COMUNE DI CERRETO DI SPOLETO
PROVINCIA DI PERUGIA

COPIA DI DELIBERAZIONE  
DELLA GIUNTA COMUNALE

----------------------------------------------------------------------
Numero  !Oggetto: ENTRATA  IN  VIGORE REGOLAMENTO EUROPEO PRIVACY UE
67     !         2016/679.
Data   !         
23-05-18 !         
----------------------------------------------------------------------

L'anno  duemiladiciotto, il giorno  ventitre del mese di maggio alle ore 14:30, nella sede Comunale, convocata nei modi di legge, la Giunta municipale si é legalmente riunita con la presenza dei signori:

======================================================================

Campana Luciano	SINDACO	P	
ROSSI ROBERTA	VICE SINDACO	P	
PATRIZI GIANCARLO	ASSESSORE	A	

======================================================================

Partecipa il Segretario comunale  Canafoglia Valter
Il Presidente Signor Campana Luciano in qualità di SINDACO dichiara aperta la seduta per aver constatato il numero legale degli intervenuti, passa alla trattazione dell'argomento di cui all'oggetto.

LA GIUNTA COMUNALE
Vista la relazione del responsabile dell'area amm.va che di seguito si riporta:
"CONSIDERATO che il 25 maggio 2016 è entrato in vigore il Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati;

RILEVATO che il summenzionato Regolamento è direttamente applicabile in ciascuno degli Stati membri dell'Unione Europea ed entrerà in vigore il 25 maggio 2018;

TENUTO CONTO, inoltre, che il Regolamento Europeo Privacy UE/2016/679 ha:
disciplinato la nuova figura del "Data Protection Officer" (DPO), responsabile della protezione dei dati personali che le pubbliche amministrazioni hanno l'obbligo di nominare e deve sempre essere "coinvolto in tutte le questioni riguardanti la protezione dei dati personali";

DATO ATTO che:
-	il Regolamento UE 2016/679 prevede al punto nr. 10 – Per quanto riguarda il trattamento dei dati personali per l’adempimento di un obbligo legale, per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento, gli Stati membri, dovrebbero rimanere liberi di mantenere e introdurre norme nazionali al fine di specificare ulteriormente l’applicazione le norme del presente regolamento, e inoltre il presente regolamento prevede anche un margine di manovra degli Stati membri per precisarne le norme, anche con riguardo al trattamento di categorie particolari di dati personali («dati sensibili»). In tal senso, il presente regolamento non esclude che il diritto degli Stati membri stabilisca le condizioni per specifiche situazioni di trattamento, anche determinando con maggiore precisione le condizioni alle quali il trattamento di dati personali è lecito.
-	Il Consiglio dei Ministri, nella riunione n. 75 del 21 marzo 2018,  ha approvato, in esame preliminare, un decreto legislativo che, in attuazione dell’articolo 13 della legge di delegazione europea 2016-2017 (legge 25 ottobre 2017, n. 163), introduce “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)”, che deve essere ancora ufficialmente promulgato e pubblicato in G.U.;
-	Secondo il dettato del citato articolo 13 della Legge 163/2017, nell’esercizio della delega, il Governo è tenuto a:
– abrogare espressamente le disposizioni del codice in materia di trattamento dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, incompatibili con le disposizioni contenute nel regolamento (UE) 2016/679;
– modificare il codice 196/2003 limitatamente a quanto necessario per dare attuazione alle disposizioni non direttamente applicabili contenute nel regolamento (UE) 2016/679;
– coordinare le disposizioni vigenti in materia di protezione dei dati personali con le disposizioni recate dal regolamento (UE) 2016/679;
– prevedere, ove opportuno, il ricorso a specifici provvedimenti attuativi e integrativi adottati dal Garante per la protezione dei dati personali nell’ambito e per le finalità previsti dal regolamento (UE) 2016/679;
– adeguare, nell’ambito delle modifiche al codice di cui al decreto legislativo 30 giugno 2003, n. 196, il sistema sanzionatorio penale e amministrativo vigente alle disposizioni del regolamento (UE) 2016/679 con previsione di sanzioni penali e amministrative efficaci, dissuasive e proporzionate alla gravità della violazione delle disposizioni stesse.

-	a far data dal 25 maggio 2018– data in cui le disposizioni di diritto europeo acquisteranno efficacia – il vigente Codice in materia di protezione dei dai personali, di cui al decreto legislativo 30 giugno 2003, n. 196, sarà abrogato e la nuova disciplina in materia sarà rappresentata principalmente dalle disposizioni del suddetto Regolamento immediatamente applicabili e da quelle recate dal decreto legislativo, volte ad armonizzare l’ordinamento interno al nuovo quadro normativo dell’Unione Europea in tema di tutela della privacy.

