# Trattamento dei dati per conto terzi quando i fornitori accedono ai server

> Assistenza remota, patch, forensica: che cosa regola un DPA ai sensi dell'art. 28 GDPR quando fornitori IT accedono ai server e che cosa chiarire prima.

Fonte: https://phpsos.de/it/blog/auftragsverarbeitung-serverzugriff/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** se un fornitore IT accede a server su cui si trovano dati personali, di regola serve un contratto di trattamento dei dati per conto terzi (AVV) ai sensi dell'art. 28 GDPR. Stabilisce che il fornitore agisce solo secondo istruzioni, mantiene la riservatezza, adotta misure di sicurezza adeguate, coinvolge altri partner solo con autorizzazione e comunica senza ritardo le violazioni dei dati. Concluda l'AVV prima che si verifichi l'emergenza. Questa pagina è un'informazione generale e non consulenza legale.

## Quando si deve fare in fretta, spesso manca il contratto

Nella settimana dopo PHP2Shell molte aziende hanno cercato aiuto esterno a breve termine. Un admin doveva aggiornare PHP, un'agenzia riavviare i processi, un team forense verificare i log. A tal fine gli esterni hanno ottenuto l'accesso a server su cui si trovano account clienti, ordini e dati di moduli. La domanda su quale base di protezione dei dati ciò avvenisse si è posta spesso solo dopo.

È comprensibile, perché in emergenza conta la velocità. Ma è evitabile. Con alcune preparazioni si possono unire entrambe le cose: aiuto rapido e base corretta.

## Quando serve un AVV con il fornitore IT

Si ha trattamento per conto terzi quando un fornitore tratta dati personali per conto e secondo le istruzioni di un titolare. Con i server web spesso basta già la possibilità di accesso: chi lavora con diritti di root su un server può leggere il database con i dati dei clienti, anche se non ne ha l'intenzione.

Situazioni tipiche con accesso al server sono:

- manutenzione continua e aggiornamenti da parte di agenzia o società di sistemi,
- esercizio del server da parte di un hoster con servizi gestiti,
- assistenza di emergenza, bonifica e ripristino dopo un attacco,
- indagine forense con copie di supporti di dati e log,
- monitoraggio in cui i dati di log confluiscono al fornitore.

Contano anche gli interventi brevi. Una sessione remota con condivisione dello schermo, in cui un tecnico dà solo «un'occhiata veloce», può mostrargli dati dei clienti. Un'esportazione del database inviata per e-mail per la ricerca degli errori è una trasmissione. Proprio queste occasioni avvengono spesso senza una base, perché non vengono percepite come progetto.

Se nel caso concreto ci sia un trattamento per conto terzi o un'altra configurazione lo valuta il suo responsabile della protezione dei dati. L'importante è porsi la domanda prima di assegnare gli accessi.

## Che cosa richiede nel contratto l'art. 28 GDPR

L'art. 28, par. 3, GDPR indica i contenuti obbligatori. Oltre a oggetto, durata, natura e finalità del trattamento, tipo di dati e categorie di interessati, il responsabile del trattamento deve impegnarsi, tra l'altro, sui punti seguenti. La colonna di destra mostra che cosa ciò significhi in pratica negli accessi al server.

| Obbligo ai sensi dell'art. 28, par. 3 | Significato pratico nell'accesso al server |
|---|---|
| a) Trattamento solo su istruzione documentata | Incarico per iscritto, ad esempio tramite ticket: che cosa va fatto esattamente |
| b) Riservatezza delle persone impiegate | Accedono solo persone vincolate e note per nome |
| c) Misure ai sensi dell'art. 32 | Account personali, autenticazione a due fattori, connessioni cifrate |
| d) Condizioni per altri responsabili del trattamento | Partner di forensica o hosting solo con autorizzazione |
| e) Assistenza per i diritti degli interessati | Collaborazione se accesso o cancellazione riguardano il server |
| f) Assistenza per gli artt. da 32 a 36 | Collaborazione su sicurezza, notifica e valutazione d'impatto |
| g) Cancellazione o restituzione a conclusione | Copie, immagini ed esportazioni vengono cancellate o restituite |
| h) Prove e verifiche | Registri degli accessi, informazioni sulle misure |

L'art. 33, par. 2, GDPR richiede inoltre che il responsabile del trattamento comunichi senza ritardo al titolare una violazione dei dati di cui viene a conoscenza. Con un fornitore che sta appunto esaminando un server compromesso non è una formalità: spesso è il primo a vedere indizi di una fuga di dati. Il termine e l'ulteriore svolgimento della notifica all'autorità di controllo li spiega [Obbligo di notifica GDPR: 72 ore dopo l'incidente](https://phpsos.de/it/compliance/dsgvo-meldepflicht-72-stunden/).

