# Contratto di trattamento dei dati: checklist per gli strumenti web

> Quando serve un contratto di trattamento ai sensi dell'art. 28 GDPR, cosa deve contenere e a cosa prestare attenzione con strumenti di analisi e marketing.

Quelle: https://whovisit.app/it/blog/contratto-trattamento-dati-strumenti-web
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Quasi ogni strumento che impiega sul Suo sito web tratta dati per Suo conto: analisi web, newsletter, CRM, heatmap, chat. Non appena entrano in gioco dati personali, il GDPR richiede un contratto con il fornitore. Si chiama contratto di trattamento dei dati (in tedesco Auftragsverarbeitungsvertrag, abbreviato AV-Vertrag o AVV). Questo articolo spiega quando serve, cosa deve contenere e a cosa pensare nella scelta di uno strumento.

## Quando serve un contratto di trattamento

L'art. 28 GDPR si applica quando un fornitore di servizi tratta dati personali **per Suo conto** e secondo le Sue istruzioni. Lei è allora il titolare del trattamento, il fornitore è il responsabile del trattamento. Il testo di legge è nel [GDPR su EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Non ogni rapporto è un trattamento per conto terzi. Conviene distinguere tre configurazioni:

| Configurazione | Caratteristica | Contratto |
|---|---|---|
| Trattamento per conto del titolare | Il fornitore agisce solo secondo le Sue istruzioni | Contratto di trattamento ai sensi dell'art. 28 |
| Contitolarità | Lei e il fornitore decidete insieme finalità e mezzi | Accordo ai sensi dell'art. 26 |
| Titolare autonomo | Il fornitore usa i dati per scopi propri | A seconda del caso, base giuridica propria e trasferimento |

Conta chi determina finalità e mezzi, non come si chiama il contratto. Un fornitore che usa i dati anche per scopi propri, ad esempio per migliorare i propri prodotti oltre il servizio reso a Lei, per quella parte non è più responsabile del trattamento. Ai sensi dell'art. 28, par. 10, un responsabile che determina da sé finalità e mezzi è considerato titolare per quel trattamento.

## Contenuti obbligatori ai sensi dell'art. 28, par. 3

Il contratto deve stabilire oggetto e durata del trattamento, natura e finalità, il tipo di dati e le categorie di interessati. Deve inoltre prevedere che il responsabile del trattamento:

- **a)** tratti i dati solo su istruzione documentata, anche in caso di trasferimenti verso un paese terzo,
- **b)** impieghi persone vincolate alla riservatezza,
- **c)** adotti le misure previste dall'art. 32,
- **d)** rispetti le condizioni per il ricorso ad altri responsabili,
- **e)** La assista nelle richieste degli interessati,
- **f)** La assista negli obblighi di cui agli artt. da 32 a 36,
- **g)** al termine del servizio, a Sua scelta, cancelli o restituisca i dati,
- **h)** fornisca le prove e consenta le verifiche.

Il contratto va redatto per iscritto, un formato elettronico è sufficiente (par. 9). Un modello di riferimento è offerto dalla Commissione europea con le [clausole contrattuali tipo per il trattamento dei dati](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Ai sensi dell'art. 28, par. 6, il contratto può basarsi su di esse in tutto o in parte.

## Subfornitori

Se il fornitore ricorre a sua volta a prestatori di servizi, ad esempio un fornitore di hosting, valgono due regole dell'art. 28, parr. 2 e 4:

- Occorre la Sua previa autorizzazione scritta, specifica o generale. In caso di autorizzazione generale, il fornitore deve informarLa di ogni modifica prevista. Lei può allora opporsi.
- Deve imporre ai subfornitori gli stessi obblighi di protezione dei dati. Se un subfornitore non lo fa, il primo responsabile risponde nei Suoi confronti.

Chieda quindi al fornitore un elenco aggiornato dei suoi subfornitori, con sede e compito.

## Paese terzo

Se i dati sono trattati al di fuori dell'UE e del SEE o sono consultabili da lì, si applicano inoltre le regole sui trasferimenti verso paesi terzi (capo V, art. 44 e segg. GDPR). Sono usuali tre vie: una decisione di adeguatezza della Commissione, clausole contrattuali tipo per il trasferimento oppure norme vincolanti d'impresa. Per gli USA esiste dal 2023 una [decisione di adeguatezza sul EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Vale solo per le imprese che aderiscono al Framework. È impugnata in sede giudiziaria, verifichi lo stato attuale. Un server nell'UE risolve la questione se né il fornitore né un subfornitore di un paese terzo possono accedere ai dati.

## Checklist per strumenti di analisi e marketing

1. **Chiarire il ruolo.** Il fornitore tratta solo per Lei o anche per scopi propri?
2. **Verificare il contratto.** Ci sono tutti i punti dell'art. 28, par. 3?
3. **Descrivere i dati.** Tipo di dati e categorie di interessati sono indicati in modo concreto?
4. **Esaminare i subfornitori.** Esistono un elenco e una procedura in caso di modifiche?
5. **Chiedere l'ubicazione dei server.** Dove si trovano i dati, chi può accedervi?
6. **Documentare la via per il paese terzo.** Quale base sostiene un trasferimento?
7. **Regolare la cancellazione.** Che cosa accade ai dati dopo la fine del contratto?
8. **Leggere le misure tecniche.** Cifratura, diritti di accesso, registrazione.

Conservi il contratto nella Sua documentazione e inserisca lo strumento nel Suo registro delle attività di trattamento ai sensi dell'art. 30 GDPR. Soprattutto con gli strumenti che si caricano solo dopo il consenso, il contratto è un secondo presupposto, distinto. Il consenso sul dispositivo non lo sostituisce, come mostra [§ 25 TDDDG: cookie e tracciamento in Germania](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Cosa si rischia in caso di violazioni

Se il contratto manca o è incompleto, l'autorità di controllo può contestarlo. Per le violazioni degli obblighi dell'art. 28, l'art. 83, par. 4 GDPR prevede sanzioni pecuniarie fino a 10 milioni di euro o fino al 2 per cento del fatturato mondiale annuo, a seconda di quale importo sia più alto. Questa è la cornice, non una previsione per il singolo caso.

## E in Svizzera?

La legge svizzera sulla protezione dei dati disciplina il trattamento da parte di responsabili all'art. 9 LPD. L'idea è simile, la formulazione diversa. Chi si rivolge a interessati nell'UE ha di norma bisogno del contratto secondo il GDPR. Se ciò valga per la Sua offerta lo spiega [Tracciamento dei siti web in Svizzera: nLPD e LTC](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Domande frequenti

**Mi serve un contratto di trattamento se lo strumento mostra solo nomi di aziende?** Dipende dal fatto che il fornitore tratti per Lei dati personali, ad esempio indirizzi IP, anche solo per breve tempo. Nel dubbio stipuli il contratto, non costa quasi nulla. Se un indirizzo IP sia un dato personale lo spiega [Indirizzo IP e GDPR: è un dato personale?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Basta accettare le condizioni generali del fornitore?** Solo se vi sono tutti i contenuti obbligatori e la disciplina è chiaramente riconoscibile come contratto o addendum. Molti fornitori mettono a disposizione il contratto di trattamento come documento a sé, da sottoscrivere.

**Devo firmare il contratto?** Deve essere redatto per iscritto. Un formato elettronico basta ai sensi dell'art. 28, par. 9, perciò la conclusione con un clic è usuale.