Atto di nomina del responsabile del trattamento: come farlo

Risposta rapida

L’atto di nomina del responsabile del trattamento si costruisce partendo dal servizio reale: ruoli, dati, persone, sistemi, durata, misure, sub-responsabili e trasferimenti. Poi si sceglie tra termini completi del fornitore, clausole ufficiali 2021/915 o un addendum mirato, si firma e si verificano prove, richieste, cancellazione e cambiamenti.

Ultimo aggiornamento: 26 agosto 2026.

Il fornitore invia una “nomina” generica di due pagine e chiede una firma entro sera. La risposta prudente non è riscrivere subito tutto: è confrontare quelle pagine con il servizio che sta già funzionando. Se mancano sistemi, categorie di dati, tempi, sub-responsabili o modalità di assistenza, il problema non è il titolo del documento. È lo scarto tra il testo e il trattamento reale.

L’articolo 28 del GDPR richiede un contratto o altro atto giuridico che vincoli il responsabile al titolare e ne definisca contenuto, durata, natura, finalità, dati, interessati, diritti e obblighi. L’atto deve essere scritto, anche in formato elettronico ¹. Questa procedura porta da un servizio concreto a uno strumento completo, poi dalla firma alle verifiche che lo mantengono utilizzabile.

Prima del testo, una verifica di ruolo

L’atto di nomina serve soltanto per le attività in cui il fornitore tratta dati personali per conto del titolare. Il nome commerciale del servizio non decide il ruolo. Conta chi determina finalità e mezzi essenziali per ciascun trattamento: lo stesso soggetto può essere responsabile per una funzione e titolare autonomo per un’altra.

Si può fare un controllo breve con tre domande. Quale risultato aziendale ha deciso il cliente? Quali istruzioni documentate può impartire? Il fornitore usa i dati per una propria finalità indipendente? Le Linee guida 07/2020 del Comitato europeo per la protezione dei dati chiariscono che i ruoli sono concetti funzionali e vanno stabiliti sulle attività effettive, non sulle sole etichette contrattuali ².

Se il fornitore decide una finalità propria, quella parte non va forzata dentro una nomina. Se due soggetti determinano congiuntamente finalità e mezzi essenziali, occorre esaminare la contitolarità. Per le attività davvero svolte per conto del cliente, invece, il percorso prosegue con l’articolo 28. Annotare il risultato per attività evita un contratto formalmente ordinato ma fondato sul ruolo sbagliato.

Fotografare il servizio prima di scrivere

La prima bozza utile è una mappa, non una clausola. Riunire il referente del servizio, chi gestisce sicurezza e accessi e, quando serve, acquisti o risorse umane permette di descrivere ciò che il fornitore riceve, fa e restituisce. Bastano informazioni verificabili; le formule giuridiche verranno dopo.

Non bisogna riempire la tabella con “dati necessari” o “misure adeguate”. Per un software paghe, ad esempio, la mappa può indicare anagrafiche dei dipendenti, coordinate di pagamento, elementi retributivi, portale web, importazione dal sistema presenze, accesso dell’assistenza su ticket e copie di sicurezza secondo un ciclo dichiarato. Ogni riga deve poter essere confermata dal proprietario interno o dal fornitore.

Una mappa incompleta non si trasforma in certezza attraverso la firma. Il provvedimento del Garante del 26 febbraio 2026 ribadisce che una designazione di fatto non sana l’assenza dello strumento scritto e collega l’articolo 28 anche alla scelta preventiva e alla vigilanza continuativa sul responsabile ⁴. Perciò i dubbi rimasti nella mappa diventano richieste aperte, non frasi vaghe nell’accordo.

Chiedere i termini esistenti prima di crearne di nuovi

Molti fornitori hanno già condizioni sul trattamento, spesso incorporate nel contratto principale o disponibili in un portale. Chiederle per prime riduce duplicazioni e conflitti. La richiesta deve comprendere versione e data, allegati, riferimenti di incorporazione e regole di modifica: un collegamento a una pagina priva di versione non permette di dimostrare quale testo fosse vincolante alla firma.

Il pacchetto da ottenere comprende almeno la descrizione del trattamento, l’allegato sulle misure, l’elenco dei sub-responsabili, i luoghi di trattamento e trasferimento, i tempi di cancellazione o restituzione, i canali per diritti e incidenti, le modalità di audit e il preavviso per i cambiamenti. È utile chiedere anche chi riceverà le istruzioni documentate e chi risponderà in caso di urgenza.

