GDPR e video per i clienti: chi è responsabile dei dati?

Il GDPR si applica a una registrazione dello schermo appena contiene dati personali: un volto, una voce, un nome, un elenco di clienti in un pannello di amministrazione. Per i video che la tua agenzia manda sul proprio lavoro, di solito sei titolare del trattamento; quando registri i dati del tuo cliente mentre lavori per lui, di solito sei suo responsabile del trattamento. In entrambi i casi anche lo strumento che ospita i tuoi video è un responsabile del trattamento, quindi con lui ti serve un accordo sul trattamento dei dati (DPA), oltre a un registro di quello che fai e a un limite al tempo in cui le copie condivise restano online.

Qui sotto trovi ognuno di questi punti in parole semplici, con i riferimenti al testo del GDPR, e poi cosa fare in pratica.

Quando un video per un cliente contiene dati personali

Il GDPR definisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile” (articolo 4, punto 1). In un tipico video per un cliente questo comprende:

• Te e il tuo team. Il tuo volto nella bolla della webcam e la tua voce bastano a identificarti.
• Le persone sullo schermo. Nomi in un CRM, email dei clienti nel pannello di un e-commerce, il nome di un collega nella barra laterale di Slack.
• Le persone di cui parli. “Marco dell’amministrazione ha chiesto questa modifica” è un dato personale nell’audio e nei sottotitoli.

Un video di un prototipo Figma con testo segnaposto e senza webcam potrebbe non contenerne nessuno. Quasi tutti i video reali per i clienti ne contengono qualcuno. Per questo la nostra checklist sulla privacy nella registrazione dello schermo parte dal tenere i dati degli altri fuori dall’inquadratura: i dati che non sono nel video non vanno protetti.

Titolare o responsabile: chi risponde di cosa

Il GDPR divide le responsabilità tra due ruoli:

• Il titolare del trattamento “determina le finalità e i mezzi del trattamento di dati personali” (articolo 4, punto 7). Decide perché e come vengono trattati i dati.
• Il responsabile del trattamento “tratta dati personali per conto del titolare del trattamento” (articolo 4, punto 8). Segue le istruzioni del titolare.

Le linee guida del Comitato europeo per la protezione dei dati (EDPB) su questi concetti sottolineano che i ruoli dipendono da quello che ogni parte fa davvero in una situazione concreta, non da come la chiama un contratto. Nel lavoro con i clienti, tre situazioni tornano di continuo:

Situazione	Titolare	Responsabile
Mandi un video sul tuo lavoro: un preventivo, una revisione del design, un aggiornamento	La tua agenzia	Lo strumento video che lo ospita
Registri il pannello, il CRM o gli analytics del tuo cliente per sistemare o spiegare qualcosa per lui	Il tuo cliente	La tua agenzia, e lo strumento video come sub-responsabile
Il tuo cliente registra una segnalazione di bug e te la manda	Il tuo cliente (per la registrazione)	Dipende da cosa ne fai

I ruoli dipendono dai fatti di ogni caso. Non è una consulenza legale.

La seconda riga è quella che conta di più. Se tratti i dati dei clienti del tuo cliente come suo responsabile, il GDPR dice che non puoi ricorrere a un altro responsabile, come un servizio di hosting video, “senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento” (articolo 28, paragrafo 2). Il contratto con il cliente dovrebbe coprire questo punto, di solito con l’elenco degli strumenti che usi.

Cosa deve fare ciascun ruolo

I due ruoli hanno obblighi diversi. Questi sono quelli che contano di più per i video ai clienti:

Obbligo	Titolare	Responsabile	GDPR
Decidere perché e come trattare i dati	✓	✗ segue istruzioni documentate	Art. 4, punto 7; art. 28, par. 3, lett. a)
Scegliere la base giuridica	✓	✗	Art. 6
Rispondere a chi esercita i propri diritti	✓	~ assiste il titolare	Art. 28, par. 3, lett. e)
Avere un contratto per il trattamento	✓ con ogni responsabile	✓ e con i propri sub-responsabili	Art. 28, par. 3 e 4
Coinvolgere un altro responsabile	✓ lo autorizza	~ solo con autorizzazione scritta	Art. 28, par. 2
Tenere un registro dei trattamenti	✓	✓	Art. 30, par. 1 e 2
Adottare misure di sicurezza	✓	✓	Art. 32
Notificare una violazione dei dati	✓ all’autorità, ove possibile entro 72 ore	~ al titolare, senza ingiustificato ritardo	Art. 33
Cancellare o restituire i dati a fine lavoro	Sceglie quale delle due	✓	Art. 28, par. 3, lett. g)

Semplificato dal testo del GDPR su EUR-Lex. Non è una consulenza legale.

La base giuridica, in parole semplici

Ogni trattamento ha bisogno di una delle sei basi giuridiche dell’articolo 6, paragrafo 1. Per i video ai clienti ne contano tre:

• Contratto (articolo 6, paragrafo 1, lettera b): trattamento necessario per eseguire un contratto con la persona interessata. Va bene per un freelance che registra sé stesso per un cliente con cui ha un contratto.
• Legittimo interesse (articolo 6, paragrafo 1, lettera f): trattamento necessario per un tuo legittimo interesse, a meno che non prevalgano i diritti della persona. Spiegare il tuo lavoro a un cliente con un video è un interesse ragionevole; mostrare dati di terzi che a chi guarda non servono è più difficile da giustificare.
• Consenso (articolo 6, paragrafo 1, lettera a): spesso la prima cosa a cui si pensa, e spesso la più debole. Le linee guida dell’EDPB sul consenso spiegano che il consenso dei dipendenti raramente è libero, per lo squilibrio di potere con il datore di lavoro.

