ATTO DI DESIGNAZIONE A RESPONSABILE DEL TRATTAMENTO
(art. 28 del Regolamento UE 2016/679)

TRA, DA UNA PARTE

[DENOMINAZIONE STRUTTURA CHE CONFERISCE L’INCARICO], in persona del suo legale rappresentante pro tempore, con sede centrale in [CITTA E INDIRIZZO], C.F. [CODICE FISCALE], PEC [PEC], di seguito "CGIL”, “Designante” e/o “Committente”

E DALL’ALTRA

[RAGIONE SOCIALE DELLA SOCIETA’ CHE SI OCCUPA DI SMALTIMENTO RIFIUTI O SIMILI], in persona del suo legale rappresentante p.t., con sede in [CITTA’], [INDIRIZZO], C.F. [codice fiscale], PEC [PEC], di seguito “Fornitore” e/o “Responsabile”;

nei loro rapporti reciproci ai fini della presente di seguito indicati anche come Parti;

premesso che

la CGIL interviene nel presente atto anche in virtù dell’accordo di contitolarità sottoscritto dai Centri Regolatori della CGIL in data 30.06.2019 (www.cgil.it/contitolarita);

In virtù dell’accordo raggiunto in data [inserire DATA INCARICO E/O CONTRATTO O APPROVAZIONE PREVENTIVO], il Fornitore procederà alla distruzione di supporti elettronici consegnati dalla CGIL (es. VHS, CD, DVD, Floppy Disk, Chiavette, Pc, Hard Disk, e comunque qualsiasi altro supporto elettronico gli sia stato consegnato dalla CGIL), segnatamente di quelli per i quali sono esauriti gli obblighi di conservazione e che, quindi, contengono dati per i quali, ai sensi dell’art. 5 del Regolamento UE 2016/679, non è più consentita la conservazione;

Il Fornitore è soggetto che, tra gli altri, svolge compiti connessi alla distruzione e allo smaltimento di supporti contenenti dati personali, del quale il Committente intende avvalersi per provvedere a quanto descritto alla precedente lettera (B);

per tale ragione, ai sensi dell’art. 28 del Regolamento UE 2016/679, è necessario che il Fornitore venga designato Responsabile del trattamento nei limiti dei compiti derivanti dall’esecuzione dell’accordo intervenuto tra le Parti avente ad oggetto lo smaltimento di materiale cartaceo comprensivo anche di documenti contenenti dati ex art. 9 del Regolamento UE 2016/679.

***

Tutto quanto sopra premesso le Parti pattuiscono quanto segue.

Art. 1. Valore delle premesse

Le Premesse formano parte integrante e sostanziale del presente Atto e ad esse le Parti intendono attribuire valore negoziale.

Le Parti confermano la veridicità e l’essenzialità, anche ai fini dell’interpretazione del presente Atto, dei fatti indicati e delle dichiarazioni rese nelle Premesse al presente atto.

Art. 2. Definizioni

Ai fini del presente Allegato, i termini di seguito indicati, ove riportati con lettera iniziale maiuscola, avranno il seguente significato:

(a) “Contratto” indica l’accordo intervenuto tra la CGIL e il Fornitore di cui alla lettera (B) delle Premesse.

(b) “Titolare”: indica la CGIL indicata in epigrafe.

(d) “Responsabile”: indica il Fornitore indicato in epigrafe, che il Titolare designa Responsabile allo scopo di procedere alla distruzione dei supporti elettronici contenenti dati di titolarità della CGIL.

(e) “Regolamento”: indica il REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO, del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

Art. 3. Designazione di Responsabile del trattamento.

Le Parti danno preliminarmente atto che la presente designazione viene allegata al Contratto.

La CGIL in qualità di Titolare e/o Contitolare del trattamento di dati personali relativi all’oggetto del Contratto, designa il Fornitore quale Responsabile dei trattamenti di dati effettuati ai sensi di quanto indicato in premessa, e ciò ai sensi e per gli effetti dell’art. 28 del Regolamento.

Il Responsabile, con la sottoscrizione della presente, accetta detta designazione.

Art. 4. Compiti del Responsabile del trattamento.

Il Responsabile si impegna a procedere al trattamento dei dati personali per i quali è stato designato, segnatamente ai compiti indicati nelle premesse, ovverosia alla raccolta, presso i luoghi indicati dal Titolare, e alla successiva distruzione dei supporti elettronici indicati in premessa e contenenti dati di titolarità della CGIL, anche particolari, nel rispetto delle norme vigenti in materia di trattamento di dati personali che, con la sottoscrizione del presente atto, dichiara di conoscere.

