\u201cla persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalit\u00e0 e i mezzi del trattamento di dati personali; quando le finalit\u00e0 e i mezzi di tale trattamento sono determinati dal diritto dell\u2019Unione o degli Stati membri, il titolare<\/strong> del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell\u2019Unione o degli Stati membri\u201d. <\/em><\/p>\n\n\n\n In altri termini, il titolare<\/strong> decide il \u201cperch\u00e9\u201d e il \u201ccome\u201d del trattamento\u201d.<\/p>\n\n\n\n Il Garante nelle \u201cPrecisazioni si \u00e8 espresso sulla figura del titolare\u201d con il provv. 9.12.1997<\/strong> partendo dalla definizine di titolare<\/strong> presente nella legge del 1996. Vediamo i punti salienti del provvedimento. <\/p>\n\n\n\n Secondo la legge, il “titolare<\/strong>” \u00e8 l’individuo o l’entit\u00e0 responsabile di prendere le decisioni fondamentali riguardanti il trattamento dei dati, determinando come e perch\u00e9 vengono trattati. <\/p>\n\n\n\n Il titolare<\/strong> <\/p>\n\n\n\n \u00c8 importante sottolineare che questa definizione non si applica a coloro che gestiscono o rappresentano un’entit\u00e0 legale, un’organizzazione pubblica o un’istituzione.<\/p>\n\n\n\n Alcuni potrebbero pensare che il riferimento a “persona fisica” nella definizione di “titolare<\/strong>” si riferisca a coloro che rappresentano un’entit\u00e0, come un amministratore delegato o un ministro. Tuttavia, questa interpretazione non \u00e8 corretta.<\/p>\n\n\n\n Le persone fisiche che lavorano all’interno di una persona giuridica o di un’organizzazione possono svolgere ruoli importanti, ma non sono considerate titolari del trattamento dei dati. <\/p>\n\n\n\n Questi individui sono invece definiti come “soggetti designati” dal nostro Codice Privacy e sono considerati incaricati del trattamento dei dati personali. Essi agiscono sotto l’autorit\u00e0 del titolare<\/strong> o del responsabile e seguono le relative istruzioni. La loro attivit\u00e0 \u00e8 coordinata nell’ambito e nell’interesse dell’entit\u00e0 o dell’organizzazione. <\/p>\n\n\n\n Il termine “persona fisica” si riferisce a individui che gestiscono i dati a titolo personale, come un libero professionista o un piccolo imprenditore.<\/p>\n\n\n\n Il “titolare<\/strong>” \u00e8 l’entit\u00e0 organizzativa responsabile delle scelte fondamentali riguardanti la raccolta e l’utilizzo dei dati. <\/p>\n\n\n\n Ad esempio, in una societ\u00e0, il “titolare<\/strong>” sarebbe la stessa societ\u00e0 e non una singola persona fisica come l’amministratore delegato o il presidente. <\/p>\n\n\n\n Pertanto, la responsabilit\u00e0 del trattamento dei dati ricade sull’organizzazione nel suo complesso e non sulle singole persone fisiche che la amministrano o la rappresentano.<\/p>\n\n\n\n Le figure di rilievo all’interno di un’entit\u00e0, come l’amministratore delegato, il ministro, il direttore generale, il presidente o il legale rappresentante, contribuiscono a esprimere la volont\u00e0 dell’entit\u00e0 o sono autorizzate a manifestarla all’esterno. Tuttavia, non sono considerate titolari del trattamento dei dati.