{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"comprendre-le-role-du-sous-traitant-selon-le-rgpd-responsabilites-et-implications","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/it\/comprendere-il-ruolo-del-subappaltatore-ai-sensi-del-gdpr-responsabilita-e-implicazioni\/","title":{"rendered":"Comprendere il ruolo del subappaltatore ai sensi del GDPR: responsabilit\u00e0 e implicazioni"},"content":{"rendered":"
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t

Subappaltatori GDPR: perch\u00e9 la valutazione dei fornitori di servizi \u00e8 diventata una questione cruciale per la tua azienda.<\/h1>\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

L'esternalizzazione dell'elaborazione dei dati a un fornitore di servizi non esonera mai l'azienda dalle sue responsabilit\u00e0. Dal 2021, l' CNIL<\/strong> ha aumentato le sanzioni contro le organizzazioni che non avevano valutato o regolamentato adeguatamente le proprie subappaltatore GDPR<\/strong> 1 milione di euro contro Mobius Solutions nel dicembre 2025, 1,5 milioni di euro contro Dedalus Biologie, 600.000 euro contro Canal+ Group, 800.000 euro contro Discord. Il messaggio \u00e8 chiaro: esternalizzate l'elaborazione di dati personali<\/strong> non si tratta di delegare la conformit\u00e0.<\/p>\n

Per i manager, la questione si \u00e8 spostata dalle questioni legali alla gestione del rischio. Valutare i fornitori di servizi, formalizzare l'accordo di subappalto GDPR<\/strong>Monitoraggio della filiera nel tempo: si tratta di obblighi legali la cui inosservanza comporta costi elevati.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Comprendere il ruolo del subappaltatore GDPR e i suoi obblighi<\/h2>

Chi \u00e8 da considerarsi un subappaltatore ai sensi del GDPR?<\/h3>

Il GDPR definisce responsabile del trattamento dei dati qualsiasi persona fisica o giuridica che elabora i dati dati personali<\/strong> per conto di controller dati<\/strong>Non appena un fornitore di servizi accede, ospita, analizza o memorizza dati personali<\/strong> che gli affidi, \u00e8 un subappaltatore: fornitori di servizi cloud, editori di SaaS, fornitori di servizi di elaborazione paghe, agenzie di marketing, call center, CRM, fornitori di servizi di posta elettronica, aziende di manutenzione IT.<\/p>

Il confine con lo status di controller dati<\/strong> non \u00e8 sempre ovvio. Un fornitore di servizi che decide lo scopo o i mezzi del trattamento dei dati passa a una categoria superiore e quindi ne assume la piena responsabilit\u00e0. Questa \u00e8 proprio la trappola in cui \u00e8 caduta Mobius Solutions Ltd, multata di un milione di euro dalla CNIL<\/strong> nel dicembre 2025 per aver riutilizzato i dati di Deezer per migliorare i propri servizi, senza alcuna istruzione da parte del cliente.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Gli obblighi del subappaltatore come delineato nell'articolo 28<\/h3>

L'articolo 28 del GDPR elenca specificamente obblighi del subappaltatore<\/strong> : agire solo su istruzioni documentate, garantire la riservatezza del personale autorizzato, attuare misure di sicurezza tecniche e organizzative adeguate, assistere il controller dati<\/strong> nella gestione dei diritti individuali e nella segnalazione delle violazioni, nella cancellazione o restituzione dei dati al termine del servizio e nel mantenimento di un registro delle attivit\u00e0 di elaborazione<\/strong> specifica per la sua attivit\u00e0.<\/p>

Quest'ultimo obbligo viene spesso trascurato. Tuttavia, la CNIL (Autorit\u00e0 francese per la protezione dei dati) lo ha citato in diverse sanzioni recenti, tra cui il caso Mobius Solutions. Non tenere un registro significa privarsi della principale prova di conformit\u00e0 in caso di verifica.<\/p>

Subappalto a cascata: \u00e8 obbligatoria l'autorizzazione preventiva.<\/h3>

Un subappaltatore pu\u00f2 ingaggiare un subappaltatore successivo ("a cascata") solo con previa autorizzazione scritta, specifica o generale, da parte del controller dati<\/strong>Nel caso di autorizzazione generale, il fornitore deve informare il cliente di qualsiasi modifica per consentirgli di opporsi. Un fornitore di SaaS che si affida a un fornitore di hosting cloud, il quale a sua volta utilizza un sub-fornitore di monitoraggio, deve essere in grado di documentare ogni anello della catena.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

