{"id":10130,"date":"2019-10-01T13:07:00","date_gmt":"2019-10-01T13:07:00","guid":{"rendered":"https:\/\/www.gesecoarzachena.it\/?page_id=10130"},"modified":"2019-10-01T15:14:16","modified_gmt":"2019-10-01T15:14:16","slug":"regolamento-interno-ge-se-co-arzachena-surl","status":"publish","type":"page","link":"https:\/\/www.gesecoarzachena.it\/?page_id=10130","title":{"rendered":"Regolamento interno Ge.Se.Co. Arzachena Surl"},"content":{"rendered":"

Regolamento interno Ge.Se.Co. Arzachena Surl<\/p>\n<\/div><\/section>\n

Regolamento interno Ge.Se.Co. Arzachena Surl relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonch\u00e9 alla libera circolazione di tali dati<\/strong><\/p>\n

Art. 1 \u2013 Oggetto<\/a>
\nArt. 2 \u2013 Titolare del trattamento<\/a>
\nArt. 3 \u2013 Attribuzione di compiti a soggetti designati<\/a>
\nArt. 4 \u2013 Autorizzati al trattamento<\/a>
\nArt. 5 \u2013 Responsabile della protezione dei dati<\/a>
\nArt. 6 \u2013 Registro delle attivit\u00e0 di trattamento<\/a>
\nArt. 7 \u2013 Procedimento in caso di violazione dei dati personali (data breach)<\/a>
\nArt. 8 \u2013 Misure di sicurezza per il trattamento dei dati<\/a>
\nArt. 9 \u2013 Valutazione d’impatto sulla protezione dei dati (DPIA)<\/a>
\nArt. 10 \u2013 Rinvio<\/a><\/p>\n

<\/a>Art. 1<\/strong>
\nOggetto<\/strong><\/p>\n

1. Il presente regolamento interno (di seguito indicato come regolamento interno) adottato ai sensi dello Statuto della Ge.Se.Co. Arzachena Surl ha per oggetto le misure organizzative e procedimentali mediante le quali la Ge.Se.Co. Arzachena Surl attua i principi e le disposizioni del Regolamento (UE<\/acronym>) 2016\/679 del Parlamento e del Consiglio del 27 aprile 2016 (di seguito indicato come Regolamento) relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonch\u00e9 alla libera circolazione di tali dati e che abroga la direttiva 95\/46\/CE.<\/p>\n

<\/a>Art. 2
\nTitolare del trattamento<\/strong><\/p>\n

    \n
  1. Con riferimento ai dati trattati dalla Ge.Se.Co. Arzachena Surl, il titolare del trattamento \u00e8 Ge.Se.Co. Arzachena Surl in persona del suo rappresentante legale pro tempore.<\/li>\n
  2. Il titolare del trattamento assicura il rispetto dei principi e delle disposizioni del Regolamento anche mediante delega di alcune attivit\u00e0 di trattamento ai direttori dei servizi, secondo le rispettive competenze e responsabilit\u00e0. Ge.Se.Co. Arzachena Srl \u2013 Societ\u00e0 Unipersonale \u2013 R.E.A. 150020 \u2013 Capitale Sociale \u20ac. 300.000,00 int. vers. \u2013 Trib. di Tempio P. n. 692 Sede Legale ed amministrativa : Viale Costa Smeralda n\u00b0 56 \u2013 07021 Arzachena Telefono 0789 83401 \u2013 82106 – 81391 \u2013 Fax 0789 845352 \u2013Pec ge.se.co.srl@pec.it P. Iva<\/acronym> e Codice Fiscale 02 117 340 907<\/li>\n
  3. Qualora per specifiche finalit\u00e0 previste dalla normativa nazionale e regionale, il trattamento dei dati, debba essere effettuato, in tutto o in parte, da Ge.Se.Co. Arzachena Surl e da altri soggetti, questi possano essere individuati quali contitolari, secondo quanto dispone il Regolamento UE<\/acronym>, previo accordo di contitolarit\u00e0.<\/li>\n<\/ol>\n

    <\/a>Art. 3<\/strong>
    \nAttribuzione di compiti a soggetti designati<\/strong><\/p>\n

