L’art. 28, par. 2, secondo periodo, GDPR attribuisce al titolare del trattamento un diritto di opposizione nei confronti di ogni nuovo sub-responsabile del trattamento. La Commissione ha essa stessa quantificato, nel proprio modello contrattuale, quanto ciò costi: secondo la clausola 7.7, opzione 2, della decisione (UE) 2021/915, il responsabile del trattamento deve notificare ogni modifica prevista dell’elenco concordato «almeno [INDICARE IL TERMINE] in anticipo, espressamente e per iscritto». Un assistente che sceglie il proprio strumento durante l’inferenza non dispone di alcun preavviso. Per questa operazione, dunque, la via dell’autorizzazione generale è preclusa, e il contratto deve prevedere un registro chiuso degli strumenti: ciò che deve essere disciplinato non è il modello, ma lo spazio di selezione dell’agente.

Ciò che richiede la clausola

L’art. 28, par. 2, primo periodo, GDPR prevede due vie: l’autorizzazione preventiva specifica per ciascun sub-responsabile del trattamento, oppure un’autorizzazione scritta generale riferita a un elenco concordato nel contratto. Il Comitato europeo per la protezione dei dati ha illustrato entrambe nelle linee guida 07/2020. L’elenco autorizzato deve figurare nel contratto o in un allegato (punto 154). In caso di autorizzazione specifica, il silenzio del titolare del trattamento vale come rifiuto (punto 155); in caso di autorizzazione generale, vale come assenso (punto 157); la differenza tra le due vie sta unicamente nel significato di questo silenzio. Il termine per l’opposizione deve essere ragionevole, commisurato alla natura e alla complessità del trattamento (punto 158). Per un fornitore che tiene a catalogo centinaia di strumenti, l’autorizzazione specifica è di fatto impraticabile — ogni nuova integrazione innescherebbe una nuova trattativa contrattuale. Resta solo la seconda via, che presuppone però un elenco già definito al momento dell’autorizzazione.

La nota 54 delle stesse linee guida chiude la porta che il mercato si era premurato di lasciare aperta. Non basta riconoscere al titolare del trattamento «a generalized access to a list of the sub-processors which might be updated from time to time»; il responsabile del trattamento deve notificare attivamente ogni modifica. La pagina dei sub-responsabili ad aggiornamento automatico, a cui rimanda praticamente ogni contratto cloud o di IA, non soddisfa, secondo questa lettura, l’art. 28, par. 2, secondo periodo, GDPR — e ciò già a livello di semplice servizio statico.

La cerchia dei destinatari è un mezzo essenziale

Il punto 40 delle linee guida 07/2020 distingue i mezzi essenziali da quelli non essenziali. Tra i mezzi essenziali, riservati al titolare del trattamento, il Comitato annovera espressamente «the categories of recipients (“who shall have access to them?”)». A decidere la cerchia dei destinatari non sono i pesi del modello, bensì il registro degli strumenti. Chi configura lo spazio di selezione determina un mezzo essenziale; chi lo lascia aperto ne rimette la determinazione al responsabile del trattamento.

Un esempio rende concreto il meccanismo. Un agente di supporto con accesso a quaranta server di strumenti collegati sceglie autonomamente, per rispondere a una richiesta di un cliente, un nuovo servizio di traduzione, perché la sua descrizione è quella che meglio corrisponde al compito. Il gestore di questo servizio non figurava nell’elenco autorizzato dal titolare del trattamento, e non vi è stata alcuna possibilità di opposizione, perché la scelta si è definita solo in fase di esecuzione. È esattamente questo il caso disciplinato dall’art. 28, par. 10, GDPR: chi determina, in violazione del regolamento, le finalità e i mezzi del trattamento, «è considerato un titolare del trattamento in relazione a tale trattamento» — con un proprio obbligo di rendicontazione che il contratto originario non aveva previsto.

