TL;DR per il DPO
Giugno 2025: BfDI sanziona Vodafone Germania per 45M EUR. 15M per art. 28 GDPR (mancato controllo agenti di vendita partner che frodavano i clienti con contratti fittizi), 30M per art. 32 (debolezze autenticazione portale MeinVodafone che permettevano accesso non autorizzato alle eSIM). Lezione: il titolare non puo' delegare la responsabilita' al responsabile. Il controllo continuo, non solo contrattuale, e' richiesto.
I fatti
Vodafone GmbH utilizza una rete di partner agencies che vendono contratti telefonici a nome di Vodafone. Questi soggetti, pur essendo legalmente entita' separate, agiscono sotto il brand Vodafone, usano hardware e software forniti da Vodafone, e sono vincolati alle istruzioni di Vodafone tramite Data Processing Agreement. Sono quindi responsabili del trattamento ex art. 28 GDPR.
Le indagini della BfDI hanno rivelato che alcuni dipendenti delle partner agencies hanno frodato i clienti, attivando contratti fittizi o modificando piani senza autorizzazione, a vantaggio personale degli agenti. Vodafone non aveva adeguatamente verificato e monitorato il comportamento delle agenzie partner, violando i suoi obblighi di controllo sui responsabili.
Le violazioni contestate
- Art. 28(1) GDPR: il titolare deve scegliere SOLO responsabili che presentano garanzie sufficienti. La BfDI ha ritenuto che Vodafone non avesse adeguatamente vetted le agenzie partner ne' verificato le misure di sicurezza implementate dai loro dipendenti
- Mancato monitoraggio continuo: Vodafone non aveva implementato controlli periodici per verificare che le agenzie partner operassero secondo le istruzioni e i DPA in essere
- Art. 32 GDPR (sanzione separata di 30M): debolezze nei processi di autenticazione del portale MeinVodafone e della hotline clienti hanno permesso accessi non autorizzati alle eSIM dei clienti. Mancavano controlli MFA adeguati e logging delle anomalie
Il principio chiave: accountability non delegabile
La BfDI ha affermato esplicitamente che l'esternalizzazione di attivita' di trattamento non esternalizza la responsabilita' GDPR. Il titolare resta responsabile dell'operato dei propri responsabili e deve poterlo dimostrare con evidenza documentale: audit periodici, ispezioni, report di sicurezza ricevuti dal responsabile, registri delle non conformita' rilevate e azioni correttive.
Cosa cambia per il DPO
La decisione Vodafone segna una svolta nell'enforcement dell'art. 28 GDPR. Fino al 2024, le sanzioni si concentravano principalmente su violazioni del titolare. Ora le Autorita' guardano sistematicamente alla catena dei responsabili. Per i DPO di titolari italiani, questo significa:
- Il DPA contrattuale (sottoscritto al momento dell'incarico) NON e' piu' sufficiente. Serve evidenza di controllo continuo
- Predisporre un piano di audit periodico dei responsabili (almeno annuale per i responsabili critici, biennale per gli altri)
- Documentare gli audit con report scritti che includano: misure di sicurezza verificate, non conformita' rilevate, azioni correttive richieste, evidenza di chiusura
- Richiedere ai responsabili evidenza dei loro test di sicurezza (penetration test, vulnerability assessment), backup periodici, formazione dipendenti, procedure data breach
- Mantenere un registro dei sotto-responsabili (sub-processors) autorizzati e aggiornarlo periodicamente
- Implementare clausole contrattuali specifiche su audit, ispezioni, notifica incidenti, sub-processing, restituzione/cancellazione dei dati a fine rapporto
Checklist controllo responsabili (compliance art. 28)
- DPA scritto con TUTTI gli elementi dell'art. 28(3) GDPR (oggetto, durata, natura, finalita', tipo dati, categorie interessati, obblighi e diritti titolare)
- Identificazione del responsabile e suoi sotto-responsabili autorizzati
- Procedura di onboarding del responsabile con valutazione preliminare delle garanzie (questionario sicurezza, due diligence)
- Programma di audit periodico documentato (calendario, metodologia, criteri di valutazione)
- Evidenza di audit svolti con report scritti
- Procedure di gestione delle non conformita' rilevate e di chiusura azioni correttive
- Procedura di notifica data breach del responsabile al titolare (tempistiche, contenuto)
- Procedure di restituzione/cancellazione dei dati alla cessazione del rapporto
- Registro centralizzato dei responsabili attivi con scadenze di review
Opportunita' per i DPO consulenti
La decisione Vodafone rende l'audit dei responsabili un servizio richiestissimo. I DPO consulenti possono offrire pacchetti dedicati: audit DPA esistenti, predisposizione registro responsabili, programma di audit annuale, template documentale per la due diligence dei responsabili. Particolarmente utile per PMI che hanno catene di responsabili (cloud, SaaS, payroll, marketing) senza controllo strutturato.
Cosa replicare nelle prassi operative
Per ogni nuovo responsabile, il DPO dovrebbe verificare PRIMA dell'incarico: certificazioni di sicurezza dichiarate (ISO 27001, SOC 2), localizzazione dei server, sub-processors utilizzati, politica di gestione data breach, evidenza di compliance GDPR (privacy policy, DPO designato, processi DSAR), referenze di altri clienti. Una volta affidato l'incarico, il DPO deve mantenere un calendario di review e documentare ogni evidenza raccolta.
Fonte ufficiale:BfDI - decisione Vodafone (EDPB)Fonte ufficiale:Art. 28 GDPRStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
