Risposta Rapida: AVV (Auftragsverarbeitungsvertrag) e DPA (Data Processing Agreement) si riferiscono allo stesso contratto legalmente richiesto ai sensi dell'Articolo 28 del GDPR; il termine tedesco AVV è utilizzato nelle giurisdizioni della regione DACH, mentre DPA è l'equivalente in lingua inglese utilizzato nella maggior parte degli altri Stati membri dell'UE e a livello internazionale. Entrambi regolano come un responsabile del trattamento gestisce i dati personali per conto di un titolare. Scegliere la formulazione sbagliata o saltare completamente l'accordo può esporre la tua organizzazione a sanzioni regolatorie significative.
Punti Chiave
- AVV è l'abbreviazione tedesca per Auftragsverarbeitungsvertrag; DPA sta per Data Processing Agreement, sono funzionalmente lo stesso strumento ai sensi del GDPR.
- Entrambi gli accordi sono obbligatori ai sensi dell'Articolo 28 del GDPR ogni volta che un titolare coinvolge un responsabile per gestire dati personali.
- La differenza terminologica è regionale: AVV è standard in Germania, Austria e Svizzera; DPA è utilizzato nei contesti di lingua inglese e nella maggior parte degli altri contesti dell'UE.
- Un accordo valido deve coprire oggetto, durata del trattamento, categorie di dati, diritti degli interessati, condizioni per i sub-responsabili, misure di sicurezza e disposizioni di audit. [1]
- Non avere l'accordo corretto in atto può comportare indagini da parte delle autorità di vigilanza, multe e controversie contrattuali.
- Il costo per l'implementazione varia da zero (utilizzando un modello standard del fornitore) a diverse migliaia di euro per una redazione legale personalizzata.
- Alcune aziende che operano nei mercati DACH e non DACH utilizzano legittimamente entrambi i termini nello stesso accordo per chiarezza.
- Una Piattaforma di Gestione del Consenso come Biscotti CMP può supportare la tua postura di conformità al GDPR più ampia, ma non sostituisce un AVV o DPA correttamente eseguito.
Cosa Significa AVV nella Protezione dei Dati e È Uguale a un DPA?
AVV sta per Auftragsverarbeitungsvertrag, il termine in lingua tedesca per un Data Processing Agreement. In termini legali pratici, un AVV e un DPA sono lo stesso documento, entrambi soddisfano il requisito stabilito nell'Articolo 28 del GDPR per un contratto scritto tra un titolare del trattamento e un responsabile del trattamento. [1]
La distinzione è puramente linguistica e giurisdizionale. I professionisti della protezione dei dati tedeschi, austriaci e svizzeri utilizzano AVV come termine standard nei contratti, nelle politiche sulla privacy e nella corrispondenza regolatoria. I professionisti di lingua inglese e la maggior parte degli altri Stati membri dell'UE utilizzano DPA. Quando un fornitore di SaaS tedesco ti offre un "AVV", sta offrendo lo stesso strumento legale che un fornitore con sede nel Regno Unito chiamerebbe "DPA".
Chiarimento chiave: Nessuno dei due termini implica uno standard legale diverso. Entrambi devono soddisfare gli stessi requisiti di contenuto dell'Articolo 28(3) del GDPR per essere validi. [1]
Qual È la Differenza Tra AVV e DPA?
La differenza tra AVV e DPA è terminologica, non sostanziale. Entrambi descrivono il contratto richiesto dall'Articolo 28 del GDPR tra un titolare del trattamento (l'entità che determina lo scopo e i mezzi del trattamento) e un responsabile del trattamento (l'entità che tratta i dati per conto del titolare).
Dove possono emergere differenze genuine è nello stile di redazione e nelle linee guida regolatorie locali:
- Le autorità di vigilanza tedesche (Datenschutzbehörden) hanno pubblicato clausole modello specifiche e note di orientamento che i documenti AVV spesso incorporano.
- I DPA in lingua inglese redatti per giurisdizioni del Regno Unito o dell'Irlanda possono fare riferimento alla legislazione nazionale di attuazione insieme al GDPR.
