Lug 03, 2019 - 0 Comments - Diritto digitale -

GDPR: auto-nomina del responsabile del trattamento in caso di inerzia del titolare?

Schermata 2019-07-03 alle 11.23.52Il Garante in occasione di un recente convegno ad Ancona ha ribadito che chi opera come fornitore trattando i dati per conto di un titolare deve essere investito del ruolo di responsabile.

La mancata investitura comporta responsabilità sia per il titolare che per il responsabile (di fatto) ex art. 83 GDPR.

L’art. 28 GDPR infatti è chiaro:

“I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o altro atto giuridico a norma del diritto dell’Unione (…) Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico”.

Che fare se il titolare non collabora, si dimentica, si rifiuta o se ne frega di stipulare incontrato con il fornitore per renderlo responsabile?

Considerato che solo per questo sono possibili sanzioni amministrative e responsabilità civile,  la domanda non è peregrina. Se consideriamo la scarsa attenzione e sensibilità ai temi della privacy, la questione potrebbe riguardare svariate migliaia di casi.

A questo punto il responsabile, per non rimanere in situazione di illegalità connessa alla mancanza di contratto, dovrebbe in teoria risolvere il contratto a monte (quello di servizi): ma questo avrebbe innegabili conseguenze  economiche o addirittura mettere in pericolo la vita delle persone come nel caso in cui si tratti servizi in ambito sanitario o socio-assistenziale.

Come uscirne?

Stimolato dal piccolo inciso “o altro atto giuridico” dopo tanto ragionare e cercare..sono approdato all’art. 1333 del codice civile che prevede:

Contratto con obbligazioni del solo proponente. La proposta diretta a concludere un contratto da cui derivino obbligazioni solo per il proponente è irrevocabile appena giunge a conoscenza della parte alla quale è destinata. Il destinatario può rifiutare la proposta nel termine richiesto dalla natura dell’affare o dagli usi. In mancanza di tale rifiuto il contratto è concluso.

In pratica il  fornitore (responsabile, in pectore)  potrebbe inviare una PEC al titolare alla quale sarà allegata la sua “auto-nomina” a responsabile, specificando appunto che trattasi di un contratto con obbligazioni solo a suo carico (infatti la nomina è di norma gratuita): il destinatario, se non vuole usufruire del contratto deve rifiutare la proposta, giacché in mancanza si verifica una sorta di silenzio-accoglimento.

Si deve trattare – per pacifica giurisprudenza – di un contratto gratuito (come una fideiussione, una lettera di patronage, un mandato gratuito, un deposito non retribuito ecc.) altrimenti lo schema legale non può essere utilizzato. Il testo deve essere scritto in modo tale da fare emergere chiaramente  che ci sono obbligazioni per il solo proponente, ossia solo per il responsabile-fornitore che invia la PEC.

Potrebbe sembrare una “forzatura” della volontà del titolare, ma a ben vedere quest’ultimo potrebbe benissimo rifiutare o allegare a sua volta un diverso testo contrattuale.

Non è facile determinare il termine entro il quale effettuare il rifiuto, considerato che la legge nulla dice a riguardo: io opterei per assegnare il termine di 15 giorni (richiamato in altre norma di legge in ambito contrattuale) o anche 30 giorni per maggior sicurezza.

Non sarà la soluzione ideale, ma in mancanza di altro, credo sia una strada percorribile che,nella peggiore delle ipotesi, alleggerirà comunque la posizione del fornitore-responsabile.

N.B. La soluzione non pare – purtroppo – applicabile quando il titolare è una pubblica amministrazione, a causa del particolare formalismo che opera in questo settore e che richiede sempre un atto scritto proveniente  dall’organo pubblico. Non c’è molta giurisprudenza che tratta dell’applicazione dell’art. 1333 nei confronti della p.a., ma le poche sentenze reperibili la escludono.

Lascia una risposta

L'indirizzo email non verrà pubblicato. I campi obbligatori sono contrassegnati *