Se la vostra azienda raccoglie informazioni personali dagli utenti e si affida a una terza parte per l'elaborazione dei dati, avrete bisogno di un accordo di elaborazione dei dati (DPA) per evitare multe in caso di non conformità ai sensi di diverse leggi sulla privacy in tutto il mondo.
In parole povere, un accordo di trattamento dei dati è un contratto tra un raccoglitore di dati e i servizi di terzi che impiegano per il trattamento dei dati.
Di seguito spiegheremo meglio cos'è un accordo di trattamento dei dati, come si presenta e perché la vostra azienda potrebbe averne bisogno oggi a causa della nuova legislazione sulla privacy.
- Che cos'è un accordo sul trattamento dei dati (DPA)?
- Perché sono necessarie le DPA?
- Ho bisogno di un accordo di trattamento dei dati?
- Come si crea un DPA?
- Cosa devo includere nel mio DPA?
- Chi firma un DPA?
- Quali sono le sanzioni per la mancanza di una DPA?
- Esempi di contratto di elaborazione dati
- Suggerimenti per la negoziazione di un DPA
- Accordo sull'elaborazione dei dati FAQ
- Riassunto
Che cos'è un accordo sul trattamento dei dati (DPA)?
Un accordo di trattamento dei dati - chiamato anche addendum al trattamento dei dati o DPA - è un contratto legale in cui si determinano i diritti e gli obblighi delle parti coinvolte nel trattamento dei dati.
Nella maggior parte dei casi si tratta della vostra azienda e di tutti i servizi di terze parti che utilizzate.
La vostra azienda è il raccoglitore dei dati e qualsiasi società terza che vi aiuta a raccogliere o elaborare i dati è l'elaboratore dei dati.
Un accordo di trattamento dei dati aiuta a garantire agli utenti che vi state assumendo la responsabilità del processo di raccolta dei dati, in quanto verificate che gli elaboratori terzi con cui lavorate trattino, gestiscano e conservino le loro informazioni in conformità alle leggi vigenti.
Perché sono necessarie le DPA?
Gli accordi di trattamento dei dati sono necessari perché proteggono la vostra azienda obbligando contrattualmente i terzi incaricati del trattamento a rispettare le leggi sulla privacy.
Senza un DPA, è possibile che la vostra azienda sia ritenuta responsabile per le pratiche illegali di trattamento dei dati da parte di terzi, qualora si verifichino.
Detto questo, tecnicamente non siete obbligati per legge a utilizzare un DPA. Tuttavia, questi documenti includono in genere clausole che coprono tutte le linee guida e i requisiti delineati dalle diverse normative sulla privacy, rendendo più facile garantire la conformità.
Questi accordi legali aiutano anche a definire le aspettative dei clienti su come la vostra azienda gestisce i loro dati personali.
Inizialmente, l'utilizzo di una DPA per la creazione di contratti legali era una delle componenti critiche della conformità al Regolamento generale sulla protezione dei dati (GDPR).
Ma a partire dal 2023, altri cinque Stati americani - California, Utah, Virginia, Colorado e Connecticut - hanno iniziato a richiedere contratti simili ai DPA, stabilendo che devono includere clausole che coprano le seguenti componenti:
- Finalità del trattamento dei dati
- Tipo di dati trattati
- Istruzioni per l'elaborazione dei dati
- Durata dei diritti di trattamento dei dati
- Obblighi di entrambe le parti.