- Gli AVV svizzeri devono anche tenere conto della Legge Federale sulla Protezione dei Dati (revFADP) rivista, che diverge dal GDPR in alcuni aspetti.
In sintesi: Se un fornitore ti invia un AVV e hai bisogno di un DPA, hai ricevuto ciò di cui hai bisogno, a condizione che il contenuto soddisfi i requisiti dell'Articolo 28(3). [1]
Quando Hai Bisogno di un AVV Rispetto a un DPA?
Hai bisogno di uno di questi accordi ogni volta che la tua organizzazione condivide dati personali con un fornitore di servizi di terze parti che tratta tali dati secondo le tue istruzioni. Il fattore scatenante è la relazione titolare-responsabile, non la lingua del contratto.
Usa un AVV quando:
- Il tuo controparte è con sede in Germania, Austria o Svizzera e il loro contratto standard utilizza quella terminologia.
- La tua organizzazione opera secondo la legge sulla protezione dei dati tedesca e i tuoi modelli interni seguono le linee guida del BfDI o dello stato DPA.
Usa un DPA quando:
- Il tuo controparte opera in una giurisdizione di lingua inglese o utilizza l'inglese come lingua del contratto.
- Stai stipulando un contratto con un fornitore di cloud con sede negli Stati Uniti, un fornitore di SaaS del Regno Unito o qualsiasi responsabile internazionale i cui modelli predefiniti sono "DPA".
Errore comune: Assumere che poiché un fornitore chiama il proprio documento un AVV piuttosto che un DPA, si applicano regole legali diverse. I requisiti di contenuto sono identici ai sensi del GDPR. Ciò che conta è la sostanza, non l'etichetta sulla copertina.
Chi Ha Bisogno di un AVV e Chi Ha Bisogno di un DPA?
Qualsiasi organizzazione che si qualifica come titolare del trattamento ai sensi del GDPR e coinvolge una terza parte per trattare dati personali per suo conto ha bisogno di uno di questi accordi. Ciò si applica a:
- Aziende di e-commerce che utilizzano processori di pagamento di terze parti o piattaforme di email marketing.
- Imprese che utilizzano fornitori di infrastruttura cloud (IaaS, PaaS, SaaS).
- Agenzie di marketing online che trattano dati dei clienti.
- Sviluppatori che costruiscono applicazioni che gestiscono dati personali degli utenti finali tramite API esterne.
- Proprietari di siti web che utilizzano strumenti di analisi, CDN o sistemi CRM che trattano dati dei visitatori.
Le organizzazioni con sede nei mercati DACH incontreranno tipicamente l'etichetta AVV; quelle che operano a livello internazionale si occuperanno più spesso di DPA. Entrambe le categorie di organizzazione affrontano la stessa obbligazione legale.
Cosa Dovrebbe Essere Inclusa in un AVV Rispetto a un DPA?
Sia un AVV che un DPA devono contenere gli stessi elementi obbligatori ai sensi dell'Articolo 28(3) del GDPR. La mancanza di una di queste clausole rende l'accordo non conforme. [1]
| Clausola Richiesta | Descrizione |
|---|---|
| Oggetto e durata | Quali dati vengono trattati e per quanto tempo |
| Natura e scopo | Perché e come avviene il trattamento |
| Tipi di dati e soggetti interessati | Categorie di dati personali e individui interessati |
| Diritti e obblighi del titolare | Istruzioni che il responsabile deve seguire |
| Misure di sicurezza | Misure di protezione tecniche e organizzative (TOM) |
| Condizioni per i sub-responsabili | Regole per coinvolgere responsabili secondari |
| Assistenza ai diritti degli interessati | Supporto per richieste di accesso, cancellazione, portabilità |
| Notifica di violazione | Obbligo del responsabile di notificare al titolare gli incidenti |
| Restituzione o cancellazione dei dati | Cosa succede ai dati al termine del contratto |
| Diritti di audit | Diritto del titolare di verificare la conformità |
Caso limite: Se il modello di un fornitore omette i diritti di audit o le condizioni per i sub-responsabili, non firmarlo così com'è. Questi sono non negoziabili ai sensi dell'Articolo 28(3). [1]
Quanto Costa Impostare un AVV o un DPA?