Quando agisci come responsabile del trattamento del tuo cliente, la base giuridica la determina il cliente: tu segui le sue istruzioni.

L’accordo sul trattamento dei dati

L’articolo 28, paragrafo 3, dice che i trattamenti da parte di un responsabile “sono disciplinati da un contratto o da altro atto giuridico” che vincola il responsabile al titolare. Quel contratto deve prevedere, tra le altre cose, che il responsabile:

• agisca solo su istruzione documentata del titolare, anche per i trasferimenti fuori dall’UE;
• garantisca che le persone che trattano i dati siano tenute alla riservatezza;
• adotti le misure di sicurezza richieste dall’articolo 32;
• ricorra a sub-responsabili solo alle condizioni dell’articolo 28;
• assista il titolare nel rispondere a chi esercita i propri diritti;
• cancelli o restituisca i dati alla fine del servizio;
• metta a disposizione le informazioni necessarie a dimostrare la conformità, e consenta le verifiche.

In pratica i DPA li incontri in due posti. Con il tuo strumento video, il DPA del fornitore copre i video che ospita per te. I grandi fornitori di solito ne hanno uno standard: quello di Atlassian, che copre Loom, si applica in automatico, come spieghiamo in Loom e GDPR. Con il tuo cliente, se agisci come suo responsabile, spesso ti chiederà di firmare il suo DPA, oppure puoi proporgli il tuo.

Il registro delle attività di trattamento

L’articolo 30 chiede a ogni titolare di tenere “un registro delle attività di trattamento svolte sotto la propria responsabilità”, e a ogni responsabile di tenere un registro dei trattamenti che svolge per conto dei titolari. Il registro indica, per esempio, le finalità, le categorie di persone e di dati, i destinatari, i trasferimenti fuori dall’UE, i tempi di conservazione e le misure di sicurezza.

C’è un’esenzione per le organizzazioni con meno di 250 dipendenti (articolo 30, paragrafo 5), ma non si applica quando il trattamento non è occasionale, può presentare un rischio o include categorie particolari di dati. Mandare video ai clienti ogni settimana è difficile da considerare occasionale, quindi per quasi tutte le agenzie una breve voce nel registro è la scelta prudente. L’UE ha proposto di semplificare questa regola per le imprese più piccole, e nel 2025 l’EDPB e il GEPD hanno dato il loro parere sulla proposta: controlla il testo in vigore prima di contare sull’esenzione.

Una voce per i video ai clienti può stare in cinque righe: cosa registri, perché, quale strumento conserva le copie condivise e dove, chi riceve i link e per quanto tempo le copie restano online.

Per quanto tempo puoi tenere le copie condivise

Il principio di limitazione della conservazione del GDPR dice che i dati personali devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (articolo 5, paragrafo 1, lettera e).

Per un video di feedback, la finalità è raggiunta quando il cliente l’ha visto e ha risposto. Tenerlo online per anni non serve a quella finalità. I link che scadono, o una regola di conservazione che cancella i vecchi video, mettono in pratica questo principio senza che nessuno debba ricordarsene. Raccontiamo il lato quotidiano in perché i link video con scadenza sono più sicuri.

Dati nell’UE o trasferimenti

Conservare i dati dentro l’UE (o nel più ampio Spazio economico europeo) ti tiene dentro le regole ordinarie del GDPR. Mandarli in un paese fuori dall’UE è un trasferimento, e il capo V del GDPR lo consente solo a condizioni precise (articolo 44):

• una decisione di adeguatezza della Commissione europea per quel paese (articolo 45). Per gli Stati Uniti la Commissione ne ha adottata una per l’EU-U.S. Data Privacy Framework il 10 luglio 2023, che copre le aziende che vi aderiscono;
• garanzie adeguate (articolo 46), molto spesso le clausole contrattuali tipo adottate dalla Commissione.

Quindi uno strumento con sede negli USA non è escluso in automatico, ma devi sapere su quale meccanismo si basa, e indicarlo nel tuo registro. Uno strumento che conserva le copie condivise nell’UE elimina questo passaggio per l’hosting. Controlla anche i suoi sub-responsabili: trascrizione e funzioni di AI sono spesso il punto in cui i dati escono dalla regione.

Cosa deve fare un’agenzia in pratica

Se stai impostando da zero un flusso di lavoro con i video, la nostra guida ai video asincroni per comunicare con i clienti copre il lato pratico, e la nostra pagina sulla registrazione dello schermo per le agenzie mostra come JustRec si inserisce nel lavoro di un team.

Dove si inserisce JustRec

Abbiamo costruito JustRec perché la parte GDPR richieda meno lavoro, non perché tu possa saltarla. Il tuo ruolo e il tuo registro restano compito tuo; alcuni dei passaggi qui sopra diventano più brevi.