Titolare o responsabile del trattamento: il test per decidere

Stabilire se un soggetto è titolare o responsabile del trattamento non significa assegnare un'etichetta all'intera organizzazione. Significa ricostruire una singola attività, capire chi ne decide il perché e gli elementi essenziali, quindi scegliere il documento che corrisponde ai fatti. Lo stesso rapporto commerciale può contenere più ruoli, purché i confini siano espliciti.

Risposta rapida Per decidere se un soggetto è titolare o responsabile del trattamento, isolate un'attività e annotate chi ne stabilisce finalità e mezzi essenziali. Il titolare decide il perché e il disegno essenziale; il responsabile tratta dati per suo conto, entro istruzioni documentate. Decisioni congiunte indispensabili possono invece creare contitolarità.

Ultimo aggiornamento: 26 agosto 2026.

Classificare l'attività, non l'organizzazione

Il ruolo nasce da ciò che ogni parte fa in una determinata operazione. Prima di leggere il contratto, delimitate un'attività abbastanza precisa da poterla descrivere dall'inizio alla fine: quali dati entrano, per quale risultato, chi li usa, chi li riceve e quando vengono eliminati. Una formula come “gestione del servizio” è troppo ampia, perché può nascondere attività governate da decisioni diverse.

Il titolare del trattamento determina finalità e mezzi essenziali; il responsabile tratta dati personali per conto del titolare ¹. Questa è una valutazione funzionale. Il nome scritto nell'ordine, nell'informativa o nella clausola commerciale è un elemento da confrontare con la realtà, non una scorciatoia. Se il contratto chiama “responsabile” un soggetto che decide un proprio scopo, per quello scopo il documento descrive male i fatti.

Una sola organizzazione può quindi essere titolare per il proprio rapporto con utenti e personale, responsabile per un'attività eseguita su istruzioni di un cliente e, in un'altra operazione, partecipare a decisioni congiunte. Anche all'interno dello stesso servizio bisogna separare i flussi: l'assistenza resa per conto del cliente non coincide necessariamente con l'analisi svolta per un fine autonomo.

Partite da un verbo e da un oggetto: “conservare le richieste del cliente per gestirle secondo le sue istruzioni” è verificabile; “fornire una soluzione” non lo è. Se non riuscite ancora a individuare finalità, persone, dati e destinatari, la classificazione è prematura. La prima decisione corretta può essere raccogliere fatti mancanti, non firmare subito un modulo.

I tre esiti in sintesi

La relazione giuridica segue il modo in cui sono distribuite le decisioni. I tre percorsi principali non sono gradini di una gerarchia: descrivono strutture diverse e conducono a documenti diversi ².

Delimitate prima un’attività e stabilite dai fatti chi ne decide la finalità e i mezzi essenziali; l’etichetta contrattuale non modifica il ruolo ^{1 2}. Decisioni comuni indispensabili portano all’articolo 26, mentre il trattamento entro le istruzioni dell’altra parte porta all’articolo 28. Finalità proprie portano a termini tra titolari separati; se nel perimetro non esiste nessuno di questi ruoli, registrate tale esito.

Esiste anche una conclusione “nessuno di questi rapporti” per il perimetro esaminato. Per esempio, potrebbe non esserci un trattamento per conto altrui, le parti potrebbero non determinare insieme la medesima operazione oppure i dati osservati potrebbero non essere personali. Questa conclusione richiede comunque una motivazione e un perimetro chiaro; non è una casella residuale per evitare obblighi.

Due soggetti che si scambiano informazioni non sono automaticamente contitolari. Allo stesso modo, un soggetto che ospita o trasmette dati non è automaticamente responsabile: occorre capire a quale scopo opera, quali decisioni prende e se agisce davvero per conto di un altro. Il test precede sempre il documento.

Finalità e mezzi essenziali individuano il controllo

La finalità risponde a “perché questo trattamento esiste?”. I mezzi essenziali definiscono il disegno che rende possibile quella finalità: chi è interessato, quali dati sono necessari, chi può riceverli e per quanto tempo. Le decisioni puramente esecutive riguardano invece il modo tecnico con cui il disegno viene attuato.

Non tutte le decisioni hanno lo stesso peso. Il titolare non deve necessariamente scegliere ogni impostazione tecnica, né il responsabile perde il proprio ruolo perché applica esperienza operativa. Il punto è capire se quella discrezionalità serve a eseguire lo scopo altrui oppure modifica chi, cosa, perché, a chi e per quanto tempo.

