Titolare del trattamento GDPR: chi è (sei tu, non un tecnico)

Chi è il titolare del trattamento (e perché quasi sempre sei tu, anche se pensavi il contrario)

Prima di metterlo in discussione, mettiamo le cose in chiaro: la figura del titolare del trattamento è una cosa sensata, e il principio che ci sta dietro è giusto. Il GDPR ha bisogno di sapere chi è il responsabile di una banca dati di persone, perché quando qualcosa va storto qualcuno deve risponderne, e quel qualcuno non può essere “nessuno”. Il titolare del trattamento è esattamente questo: la persona o l’azienda che decide perché e come trattare i dati delle persone. Chi raccoglie i contatti, sceglie a cosa servono, decide dove tenerli. Nel linguaggio della legge si chiama “titolare del trattamento dei dati personali”; in parole tue, è chi comanda su quei dati e ne porta la responsabilità.

Tradotto da imprenditore a imprenditore: se hai un’azienda che raccoglie nomi, email, numeri di telefono, ordini, certificati dei dipendenti, il titolare del trattamento sei tu. Non il programmatore che ti ha fatto il sito. Non l’agenzia che ti gestisce le campagne. Non chi ti vende il gestionale o ti tiene la posta. Tu, l’azienda, perché sei tu che hai deciso di raccogliere quei dati e di usarli per mandare avanti il lavoro. Loro lavorano i dati per conto tuo, su tua richiesta. La testa che decide sei tu, e con la testa viene la responsabilità.

La cosa che quasi nessuno ti dice te la dico subito, perché è il punto di tutto: questa responsabilità non si delega firmando un contratto con un fornitore. Puoi affidare a un altro il lavoro materiale sui dati, e lo fai ogni giorno, ma resti tu il titolare. Se quei dati finiscono dove non devono, è il titolare che ne risponde, anche se la fuga è passata da uno strumento di un altro. È il modo in cui la legge ti dice: hai voluto questi dati, te li tieni, e te li tieni in ordine.

E qui arriva la parte che fa cadere le braccia alla maggior parte degli imprenditori: “ma allora la responsabilità è di chi mi tiene i programmi, no?”. Quasi sempre no. Se hai dei clienti, dei fornitori, dei dipendenti, e tieni i loro dati per lavorarci, sei il titolare del trattamento di quei dati, punto. Il fatto che vivano dentro un programma che non hai scritto tu, su un server che non è in casa tua, gestiti da gente che non lavora per te, non sposta la responsabilità di un millimetro. La sposta solo nella tua testa, e questa è la trappola.

Fin qui è tutto ragionevole, e un imprenditore serio è il primo a volere che la responsabilità dei dati delle sue persone abbia un nome e un cognome, il suo. Questo è il punto da cui partiamo: la figura del titolare è giusta, e sapere chi comanda su quei dati è sano. Il punto non è se la figura esista o se sei tu. Sei tu. Il punto è un altro, ed è il motivo per cui sei finito su questa pagina: se la responsabilità di quei dati è tua, dove vivono oggi, dentro la tua azienda, i dati di cui rispondi tu in prima persona?

Titolare e responsabile del trattamento: la differenza che ti riguarda davvero

Cominciamo dalla distinzione che genera metà della confusione, perché i nomi sono fatti apposta per ingannarti. Il GDPR usa due parole che sembrano dire la stessa cosa e invece sono opposte: titolare del trattamento e responsabile del trattamento. La parola “responsabile” ti porta a pensare “ah, allora la responsabilità è di quello là”. È esattamente il contrario.

Il titolare del trattamento sei tu, l’azienda che decide. Il responsabile del trattamento è chi lavora i dati per conto tuo, su tua istruzione, senza decidere niente di suo. Sono i tuoi fornitori esterni che mettono le mani sui dati delle tue persone: chi ti ospita il sito, chi ti gestisce la posta, chi ti fa girare il gestionale, chi ti manda le email al posto tuo, il consulente del lavoro che elabora le buste paga. Loro non hanno deciso di raccogliere quei dati, né a cosa servono. Eseguono. In gergo si chiamano “responsabili”, ma il senso vero è “incaricati che lavorano per conto del titolare”. Il capo dei dati resti tu.

