ART. 26 Regolamento UE 679 /2016 – Contitolarità

Il Regolamento - GDPR - all’art. 26, regola la situazione di contitolarità nel trattamento dei dati personali, ossia quando due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento stesso.

Per definire la contitolarità occorre comunque partire dalla definizione di “Titolare del trattamento” (Data Controler – DC), di cui all’art. 4 nr. 7) del Regolamento UE, ovvero la figura giuridica (persona fisica o giuridica, quindi l’ente o l’impresa) che, in maniera indipendente e autonoma, prende decisioni, determina e controlla lo scopo e le modalità attraverso cui deve essere svolto il trattamento dei dati personali.

 

Già a suo tempo il Garante della Privacy, nella Circolare n. 291/S del 13 novembre 1997 aveva fatto cenno ad alcune circostanze in cui due soggetti, cooperando insieme in materia di privacy, possono essere definiti entrambi titolari del trattamento.

Passando a situazioni concrete, si pensi, ad esempio, al caso in cui vari attori eseguono simultaneamente operazioni aziendali su dati personali di natura complementare al fine di fornire servizi ai consumatori.

 

In presenza di due o più contitolari, verificato se e chi delle due ricopre il ruolo di responsabile del trattamento (art, 4 nr. 8 Data Processor – DP), il Regolamento obbliga a regolare il loro rapporto attraverso un contratto interno in cui è necessario disciplinare:

  • le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal Regolamento;
  • i rispettivi obblighi in merito all’esercizio dei diritti dell’interessato;
  • le rispettive funzioni relativamente alla comunicazione dell’informativa;
  • indicare un punto di contatto per gli interessati.

Il testo di tale accordo, anche in forma sintetica, deve essere messo a disposizione degli interessati anche pubblicandolo sul sito web dei contitolari del trattamento.

 

Su entrambi i contitolari gravano le medesime responsabilità e dunque entrambi sono passibili delle sanzioni previste per i Titolari del trattamento.

Nella situazione di contitolarità, l’interessato può esercitare i propri diritti, ai sensi del Regolamento, nei confronti di e contro ciascun titolare del trattamento, avendo il diritto di ricorrere indistintamente ad uno dei due soggetti.

Per quanto concerne le informative e la privacy policy, queste possono essere redatte in maniera congiunta, precisando la contitolarità del trattamento; non essendovi disposizioni specifiche sul punto, si ritiene, infatti, che il legislatore europeo abbia preferito lasciare gli attori autonomi nella gestione di questa parte di obblighi.