Biblioteca delle clausole
Protezione dei dati: la clausola spiegata
Una clausola di protezione dei dati registra come vengono trattati i dati personali; quando una parte è responsabile del trattamento ai sensi del UK GDPR, l’Articolo 28(3) richiede clausole specifiche per il responsabile.
Ultimo aggiornamento 28 ottobre 2026
Cosa fa la clausola «protezione dei dati»?
Quando un fornitore tratta dati personali per un cliente che è titolare del trattamento, l’Articolo 28 del UK GDPR dice che il trattamento deve essere disciplinato da un contratto. L’Articolo 28(3) elenca le clausole per il responsabile che quel contratto deve contenere. Lo stesso UK GDPR si applica in Scozia. Le leggi statali statunitensi sulla privacy sono un regime diverso. Mettiamo quelle clausole su un’unica pagina condivisa.
Cosa deve includere un contratto con il responsabile ai sensi dell’Articolo 28?
Il contratto deve essere vincolante e indicare la materia, la durata, la natura e la finalità del trattamento, i tipi di dati personali e di interessati e i diritti del titolare. L’Articolo 28(3) richiede poi le clausole per il responsabile alle lettere da (a) a (h): istruzioni documentate, riservatezza, sicurezza, sub-responsabili, assistenza, cancellazione o restituzione e verifiche (audit).
Quando una parte è responsabile del trattamento e non titolare?
Il titolare decide le finalità e i mezzi del trattamento. Il responsabile tratta per conto del titolare. Uno studio che conserva l’elenco clienti di un cliente per inviare le email del cliente è di solito un responsabile. Uno studio che costruisce la propria lista di marketing è titolare di quella lista. Indica il ruolo per ogni insieme di dati, così l’Articolo 28 si applica solo dove deve.
Il responsabile può nominare sub-responsabili?
Solo con l’autorizzazione scritta preventiva, specifica o generale, del titolare. In caso di autorizzazione generale, il responsabile deve informare il titolare di eventuali aggiunte o sostituzioni previste, così il titolare può opporsi. Gli stessi obblighi di protezione dei dati devono essere trasferiti a valle. Il responsabile iniziale resta pienamente responsabile verso il titolare per il sub-responsabile. Scrivi nella clausola il metodo di autorizzazione.
Cosa succede ai dati quando il lavoro finisce?
L’Articolo 28(3)(g) dice che, a scelta del titolare, il responsabile cancella o restituisce i dati personali dopo la fine dei servizi e cancella le copie, a meno che la legge nazionale richieda la conservazione. Abbina questo alla riservatezza e a una riga di restituzione o distruzione per i file riservati non personali. Indica per quanto tempo si possono conservare i log se una legge lo richiede.
Esempio di formulazione
Esempio · redatto da noi
Quando il Fornitore tratta dati personali per il Cliente in qualità di responsabile del trattamento, il Fornitore: tratterà tali dati solo su istruzioni documentate del Cliente; garantirà che le persone autorizzate a trattarli siano vincolate alla riservatezza; adotterà le misure di sicurezza richieste dall’Articolo 32 del UK GDPR; non nominerà un sub-responsabile senza la preventiva autorizzazione scritta del Cliente; assisterà il Cliente nelle richieste degli interessati e negli adempimenti degli Articoli da 32 a 36; a scelta del Cliente, cancellerà o restituirà i dati al termine dei servizi, salvo che la legge nazionale richieda la conservazione; e metterà a disposizione le informazioni necessarie a dimostrare la conformità e consentirà le verifiche.
In parole semplici
Se il fornitore gestisce dati personali per il cliente, fa solo ciò che il cliente ha documentato, li tiene riservati, cura la sicurezza e non fa entrare un altro responsabile senza il via libera scritto. Aiuta con i diritti delle persone e con gli obblighi di sicurezza, poi cancella o restituisce i dati quando il lavoro finisce, salvo che la legge imponga di tenere una copia, e permette al cliente di controllare.
