Vendor Due Diligence GDPR: Fornitori SaaS

Fonti primarie: GDPR, art. 28 · GDPR, art. 32 · EDPB, Opinion 22/2024 su responsabili e sub-responsabili · EDPB, Guidelines 07/2020 sui ruoli di titolare e responsabile · EDPB, Raccomandazioni 01/2020 sui trasferimenti

Aggiornamento: 31 agosto 2026. Questa guida ha finalità informativa. La valutazione concreta dipende dal servizio, dai dati, dalle configurazioni acquistate e dalla catena effettiva dei fornitori.

Un'azienda può esternalizzare un servizio, ma non la propria responsabilità di scegliere fornitori adeguati. L'art. 28, par. 1, GDPR consente al titolare di ricorrere soltanto a responsabili che presentino garanzie sufficienti per applicare misure tecniche e organizzative adeguate e tutelare i diritti degli interessati.

La vendor due diligence privacy serve a rendere dimostrabile questa scelta. Non coincide con la raccolta indiscriminata di certificati né con l'invio dello stesso questionario a ogni fornitore. È un processo basato sul rischio: un servizio che gestisce soltanto recapiti professionali richiede controlli diversi da una piattaforma HR, sanitaria, biometrica o di intelligenza artificiale.

Questa guida adotta il punto di vista dell'azienda che acquista il servizio. Se invece sei una software house chiamata a rispondere al procurement di un cliente, consulta la guida su come preparare un vendor assessment enterprise.

Se la verifica conduce alla negoziazione di DPA, SLA, audit, sub-responsabili o clausole di uscita, l'assistenza per contratti SaaS, software e ICT riguarda l'applicazione al rapporto concreto.

Vendor, responsabile e sub-responsabile non sono sinonimi

Il termine commerciale “vendor” non determina il ruolo previsto dal GDPR. Prima di esaminare un DPA occorre qualificare il rapporto reale.

Un provider può assumere ruoli diversi nello stesso contratto. Una piattaforma SaaS può agire come responsabile sui dati caricati dal cliente e come titolare autonomo per fatturazione, prevenzione delle frodi o gestione del proprio account. La due diligence deve separare questi trattamenti invece di attribuire un'unica etichetta all'intera azienda fornitrice.

Per approfondire contenuti e struttura del contratto, consulta la guida sul DPA ai sensi dell'art. 28 GDPR.

Quali fornitori devono essere valutati

La priorità non dipende soltanto dal prezzo o dalla notorietà del marchio. È opportuno censire almeno i fornitori che possono accedere, conservare, trasmettere o amministrare dati personali, tra cui:

• hosting, cloud, database e content delivery network;
• CRM, help desk, marketing automation e piattaforme newsletter;
• software HR, payroll, recruiting e monitoraggio delle attività;
• analytics, session recording e strumenti di product intelligence;
• provider di autenticazione, firma elettronica e gestione documentale;
• API di intelligenza artificiale, modelli LLM e servizi di moderazione;
• consulenti o outsourcer che operano sui sistemi dell'azienda;
• sub-responsabili utilizzati dal fornitore principale.

Non ogni subfornitore commerciale è un sub-responsabile GDPR. Lo diventa quando tratta dati personali per eseguire il servizio affidato al responsabile. La mappa deve quindi seguire i flussi reali dei dati, non la sola struttura societaria del vendor.

I sette passaggi della vendor due diligence GDPR

1. Descrivere servizio, dati e finalità

La valutazione parte da una scheda sintetica ma concreta:

• funzionalità acquistate e configurazioni effettivamente abilitate;
• categorie di dati e di interessati coinvolti;
• finalità per cui il servizio sarà usato;
• utenti interni autorizzati e privilegi amministrativi;
• integrazioni, API, esportazioni e sistemi collegati;
• durata del contratto e modalità di uscita.

Un questionario compilato senza questa mappa rischia di valutare il prodotto astratto e non il trattamento che l'azienda intende svolgere.

2. Attribuire un livello di rischio

La profondità dei controlli può essere modulata considerando volume, sensibilità, scala, vulnerabilità degli interessati e conseguenze di un incidente.

Il rischio non elimina l'obbligo di verificare le garanzie. Incide sulla profondità e sulla frequenza della verifica, come chiarito dall'EDPB nell'Opinion 22/2024.

3. Verificare le garanzie sufficienti

Le garanzie non coincidono necessariamente con una certificazione. Occorre valutare un insieme coerente di elementi:

• governance privacy e ruoli interni;
• controllo degli accessi, privilegi e autenticazione forte;
• cifratura in transito e, quando pertinente, a riposo;
• segregazione tra clienti e ambienti;
• backup, continuità operativa e ripristino;
• logging, rilevazione degli incidenti e gestione delle vulnerabilità;
• formazione e obblighi di riservatezza del personale;
• procedure per data breach e richieste degli interessati;
• test, audit, certificazioni o report indipendenti disponibili.

ISO 27001, SOC 2 o attestazioni analoghe possono essere evidenze utili, ma non sostituiscono la verifica del perimetro: una certificazione può riguardare solo alcuni servizi, sedi o controlli.

4. Esaminare il DPA e le istruzioni documentate

Il contratto deve rappresentare il trattamento reale. Oltre agli elementi obbligatori dell'art. 28.3, controlla in particolare:

• oggetto, durata, natura e finalità del trattamento;
• categorie di dati e interessati;
• istruzioni documentate e limiti di utilizzo;
• obblighi di riservatezza;
• misure tecniche e organizzative allegate;
• assistenza per diritti, DPIA, consultazioni e data breach;
• audit e modalità con cui ottenere evidenze;
• restituzione o cancellazione alla cessazione;
• eventuale uso dei dati per addestramento, analytics del provider o miglioramento del servizio.