Il Responsabile nominato si impegna quindi, in particolare, a procedere a detti trattamenti:

adottando le più opportune misure atte al rispetto delle modalità di trattamento previste dall’art. 5 del Regolamento, nel rispetto delle eventuali indicazioni del Titolare;

assistere il Titolare, laddove necessario e nella misura in cui ciò sia possibile, con misure tecniche e organizzative adeguate, al fine di soddisfare l'obbligo di dare seguito alle richieste per l'esercizio dei diritti di cui al Capo III del Regolamento, ai sensi dell’art. 28, paragrafo 3, lett. e) del medesimo Regolamento, laddove gli stessi vengano esercitati prima dell’effettivo esaurimento dei compiti di cui al comma 2;

adottando le misure di sicurezza di cui agli artt. 32 e seguenti del Regolamento;

procedendo alla individuazione e alla formazione dei soggetti designati o autorizzati al trattamento, indicando i trattamenti specificamente loro consentiti, nonché impegnandoli affinché siano tenuti allo stesso livello di riservatezza e segretezza imposto al Titolare;

procedendo personalmente al trattamento dei dati e, in particolare, al compimento delle operazioni di cui al comma 1, tenendo in considerazione che il Titolare esclude, salvo che in caso eccezionale e sopravvenuto, l’autorizzazione alla nomina di ulteriori Sub Responsabili;

mettendo a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi nascenti dalla designazione e consentendo e contribuendo alle attività di revisione, comprese le ispezioni effettuate nel rispetto del segreto aziendale, realizzate dal Titolare, informando immediatamente il Titolare qualora, a suo parere, un'istruzione ricevuta violi il Regolamento o, comunque, ogni altra disposizione in materia di protezione dei dati;

informando entro 48 ore da quando ne ha avuto conoscenza di ogni possibile caso di violazione dei dati personali, rispondendo tempestivamente ad ogni questionario che venga sottoposto al fine di consentire al Titolare di procedere alla notifica al Garante così come prevista ed imposta dall’art. 33 del Regolamento.

Art. 5 – Istruzioni per il Responsabile.

Nello svolgimento dell’incarico affidato, il Responsabile si impegna a rispettare, oltre a quelle già indicate nel precedente articolo 4, le seguenti istruzioni:

Persone autorizzate al trattamento dei dati. Il Fornitore garantisce di avvalersi di soggetti afferenti alla propria organizzazione o comunque sottoposti al suo controllo, che devono essere espressamente autorizzati e istruiti al trattamento dei dati per l’esecuzione delle attività indicate all’interno della presente designazione. In particolare, il Fornitore si impegna a vigilare che tali soggetti autorizzati:

trattino i dati in base alle istruzioni qui fornite dalla CGIL, nonché alle specifiche indicazioni fornite dal Responsabile, ai fini e nei limiti dell’esecuzione delle attività di trattamento indicate nel presente Atto;

siano in grado di adottare le opportune misure di sicurezza tecniche e organizzative nello svolgimento delle attività a loro delegate;

si impegnino alla riservatezza o siano soggette ad un adeguato obbligo legale di riservatezza;

ricevano o abbiano ricevuto la necessaria formazione in materia di protezione dei dati personali.

Informazione circa le violazioni di dati personali. Il Fornitore si impegna ad assistere la CGIL nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 del RGPD. In particolare, nel caso in cui venisse a conoscenza di violazioni di dati personali durante lo svolgimento degli adempimenti del Contratto, lo stesso Responsabile si impegna a fornire al Committente, entro 48 ore dal momento in cui è venuto a conoscenza della violazione, tutte le informazioni necessarie per adempiere agli obblighi previsti agli artt. 33 e 34 del RGPD. La comunicazione delle informazioni dovrà essere fornita all’indirizzo PEC della CGIL indicato in epigrafe e dovrà contenere ogni documentazione utile al fine di permettere al Committente, se necessario, di notificare detta violazione all’autorità di controllo competente.

Esercizio dei diritti degli interessati. Qualora l’interessato si rivolga al Fornitore per l’esercizio dei diritti ad esso riconosciuti dalla vigente normativa in materia di protezione dei dati personali, il Responsabile deve inoltrare, entro 24 ore lavorative dal ricevimento, le richieste dell’interessato all’indirizzo PEC della CGIL come indicato in epigrafe, fornendo, ove possibile, ogni informazione utile al fine di prendere in carico ed evadere la richiesta dell’interessato.

