ATTO DI DESIGNAZIONE DEL RESPONSABILE DEL TRATTAMENTO (art. 28 del Reg. UE 2016/679)

TRA, DA UNA PARTE

[DENOMINAZIONE STRUTTURA CHE CONFERISCE L’INCARICO], in persona del suo legale rappresentante pro tempore, con sede centrale in [CITTA E INDIRIZZO], C.F. [CODICE FISCALE], PEC [PEC], di seguito "CGIL”, “Designante”, “Committente” e/o “Titolare”

E DALL’ALTRA

[RAGIONE SOCIALE DELLA SOCIETA’ CHE SI OCCUPA DI SMALTIMENTO RIFIUTI O SIMILI], in persona del suo legale rappresentante p.t., con sede in [CITTA’], [INDIRIZZO], C.F. [codice fiscale], PEC [PEC], di seguito “Fornitore” e/o “Responsabile”;

nei loro rapporti reciproci ai fini della presente di seguito indicati anche come Parti;

premesso che

le Parti hanno stipulato un accordo che prevede l’onere per il Fornitore di procedere all’imbustamento [ed eventualmente alla consegna allo spedizioniere] per la spedizione agli iscritti delle tessere di iscrizione [e/o di altri documenti e/o buste che contengono dati quali, tra gli altri, l’indirizzo];

il predetto accordo nulla prevede in punto alla posizione che il Fornitore deve assumere ai sensi del Regolamento 2016/679 con riguardo al trattamento dei dati personali svolto per conto della IL TITOLARE;

l’art. 28, par. 1, del Regolamento 2016/679 prevede che, laddove una persona giuridica debba procedere al trattamento dei dati personali su incarico, o comunque per conto, del titolare del trattamento, acquisisce il ruolo di responsabile del trattamento e, come tale, deve essere espressamente designata con specificazione dei compiti e con individuazione delle istruzioni;

le Parti intendono oggi, con il presente atto, convenire quanto di seguito.

***

Tutto quanto sopra premesso le Parti pattuiscono quanto segue

Art. 1. Valore delle premesse

Le Premesse formano parte integrante e sostanziale del presente Atto e ad esse le Parti intendono attribuire valore negoziale.

Le Parti confermano la veridicità e l’essenzialità, anche ai fini dell’interpretazione del presente Atto, dei fatti indicati e delle dichiarazioni rese nelle Premesse al presente atto e al preventivo menzionato al punto (B) delle Premesse stesse.

Art. 2. Definizioni

Ai fini del presente Allegato, i termini di seguito indicati, ove riportati con lettera iniziale maiuscola, avranno il seguente significato:

“Contratto” indica il contratto principale concluso tra il Committente e il Fornitore di cui alla lettera (B) delle Premesse.

“Responsabile”: indica il Fornitore, designato come tale dall’art. 3 del presente Atto, ai sensi dell’art. 28 del Regolamento UE 2016/679.

“Titolare” o “Titolare del trattamento”: indica la IL TITOLARE indicata in intestazione come Committente.

“RGPD”: indica il REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO, del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati);

Art. 3. Designazione di Responsabile del trattamento.

Le Parti danno preliminarmente atto che la presente designazione viene allegata al Contratto.

La CGIL, in qualità di Titolare del trattamento dei dati personali, designa il Fornitore quale Responsabile dei trattamenti di dati effettuati ai sensi di quanto indicato in premessa, e ciò ai sensi e per gli effetti dell’art. 28 del RGPD. Il Responsabile, con la sottoscrizione del presente atto, accetta detta designazione.

La presente designazione concerne i dati personali anagrafici degli iscritti, eventuale codice identificativo, nonché il dato c.d. “particolare”, ex art. 9 del RGPD, dell’appartenenza sindacale, e consente al Responsabile di procedere alla raccolta, alla conservazione e all’elaborazione dei dati in quanto necessarie per l’imbustamento di quanto indicato in premessa e alla consegna delle buste con gli indirizzi degli iscritti alle Poste e/o allo spedizioniere per la spedizione.

Art. 4. Compiti del Responsabile del trattamento.

