Modello pronto per studi: nomina del responsabile del trattamento dati

Modello operativo e checklist per nominare il responsabile del trattamento dati nello studio. Indicazioni su sub-responsabili, trasferimenti extra UE e...

5 set 2026

Modello pronto per studi: nomina del responsabile del trattamento dati

La nomina del responsabile del trattamento dati è obbligatoria quando un fornitore esterno tratta dati per conto del titolare, e deve avvenire per iscritto: lo impone l’art. 28 del GDPR. L’atto deve specificare natura, durata e finalità del trattamento, i tipi di dati coinvolti e le categorie di interessati. Più avanti trovi un modello operativo pronto da adattare al tuo studio o alla tua azienda.

In breve:
La nomina del responsabile del trattamento è obbligatoria solo per soggetti esterni che trattano dati per conto del titolare, non per il personale interno autorizzato.
Il titolare deve individuare, valutare e formalizzare l’incarico, verificando che il candidato offra adeguate garanzie di sicurezza tecnica e organizzativa.
L’atto scritto deve includere materia, durata, finalità, categorie di dati e interessati, istruzioni del titolare, misure di sicurezza e modalità di restituzione o cancellazione dei dati.
Per i sub-responsabili, occorre un’autorizzazione scritta del titolare e il rispetto di regole di informativa, notifica e responsabilità contrattuale, con possibilità di opporsi ai cambiamenti.
La mancanza di un atto formalizzato può comportare sanzioni e difficoltà nel dimostrare la conformità durante controlli o incidenti.

TreatbaseSemplifica la gestione dello studioTreatbase riduce trascrizioni manuali e gestione cartacea, aiutando gli studi dentistici a lavorare con maggiore efficienza.Scopri Treatbase

Indice

Che cos’è la nomina del responsabile del trattamento e quando va fatta
Chi nomina e chi può essere nominato: soggetti e responsabilità
Elementi essenziali dell’atto di nomina: cosa includere e come redigerlo
Obblighi del responsabile e garanzie da verificare in fase di nomina
Sub-responsabili: come gestire la catena e il diritto di opposizione del titolare
Modello pratico: schema di atto di nomina passo per passo
Casi speciali: trasferimenti extra-UE e trattamenti su larga scala
Checklist operativa prima di formalizzare la nomina
Rischi e responsabilità in caso di nomina mancante o scorretta
Risorse ufficiali per verificare la normativa
Perché la nomina non è solo carta: una prospettiva pratica
Come un software gestionale può semplificare la gestione documentale dei dati clinici
Fonti

Che cos’è la nomina del responsabile del trattamento e quando va fatta

Il responsabile del trattamento, secondo l’art. 4 del GDPR, è il soggetto che tratta dati personali per conto del titolare, seguendo le sue istruzioni. Il titolare resta il decisore: stabilisce finalità e mezzi del trattamento, mentre il responsabile esegue.

Nella pratica quotidiana di uno studio o di un’azienda, la nomina scatta ogni volta che un soggetto esterno accede a dati personali per svolgere un servizio. Alcuni esempi ricorrenti:

Il fornitore che gestisce l’infrastruttura cloud o il gestionale in uso
Lo studio di consulenza che elabora le buste paga
L’azienda che offre hosting per il sito o per le email
Il partner che gestisce il backup o la sicurezza informatica

Non serve invece alcuna nomina per il personale interno autorizzato al trattamento (dipendenti, collaboratori diretti): in quel caso si parla di autorizzazione al trattamento, non di responsabile esterno, perché non c’è un soggetto terzo distinto dal titolare.

Chi nomina e chi può essere nominato: soggetti e responsabilità

Il titolare del trattamento ha l’onere di individuare, valutare e formalizzare la nomina. Non è una scelta delegabile a cuor leggero: prima di firmare, deve verificare che il candidato offra garanzie adeguate su misure tecniche e organizzative, come richiede l’art. 28 par. 1 del GDPR.

Chi può ricevere l’incarico? In pratica, quasi ogni tipo di struttura:

Persone giuridiche, come società di servizi IT o studi di commercialisti
Piccole e medie imprese che offrono servizi in outsourcing
Enti pubblici che trattano dati per conto di altre amministrazioni
Consulenti e liberi professionisti che accedono a dati per svolgere un incarico specifico

È utile distinguere subito due figure che si confondono spesso: il responsabile esterno del trattamento è un soggetto terzo, giuridicamente distinto dal titolare, mentre il personale autorizzato interno lavora sotto la diretta autorità del titolare stesso e non richiede un atto di nomina separato.