RITENUTO, pertanto, sulla base di quanto sopra espresso, attivarsi per adempiere ai nuovi obblighi in materia di Privacy, dando attuazione prioritaria alle azioni propedeutiche a una corretta implementazione di tale nuova normativa, evidenziando che la per la completa attuazione di tale policy è necessario attendere la formale adozione del decreto legislativo di recepimento, al fine di evitare l’adozione di atti in contrasto con le disposizioni legislative ivi contenute. A tal fine risulta necessario procedere alla ricognizione e alla individuazione delle figure previste da tale normative, alla nomina del Responsabile Protezione Dati, e allo svolgimento dell’attività di formazione per i dipendenti dell’Ente;

- TITOLARE DEL TRATTAMENTO DATI: Comune di Cerreto di Spoleto in persona del Sindaco p.t. o suo delegato;
- RESPONSABILE DEL TRATTAMENTO: tutti i Responsabili di P.O. dei Settori in cui si articola l’organizzazione del Comune;
- CONTITOLARE DEL TRATTAMENTO: Altro Sindaco/soggetto legale rappresentante o suo delegato in caso di servizi in convenzione.
- CORRESPONSABILE DEL TRATTAMENTO: tutte le aziende, società, ditte e soggetti terzi per l’attività di loro competenza su delega dell’Ente titolare.
- SUB RESPONSABILE DEL TRATTAMENTO: gli incaricati del trattamento nel Codice Privacy.
Sono nominati da parte del Responsabile del trattamento per specifiche attività di trattamento, nel rispetto degli stessi obblighi contrattuali che legano il Titolare ed il Responsabile primario. Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del responsabile attenendosi alle istruzioni impartite loro che individuano specificamente l’ambito del trattamento consentito. 
- RESPONSABILE DELLA PROTEZIONE DATI (D.P.O.): Figura nuova creata allo scopo del potenziamento del controllo, dell’efficacia e della sicurezza dei sistemi di protezione dei dati personali.
Il Responsabile della Protezione dei dati è incaricato, infatti, dei seguenti compiti:
a) informare e fornire consulenza al Titolare ed al Responsabile nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal R.G.P.D. e dalle altre normative relative alla protezione dei dati. In tal senso, il D.P.O. effettua attività di formazione interna per il personale che tratta dati personali, e decide a quali trattamenti dedicare maggiori risorse e tempo in relazione al rischio riscontrato;
b) sorvegliare l’osservanza del R.G.P.D. e delle altre normative relative alla protezione dei dati, fermo restando le responsabilità del Titolare e del Responsabile del trattamento.
Fanno parte di questi compiti la raccolta di informazioni per individuare i trattamenti svolti, l’analisi e la verifica dei trattamenti in termini di loro conformità, l’attività di informazione, consulenza e indirizzo nei confronti del Titolare e del Responsabile del trattamento;
c) sorvegliare sulle attribuzioni delle responsabilità, sulle attività di sensibilizzazione, formazione e controllo poste in essere dal Titolare e del Responsabile del trattamento;
d) definire, se richiesto, un parere in merito alla valutazione di impatto della protezione dei dati e sorvegliarne lo svolgimento;
e) cooperare con il Garante per la Protezione dei dati personali e fungere da punto di contatto per detta Autorità;
f) verificare la tenuta dei Registri del Titolare e del Responsabile del trattamento.

RITENUTO di individuare e nominare i Responsabili Del trattamento dei dati personali i Responsabili titolari di P.O. dei Settori di cui si compone la struttura organizzativa dell’Ente;

PRECISATO che i suddetti titolari di P.O. saranno responsabili esclusivamente dei trattamenti relativi alle materie di competenza e dovranno assicurare che tali trattamenti siano effettuati nel pieno rispetto delle disposizioni normative inerenti alla tutela della riservatezza;

RITENUTO, infine, di individuare incaricati del trattamento dei dati personali e autorizzati al trattamento dei dati sensibili di pertinenza tutti i dipendenti del Comune precisando che:
- tutti i dipendenti che anche occasionalmente per dovere d’ufficio utilizzano i personal computer e/o compiono attività istruttoria nell’ambito dello svolgimento delle funzioni istituzionali dell’Ente ed in relazione ai compiti e alle mansioni loro assegnati sono incaricati del trattamento dei dati afferenti a persone fisiche e giuridiche di pertinenza della propria struttura (incluse le relative banche dati), ad esclusione del personale operario;
- tutti i dipendenti del Comune sono inoltre incaricati del trattamento dei dati personali di pertinenza dei Settori e dei Servizi non di appartenenza qualora essi siano necessari per lo svolgimento dell’attività istruttoria di competenza in relazione ai compiti affidati;
- gli incaricati del trattamento dei dati personali e autorizzati del trattamento dei dati sensibili così individuati possono effettuare qualunque operazione o complesso di operazioni ascrivibili alla definizione di trattamento dati;

