Punti chiave
- Cosa sono i DPA: Gli accordi di trattamento dei dati (DPA) definiscono come i controllori e i processori gestiscono i dati personali, inclusa sicurezza, riservatezza e il ruolo di ciascuna parte.
- Quando è necessario un DPA: Le aziende hanno bisogno di un DPA quando un fornitore terzo elabora dati personali per loro conto.
- Perché i DPA sono importanti: I DPA aiutano le aziende a stabilire le aspettative per la relazione di elaborazione dei dati.
- Considerazioni sulla conformità: Le aziende globali devono considerare le leggi sulla privacy, inclusi i requisiti del Regolamento generale sulla protezione dei dati, quando gestiscono le relazioni con fornitori di servizi terzi che trattano dati personali
Man mano che la tua azienda si espande in nuovi mercati, probabilmente lavorerai con un numero crescente di fornitori terzi che supportano le tue operazioni. Queste relazioni prevedono l'accesso ai dati personali, quindi è importante comprendere:
-
- chi può accedere a queste informazioni
- Come le terze parti lo gestiscono
- quali tutele sono in atto per tutelarlo
Un accordo di trattamento dei dati (DPA) aiuta a stabilire le aspettative tra i responsabili dei dati e i processori. Questo contratto legale e vincolante delinea come le parti gestiscono i dati personali, inclusi l'ambito di elaborazione, le misure di sicurezza e i doveri che ciascuna parte deve seguire.
Sebbene molti associno i DPA al Regolamento generale sulla protezione dei dati dell'UE (Regolamento generale sulla protezione dei dati), altre leggi sulla privacy nel mondo possono includere requisiti simili per la protezione e la gestione dei dati personali. Capire quando è necessario un DPA può aiutare la tua azienda a costruire strategie di protezione dei dati più solide e a supportare i tuoi obblighi di privacy nelle regioni in cui operi. In questa guida scoprirai cos'è un DPA, cosa comporta, quando ne hai bisogno e altro ancora.
Cos'è un accordo di trattamento dei dati?
- I tipi di dati personali a cui il processore può accedere: un DPA identifica le informazioni coinvolte nella relazione di elaborazione e specifica come il processore può utilizzarle.
- Le misure di sicurezza che il processore deve seguire: Gli accordi possono specificare requisiti per la protezione dei dati, come pratiche di riservatezza, controlli di accesso e altre tutele.
- I doveri di entrambe le parti: Un DPA stabilisce aspettative chiare per ciascuna parte durante tutta la relazione di elaborazione, incluse quelle relative a sicurezza, riservatezza e conformità.
Le aziende utilizzano i DPA quando lavorano con fornitori terzi che trattano dati personali per loro conto, supportano varie operazioni commerciali e necessitano di accesso a informazioni personali. Esempi includono:
- Risorse umane technology: Le piattaforme risorse umane elaborano informazioni relative a team membri, candidati e attività di gestione forza lavoro.
- Email management esternalizzazione: I fornitori di servizi email possono gestire informazioni di contatto e comunicazioni.
- Contabilità finanziaria: Le piattaforme e i fornitori contabili possono accedere a registri finanziari, informazioni indipendenti e altri dati aziendali supportando le operazioni finanziarie.
- Raccolta o digitalizzazione dei dati: I fornitori esterni possono aiutare a raccogliere, organizzare o convertire i dati in formati digitali più accessibili.
- Archiviazione cloud: I provider cloud possono conservare dati personali e backup aziendali per conto delle aziende e devono rispettare i requisiti di sicurezza concordati per proteggere tali informazioni.
- Supporto al carico paghe: I fornitori di busti paga elaborano informazioni fiscali e remunerazioni sensibili necessarie a supportare il pagamento e le attività correlate a pagamento.
- Piattaforme di gestione delle relazioni con i clienti (CRM): I fornitori CRM possono elaborare le informazioni dei clienti per supportare vendite, assistenza e comunicazione.