      \n
    1. Con proprio provvedimento, il titolare del trattamento (nella persona del Legale Rappresentante) nomina sotto la sua autorit\u00e0 soggetti designati allo svolgimento di specifici
      \ncompiti e funzioni in ottemperanza dei principi dettati in materia di trattamento dei dati personali dall\u2019Art. 5 del Regolamento.
      \nIn particolare, ai soggetti designati verranno affidati i seguenti compiti previsti dal Regolamento aventi ad oggetto:<\/li>\n<\/ol>\n
        \n
      1. la comunicazione delle informazioni nei termini indicati dall\u2019Art. 13 del Regolamento qualora i dati personali siano raccolti presso l\u2019interessato;<\/li>\n
      2. la comunicazione delle informazioni nei termini indicati dall\u2019Art. 14 del Regolamento qualora i dati personali non siano stati ottenuti presso l\u2019interessato;<\/li>\n
      3. l\u2019esercizio del diritto di accesso dell\u2019interessato ai sensi dell\u2019Art. 15 del Regolamento;<\/li>\n
      4. l\u2019esercizio del diritto di rettifica da parte dell\u2019interessato ai sensi dell\u2019Art. 16 del Regolamento;<\/li>\n
      5. l\u2019esercizio del diritto alla cancellazione da parte dell\u2019interessato ai sensi dell\u2019Art. 17 del Regolamento;<\/li>\n
      6. l\u2019esercizio del diritto di limitazione del trattamento da parte dell\u2019interessato ai sensi dell\u2019Art. 18 del Regolamento;<\/li>\n
      7. la notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento ai sensi dell\u2019Art. 19 del Regolamento;<\/li>\n
      8. l\u2019esercizio del diritto alla portabilit\u00e0 dei dati ai sensi dell\u2019Art. 20 del Regolamento;<\/li>\n
      9. \u00a0l\u2019esercizio del diritto di opposizione ai sensi dell\u2019Art. 21 del Regolamento;<\/li>\n
      10. l\u2019esercizio del diritto di cui all\u2019Art. 22 del Regolamento;<\/li>\n
      11. l\u2019adozione, e ove necessario riesame e aggiornamento, delle misure tecniche e organizzative adeguate per garantire ed essere in grado di dimostrare che il trattamento \u00e8 effettuato conformemente al Regolamento. Tali misure devono comunque essere adeguate a garantire un livello di sicurezza adeguato al rischio secondo quanto statuito dall\u2019Art. 32 del Regolamento. Fatte salve eventuali misure particolari correlate alle specificit\u00e0 delle finalit\u00e0 del trattamento, le Ge.Se.Co. Arzachena Srl \u2013 Societ\u00e0 Unipersonale \u2013 R.E.A. 150020 \u2013 Capitale Sociale \u20ac. 300.000,00 int. vers. \u2013 Trib. di Tempio P. n. 692 Sede Legale ed amministrativa : Viale Costa Smeralda n\u00b0 56 \u2013 07021 Arzachena Telefono 0789 83401 \u2013 82106 – 81391 \u2013 Fax 0789 845352 \u2013Pec ge.se.co.srl@pec.it P. Iva<\/acronym> e Codice Fiscale 02 117 340 907 predette misure possono consistere in interventi conformi a linee guida e policy da applicare secondo standard comuni a tutti gli uffici dell\u2019Amministrazione.<\/li>\n
      12. \u00a0l\u2019adozione delle misure tecniche e organizzative adeguate ad attuare in modo efficace e fin dalla progettazione i principi di protezione dei dati personali e integrare nel trattamento le garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti degli interessati (privacy by design);<\/li>\n
      13. l\u2019adozione delle misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari in relazione a ciascuna specifica finalit\u00e0 del trattamento (privacy by default);<\/li>\n
      14. lo svolgimento degli adempimenti correlati, per quanto di competenza, all\u2019attuazione degli articoli 26 e 28 del Regolamento, concernenti, rispettivamente, gli obblighi correlati alla situazione di contitolarit\u00e0 del trattamento e disciplina del responsabile del trattamento;<\/li>\n
      15. la formale individuazione, nelle rispettive strutture, degli incaricati del trattamento;<\/li>\n
      16. la tenuta del registro delle attivit\u00e0 di trattamento in modo da assicurarne, per gli aspetti di competenza, la corretta compilazione e il costante aggiornamento e revisione;<\/li>\n
      17. la rilevazione e la segnalazione al responsabile delle protezione dei dati (RPD), secondo quanto indicato nell\u2019Art. 35 del Regolamento e nelle Linee guida adottate sul tema dal Gruppo di lavoro europeo (WP29), dei casi nei quali effettuare la valutazione d\u2019impatto sulla protezione dei dati personali e lo svolgimento della valutazione di impatto secondo le direttive e previa consultazione del RPD, provvedendo, ove necessario anche alla consultazione preventiva ai sensi dell\u2019Art. 36 del Regolamento.<\/li>\n
      18. la collaborazione, per quanto di competenza, con il responsabile della protezione dei dati della Ge.Se.Co. Arzachena Surl, nell\u2019esecuzione dei compiti ad esso attribuiti;<\/li>\n
      19. la cooperazione, per quanto di competenza, con l\u2019autorit\u00e0 di controllo, nell\u2019esecuzione dei compiti ad essa attribuiti.<\/li>\n<\/ol>\n