Il tetto sanzionatorio, in questo caso, è diverso da quanto lascia intendere il dibattito corrente. Le violazioni dell’art. 28 rientrano, ai sensi dell’art. 83, par. 4, lett. a, GDPR, nel massimale più basso: 10 milioni di euro o il 2% del fatturato mondiale annuo dell’esercizio precedente. Il tasso doppio previsto dall’art. 83, par. 5, lett. a, scatta solo quando la comunicazione allo strumento scelto non trova più copertura in alcuna base di liceità ai sensi dell’art. 6 GDPR.

Cosa deve figurare nell’allegato

Un fornitore che prende sul serio l’art. 28, par. 2, GDPR non si limita a ricopiare la clausola: la ricostruisce. L’allegato relativo al trattamento in outsourcing non elenca categorie come «servizi di traduzione» o «strumenti di ricerca», bensì i singoli gestori, con nome, sede e finalità, come del resto richiede il punto 31 del parere 22/2024 per l’intera catena di sub-responsabili. Ogni ampliamento di questo elenco fa scattare il termine previsto dalla clausola 7.7, opzione 2 — non un silenzioso aggiornamento della pagina web. Lo spazio di abilitazione tecnica dell’agente — l’insieme degli strumenti che è effettivamente autorizzato a invocare in fase di esecuzione — viene limitato, lato software, esattamente a questo elenco, secondo una logica deny-by-default anziché allow-by-default. La differenza rispetto a una comune pagina dei subprocessor non è una questione di forma: determina se il fornitore mantiene il controllo sulla cerchia dei destinatari o lo delega al modello.

Il protocollo conosce la notifica, non il destinatario

La specifica MCP descrive espressamente gli strumenti come «model-controlled»: è il modello linguistico a scoprirli e a invocarli in autonomia. Per il caso in cui l’elenco degli strumenti cambi, il protocollo prevede persino una propria notifica, notifications/tools/list_changed. Questa è indirizzata al client. L’art. 28, par. 2, secondo periodo, GDPR richiede che sia indirizzata al titolare del trattamento, con un termine. La versione finale della specifica, pubblicata il 28 luglio 2026, rende il movimento ancora più visibile: le risposte tools/list recano ora i campi ttlMs e cacheScope, modellati sull’intestazione HTTP Cache-Control, affinché i client sappiano «how long a tools/list response is fresh» — e uno stream SSE permanente non sia più l’unico modo per venire a conoscenza di un cambiamento dell’elenco. Il protocollo è concepito per cambiamenti continui e imprevedibili dell’elenco degli strumenti. L’art. 28, par. 2, GDPR è concepito per un elenco fissato al momento della conclusione del contratto. Le due architetture sono, ciascuna, coerenti al proprio interno; semplicemente non sono compatibili tra loro.

Un’autorizzazione generale formulata in modo generoso non ripara la falla, perché la catena si spezza altrove. L’art. 28, par. 4, GDPR richiede che al sub-responsabile del trattamento vengano imposti, «mediante un contratto o un altro atto giuridico», gli stessi obblighi in materia di protezione dei dati; il punto 160 delle linee guida lo dice senza mezzi termini: «The whole chain of processing activities needs to be regulated by written agreements.» Un endpoint che l’agente raggiunge con un token OAuth ha condizioni d’uso. Un contratto ai sensi dell’art. 28, par. 4, non ce l’ha. Ai sensi dell’ultimo periodo della medesima disposizione, il primo responsabile del trattamento risponde inoltre, nei confronti del titolare, della violazione commessa dal sub-responsabile — una responsabilità che nessun fornitore assume per un endpoint che non è stato lui a scegliere.