Un DPA crea una comprensione condivisa di come avverranno le attività di elaborazione. Può identificare l'ambito della relazione, stabilire i requisiti di sicurezza e chiarire come ogni organizzazione dovrebbe affrontare i propri obblighi sulla privacy.
Perché sono importanti i DPA?
Un DPA aiuta le aziende a comprendere meglio come le parti condividono i dati e a stabilire la responsabilità per la loro protezione. Stabilendo responsabilità prima che inizi un rapporto controller/processore, le aziende costruiscono una base più solida per gestire i requisiti di privacy e ridurre l'incertezza.
Un DPA può aiutare le aziende a operare in modo più efficiente mentre si espandono oltre i confini, creando aspettative coerenti su come le terze parti gestiscono i dati personali. Invece di sostituire la politica di privacy più ampia e i doveri di conformità di un'azienda, un DPA è una parte di un approccio più ampio alla protezione dei dati personali.
Come il Regolamento generale sulla protezione dei dati influisce sugli accordi di trattamento dei dati
Il Regolamento generale sull'applicazione dei dati dell'UE pone maggiore enfasi sugli accordi di trattamento dei dati e i difensori dei dati. Ai sensi dell'articolo 28 del Regolamento generale sulla protezione dei dati, i titolari devono lavorare con i difensori che forniscono garanzie sufficienti per la protezione dei dati e devono redigere contratti che riguardino le responsabilità di entrambe le parti.
Questi requisiti si applicano quando il Regolamento generale sulla protezione dei dati copre le attività di elaborazione. Sebbene il Regolamento generale sulla protezione dei dati abbia avuto origine nell'UE, può applicarsi anche a scenari in cui aziende al di fuori dell'UE elaborano dati personali di individui nella regione.
Accordi di elaborazione dei dati sulla scena globale
Il regolamento generale sulla protezione dei dati è uno dei quadri di privacy dei dati più riconosciuti al mondo. Le aziende possono dover considerare impegni contrattuali simili quando lavorano con fornitori terzi che trattano dati personali, anche quando non operano all'interno dell'UE. Le leggi sulla privacy variano tra i paesi e gli obblighi di un'organizzazione dipendono da:
-
- dove opera
- i cui dati elabora
- Quali servizi offre
Sapere quando la tua azienda ha bisogno di un DPA può aiutarti a creare processi più chiari per proteggere i dati personali e supportare le tue esigenze di privacy ovunque tu operi.
Quando è necessario un accordo per l'elaborazione dei dati?
I DPA sono necessari ogni volta che un'organizzazione elabora dati personali per conto di un'altra. Secondo il Regolamento generale sulla protezione dei dati, le aziende necessitano di un DPA quando la condivisione di dati personali crea un rapporto tra responsabile e processore. In queste situazioni, l'accordo aiuta a definire:
-
- Come un fornitore può utilizzare le informazioni
- Quali tutele si applicano
- come entrambe le parti dovrebbero affrontare l'accordo.
Alcuni esempi comuni in cui le aziende hanno bisogno di un DPA includono l'uso:
-
- Un fornitore di busti paga
- una piattaforma Risorse umane
- Archiviazione cloud
- Altri fornitori tecnologici che possono processare dati dipendenti, clienti o aziendali
Il DPA stabilisce aspettative chiare prima dell'inizio del processamento.
Quando non è necessario un accordo di elaborazione dei dati
Non tutte le relazioni che coinvolgono dati personali richiedono un DPA. Gli scenari più comuni includono:
- Controllori indipendenti: Terze parti indipendenti possono determinare come e perché trattano i dati personali. Ciò significa che operano sotto proprie responsabilità di privacy invece di agire come processori.
- Fornitori di servizi professionali: Alcuni fornitori, inclusi quelli che offrono servizi legali, contabili e di consulenza finanziaria, hanno responsabilità separate di riservatezza e privacy in base alla natura delle loro attività.