        2. Il precedente comma 1 si applica anche in caso di accordo contitolarit\u00e0 di cui al precedente
        \nArt.3, ultimo comma.<\/p>\n

        <\/a>Art. 4<\/strong>
        \n Autorizzati al trattamento<\/strong><\/p>\n

          \n
        1. Sono soggetti autorizzati al trattamento i dipendenti e collaboratori che agiscono sotto la diretta autorit\u00e0 del titolare del trattamento, i quali ai sensi dell\u2019Art. 29 del Regolamento hanno accesso ai dati personali e al loro trattamento previa formale designazione e dopo essere stati debitamente istruiti e formati.<\/li>\n
        2. Il precedente comma 1 si applica anche in caso di accordo contitolarit\u00e0 di cui al precedente Art. 3, ultimo comma.<\/li>\n<\/ol>\n

          <\/a>Art. 5<\/strong>
          \n Responsabile della protezione dei dati RPD<\/strong><\/p>\n

            \n
          1. Il responsabile della protezione dei dati della Ge.Se.Co. Arzachena Surl, con le competenze e le prerogative previste dagli articoli 37, 38 e 39 del regolamento, \u00e8 Centro Studi Enti Locali Spa nella persona del Dott. Stefano Paoli.
            \nIl RPD \u00e8 incaricato dei seguenti compiti:<\/li>\n<\/ol>\n
              \n
            1. informare e fornire consulenza al Titolare ed al Responsabile del trattamento nonch\u00e9 ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal RGPD e dalle altre normative relative alla protezione dei dati. In tal senso il RPD pu\u00f2 indicare al Titolare e\/o al Responsabile del trattamento i settori funzionali ai quali riservare un audit interno o esterno in tema di protezione dei dati, le attivit\u00e0 di formazione interna per il personale che tratta dati personali, e a quali trattamenti dedicare maggiori risorse e tempo in relazione al rischio riscontrato;<\/li>\n
            2. sorvegliare l\u2019osservanza del RGPD e delle altre normative relative alla protezione dei dati, fermo restando le responsabilit\u00e0 del Titolare e del responsabile del trattamento. Fanno parte di questi compiti la raccolta di informazioni per individuare i trattamenti svolti, l\u2019analisi e la verifica
              \ndei trattamenti in termini di loro conformit\u00e0, l\u2019attivit\u00e0 di informazione, consulenza e indirizzo nei confronti del Titolare e del Responsabile del trattamento;<\/li>\n
            3. sorvegliare sulle attribuzioni delle responsabilit\u00e0, sulle attivit\u00e0 di sensibilizzazione, formazione e controllo poste in essere dal Titolare e dal Responsabile del trattamento;<\/li>\n
            4. fornire, se richiesto, un parere in merito alla valutazione di impatto sulla protezione dei dati (DPIA) e sorvegliarne lo svolgimento.<\/li>\n
            5. cooperare con il Garante per la protezione dei dati personali e fungere da punto di contatto per detta Autorit\u00e0 per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all\u2019Art. 36 RGPD, ed effettuare, se del caso, consultazioni relativamente a ogni altra questione. A tali fini il nominativo del RPD \u00e8 comunicato dal Titolare e\/o dal Responsabile del trattamento al Garante; Il Titolare ed il Responsabile del trattamento assicurano che il RPD sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
              \nIl titolare del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell\u2019esecuzione dei compiti di cui all\u2019Art. 39 del Regolamento fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti.<\/li>\n<\/ol>\n

              <\/a>Art. 6<\/strong>
              \n Registro delle attivit\u00e0 di trattamento<\/strong><\/p>\n

                \n
              1. Il registro delle attivit\u00e0 di trattamento, il cui modello \u00e8 allegato al presente atto, svolte sotto la responsabilit\u00e0 della Ge.Se.Co. Arzachena Surl, \u00e8 compilato, per gli aspetti di competenza, da ciascuna articolazione organizzativa dirigenziale della Ge.Se.Co. Arzachena Surl, che ne cura il costante aggiornamento e revisione;<\/li>\n
              2. Il registro delle attivit\u00e0 di trattamento \u00e8 detenuto dal titolare.<\/li>\n<\/ol>\n

