Tra le domande che riceviamo più spesso da aziende, professionisti ed enti pubblici c'è quella relativa al Data Processing Agreement (DPA): è necessario sottoscriverlo per la semplice registrazione di un nome a dominio?
La risposta è no: non solo non è necessario, ma non è neppure possibiile.
Vediamo perché.
Cos'è un DPA?
Il Data Processing Agreement (DPA), o Accordo sul Trattamento dei Dati, è il contratto previsto dall'articolo 28 del Regolamento (UE) 2016/679 (GDPR) che disciplina il rapporto tra:
- Titolare del trattamento (Data Controller), ovvero chi decide finalità e modalità del trattamento dei dati personali;
- Responsabile del trattamento (Data Processor), ovvero chi tratta tali dati esclusivamente per conto del Titolare e seguendo le sue istruzioni.
Il DPA è quindi necessario solo quando esiste un rapporto di questo tipo.
La registrazione di un dominio è un caso particolare
Nel caso della semplice registrazione di un nome a dominio, la situazione è diversa rispetto a servizi come hosting o posta elettronica.
Quando viene registrato un dominio, il Registrar raccoglie alcuni dati del Registrant (ad esempio nome, indirizzo, indirizzo e-mail e recapiti) perché tali informazioni sono richieste dalle regole del Registry competente e dalla normativa applicabile.
Questi dati vengono utilizzati per:
- identificare il titolare del dominio;
- mantenere il registro dei nomi a dominio;
- gestire rinnovi, trasferimenti e variazioni;
- adempiere agli obblighi previsti dalle policy del Registry;
- rispettare eventuali obblighi di legge o richieste delle autorità competenti.
In questo contesto il Registrar non tratta i dati seguendo le istruzioni del cliente, ma in forza di propri obblighi contrattuali e normativi.
Per questo motivo opera si come Responsabile del trattamento, ma nei confronti del Registry, e non del Cliente.
Un esempio pratico
Supponiamo che Mario Rossi registri il dominio miodominio.it
I dati necessari alla registrazione vengono trattati da diversi soggetti, ad esempio:
- l’eventuale Reseller, in forza di un contratto esistente tra sé ed il sig. Mario Rossi;
- DomainRegister, in qualità di registrar accreditato presso il Registry nic.it;
- nic.it,, in qualità di Registry competente per l'estensione .it.
Ciascuno di questi soggetti tratta i dati personali nell'ambito delle proprie responsabilità e dei propri obblighi.
Il cliente o il Reseller o DomainRegister non possono, ad esempio:
- decidere quali dati debbano essere raccolti;
- chiedere che vengano conservati per un periodo diverso da quello previsto;
- stabilire le modalità di verifica dell'identità del registrante;
- modificare le procedure previste dalle policy del Registry.
Queste decisioni sono stabilite dai Registry, dagli accordi di accreditamento e dalla normativa vigente.
Per questo motivo, nella semplice registrazione di un dominio, non si configura normalmente il rapporto "Titolare → Responsabile del trattamento" previsto dall'articolo 28 del GDPR.
Quando invece il DPA è necessario?
La situazione cambia quando il provider eroga servizi che comportano il trattamento di dati personali per conto del cliente.
È il caso, ad esempio, di:
- hosting condiviso;
- server VPS;
- server dedicati;
- caselle e-mail;
- cloud storage;
- servizi di backup;
- piattaforme applicative o SaaS.
In questi casi il cliente decide quali dati memorizzare, come utilizzarli e per quali finalità.
Il provider mette semplicemente a disposizione l'infrastruttura tecnica e tratta tali dati seguendo le istruzioni del cliente.
Qui il rapporto previsto dall'articolo 28 del GDPR è normalmente presente e il DPA può diventare necessario.
NOTA: normalmente in queste situazioni, qualora sia necessaria la formalizzazione di un DPA, lo stesso viene steso sulle specifiche del fornitore, sempreché queste specifiche soddisfino quelle del Cliente. Nel caso di esigenze particolari da parte del Cliente, il DPA verrà integrato all’interno di uno specifico contratto di servizio, che regolerà anche l’aspetto economico legato ai maggiori costi di servizio determinati dalle particolari esigenze del cliente.
Un esempio
Immaginiamo un'azienda che registra il dominio:
azienda.it
Successivamente acquista anche un servizio di hosting e pubblica un sito contenente:
- moduli di contatto;
- dati dei clienti;
- ordini;
- documentazione riservata.
In questo caso:
- l'azienda è il Titolare del trattamento, perché decide quali dati raccogliere e per quali finalità;
- il provider di hosting è il Responsabile del trattamento, perché conserva tali dati sui propri sistemi per conto del cliente.
Per il servizio di hosting sarà quindi normalmente opportuno disciplinare il rapporto mediante un DPA.
DomainRegister e il GDPR
Per la sola registrazione di un nome a dominio, DomainRegister tratta i dati personali necessari alla registrazione generalmente in qualità (direttamente o indirettamente) di Responsabile del Trattamento per conto del Registry competente, conformemente alle policy dei Registry e agli obblighi previsti dalla normativa applicabile.
Per i servizi che comportano invece il trattamento di dati personali per conto del cliente (ad esempio hosting, VPS, posta elettronica, backup e servizi analoghi), il rapporto può rientrare nell'ambito dell'articolo 28 del GDPR e, ove necessario, essere disciplinato mediante un apposito Data Processing Agreement (DPA).