- Relazioni di accesso ai dati limitate: Un fornitore può accedere ai dati incidentalmente senza elaborarli per conto di un'altra organizzazione.
- Autorità pubbliche e enti regolatori: Le aziende che elaborano dati sotto la propria autorità legale non possono operare come processori e non hanno bisogno di un DPA.
Quando decidi se hai bisogno di un DPA, considera:
-
- chi determina lo scopo del trattamento
- chi accede alle informazioni
- Quale ruolo svolge ciascuna organizzazione nella relazione
Comprendere i ruoli in un accordo di elaborazione dati
In un DPA, due parti svolgono ruoli distinti: il responsabile dei dati e il responsabile dei dati. Comprendere la differenza tra queste può aiutarti a determinare i compiti di ciascuna parte quando i dati personali passano tra due aziende.
Cos'è un trattamento dei dati?
Un data controller è un'organizzazione che determina perché e come i dati vengono elaborati. È il partito che decide:
-
- Quali informazioni raccoglie
- perché lo sta raccogliendo
- come il processore può utilizzare i dati per suo conto
Supponiamo che la tua azienda agisca come un data controller quando raccoglie informazioni personali da clienti, membri del team o altre parti per supportare le attività aziendali. Se collabori con un fornitore terzo per elaborare queste informazioni, la tua azienda determina perché il fornitore le elabora.
Cos'è un elaboratore dati?
Un processore è l'organizzazione che elabora i dati personali per conto del controllore del titolare. Non determina lo scopo del trattamento o come i dati verranno utilizzati oltre alle istruzioni del controllore del contestatore. Deve seguire le istruzioni specifiche del controller per l'elaborazione.
Un elaboratore di dati può includere:
-
- Fornitori di tecnologia
- Aziende di servizi cloud
- Piattaforme per il servizio paga
- Altri fornitori che elaborano dati personali durante l'erogazione di un servizio
Il loro lavoro consiste nel seguire istruzioni esplicite di elaborazione mantenendo le adeguate salvaguardie.
Cosa include un accordo di trattamento dei dati?
Un DPA definisce chiaramente come le aziende gestiscono i dati personali quando un controller lavora con un processore. I dettagli esatti possono variare in base alle leggi sulla privacy applicabili. La maggior parte dei DPA affronta aree chiave relative alle attività di elaborazione dati, alle misure di sicurezza e alle responsabilità delle parti.
1. Dettagli sulle attività di elaborazione dei dati
I DPA aiutano entrambe le parti a capire quali informazioni fanno parte dell'accordo e come i processori possono utilizzarle. L'accordo spiega l'ambito della relazione di trattamento e specifica cosa il processore può fare con i dati coinvolti.
I dettagli includono:
-
- I tipi di dati personali soggetti a trattamento
- Le categorie di individui le cui informazioni vengono elaborate
- Scopo e natura delle attività di elaborazione
- La durata complessiva della relazione di elaborazione
- Istruzioni chiare su come il processore può utilizzare i dati
- Requisiti per restituire o cancellare dati personali dopo la fine della relazione.
Documentare questi dettagli aiuta le aziende a stabilire le aspettative prima di iniziare qualsiasi elaborazione. Le parti possono usare i dettagli come punto di riferimento durante tutta la relazione.
2. Diritti, responsabilità e istruzioni di elaborazione
Gli accordi devono definire cosa deve fare ciascuna parte nel trattamento dei dati personali. I controller forniscono istruzioni che i processori devono seguire. I processori devono svolgere attività di trattamento concordate. Un DPA deve specificare che il controller, e non il processore, mantiene il controllo sui dati e su cosa ne accade.
I DPA possono riguardare:
-
- Le istruzioni del controller su come il processore deve utilizzare i dati
- Le responsabilità del processore durante l'esecuzione delle attività di elaborazione
- Il diritto del responsabile di ottenere informazioni sulle attività
- I doveri di ciascuna parte riguardavano privacy, sicurezza e conformità
Se preparata correttamente, una DPA può aiutare entrambe le parti a comprendere i propri obblighi ed evitare confusioni.