La differenza pratica è tutta qui, ed è la cosa che ti toglie un equivoco costoso: il responsabile esterno risponde di come lavora i dati, ma tu, il titolare, resti responsabile della scelta di affidarglieli e del fatto che li tratti come si deve. Se passi i dati dei tuoi clienti a un fornitore che li tiene male, non te ne lavi le mani dicendo “li gestiva lui”: eri tu a doverlo scegliere bene e a sapere dove finivano. La legge non ti chiede di fare tutto da solo, ti chiede di sapere a chi hai dato cosa, e di poterlo dimostrare.

Il responsabile del trattamento lavora i dati per conto tuo. Il titolare sei tu, e la responsabilità di dove finiscono quei dati non la passi a nessuno firmando un contratto: te la porti dietro anche quando i dati vivono su strumenti di altri.

E qui c’è una cosa che vale la pena dire chiara, perché tocca il mestiere di chi cura la parte legale. Un avvocato o un consulente bravo fa un lavoro vero: stabilisce chi è titolare e chi è responsabile nella tua situazione, scrive i contratti che servono con i fornitori esterni (il documento che la legge chiede tra titolare e responsabile), mette nero su bianco le responsabilità di ciascuno e ti copre sul piano del diritto. È il loro campo e lo fanno bene. Ma c’è una cosa che il contratto non può fare: dire dove sono i dati. L’avvocato definisce chi risponde di cosa; non va a vedere che lo stesso cliente vive in sei posti, che a quel file ci arriva chiunque accenda il portatile, che una copia è su una chat che non controlli. Il diritto stabilisce le responsabilità sulla carta. Dove vivono i dati di cui rispondi, quello è un altro lavoro.

Il problema vero: la responsabilità è tua, ma i dati vivono in casa d’altri

Mettiamo che tu abbia tutto chiaro sulla carta: sai di essere il titolare, sai chi sono i tuoi responsabili esterni, i contratti ci sono e sono firmati. Resta il fatto che i dati di cui rispondi tu in prima persona, una volta entrati in azienda, non stanno fermi in un posto solo e tantomeno in casa tua. Vivono sparsi, in affitto, sui programmi che hai comprato in dieci anni. Ed è qui che nasce il guaio vero, quello operativo, di cui la figura del titolare è solo lo specchio.

Segui un solo cliente, dal momento in cui ti lascia i suoi dati. Compila il form sul sito, e il suo nome entra in un programma che gira su server di un fornitore. La sua email finisce nello strumento con cui mandi le newsletter, un altro account, un altro fornitore. Il commerciale se la salva nel suo foglio, sul suo portatile personale. Lo storico delle conversazioni vive nella casella di posta, ospitata da chi ti dà la posta. Qualche scambio è rimasto su una chat, su un telefono che non è aziendale. Lo stesso cliente, dopo un solo passaggio, vive in sei posti diversi, e nessuno di questi sei è davvero casa tua. È la definizione di un Frankenstein operativo: pezzi cuciti a mano, ognuno con la sua copia, nessuno che parla con gli altri. Solo che qui il punto non è il disordine in sé: è che tu sei il titolare, rispondi di tutti e sei quei pezzi, e cinque su sei stanno in mano ad altri.

Il risultato lo conosci anche se non l’hai mai chiamato così. Quel cliente, un domani, ti chiede di vedere tutti i suoi dati, o di cancellarli. È un suo diritto, e tu, in quanto titolare, sei tenuto a dargli risposta. Apri il programma principale e cancelli. Ma il dato è ancora nello strumento delle email, nel foglio sul portatile del commerciale, nella chat di chi l’aveva girato. Hai cancellato dove ci arrivavi tu e lasciato acceso dove comanda qualcun altro. E quando chiedi al fornitore “cancella anche tu”, il dato lo ritrovi a metà, perché ogni isola ha la sua copia e nessuno tiene il conto. La responsabilità di quel dato è tua; il controllo su dove vive, no.

E c’è il lato proprietà, che con la figura del titolare pesa il doppio. Il titolare dovrebbe comandare sui dati, e invece i dati su cui comanda vivono su pannelli di altri, a cui accede finché paga l’abbonamento e finché quel servizio esiste. Peggio: una parte vive su strumenti che non sono nemmeno tuoi né di un fornitore con cui hai un contratto, ma sul telefono personale di chi lavora con te. Il giorno che quella persona se ne va, una parte dei dati di cui rispondi tu se ne va con il suo telefono. Sei il titolare di dati che, in pratica, non sai più dove sono. Non è un’ipotesi da paranoici: è come funziona oggi in quasi tutte le PMI italiane.

Il modo più rapido per dirlo: essere il titolare del trattamento non ti chiede contratti più severi, ti chiede di sapere davvero dove vivono i dati di cui rispondi, e di poterli governare da un posto solo che è tuo. Lo si ottiene facendo confluire i dati di clienti, fornitori e contatti in un archivio unico dove ogni persona vive una volta sola: un database tuo, sotto il tuo controllo, da cui gli altri strumenti pescano invece di tenere ciascuno la sua copia in casa propria. Da lì, quando arriva la richiesta di vedere o cancellare, c’è un posto solo dove andare, e sei davvero tu a comandare. È lo stesso principio che vale per cosa significa davvero il GDPR per la tua azienda: non una carta più bella, un sottosuolo dove la responsabilità del titolare diventa qualcosa che puoi davvero esercitare.

Cosa ti chiede di essere il titolare, e cosa fa il tuo backend sotto

Essere il titolare del trattamento non aggiunge solo “sii responsabile”. Aggiunge cose concrete che devi poter fare e dimostrare, e ognuna diventa impossibile quando i dati di cui rispondi sono sparsi in casa d’altri. Messe a confronto si vede subito dove si rompe il giocattolo.

Letta così, sparisce la domanda sbagliata (“ho firmato i contratti giusti con i fornitori?”) e resta quella giusta: i dati di cui sono il titolare, e di cui rispondo io in prima persona, vivono in un posto solo dove comando davvero, o sono sparsi in casa d’altri, dove ho la responsabilità ma non il controllo?

Testa la tua azienda →

Prima di firmare un altro contratto o rifare un’informativa, scopri dove vivono davvero i dati di cui sei il titolare: il voto di conformità in pochi minuti, gratis e senza carta di credito.

Essere il titolare dei dati sparsi ti costa due volte: in rischio e in notti insonni

Tenere la responsabilità di dati che vivono su strumenti di altri, mentre la legge ti chiede di comandarci sopra, ti presenta il conto da due lati nello stesso momento.

Dal lato del rischio concreto: il titolare è quello che risponde, e il giorno in cui qualcosa va storto (una richiesta a cui non sai dare risposta piena, un dato che finisce dove non doveva, una verifica) la distanza tra la responsabilità che hai e il controllo che non hai diventa visibile tutta insieme. Se un dato esce da uno strumento che gestiva un fornitore, non te ne liberi dicendo “lo teneva lui”: sei tu, il titolare, a dover spiegare perché glielo avevi affidato e come è potuto succedere. Ed è una spiegazione che entra dentro una procedura da seguire entro tempi stretti, già dura a freddo, figurarsi mentre cerchi in sei posti, di cui cinque non sono tuoi, dove fosse finito il dato. A seconda di cosa esce e di come lo gestivi, finisci in una fascia di rischio più o meno pesante, e a portarne il peso è il titolare, cioè tu.

Dal lato delle notti insonni, che è il conto che paghi ogni giorno e non solo nel giorno della domanda: essere il responsabile di dati che non sai più dove vivono è la sensazione di avere la firma su qualcosa che non controlli. Ogni volta che un dipendente se ne va, ti chiedi cosa si è portato via; ogni volta che cambi un fornitore, ti chiedi dove sono finite le copie. Questa ansia non te la toglie un contratto in più: te la toglie solo sapere, con certezza, che i dati di cui rispondi stanno in un posto solo, tuo, e che da lì li governi davvero.

Qui la figura del titolare smette di essere un argomento da avvocati e diventa un pezzo del tuo backend operativo, cioè della macchina che fa girare l’azienda sotto le carte. Il principio è lo stesso che applico ovunque: il dato vive in un posto solo, tuo, con un registro di chi lo tocca, e i fornitori esterni pescano da lì invece di tenere ciascuno la sua copia in casa propria. Da lì discendono in automatico le cose che essere titolare ti chiede e che sparso non puoi mantenere: poter dimostrare le misure di sicurezza che hai adottato e sapere chi ha toccato cosa, tenere chiaro a quali responsabili esterni hai affidato quali dati, e dare seguito davvero ai diritti che il cliente esercita sui suoi dati partendo da un quadro chiaro invece che da sei isole. Non una carta migliore: un sottosuolo dove la responsabilità del titolare diventa esercitabile.

La domanda non è “ho firmato i contratti giusti con i fornitori”. È: dei dati di cui sono il titolare, oggi, comando davvero io, o ho la responsabilità su una cosa che vive in mano ad altri, sparsa in sei posti che non controllo del tutto?

Cinque domande oneste su cosa controlli davvero da titolare

Non serve una consulenza da migliaia di euro per capire se sei un titolare che comanda sui suoi dati o solo uno che ne porta la responsabilità senza il controllo. Bastano cinque domande.

1. Sai dire, di getto, di quali dati la tua azienda è titolare, cioè quali ha deciso lei di raccogliere e tenere (clienti, fornitori, dipendenti, contatti), o non l’avevi mai pensato in questi termini?
2. Quei dati, adesso, in quanti posti diversi vivono, e quanti di questi posti sono davvero tuoi e non di un fornitore, di un account in affitto o di un telefono personale?
3. Sai elencare con precisione a quali fornitori esterni (i responsabili del trattamento) hai affidato quali dati, o è un quadro che non hai mai messo nero su bianco?
4. Se un cliente domani esercita il diritto di vedere o cancellare i suoi dati, lo puoi soddisfare in tutti i posti dove sono finiti, compresi quelli in mano ai fornitori, o ne resterebbe qualche copia accesa da qualche parte?
5. Se chi gestisce quei dati se ne andasse domani con il suo telefono e il suo portatile, di quali dati di cui sei il titolare perderesti il controllo?

Se a queste domande hai risposto con un sospiro, non sei nei guai: sei nella situazione di quasi tutte le PMI italiane, titolari di dati che vivono in casa d’altri. La differenza non la fa sapere a memoria la differenza tra titolare e responsabile, ma sapere con precisione dove vivono oggi quei dati e quanto davvero li comandi. E questo lo puoi misurare adesso, da solo, in pochi minuti.

GDPR Quick Audit · il voto di conformità del tuo sito

Rispondi a poche domande sulla tua azienda (cosa raccogli, dove tieni davvero i dati, chi vi accede, a quali fornitori li hai affidati) e in pochi minuti hai un voto chiaro su quanto comandi davvero sui dati di cui sei titolare e dove sei più scoperto. Niente gergo da avvocato, solo dove intervenire per primo.

Inserisci i dati e parti. Senza carta di credito. Il risultato lo salvi nella tua Officina con la sola email, se vuoi tenertelo.

Calcola il tuo voto GDPR · gratis →

Il voto è il punto di partenza. Dice quanto comandi davvero sui dati di cui rispondi; cosa farne, lo decidi tu.

Le domande che ti stai facendo adesso

Chi è il titolare del trattamento dei dati personali?

È la persona o l’azienda che decide perché e come trattare i dati delle persone: chi sceglie di raccoglierli, a cosa servono, dove tenerli. Se hai un’azienda che raccoglie nomi, email, ordini o dati dei dipendenti, il titolare del trattamento sei tu, perché sei tu a comandare su quei dati. Non lo è il programmatore che ti ha fatto il sito, né l’agenzia, né chi ti vende il gestionale: loro lavorano i dati per conto tuo. La testa che decide, e la responsabilità che ne deriva, restano tue.

Qual è la differenza tra titolare e responsabile del trattamento?

Il titolare del trattamento sei tu, l’azienda che decide di raccogliere e usare i dati. Il responsabile del trattamento è chi lavora quei dati per conto tuo, su tua istruzione, senza decidere niente di suo: i fornitori esterni come chi ti ospita il sito, chi ti gestisce la posta, chi ti fa girare il gestionale, il consulente del lavoro. La parola “responsabile” inganna, perché fa pensare che la responsabilità sia loro. È il contrario: loro rispondono di come lavorano i dati, ma il titolare resta responsabile della scelta di affidarglieli e di come vengono trattati nel complesso.

Se uso programmi e fornitori esterni, la responsabilità non è loro?

No, e questo è l’equivoco più costoso. Affidare il lavoro materiale sui dati a un fornitore non sposta la responsabilità: resti tu il titolare. Il fornitore (il responsabile del trattamento) risponde di come gestisce i dati, ma tu rispondi di averli affidati a lui e del fatto che siano trattati come si deve. Se un dato esce da uno strumento di un fornitore, sei tu a doverlo spiegare. La responsabilità non si delega con un contratto: il contratto serve a definire i ruoli, ma il capo dei dati resti tu.

Posso liberarmi della responsabilità firmando un contratto con i fornitori?

No. Il contratto tra titolare e responsabile è obbligatorio e serve a mettere nero su bianco chi fa cosa, ed è giusto che lo scriva chi cura la parte legale. Ma non ti scarica la responsabilità: ti aiuta a dimostrare di aver affidato i dati con criterio. Resti tu il titolare, e resti tu a dover sapere dove vivono quei dati e a poterli governare. Il contratto definisce le responsabilità sulla carta; dove vivono davvero i dati di cui rispondi è un altro lavoro, e non lo sistema un documento.

Sono titolare anche della piccola azienda con pochi clienti?

Quasi sicuramente sì. La figura del titolare non dipende dalla dimensione: una SRL con cinque dipendenti e un gestionale pieno di contatti è titolare del trattamento esattamente come una multinazionale. Se hai deciso tu di raccogliere e usare i dati delle persone, sei il titolare di quei dati, con la responsabilità che ne deriva. Cambia la quantità di dati, non l’obbligo di sapere dove sono e di poterli governare. Il punto non è quanto sei grande, è dove vivono i dati di cui rispondi.

Da dove inizio, senza impegno?

Dagli strumenti diagnostici gratuiti: misuri in pochi minuti quanto comandi davvero sui dati di cui sei titolare (cosa raccogli, dove vivono, a chi li hai affidati, chi può aprirli), senza carta di credito e senza parlare con nessuno. Poi, se ha senso, ne parliamo.

Puoi continuare a essere il titolare di dati che vivono in casa d’altri, sparsi in sei posti, sperando che non se ne occupi mai nessuno. Oppure puoi sapere, con un numero, quanto davvero li comandi oggi.

Smetti di rispondere di dati che vivono in casa d’altri. Riportali sotto il tuo controllo.

La maggior parte degli imprenditori che mi scrive non ha un problema con la figura del titolare come norma. Anzi, spesso non sapeva di esserlo, e quando lo scopre si accorge che i dati di cui risponde vivono dove vivono tutti gli altri: nel programma di un fornitore, nello strumento delle email di un altro, nel foglio sul portatile del commerciale, nella chat su un telefono che non è aziendale. La legge dice “il titolare comanda sui suoi dati”; la realtà tiene quei dati sparsi in mano ad altri.

Firmare un altro contratto con i fornitori non lo risolve, perché il buco non è nelle carte tra te e loro: è nel fatto che i dati di cui rispondi tu vivono dove non li controlli. Lo risolve far confluire tutto in un posto solo che è tuo, un archivio unico dove i dati hanno un accesso ristretto e resta scritto chi li ha toccati, da cui i fornitori esterni pescano invece di tenere ciascuno la sua copia, così che la responsabilità del titolare diventi una cosa che puoi davvero esercitare. Poi l’avvocato definisce i ruoli e scrive un’informativa che descrive un sistema in ordine, invece di rincorrere un caos. Se vuoi vedere il percorso intero, passo per passo, c’è la guida all’adeguamento GDPR per le PMI: si parte sempre da dove vivono i dati, non dalle firme. Lo stesso ordine che rende governabile il database dei contatti su cui si regge l’azienda.

Non ti chiedo di firmare niente e non ti chiedo di credermi. Non sono un avvocato e non ti vendo la conformità garantita: i ruoli tra titolare e responsabile e i contratti con i fornitori li cura chi di dovere, e fa un mestiere vero. Io sigillo i buchi operativi sotto le carte: metto i dati in un posto solo, tuo, con un registro di chi li tocca, così che essere il titolare smetta di essere un peso e torni a essere un controllo. Ti chiedo solo di guardare il voto della tua azienda, gratis, in pochi minuti. Se quello che vedi ti suona familiare, andiamo avanti. Se non fa per te, chiudiamo qui senza rancore.

Sei tu il titolare di quei dati. Adesso scopri se li comandi davvero, o se vivono ancora sparsi in sei posti che non controlli!

Testa la tua azienda →

Strumenti gratuiti. Senza carta di credito. Senza parlare con nessuno.