Indice
In questa pagina è disponibile un fac simile di clausola privacy per contratti commerciali in formato Doc, modificabile con Word o con un programma compatibile. Il modello serve a disciplinare e descrivere il trattamento dei dati personali collegato alla gestione di un rapporto contrattuale tra imprese, professionisti o altri operatori economici.
Il fac simile può essere consultato prima del download e deve essere completato con i dati reali del titolare del trattamento, le finalità, le basi giuridiche, i destinatari e i criteri di conservazione applicabili. Dopo il download sono riportate indicazioni per adattare correttamente la clausola e per riconoscere i casi nei quali una semplice informativa contrattuale non è sufficiente.
A cosa serve la clausola privacy nei contratti commerciali
La clausola privacy viene inserita nel contratto, oppure richiamata attraverso un’informativa allegata, per comunicare alle persone interessate come saranno trattati i dati personali acquisiti nell’ambito del rapporto commerciale. Possono essere interessati, per esempio, un professionista che stipula il contratto personalmente oppure rappresentanti, referenti, dipendenti e collaboratori delle imprese contraenti.
Il GDPR riguarda i dati riferibili a persone fisiche e non, in quanto tali, i dati di una società o di un’altra persona giuridica. Restano però dati personali le informazioni professionali che identificano una persona, come un indirizzo email nominativo o il recapito diretto di un dipendente. Questa distinzione è chiarita anche dalla Commissione europea sull’applicazione del GDPR alle imprese.
Il modello seguente è pensato principalmente per il caso nel quale una parte tratta i dati per proprie finalità connesse al contratto e opera quindi come titolare del trattamento. Se, invece, una parte tratta dati personali per conto e secondo le istruzioni dell’altra, occorre verificare il rapporto titolare-responsabile previsto dall’art. 28 del GDPR e predisporre il relativo contratto o atto giuridico.
Fac simile clausola privacy contratti commerciali
Il testo deve essere completato con le informazioni effettive del trattamento. Dove sono indicate alternative, prima di utilizzare la clausola occorre mantenere esclusivamente quella corrispondente alla situazione concreta.
CLAUSOLA SUL TRATTAMENTO DEI DATI PERSONALI
1. Titolare del trattamento
Ai sensi del Regolamento (UE) 2016/679, di seguito “GDPR”, il titolare del trattamento dei dati personali raccolti nell’ambito del presente contratto è [DENOMINAZIONE TITOLARE], con sede in [INDIRIZZO], codice fiscale e/o partita IVA [CODICE FISCALE O PARTITA IVA], contattabile all’indirizzo [EMAIL O ALTRO RECAPITO].
Responsabile della protezione dei dati, ove nominato: [DATI DI CONTATTO DPO O INDICAZIONE NON APPLICABILE].
Qualora entrambe le parti trattino autonomamente i dati personali ricevuti nell’ambito del rapporto, ciascuna opera quale autonomo titolare per i trattamenti di propria competenza e fornisce agli interessati le informazioni previste dalla normativa applicabile.
2. Dati trattati
Il trattamento riguarda i dati personali necessari alla costituzione e alla gestione del rapporto contrattuale, quali [DATI IDENTIFICATIVI], [DATI DI CONTATTO], [DATI RELATIVI ALLA FUNZIONE O AL RUOLO PROFESSIONALE], [DATI AMMINISTRATIVI E CONTABILI PERTINENTI] ed eventuali ulteriori dati strettamente necessari alle finalità indicate nella presente clausola.
3. Finalità del trattamento
I dati sono trattati per le seguenti finalità: gestione delle trattative e del rapporto contrattuale; esecuzione delle prestazioni concordate; gestione delle comunicazioni operative tra le parti; amministrazione, fatturazione e contabilità; adempimento degli obblighi previsti dalla normativa applicabile; gestione e tutela dei diritti connessi al rapporto contrattuale.
4. Base giuridica
MANTENERE SOLTANTO LE BASI GIURIDICHE EFFETTIVAMENTE APPLICABILI.