In confronto, l'articolo 28 del GDPR impone ai responsabili del trattamento di stipulare un contratto con i loro incaricati del trattamento che indichi:
- Oggetto e durata del trattamento
- Natura e finalità del trattamento
- Tipo di dati personali
- Categorie di soggetti interessati
- Gli obblighi e i diritti del responsabile del trattamento
Leggi che richiedono DPA
Tutte le seguenti leggi e normative sulla privacy dei dati richiedono o richiederanno alle aziende di creare contratti con i terzi responsabili del trattamento dei dati, e l'utilizzo di una DPA soddisfa tali obblighi:
- Regolamento generale sulla protezione dei dati (GDPR)
- La legge sulla protezione dei dati del 2018( GDPR del Regno Unito)
- Legge sulla privacy dei consumatori della California(CCPA)
- Legge sulla protezione dei dati dei consumatori della Virginia(CDPA)
- Brasile Legge generale sulla protezione dei dati(LGPD)
- Legge sulla protezione dei dati personali in Thailandia(PDPA)
- Legge sulla protezione dei dati personali degli EAU(PDPA)
- Legge sulla protezione delle informazioni personali in Sudafrica(POPIA)
- Legge sulla privacy del Colorado(CPA) - in vigore dal 1° luglio 2023
- Legge sulla privacy dei dati personali e sul monitoraggio online del Connecticut(CTDPA) - in vigore dal 1° luglio 2023
- Legge sulla privacy dei consumatori dello Utah(UCPA) - in vigore fino al 31 dicembre 2023.
La maggior parte di queste norme ha un ambito di applicazione extraterritoriale, quindi possono essere applicate alla vostra attività anche se vi trovate al di fuori dei loro confini territoriali tradizionali.
Anche gli obblighi contrattuali specifici variano leggermente, quindi cliccate sui link per saperne di più su come ogni normativa influisce sui contenuti delle vostre DPA.
Ho bisogno di un accordo di trattamento dei dati?
Potrebbe essere necessario un accordo sul trattamento dei dati per evitare sanzioni in caso di mancata conformità alle leggi sulla privacy precedentemente elencate.
Il GDPR, ad esempio, si applica a qualsiasi sito web o app che raccolga informazioni personali e abbia visitatori provenienti dall'Unione Europea (UE).
Secondo l'articolo 83 del GDPR, le aziende che non seguono le prescrizioni rischiano di pagare multe fino a 20 milioni di dollari o al 4% del fatturato globale, a seconda di quale sia il maggiore.
Per evitare questi rischi, seguite le linee guida per la conformità al GDPR , compresa la preparazione di un accordo sul trattamento dei dati.
Il CCPA modificato richiede anche un contratto se un'azienda divulga i dati personali degli utenti ad appaltatori, fornitori di servizi e terze parti.
Nelle sezioni seguenti, definiamo questi termini e spieghiamo come si riferiscono alle DPA.
Appaltatori e fornitori di servizi
A causa degli emendamenti del California Privacy Rights Act(CPRA) al CCPA, qualsiasi entità che elabora informazioni personali per conto di un'azienda o che riceve informazioni personali dei consumatori per scopi commerciali deve avere un contratto scritto. È possibile soddisfare questa linea guida utilizzando un DPA.
Ma c'è una differenza tra il modo in cui il CCPA definisce gli appaltatori e i fornitori di servizi.
Dal punto di vista legale, la definizione di contraente è più ampia di quella di fornitore di servizi. Include chiunque un'azienda metta a disposizione le informazioni personali dei consumatori per scopi commerciali.
D'altra parte, un fornitore di servizi è semplicemente un'entità che "elabora informazioni" per un'azienda.
Secondo il CCPA modificato, gli appaltatori devono certificare la loro comprensione dei requisiti contrattuali.
Questi contratti richiedono sezioni che:
- Vietare la vendita o la condivisione delle informazioni personali.
- Vietare la conservazione, l'uso o la divulgazione di informazioni personali al di fuori del rapporto commerciale diretto tra l'appaltatore e l'azienda.
- Vietare la combinazione di informazioni personali provenienti da fonti diverse.
- Notificare all'azienda i subprocessori
- Imporre ai subelaboratori, tramite contratto scritto, gli stessi obblighi di trattamento.
- Entrambe le parti sono tenute a monitorare la propria conformità legale attraverso le disposizioni in materia.
Gli appaltatori devono inoltre ricevere i dati personali direttamente dall'azienda, mentre i fornitori di servizi possono ricevere i dati personali per conto dell'azienda.
Ciò implica che le imprese hanno un maggiore controllo sugli appaltatori rispetto ai fornitori di servizi, il che è rafforzato dall'obbligo per gli appaltatori di dimostrare la loro comprensione dei requisiti contrattuali legali.