Il Responsabile si impegna a procedere al trattamento dei dati personali per i quali è stato designato, segnatamente ai compiti di cui al precedente art. 3, comma 2, ovverosia alla raccolta, alla successiva conservazione ed elaborazione in quanto necessarie per l’imbustamento di quanto indicato in premessa e alla consegna delle buste con gli indirizzi degli iscritti alle poste e/o allo spedizioniere per la spedizione, il tutto nel rispetto delle norme vigenti in materia di trattamento di dati personali che, con la sottoscrizione del presente atto, dichiara di conoscere.

Il Responsabile designato si impegna quindi, in particolare, a procedere a detti trattamenti:

adottando le più opportune misure atte al rispetto delle modalità di trattamento previste dall’art. 5 del RGPD, nel rispetto delle eventuali indicazioni del Titolare, in particolare avendo cura di procedere alla cancellazione dei dati non appena le buste saranno consegnate a Poste Italiane, distruggendoli in modalità sicura;

assistendo il Titolare del trattamento, laddove necessario, con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo di dare seguito alle richieste per l'esercizio dei diritti di cui Capo III del RGPD, ai sensi dell’art. 28, comma 1, lett. e) del RGPD;

adottando le misure di sicurezza previste dall’art. 32 del RGPD o eventualmente indicate dal Titolare, dal Garante per la protezione dei dati personali e/o dal Comitato Europeo con propria circolare, risoluzione o qualsivoglia altro provvedimento eventualmente diversamente denominato;

adottando tutte le misure di sicurezza e gli strumenti analogici e/o digitali opportuni al fine di trattare i dati personali oggetto del presente atto esclusivamente all’interno dello Spazio Economico Europeo. Il Titolare, infatti, esclude la possibilità di procedere al trasferimento dei dati in paesi extra UE.

procedendo alla nomina degli autorizzati al trattamento e fornendo loro le istruzioni necessarie, ai sensi e con le modalità di cui all’art. 29 del RGPD, indicando i trattamenti specificamente loro consentiti, nonché impegnandoli affinché siano tenuti allo stesso livello di riservatezza e segretezza imposto al Committente e, comunque, in ogni caso, consentire l’accesso ai dati alle sole condizioni di cui all’art. 29 del RGPD;

qualora necessario per il trattamento in oggetto, procedendo alla nomina di uno o più amministratori di sistema, fornendo loro specifiche istruzioni e indicando espressamente i compiti attribuiti nelle forme e con le modalità eventualmente indicate dal Titolare del trattamento e dal Garante per la protezione dei dati personali o dal Comitato ed indicando i relativi nominativi;

procedendo alla nomina dei Responsabili del trattamento, anche per conto del Titolare, ogni qual volta il Fornitore si avvalga di un soggetto terzo per il trattamento dei dati, nei limiti in cui ciò sia consentito dal Contratto o dalla presente designazione o dalla normativa vigente e comunque comunicando al titolare la relativa designazione trasmettendo copia dell’atto di designazione;

informando il Titolare entro 48 ore da quando ne ha avuto conoscenza di ogni possibile caso di violazione dei dati personali, nei modi e nei termini di cui alle istruzioni di cui all’art. 5, rispondendo tempestivamente ad ogni questionario che venga sottoposto al fine di consentire al Titolare di procedere alla notifica al Garante così come prevista ed imposta dall’art. 33 del RGPD.

Art. 5 – Istruzioni per il Responsabile.

Nello svolgimento dell’incarico affidato, il Responsabile si impegna a rispettare le seguenti istruzioni:

Persone autorizzate al trattamento dei dati. Il Fornitore garantisce di avvalersi di soggetti afferenti alla propria organizzazione o comunque sottoposti al suo controllo, che devono essere espressamente autorizzati e istruiti al trattamento dei dati per l’esecuzione delle attività indicate all’interno della presente designazione. In particolare, il Fornitore si impegna a vigilare che tali soggetti autorizzati:

trattino i dati in base alle istruzioni qui fornite, nonché alle specifiche indicazioni fornite dal Responsabile, ai fini e nei limiti dell’esecuzione delle attività di trattamento indicate nel presente Atto;

siano in grado di adottare le opportune misure di sicurezza tecniche e organizzative nello svolgimento delle attività a loro delegate;

si impegnino alla riservatezza o siano soggette ad un adeguato obbligo legale di riservatezza;

ricevano o abbiano ricevuto la necessaria formazione in materia di protezione dei dati personali.

