La persona fisica o giuridica (pubblica o privata), determini le finalità ed i mezzi di un trattamento di dati personali è un titolare del trattamento. Il GDPR (Reg. UE 201/679) assegna a questa figura in primis la responsabilità di attuare misure tecniche ed organizzative adeguate per garantire (e poter dimostrare) che il trattamento è effettuato in conformità con il Regolamento (Art. 24, GDPR), tenendo conto del contesto delle attività di trattamento nonché del rischio per i diritti e le libertà delle persone fisiche (Considerando 74, GDPR). Il titolare del trattamento ha la responsabilità di stabilire quali siano tali misure tramite una analisi dei trattamenti effettuati ed una valutazione dei rischi per gli interessati (Ie persone fisiche cui si riferiscono i dati personali trattati).
Ad esempio una azienda tipicamente è titolare del trattamento dei dati del personale dipendente, ma la stessa azienda (azienda A), ad esempio, utilizza e vende ad altre aziende (aziende B e C) un software CRM per la gestione dei loro clienti con relativo servizio di manutenzione periodica è titolare del trattamento dei dati dei propri dipendenti e responsabile del trattamento dei dati personali trattati per conto delle aziende cui fornisce il CRM. In uno schema simile, molto frequente, il titolare del trattamento sotto il profilo formale dovrà fornire ai propri dipendeni le informative sul trattamento dei dati personali (artt. 12 – 14 del GDPR), fornire ai dipendenti e collaboratori che trattano i dati personali (i soggetti autorizzati al trattamento) delle istruzioni sulle operazioni di trattamento (artt. 29 e 32 del GDPR), sottoscrivere con le aziende clienti degli accordi tra titolare e responsabile del trattamento (art. 28 del GDPR) e dovrà sostanziare il tutto con programmi periodici di formazione per gli autorizzati al trattamento, effettuare una valutazione dei rischi di trattamento (art. 32 del GDPR) aggiornandola periodicamente, mantenere un registro dei trattamenti come titolare ed uno come responsabile del trattamento (art. 30 del GDPR). A seconda del contesto del trattamento (più o meno rischioso per gli interessati), il titolare del trattamento potrebbe dovere effettuare una valutazione di impatto del trattamento (art. 35 del GDPR) ed eventualmente una consultazione preventiva all’Autorità Garante (art. 36 del GDPR) e dovrà valutare se nominare un Responsabile per la Protezione dei Dati (RPD o DPO, Data Protection Officer) ai sensi dell’art. 37 del GDPR, nomina obbligatoria per gli enti pubblici. Il titolare del trattamento dovrà poi dotarsi di una procedura per la gestione dei diritti degli interessati (artt. 15 – 22 del GDPR) e di una procedura per la gestione delle violazioni dei dati personali (artt. 33 e 34 del GDPR). Le decisioni prese dal titolare vanno poi riesaminate periodicamente per valutarne la coerenza con eventuali mutamenti di contesto o normativi.
Queste attività possono essere inquadrate nel quadro generale della gestione dei rischi e la determinazione delle misure tecniche ed organizzative a presidio di tali rischi, obbligo del titolare del trattamento, può attingere da diverse fonti (ad esempio criteri di conformità a norme di certificazione, regole deontologiche) a seconda del contesto del trattamento. Tipici fattori di aumento dei rischi sono il trattamento di categorie particolari di dati personali (in pratica gli ex dati sensibili), il trattamento di dati di minori, l’utilizzo di tecnologie innovative, trattamenti di profilazione degli interessati, trattamenti di dati automatizzati che possono produrre effetti giuridici per gli interessati, trattamenti che possono comportare il monitoraggio degli interessati tramite la raccolta di dati attraverso reti, applicazioni, dispositivi informatici (es. geolocalizzazione, videosorveglianza).