Terze parti
Secondo il CCPA, una terza parte è un'entità diversa dall'azienda originaria con cui il consumatore interagisce intenzionalmente e che raccoglie i suoi dati personali nell'ambito della sua interazione con l'azienda originaria.
Ciò significa che i fornitori di servizi e gli appaltatori sono legalmente considerati terzi rispetto all'azienda.
Ai sensi del CCPA, i contratti devono includere disposizioni che affermino che le protezioni relative alle limitazioni d'uso e alle norme sulla privacy rimangono in vigore per le informazioni personali lungo l'intera catena di fornitura.
Questi contratti devono anche consentire un certo livello di due diligence da parte dell'azienda per garantire che il trattamento da parte di terzi rimanga coerente con i nuovi obblighi CPRA che hanno modificato il CCPA.
Le terze parti, a loro volta, devono notificare all'azienda se non è più in grado di soddisfare i propri obblighi CCPA modificati e concedere all'azienda il diritto di adottare "misure ragionevoli e appropriate" per rimediare all'uso non autorizzato delle informazioni personali in tali casi.
Come si crea un DPA?
La vostra azienda potrebbe lavorare con diverse parti terze per il trattamento dei dati e richiedere più DPA, quindi parliamo dei seguenti modi per stipulare questi contratti:
- Rivolgersi a un professionista legale
- Provate una soluzione gestita
- Personalizzare un modello scaricabile gratuitamente
- Adottare un approccio fai-da-te (DIY) e scrivere da soli il contratto
Cercare assistenza legale
Se siete un'azienda di grandi dimensioni che tratta molti dati degli utenti, la scelta migliore è quella di rivolgersi a un team legale che vi aiuti a redigere un DPA.
Soluzione gestita
Uno dei metodi più rapidi e semplici per creare un DPA è quello di utilizzare una soluzione gestita, come un Data Processing Agreement Generator.
Sebbene sia probabile che dobbiate pagare un piccolo canone mensile o annuale per utilizzare una soluzione gestita, questa soluzione elimina tutte le incertezze e la confusione legate alla stipula di un contratto tecnico.
Tutto ciò che dovete fare è rispondere ad alcune semplici domande sulla vostra attività e sull'entità terza, e il programma genererà un DPA conforme in base alle vostre risposte.
Modello
Se volete creare un DPA senza spendere un centesimo, provate a utilizzare un modello di accordo per il trattamento dei dati scaricabile gratuitamente.
l'utilizzo di un modello richiede più tempo e impegno rispetto a una soluzione gestita, ma un modello ben scritto avrà parte della scrittura iniziale, della formattazione e delle clausole standard già pronte per voi.
FAI DA TE
Potete anche adottare un approccio fai-da-te e scrivere i vostri accordi sul trattamento dei dati.
Si tratta di un'opzione impegnativa, ma fattibile a patto di possedere le giuste conoscenze tecniche, le competenze e la consapevolezza delle leggi sulla privacy dei dati.
Se decidete di seguire questa strada, leggete il resto di questa guida per avere suggerimenti su cosa inserire nel contratto.
Cosa devo includere nel mio DPA?
I dettagli specifici dell'accordo sul trattamento dei dati dipendono dalle leggi sulla privacy che dovete seguire, ma la maggior parte di essi contiene tutte le informazioni seguenti:
Se includete tutti i dettagli di cui sopra, la vostra DPA dovrebbe soddisfare i requisiti legali delineati dalla maggior parte della legislazione sulla privacy dei dati in tutto il mondo. Tuttavia, nella prossima sezione elencheremo brevemente i requisiti del GDPR per i contratti, che presentano alcune linee guida più severe.
Cosa richiede un DPA GDPR ?
Secondo l'articolo 28, comma 3, del GDPR, ci sono otto punti importanti da includere nel contratto di trattamento dei dati:
- Gli incaricati del trattamento devono accettare di trattare i dati solo su istruzioni scritte del titolare del trattamento.
- Le due parti devono concordare la riservatezza giurata delle persone coinvolte nel trattamento dei dati.
