Un contitolare del trattamento è un ruolo previsto dal GDPR usato quando due o più organizzazioni decidono insieme perché i dati personali vengono trattati e in che modo tale trattamento viene effettuato. È diverso da un responsabile del trattamento, che agisce solo su istruzioni. La contitolarità può sorgere in piattaforme condivise, ecosistemi pubblicitari, servizi cloud o flussi di lavoro di IA in cui più parti influenzano la raccolta, la conservazione, l'arricchimento o la pubblicazione dei dati.
Nella sicurezza informatica, questo ruolo è importante perché definisce chi deve implementare le misure di protezione, rispondere alle richieste degli interessati, mantenere i registri e gestire gli obblighi in caso di violazione. Se la ripartizione delle responsabilità non è chiara, gli aggressori possono trarre vantaggio da lacune nel monitoraggio, nel controllo degli accessi o nella risposta agli incidenti. I difensori riducono questo rischio mappando il processo decisionale, documentando i doveri di ciascuna parte e allineando i controlli di sicurezza lungo l'intero flusso dei dati. Accordi chiari tra contitolari aiutano a dimostrare la responsabilità quando i dati personali passano tra fornitori, prodotti e team interni.