Il costo dipende interamente dal fatto che tu utilizzi un modello standard del fornitore o commissioni una redazione legale personalizzata.
- Modello fornito dal fornitore (il più comune): Gratuito. La maggior parte dei principali fornitori di SaaS e cloud pubblica un AVV o DPA standard che i titolari possono accettare online o tramite un processo di clic.
- Accordo personalizzato negoziato: Le spese legali variano tipicamente da 500 a 5.000 euro a seconda della complessità, della giurisdizione e delle tariffe legali. I contratti aziendali con volumi di dati significativi o categorie di dati sensibili si collocano nella fascia più alta.
- Sviluppo di modelli interni: Un investimento una tantum del tempo legale per creare un modello riutilizzabile; il costo continuo è minimo.
Nota pratica: Per la maggior parte delle PMI e dei proprietari di siti web, il modello standard del fornitore è sufficiente. La negoziazione personalizzata è giustificata quando il trattamento coinvolge dati di categoria speciale (salute, biometrico, finanziario) o quando il titolare sostiene un'esposizione significativa alla responsabilità.
Come Differiscono i Requisiti di AVV e DPA per Paese?
Ai sensi del GDPR, i requisiti sostanziali sono armonizzati in tutti gli Stati membri dell'UE, quindi il contenuto principale di un AVV e di un DPA è identico che tu sia a Berlino, Parigi o Varsavia. Tuttavia, esistono sfumature a livello nazionale:
- Germania: Il BfDI e le DPA a livello statale hanno emesso linee guida dettagliate e clausole modello. Gli AVV tedeschi includono spesso documentazione più dettagliata sulle misure tecniche e organizzative (TOM).
- Svizzera: La revFADP (efficace da settembre 2023) impone requisiti aggiuntivi oltre al GDPR, comprese disposizioni specifiche per i trasferimenti di dati transfrontalieri e le tempistiche di notifica delle violazioni dei dati.
- Regno Unito (post-Brexit): Si applica il GDPR del Regno Unito; i DPA devono fare riferimento alle linee guida dell'ICO del Regno Unito piuttosto che alle autorità di vigilanza dell'UE. Le clausole contrattuali standard differiscono dalle SCC dell'UE.
- Altri Stati membri dell'UE: L'Articolo 28 del GDPR si applica direttamente; le linee guida locali della DPA possono integrare ma non possono ridurre i requisiti minimi.
Scegli con attenzione la clausola di legge applicabile. Un AVV secondo la legge tedesca e un DPA secondo la legge irlandese possono sembrare simili ma saranno interpretati da corti e autorità di vigilanza diverse.
Puoi Usare un AVV Invece di un DPA, o Usare Entrambi Contemporaneamente?
Sì, un AVV può sostituire un DPA perché sono strumenti legalmente equivalenti. Un'azienda che opera nei mercati DACH e non DACH può includere entrambi i termini nello stesso intestazione del contratto (ad es., "Data Processing Agreement / Auftragsverarbeitungsvertrag") per evitare confusione; questa è una pratica comune nei contratti aziendali bilingue ed è del tutto permessa.
Utilizzare entrambi i termini contemporaneamente non crea due obbligazioni legali separate. Garantisce semplicemente che le parti di lingua tedesca e inglese comprendano che stanno esaminando lo stesso documento.
Quali Sono gli Errori Comuni Quando Si Sceglie Tra AVV e DPA?
Gli errori più significativi non riguardano quale termine utilizzare, ma cosa contiene l'accordo e se esiste affatto.
- Saltare completamente l'accordo perché una relazione con un fornitore sembra informale o a basso rischio. Ai sensi del GDPR, l'obbligo è attivato dall'atto di trattamento, non dal livello di rischio percepito.