Annotate anche l'origine della decisione. Un requisito imposto dal diritto non diventa automaticamente una finalità autonoma di chi lo attua; un'opzione commerciale proposta da un fornitore, invece, può rivelare un uso proprio se viene attivata senza istruzione del cliente. Il record deve distinguere obbligo esterno, scelta del titolare, consiglio tecnico e decisione indipendente.

La valutazione non dipende da chi possiede il sistema o paga il servizio. Proprietà dell'infrastruttura, potere contrattuale e competenza tecnica possono spiegare come si lavora, ma non sostituiscono l'analisi delle finalità e dei mezzi essenziali. Le linee guida europee chiedono di guardare all'influenza effettiva sul trattamento ².

Le scelte di attuazione possono restare al responsabile

Un responsabile può avere margine operativo reale. Può scegliere configurazioni, sequenze di lavoro e misure tecniche non essenziali, purché resti dentro finalità, perimetro e istruzioni documentate. Un contratto che pretende di prescrivere ogni dettaglio può persino diventare meno utile: non chiarisce quali decisioni sono riservate al titolare e quali competono all'esecuzione sicura.

Il confine va però testato quando una scelta cambia il valore o la destinazione dei dati. Usare informazioni del cliente per migliorare un prodotto in modo indipendente, creare un nuovo insieme di destinatari o prolungare la conservazione oltre il servizio non sono semplici configurazioni. Sono indizi di una finalità o di un mezzo essenziale deciso autonomamente, e possono attribuire un ruolo di titolare per quell'operazione.

Tre domande diagnostiche rendono visibile il passaggio:

• Questa scelta introduce un risultato utile al soggetto che esegue il trattamento, distinto dal risultato richiesto dal cliente?
• Cambia le persone, le categorie di dati, i destinatari o la durata stabiliti nelle istruzioni?
• Il trattamento continuerebbe nello stesso modo se il cliente negasse questa scelta o ritirasse l'istruzione?

Una risposta affermativa non decide da sola il ruolo, ma apre un accertamento. Descrivete la scelta, chi l'ha proposta, chi può rifiutarla e quali conseguenze produce. Se l'esecutore è libero di proseguire per un proprio scopo nonostante il rifiuto, chiamare quella libertà “tecnica” non la rende tale.

Le istruzioni devono essere abbastanza concrete da delimitare l'attività, senza trasformarsi in un manuale di ogni operazione. Il responsabile deve poter dimostrare quale istruzione autorizza il trattamento; il titolare deve poter mostrare di aver deciso gli elementi essenziali e controllato che l'esecuzione resti nel perimetro.

La contitolarità è una terza diramazione distinta

La contitolarità non è una via di mezzo scelta quando la classificazione appare difficile. Esiste quando due o più soggetti esercitano insieme un'influenza determinante sullo stesso trattamento. Le decisioni possono essere formalmente comuni, oppure separate ma convergenti e complementari; in quest'ultimo caso devono essere entrambe indispensabili al modo in cui l'operazione è progettata ².

Immaginate due soggetti che definiscono insieme il risultato da ottenere, le persone da includere e il modo essenziale in cui i dati vengono combinati. Se nessuno dei due potrebbe realizzare quel trattamento nella forma prevista senza la decisione dell'altro, la contitolarità è una possibilità concreta. Non serve che ogni decisione sia presa in una riunione congiunta, né che i contributi abbiano lo stesso peso.

Il test non si riduce a chiedere chi trae vantaggio. Il beneficio reciproco può accompagnare qualunque rapporto commerciale. Anche cooperazione, accesso ai dati, uso della stessa piattaforma e dipendenza economica sono indizi di contesto, non sostituti dell'influenza su finalità e mezzi essenziali. Un soggetto può beneficiare del servizio senza contribuire al disegno del trattamento; un altro può influenzarlo senza vedere tutti i dati.

Applicate un controfattuale alla catena decisionale. Togliete prima la decisione della parte A: il trattamento comune potrebbe ancora funzionare con la stessa finalità, le stesse persone e la stessa architettura essenziale? Ripetete togliendo la decisione della parte B. Se entrambe le decisioni sono necessarie e si completano nel disegno della medesima operazione, la contitolarità diventa plausibile; se ciascuna parte può perseguire il proprio scopo con un trattamento autonomo, l'esito può essere quello di titolari separati.

