"È scorretto obbligare l'assicurazione vincitrice ad assumere l'incarico di responsabile del trattamento."  Le P.A. non devono inserire nei bandi di gara per i servizi assicurativi, l'obbligo per l'aggiudicatarie di assumere l'incarico di responsabile del trattamento dei dati. Il Garante nel parere fornito a una società assicuratrice ha chiarito che l'assicurazione, in base al nuovo Regolamento UE sulla protezione dei dati e alla normativa di settore, mantiene la sua autonomia decisionale, in qualità di titolare del trattamento.

cfr. Fonte sito del Garante per la protezione dei dati personali