Una richiesta breve può essere formulata così:

«Per completare la verifica ex articolo 28, inviateci i termini sul trattamento attualmente applicabili, con versione e modalità di incorporazione; tutti gli allegati; l’elenco completo dei sub-responsabili con funzione e luogo; le misure di sicurezza; i trasferimenti; i tempi di cancellazione o restituzione; i contatti per richieste e incidenti; il preavviso e il percorso di opposizione per ogni modifica della catena.»

Al ricevimento, il titolare confronta ogni elemento con la mappa. Non si valuta se il testo “sembra standard”, ma se copre il servizio acquistato e consente alle persone incaricate di far funzionare le clausole. Un allegato molto dettagliato su un modulo mai attivato non compensa il silenzio sull’integrazione che ogni notte esporta i dati.

Tre vie per rendere vincolante l’accordo

Non esiste un obbligo generale di predisporre un documento autonomo intitolato “atto di nomina”. L’articolo 28 accetta un contratto o altro atto giuridico vincolante; ciò che conta è il contenuto, la forma scritta e il collegamento certo al rapporto ¹. La scelta fra le tre vie dipende dalle lacune emerse, non da una preferenza stilistica.

La decisione di esecuzione (UE) 2021/915 offre clausole contrattuali tipo ufficiali e gratuite. Sono una vera opzione senza costo di licenza, ma non un modulo da firmare in bianco: gli allegati devono indicare parti, trattamento, sicurezza e sub-responsabili del servizio concreto ³. Devono inoltre essere resi operativi con contatti, istruzioni e prove.

Quelle clausole non sono le clausole contrattuali tipo per i trasferimenti internazionali. Se dati o accessi attraversano il confine rilevante per il capo V del GDPR, occorre una verifica distinta dello strumento di trasferimento e delle condizioni applicabili. Inserire “2021/915” nel contratto non risolve automaticamente quel passaggio.

L’addendum è adatto quando colma una distanza precisa: per esempio, i termini esistenti coprono tutti gli obblighi ma non identificano il servizio di hosting effettivo né il preavviso sui cambiamenti. Un secondo documento che ripete tutto l’articolo 28 aumenta invece il rischio di contraddizioni. Va sempre scritta una regola di prevalenza fra contratto, condizioni e allegati.

Compilare gli allegati con fatti verificabili

Gli allegati rendono eseguibile lo strumento, ma devono descrivere entrambe le parti del rapporto. La scheda sul trattamento dovrebbe poter essere letta dal proprietario interno del servizio e riconosciuta come vera: oggetto e durata; natura e finalità; categorie di dati e interessati; operazioni consentite; sistemi e luoghi; conservazione; restituzione o cancellazione. Una seconda scheda può collegare obblighi, diritti, referenti e prove, così il contratto non resta affidato all’ufficio che lo ha negoziato.

L’allegato sulle istruzioni distingue ciò che è già autorizzato da ciò che richiede un ordine ulteriore. Eseguire l’elaborazione mensile delle paghe può rientrare nell’istruzione ordinaria; creare un archivio per analisi proprie non vi rientra. Il testo identifica le persone del titolare abilitate a impartire istruzioni, il canale che ne conserva la traccia e il modo in cui il responsabile segnala un ordine che ritiene contrario alla normativa.

Vanno scritti anche i diritti e i doveri del titolare che fanno funzionare l’accordo. Il titolare fornisce istruzioni lecite e informazioni sufficienti, decide sulle richieste e sulle opzioni di fine rapporto, valuta gli avvisi sui sub-responsabili e mantiene aggiornati i contatti. In cambio deve poter ricevere informazioni, esercitare verifiche, opporsi secondo il percorso concordato e ottenere assistenza ed evidenze. Il nome del referente ordinario e quello per incidenti evitano che questi diritti restino senza destinatario.

Le misure di sicurezza si collegano al rischio e al servizio, senza ridursi a slogan. Identificazione degli utenti, autorizzazioni, registrazione degli accessi, protezione delle trasmissioni, continuità, copie, ripristino, gestione delle vulnerabilità e verifica periodica vanno descritte al livello necessario per controllarne l’applicazione. Se una misura dipende dal piano acquistato o da una configurazione del cliente, l’allegato deve attribuire chiaramente quella dipendenza.

Il confine di fine rapporto merita infine una regola eseguibile. Il titolare sceglie fra restituzione e cancellazione secondo il servizio; il responsabile descrive tempi, copie e prova finale. Se una norma impone al fornitore una conservazione, l’eccezione va delimitata per dati, base, durata e accessi. “Cancellazione salvo obblighi di legge” senza questi elementi lascia irrisolta proprio la fase in cui il titolare perde accesso al sistema.

