Accordi sul trattamento dei dati per servizi di condivisione file
Tutto sugli accordi di trattamento dei dati per la condivisione file: clausole chiave, requisiti dell'Articolo 28 del GDPR e raccomandazioni sui modelli.
Un Accordo sul Trattamento dei Dati (DPA) valido ai sensi del GDPR per un servizio di condivisione file deve coprire gli otto argomenti obbligatori dell'Articolo 28(3): oggetto e durata, natura e finalità del trattamento, tipi di dati personali, categorie di interessati, diritti e obblighi del titolare, istruzione al responsabile, regole sui sub-responsabili e cancellazione o restituzione a fine contratto. L'assenza di uno qualsiasi di questi otto rende il contratto non conforme ed espone entrambe le parti ad azioni di enforcement. Oltre all'Articolo 28, un DPA ben redatto definisce anche le misure di sicurezza, i termini di notifica delle violazioni, i diritti di audit e le garanzie per i trasferimenti internazionali ai sensi degli Articoli 32, 33 e del Capitolo V.
Quando è necessario un DPA
Ogni volta che una terza parte tratta dati personali per tuo conto, hai bisogno di un DPA — anche se il trattamento si limita all'archiviazione transitoria di un file .zip caricato per sette giorni. Questo include SwissTransfer, WeTransfer, Dropbox Transfer, Smash, Tresorit, Box e HexaTransfer. La soglia non è "dati sensibili" — è "dati personali", che include le email dei clienti nelle liste dei destinatari. Se usi un servizio di trasferimento per qualsiasi file aziendale che nomina una persona, il DPA è obbligatorio ai sensi dell'Articolo 28(3). Nessun DPA significa trattamento senza una base contrattuale valida, che è illecito ai sensi dell'Articolo 5(1)(a).
Gli otto argomenti obbligatori dell'Articolo 28(3)
L'Articolo 28(3) si legge come una checklist. (a) Oggetto e durata: quale trattamento, per quanto tempo. (b) Natura e finalità: trasferimento file e archiviazione a breve termine per la consegna. (c) Tipi di dati personali: nomi, email, contenuto dei file, metadati. (d) Categorie di interessati: dipendenti, clienti e controparti del titolare. (e) Obblighi e diritti del titolare. (f) Trattamento esclusivamente su istruzioni documentate. (g) Impegni di riservatezza del personale autorizzato. (h) Misure di sicurezza adeguate al rischio, regole sui sub-responsabili, assistenza nell'esercizio dei diritti degli interessati, notifica delle violazioni, assistenza nelle DPIA e cancellazione a fine contratto.
Clausole sui sub-responsabili e la notifica di 30 giorni
L'Articolo 28(2) e 28(4) richiedono ai responsabili di comunicare i sub-responsabili e di consentire ai titolari di opporsi ai cambiamenti. La prassi di mercato: una lista pubblica dei sub-responsabili correnti (Cloudflare per il CDN, OVH per l'hosting, SendGrid per l'email), 30 giorni di preavviso per i cambiamenti materiali e un diritto contrattuale per il titolare di opporsi per motivi ragionevoli. Se il titolare si oppone, il responsabile può trovare un'alternativa o consentire la risoluzione del servizio interessato senza penali. Attenzione ai DPA che consentono la sostituzione illimitata di sub-responsabili senza preavviso — non sono conformi.
Diritti di audit ai sensi dell'Articolo 28(3)(h)
I titolari hanno il diritto di sottoporre i responsabili ad audit. Per i piccoli titolari, questo significa di solito accettare il report SOC 2 Type 2, ISO 27001 o ISAE 3402 del responsabile invece di mandare un revisore in loco. I titolari più grandi (banche, ospedali, enti pubblici) conservano il diritto di audit in sede. I DPA devono specificare la forma: diritto di esaminare le attestazioni pubblicate, diritto di richiedere informazioni aggiuntive e — per trattamenti ad alto rischio — diritto di commissionare un audit indipendente a spese del titolare. Rifiutare tutti i diritti di audit non è conforme; limitarli a revisioni annuali con 30 giorni di preavviso è ragionevole.