Elementi essenziali dell’atto di nomina: cosa includere e come redigerlo

L’art. 28 par. 3 del GDPR elenca in modo puntuale cosa deve contenere l’atto scritto. Non è un elenco facoltativo: mancare uno di questi punti espone l’accordo a contestazioni in caso di controllo o di data breach.

Materia, durata e finalità del trattamento. Specifica per quanto tempo e per quale scopo esatto il responsabile tratterà i dati, evitando formule generiche come “per finalità aziendali”.
Categorie di dati e di interessati. Elenca se si tratta di dati comuni, sensibili o giudiziari, e chi sono i soggetti coinvolti (dipendenti, clienti, pazienti).
Istruzioni documentate del titolare. Il responsabile può trattare i dati solo secondo indicazioni scritte, mai discrezionalmente.
Misure tecniche e organizzative. Vanno descritte con precisione, non richiamate in modo vago.
Clausole di restituzione o cancellazione dei dati. Al termine del contratto, l’accordo deve stabilire cosa succede ai dati residui.

Un consiglio: evita di copiare clausole generiche da modelli trovati online senza adattarle. Un’istruzione come “trattare i dati secondo la normativa vigente” non basta: l’EDPB chiede istruzioni operative concrete, verificabili in caso di ispezione.

Obblighi del responsabile e garanzie da verificare in fase di nomina

Prima di firmare, il titolare deve controllare che il responsabile offra garanzie sufficienti, come richiesto dall’art. 28 par. 1 del GDPR. Non basta un’autocertificazione: servono elementi verificabili.

Le misure tecniche da richiedere in modo esplicito comprendono:

Cifratura dei dati a riposo e in transito
Sistemi di backup regolari con test di ripristino
Controllo degli accessi basato su ruoli e log delle attività
Formazione periodica del personale che tratta i dati
Impegni di riservatezza firmati da ogni collaboratore coinvolto
Un registro delle attività di trattamento aggiornato

Le linee guida dell’EDPB indicano che l’atto di nomina è il pilastro contrattuale che definisce il perimetro delle responsabilità, e raccomandano di verificare periodicamente anche i fornitori a monte del responsabile.

Un consiglio: inserisci nell’accordo una clausola di audit con accesso ai log e alle prove di cifratura. Senza questa possibilità, verificare le garanzie promesse resta un atto di fede, non un controllo.

Sub-responsabili: come gestire la catena e il diritto di opposizione del titolare

Il responsabile non può subappaltare il trattamento a piacimento. L’art. 28, par. 2 e 4, richiede un’autorizzazione scritta del titolare, che può essere specifica (per ogni singolo sub-fornitore) o generale (valida per una categoria di fornitori).

Con l’autorizzazione generale, il responsabile deve comunque:

Informare il titolare di ogni cambiamento previsto riguardante i sub-responsabili
Concedere un termine ragionevole al titolare per opporsi alla modifica, spesso fissato contrattualmente in 30 giorni
Imporre al sub-responsabile obblighi equivalenti a quelli assunti nell’atto principale
Rimanere pienamente responsabile verso il titolare per l’operato del sub-responsabile

Le clausole contrattuali devono chiarire chi risponde in caso di violazione da parte del sub-fornitore: una lacuna qui è una delle cause più frequenti di contenziosi tra titolare e responsabile in caso di incidente.

Modello pratico: schema di atto di nomina passo per passo

Un atto di nomina ben scritto segue una struttura ricorrente, che puoi adattare al tuo settore. Ecco l’indice consigliato:

Premesse. Identificazione delle parti, riferimento al contratto principale di servizio.
Oggetto e durata. Descrizione sintetica dell’incarico e del periodo di validità.
Istruzioni del titolare. Elenco puntuale delle operazioni autorizzate.
Misure di sicurezza. Rimando a un allegato tecnico dettagliato.
Sub-responsabili. Regole di autorizzazione e notifica.
Restituzione e cancellazione dei dati. Tempistiche e modalità al termine del rapporto.
Allegati obbligatori. Elenco dei trattamenti, misure tecniche, eventuali certificazioni di sicurezza.

Un esempio reale di questa struttura è consultabile nell’accordo di nomina pubblicato dal CREA, che contiene clausole tipo su restituzione dei dati, audit e responsabilità dei subfornitura.