- Accettare un modello incompleto che omette clausole sui sub-responsabili o diritti di audit, credendo che la versione del fornitore sia automaticamente conforme.
- Confondere un DPA con un accordo di condivisione dei dati. Un DPA regola le relazioni tra responsabili; un accordo di condivisione dei dati regola gli scambi di dati tra titolari o tra titolari e responsabili. Questi sono strumenti diversi.
- Non aggiornare gli accordi quando un responsabile coinvolge nuovi sub-responsabili o cambia la natura del trattamento.
- Assumere che la conformità al GDPR copra la legge svizzera. Le organizzazioni con soggetti dati svizzeri devono garantire che il loro AVV soddisfi anche i requisiti della revFADP.
Quali Sono le Conseguenze Legali di un Errore tra AVV e DPA?
Non avere un accordo valido e completo espone sia i titolari che i responsabili a responsabilità regolatorie e civili.
Ai sensi dell'Articolo 83(4) del GDPR, le violazioni dell'Articolo 28 (il requisito DPA/AVV) possono comportare multe amministrative fino a 10 milioni di euro o il 2% del fatturato annuo globale, a seconda di quale sia maggiore. Le autorità di vigilanza in Germania hanno dimostrato disponibilità a indagare e multare le organizzazioni per accordi di trattamento mancanti o carenti.
Oltre alle multe, le conseguenze includono:
- Audit delle autorità di vigilanza e ordini correttivi.
- Impossibilità di far valere i termini contrattuali contro un responsabile non conforme.
- Esposizione a responsabilità civili se si verifica una violazione dei dati senza un accordo valido che documenti gli obblighi di sicurezza.
- Danno reputazionale in contesti B2B in cui i clienti aziendali conducono la due diligence sui fornitori.
Come Sai Quale Accordo Ha Davvero Bisogno la Tua Azienda?
La decisione è semplice una volta identificata la relazione e la giurisdizione.
Passo 1: Determina se la tua organizzazione è il titolare (decidi perché e come vengono trattati i dati) o il responsabile (tratti i dati secondo le istruzioni di qualcun altro).
Passo 2: Identifica la lingua e la giurisdizione del tuo controparte. Se si trovano nella regione DACH, aspettati un AVV. Se sono altrove, aspettati un DPA.
Passo 3: Verifica che qualunque documento tu riceva contenga tutti e dieci gli elementi obbligatori ai sensi dell'Articolo 28(3) del GDPR. [1]
Passo 4: Se la tua organizzazione deve anche gestire il consenso degli utenti per cookie e tecnologie di tracciamento, una Piattaforma di Gestione del Consenso come Biscotti CMP affronta quel livello di conformità al GDPR, ma opera insieme, non invece di, un AVV o DPA correttamente eseguito.
Regola decisionale: Se tratti dati personali per conto di un'altra organizzazione, hai bisogno di un DPA o AVV indipendentemente da come viene chiamata commercialmente la relazione. Se un'altra organizzazione tratta dati per tuo conto, sei responsabile di garantire che quell'accordo sia in atto prima dell'inizio del trattamento.
FAQ
D: Un AVV è legalmente valido al di fuori della Germania?
Un AVV è legalmente valido ovunque si applichi il GDPR, a condizione che soddisfi i requisiti di contenuto dell'Articolo 28(3). La terminologia tedesca non limita la sua applicabilità in altre giurisdizioni dell'UE.
D: Un DPA deve essere firmato da entrambe le parti?
Sì. L'Articolo 28(9) del GDPR richiede che l'accordo sia in forma scritta, che include la forma elettronica. Sia il titolare che il responsabile devono essere vincolati dai suoi termini.
D: Un DPA online cliccabile di un fornitore soddisfa i requisiti del GDPR?
Sì, se il contenuto soddisfa i requisiti dell'Articolo 28(3). Molti fornitori di cloud importanti offrono DPA cliccabili conformi che sono stati esaminati dalle autorità di vigilanza.
D: Cos'è un sub-responsabile e perché è importante in un DPA o AVV?