Dalle clausole alle responsabilità operative

L’articolo 28 non chiede soltanto un elenco di promesse. Il responsabile tratta i dati su istruzione documentata, vincola alla riservatezza chi è autorizzato, adotta misure di sicurezza, governa i sub-responsabili, assiste il titolare e mette a disposizione informazioni per dimostrare il rispetto e consentire verifiche ¹. Ogni dovere ha quindi bisogno di un proprietario, un canale e una prova.

La tabella non prescrive lo stesso tempo per ogni servizio. I tempi interni devono consentire al titolare di rispettare i propri obblighi e riflettere il rischio, l’accessibilità dei dati e la gravità dell’evento. Una promessa di “collaborare tempestivamente” è insufficiente se nessuno sa dove inviare una richiesta ricevuta il venerdì sera.

Per ciascuna riga conviene simulare un evento. Se arriva una richiesta di accesso, il referente sa aprire il ticket corretto, il fornitore identifica le fonti e restituisce i dati al titolare senza rispondere direttamente all’interessato, salvo istruzione. Se avviene un incidente, le informazioni iniziali possono essere incomplete, ma esistono un primo avviso, aggiornamenti e una cronologia. La clausola diventa verificabile perché il percorso lascia tracce.

Sub-responsabili e trasferimenti lungo tutta la catena

Il titolare deve vedere chi svolge parti del trattamento. L’accordo sceglie fra autorizzazione specifica e autorizzazione generale scritta; nel secondo caso, il responsabile informa il titolare delle modifiche previste e gli offre la possibilità di opporsi ¹. Un elenco senza funzione, luogo o regola di aggiornamento non consente una decisione informata.

Per ogni sub-responsabile si registrano identità, servizio svolto, categorie di dati accessibili, luogo del trattamento, eventuali accessi remoti e data di ingresso. Il responsabile deve vincolarlo con gli stessi obblighi sostanziali di protezione applicabili al rapporto principale e resta responsabile verso il titolare per l’adempimento del soggetto a valle ¹. La prova può essere una matrice contrattuale o un’attestazione controllabile, non necessariamente la consegna indiscriminata di ogni contratto commerciale.

I trasferimenti richiedono una colonna distinta. Un datacenter nello Spazio economico europeo non esclude, da solo, l’accesso amministrativo da un altro paese. Il titolare deve poter distinguere luogo di conservazione, luogo di assistenza e destinazione di eventuali copie. Quando emerge un trasferimento soggetto al capo V, la relativa base e lo strumento devono essere verificati separatamente dalle clausole ex articolo 28.

Il preavviso deve arrivare a una casella sorvegliata e lasciare tempo per valutare la modifica prima che produca effetti. L’opposizione deve avere una conseguenza definita: chiarimento, misura alternativa, mancata attivazione o, se la lacuna non può essere chiusa, esercizio dei rimedi contrattuali. Un diritto di opposizione privo di percorso è solo una frase.

Un esempio SaaS dalla mappa alla firma

Un’azienda italiana usa una piattaforma SaaS per paghe e documenti dei dipendenti. Il fornitore principale elabora i dati su istruzioni dell’azienda; un operatore infrastrutturale ospita l’applicazione, mentre un servizio separato invia notifiche tecniche. L’assistenza può accedere ai dati soltanto su ticket. Questo è un esempio di metodo, non una conclusione automatica sui ruoli di qualunque piattaforma.

La mappa identifica dipendenti e collaboratori, dati anagrafici e retributivi, coordinate di pagamento, assenze, documenti caricati, ciclo mensile, copie di sicurezza e regola di fine rapporto. Registra inoltre i paesi da cui operano hosting e assistenza. Il titolare confronta questi fatti con i termini del fornitore e scopre che l’allegato descrive il software, ma non nomina il servizio di notifiche né stabilisce il preavviso per sostituire l’host.

La via più proporzionata non è riscrivere l’intero contratto. Se il resto dei termini è completo, un addendum può identificare entrambi i sub-responsabili, definire l’autorizzazione generale, imporre il preavviso e collegare l’elenco aggiornato a una versione conservabile. L’allegato chiarisce inoltre quali accessi di assistenza sono consentiti e come vengono registrati.

Prima della firma, l’azienda verifica anche eventuali accessi da paesi terzi e, se presenti, completa separatamente l’analisi del capo V. Dopo la firma, invia una richiesta di prova: un’estrazione dei ruoli attivi e la simulazione di un ticket per l’esercizio di un diritto. Sei mesi dopo, il fornitore annuncia un nuovo host. L’avviso raggiunge il proprietario interno, che confronta paese, funzione, misure e trasferimenti prima della data di efficacia e documenta l’esito.

La firma apre il lavoro, non lo chiude

Il documento deve entrare nel funzionamento quotidiano. Nel registro interno si conservano la versione firmata, gli allegati, la mappa, il proprietario del rapporto, i contatti del fornitore, l’elenco dei sub-responsabili e le decisioni sui cambiamenti. Chi gestisce il servizio deve sapere dove si trovano questi elementi, senza dipendere dalla memoria della persona che negoziò il contratto.

Tre flussi meritano una prova iniziale. Una richiesta di esercizio dei diritti deve arrivare al responsabile, produrre una risposta utilizzabile e tornare al titolare. Un incidente deve attivare il contatto corretto e fornire aggiornamenti ed evidenze. La fine del servizio deve consentire esportazione, revoca degli accessi, restituzione o cancellazione e gestione delimitata delle copie.

Il provvedimento del Garante del 28 maggio 2026 mostra perché la procedura deve continuare oltre la firma: informazioni aggiornate, richieste degli interessati, evidenze e riesame devono realmente tornare al titolare ⁶. Un accordo conservato in una cartella ma sconosciuto al supporto, alla sicurezza e al proprietario del servizio non governa questi eventi.

La verifica non deve diventare un audit indistinto su tutto il fornitore. Si parte dalle prove già previste, si osservano gli eventi reali e si approfondisce quando compare uno scarto: sub-responsabile non elencato, misura disattivata, richiesta persa, cancellazione non dimostrata. La profondità segue il rischio e il fatto osservato.

Tre difetti diversi emersi nel 2026

I provvedimenti del Garante del 2026 non descrivono un solo errore chiamato “nomina mancante”. Separano tre momenti del lavoro, e ciascuno richiede una correzione diversa.

La distinzione impedisce rimedi sbagliati. Firmare oggi un modello generico non corregge una catena sconosciuta. Aggiungere un allegato tecnico non risolve un canale per i diritti che nessuno controlla. Ripetere una verifica annuale non basta se un nuovo sub-responsabile entra domani e l’avviso finisce in una casella non letta.

Riesaminare quando cambia qualcosa di materiale

Il riesame parte dagli eventi, non soltanto dal calendario. Attivazione di un modulo, nuova integrazione, diversa categoria di interessati, ulteriore finalità, nuovo paese, sostituzione di un sub-responsabile, modifica sostanziale delle misure, estensione della conservazione o cambiamento dei canali di assistenza sono tutti segnali da confrontare con mappa e allegati.

Una cadenza periodica resta utile per intercettare cambiamenti non comunicati. Il controllo può essere breve: contratto e versioni ancora reperibili; proprietari e contatti attivi; elenco della catena aggiornato; trasferimenti coerenti; prove recenti per diritti, incidenti e cancellazione; scarti chiusi. L’esito va datato e collegato alla decisione di mantenere, modificare o terminare il rapporto.

Quando il fornitore propone nuove condizioni, non si ricomincia da zero. Si confrontano le versioni solo sui campi della mappa e sugli obblighi operativi. Se la modifica è neutra, si registra l’esito. Se cambia rischio, luogo, catena o capacità di assistere il titolare, si aggiorna lo strumento prima che lo scarto diventi normale operatività.

Il percorso senza acquisti inutili

La maggior parte dei rapporti ordinari non richiede di commissionare subito un accordo su misura. Il percorso senza acquisti è concreto: mappare il servizio con le persone che lo usano; ottenere dal fornitore i termini e gli allegati vigenti; confrontarli con l’articolo 28 e con i flussi reali; accettarli se completi oppure adottare gratuitamente le clausole 2021/915 compilando davvero gli allegati.

Se resta una lacuna circoscritta, un addendum breve è spesso più chiaro di una seconda “nomina” completa. Il supporto specialistico diventa ragionevole quando la verifica di ruolo è controversa, il fornitore rifiuta un obbligo necessario, la catena o i trasferimenti non sono ricostruibili, oppure il rischio del trattamento richiede una negoziazione che il gruppo interno non può valutare con sicurezza.

La chiusura del lavoro produce un fascicolo semplice: mappa datata, testo vincolante e versione, allegati completi, decisione sui sub-responsabili e trasferimenti, proprietari e contatti, prime prove dei flussi, trigger di riesame. Non è una certificazione del fornitore né una promessa che nulla cambierà. È il modo per sapere che cosa è stato affidato, a quali condizioni e come intervenire quando il servizio cambia.