- Dovete elencare tutte le misure che garantiscono la sicurezza dei dati personali.
- Il responsabile del trattamento dei dati deve assicurarsi che le funzioni delegate del responsabile del trattamento dei dati non vengano esternalizzate a un altro responsabile del trattamento dei dati senza che il responsabile del trattamento ne sia a conoscenza e abbia dato il suo consenso.
- Il responsabile del trattamento dei dati deve assistere il titolare del trattamento a rispettare il GDPR per quanto riguarda i suoi impegni nei confronti dei diritti degli interessati.
- l'incaricato del trattamento deve assistere il responsabile del trattamento nell'adempimento degli obblighi di conformità al GDPR, in particolare l'articolo 32 (Sicurezza del trattamento) e l'articolo 36 (Consultazione preventiva).
- Dopo la cessazione dei servizi o la restituzione dei dati al responsabile del trattamento, l'incaricato del trattamento deve accettare di cancellare tutti i dati personali.
- In qualità di responsabile del trattamento, avete il diritto di controllare l'incaricato del trattamento, che deve fornire tutte le informazioni pertinenti, se necessario.
Tutto questo potrebbe sembrare molto, ma nella prossima sezione abbiamo illustrato alcuni esempi di accordi di trattamento dei dati reali per aiutarvi a ispirarvi nella stesura del vostro contratto.
È inoltre possibile consultare i modelli sul sito ufficiale del GDPR .
Chi firma un DPA?
Affinché il vostro DPA sia legalmente vincolante, sia il responsabile del trattamento dei dati(cioè la vostra azienda) che l'incaricato del trattamento dei dati(cioè la terza parte) devono firmare l'accordo di trattamento dei dati e tutti i loro sub-incaricati.
Nella prossima sezione, quindi, parleremo di come capire se il DPA che vi è stato presentato vale la pena di essere firmato da entrambi i punti di vista o se è necessario condurre prima ulteriori trattative.
Firma di una DPA come responsabile del trattamento dei dati
Se la vostra azienda assume una terza parte per il trattamento dei dati, dovete creare e firmare un DPA come responsabile del trattamento dei dati.
Prima di firmare un accordo sul trattamento dei dati in qualità di responsabile del trattamento, assicuratevi che sia conforme ai seguenti standard:
- Illustra chiaramente le modalità di utilizzo dei dati personali da parte dell'incaricato del trattamento.
- Assicuratevi che l'elaboratore sia in grado di proteggere i dati e di rispondere rapidamente in caso di problemi.
- Verificare che l'ambito della raccolta dei dati rientri nella base giuridica del trattamento dei dati.
- Considerare e pianificare i trasferimenti internazionali di dati
Si tratta di misure fondamentali perché, in base a normative come il GDPR, il responsabile del trattamento dei dati - cioè la vostra azienda - è ritenuto responsabile se un incaricato del trattamento dei dati causa una violazione della sicurezza, anche se l'errore è stato commesso da lui.
Se dubitate delle pratiche di sicurezza o dell'integrità degli elaboratori terzi con cui potreste stipulare un contratto, riconsiderate il rapporto o rielaborate l'accordo.
Firma di una DPA come responsabile del trattamento dei dati
Se siete un incaricato del trattamento dei dati, dovreste comunque comprendere i dettagli degli accordi di trattamento dei dati, poiché firmerete molti di questi contratti per svolgere il vostro lavoro.
Quando si firma una DPA in qualità di responsabile del trattamento dei dati, ci sono alcuni elementi da tenere in considerazione per garantire che il contratto sia adeguato, come ad esempio:
- Verificare che il contratto tenga conto di tutte le leggi sulla privacy applicabili.
- Assicuratevi di poter soddisfare adeguatamente tutti i requisiti di sicurezza e protezione.
- Mantenere i dati personali aggiornati e accurati
- Predisporre una procedura per le modalità con cui i consumatori possono far valere i loro diritti alla privacy.