Un sub-responsabile è una terza parte coinvolta dal responsabile per svolgere attività di trattamento. Il DPA o l'AVV devono specificare le condizioni sotto le quali possono essere coinvolti i sub-responsabili, incluso il diritto del titolare di opporsi. [1]
D: Ho bisogno di un nuovo AVV o DPA ogni volta che un responsabile aggiorna la sua lista di sub-responsabili?
Non necessariamente. Molti accordi includono un'autorizzazione generale per le modifiche ai sub-responsabili, a condizione che il responsabile notifichi il titolare e il titolare mantenga il diritto di opporsi entro un periodo specificato.
D: Un DPA copre i trasferimenti di dati al di fuori dell'UE?
Un DPA regola la relazione di trattamento ma non autorizza di per sé i trasferimenti di dati transfrontalieri. Sono necessari meccanismi di trasferimento separati (Clausole Contrattuali Standard, decisioni di adeguatezza) per i trasferimenti verso paesi terzi.
D: Quanto tempo dovrebbe essere conservato un DPA o AVV?
Conserva l'accordo per la durata della relazione di trattamento e per un periodo ragionevole successivo, tipicamente almeno tre-cinque anni, per dimostrare la conformità in caso di un'indagine da parte di un'autorità di vigilanza.
D: Qual è la differenza tra un DPA e un DPIA?
Un DPA (Data Processing Agreement) è un contratto tra titolare e responsabile. Un DPIA (Data Protection Impact Assessment) è una valutazione interna del rischio richiesta per attività di trattamento ad alto rischio. Servono a scopi diversi e nessuno sostituisce l'altro.
D: Un freelance o una piccola agenzia possono essere obbligati a firmare un AVV o DPA?
Sì. L'obbligo si applica indipendentemente dalle dimensioni del responsabile. Un sviluppatore freelance che gestisce dati dei clienti è un responsabile e deve firmare un DPA o AVV con ciascun titolare cliente.
D: Biscotti CMP sostituisce la necessità di un DPA o AVV?
No. Biscotti CMP è una Piattaforma di Gestione del Consenso che aiuta a gestire il consenso degli utenti per cookie e tracciamento, un requisito di conformità separato al GDPR. Un DPA o AVV è ancora richiesto per qualsiasi relazione di responsabile che coinvolga dati personali.
Conclusione
La questione AVV vs. DPA si risolve rapidamente una volta che riconosci che entrambi i termini descrivono lo stesso strumento legalmente richiesto ai sensi dell'Articolo 28 del GDPR. La vera sfida non è scegliere tra di essi, ma garantire che qualunque documento regoli le tue relazioni con i responsabili contenga ogni clausola obbligatoria, sia correttamente eseguito e sia mantenuto aggiornato man mano che le attività di trattamento evolvono.
Passi successivi attuabili:
- Audit tutte le attuali relazioni con i fornitori per confermare che sia in atto un DPA o AVV valido per ciascun responsabile che gestisce dati personali per tuo conto.
- Rivedi gli accordi esistenti rispetto ai dieci elementi obbligatori dell'Articolo 28(3) del GDPR e richiedi modifiche per eventuali lacune. [1]
- Se operi in Svizzera, verifica che gli accordi soddisfino anche i requisiti della revFADP oltre al baseline del GDPR.
- Stabilisci un processo interno per l'onboarding di nuovi responsabili; nessun trattamento dovrebbe iniziare prima che l'accordo sia firmato.
- Per la gestione del consenso e la conformità ai cookie sul tuo sito web o applicazione, valuta Biscotti CMP come parte del tuo più ampio framework di conformità al GDPR.
La conformità alla protezione dei dati non è un progetto una tantum. Gli accordi devono essere rivisti quando le attività di trattamento cambiano, quando vengono aggiunti sub-responsabili e quando le linee guida regolatorie evolvono. Integrare quel ritmo di revisione nel tuo programma di conformità è la salvaguardia più pratica contro l'esposizione regolatoria.
Riferimenti
[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai