La clausola sul trattamento dei dati personali è una componente essenziale del contratto quando le parti raccolgono, utilizzano o condividono informazioni riferite a persone fisiche. Deve chiarire ruoli e responsabilità, finalità e modalità del trattamento, categorie di dati, tempi di conservazione, misure di sicurezza e gestione degli eventuali subfornitori, nel rispetto del GDPR e della normativa nazionale applicabile. Una formulazione corretta deve essere specifica, trasparente e coerente con il rapporto contrattuale, evitando modelli generici non adeguati al caso concreto.
Come scrivere Clausola trattamento dati personali contratto
La clausola sul trattamento dei dati personali in un contratto deve essere redatta in modo coerente con il Regolamento UE 2016/679, con la normativa nazionale applicabile e con la concreta struttura del rapporto contrattuale. Non dovrebbe limitarsi a dichiarare genericamente che le parti “si impegnano a rispettare la privacy”, perché una formula così ampia non chiarisce chi tratta i dati, per quali finalità, con quali poteri, per quanto tempo e secondo quali responsabilità.
Il primo passaggio consiste nell’individuare i trattamenti di dati personali che possono derivare dal contratto. Occorre considerare non soltanto i dati della persona che firma, ma anche quelli dei referenti aziendali, dei dipendenti, dei collaboratori, dei clienti, dei fornitori o di altri soggetti i cui dati possano essere comunicati o utilizzati durante l’esecuzione del rapporto. Per ciascun trattamento bisogna comprendere quali operazioni saranno effettuate, come la raccolta, la registrazione, la consultazione, la comunicazione, la conservazione, la modifica o la cancellazione.
La clausola deve poi chiarire il ruolo assunto da ciascuna parte. Quando entrambe le parti determinano autonomamente le finalità e i mezzi del trattamento, ciascuna opera normalmente come titolare autonomo e deve adempiere separatamente ai propri obblighi in materia di protezione dei dati. Quando una parte tratta i dati esclusivamente per conto dell’altra, seguendone le istruzioni documentate, è necessario valutare la configurazione del rapporto come trattamento effettuato da un responsabile del trattamento ai sensi dell’articolo 28 del GDPR. In questo caso, la semplice clausola generale del contratto non è sufficiente se non contiene tutti gli elementi richiesti dalla normativa oppure se non è accompagnata da un accordo specifico sul trattamento. Se, invece, le parti determinano congiuntamente finalità e modalità essenziali del trattamento, deve essere disciplinata la loro eventuale contitolarità, definendo in modo trasparente la ripartizione delle rispettive responsabilità e assicurando agli interessati un punto di riferimento facilmente individuabile.
Dopo aver definito i ruoli, la clausola deve descrivere le finalità del trattamento in termini specifici e comprensibili. Le finalità devono essere collegate all’instaurazione, alla gestione e all’esecuzione del rapporto contrattuale, all’adempimento degli obblighi di legge, alla gestione amministrativa e contabile, alla tutela dei diritti e alla gestione di eventuali controversie, quando pertinenti. Non è opportuno utilizzare espressioni eccessivamente generiche, come il riferimento a qualsiasi finalità consentita dalla legge, perché il principio di trasparenza richiede che le persone possano comprendere anticipatamente l’uso dei loro dati. Le finalità ulteriori, come attività promozionali, profilazione o comunicazioni commerciali, devono essere valutate separatamente e non dovrebbero essere inserite indistintamente tra le finalità necessarie all’esecuzione del contratto.
La clausola dovrebbe indicare le categorie di dati trattati, distinguendo, quando necessario, tra dati identificativi, dati di contatto, dati professionali, dati amministrativi, dati relativi a pagamenti e ogni altra categoria effettivamente pertinente. Particolare attenzione deve essere riservata alle categorie particolari di dati personali e ai dati relativi a condanne penali e reati, il cui trattamento richiede presupposti più rigorosi. Se il trattamento di tali dati non è necessario, la clausola dovrebbe evitare di autorizzarne genericamente la raccolta. Se invece essi risultano indispensabili, occorre verificare e indicare il fondamento giuridico specifico che ne consente l’utilizzo.
Un elemento centrale è la base giuridica del trattamento. Per i trattamenti necessari all’esecuzione del contratto può trovare applicazione l’articolo 6, paragrafo 1, lettera b), del GDPR, ma soltanto quando il trattamento è realmente necessario per eseguire il contratto o per adottare misure precontrattuali richieste dall’interessato. Per gli obblighi legali deve essere indicata la relativa base normativa, mentre per gli interessi legittimi è necessario che il titolare abbia svolto una valutazione di bilanciamento tra il proprio interesse e i diritti degli interessati. Il consenso non dovrebbe essere utilizzato come base generale o residuale quando il trattamento è già necessario per il contratto o imposto dalla legge. Inoltre, la clausola contrattuale non può considerare automaticamente prestato il consenso mediante la semplice firma del contratto, soprattutto quando il consenso riguarda finalità facoltative.
La durata del trattamento e i tempi di conservazione devono essere disciplinati in modo ragionevole e coerente con le diverse finalità. I dati non devono essere conservati per un periodo indefinito soltanto perché il contratto lo consente. È necessario distinguere il periodo in cui i dati sono utilizzati per l’esecuzione del rapporto dal periodo successivo durante il quale possono essere conservati per obblighi fiscali, contabili, civilistici, professionali o per la tutela giudiziale dei diritti. Al termine dei periodi applicabili, i dati devono essere cancellati, anonimizzati o ulteriormente conservati soltanto se esiste una specifica base giuridica che lo giustifica.
La clausola deve inoltre disciplinare le misure di sicurezza, senza limitarsi a formule astratte. Il riferimento dovrebbe riguardare l’adozione di misure tecniche e organizzative adeguate al rischio, tenendo conto della natura dei dati, delle finalità del trattamento, della probabilità e della gravità di eventuali violazioni. Possono essere richiamati, in termini generali, il controllo degli accessi, la gestione delle autorizzazioni, la riservatezza del personale, la protezione dei sistemi, la tracciabilità delle operazioni, il backup, la cifratura quando appropriata, la gestione degli incidenti e la formazione degli incaricati. La formulazione deve essere sufficientemente concreta da individuare gli obblighi delle parti, ma non dovrebbe promettere misure tecniche che non siano effettivamente applicate.
Quando una parte tratta dati per conto dell’altra, è necessario stabilire che agirà esclusivamente sulla base di istruzioni documentate, che garantirà la riservatezza delle persone autorizzate al trattamento, che adotterà misure di sicurezza adeguate e che assisterà il titolare nell’adempimento degli obblighi previsti dal GDPR. Devono essere regolati anche il ricorso a sub-responsabili, l’obbligo di informare il titolare, le verifiche o gli audit, la gestione delle richieste degli interessati, la collaborazione in caso di violazione dei dati personali e il destino dei dati alla cessazione del rapporto. Il responsabile non dovrebbe utilizzare i dati per finalità proprie, salvo che assuma autonomamente il ruolo di titolare per uno specifico trattamento, situazione che deve essere preventivamente valutata e resa trasparente.
La disciplina delle violazioni di dati personali deve stabilire un obbligo di comunicazione tempestiva tra le parti, così da consentire al titolare di rispettare il termine previsto per l’eventuale notifica all’autorità di controllo. La comunicazione interna dovrebbe contenere le informazioni necessarie per valutare l’incidente, tra cui la natura della violazione, le categorie di dati coinvolti, gli interessati potenzialmente colpiti, le conseguenze prevedibili e le misure adottate per contenere o rimediare all’evento. Il contratto può specificare i canali di comunicazione e le responsabilità operative, senza alterare il fatto che l’obbligo di valutazione e, quando necessario, di notifica all’autorità spetta al soggetto che riveste il ruolo previsto dal GDPR.
Se i dati sono trasferiti fuori dallo Spazio economico europeo, la clausola deve affrontare la questione dei trasferimenti internazionali. È necessario indicare che tali trasferimenti potranno avvenire soltanto nel rispetto delle condizioni previste dal capo V del GDPR, mediante una decisione di adeguatezza, garanzie appropriate o una specifica deroga applicabile. Quando vengono utilizzate clausole contrattuali standard o altri strumenti di trasferimento, devono essere considerate anche le circostanze del Paese di destinazione e le eventuali misure supplementari necessarie. Un generico richiamo alla possibilità di trasferire i dati in qualsiasi Paese non soddisfa gli obblighi di trasparenza e di conformità.
La clausola deve coordinarsi con l’informativa privacy resa agli interessati. Il contratto non sostituisce automaticamente l’informativa prevista dagli articoli 13 e 14 del GDPR, perché l’informativa ha una funzione autonoma e deve spiegare all’interessato, con linguaggio chiaro, l’identità del titolare, i contatti del responsabile della protezione dei dati se nominato, le finalità, le basi giuridiche, i destinatari, i tempi di conservazione, i diritti esercitabili e le modalità per proporre reclamo. Nel contratto è quindi opportuno richiamare l’informativa applicabile e indicare come essa sia resa disponibile, evitando di considerare la firma come prova automatica dell’avvenuta comprensione o del consenso a ogni trattamento.
Devono essere disciplinati anche i rapporti con esercenti o fornitori ulteriori che possano accedere ai dati. La parte che utilizza altri soggetti dovrebbe impegnarsi a selezionarli con adeguata diligenza, a vincolarli a obblighi coerenti con quelli previsti dal contratto e a mantenere il controllo sugli accessi ai dati. Nel caso di responsabili del trattamento, la nomina e l’autorizzazione dei sub-responsabili devono rispettare le condizioni stabilite dall’articolo 28 del GDPR. È inoltre utile chiarire che l’accesso ai dati deve essere limitato alle informazioni necessarie per l’esecuzione delle attività affidate.
La clausola dovrebbe definire la gestione delle richieste degli interessati, comprese quelle relative all’accesso, alla rettifica, alla cancellazione, alla limitazione, alla portabilità e all’opposizione, nei limiti in cui tali diritti siano applicabili al trattamento concreto. Se una parte opera come responsabile, non dovrebbe rispondere autonomamente all’interessato, salvo istruzioni o obblighi specifici, ma dovrebbe trasmettere la richiesta al titolare e fornire la collaborazione necessaria. È opportuno stabilire modalità operative e tempi di cooperazione compatibili con i termini imposti dalla normativa.
La responsabilità delle parti deve essere collegata ai rispettivi ruoli e agli obblighi effettivamente assunti. La clausola può prevedere obblighi di manleva, risarcimento o rimborso dei costi, ma tali previsioni devono essere formulate con precisione e non possono escludere o limitare responsabilità che la normativa considera inderogabili. È importante distinguere la responsabilità derivante da una violazione della disciplina sulla protezione dei dati dalla responsabilità contrattuale generale, definendo il rapporto tra eventuali limiti di responsabilità, obblighi di collaborazione, danni, sanzioni e costi sostenuti per la gestione di incidenti o richieste degli interessati.
Nella parte finale, la clausola dovrebbe regolare gli effetti della cessazione del contratto. Occorre stabilire se i dati debbano essere restituiti, cancellati, anonimizzati o conservati per periodi determinati in ragione di obblighi legali o esigenze di tutela giudiziale. Se la conservazione successiva è consentita, è necessario precisare che i dati non potranno continuare a essere utilizzati per finalità incompatibili con quelle che giustificano la conservazione. Devono inoltre essere considerati i supporti, le copie di sicurezza, gli archivi e gli eventuali sistemi gestiti da subfornitori.
La redazione deve infine rispettare i principi di minimizzazione, esattezza, limitazione della finalità, integrità, riservatezza e responsabilizzazione. La clausola deve essere proporzionata alla complessità del rapporto: un contratto che comporta soltanto lo scambio di dati dei referenti richiederà una disciplina diversa da un rapporto nel quale una parte accede sistematicamente a banche dati contenenti informazioni riservate. Prima della sottoscrizione è quindi necessario verificare la coerenza tra clausola, informativa, registro dei trattamenti, procedure interne, misure di sicurezza e accordi con i fornitori. Quando il trattamento presenta rischi elevati, coinvolge categorie particolari di dati, trasferimenti internazionali o una struttura di responsabilità complessa, è opportuno sottoporre il testo a una verifica giuridica e, se presente, al responsabile della protezione dei dati.
Esempio di Clausola trattamento dati personali contratto
- Le Parti dichiarano che, nell’esecuzione del presente contratto, ciascuna potrà venire a conoscenza o trattare dati personali riferiti a dipendenti, collaboratori, clienti, fornitori, consulenti o altri soggetti coinvolti nel rapporto contrattuale. Il trattamento sarà effettuato nel rispetto del Regolamento (UE) 2016/679 (“GDPR”), del D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, e di ogni altra normativa applicabile in materia di protezione dei dati personali.