Quando l’interessato è personalmente parte del contratto, il trattamento necessario alla sua esecuzione o all’adozione di misure precontrattuali richieste dall’interessato si basa sull’art. 6, paragrafo 1, lettera b), GDPR.
I trattamenti necessari per adempiere a obblighi di legge applicabili al titolare si basano sull’art. 6, paragrafo 1, lettera c), GDPR.
Gli eventuali trattamenti fondati sul legittimo interesse del titolare o di terzi si basano sull’art. 6, paragrafo 1, lettera f), GDPR e riguardano [DESCRIZIONE DEL LEGITTIMO INTERESSE E DELLA FINALITÀ].
5. Conferimento dei dati
Il conferimento dei dati indicati come necessari per [DESCRIZIONE DELLA FINALITÀ] è necessario per [CONCLUSIONE O ESECUZIONE DEL CONTRATTO O ADEMPIMENTO SPECIFICO]. Il mancato conferimento può comportare [CONSEGUENZA EFFETTIVA DEL MANCATO CONFERIMENTO]. Gli eventuali dati facoltativi sono indicati come tali al momento della raccolta.
6. Modalità del trattamento
I dati personali sono trattati con strumenti cartacei e/o elettronici nel rispetto dei principi applicabili alla protezione dei dati personali e mediante misure tecniche e organizzative adeguate alla natura del trattamento.
7. Destinatari dei dati
I dati possono essere trattati da personale e collaboratori autorizzati e, quando necessario rispetto alle finalità indicate, comunicati alle seguenti categorie di destinatari: [CONSULENTI CONTABILI E FISCALI], [CONSULENTI LEGALI], [FORNITORI DI SERVIZI INFORMATICI], [FORNITORI DI SERVIZI AMMINISTRATIVI O OPERATIVI], [ISTITUTI DI CREDITO O PRESTATORI DI SERVIZI DI PAGAMENTO], [AUTORITÀ ED ENTI PUBBLICI NEI CASI PREVISTI DALLA LEGGE], [ALTRI DESTINATARI EFFETTIVAMENTE PERTINENTI].
I soggetti che trattano dati per conto del titolare sono individuati e regolati, quando ne ricorrono i presupposti, in conformità all’art. 28 GDPR.
8. Trasferimenti verso Paesi terzi
MANTENERE UNA SOLA ALTERNATIVA.
Alternativa A: i dati personali non sono trasferiti verso Paesi situati al di fuori dello Spazio economico europeo né a organizzazioni internazionali.
Alternativa B: i dati possono essere trasferiti verso [PAESE O ORGANIZZAZIONE] sulla base di [DECISIONE DI ADEGUATEZZA, GARANZIA APPLICABILE O ALTRO PRESUPPOSTO PREVISTO DAL GDPR]. Informazioni sulle garanzie utilizzate possono essere richieste a [RECAPITO].
9. Conservazione
I dati saranno conservati per [PERIODO DI CONSERVAZIONE] oppure, quando non sia possibile indicare preventivamente un termine preciso, per il periodo determinato secondo i seguenti criteri: [CRITERI DI CONSERVAZIONE]. Al termine del periodo applicabile i dati saranno cancellati o resi anonimi, salvo che un ulteriore trattamento sia consentito o richiesto dalla normativa applicabile.
10. Diritti dell’interessato
L’interessato può esercitare, nei casi e alle condizioni previste dal GDPR, i diritti di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati e può opporsi al trattamento quando ne ricorrono i presupposti. Le richieste possono essere inviate a [RECAPITO PER L’ESERCIZIO DEI DIRITTI].
L’interessato può inoltre proporre reclamo all’autorità di controllo competente e, in Italia, al Garante per la protezione dei dati personali.
11. Processo decisionale automatizzato
MANTENERE UNA SOLA ALTERNATIVA.
Alternativa A: i dati non sono utilizzati per processi decisionali automatizzati, compresa la profilazione, che producano gli effetti previsti dall’art. 22 GDPR.