<\/p>\n\n\n\n Il concetto di titolare<\/strong> serve ad individuare il soggetto che risponder\u00e0 dell\u2019osservanza delle norme relative alla protezione dei dati. Ed infatti, il\u00a0C<\/a>onsiderando 74 del GDPR specifica che il titolare del trattamento dovrebbe essere in grado di dimostrare la conformit\u00e0 delle attivit\u00e0 di trattamento con il\u00a0GDPR<\/a>, compresa l\u2019efficacia delle misure. <\/p>\n\n\n\n (74) E’ opportuno stabilire la responsabilit\u00e0 generale del titolare<\/strong> del trattamento per qualsiasi trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare<\/strong> del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformit\u00e0 delle attivit\u00e0 di trattamento con il presente regolamento, compresa l’efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell’ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento, nonch\u00e9 del rischio per i diritti e le libert\u00e0 delle persone fisiche.<\/em><\/p>\n\n\n\n Tuttavia, se una singola direzione o area all’interno di un’organizzazione ha un potere decisionale reale e autonomo sulle finalit\u00e0 e sulle modalit\u00e0 del trattamento dei dati, quella direzione o area potrebbe essere considerata come “titolare<\/strong>” del trattamento dei dati.<\/p>\n\n\n\n Sulla nozione di\u00a0titolare del trattamento<\/strong>, \u00e8 altres\u00ec utile consultare le\u00a0Linee Guida 07\/2020<\/a>\u00a0sui concetti di titolare<\/strong> e responsabile nel GDPR, adottate dall\u2019European Data Protection Board\u00a0<\/em>(per brevit\u00e0, \u201cEDPB\u201d), adottate il 2.9.2020. <\/p>\n\n\n\n Il documento “Linee guida sul concetto di titolare<\/strong> e responsabile del trattamento” fornisce una serie di indicazioni e chiarimenti riguardo ai ruoli e alle responsabilit\u00e0 dei titolari, secondo quanto previsto dal GDPR. Ecco un riassunto dei punti chiave:<\/p>\n\n\n\n La titolarit\u00e0 potrebbe essere definita per legge oppure potrebbe derivare dall\u2019analisi delle circostanze del caso concreto. <\/p>\n\n\n\n L’EDPB ha chiarito che per determinare la qualifica di un soggetto rispetto a un trattamento dati, \u00e8 necessario adottare un approccio basato sui fatti e non solo sulla forma, utilizzando alcuni criteri chiave per stabilire tale qualifica.<\/p>\n\n\n\n Quando c’\u00e8 un rapporto diretto tra il soggetto che tratta i dati e le categorie di soggetti interessati, come ad esempio un rapporto contrattuale, \u00e8 molto probabile che il soggetto che tratta i dati sia rappresentato da una figura di alto livello, come l’amministratore delegato. Tali soggetti sono da considerarsi meri incaricati del trattamento, che agiscono \u201csotto l\u2019autorit\u00e0\u201d del titolare<\/strong> o del responsabile, seguendone le relative istruzioni. Tali individui sono espressamente definiti dal nostro Codice Privacy come \u201csoggetti designati\u201d (cfr. art. 2-quaterdecies Codice Privacy). <\/p>\n\n\n\n In alcuni casi, la legge specifica esplicitamente una categoria di soggetti come titolari del trattamento per determinate attivit\u00e0. <\/p>\n\n\n\n In questo caso il ruolo di titolare<\/strong> pu\u00f2 essere dedotto dal fatto che la legge impone a un determinato soggetto specifici obblighi che implicano il trattamento di dati personali. Anche se la legge non designa esplicitamente il titolare<\/strong> come tale, l’attribuzione di determinati obblighi e compiti implica implicitamente la qualifica di titolare. <\/p>\n\n\n\n In altre parole, la legge stessa descrive le finalit\u00e0 del trattamento, che coincidono con l’adempimento di un dato obbligo normativo. Il soggetto a cui \u00e8 imposto tale obbligo non pu\u00f2 che agire come titolare<\/strong> del trattamento, perch\u00e9 la conformit\u00e0 a quel determinato obbligo coincide con una sua finalit\u00e0 di trattamento e non certo con quella di un terzo. A volte, gli obblighi imposti dalla legge sono relativi alla protezione dei dati, altre volte sono obblighi normativi relativi ad altre materie.