Cambio fornitori: cosa fare con i contratti DPA?

No, non puoi firmare il modello DPA standard del nuovo fornitore senza verifiche: il GDPR richiede che il contratto sia personalizzato sulle tue istruzioni specifiche, i tipi di dati trattati e i rischi identificati. Un modello generico potrebbe omettere elementi obbligatori come procedure precise di notifica breach, gestione sub-responsabili, assistenza per diritti degli interessati o modalità sicure di migrazione dati dal vecchio CRM. Fai controllare il documento da un DPO o legale specializzato per integrarlo con clausole su sicurezza, audit, trasferimenti extra-UE e portabilità dati, altrimenti rischi sanzioni fino a 20 milioni o 4% del fatturato globale. La personalizzazione non è opzionale ma condizione di conformità e responsabilità.

Risposta plausibile, ma non verificata sul tuo caso

Non devi rifare tutti i contratti DPA esistenti, ma è obbligatorio stipulare un nuovo DPA con il fornitore cloud prima dell'avvio del servizio per rispettare l'art. 28 GDPR. Se il nuovo fornitore inizia a trattare dati senza contratto firmato, rischi sanzioni fino al 4% del fatturato globale. Con tre settimane di tempo, firma immediatamente il DPA o usa una versione provvisoria documentando l'impegno a completarla subito. Verifica anche che il contratto con il vecchio fornitore preveda clausole di portabilità dati per evitare blocchi o costi extra durante la migrazione.

Risposta plausibile, ma non verificata sul tuo caso

Se cambi fornitore di call center, non devi rifare i DPA esistenti con gli altri fornitori: ogni contratto DPA vale specificamente per il responsabile del trattamento a cui si riferisce. Per il nuovo call center serve un DPA dedicato, obbligatorio per legge anche se il fornitore non ha un modello proprio. Oltre alla consulenza iniziale per redigere il DPA da zero (1.000-3.000 euro per PMI), devi preventivare costi aggiuntivi come negoziazione con il fornitore (500-1.500 euro), eventuali integrazioni tecniche per misure di sicurezza (1.000-5.000 euro), revisione con DPO o legale del fornitore (300-800 euro l'ora per 2-4 ore) e gestione clausole su eventuali sub-fornitori (500-2.000 euro). Complessivamente, per un DPA personalizzato da zero il costo totale stimato varia tra 3.000 e 10.000 euro, con importi maggiori per call center che trattano dati ad alto rischio.

Risposta plausibile, ma non verificata sul tuo caso

No, non devi rifare tutti i contratti da zero, ma ogni nuovo fornitore richiede un DPA conforme all'articolo 28 del GDPR. I punti irrinunciabili sono: istruzioni scritte del titolare, misure di sicurezza adeguate, obbligo di confidenzialità del personale, assistenza per richieste degli interessati e notifiche di violazioni entro 72 ore, gestione dei sub-responsabili con consenso preventivo, restituzione o cancellazione dei dati a fine contratto, e diritto del titolare di effettuare audit. Se il DPA di tre pagine del fornitore omette anche solo uno di questi elementi obbligatori non è conforme: come titolare del trattamento sei responsabile della scelta di responsabili idonei, quindi richiedi integrazioni o rifiuta il contratto incompleto.

Risposta plausibile, ma non verificata sul tuo caso

L'assenza di un DPA finalizzato con il nuovo fornitore software costituisce una violazione dell'articolo 28 GDPR che espone a sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo globale. In caso di controllo del Garante, lei come titolare del trattamento assume responsabilità diretta per eventuali violazioni, data breach o trattamenti non autorizzati commessi dal fornitore, con rischio di danni reputazionali e obbligo di risarcimento verso gli interessati. Il Garante può inoltre ordinare la sospensione immediata del trattamento dati, bloccando l'uso del software e paralizzando le attività aziendali. La giurisprudenza recente conferma che le sanzioni vengono irrogate anche durante negoziazioni contrattuali se il servizio è già attivo senza DPA. È urgente finalizzare il contratto con clausole su data breach, sub-fornitori e misure di sicurezza, eventualmente sospendendo temporaneamente l'uso per dati sensibili fino alla firma definitiva.

Risposta plausibile, ma non verificata sul tuo caso

Quando cambiate fornitore che tratta dati per vostro conto non dovete comunicare nulla al Garante Privacy. È sufficiente aggiornare il registro dei trattamenti interno, come previsto dall'articolo 30 del GDPR, documentando il nuovo responsabile del trattamento. Dovrete stipulare un nuovo contratto DPA con il fornitore entrante secondo l'articolo 28 del GDPR, ma si tratta di un adempimento interno tra voi e il responsabile. Le comunicazioni obbligatorie al Garante riguardano solo la nomina o revoca del DPO e casi eccezionali come trasferimenti di dati extra-UE.

Risposta plausibile, ma non verificata sul tuo caso

Non devi rifare tutti i contratti DPA: ti serve solo un nuovo DPA con il nuovo fornitore, mentre quello con il vecchio decade alla fine del rapporto. Durante la transizione, se i dati passano temporaneamente sui tuoi server non serve un documento particolare, ma è consigliabile documentare internamente la procedura di migrazione per dimostrare la compliance e garantire misure di sicurezza adeguate. Il vecchio fornitore non deve cancellare i dati immediatamente: alla risoluzione del contratto deve restituirli o cancellarli su tua istruzione specifica, entro un termine ragionevole previsto dal DPA, fornendo prova della cancellazione. Includi nei DPA clausole chiare su assistenza alla migrazione e procedura di cancellazione dati per gestire al meglio le transizioni future.

Risposta plausibile, ma non verificata sul tuo caso

Sì, dovete stipulare un nuovo DPA perché ogni accordo deve essere specifico per il trattamento concreto svolto da quel particolare fornitore. Con un fornitore UK-USA il DPA richiede clausole aggiuntive rispetto a uno italiano: dovete includere le Clausole Contrattuali Tipo per legittimare i trasferimenti extra-UE e condurre una valutazione del livello di protezione garantito dai paesi destinatari (Transfer Impact Assessment), particolarmente complessa per gli USA. I rischi principali riguardano la conformità normativa variabile post-Brexit, la necessità di verificare meccanismi legittimi per i trasferimenti verso paesi terzi e la possibile limitata negoziabilità dei contratti standardizzati dei grandi provider cloud internazionali.

Risposta plausibile, ma non verificata sul tuo caso