La contitolarità del trattamento è un rapporto previsto dal GDPR in cui due o più parti decidono insieme perché i dati personali vengono raccolti e come vengono trattati. Non riguarda la semplice condivisione dei dati, ma il controllo condiviso sulle finalità e sui mezzi del trattamento. In pratica, questo può includere un produttore di dispositivi, un fornitore di app, un gestore di piattaforma o un partner di analisi.
Questo è importante nella sicurezza informatica perché il controllo condiviso crea una responsabilità condivisa. Ogni titolare può dover supportare un trattamento lecito, gli avvisi agli utenti, le richieste di accesso e cancellazione e le misure di sicurezza come il controllo degli accessi, la registrazione dei log, i limiti di conservazione e la gestione degli incidenti. Quando i ruoli non sono chiari, attaccanti e difensori traggono entrambi vantaggio dalla confusione: lacune nella responsabilità possono nascondere flussi di consenso deboli, configurazioni errate o trasferimenti di dati rischiosi. Accordi chiari tra contitolari, informative sulla privacy accurate e impostazioni verificabili aiutano a dimostrare chi è responsabile di cosa e a ridurre l'esposizione in termini di conformità e sicurezza.