<\/p>\n\n\n\n Il titolare<\/strong> del trattamento dei dati personali \u00e8 la persona o l’organizzazione che decide di avviare e gestire il trattamento dei dati personali per specifiche finalit\u00e0. <\/p>\n\n\n\n Il titolare<\/strong> del trattamento \u00e8 anche colui che decide i mezzi attraverso cui operare. Per \u201cmezzi\u201d non si deve intendere i soli mezzi tecnici (e.g. strumenti, piattaforme, etc.), ma le modalit\u00e0 del trattamento in senso pi\u00f9 ampio. <\/p>\n\n\n\n Le aree pi\u00f9 dubbie e grigie si determinano rispetto a quei soggetti che non raccolgono i dati direttamente dagli interessati, ma li ricevono da soggetti terzi.<\/p>\n\n\n\n Un esempio di autonomia nella gestione dei dati personali pu\u00f2 essere osservato nelle attivit\u00e0 delle autorit\u00e0 amministrative. <\/p>\n\n\n\n In particolare, le organizzazioni sottoposte alla loro attivit\u00e0 di monitoraggio devono comunicare informazioni che possono contenere dati personali, come ad esempio informazioni fiscali. <\/p>\n\n\n\n Tuttavia, le autorit\u00e0 trattano i dati personali ricevuti per finalit\u00e0 diverse da quelle dei soggetti che li trasmettono. Infatti, questi ultimi inviano le informazioni contenenti dati personali per rispettare un obbligo normativo, mentre le autorit\u00e0 utilizzano tali dati per finalit\u00e0 di controllo o altre finalit\u00e0 statali. <\/p>\n\n\n\n In questo modo, le finalit\u00e0 delle parti sono chiaramente distinte e definite in base alle rispettive competenze.<\/p>\n\n\n\n Anche nei rapporti tra privati, ci sono numerose situazioni in cui lo scambio di dati sottende a finalit\u00e0 differenti dei due titolari, di solito di natura commerciale. Si vedano i seguenti esempi pratici di seguito.<\/p>\n\n\n\n Il Garante Privacy ha chiarito che gli Organismi di Vigilanza non possono essere considerati titolari autonomi o responsabili del trattamento dei dati personali, nonostante agiscano con autonomia decisionale. Inoltre, i membri dell’OdV devono essere designati come “soggetti autorizzati” dall’ente e devono attenersi alle istruzioni del titolare<\/strong>. (fonte: “Parere sulla qualificazione soggettiva ai fini privacy degli Organismi di Vigilanza previsti dall\u2019art. 6, d.lgs. 8 giugno 2001, n. 231”, doc. web 9347842)<\/p>\n\n\n\n Datori di lavori e compagnie assicurative<\/strong><\/p>\n\n\n\n Fornitori di servizi di pagamento<\/strong><\/p>\n\n\n\n Il medico competente in materia di igiene e sicurezza dei luoghi di lavoro ha il compito di svolgere la sorveglianza sanitaria obbligatoria sui lavoratori. <\/p>\n\n\n\n Questo significa che effettua accertamenti preventivi e periodici sui lavoratori, curando l’aggiornamento di una cartella sanitaria e di rischio che viene custodita presso l’azienda o l’unit\u00e0 produttiva, con salvaguardia del segreto professionale. <\/p>\n\n\n\n \u00c8 il medico competente, quindi, a trattare i dati sanitari dei