L'obbligo di valutare i subappaltatori: un dovere troppo spesso trascurato<\/h2>

Un obbligo esplicito e strutturante del GDPR<\/h3>

L'articolo 28, paragrafo 1 del GDPR \u00e8 inequivocabile: il controller dati<\/strong> "Utilizza solo subappaltatori che offrono garanzie adeguate." Non si tratta di una raccomandazione, bens\u00ec di un obbligo. Prima di stipulare un contratto, il responsabile deve accertarsi che il fornitore di servizi possieda le competenze, le procedure e l'organizzazione necessarie per elaborare i dati in conformit\u00e0 alla normativa vigente.<\/p>

Ci\u00f2 implica una procedura di valutazione formalizzata: griglia dei criteri, questionario di conformit\u00e0, richiesta di documenti di supporto (politica di sicurezza, certificazioni, DPA<\/strong>, registro, designazione di un Responsabile della protezione dei dati<\/strong>), analisi dei subappaltatori successivi, verifica della posizione del server e di qualsiasi potenziale trasferimenti di dati<\/strong> al di fuori dell'UE. Questa valutazione deve essere tracciata e conservata; senza di essa, il responsabile non sar\u00e0 in grado di dimostrare n\u00e9 la propria diligenza n\u00e9 il rispetto del principio di responsabilit\u00e0.<\/p>

Sanzioni della CNIL che dovrebbero allertare i manager<\/h3>

Nel 2024, il CNIL<\/strong> Ha emesso 87 sanzioni per un totale di oltre 55 milioni di euro. Diversi casi recenti dimostrano che la valutazione e la regolamentazione dei suoi fornitori di servizi sono diventate un'area chiave di controllo.<\/p>

Il caso Dedalus Biologie (aprile 2022, 1,5 milioni di euro) rimane emblematico. CNIL<\/strong> L'Autorit\u00e0 francese per la concorrenza ha sanzionato questa azienda produttrice di software per laboratori medici a seguito di una massiccia violazione di dati sanitari. Oltre alla falla di sicurezza, la motivazione principale addotta \u00e8 stata l'assenza di clausole obbligatorie ai sensi dell'articolo 28 nei contratti standard. Questa decisione ha segnato una svolta: ora un subappaltatore pu\u00f2 essere sanzionato direttamente per non aver formalizzato correttamente il rapporto, indipendentemente dalla responsabilit\u00e0 del cliente.<\/p>

Il caso Mobius Solutions Ltd \/ Deezer (dicembre 2025, 1 milione di euro) illustra le carenze pi\u00f9 frequenti: conservazione dei dati oltre la scadenza del contratto, trattamento dei dati al di fuori delle istruzioni del cliente, mancanza di registro, assenza di misure di sicurezza che hanno portato alla pubblicazione dei dati di diversi milioni di utenti sul dark web.<\/p>

Il caso Discord (2022, 800.000 euro) sta portando a sanzioni a favore del controller dati<\/strong> l'assenza di un contratto conforme all'articolo 28. Canal+ Group, multato di 600.000 euro nel 2022, \u00e8 stato sanzionato in particolare per la mancanza di accordi contrattuali sufficienti. A partire dal 27 gennaio 2021, il CNIL<\/strong> ha inaugurato la sua dottrina sanzionando simultaneamente un controller dati<\/strong> (\u20ac150.000) e il suo subappaltatore (\u20ac75.000) per non aver adottato misure contro la falsificazione di credenziali.<\/p>

Cosa esamina la CNIL nelle sue verifiche<\/h3>

Man mano che vengono prese le decisioni, la griglia di controllo del CNIL<\/strong> I dettagli sono diventati pi\u00f9 chiari. L'autorit\u00e0 sta verificando l'esistenza di un Accordo di subappalto GDPR<\/strong> scritto e conforme all'articolo 28, la documentazione delle istruzioni, l'elenco aggiornato dei subappaltatori successivi, le misure tecniche e organizzative effettivamente attuate, le procedure di notifica per un violazione dei dati<\/strong>le modalit\u00e0 di assistenza alle persone nell'esercizio dei loro diritti, le condizioni per la risoluzione del contratto e la tracciabilit\u00e0 delle verifiche effettuate.<\/p>

Per preparare la tua organizzazione a questi punti di controllo, il nostro Una guida completa agli audit di conformit\u00e0 al GDPR<\/a><\/strong> descrive in dettaglio la metodologia da applicare.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Desideri proteggere la tua catena di subappalto e dimostrare la tua conformit\u00e0?\u00a0<\/strong><\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\tParla con un esperto Viqtor\u00ae<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Costruire un solido quadro contrattuale: l'accordo di subappalto previsto dal GDPR<\/h2>

