Perché è fondamentale disciplinare in modo puntuale le modalità di scambio dei dati personali nei contratti di servizio.
Con la crescente digitalizzazione dei servizi pubblici e privati, la gestione dei dati personali non termina con la sola fase di trattamento: un momento altrettanto delicato è rappresentato dal trasferimento dei dati in occasione del subentro di un nuovo fornitore o della cessazione di un contratto di servizio.
Questa fase, spesso sottovalutata, comporta rischi significativi in termini di sicurezza, integrità e riservatezza dei dati.
Obblighi Normativi: GDPR e Accountability
Il Regolamento (UE) 2016/679 (GDPR) impone al titolare del trattamento di garantire la sicurezza, integrità e disponibilità dei dati personali in tutte le fasi del loro ciclo di vita, inclusa la loro trasmissione o migrazione tra sistemi o soggetti terzi. [1]
L’articolo 28 stabilisce che ogni rapporto tra titolare e responsabile del trattamento debba essere regolato da un contratto o altro atto giuridico vincolante, nel quale siano definite le istruzioni documentate del titolare, le misure tecniche e organizzative per la sicurezza e le modalità di restituzione o cancellazione dei dati al termine del rapporto.
Indicazioni delle Linee Guida AgID
Le Linee Guida AgID 2024-2026 e le Misure Minime di Sicurezza ICT (circ. n. 2/2017) ribadiscono la necessità di formalizzare tali attività nei Piani di Sicurezza e nei Manuali di Gestione Documentale, prevedendo protocolli sicuri per lo scambio di informazioni (API, VPN, canali cifrati) [2].
La corretta disciplina contrattuale di queste operazioni è un elemento essenziale del principio di responsabilizzazione (accountability) previsto dal GDPR.
Molte criticità in materia di sicurezza e responsabilità emergono proprio nei momenti di passaggio tra fornitori: sistemi dismessi, credenziali non revocate, esportazioni non cifrate o formati incompatibili possono comportare violazioni di dati personali (data breach) o perdite di integrità.
Strumenti Tecnici per un Trasferimento Sicuro
Nel trasferimento dei dati tra fornitori, la scelta dello strumento tecnico è determinante. Le API sicure (autenticazione OAuth 2.0, cifratura TLS 1.2+) sono indicate nei casi di interoperabilità continua o transizione progressiva tra sistemi, mentre i trasferimenti cifrati (file o database in AES-256, RSA-2048, SFTP o supporto fisico cifrato) sono preferibili nei passaggi una tantum o per migrazioni massive.
Entrambe le modalità devono essere formalmente descritte nel contratto o nel piano di sicurezza e coerenti con le istruzioni del titolare, garantendo tracciabilità e protezione dei dati in ogni fase.
Contenuti Essenziali della Clausola Contrattuale (Art. 28 GDPR)
Una clausola conforme all’art. 28 GDPR dovrebbe prevedere, quindi:
- responsabilità e ruoli precisi di fornitore uscente e subentrante;
- modalità e tempistiche di esportazione e consegna dei dati;
- uso di formati interoperabili e canali cifrati;
- verifica di integrità e verbale di consegna;
- cancellazione o distruzione delle copie residue con certificazione;
- audit o verifica finale di conformità al GDPR e alle Linee Guida AgID.
La mancata regolamentazione di questi aspetti può determinare violazioni di sicurezza, data breach o perdita di disponibilità dei dati, con conseguenti sanzioni e responsabilità solidali tra titolare e responsabile del trattamento.
Conclusioni: L’Importanza della Regolamentazione Integrale
Il trasferimento dei dati personali tra fornitori non è un mero adempimento tecnico, ma un momento critico sotto il profilo giuridico, organizzativo e di sicurezza.
Disciplinare nel contratto ex art. 28 GDPR le modalità, le misure di protezione e le responsabilità delle parti consente di ridurre i rischi di violazione, assicurando continuità operativa, trasparenza e accountability in conformità ai principi del GDPR e alle Linee Guida AgID 2024-2026.
A cura di Dott.ssa Cristina Pieretti
- [1] Regolamento (UE) 2016/679, articoli 28 e 32 – Obblighi di sicurezza e responsabilità del responsabile del trattamento.
- [2] AgID, Linee Guida sulla formazione, gestione e conservazione dei documenti informatici, versione 2024-2026; Circolare AgID n. 2/2017 – Misure minime di sicurezza ICT per le pubbliche amministrazioni.
- [3] D.Lgs. 82/2005 – Codice dell’Amministrazione Digitale, art. 50-ter sull’interoperabilità tra sistemi informatici pubblici.