Misure di sicurezza e allineamento all'Articolo 32
L'Articolo 32(1) elenca quattro misure esemplari: pseudonimizzazione e cifratura (a), riservatezza, integrità, disponibilità e resilienza dei sistemi (b), ripristino tempestivo dopo un incidente (c), e testing e valutazione periodici (d). Un buon DPA per la condivisione file allega un allegato sulle Misure di Sicurezza con specifiche dettagliate: AES-256-GCM a riposo, TLS 1.3 in transito, MFA per l'accesso amministrativo, certificazione ISO 27001, gestione delle vulnerabilità con SLA di patching e penetration testing annuale. Il linguaggio vago — "sicurezza conforme agli standard di settore" — non supera gli audit perché non è misurabile.
Termini di notifica delle violazioni tra responsabile e titolare
L'Articolo 33(2) richiede ai responsabili di notificare ai titolari una violazione di dati personali "senza ingiustificato ritardo". La maggior parte dei DPA specifica 24-48 ore. Il compito del responsabile è la notifica rapida, non la gestione del termine di 72 ore — quello spetta al titolare ai sensi dell'Articolo 33(1). Un DPA ben redatto specifica: cosa costituisce una violazione (perdita, divulgazione non autorizzata, accesso non autorizzato), cosa contiene la notifica (natura della violazione, categorie e numero approssimativo di interessati e record, probabili conseguenze, misure adottate) e come viene consegnata (contatto nominato, canale di backup se l'email è compromessa).
Garanzie per i trasferimenti internazionali nel DPA
Se il responsabile archivia o accede ai dati al di fuori del SEE, scatta l'Articolo 44. Il DPA deve incorporare le Clausole Contrattuali Standard del 2021 (Decisione di Esecuzione della Commissione 2021/914), specificare il modulo applicabile (Modulo 2: da Titolare a Responsabile) e includere una Transfer Impact Assessment per riferimento. Per i sub-responsabili statunitensi, aggiungi lo stato di certificazione DPF (Data Privacy Framework) o una descrizione specifica delle misure supplementari. I trasferimenti verso il Regno Unito richiedono l'Addendum internazionale sui trasferimenti di dati dell'ICO alle SCC del 2021, in vigore da marzo 2022.
Cancellazione o restituzione a fine contratto
L'Articolo 28(3)(g) richiede al responsabile di cancellare o restituire tutti i dati personali alla fine del servizio, salvo che la legge dell'UE o di uno Stato membro imponga la conservazione. Chiarisci quale si applica: la maggior parte dei servizi di trasferimento file opta per la cancellazione con un breve periodo di grazia (7-30 giorni). Se il titolare vuole la restituzione (tutti i file esportati), specifica il formato e la tempistica. La cancellazione deve coprire i backup — cita il ciclo di rotazione dei backup (90 giorni è lo standard) e documenta che i dati ripristinati vengano ritrattati o ricancellati in coerenza con la richiesta di cancellazione.
Titolari congiunti e scenari multi-parte
La condivisione file a volte coinvolge titolari congiunti ai sensi dell'Articolo 26 — ad esempio, una piattaforma di reclutamento dove sia il datore di lavoro che la piattaforma decidono finalità e mezzi. L'accordo dell'Articolo 26 è diverso da un DPA e deve allocare le responsabilità in modo trasparente. Se sei la piattaforma e ti posizioni come responsabile del trattamento ma eserciti un reale controllo (addestrando la tua AI sui contenuti degli utenti, monetizzando i metadati), le autorità di controllo possono riclassificarti come titolare congiunto. Determina la classificazione corretta fin dall'inizio; la CNIL e l'ICO hanno entrambe emesso sanzioni per classificazioni errate.
Modelli pratici e dove trovarli
La Commissione europea pubblica le Clausole Contrattuali Standard tra titolari e responsabili (Decisione di Esecuzione della Commissione 2021/915). La maggior parte dei provider di trasferimento file affidabili pubblica un DPA pre-firmato basato su queste clausole — scarica, controfirma, fatto. Tresorit, Proton Business, Box, Microsoft, Google Workspace e HexaTransfer lo fanno tutti. Per le negoziazioni personalizzate, IAPP e CIPL pubblicano DPA template. Non redigere mai da zero senza consulenza specialistica in materia di privacy; i casi limite (titolari congiunti, catene di sub-responsabili, linguaggio TIA) hanno una formulazione attesa specifica.
Verifica ogni clausola rispetto alla checklist in otto punti dell'Articolo 28(3). Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file