitolarità facilita questa mappatura iniziale, permettendo di identificare con precisione:
-
I soggetti coinvolti: Identificazione completa delle organizzazioni, inclusi i riferimenti dei rispettivi DPO e Amministratori di Sistema.
-
L’oggetto del trattamento: Una descrizione analitica delle operazioni per le quali si è contitolari, definendo chiaramente le finalità e gli interessati coinvolti.
-
La tipologia di dati: Mappatura delle categorie di dati personali trattati e dei termini ultimi per la loro cancellazione.
Formalizzare questi aspetti nella prima fase è fondamentale per garantire la trasparenza richiesta dal GDPR. Questo documento si integra nativamente con la nostra guida operativa privacy GDPR, che fornisce il quadro logico per gestire correttamente ogni tipologia di relazione tra Titolari.
L’accordo di contitolarità deve stabilire con estrema chiarezza per quanto tempo i dati verranno conservati e quali garanzie scattano in caso di flussi internazionali. Il nostro modello di accordo di contitolarità affronta questi aspetti critici nella seconda pagina:
-
Termini di cancellazione: Definizione dei termini ultimi per la rimozione delle categorie di dati trattati dai contitolari.
-
Identificazione formale: Spazio dedicato alle denominazioni o nomi e cognomi completi di tutti i contitolari coinvolti nel trattamento.
-
Trasferimenti extra UE: Gestione trasparente dei trasferimenti di dati verso paesi terzi o organizzazioni internazionali.
-
Garanzie legali: Indicazione delle specifiche garanzie adottate per rendere sicuri i trasferimenti all’estero, conformemente al Capo V del GDPR.
Mappare correttamente i tempi di conservazione è un obbligo che si riflette direttamente sulla correttezza delle informazioni fornite nella tua informativa privacy dipendenti GDPR 2026, garantendo coerenza documentale in tutta la struttura aziendale.
Un accordo tra contitolari non può prescindere da una rigorosa analisi delle minacce che gravano sui dati trattati congiuntamente. Nella terza pagina del nostro modello di accordo di contitolarità, viene fornito un framework operativo per l’accountability condivisa:
-
Analisi dei rischi: Una matrice pronta all’uso per valutare probabilità e gravità di eventi quali accessi illegali, modifiche non autorizzate o perdite accidentali dei dati.
-
Pianificazione delle misure: Spazio per definire le misure tecniche e organizzative da adottare, identificando per ognuna un responsabile e una data di scadenza.
-
Verifica dell’efficacia: Sezione dedicata alla descrizione di come verrà controllata nel tempo l’effettiva applicazione delle procedure di sicurezza concordate.
-
Controllo delle minacce: Mappatura dei rischi specifici tenuti sotto controllo dalle misure intraprese, come il trafugamento per fini impropri o la distruzione volontaria.
L’adozione di queste precauzioni è strettamente legata alla definizione delle misure tecniche e organizzative GDPR aziendali, assicurando che la collaborazione tra partner non indebolisca mai la protezione degli interessati.
L’Articolo 26 del GDPR richiede che i contitolari determinino in modo trasparente le rispettive responsabilità in merito all’osservanza degli obblighi del regolamento. La quarta pagina del nostro modello di accordo di contitolarità fornisce una matrice completa per definire chi fa cosa:
-
Finalità e Principi: Assicurare che i dati siano trattati in modo lecito, corretto e limitato a quanto necessario per finalità esplicite.
-
Gestione del Consenso e Accountability: Verificare i casi in cui il consenso è necessario e documentare l’effettiva prestazione da parte dell’interessato.
-
Trasparenza e Informativa: Definire chi deve redigere e fornire l’informativa con linguaggio semplice per favorire l’esercizio dei diritti.
-
Diritti dell’Interessato: Garantire procedure adeguate per rispondere senza ritardo alle istanze di accesso, rettifica, cancellazione e portabilità.
-
Privacy by Design e by Default: Integrare la protezione dei dati fin dalla progettazione delle attività operative e dei servizi.