Informazione circa le violazioni di dati personali. Il Fornitore si impegna ad assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 del RGPD. In particolare, nel caso in cui venisse a conoscenza di violazioni di dati personali durante lo svolgimento degli adempimenti del Contratto, lo stesso Responsabile si impegna a fornire al Committente, entro 48 ore dal momento in cui è venuto a conoscenza della violazione, tutte le informazioni necessarie per adempiere agli obblighi previsti agli artt. 33 e 34 del RGPD. La comunicazione delle informazioni dovrà essere fornita all’indirizzo PEC del titolare indicato in epigrafe e dovrà contenere ogni documentazione utile al fine di permettere al Committente, se necessario, di notificare detta violazione all’autorità di controllo competente.

Esercizio dei diritti degli interessati. Qualora l’interessato si rivolga al Fornitore per l’esercizio dei diritti ad esso riconosciuti dalla vigente normativa in materia di protezione dei dati personali, il Responsabile deve inoltrare, entro 24 ore lavorative dal ricevimento, le richieste dell’interessato all’indirizzo PEC del titolare come indicato in epigrafe, fornendo, ove possibile, ogni informazione utile al fine di prendere in carico ed evadere la richiesta dell’interessato.

Misure di sicurezza. Il Fornitore si impegna a mettere in atto le misure di sicurezza necessarie al fine di permettere al Committente il rispetto dei principi previsti all’interno degli artt. 5, 24 e 32 del RGPD. Qualora le attività necessarie per l’adempimento del Contratto dovessero comportare la necessità di trattamenti di dati personali anche mediante documenti cartacei, il Responsabile garantisce l’adozione delle seguenti misure di sicurezza minime:

conservare diligentemente, dalla ricezione fino al momento della consegna al destinatario, i documenti e i fascicoli cartacei in ambienti sicuri, chiusi a chiave o comunque dotati di idonee misure di sicurezza e accessibili solo a persone debitamente autorizzate;

evitare di lasciare incustoditi documenti e fascicoli contenenti dati personali in ambienti accessibili al pubblico o a persone non autorizzate e/o, comunque, evitare di lasciare i documenti e/o le buste a soggetto diverso dallo spedizioniere individuato.

Per quanto attiene il trattamento dei dati personali attraverso strumenti tecnici (per esempio: pc, cloud, hard disk…), il Responsabile garantisce l’adozione delle seguenti misure di sicurezza minime:

custodire con cautela le credenziali di autenticazione e aggiornare tali credenziali possibilmente ogni tre mesi;

adottare procedure di backup e di disaster recovery, nonché sistemi di protezione dei sistemi informatici idonei a garantire la sicurezza, l’integrità e la resilienza dei dispositivi, dei sistemi e della connessione utilizzata (tra cui software antivirus e firewall);

evitare, ove possibile, il salvataggio di dati personali e particolari su dispositivi portatili (ad esempio, dispositivi USB, CD-Rom, ecc.). Qualora la conservazione dei dati personali su periferiche rimovibili sia indispensabile, il Fornitore si impegna a custodire tali supporti con la massima diligenza e a provvedere alla cancellazione dei dati ivi contenuti, una volta terminata la necessità;

astenersi dalla comunicazione di dati personali e particolari ed evitare in ogni caso l’utilizzo di canali e/o strumenti tecnici non sicuri;