- Ai fini del presente contratto, il Titolare del trattamento è , con sede in , C.F./P. IVA , contattabile all’indirizzo e-mail e/o PEC . Il Responsabile della protezione dei dati, ove nominato, è contattabile all’indirizzo .
- I dati personali saranno trattati esclusivamente per le seguenti finalità:
a) instaurazione, gestione ed esecuzione del presente contratto;
b) adempimento degli obblighi previsti dalla legge, dai regolamenti e dalla normativa nazionale e dell’Unione europea;
c) gestione amministrativa, contabile e fiscale del rapporto;
d) tutela dei diritti del Titolare, anche in sede giudiziale o stragiudiziale;
e) _____. - Il trattamento potrà riguardare le seguenti categorie di dati personali: dati identificativi e di contatto, dati fiscali e amministrativi, dati relativi al rapporto contrattuale e ogni altro dato strettamente necessario per le finalità sopra indicate. Eventuali dati appartenenti a categorie particolari ai sensi dell’articolo 9 del GDPR saranno trattati esclusivamente ove necessario, nel rispetto delle condizioni previste dalla normativa applicabile.
- La base giuridica del trattamento è costituita:
a) dall’esecuzione del contratto o dall’esecuzione di misure precontrattuali;
b) dall’adempimento di obblighi di legge;
c) dal perseguimento del legittimo interesse del Titolare, ove applicabile;
d) dal consenso dell’interessato, ove richiesto;
e) da _____. - Il trattamento sarà effettuato con strumenti cartacei, informatici e telematici, da soggetti autorizzati e adeguatamente istruiti, secondo principi di correttezza, liceità, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza.
- I dati personali potranno essere comunicati a dipendenti, collaboratori, consulenti, professionisti, istituti bancari, società di servizi informatici, responsabili del trattamento, autorità pubbliche e altri soggetti ai quali la comunicazione sia necessaria per l’esecuzione del contratto o prevista dalla legge. L’elenco aggiornato degli eventuali responsabili del trattamento è disponibile presso _____.
- Qualora una Parte tratti dati personali per conto dell’altra, essa opererà in qualità di Responsabile del trattamento ai sensi dell’articolo 28 del GDPR e si impegna a trattare i dati esclusivamente per le finalità e secondo le istruzioni documentate del Titolare. Il Responsabile si impegna inoltre a:
a) garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
b) adottare misure tecniche e organizzative adeguate a garantire la sicurezza dei dati;
c) assistere il Titolare nell’esercizio dei diritti degli interessati e nell’adempimento degli obblighi previsti dagli articoli 32–36 del GDPR;
d) informare tempestivamente il Titolare di eventuali violazioni dei dati personali, comunque entro ore dalla relativa conoscenza;
e) non ricorrere a ulteriori responsabili senza preventiva autorizzazione ;
f) restituire o cancellare i dati al termine del rapporto, salvo obblighi di conservazione previsti dalla legge;
g) mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall’articolo 28 del GDPR. - I dati personali saranno conservati per il periodo necessario al perseguimento delle finalità sopra indicate e, successivamente, per il periodo previsto dagli obblighi di legge, comunque non oltre _____, salvo la necessità di conservarli per l’accertamento, l’esercizio o la difesa di un diritto.
- Gli eventuali trasferimenti di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo saranno effettuati esclusivamente nel rispetto degli articoli 44 e seguenti del GDPR, sulla base di una decisione di adeguatezza, di garanzie adeguate o di altra condizione prevista dalla normativa applicabile.
- Gli interessati potranno esercitare, nei casi previsti dalla legge, i diritti di accesso, rettifica, cancellazione, limitazione del trattamento, opposizione, portabilità dei dati e revoca del consenso, inviando una richiesta a oppure all’indirizzo e-mail/PEC . Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente.
- Ciascuna Parte si impegna a fornire agli interessati, ove di propria competenza, le informazioni previste dagli articoli 13 e 14 del GDPR e a collaborare con l’altra Parte per garantire il rispetto della normativa in materia di protezione dei dati personali.
- Per quanto non espressamente previsto nella presente clausola si applicano il GDPR, la normativa nazionale vigente e i provvedimenti dell’Autorità di controllo competente. La presente clausola resterà efficace per tutta la durata del contratto e, per quanto necessario, anche successivamente alla sua cessazione.
