Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.
Articolo 29 GDPR - Trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento
Considerando pertinenti
Nessun considerando pertinente indicato.
Domande frequenti
Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.
Esso prevede che il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento e abbia accesso a dati personali, non possa trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri. La disposizione radica l’istruzione del titolare del trattamento come unica fonte interna di legittimazione a trattare.
Il regolamento non definisce l’espressione, ma essa comprende chiaramente i dipendenti e altro personale che ha accesso a dati personali all’interno dell’organizzazione del titolare del trattamento o del responsabile del trattamento. Il criterio contenuto nel testo è l’accesso ai dati personali unito all’agire sotto l’autorità di uno dei due soggetti, non la qualificazione del rapporto di lavoro o di incarico.
L’articolo 28 disciplina il rapporto tra titolare del trattamento e responsabile del trattamento mediante un contratto vincolante, mentre l’articolo 29 enuncia il principio dell’istruzione direttamente come norma del regolamento, per cui un responsabile del trattamento che agisca al di fuori delle istruzioni viola il regolamento stesso e non soltanto il contratto. Lo stesso principio ricompare all’articolo 32, paragrafo 4, che obbliga il titolare del trattamento e il responsabile del trattamento ad adottare misure affinché chi agisce sotto la loro autorità lo rispetti.
Sì, una sola. Il trattamento in assenza di istruzioni o contro di esse è consentito quando lo richieda il diritto dell’Unione o degli Stati membri, in parallelo alla riserva contenuta alla lettera a) dell’articolo 28, paragrafo 3. La convenienza commerciale o le finalità proprie del responsabile del trattamento non giustificano mai una deviazione, e un responsabile del trattamento che persegua finalità proprie diviene titolare del trattamento ai sensi dell’articolo 28, paragrafo 10.
La disposizione enuncia il divieto anziché prescrivere i mezzi, ma l’articolo 32, paragrafo 4, richiede che il titolare del trattamento e il responsabile del trattamento facciano sì che chi agisce sotto la loro autorità si conformi, e la lettera b) dell’articolo 28, paragrafo 3, richiede che le persone autorizzate al trattamento si siano impegnate alla riservatezza. Lette congiuntamente, tali disposizioni presuppongono misure interne quali istruzioni, impegni di riservatezza e controlli degli accessi.