3. Riservatezza e sicurezza
Le disposizioni riguardanti le misure di riservatezza e sicurezza possono stabilire le aspettative per la tutela dei dati personali. Un DPA deve specificare quali misure utilizzerà un processore.
A seconda dei servizi coinvolti, le misure rilevanti possono includere:
-
- Implementazione di accordi di riservatezza per chi accede ai dati
- Controlli di accesso rigorosi che limitano chi può visualizzare le informazioni
- Pratiche di crittografia e pseudonimizzazione dei dati
- Processi a supporto della disponibilità, resilienza e recupero dei dati
- Revisioni di routine e test di sicurezza
Le misure specifiche incluse in una DPA dovrebbero riflettere il tipo di informazioni coinvolte e il rischio associato alle attività di elaborazione.
4. Requisiti per i subprocessori
Alcuni processori collaborano con altri fornitori per supportare i loro servizi. Conosciute come subprocessori, queste aziende possono dover seguire requisiti aggiuntivi. Un DPA deve includere istruzioni per la gestione di queste relazioni e coprire eventuali regole aggiuntive che si applicano quando un'altra organizzazione elabora dati personali.
Le disposizioni sui subprocessori coprono di:
-
- Se i processori necessitano di autorizzazione prima di interagire con i subprocessori
- Obblighi che si applicano ai subprocessori quando elaborano dati
- Come i processori monitorano la conformità dei subprocessori
- Come i processori comunicano i cambiamenti che coinvolgono i subprocessori
Requisiti chiari per i subprocessori danno ai controllori maggiore visibilità su come i dati personali si muovono in una rete più ampia di fornitori di servizi.
Supporto agli obblighi di privacy e conformità
Infine, un DPA deve spiegare come un processore possa supportare le responsabilità di privacy di un controller. Le attività del processore focalizzate sul supporto potrebbero includere:
-
- Assistenza nelle valutazioni di impatto sulla protezione dei dati
- Risposte di supporto alle richieste dei dati
- Fornire le informazioni necessarie per revisioni e audit di conformità
- Assistenza nella risposta alla violazione
- Tenere registri delle attività di elaborazione quando applicabile
Definire questi dettagli in anticipo può aiutare le aziende a rispondere più rapidamente ed efficacemente qualora sorgono preoccupazioni sulla privacy o sulla sicurezza.
Cosa succede dopo una violazione dei dati secondo un DPA?
Se una violazione dei dati personali rischia di rappresentare un rischio per i diritti e le libertà delle persone coinvolte, le aziende coinvolte devono adottare azioni specifiche e immediate. Le aziende devono notificare all'autorità di controllo competente entro 72 ore dalla presa conoscenza della violazione.
Se la violazione rappresenta un rischio elevato, le aziende devono notificare anche queste persone. Se l'azienda ha già protocolli efficaci di riduzione del rischio tecnico e organizzativo, non è necessaria una notifica.
Supponiamo che un'azienda utilizzi un fornitore terzo per conservare le informazioni dei clienti. Se il fornitore (processore) subisce un incidente di sicurezza che espone dati personali, deve notificare l'azienda (controllore) affinché l'organizzazione possa valutare la violazione e determinare i passi successivi appropriati.
A seconda delle circostanze, l'azienda deve notificare i regolatori, le persone interessate o entrambi. La risposta può dipendere da fattori come:
-
- Informazioni coinvolte
- Numero di persone colpite
- Protezioni già in atto
Quali sono i rischi nel non rispettare i requisiti DPA?
- Quando le leggi sulla privacy richiedono alle aziende di avere un accordo di trattamento dei dati, non istituirne uno può creare rischi di conformità. Secondo il Regolamento generale sulla protezione dei dati, i titolari di trattamento e i processori possono essere penalizzati se non rispettano gli obblighi di protezione dei dati, inclusi i requisiti relativi agli accordi tra controller e processore.
- Se si verifica una violazione dei dati e i regolatori rilevano che un'organizzazione non è conforme a questo, possono intraprendere azioni di esecuzione. Le azioni potenziali possono includere:
-
- Un avvertimento formale o un rimprovero
- Restrizioni temporanee o permanenti sulle attività di elaborazione dei dati
- Sanzioni amministrative fino a 20 milioni di euro o al 4% del ricambio mondiale totale annuo dell'azienda, a seconda di quale sia la più alta
-
- Le conseguenze specifiche dipendono dalla natura della violazione, dall'impatto sugli individui colpiti e dalla risposta dell'organizzazione. In ogni caso, la mancata conformità può creare sfide operative e reputazionali.
Gestire i DPA tra più fornitori, giurisdizioni e team interni può creare ulteriori sfide amministrative per le aziende in crescita.
Senza una supervisione chiara, molti faticano a individuare le lacune nelle pratiche di protezione dei dati e rispondono rapidamente quando sorgono problemi di privacy.
Stabilire un approccio strutturato agli accordi di elaborazione dei dati può aiutare le aziende a migliorare la visibilità, rimanere coerenti e sostenere una crescita responsabile oltre i confini.
Costruisci team globali con G-P
Quando costruisci team internazionali, la privacy dei dati è una considerazione importante. Collabora con G-P per supportare le tue esigenze occupazionali transfrontaliere. La nostra Piattaforma Globale di Occupazione (piattaforma di occupazione globale) aiuta le aziende ad™ assumere, inserire, gestire e pagare professionisti in tutto il mondo mentre affrontano i requisiti di impiego.
Avere i processi e le competenze giuste può aiutare la tua organizzazione a gestire le considerazioni sulla privacy dei dati man mano che cresci. Come Employer of Record globale, G-P ti aiuta ad assumere e pagare talento in 180+ paesi senza creare entità locali. Prendiamo molto sul serio la privacy dei dati, aiutando aziende come la tua a supportare i processi di impiego internazionali e a gestire le esigenze di lavoro locali.
Da G-P, ti aiutiamo a semplificare i tuoi processi di assunzione combinando tecnologia con competenze umane. Utilizzando la nostra Piattaforma™ Globale di Occupazione (piattaforma di occupazione globale), puoi assumere e inserire i tuoi nuovi membri team in modo più efficiente, risparmiando tempo e semplificando il tuo approccio alla crescita.
Richiedi una proposta oggi stesso o contattaci per scoprire come G-P può supportare la tua strategia globale di assunzione.
Domande frequenti
Quando non è richiesto un DPA per le aziende globali?
Un DPA non è necessario quando una terza parte non elabora dati personali per conto di un'azienda. I controller indipendenti, alcuni fornitori di servizi professionali e le aziende che accedono ai dati sotto la propria autorità legale possono avere responsabilità di privacy separate. La necessità di un DPA dipende dal ruolo di ciascuna parte e da come gestiscono i dati.
Controller vs processore: come si fa a capire chi sei?
La differenza tra i due ruoli dipende da chi determina come e perché i dati vengono elaborati. I responsabili decidono lo scopo del trattamento e come viene utilizzato, mentre i processori gestiscono i dati per conto del controller seguendo le loro istruzioni.
Cos'è un Accordo di Trattamento dei Dati (DPA)?
Un accordo di trattamento dei dati è un contratto tra un responsabile dei dati e un responsabile dei dati che definisce come le parti gestiranno i dati personali. Essa delinea l'ambito del trattamento, copre le misure di sicurezza e definisce il ruolo di ciascuna parte nella relazione
Quando è richiesta una DPA per le aziende globali?
Le aziende hanno bisogno di un DPA quando condividono i dati con una terza parte che li elabora per loro conto, stabilendo un rapporto controller-processore. I dettagli dell'accordo dipenderanno dalle leggi sulla privacy applicabili, dalle aziende coinvolte e dalla natura del trattamento dei dati.