Misure di sicurezza. Il Fornitore si impegna a mettere in atto le misure di sicurezza necessarie al fine di permettere al Committente il rispetto dei principi previsti all’interno degli artt. 5, 24 e 32 del RGPD, oltre a quanto previsto nel precedente art. 4 par. 2 iii. Il Responsabile garantisce l’adozione delle seguenti misure di sicurezza minime:

conservare diligentemente, sino al momento della distruzione, i documenti, i fascicoli cartacei e, comunque, i supporti elettronici consegnatigli in ambienti sicuri, chiusi a chiave o comunque dotati di idonee misure di sicurezza e accessibili solo a persone debitamente autorizzate;

evitare di lasciare incustoditi, sino al momento della distruzione, documenti, fascicoli e supporti consegnatigli e contenenti dati personali in ambienti accessibili al pubblico o a persone non autorizzate;

Per quanto attiene il trattamento dei dati personali attraverso strumenti tecnici (per esempio: pc, cloud, hard disk…), il Responsabile garantisce l’adozione delle seguenti misure di sicurezza minime:

custodire con cautela le credenziali di autenticazione;

evitare la copia e il salvataggio di quanto contenuto nei dispositivi consegnatigli;

conservare diligentemente, sino al momento della distruzione, i supporti elettronici consegnatigli in ambienti sicuri, chiusi a chiave o comunque dotati di idonee misure di sicurezza e accessibili solo a persone debitamente autorizzate;

evitare di lasciare incustoditi, sino al momento della distruzione, supporti consegnatigli in ambienti accessibili al pubblico o a persone non autorizzate;

astenersi dalla comunicazione di dati personali e particolari ed evitare in ogni caso l’utilizzo di canali e/o strumenti tecnici non sicuri;

in ogni caso procedere alle attività demandategli nel rispetto della normativa DIN 66399 tenendo in considerazione che i dati personali contenuti nei supporti O e F oggetto del Contratto sono inclusi nella classe di protezione 2, livello di sicurezza 4 ed inoltre nel rispetto di quanto previsto nell’Allegato A) al provvedimento del Garante del 13 ottobre 2008 (https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1571514) e nelle “Istruzioni pratiche per una cancellazione sicura dei dati” Doc-web 1574080 del 12/12/2008 (https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/1574080) che il Responsabile dichiara di ben conoscere e segnatamente mediante demagnetizzazione (degaussing) dei dispositivi di memoria basati su supporti magnetici o magneto-ottici (dischi rigidi, floppy-disk, nastri magnetici su bobine aperte o in cassette), in grado di garantire la cancellazione rapida delle informazioni anche su dispositivi non più funzionanti ai quali potrebbero non essere applicabili le procedure di cancellazione software (che richiedono l’accessibilità del dispositivo da parte del sistema a cui è interconnesso) o con la distruzione fisica del dispositivo di memorizzazione.

Periodo di conservazione dei dati. Il Fornitore procede al trattamento dei dati personali necessari per l’adempimento contrattuale nel rispetto del periodo di conservazione dei dati comunicato dal Titolare, in particolare come indicato al successivo art. 8. In esito all’adempimento delle obbligazioni demandate al Fornitore, lo stesso non sarà più in possesso di alcun dato personale di titolarità della CGIL.

In ogni caso il Responsabile si impegna a rispettare ogni altra istruzione venga indicata, anche a mezzo PEO, e anche successivamente alla sottoscrizione del presente Atto.

Art. 6. Adempimenti per l’esercizio dell’obbligo di vigilanza.

Al fine della vigilanza prevista dall’art. 28, par. 3, lett. (h), del Regolamento, il Responsabile si impegna a compilare e trasmettere i questionari che il Titolare intenda sottoporre al fine di verificare il rispetto delle vigenti norme in materia di trattamento di dati personali.

Laddove con separato e successivo atto venga consentita dal Titolare la nomina di ulteriori Sub Responsabili del trattamento, il Responsabile si impegna a svolgere, a nome e per conto del Titolare, anche su richiesta di quest’ultimo, le attività di controllo di cui al capoverso che precede nei confronti dei Sub-Responsabili.

In ogni caso il Responsabile si impegna, in esito allo smaltimento conferito, a certificare l’avvenuto smaltimento nelle forme di cui al presente Atto.

Art. 6. Cessazione del trattamento alla risoluzione della designazione.

La durata della presente designazione è pari a quella del Contratto principale di cui alla lett. (B) delle Premesse, ivi comprendendo anche tutti i rinnovi eventualmente stabiliti dalle Parti e/o accettazione di eventuali nuovi preventivi contenenti le medesime attività di trattamento necessari per permettere alla CGIL ulteriori smaltimenti di documenti cartacei contenenti dati personali.

Le parti danno atto che l’esecuzione del Contratto comporta automaticamente la distruzione dei dati, tale essendo l’obbligazione assunta dal Responsabile.

Ai sensi dell’art. 28, paragrafo 3, lett. g) del Regolamento, conseguentemente, in caso di revoca o comunque di risoluzione della presente designazione prima che il Responsabile abbia dato completa esecuzione al Contratto, il Responsabile è tenuto a restituire al Titolare tutti i dati personali, cancellando le copie esistenti, certificando l’esecuzione di tali adempimenti a mezzo di dichiarazione sostitutiva di atto di notorietà.

[LUOGO E DATA]

CGIL	Fornitore

Il Segretario Generale	Il legale rappresentante