Alternativa B: il trattamento comprende il seguente processo decisionale automatizzato: [DESCRIZIONE], secondo la logica e con le conseguenze per l’interessato indicate nell’informativa completa.
12. Rapporti tra titolare e responsabile del trattamento
La presente clausola non costituisce, da sola, una nomina a responsabile del trattamento. Qualora una parte debba trattare dati personali per conto dell’altra, le parti verificheranno i rispettivi ruoli e, quando applicabile, disciplineranno il trattamento mediante contratto o altro atto conforme all’art. 28 GDPR.
Scarica il modello Word della clausola privacy
Il file disponibile contiene il modello della clausola privacy per contratti commerciali in formato Doc. Prima di inserirlo in un contratto occorre sostituire tutti i segnaposto con le informazioni effettive e rimuovere le alternative non applicabili, in particolare quelle relative a base giuridica, trasferimenti internazionali e processi decisionali automatizzati.
Il documento è modificabile con Word o con programmi compatibili. La clausola non sostituisce gli ulteriori atti necessari quando il rapporto tra le parti comporta un trattamento per conto di un altro titolare, una contitolarità, trasferimenti internazionali o trattamenti che richiedono informazioni aggiuntive.
Come compilare la clausola privacy del contratto
Il primo dato da definire non è il testo della clausola, ma il ruolo concretamente svolto dalle parti. Il titolare determina finalità e mezzi del trattamento; il responsabile tratta invece dati personali per conto del titolare. La qualificazione dipende dalle attività effettivamente svolte e non può essere stabilita soltanto attribuendo un nome diverso al ruolo nel contratto.
Per una comune gestione commerciale, ciascuna impresa può trattare autonomamente i dati dei rappresentanti e dei referenti della controparte necessari per ordini, fatture, comunicazioni e adempimenti. Diverso è il caso, per esempio, di un fornitore che riceve un database di clienti e lo utilizza esclusivamente seguendo le istruzioni del committente: in tale situazione deve essere verificata l’applicazione dell’art. 28 GDPR.
Prima di utilizzare il modello occorre quindi definire almeno:
- identità e recapiti del titolare del trattamento;
- dati di contatto del DPO, soltanto se ne è stato nominato uno;
- categorie di dati realmente trattate;
- finalità specifiche del trattamento;
- base giuridica corrispondente a ciascuna finalità;
- categorie di destinatari effettivamente coinvolte;
- eventuali trasferimenti fuori dallo Spazio economico europeo;
- periodo di conservazione o criteri utilizzati per determinarlo;
- recapito attraverso il quale esercitare i diritti.
L’art. 13 GDPR richiede che l’interessato riceva informazioni sulle caratteristiche essenziali del trattamento, comprese finalità, base giuridica, destinatari e periodo o criteri di conservazione. Per verificare il contenuto richiesto è possibile consultare il testo del Regolamento (UE) 2016/679 su EUR-Lex e le indicazioni del Garante sull’informativa privacy.
Consenso e base giuridica nel contratto commerciale
Uno degli errori più frequenti consiste nell’inserire automaticamente una formula con la quale le parti dichiarano di “prestare il consenso al trattamento”. Il consenso è soltanto una delle possibili basi giuridiche previste dal GDPR e non deve essere utilizzato quando il trattamento si fonda correttamente su un altro presupposto.
Se l’interessato è personalmente parte del contratto, il trattamento necessario alla sua esecuzione può rientrare nell’art. 6, paragrafo 1, lettera b). Gli adempimenti imposti dalla legge possono invece trovare fondamento nella lettera c). Per i dati di rappresentanti, dipendenti o referenti della controparte può essere pertinente, in determinate situazioni, il legittimo interesse previsto dalla lettera f), che deve però essere individuato e valutato rispetto ai diritti dell’interessato. Non è quindi corretto utilizzare una sola formula indistinta per ogni trattamento collegato al contratto.