- Assicuratevi che anche tutti i vostri subelaboratori firmino e siano in grado di rispettare le clausole del DPA.
l'incaricato del trattamento dei dati ha la responsabilità di conservare e gestire correttamente le informazioni personali dei consumatori in conformità alla DPA e a qualsiasi legge sulla privacy dei dati applicabile. È inoltre necessario verificare che i subelaboratori siano in grado di fare altrettanto.
Quali sono le sanzioni per la mancanza di una DPA?
La mancata creazione di un DPA conforme potrebbe comportare il pagamento di multe salate, la perdita della fiducia dei consumatori e forse il carcere.
Di seguito, una tabella che confronta le potenziali sanzioni per alcune leggi sulla privacy che prevedono requisiti contrattuali tra responsabili e incaricati del trattamento.
| Legge sulla privacy dei dati | Sanzioni in caso di non conformità |
| Regolamento generale sulla protezione dei dati (GDPR) |
|
| La legge sulla protezione dei dati del 2018( GDPR del Regno Unito) |
|
| Legge sulla privacy dei consumatori della California(CCPA) |
|
| Legge sulla privacy dei dati dei consumatori della Virginia(CDPA) |
|
| Brasile Legge generale sulla protezione dei dati(LGPD) |
|
| Legge sulla protezione dei dati personali in Thailandia(PDPA) |
|
| Legge sulla protezione dei dati personali degli EAU(PDPA) |
|
| Legge sudafricana sulla protezione delle informazioni personali(POPIA) |
|
| Legge sulla privacy del Colorado(CPA) - in vigore dal 1° luglio 2023 |
|
| Legge sulla privacy dei dati personali e sul monitoraggio online del Connecticut(CTDPA) - in vigore dal 1° luglio 2023 |
|
| Legge sulla privacy dei consumatori dello Utah(UCPA) - in vigore fino al 31 dicembre 2023. |
|
I rischi non valgono la pena, è bene dotarsi di un DPA efficace e conforme per proteggere i dati personali dei vostri consumatori e l'integrità della vostra azienda.
Esempi di contratto di elaborazione dati
Vediamo un paio di esempi di accordi sul trattamento dei dati per capire come altre aziende soddisfano i requisiti delle normative sulla privacy, come il GDPR e il CCPA modificato.
Esempio 1: Accordo sul trattamento dei dati di LinkedIn
Il primo esempio di accordo sul trattamento dei dati che prenderemo in considerazione proviene dal sito di networking professionale LinkedIn.
Di seguito, un'immagine di come organizzano il loro accordo utilizzando un semplice indice.
Ci piace la loro struttura logica, che aiuta entrambe le parti a verificare che copra tutte le clausole e le linee guida necessarie.
Inoltre, definiscono chiaramente tutti i termini del contratto, come mostrato nella schermata sottostante. Si tratta di un'idea eccellente, perché chiarisce qualsiasi confusione e limita le possibilità di interpretazione errata.
Più avanti nell'accordo, si utilizzano tabelle per comunicare quali categorie di dati personali vengono trasferite dal responsabile del trattamento al responsabile del trattamento rispetto ai dati che vengono trasferiti dal responsabile del trattamento all'incaricato del trattamento.
Come illustrato di seguito, questo sistema organizza informazioni complesse in modo chiaro, assicurando che tutte le parti che firmano l'accordo ne comprendano i termini.
Esempio 2: Contratto di trattamento dei dati di Yahoo
Diamo quindi un'occhiata al DPA di Yahoo. Nella schermata qui sotto, notiamo che evita di utilizzare grandi muri di testo, rendendo più facile la lettura e la comprensione.
Ci piace che il documento sia organizzato in modo ordinato e che le chiare intestazioni a sinistra facilitino la navigazione tra le sezioni.
Qui di seguito, si veda la semplicità con cui viene formulata la clausola che spiega gli obblighi relativi alle leggi europee sulla privacy.
Trovare l'equilibrio tra un linguaggio chiaro e una formulazione conforme alla legge è complicato, quindi utilizzate il DPA di Yahoo come esempio di come farlo con successo.
Esempio 3: Accordo sul trattamento dei dati di Mailchimp
Infine, esaminiamo l'accordo sul trattamento dei dati per il servizio di email marketing Mailchimp.