Registrate inoltre il momento in cui le decisioni entrano nel progetto. Un'approvazione data quando finalità e architettura sono già definite può essere soltanto adesione; un contributo che modifica il trattamento prima dell'avvio può invece essere determinante. Il potere teorico conta meno dell'influenza esercitata sui fatti.

Quando il test indica contitolarità, l'articolo 26 richiede una ripartizione trasparente delle rispettive responsabilità, in particolare per l'esercizio dei diritti e le informazioni agli interessati ¹. L'accordo non cancella la responsabilità verso la persona. Deve rendere operativo chi risponde, chi informa e come le parti coordinano le richieste, mantenendo disponibile agli interessati il contenuto essenziale della ripartizione.

Un solo rapporto può comprendere più attività e più ruoli

Considerate un servizio gestito senza attribuirgli un ruolo globale. Nella prima attività, il cliente stabilisce perché raccogliere determinate richieste, quali campi usare, chi può accedervi e per quanto conservarle. Il fornitore ospita e ordina le richieste, gestisce configurazioni tecniche e le cancella secondo istruzioni: per questa attività il percorso può essere titolare-responsabile.

In una seconda attività, il fornitore utilizza i propri dati di relazione per amministrare il contratto, proteggere il servizio e gestire le proprie comunicazioni obbligatorie. Decide finalità e mezzi essenziali di quel trattamento. Le parti possono quindi essere titolari separati per tali dati, anche se una di esse è responsabile in un altro flusso. Un unico ordine commerciale non rende uniforme il ruolo.

Per ciascun flusso, associate l'esito a dati, accessi, conservazione e persona che può impartire istruzioni. Il confine diventa così verificabile anche quando la stessa interfaccia ospita attività diverse.

Una terza attività potrebbe essere progettata insieme. Se le parti definiscono un risultato condiviso, decidono in modo complementare quali persone e dati includere e nessuna potrebbe realizzare la stessa operazione senza il contributo decisionale dell'altra, occorre testare la contitolarità. Non basta che il cliente attivi una funzione predisposta o che entrambi ne ricavino un beneficio; servono decisioni indispensabili sul trattamento comune.

La separazione deve essere leggibile nei documenti e nei sistemi. Un allegato può descrivere l'attività svolta su istruzioni, mentre termini distinti coprono gli usi autonomi. Accessi, registri, tempi di cancellazione e risposte agli interessati dovrebbero riflettere la stessa divisione. Se il personale non sa dire a quale flusso appartiene una richiesta, la classificazione non è ancora operativa.

Questo metodo evita due errori opposti: estendere l'articolo 28 a qualunque dato scambiato oppure ignorarlo perché il fornitore è titolare per una piccola attività propria. La domanda corretta non è “che cosa è questa azienda?”, ma “in quale ruolo opera, per questo preciso trattamento?”.

Collegare l'esito allo strumento corretto

Il documento viene dopo la ricostruzione. Ogni percorso serve a rendere operativa una distribuzione di decisioni già esistente; nessuno può correggere fatti incompatibili con la sua forma.

Preparate il passaggio prima della negoziazione: la nota di classificazione deve indicare l'esito, i fatti decisivi e le attività escluse. Chi redige o approva i termini può allora verificare clausole e allegati senza riaprire implicitamente il ruolo o estenderlo a flussi non esaminati.

Se un responsabile inizia a decidere un uso proprio, aggiungere una clausola più severa all'accordo dell'articolo 28 non conserva artificialmente il ruolo. Quell'uso va separato e classificato. Allo stesso modo, chiamare due parti “titolari indipendenti” non elimina una decisione congiunta indispensabile; un'etichetta di indipendenza non sostituisce l'accordo dell'articolo 26.

Verificate anche che lo strumento sia vincolante per le entità effettive. Nomi commerciali, società del gruppo e piattaforme tecniche non devono nascondere chi prende decisioni e chi riceve istruzioni. Il percorso documentale deve corrispondere ai soggetti, alle attività e alle versioni di termini realmente applicabili.

Per i rapporti complessi può essere utile un allegato che elenchi più attività, ma ciascuna riga deve avere un esito motivato. Un documento unico è accettabile se mantiene separate le discipline; non lo è se usa una formula generica per evitare di distinguere le funzioni. La chiarezza del contratto dipende dalla qualità del record decisionale che lo precede.

Conservare un record decisionale riutilizzabile

Un record breve ma strutturato consente di spiegare la decisione a chi negozia, configura il servizio o gestisce una richiesta. Deve conservare fatti, ragionamento, esito e motivo per riaprire l'analisi.