Le clausole imperative dell'articolo 28, paragrafo 3<\/h3>

L'accordo sul trattamento dei dati (DPA)<\/strong>, O Accordo di subappalto GDPR<\/strong>deve includere un insieme di clausole fondamentali previste dal regolamento: oggetto e durata del trattamento, natura e finalit\u00e0, tipologia dei dati e categorie di persone, obblighi e diritti del titolare del trattamento controller dati<\/strong>Deve inoltre includere otto impegni specifici da parte del subappaltatore: agire secondo istruzioni documentate, garantire la riservatezza, adottare le misure di sicurezza necessarie, avvalersi di subappaltatori successivi solo previa autorizzazione, contribuire a rispondere alle richieste degli interessati, fornire assistenza in materia di sicurezza e notifica, restituire o cancellare i dati al termine del contratto e mettere a disposizione tutte le informazioni necessarie per le verifiche.<\/p>

I termini e le condizioni standard di un editore sono generalmente insufficienti, come ad esempio CNIL<\/strong> Dedalus e molti altri fornitori di servizi, che da allora sono stati sanzionati, sono stati criticati per questo. \u00c8 essenziale una revisione contratto per contratto.<\/p>

Insidie da evitare nella scrittura<\/h3>

Diversi errori compromettono regolarmente la conformit\u00e0. Una clausola che esenta totalmente il subappaltatore dalla responsabilit\u00e0 non \u00e8 applicabile nei confronti del CNIL<\/strong> per quanto riguarda la vittima di una perdita. Un elenco mancante o obsoleto dei subappaltatori successivi espone il controller dati<\/strong> verso un fallimento. Le misure di sicurezza descritte in modo vago sono insufficienti: il CNIL<\/strong> attende un documento di riferimento concreto, verificabile e datato. L'assenza di una procedura di notifica della violazione, o di termini incompatibili con le 72 ore imposte al controller dati<\/strong>, viene sistematicamente trattenuta nei confronti dei subappaltatori inadempienti.<\/p>

Il ruolo centrale del DPO e della governance dei dati<\/h3>

IL Responsabile della protezione dei dati<\/strong> Il responsabile della protezione dei dati (DPO) svolge un ruolo fondamentale: guida la valutazione dei fornitori di servizi, convalida le clausole contrattuali, supervisiona il registro dei subappaltatori e avvisa la direzione dei rischi. In assenza di Responsabile della protezione dei dati<\/strong>Queste missioni devono essere svolte da una funzione chiaramente identificata. governance dei dati<\/a> si basa in gran parte sulla capacit\u00e0 di mantenere nel tempo il rapporto con i subappaltatori.<\/p><\/div>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Gestione del rapporto nel tempo: audit, monitoraggio e gestione degli incidenti<\/h2>

Un obbligo continuativo, non una formalit\u00e0 di firma<\/h3>

Inserirlo in un contratto non \u00e8 sufficiente. controller dati<\/strong> deve garantire nel tempo che il suo fornitore di servizi rispetti i suoi impegni: audit periodici, revisione annuale del DPA<\/strong>, aggiornamento sistematico in caso di modifiche (nuovo subappaltatore successivo, nuovo ambito, nuova posizione del server).<\/p>

L\u00e0 CNIL<\/strong> \u00e8 esplicito: l'utilizzo di un subappaltatore non esenta mai controller dati<\/strong> del suo dovere di diligenza. La sanzione inflitta a Canal+ si basava proprio sulla constatazione che non era stata implementata un'efficace supervisione dei fornitori di servizi. Al contrario, un'azienda in grado di produrre rapporti di audit, questionari compilati e piani d'azione dimostra la propria diligenza, anche in caso di incidente.<\/p>

IL Modulo per subappaltatori Viqtor<\/a> Centralizza la valutazione, il contratto, i subappaltatori successivi, le verifiche e la cronologia degli scambi in un unico archivio.<\/p>

Risposta a una violazione dei dati che coinvolge un fornitore di servizi<\/h3>

Una parte significativa delle violazioni segnalate ogni anno al CNIL<\/strong> coinvolge un subappaltatore. Il controller dati<\/strong> Pertanto, un sistema di allerta rapida deve essere incluso nel contratto fin dall'inizio. Il subappaltatore \u00e8 tenuto a informare il proprio cliente "il prima possibile", il che in pratica significa entro 24-48 ore per consentire la notifica entro il termine legale di 72 ore. CNIL<\/strong>La nostra pagina dedicata a dichiarazione di violazione dei dati<\/a> Descrive dettagliatamente i passaggi.<\/p>\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t

Cosa devi notare<\/h2>