L'oscuramento di un contratto di responsabile del trattamento rimuove gli identificatori di titolare e responsabile e dei rispettivi rappresentanti. L'art. 28, paragrafo 3, del GDPR elenca il contenuto minimo dell'atto: oggetto, durata, natura e finalità del trattamento, tipi di dati, categorie di interessati, istruzioni documentate, riservatezza, sicurezza, ricorso a sub-responsabili, assistenza al titolare, sorte dei dati al termine e verifiche. Le Linee guida EDPB 07/2020 chiariscono quando un soggetto è responsabile e quando è titolare autonomo. Sul versante interno, l'art. 2-quaterdecies del Codice Privacy regola l'attribuzione di compiti alle persone che agiscono sotto l'autorità del titolare. anonym.plus permette di ricavare un modello riutilizzabile in locale, lasciando quelle clausole intatte.
Quando si applica
Una direzione legale vuole ricavare un modello da un DPA già sottoscritto con un fornitore cloud. L'atto contiene l'elenco dei sub-responsabili e, per quelli fuori dallo Spazio economico europeo, il rinvio alle clausole contrattuali tipo. Nomi dei rappresentanti, codici fiscali e recapiti vanno rimossi prima di proporre il modello ad altri fornitori.
Come lo gestisce anonym.plus
- Apri il DPA in anonym.plus, sul tuo dispositivo.
- Lo strumento separa le clausole richieste dall'art. 28 dagli identificatori di parte.
- Rappresentanti legali, codici fiscali, partite IVA e indirizzi vengono raggruppati.
- Verifica le marcature e conferma le voci per ciascuna parte.
- Applica sostituzione per il modello o oscuramento per il fascicolo.
- Salva la copia sanificata senza trasmissione di rete.
Cosa serve fornire
- Il DPA (PDF, DOCX o TXT).
- Un'operazione: sostituzione per il modello, oscuramento per il fascicolo.
- Opzionale: elenco di clausole standard da conservare invariate.
Tipi di entità rilevati nei documenti legali
| Categoria | Tipo di entità anonym.plus | Esempio |
|---|---|---|
| Titolare | ORGANIZATION | TechSoluzioni Italia S.r.l. → [TITOLARE] |
| Responsabile | ORGANIZATION | Cloud Hosting Europe S.p.A. → [RESPONSABILE] |
| Rappresentante | PERSON | Avv. Andrea Bianchi → [RAPPRESENTANTE] |
| Codice fiscale | IT_FISCAL_CODE | BNCNDR75C01H501K → [CF] |
| Sede legale | LOCATION | Via della Scienza 10, 20147 Milano → [INDIRIZZO] |
| EMAIL_ADDRESS | a.bianchi@techsoluzioni.it → [EMAIL] |
Conformità raggiunta
- Protezione dei dati — le voci richieste dal GDPR art. 28, par. 3 restano nel modello: si toglie chi sono le parti, non che cosa si sono impegnate a fare.
- Ruoli e responsabilità — le Linee guida EDPB 07/2020 distinguono responsabile e titolare autonomo, mentre l'art. 2-quaterdecies del Codice Privacy copre chi agisce sotto l'autorità del titolare.
- Trasferimenti e sub-responsabili — l'elenco dei sub-responsabili è identificativo; per quelli fuori dallo Spazio economico europeo il rinvio alla Decisione di esecuzione (UE) 2021/914 resta leggibile, perché descrive la garanzia e non il soggetto.
- Sicurezza del trattamento — nessun passaggio cloud, le clausole non vengono trasmesse a terzi; AES-256-GCM cifra i file di lavoro a riposo (GDPR art. 32).
Anonimizza contratti di responsabile del trattamento (DPA) offline — vedi piani & inizia gratis →
Limiti & avvertenze
Gli allegati di un DPA descrivono categorie di dati e misure di sicurezza in modo così specifico da identificare il fornitore anche senza il nome. Rileggi gli allegati prima di far circolare il modello.
Domande frequenti
Le clausole richieste dall'art. 28 restano leggibili dopo l'oscuramento?
Sì. Spariscono solo gli identificatori delle parti; istruzioni documentate, misure di sicurezza, obblighi sui sub-responsabili e diritti degli interessati restano invariati.
Che cosa aggiunge l'art. 2-quaterdecies del Codice Privacy?
Riguarda il livello interno: consente al titolare o al responsabile di attribuire compiti specifici alle persone che agiscono sotto la loro autorità. È una designazione interna, distinta dal contratto con un fornitore esterno.
Il modello può essere usato con qualsiasi fornitore?
Come base sì, una volta rimossi gli identificatori. Le clausole vanno però riadattate al trattamento concreto: oggetto, durata e categorie di dati cambiano da fornitore a fornitore.