                <\/a>Art. 7<\/strong>
                \n Procedimento in caso di violazione dei dati personali (data breach)<\/strong><\/p>\n

                  \n
                1. Per violazione dei dati personali (data breach) si intende la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l\u2019accesso ai dati personali trasmessi, conservati o comunque trattati dalla Ge.Se.Co. Arzachena Surl;<\/li>\n
                2. Al fine della corretta gestione dei casi di data breach il titolare del trattamento designa un dirigente responsabile e un suo sostituto con competenze adeguate a valutare le conseguenze sui diritti degli interessati e gestire la notifica delle violazioni, nonch\u00e9 il responsabile IT con competenze sugli aspetti tecnici al fine di prevenire e gestire le violazioni;<\/li>\n
                3. Ogni dipendente o collaboratore che agisce sotto l\u2019autorit\u00e0 del titolare del trattamento, qualora abbia conoscenza del verificarsi di una violazione dei dati personali, avvisa, con immediatezza e comunque entro 24 ore, utilizzando il modello di comunicazione allegato al presente atto, il titolare del trattamento e il dirigente responsabile per la gestione dei data breach di cui al comma 2. In ogni caso, entro il medesimo termine, il dipendente o collaboratore avvisa anche il dirigente preposto all\u2019articolazione organizzativa presso la quale presta servizio;<\/li>\n
                4. Non appena viene a conoscenza di un data breach che comporta un rischio per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento, per il tramite del dirigente responsabile di cui al comma 2, notifica la violazione dei dati personali al Garante, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne \u00e8 venuto a conoscenza, secondo quanto previsto dall\u2019Art. 33 del Regolamento;<\/li>\n
                5. Il titolare del trattamento, per il tramite del dirigente responsabile di cui al comma 2, comunica all\u2019interessato la violazione dei dati personali senza indebito ritardo, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libert\u00e0 della persona fisica, secondo quanto previsto dall\u2019Art. 34 del Regolamento;<\/li>\n
                6. Il dirigente responsabile di cui al comma 2 inserisce nel registro delle violazioni, il cui schema \u00e8 allegato al presente atto, la notifica effettuata al Garante e all\u2019interessato.<\/li>\n<\/ol>\n

                  <\/a>Art. 8<\/strong>
                  \n Misure di sicurezza per il trattamento dei dati<\/strong><\/p>\n

                    \n
                  1. La Ge.Se.Co. Arzachena Surl individua idonee misure tecniche ed organizzative al fine di garantire un livello di sicurezza adeguato al rischio tenendo conto dello stato dell\u2019arte e dei costi di attuazione, nonch\u00e9 della natura, del campo di applicazione, del contesto e delle finalit\u00e0 del trattamento, come anche del rischio di varia probabilit\u00e0 e gravit\u00e0 per i diritti e le libert\u00e0 delle persone fisiche.<\/li>\n
                  2. Le misure tecniche ed organizzative di sicurezza da mettere in atto per ridurre i rischi del trattamento ricomprendono: la pseudonimizzazione; la minimizzazione; la cifratura dei dati personali; la capacit\u00e0 di assicurare la continua riservatezza, integrit\u00e0, disponibilit\u00e0 e resilienza dei sistemi e dei servizi che trattano i dati personali; la capacit\u00e0 di ripristinare tempestivamente la disponibilit\u00e0 e l\u2019accesso dei dati in caso di incidente fisico o tecnico; una procedura per provare, verificare e valutare regolarmente l\u2019efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.<\/li>\n
                  3. Costituiscono u l t e r i o r i misure tecniche ed organizzative che possono essere adottate da ciascun Responsabile del trattamento:
                    \n– sistemi di autenticazione; sistemi di autorizzazione; sistemi di protezione (antivirus; firewall; antintrusione);
                    \n– misure antincendio; sistemi di rilevazione di intrusione; sistemi di sorveglianza; sistemi di protezione con videosorveglianza; registrazione accessi; porte, armadi e contenitori dotati di serrature e ignifughi; sistemi di copiatura e conservazione di archivi elettronici; altre misure per ripristinare tempestivamente la disponibilit\u00e0 e l\u2019accesso dei dati in caso di incidente fisico o tecnico.<\/li>\n<\/ol>\n

                    <\/a>Art. 9<\/strong>
                    \n Valutazione d\u2019impatto sulla protezione dei dati (DPIA)<\/strong><\/p>\n