Il record non deve contenere una conclusione senza i passaggi che la sostengono. “Responsabile perché lo dice il contratto” non è un ragionamento; “tratta solo per lo scopo X, entro le istruzioni Y, mentre il cliente decide persone, dati, destinatari e durata” può essere verificato. Collegate ogni affermazione all'evidenza disponibile e segnate ciò che resta da confermare.

Usate lo stesso schema per rapporti nuovi e riesami. In questo modo decisioni prese da gruppi diversi diventano confrontabili e un cambio di configurazione non viene confuso con una nuova finalità. Il record può anche alimentare il registro delle attività, le istruzioni contrattuali e i controlli di fornitura, senza sostituire nessuno di questi strumenti.

La responsabilità del record deve appartenere a una funzione reale, non a una casella generica. Il proprietario raccoglie contributi operativi e legali, fissa le questioni aperte e approva l'esito secondo la governance dell'organizzazione. Una data da sola non mantiene attuale l'analisi: servono trigger collegati alle modifiche del servizio.

Gli obblighi immediati seguono il ruolo

Il titolare resta responsabile della conformità del trattamento e deve poterla dimostrare. Ciò comprende definire una base giuridica, fornire trasparenza, rispettare i principi, gestire i diritti, scegliere responsabili che offrano garanzie sufficienti e controllare il rapporto. Delegare l'esecuzione non trasferisce la responsabilità della decisione ¹.

Il responsabile tratta i dati soltanto su istruzione documentata, assicura la riservatezza delle persone autorizzate, adotta misure di sicurezza, governa i sub-responsabili e assiste il titolare nei compiti previsti. Deve mettere a disposizione informazioni per dimostrare la conformità e consentire audit secondo l'articolo 28. Se determina finalità e mezzi di un proprio trattamento, assume gli obblighi del titolare per quell'attività.

Questi obblighi devono essere assegnati a canali e proprietari concreti. Un'istruzione nuova va registrata, una richiesta dell'interessato deve raggiungere il soggetto che decide la risposta e un incidente deve attivare l'assistenza prevista; senza tali passaggi, la qualifica non governa il comportamento nel momento in cui serve.

I contitolari definiscono in modo trasparente chi svolge quali compiti, specialmente per informazioni e diritti, ma l'interessato non è confinato alla ripartizione interna. Ciascun titolare separato, invece, conserva i propri obblighi per la finalità autonoma: base, informativa, minimizzazione, accuratezza, conservazione, sicurezza e risposta ai diritti non possono essere scaricati sull'altra parte.

La classificazione deve arrivare alle persone che operano il servizio. Chi riceve una richiesta di accesso deve sapere se rispondere, inoltrare o coordinarsi; chi modifica una configurazione deve riconoscere il confine delle istruzioni; chi gestisce un incidente deve conoscere i canali corretti. Un ruolo esatto sulla carta ma invisibile nel lavoro quotidiano resta incompleto.

Riesaminare la decisione quando cambiano i fatti

La qualifica non è permanente. Riaprite il record quando cambia lo scopo, entrano nuove categorie di dati o persone, si aggiungono destinatari, si prolunga la conservazione, crescono gli utenti o compaiono nuove integrazioni. Lo stesso vale per nuovi sub-responsabili, accessi da altre sedi, modifiche delle istruzioni o un diverso modello operativo.

Due trigger meritano particolare attenzione. Il primo è il riutilizzo indipendente: analisi proprie, combinazione con altri insiemi di dati o conservazione per un vantaggio autonomo possono creare una nuova attività da classificare. Il secondo è l'addestramento o il miglioramento di modelli con dati del cliente; non va trattato come dettaglio tecnico senza chiedere finalità, controllo, possibilità di opposizione e durata.

Il riesame deve produrre un esito concreto: conferma motivata, nuova classificazione, aggiornamento delle istruzioni oppure sostituzione dello strumento. Registrate chi ha valutato il cambiamento, quali evidenze ha usato e quali sistemi o contratti devono essere adeguati. Un calendario periodico può intercettare ciò che è sfuggito, ma non deve ritardare una revisione attivata dai fatti.

Quando l'analisi lascia un dubbio che incide sui diritti o sulla scelta del documento, l'organizzazione può rivolgersi al Garante per la protezione dei dati personali per individuare il canale istituzionale competente. Prima del contatto, un record ordinato dell'attività, delle decisioni e delle questioni irrisolte rende la richiesta più precisa e utile.