Periodo di conservazione dei dati. Il Fornitore procede al trattamento dei dati personali necessari per l’adempimento contrattuale nel rispetto del periodo di conservazione dei dati comunicato dal Titolare, in particolare come indicato al successivo art. 8. In ogni caso il Responsabile si impegna a procedere alla distruzione di ogni supporto cartaceo e/o elettronico nel quale siano trattati i dati personali (es. liste di iscritti consegnate in cartaceo e/o liste elettroniche conservate elettronicamente), laddove ne sia ancora in possesso, immediatamente dopo la consegna dei documenti e/o delle buste allo spedizioniere. In ogni caso il Responsabile si impegna a distruggere il cartaceo nel rispetto della normativa DIN 66399 (tenendo in considerazione che i dati personali contenuti nei supporti oggetto del Contratto sono inclusi nella classe di protezione 2, livello di sicurezza 4) e i supporti elettronici nel rispetto della normativa DIN 66399 (tenendo in considerazione che i dati personali contenuti nei supporti O e F oggetto del Contratto sono inclusi nella classe di protezione 2, livello di sicurezza 4) ed inoltre nel rispetto di quanto previsto nell’Allegato A) al provvedimento del Garante del 13 ottobre 2008 (https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1571514) e nelle “Istruzioni pratiche per una cancellazione sicura dei dati” Doc-web 1574080 del 12/12/2008 (https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1574080) che il Responsabile dichiara di ben conoscere.

Art. 6. Ulteriori Responsabili del trattamento.

È fatto divieto al Responsabile di ricorrere ad altri Sub-responsabili per l'esecuzione delle attività di trattamento (o parte delle stesse) oggetto del presente Contratto senza aver ottenuto la preventiva autorizzazione scritta del titolare, che sarà comunque insindacabile. A tal fine, il Responsabile sarà tenuto a comunicare per iscritto al titolare:

il nome dei Sub-responsabili di cui intende avvalersi;

il luogo in cui essi hanno sede e quello in cui svolgono la loro attività;

informazioni dettagliate circa le attività di trattamento, con riferimento ai Servizi, che verranno ad essi affidati;

ogni altra eventuale informazione che il TITOLARE potrebbe ragionevolmente richiedere.

In caso di rilascio dell’autorizzazione di cui al comma precedente, il Responsabile si obbliga ad imporre per iscritto ai propri Sub-responsabili, attraverso appositi accordi vincolanti, i medesimi obblighi in materia di protezione dei dati personali cui è soggetto il Responsabile in virtù del presente Atto, in particolare sotto il profilo degli obblighi in materia di sicurezza.

Il titolare avrà diritto di richiedere:

che il Responsabile fornisca copia degli accordi intercorrenti tra di esso e i propri Sub-responsabili (con possibilità di omissione delle sole informazioni strettamente confidenziali e degli accordi economici, se del caso);

che il Responsabile sottoponga ad audit i propri Sub-responsabili o comunque fornisca conferma che tale audit è stato condotto per dimostrare la conformità dei Sub-responsabili alle Norme e ai Provvedimenti Applicabili, nonché alle obbligazioni di cui al presente Contratto.

Resta espressamente inteso che il Responsabile principale rimarrà direttamente responsabile nei confronti del titolare in ordine alle azioni e alle omissioni dei propri Sub-responsabili.

Art. 7. Adempimenti per l’esercizio dell’obbligo di vigilanza.

Al fine della vigilanza prevista dall’art. 28, par. 3, lett. (h), del RGPD, il Responsabile si impegna a compilare e trasmettere i questionari che il Titolare del trattamento intenda sottoporre al fine di verificare il rispetto delle vigenti norme in materia di trattamento di dati personali.

Laddove con separato e successivo atto venga consentita al Responsabile la nomina di ulteriori Responsabili del trattamento, il Fornitore si impegna a svolgere, a nome e per conto del Titolare del trattamento, anche su richiesta di questi ultimi, le attività di controllo di cui al capoverso che precede nei confronti di tali ultimi Sub-Responsabili.

Art. 8. Cessazione del trattamento alla risoluzione della designazione.

Ai sensi dell’art. 28, comma 1, lett. g) del RGPD, in esito all’esecuzione del Contratto, o, comunque, in caso di risoluzione dello stesso, il Fornitore si impegna a procedere all’immediata cancellazione dei dati, certificando l’esecuzione di tali adempimenti a mezzo di dichiarazione sostitutiva di atto di notorietà.

[LUOGO E DATA]

[IL TITOLARE]	[FORNITORE/RESPONSABILE]

Il Segretario Generale	Il legale rappresentante