                      \n
                    1. Nel caso in cui un tipo di trattamento, specie se prevede in particolare l\u2019uso di nuove tecnologie, possa presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, il Titolare, prima di effettuare il trattamento, deve attuare una valutazione dell\u2019impatto del medesimo trattamento (DPIA) ai sensi dell\u2019Art. 35 RGDP, considerati la natura, l\u2019oggetto, il contesto e le finalit\u00e0 dello stesso trattamento. La DPIA \u00e8 una procedura che permette di realizzare e dimostrare la conformit\u00e0 alle norme del trattamento di cui trattasi.<\/li>\n
                    2. Ai fini della decisione di effettuare o meno la DPIA si tiene conto degli elenchi delle tipologie di trattamento soggetti o non soggetti a valutazione come redatti e pubblicati dal Garante Privacy ai sensi dell\u2019at. 35, pp. 4-6, RGDP.<\/li>\n
                    3. La DPIA \u00e8 effettuata in presenza di un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche. Fermo restando quanto indicato dall\u2019Art. 35, p. 3, RGDP, i criteri in base ai quali sono evidenziati i trattamenti determinanti un rischio intrinsecamente elevato, sono i seguenti:
                      \na) trattamenti valutativi o di scoring, compresa la profilazione e attivit\u00e0 predittive, concernenti aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l\u2019affidabilit\u00e0 o il comportamento, l\u2019ubicazione o gli spostamenti dell\u2019interessato;
                      \nb) decisioni automatizzate che producono significativi effetti giuridici o di analoga natura, ossia trattamenti finalizzati ad assumere decisioni su interessati che producano effetti giuridici sulla persona fisica ovvero che incidono in modo analogo significativamente sudette persone fisiche;
                      \nd) trattamenti dei dati particolari di cui all\u2019Art. 9, RGDP;
                      \ne) trattamenti di dati su larga scala, tenendo conto: del numero di numero di soggetti interessati dal trattamento, in termini numerici o di percentuale rispetto alla popolazione di riferimento; volume dei dati e\/o ambito delle diverse tipologie di dati oggetto di trattamento; durata o persistenza dell\u2019attivit\u00e0 di trattamento; ambito geografico dell\u2019attivit\u00e0 di trattamento;
                      \nf) utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative.<\/li>\n
                    4. Il Titolare garantisce l\u2019effettuazione della DPIA ed \u00e8 responsabile della stessa. Il Titolare pu\u00f2 affidare la conduzione materiale della DPIA ad un altro soggetto, interno o esterno alla Ge.Se.Co. Arzachena Surl. Il Titolare pu\u00f2 consultarsi con il RPD anche per assumere la decisione di effettuare o
                      \nmeno la DPIA; tale consultazione e le conseguenti decisioni assunte dal Titolare devono essere documentate nell\u2019ambito della DPIA. Il RPD monitora lo svolgimento della DPIA. Il Responsabile del trattamento deve assistere il Titolare nella conduzione della DPIA fornendo ogni informazione necessaria. Il responsabile della sicurezza dei sistemi informativi, o l\u2019ufficio competente per detti sistemi, forniscono supporto al Titolare per lo svolgimento della DPIA.<\/li>\n
                    5. Il Titolare deve consultare il Garante Privacy prima di procedere al trattamento se le risultanze della DPIA condotta indicano l\u2019esistenza di un rischio residuale elevato. Il Titolare consulta il Garante Privacy anche nei casi in cui la vigente legislazione stabilisce l\u2019obbligo di consultare e\/o ottenere la previa autorizzazione della medesima autorit\u00e0, per trattamenti svolti per l\u2019esecuzione di compiti di interesse pubblico, fra cui i trattamenti connessi alla protezione sociale ed alla sanit\u00e0 pubblica.<\/li>\n
                    6. La DPIA deve essere effettuata – con eventuale riesame delle valutazioni condotte – anche per i trattamenti in corso che possano presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, nel caso in cui siano intervenute variazioni dei rischi originari tenuto conto della natura, dell\u2019ambito, del contesto e delle finalit\u00e0 del medesimo trattamento.<\/li>\n<\/ol>\n

                      <\/a>Art. 10<\/strong>
                      \n Rinvio<\/strong><\/p>\n

                        \n
                      1. Per quanto non specificatamente previsto dalle presenti disposizioni, si applica il RPGD e le sue norme applicative vigenti tempo per tempo.<\/li>\n<\/ol>\n
                        \n
                        \n\n
                        \n \n
                        \n
                        \n
                        \n
                        \n \n <\/div>\n
                        \n \n