## Organizzare gli accessi nel rispetto della protezione dei dati

Un AVV firmato è la base. Se gli impegni vengano rispettati si decide nella prassi quotidiana. Questi passi si sono dimostrati validi:

1. **Accessi propri e personali** per ogni persona del fornitore, mai account admin condivisi. Come metterli in sicurezza lo descrive [Autenticazione a due fattori per gli accessi admin](https://phpsos.de/it/ratgeber/zwei-faktor-admin/).
2. **Limitare nel tempo:** disattivare gli accessi per un intervento a lavoro concluso, verificare regolarmente gli account permanenti.
3. **Registrare:** tracciare accessi e comandi degli account del fornitore, in modo che resti tracciabile chi ha fatto che cosa.
4. **Lavorare con minimizzazione dei dati:** per le analisi copiare solo i dati necessari, archiviare le copie in forma cifrata, annotare luogo di archiviazione e data di cancellazione.
5. **Documentare la conclusione:** accessi revocati, copie cancellate o consegnate, conferma per iscritto.

> **Importante:**
> Un'indagine forense genera spesso immagini complete dei server, compresi tutti i dati dei clienti. Regoli in anticipo dove si trovino tali immagini, chi vi acceda e quando vengano cancellate, senza mettere a rischio la conservazione delle prove.

## Concludere l'AVV prima dell'emergenza

Il momento migliore per l'AVV è un giorno tranquillo. Individui i fornitori che dovranno intervenire in caso di emergenza, cioè hoster, agenzia ed eventualmente un team per la gestione degli incidenti e la forensica, e concluda in anticipo i contratti con loro. Stabilisca anche quali altri partner il fornitore possa impiegare.

Conservi i contratti firmati dove si trova il piano d'emergenza e annoti nell'elenco dei contatti con chi esista un AVV. Gli altri obblighi di sicurezza, ad esempio termini per gli aggiornamenti e prove, appartengono al contratto di servizio; di più in [Contratti con i fornitori IT: regolare con chiarezza gli obblighi di sicurezza](https://phpsos.de/it/blog/dienstleistervertrag-sicherheit/). Per tutte le questioni giuridiche i referenti giusti sono il suo responsabile della protezione dei dati e un avvocato.

## Come aiuta concretamente PHP SOS?

- Prima del primo accesso chiariamo quali dati si trovano sui sistemi interessati e concordiamo il quadro con il suo responsabile della protezione dei dati.
- Lavoriamo con accessi personali e registrati e documentiamo ogni intervento in modo tracciabile.
- Indichiamo i partner specializzati che coinvolgeremmo ad esempio per la [forensica IT](https://phpsos.de/it/leistungen/it-forensik/), affinché lei possa decidere in anticipo.
- A conclusione di un [incident response](https://phpsos.de/it/leistungen/incident-response/) confermiamo per iscritto la revoca degli accessi e la cancellazione o la consegna di tutte le copie.

**Conclusione:** protezione dei dati e aiuto rapido non si escludono, se la base esiste prima. Un AVV con i fornitori per il caso grave appartiene a ogni preparazione all'emergenza. Questa pagina è un'informazione generale e non consulenza legale.


## Domande frequenti

**Ogni assistenza remota è un trattamento per conto terzi?**  
Non automaticamente. Decisivo è se il fornitore tratti dati personali per conto suo o possa accedervi. Con server web con account clienti, ordini o moduli di solito è così. La classificazione nel singolo caso la compie il suo responsabile della protezione dei dati.

**Posso concludere un AVV ancora durante un incidente?**  
È possibile, ma sotto pressione di tempo manca spesso la calma per una verifica. Meglio concludere in anticipo l'AVV con i fornitori che dovranno intervenire in caso di emergenza. Allora il lavoro può iniziare subito.

**Il fornitore deve informarmi se nota una violazione dei dati?**  
Sì. Secondo l'art. 33, par. 2, GDPR il responsabile del trattamento comunica senza ingiustificato ritardo al titolare una violazione dei dati personali, dopo esserne venuto a conoscenza. La notifica all'autorità di controllo resta compito del titolare.

**Il fornitore può coinvolgere altri partner, ad esempio per la forensica?**  
Secondo l'art. 28, par. 2, GDPR solo con la previa autorizzazione scritta del titolare, che può essere data in forma specifica o generale. Con un'autorizzazione generale il fornitore deve informare delle modifiche, affinché lei possa opporsi.

## Fonti

- [GDPR art. 28: responsabile del trattamento](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [GDPR art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)