Quanto costa il diritto di accesso

La Corte di giustizia dell’Unione europea (CGUE) ha stabilito, il 12 gennaio 2023, nella causa C-154/21 (RW contro Österreichische Post AG), che il titolare del trattamento deve comunicare l’identità dei destinatari. Può limitarsi alle categorie soltanto se «non è possibile» identificare i destinatari, oppure se la richiesta è manifestamente infondata o eccessiva ai sensi dell’art. 12, par. 5, GDPR. Questa impossibilità non è una proprietà della tecnica, ma una conseguenza della configurazione. Il Comitato ha già tracciato questo collegamento al punto 31 del proprio parere 22/2024: l’identità di tutti i responsabili e sub-responsabili del trattamento deve essere «readily available at all times» per il titolare, anche affinché questi possa rispondere alle richieste di accesso ai sensi dell’art. 15 GDPR senza ingiustificato ritardo.

Il compito per la prossima settimana non riguarda dunque il contratto. Ogni chiamata a uno strumento va registrata con identificativo dello strumento, gestore e riferimento all’interessato, e la durata di conservazione di questo registro va agganciata al termine dell’art. 12, par. 3, GDPR: un mese, prorogabile al massimo di altri due. L’allegato contrattuale viene dopo, con nome, indirizzo e punto di contatto per ciascun gestore (punto 31), e l’elenco di abilitazione tecnica viene impostato in modalità deny-by-default e mantenuto perfettamente coincidente con l’allegato. Chi affronta questi tre passaggi nell’ordine sbagliato — prima l’allegato contrattuale, poi la registrazione — si accorge, al più tardi alla prima richiesta di accesso, di aver sì promesso contrattualmente i destinatari, ma di non poter ricostruire tecnicamente quale di essi abbia effettivamente trattato quale richiesta.

Il livello svizzero

L’art. 9, par. 3, DSG consente l’ulteriore trasmissione solo con l’autorizzazione preventiva del titolare del trattamento; l’EDÖB ammette a tal fine anche un’autorizzazione generale, abbinata a un obbligo di informazione e a una possibilità di opposizione. Il vincolo più rigido si trova due paragrafi più sopra. L’art. 9, par. 1, lett. b, DSG ammette il trattamento per conto di terzi solo se nessun obbligo di riservatezza, legale o contrattuale, vieta la trasmissione — per una banca ai sensi dell’art. 47 BankG, o per uno studio legale ai sensi dell’art. 321 StGB, non si tratta di un bilanciamento, ma di un presupposto di liceità. Uno spazio di strumenti aperto rende impossibile questa verifica: chi non sa dove vadano i dati non può accertare se un obbligo di riservatezza osti alla trasmissione. La verifica stessa non può essere recuperata a posteriori — deve precedere la trasmissione, non seguirla, perché una violazione già consumata dell’art. 47 BankG o dell’art. 321 StGB non viene sanata da una successiva correzione contrattuale.

Cosa è certo, cosa resta aperto

È certo che l’art. 28, par. 2 e 4, GDPR richieda un elenco nominativo e una catena interamente formalizzata per iscritto, e che i punti da 154 a 160 delle linee guida 07/2020, nonché il punto 27 del parere 22/2024, descrivano come debba presentarsi entrambe le cose: autorizzazione prima dell’inserimento, non comunicazione successiva. Resta aperto se un’autorità di controllo riconoscerà a un elenco di abilitazione configurabile tecnicamente lo status di «elenco concordato» ai sensi della clausola 7.7, opzione 2, e se leggerà la scelta dello strumento in fase di esecuzione come determinazione di un mezzo essenziale ai sensi dell’art. 28, par. 10, GDPR. Alla prima domanda si risponderà prima di quanto lascino supporre i modelli contrattuali. L’azione coordinata di applicazione avviata il 19 marzo 2026 dal Comitato, a cui partecipano 25 autorità di controllo, riguarda gli obblighi di trasparenza e informazione di cui agli artt. 12, 13 e 14 GDPR, e dunque l’indicazione dei destinatari prevista dall’art. 13, par. 1, lett. e. Le autorità raccoglieranno i propri riscontri nel secondo semestre 2026; la relazione consolidata sarà poi sottoposta al Comitato per l’adozione. Chi fino ad allora continua a rispondere con «categorie di destinatari» dovrebbe sapere che è proprio questa risposta a essere attualmente sotto esame in 25 paesi.