Fanno un ottimo lavoro combinando e comunicando i requisiti contrattuali per l'elaborazione dei dati previsti da diverse legislazioni, un difficile gioco di equilibri.
In particolare, l'allegato C del DPA chiarisce gli obblighi e i requisiti contrattuali nei diversi termini utilizzati dalle giurisdizioni a cui sono soggetti - California e Canada - oltre al GDPR.
Di seguito, le informazioni relative al trattamento dei dati in California.
Quindi, confrontateli con le loro informazioni sull'elaborazione dei dati canadesi.
Un riferimento diretto alle leggi sulla privacy come questo è un ottimo modo per garantire la piena conformità a tutte le linee guida e i requisiti legali. Considerate la possibilità di fare la stessa cosa nei vostri accordi di trattamento dei dati.
Suggerimenti per la negoziazione di un DPA
Quando si negozia un contratto di trattamento dei dati, è necessario assicurarsi che la politica segua adeguatamente tutte le leggi sulla privacy e delinei termini commerciali favorevoli.
Per creare con successo un DPA che faccia entrambe le cose, si consiglia di procedere come segue:
Accordo sull'elaborazione dei dati FAQ
Di seguito, le domande più frequenti che ci vengono poste sugli accordi di trattamento dei dati.
Le DPA sono obbligatorie per legge?
Tecnicamente, gli accordi di trattamento dei dati non sono obbligatori per legge, ma aiutano le aziende a rispettare gli obblighi contrattuali con i terzi incaricati del trattamento, come indicato dalle leggi sulla privacy come il GDPR, il CCPA modificato e il CDPA.
Un accordo di trattamento dei dati è un contratto?
Sì, un accordo di trattamento dei dati è un contratto legalmente vincolante tra un'azienda e un terzo responsabile del trattamento dei dati. Esso spiega i diritti e gli obblighi di ciascuna parte in merito ai dati personali degli utenti.
Qual è la differenza tra un accordo di trattamento dei dati e un accordo di condivisione dei dati?
Un accordo di condivisione dei dati è in genere stipulato tra due responsabili del trattamento dei dati - cioè le aziende - e delinea cosa succede ai dati in ogni fase, come vengono condivisi e come vengono utilizzati.
Al contrario, un accordo di trattamento dei dati è un contratto tra un responsabile del trattamento e un incaricato del trattamento che delinea le misure di sicurezza e di protezione e limita le modalità di utilizzo dei dati da parte di terzi.
Qual è la differenza tra un Accordo sul trattamento dei dati e un'informativa sulla privacy?
Un accordo di trattamento dei dati è un contratto tra un'azienda e qualsiasi terzo responsabile del trattamento dei dati per garantire che i dati personali degli utenti siano conservati in modo sicuro e utilizzati nel rispetto dei diritti dei consumatori.
Al contrario, un'informativa sulla privacy spiega ai vostri utenti quali dati raccogliete, utilizzate ed elaborate e la vostra base legale per farlo.
Come si crea un DPA?
È possibile creare un accordo sul trattamento dei dati utilizzando una soluzione gestita, come un generatore di DPA, scaricando e personalizzando un modello scaricabile gratuitamente o scrivendo il documento da soli.
Riassunto
La presenza di un DPA è una componente fondamentale della conformità alla privacy dei dati ai sensi di diverse leggi, tra cui il GDPR, il CCPA modificato dal CPRA e altre ancora.
Questo contratto legalmente vincolante vi aiuta a evitare multe salate e a creare fiducia nei vostri clienti, dimostrando che voi e i vostri incaricati del trattamento dei dati siete responsabili e affidabili.
Sia che decidiate di rivolgervi a un legale, di scriverne uno voi stessi, di utilizzare un modello o di accedere a un generatore di contratti di trattamento dei dati, assicuratevi che i vostri contratti rispettino tutte le leggi sulla privacy, che limitino in modo appropriato le vostre responsabilità e che verifichino che gli elaboratori di terze parti con cui collaborate siano qualificati per proteggere e conservare adeguatamente le informazioni personali dei vostri consumatori.