Quando questa clausola non è sufficiente
Il fac simile è adatto come base per l’informativa relativa alla normale gestione di dati personali collegati a un rapporto commerciale. Non è invece un modello universale per qualsiasi scambio di dati tra aziende.
Serve una valutazione diversa quando una parte tratta dati per conto dell’altra. L’art. 28 GDPR richiede in questo caso un contratto o altro atto giuridico che disciplini, tra gli altri elementi, materia e durata del trattamento, natura e finalità, categorie di dati e interessati, istruzioni del titolare, misure di sicurezza e obblighi del responsabile.
Una disciplina specifica può inoltre essere necessaria quando le parti determinano congiuntamente finalità e mezzi del trattamento, quando vengono utilizzate categorie particolari di dati, quando sono previsti trasferimenti internazionali oppure quando i dati non vengono raccolti direttamente presso l’interessato. In quest’ultimo caso occorre verificare anche gli obblighi informativi previsti dall’art. 14 GDPR.
Errori da evitare nella clausola privacy
- indicare il consenso come base giuridica per qualsiasi trattamento;
- scrivere che tutti i diritti GDPR possono essere sempre esercitati senza considerare le relative condizioni;
- omettere identità e recapiti del titolare;
- lasciare una descrizione generica dei destinatari senza individuare almeno le categorie effettive;
- indicare un periodo di conservazione standard non collegato al trattamento reale;
- ignorare eventuali trasferimenti di dati fuori dallo Spazio economico europeo;
- qualificare una parte come titolare o responsabile senza verificare le attività concretamente svolte;
- considerare la clausola come sostitutiva dell’accordo ex art. 28 GDPR quando una parte tratta dati per conto dell’altra;
- mantenere nel documento finale entrambe le alternative proposte dal fac simile.
Domande frequenti sulla clausola privacy nei contratti commerciali
È obbligatorio inserire la privacy direttamente nel contratto?
Non esiste una regola generale che imponga di collocare necessariamente l’intera informativa all’interno del contratto commerciale. Il titolare deve però fornire all’interessato le informazioni richieste dal GDPR nei tempi e con le modalità previste. L’informativa può quindi essere contenuta nel contratto oppure fornita attraverso un documento separato, purché sia effettivamente resa disponibile all’interessato e comprenda gli elementi necessari.
Le parti devono firmare la clausola per autorizzare il trattamento?
La firma del contratto non trasforma automaticamente il trattamento in un trattamento basato sul consenso. Se la base giuridica è l’esecuzione del contratto, un obbligo legale o un altro presupposto previsto dall’art. 6 GDPR, non occorre raccogliere un consenso soltanto per rendere lecito quel trattamento. Una firma può comunque essere utilizzata per documentare la consegna o presa visione dell’informativa, se questa è la procedura scelta dall’organizzazione.
La clausola si applica anche ai dati delle società?
Il GDPR protegge i dati personali riferiti a persone fisiche e non i dati di una società in quanto persona giuridica. Nel rapporto tra aziende vengono però normalmente trattati anche nomi, recapiti professionali, firme e altri dati di amministratori, rappresentanti, dipendenti o referenti. Queste informazioni possono essere dati personali e devono essere gestite secondo le regole applicabili.
La clausola sostituisce la nomina a responsabile del trattamento?
No. Se un fornitore tratta dati personali per conto del cliente e secondo le sue istruzioni, il rapporto deve essere verificato rispetto all’art. 28 GDPR. Quando ricorrono tali presupposti, è necessario un contratto o altro atto giuridico con i contenuti richiesti dalla norma. Una clausola informativa destinata agli interessati ha una funzione diversa e non sostituisce tale disciplina.
Il modello Word può essere modificato?
Sì. Il file disponibile è in formato Doc e può essere modificato con Word o con un programma compatibile. Prima dell’utilizzo devono essere completati tutti i segnaposto e devono essere eliminate le opzioni non pertinenti. In particolare, base giuridica, destinatari, trasferimenti e tempi di conservazione devono corrispondere ai trattamenti effettivamente svolti e non possono essere scelti soltanto perché presenti nel fac simile.