Per stabilire l'eventuale contitolarità ai sensi dell'art. 26 del Regolamento UE 2016/679, l'indagine deve consentire di accertare se i vari titolari determinino congiuntamente le finalità e i mezzi del trattamento.
Questa indagine, considerata la fattispecie per come riferita (un'unica “azienda” a fronte di tre distinte persone giuridiche o comunque società): a) verosimilmente non deve arrestarsi dinanzi alla circostanza che, ad esempio - come sovente accade –, tutti gli strumenti hardware e software siano di proprietà esclusiva di una delle tre società; b) deve includere i vari accordi – formalizzati o meno – tra le società, circa le modalità di svolgimento delle attività; c) deve in ogni caso ispirarsi ad un approccio “sostanziale e funzionale” (cfr. Linee Guida Gruppo Articolo 29, Parere 1/2010), onde pervenire al fulcro del centro decisionale (condiviso o meno) in tema di finalità e di modalità/mezzi di svolgimento dei trattamenti.
Ove all'esito dell'indagine si configuri non già un rapporto di effettiva co-decisionalità bensì di strumentalità delle attività di trattamento svolte da una società rispetto alla finalità del trattamento dei dati gestito da un'altra società, devesi allora ricorrere alla nomina del responsabile ex art. 28.