Formule generiche come “sicurezza conforme agli standard di settore” non permettono da sole di capire quali misure siano realmente applicate.

5. Mappare tutti i sub-responsabili rilevanti

L'EDPB ritiene che il titolare debba poter disporre in ogni momento dell'identità dei responsabili e sub-responsabili coinvolti, comprese informazioni utili come nome, indirizzo e contatto. Il responsabile dovrebbe mantenerle aggiornate proattivamente.

La verifica deve chiarire:

• quale attività svolge ciascun sub-responsabile;
• dove avviene il trattamento;
• quali dati può ricevere;
• come vengono imposti obblighi equivalenti;
• quale meccanismo regola aggiunte o sostituzioni;
• come il titolare può formulare un'opposizione motivata.

Non esiste però un obbligo automatico di richiedere sistematicamente copia di ogni contratto tra responsabile e sub-responsabile. La necessità di acquisirlo dipende dal rischio e dalla completezza delle evidenze disponibili. La responsabilità finale della scelta rimane in capo al titolare.

6. Controllare localizzazione e trasferimenti extra-SEE

“Data center in Europa” non dimostra, da solo, l'assenza di trasferimenti. Supporto remoto, telemetria, backup, accessi amministrativi e sub-responsabili possono coinvolgere paesi terzi.

Per ogni flusso extra-SEE occorre verificare:

• paese di destinazione e soggetti importatori;
• eventuale decisione di adeguatezza;
• SCC applicabili e modulo corretto;
• Transfer Impact Assessment quando necessario;
• misure supplementari tecniche, contrattuali o organizzative;
• coerenza con registro, informativa e DPIA.

La guida sui trasferimenti di dati extra-UE approfondisce SCC, decisioni di adeguatezza e TIA.

7. Approvare, mitigare o rifiutare il fornitore

La due diligence deve concludersi con una decisione tracciabile, non con un questionario archiviato senza esito. Le opzioni tipiche sono:

• approvazione senza condizioni;
• approvazione con misure compensative o scadenze;
• uso limitato a dati non sensibili o anonimizzati;
• richiesta di modifica contrattuale o configurazione;
• sostituzione del fornitore quando le garanzie restano insufficienti.

La scheda finale dovrebbe indicare responsabile interno della decisione, rischio residuo, evidenze esaminate, condizioni e data della prossima revisione.

Il controllo non termina con la firma

Nuovi sub-responsabili, acquisizioni societarie, incidenti, cambi di data residency o funzioni AI possono modificare il rischio durante il rapporto. Prevedi eventi che riaprono la valutazione:

• notifica di un nuovo sub-responsabile;
• data breach o indisponibilità rilevante;
• modifica sostanziale del servizio o delle finalità;
• ingresso in nuovi paesi;
• scadenza di certificazioni o report di audit;
• rinnovo contrattuale;
• cessazione del servizio e verifica della cancellazione.

Per i fornitori più critici, una revisione periodica programmata consente di controllare che le garanzie iniziali siano ancora attuali.

Checklist documentale pronta all'uso

• Scheda del servizio e flusso dei dati
• Ruolo privacy motivato per ciascuna finalità
• DPA e allegato con misure tecniche e organizzative
• Elenco aggiornato dei sub-responsabili
• Paesi e meccanismi di trasferimento documentati
• Evidenze di sicurezza proporzionate al rischio
• Procedura di notifica degli incidenti
• Regole di retention, cancellazione ed exit
• Esito della valutazione e rischio residuo
• Owner interno e data di rivalutazione

Errori frequenti

Valutare soltanto i grandi provider. Anche un piccolo plugin o un consulente con accesso amministrativo può creare un rischio significativo.

Confondere data residency con assenza di trasferimenti. Gli accessi da remoto e la catena dei sub-responsabili devono essere verificati separatamente.

Accettare una certificazione senza controllarne il perimetro. Il servizio acquistato potrebbe non essere incluso.

Usare un questionario uguale per tutti. Produce risposte inutili sui fornitori semplici e verifiche insufficienti sui trattamenti ad alto rischio.

Dimenticare l'uscita. Portabilità, restituzione, cancellazione dei backup e revoca degli accessi devono essere pianificate prima della cessazione.

Domande frequenti

Il titolare deve conoscere tutti i sub-responsabili?

Deve poter disporre di informazioni aggiornate sull'identità dei soggetti della catena che trattano i dati affidati e sulle attività svolte. L'Opinion 22/2024 dell'EDPB richiede che tali informazioni siano prontamente disponibili; non impone però di acquisire automaticamente ogni contratto di subfornitura.

Una certificazione ISO 27001 rende automaticamente conforme il fornitore?

No. È un'evidenza utile, ma occorre verificare perimetro, validità e coerenza con il servizio acquistato. Non sostituisce DPA, qualificazione dei ruoli o verifica dei trasferimenti.

Il DPA standard del provider può essere sufficiente?

Può esserlo se descrive correttamente il trattamento e contiene gli elementi dell'art. 28 GDPR. Deve essere valutato insieme ad allegati, configurazioni, lista dei sub-responsabili e condizioni commerciali.

Ogni fornitore deve compilare un questionario lungo?

No. I controlli devono essere proporzionati. Un questionario approfondito è giustificato per servizi critici o ad alto rischio; per trattamenti limitati possono bastare evidenze più snelle ma comunque documentate.

Chi deve approvare il vendor?

La responsabilità GDPR rimane del titolare. Operativamente la decisione può coinvolgere procurement, IT, security, legal e DPO, con ruoli e soglie di approvazione definiti in una procedura interna.