Sul piano operativo, l’accettazione può avvenire con firma digitale qualificata o firma elettronica avanzata, purché il sistema conservi una prova certa di data e identità del firmatario. Conserva l’originale insieme agli allegati tecnici per tutta la durata del rapporto contrattuale, e oltre.

Casi speciali: trasferimenti extra-UE e trattamenti su larga scala

Se il responsabile trasferisce dati fuori dallo Spazio Economico Europeo, l’atto di nomina non basta da solo: serve integrarlo con clausole contrattuali standard (SCC) o altre garanzie equivalenti riconosciute dalla normativa europea.

Per trattamenti su larga scala, o particolarmente delicati, conviene rafforzare l’accordo con elementi aggiuntivi:

Una valutazione d’impatto (DPIA) condivisa con il fornitore prima dell’avvio del servizio
Audit periodici più approfonditi, con verifica documentale delle misure dichiarate
Una polizza di responsabilità informatica (cyber liability) con massimale adeguato al rischio

Come osserva ESG360, questo tipo di integrazione è particolarmente rilevante per fornitori cloud e per servizi sanitari, dove il volume e la sensibilità dei dati trattati alzano sensibilmente il livello di rischio in caso di incidente.

Checklist operativa prima di formalizzare la nomina

Prima di scrivere l’atto, raccogli tutte le informazioni necessarie: evita di scoprire lacune a metà redazione.

Dati identificativi completi di titolare e responsabile (ragione sociale, sede, referente privacy)
Elenco dettagliato dei trattamenti affidati, con categorie di dati e finalità specifiche
Categorie di interessati coinvolti (dipendenti, clienti, pazienti, fornitori)
Documentazione di sicurezza del fornitore: certificazioni, report di audit, politiche interne
Elenco degli eventuali sub-responsabili già coinvolti nel servizio
Modalità previste per la restituzione o cancellazione dei dati a fine rapporto

Con questa lista pronta, la stesura dell’atto diventa un lavoro di compilazione, non di improvvisazione.

Rischi e responsabilità in caso di nomina mancante o scorretta

L’assenza dell’atto scritto non esonera nessuno dalle responsabilità già esistenti nel rapporto di trattamento: lo confermano i commentari giuridici sull’art. 28. In pratica, titolare e responsabile possono trovarsi entrambi esposti a sanzioni amministrative e, in alcuni casi, a responsabilità solidale verso gli interessati danneggiati.

Il vero problema emerge in caso di data breach o ispezione: senza un atto formalizzato, ricostruire chi doveva fare cosa diventa complicato, e la mancanza di prove documentali aggrava la posizione di entrambe le parti. Un’assicurazione di responsabilità informatica e audit periodici restano le misure più concrete per mitigare il rischio.

Risorse ufficiali per verificare la normativa

Per approfondire o scaricare modelli, queste fonti restano il punto di riferimento più solido:

Il testo dell’art. 28 del GDPR con commento pratico
Le linee guida EDPB su titolare e responsabile
Il modello di accordo pubblicato dal CREA come esempio concreto

Perché la nomina non è solo carta: una prospettiva pratica

Un atto di nomina ben fatto non serve solo a evitare sanzioni: diventa la prova che uno studio può mostrare in caso di audit o di controllo del Garante. Chi gestisce dati clinici può trovare valore in strumenti che documentano automaticamente accessi e trattamenti, rendendo più semplice dimostrare le garanzie promesse nell’atto.

— Matteo

Come un software gestionale può semplificare la gestione documentale dei dati clinici

Un software gestionale può essere un alleato pratico per uno studio dentistico che deve dimostrare, non solo dichiarare, le garanzie previste dall’atto di nomina: ogni accesso ai dati dei pazienti può essere registrato automaticamente, senza fogli sparsi o cartelle cartacee da tenere in ordine manualmente.

Il software gestisce le cartelle cliniche dei pazienti con un tracciamento continuo delle attività, utile proprio nei momenti in cui il titolare deve dimostrare al Garante o a un cliente che le misure tecniche descritte nell’atto di nomina sono realmente in vigore. Anche la gestione dei pagamenti segue lo stesso principio: dati sensibili trattati con log verificabili, non con appunti sparsi tra software diversi.

Questo articolo non costituisce parere legale: per la redazione definitiva dell’atto di nomina, rivolgiti a un legale specializzato in protezione dei dati. Per vedere come Treatbase organizza la parte documentale della tua attività quotidiana, scopri la piattaforma e valuta una prova diretta con i dati del tuo studio.

Fonti

Raccomandati

‹ Bollo elettronico in fattura: quando serve e come applicarlo