Guida pratica
Sub-responsabili del trattamento: la catena dei fornitori software
Quando lo studio di amministrazione affida i dati dei condomini a un software gestionale, quel fornitore diventa responsabile del trattamento. Ma il fornitore raramente opera da solo: si appoggia a servizi di hosting cloud, a piattaforme di posta, a strumenti di backup e di invio massivo. Questi soggetti sono sub-responsabili del trattamento, e il GDPR impone regole precise per la loro gestione. Ignorare la catena dei sub-fornitori significa non sapere davvero dove finiscono i dati. Questa guida spiega cosa sono i sub-responsabili, quali garanzie chiedere e come mantenere il controllo, con una checklist operativa.
Checklist per governare i sub-responsabili
- Verifica che l'accordo con il fornitore disciplini il ricorso ai sub-responsabili.
- Controlla che il fornitore chieda un'autorizzazione, generale o specifica, prima di aggiungere sub-fornitori.
- Chiedi l'elenco aggiornato dei sub-responsabili e delle loro funzioni.
- Verifica dove sono ubicati i data center e se ci sono trasferimenti fuori dall'Unione europea.
- Accerta che i sub-responsabili siano vincolati agli stessi obblighi di protezione del fornitore principale.
- Prevedi il diritto di opporti a un nuovo sub-responsabile e le conseguenze del disaccordo.
- Conserva la documentazione nella catena di accountability dello studio.
Chi sono i sub-responsabili e perché contano
L'articolo 28 del GDPR disciplina il rapporto tra titolare e responsabile del trattamento e stabilisce che il responsabile non può ricorrere a un altro responsabile, il cosiddetto sub-responsabile, senza autorizzazione del titolare, scritta e preventiva, generale o specifica. Nel contesto condominiale il titolare è il condominio, il fornitore del software è il responsabile, e i servizi su cui il software si appoggia sono i sub-responsabili.
La catena è quasi sempre più lunga di quanto sembri. Un gestionale in cloud non gira su un server dello studio: usa un fornitore di infrastruttura, spesso un servizio di backup separato, talvolta piattaforme terze per l'invio di email o comunicazioni. Ogni anello tratta, direttamente o indirettamente, i dati dei condomini. Conoscere la catena è la premessa per poterla governare.
L'autorizzazione: generale o specifica
Il GDPR consente due modalità. Con l'autorizzazione generale il titolare acconsente in via preventiva al ricorso a sub-responsabili, ma il responsabile deve informarlo di ogni aggiunta o sostituzione, dando al titolare la possibilità di opporsi. Con l'autorizzazione specifica ogni singolo sub-responsabile va approvato prima di essere coinvolto.
Nella pratica la maggior parte dei fornitori software adotta l'autorizzazione generale, che è più gestibile su larga scala. Ciò che conta è che il meccanismo sia chiaro nell'accordo: come il fornitore comunica i cambiamenti, con quale preavviso, e cosa succede se il titolare, tramite l'amministratore, non è d'accordo con un nuovo sub-fornitore. Un contratto silenzioso su questo punto lascia lo studio senza strumenti.
- Autorizzazione generale con obbligo di informazione preventiva sulle modifiche.
- Diritto del titolare di opporsi a un nuovo sub-responsabile.
- Preavviso ragionevole prima dell'attivazione di un sub-fornitore.
- Conseguenze del disaccordo, fino alla possibilità di recedere.
Le garanzie che i sub-responsabili devono offrire
Il fornitore principale deve imporre ai propri sub-responsabili, tramite contratto, gli stessi obblighi di protezione dei dati che gravano su di lui verso il titolare. Non è ammesso che la protezione si diluisca man mano che si scende nella catena: le garanzie devono essere equivalenti a ogni livello, e il responsabile principale risponde verso il titolare dell'operato dei suoi sub-fornitori.
Un punto da verificare con attenzione è l'ubicazione dei dati. Se un sub-responsabile si trova o conserva i dati fuori dall'Unione europea, occorre accertare che il trasferimento avvenga sulla base di garanzie adeguate. L'amministratore ha il diritto di sapere in quali paesi vengono trattati i dati dei condomini e su quali basi giuridiche.
Mantenere il controllo nel tempo
La catena dei sub-responsabili non è statica: i fornitori cambiano infrastrutture, aggiungono servizi, sostituiscono partner. Per questo l'elenco dei sub-fornitori va richiesto e conservato in versione aggiornata, e va inserito nel fascicolo di accountability dello studio insieme all'accordo principale. In caso di reclamo o controllo, questa documentazione dimostra che lo studio conosce e controlla la filiera dei dati.
Scegliere un fornitore trasparente sulla propria catena di sub-responsabili è già una misura di tutela. Un gestionale che dichiara chiaramente dove risiedono i dati e quali servizi utilizza consente allo studio di rispondere con precisione ai condomini. Le funzionalità di AmministraPro sono descritte nella pagina /funzioni e i piani nella pagina /prezzi.
Domande frequenti
Cos'è un sub-responsabile del trattamento?
È un soggetto a cui il responsabile del trattamento, ad esempio il fornitore del software, affida a sua volta una parte del trattamento, come l'hosting cloud, il backup o l'invio di comunicazioni. In base all'articolo 28 del GDPR il ricorso a un sub-responsabile richiede l'autorizzazione preventiva del titolare, generale o specifica.
Il condominio deve autorizzare i sub-fornitori del software?
Sì, in quanto titolare del trattamento. Nella pratica l'autorizzazione è spesso di tipo generale ed è contenuta nell'accordo sul trattamento dei dati stipulato con il fornitore, con l'obbligo per quest'ultimo di informare l'amministratore delle modifiche e di riconoscere il diritto di opposizione.
Come faccio a sapere quali sub-responsabili usa il mio fornitore?
Chiedendo l'elenco aggiornato dei sub-responsabili, che i fornitori seri mettono a disposizione o pubblicano. L'elenco dovrebbe indicare il nome del sub-fornitore, la funzione svolta e l'ubicazione del trattamento. Va conservato nel fascicolo di accountability e verificato periodicamente.
Cosa succede se i dati finiscono fuori dall'Unione europea?
Il trasferimento di dati verso paesi terzi è consentito solo in presenza di garanzie adeguate previste dal GDPR, come una decisione di adeguatezza o clausole contrattuali idonee. L'amministratore deve verificare che il fornitore e i suoi sub-responsabili rispettino queste condizioni e conservarne evidenza.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.