GDPR: Casi pratici sui fornitori

In questi giorni molti miei clienti stanno "scoprendo" quanto sia difficile adeguarsi al GDPR quando si tratta di gestire i fornitori, ossia i "responsabili" o "processor".

I casi sono numerosi e normalmente riguarda i grandi fornitori che impongono il proprio modello contrattuale.

Qualche esempio:

• un fornitore ha risposto al mio cliente che non concede il diritto di audit (ma a sua volta se lo prende per verificare se il cliente usa il proprio software senza aver pagato il numero corretto di licenze);
• un grosso fornitore di servizi cloud anche di gestione del personale non prevede la localizzazione dei dati né fornisce alcuna garanzia richiesta dal GDPR (Paese ritenuto adeguato, clausole contrattuali o BCR nel caso di grandi imprese);
• un fornitore non ha voluto specificare le misure di sicurezza adottate.

Cambiare fornitore, lo sappiamo, non è facile. Non solo per questioni economiche dirette (la transizione sicuramente ha un costo), ma anche perché il rapporto con il precedente fornitore si è consolidato negli anni in termini di condivisione delle procedure e di competenze.

Dovremo aspettare le multe perché finalmente i contratti siano adeguati al GDPR? Temo sarà così.