lavoratori, annotandoli nelle cartelle sanitarie e di rischio e curando le opportune misure di sicurezza per salvaguardare la segretezza delle informazioni trattate. <\/p>\n\n\n\n Il datore di lavoro non ha accesso alle cartelle sanitarie, poich\u00e9 il medico competente \u00e8 il soggetto deputato a trattare i dati sanitari dei lavoratori. Il datore di lavoro, tuttavia, \u00e8 tenuto ad adottare le misure preventive e protettive per i lavoratori interessati, su parere del medico competente, ma non pu\u00f2 conoscere le eventuali patologie accertate, ma solo la valutazione finale circa quadro della presente direttiva.<\/p>\n\n\n\n Strettamente connessa alla definizione di titolare<\/strong> del trattamento, quella di\u00a0stabilimento principale<\/strong>\u00a0indicata all\u2019art. 4<\/a>, par. 1, n. 16. <\/p>\n\n\n\nIl provvedimento del Garante del 09.12.1997<\/h3>\n\n\n\n
Chi \u00e8 il “Titolare” del Trattamento dei Dati?<\/h3>\n\n\n\n
\n
\n
Interpretazione Errata<\/h3>\n\n\n\n
Il “Titolare” in un’Organizzazione<\/h3>\n\n\n\n
Il considerando n. 74<\/h3>\n\n\n\n
Eccezioni<\/h3>\n\n\n\n
le Linee Guida 07\/2020<\/h3>\n\n\n\n
\n
Come identificare il titolare del trattamento<\/h3>\n\n\n\n
Criterio del rapporto diretto con i soggetti interessati<\/h4>\n\n\n\n
Criterio dell\u2019obbligo di legge<\/h4>\n\n\n\n
Il criterio delle finalit\u00e0 del trattamento<\/h4>\n\n\n\n
Il criterio dei mezzi del trattamento<\/h4>\n\n\n\n
Criterio dei benefici e finalit\u00e0 distinte derivanti dal trattamento (gli autonomi titolari del trattamento)<\/h4>\n\n\n\n
![\"\"](\"https:\/\/www.consultingpb.com\/wp-content\/uploads\/2023\/11\/786C8C88-DD01-4C35-8C7D-B2E9B30DEF61.jpeg\")
<\/figure>\n\n\n\nAutonoma titolarit\u00e0 <\/h3>\n\n\n\n
![\"\"](\"https:\/\/www.consultingpb.com\/wp-content\/uploads\/2023\/11\/B0B1AF55-FBB1-4A12-B66D-B4223FB9F185.jpeg\")
<\/figure>\n\n\n\nEsempi<\/h3>\n\n\n\n
Il ruolo dell\u2019OdV<\/strong><\/h4>\n\n\n\n
Nel caso in cui il datore di lavoro affidi a una compagnia assicurativa la gestione delle coperture assicurative dei propri dipendenti, la compagnia assume un ruolo attivo nel rapporto assicurativo e ha ampia autonomia decisionale nella gestione dei sinistri. Il datore di lavoro e la compagnia assicurativa perseguono scopi distinti nel trattamento dei dati e devono essere considerati come titolari autonomi. Lo stesso vale per i soggetti con cui il datore di lavoro stipula convenzioni, come palestre o negozi, con i quali i dipendenti stabiliscono un rapporto separato in modo volontario<\/p>\n\n\n\n
La societ\u00e0 di e-commerce detiene i dati degli utenti e delle carte di pagamento. Il fornitore di servizi di pagamento collabora con il titolare<\/strong> della piattaforma e gli utenti per gestire i pagamenti, detenendo i dati finanziari del soggetto che effettua il pagamento per adempiere ai suoi obblighi di legge. I fornitori di servizi di pagamento sono considerati titolari del trattamento e devono rispettare specifici obblighi di privacy stabiliti dalla normativa di settore. La protezione dei dati deve essere integrata in tutti i sistemi di trattamento dei dati utilizzati nella piattaforma.<\/p>\n\n\n\nIl medico del lavoro<\/h4>\n\n\n\n
Stabilimento principale<\/h3>\n\n\n\n
![\"\"](\"https:\/\/www.consultingpb.com\/wp-content\/uploads\/2023\/11\/avv.-bozzo-1024x576.jpg\")
<\/figure>\n\n\n\n