Cosa devi tenere d’occhio?
| Punto | Attenzione a | Punta a |
|---|---|---|
| Ruoli | Un allegato per il responsabile aggiunto a un accordo in cui entrambe le parti sono titolari. | Una frase che indica il ruolo per ogni insieme di dati. |
| Istruzioni | “Tratta come necessario per i servizi” senza istruzioni documentate. | Un allegato con materia, durata, tipi di dati e di interessati. |
| Sub-responsabili | Mano libera di nominare chiunque, o silenzio. | Autorizzazione scritta preventiva, trasferimento degli obblighi a valle e responsabilità continuativa. |
| Fine dell’incarico | Nessuna riga sulla cancellazione o restituzione. | La scelta del titolare, con un’eccezione per la conservazione prevista dalla legge. |
| Limite | Una manleva sui dati senza limite su un piccolo compenso, o un limite che inghiotte una violazione. | Una posizione indicata rispetto al limite di responsabilità e alla manleva. |
Quali contratti la includono?
Lex include questa clausola, tra gli altri, in:
- Contratto di prestazione di servizi (contratto quadro di servizi (MSA)Un contratto quadro di servizi (MSA, master services agreement) stabilisce le condizioni legali di un rapporto continuativo, con ciascun progetto concordato poi in un capitolato separato.Altro nel glossario)
- Contratto per la realizzazione di un sito web
- Contratto di consulenza
Cosa dice la legge?
Il trattamento da parte di un responsabile del trattamento deve essere disciplinato da un contratto vincolante per il responsabile, che indichi la materia e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, e gli obblighi e i diritti del titolare del trattamento, comprese le clausole per il responsabile elencate nell’Articolo 28(3)(a)–(h).
Fonte: UK GDPR, Article 28(3)Verificato il 28 ottobre 2026In attesa di revisione legale
Redigi un contratto quadro di servizi con questa clausola
Gratis per la controparteLex lo redige in parole semplici accanto alla formulazione legale. Condividi un unico link; entrambe le parti concordano e firmano.
Domande frequenti
Cosa significa una clausola di protezione dei dati?
Registra come vengono trattati i dati personali in base al contratto. Quando una parte tratta dati personali per l’altra come responsabile del trattamento ai sensi del UK GDPR, l’Articolo 28 richiede che quel trattamento sia disciplinato da un contratto con specifiche clausole per il responsabile.
Cosa deve includere un contratto con il responsabile ai sensi dell’Articolo 28 del UK GDPR?
La materia, la durata, la natura e la finalità del trattamento, i tipi di dati e di interessati e le clausole per il responsabile dell’Articolo 28(3)(a)–(h), tra cui istruzioni documentate, riservatezza, sicurezza, sub-responsabili, assistenza, cancellazione o restituzione e verifiche (audit).
Quando un fornitore è responsabile del trattamento?
Quando tratta dati personali per conto del cliente invece di decidere da solo finalità e mezzi. La clausola dovrebbe indicare il ruolo per ogni insieme di dati. L’Articolo 28 si applica ai rapporti con un responsabile.
Un responsabile può usare sub-responsabili?
Solo con l’autorizzazione scritta preventiva, specifica o generale, del titolare. Gli stessi obblighi devono essere trasferiti a valle e il responsabile iniziale resta pienamente responsabile verso il titolare per il sub-responsabile.
Cosa succede ai dati personali quando il contratto finisce?
A scelta del titolare, il responsabile li cancella o li restituisce e cancella le copie, a meno che la legge nazionale richieda la conservazione. Scrivi quella scelta nella clausola.
Fonti
- UK GDPR, Article 28(3)Verificato il 28 ottobre 2026In attesa di revisione legale
Correlati
Modelli con questa clausola
Altre clausole
Prevale la formulazione legaleUltima revisione 28 ottobre 2026In attesa di revisione legale