Questa suddivisione dei compiti è fondamentale per evitare sovrapposizioni o lacune nella compliance. È un processo che deve riflettersi anche nella gestione quotidiana, come descritto nella nostra
guida operativa privacy GDPR, per assicurare che ogni titolare sappia esattamente come intervenire a tutela degli interessati.
L’accordo di contitolarità deve prevedere garanzie specifiche per i trattamenti più delicati, assicurando che tutto il personale coinvolto sia adeguatamente istruito. La quinta pagina del nostro modello di accordo di contitolarità affronta questi temi di alta criticità:
-
Obbligo di formazione: Il Titolare deve garantire attività di formazione per dipendenti, collaboratori e responsabili esterni su rischi, misure tecniche e diritti degli interessati.
-
Consenso dei minori: Regole rigide per i servizi ICT offerti a minori, con acquisizione del consenso dai 16 anni o dai titolari della responsabilità genitoriale per i più piccoli.
-
Dati particolari e giudiziari: Gestione delle deroghe per trattare dati sensibili (salute, orientamento sessuale, opinioni politiche) e garanzie appropriate per i dati relativi a condanne penali e reati.
-
Processi automatizzati: Garanzia del diritto dell’interessato di non essere sottoposto a decisioni basate unicamente sulla profilazione senza esplicito consenso.
-
Trasparenza del contratto: L’obbligo di rendere disponibile agli interessati il contenuto essenziale dell’accordo di contitolarità.
Assicurare una formazione efficace è un requisito che accomuna questo accordo alla nomina dell’
amministratore di sistema GDPR, dove la competenza tecnica deve essere sempre affiancata dalla consapevolezza normativa.
In caso di violazione della sicurezza, la rapidità di reazione è tutto. La sesta pagina del nostro modello di accordo di contitolarità stabilisce procedure ferree per gestire gli incidenti e cooperare con le Autorità:
-
Notifica Data Breach: Obbligo di notificare al Garante le violazioni che mettono a rischio i diritti delle persone entro 72 ore dal momento in cui se ne viene a conoscenza.
-
Comunicazione agli interessati: In presenza di rischi elevati, i contitolari devono informare tempestivamente le persone colpite dalla violazione.
-
Valutazione di Impatto (DPIA): Definizione della responsabilità per lo svolgimento della valutazione dei rischi elevati e l’eventuale consultazione preventiva con l’Autorità.
-
Cooperazione Istituzionale: Impegno a collaborare con l’Autorità di controllo e a designare rappresentanti o DPO ove richiesto dalla normativa.
-
Risarcimento del Danno: Riconoscimento del diritto degli interessati al risarcimento per violazioni del GDPR, con possibilità di esonero se il danno non è imputabile al titolare.
La gestione di una violazione dei dati è un processo critico che richiede di avere già pronta e attiva una procedura data breach GDPR 2026, essenziale per coordinare le azioni dei contitolari senza perdere tempo prezioso.
Trasparenza e contatto unico: facilitare l’esercizio dei diritti
L’atto di contitolarità si chiude con l’elemento più rilevante per i cittadini: la designazione di un punto di riferimento chiaro per qualsiasi istanza privacy. Il nostro modello di accordo di contitolarità garantisce il massimo livello di trasparenza attraverso:
-
Designazione del Contatto Unico: Un unico riferimento (denominazione, indirizzo, mail e PEC) che i contitolari devono riportare nelle proprie informative per rispondere alle richieste degli interessati.
-
Codici di Condotta e Certificazioni: Possibilità di aderire a sistemi certificati o codici di settore per dimostrare pubblicamente la conformità dei trattamenti congiunti ai requisiti del GDPR.
-
Trasferimenti extra UE: Ulteriori cautele per garantire che i flussi di dati verso organizzazioni internazionali non compromettano la protezione garantita dal Regolamento.
-
Sottoscrizione Formale: Spazio per la firma congiunta di tutti i contitolari coinvolti, che sancisce l’assunzione di responsabilità reciproca.
Formalizzare un contatto unico non solo semplifica la gestione interna, ma è un segnale di grande professionalità che si allinea perfettamente con un audit di conformità GDPR 2026 periodico.
