Responsabili Esterni

Gestione dei soggetti terzi e dei fornitori qualificati come Responsabili del Trattamento (Art. 28 GDPR).

La sezione **Responsabili Esterni** consente di censire e gestire i soggetti terzi che trattano dati personali per conto dell'organizzazione titolare del trattamento, nella veste di Responsabili del Trattamento ai sensi dell'art. 28 GDPR.

Sono tipicamente Responsabili Esterni: fornitori di servizi cloud, consulenti che accedono a dati personali, software house con accesso ai sistemi, studi di elaborazione paghe, agenzie di marketing che gestiscono contatti, ecc.

Il censimento di questi soggetti in GDPRLab permette di:
* Associarli ai Trattamenti in cui sono coinvolti.
* Collegarli alle Nomine (atto di nomina a Responsabile ex art. 28 GDPR).
* Mantenere un registro aggiornato dei fornitori che trattano dati per conto del titolare.

Si accede cliccando su **Responsabili Esterni** nel menu laterale sinistro.

---

### 1. Vista elenco
La pagina mostra la lista di tutti i Responsabili Esterni censiti in formato tabella con le seguenti colonne:

La tabella supporta la paginazione con navigazione tramite i pulsanti « ‹ › ». L'unico pulsante di azione disponibile nella pagina principale è **+ Aggiungi** in alto a destra.

---

### 2. Form "Nuovo Responsabile Esterno"
Cliccando su **+ Aggiungi** si apre la modale di inserimento. Tutti i campi contrassegnati con asterisco (*) sono obbligatori.

| Campo | Obbligatorio | Contenuto atteso / Esempio |
| :--- | :--- | :--- |
| **Ragione sociale** | Sì ★ | Denominazione legale completa del soggetto (es. Acme S.r.l.) |
| **Via** | Sì ★ | Via e numero civico della sede legale (es. Via Roma 123) |
| **CAP** | Sì ★ | Codice di avviamento postale a 5 cifre (es. 00100) |
| **Provincia** | Sì ★ | Sigla provincia della sede legale (es. RM) |
| **Città** | Sì ★ | Comune della sede legale (es. Roma) |
| **Codice fiscale / Partita IVA** | Sì ★ | CF o P.IVA del soggetto esterno (es. 12345678901) |
| **Email** | Sì ★ | Indirizzo email di riferimento per le comunicazioni formali |
| **Telefono** | No | Numero di telefono del soggetto esterno |
| **Descrizione attività** | No | Testo libero che descrive le attività svolte per conto del titolare (es. *Gestione elaborazione buste paga*, *Hosting e manutenzione applicativo gestionale*) |

> **Nota operativa:** Il campo *Descrizione attività* è facoltativo ma fortemente consigliato: viene riportato nelle Nomine a Responsabile del Trattamento generate dalla piattaforma e contribuisce a qualificare chiaramente il perimetro di responsabilità del soggetto esterno. Compilarlo con precisione rende il documento più robusto in caso di verifica da parte dell'Autorità Garante.

> **Nota operativa:** L'Email è obbligatoria e viene usata come riferimento nelle nomine. Inserire l'indirizzo email istituzionale del responsabile esterno (non un indirizzo personale), preferibilmente quello del referente legale o del DPO del fornitore se disponibile.

---

### 3. Salvataggio
In fondo alla modale sono presenti due pulsanti di convalida:
* **Salva** – crea il record del Responsabile Esterno e lo aggiunge alla lista.
* **Annulla** – chiude la modale senza salvare.

---

### 4. Contesto normativo: il Responsabile del Trattamento ex art. 28 GDPR
Il Responsabile del Trattamento è il soggetto che tratta dati personali per conto del Titolare, sulla base di un contratto o altro atto giuridico vincolante (art. 28 GDPR). Il Titolare è obbligato a:
1. Scegliere solo Responsabili che offrano garanzie sufficienti in termini di misure tecniche e organizzative.
2. Stipulare un contratto (o DPA – Data Processing Agreement) che disciplini il trattamento.
3. Mantenere un registro dei Responsabili del Trattamento nominati.

Il censimento in GDPRLab soddisfa il punto 3 e costituisce la base per la generazione automatica degli atti di nomina (punto 2) tramite la sezione Nomine.

> **Attenzione:** Non tutti i fornitori sono automaticamente Responsabili del Trattamento. Un fornitore è un Responsabile solo se accede o tratta dati personali del Titolare nell'erogazione del servizio. Un fornitore di cancelleria, ad esempio, non è un Responsabile del Trattamento. Censire solo i soggetti che effettivamente trattano dati personali per conto del Titolare.

---

### 5. Workflow consigliato
1. Identificare tutti i fornitori/partner che trattano dati personali per conto dell'organizzazione cliente.
2. Per ogni soggetto, cliccare **+ Aggiungi** e compilare il form con i dati anagrafici completi.
3. Compilare con attenzione il campo **Descrizione attività** per qualificare il perimetro di responsabilità.
4. Dopo il censimento, accedere alla sezione **Nomine** per generare l'atto di nomina a Responsabile ex art. 28.
5. Associare il Responsabile Esterno ai Trattamenti di competenza nella sezione **Trattamenti**.

> **Nota operativa:** Rivedere periodicamente la lista dei Responsabili Esterni: i fornitori cambiano nel tempo. Aggiornare o eliminare i record relativi a fornitori con cui il rapporto si è concluso, e aggiungere i nuovi fornitori prima di avviare il trattamento dei dati.

---

### 6. Relazioni con altre sezioni

| Sezione | Come usa i dati Responsabili Esterni |
| :--- | :--- |
| **Nomine** | I Responsabili Esterni censiti qui sono selezionabili come destinatari dell'atto di nomina a Responsabile del Trattamento ex art. 28 GDPR |
| **Trattamenti** | Ogni trattamento può indicare quali Responsabili Esterni sono coinvolti nel trattamento di quella categoria di dati |
| **Registro Trattamenti** | Il Registro ex art. 30 riporta i Responsabili del Trattamento nominati per ciascun trattamento |
| **DPIA** | La valutazione d'impatto considera l'eventuale coinvolgimento di responsabili esterni nel trattamento oggetto di valutazione |