DATO ATTO, inoltre, che si rende necessario prevedere pertanto, l'introduzione di figure soggettive e professionali che dovranno presidiare i processi organizzativi interni per garantire un corretto trattamento dei dati personali, tra cui il Data Protection Officer (Responsabile della Protezione dei dati personali - DPO), prevedendo l'adozione di nuove misure tecniche ed organizzative volte a garantire l'integrità e la riservatezza dei dati, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento, la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico, nonché la verifica e la valutazione dell'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento;

RILEVATO che ai sensi dell’art. 37 c. 5 e 6 del Regolamento Europeo Privacy UE/2016/679 il Responsabile della protezione dei dati, chiamato a dare attuazione agli obblighi imposti dalla suindicata normativa, è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui
all'articolo 39 e può essere un dipendente del soggetto titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi;

DATO ATTO che all’ interno del personale dipendente dell’Ente non sono presenti professionalità dotate delle conoscenze specialistiche, che presentano rilevanti aspetti di natura informatica, richieste dall’art. 37 c. 5 del Regolamento Europeo Privacy UE/2016/679 e necessarie allo svolgimento delle funzioni previste dal successivo art. 39, tra le quali figurano la mappatura dei procedimenti amministrativi, l’analisi della conformità del trattamento al GDPR, la valutazione del rischio, la redazione del registro trattamenti, la valutazione dell’impatto, la formazione del personale, ecc..;

CONSIDERATA la necessità di ottemperare agli obblighi imposti dal Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati;

RITENUTO, pertanto, di formulare atto di indirizzo alla Responsabile dell’Area Finanziaria a provvedere all’individuazione, mediante appalto di servizi da effettuarsi sugli strumenti di acquisizione elettronica delle Pubbliche Amministrazioni, conformemente a quanto previsto dall’art. 37 c. 6 del Regolamento Europeo Privacy UE/2016/679, di un operatore economico in possesso dei requisiti necessari a garantire l’assolvimento dei suindicati obblighi;

ACQUISITI i pareri favorevoli in ordine alla regolarità tecnica da parte del Segretario comunale e contabile 
ai sensi dell’art. 49 del D. lgs. N. 267/2000;

P R O P O N E

Tutto quanto in premessa costituisce parte integrante e sostanziale della presente;

1.	DI CONFERMARE che Titolare del Trattamento del  Comune di Cerreto di Spoleto è rappresentato dal Sindaco p.t.
2.	DI INDIVIDUARE quale contitolare del trattamento il soggetto legale rappresentante o suo delegato di Enti con i quali il Comune di  Cerreto di Spoleto ha servizi in convenzione.
3.	DI INDIVIDUARE quale Responsabile Del Trattamento tutti i Responsabili di P.O. dei Settori in cui si articola l’organizzazione del Comune;
4.	DI INDIVIDUARE quale - CORRESPONSABILE DEL TRATTAMENTO tutte le aziende, società, ditte e soggetti terzi per l’attività di loro competenza su delega dell’Ente titolare;
5.	DI INDIVIDUARE incaricati del trattamento dei dati personali e autorizzati al trattamento dei dati sensibili di pertinenza tutti i dipendenti del Comune precisando che:
           - tutti i dipendenti che anche occasionalmente per dovere d’ufficio utilizzano i personal computer e/o compiono attività istruttoria nell’ambito dello svolgimento delle funzioni istituzionali dell’Ente ed in relazione ai compiti e alle mansioni loro assegnati sono incaricati del trattamento dei dati afferenti a persone fisiche e giuridiche di pertinenza della propria struttura (incluse le relative banche dati), ad esclusione del personale operaio;
- tutti i dipendenti del Comune sono inoltre incaricati del trattamento dei dati personali di pertinenza dei Settori e dei Servizi non di appartenenza qualora essi siano necessari per lo svolgimento dell’attività istruttoria di competenza in relazione ai compiti affidati;
- gli incaricati del trattamento dei dati personali e autorizzati del trattamento dei dati sensibili così individuati possono effettuare qualunque operazione o complesso di operazioni ascrivibili alla definizione di trattamento dati.

6.	DI DARE ATTO che all’interno del personale dipendente 6. Dell’Ente non sono presenti professionalità dotate delle conoscenze specialistiche, che presentano rilevanti aspetti di natura informatica, richieste dall’art. 37 c. 5 del Regolamento Europeo Privacy UE/2016/679 e necessarie allo svolgimento delle funzioni previste dal successivo art. 39, tra le quali figurano la mappatura dei procedimenti amministrativi, l’analisi della conformità del trattamento al GDPR, la valutazione del rischio, la redazione del registro trattamenti, la valutazione dell’impatto, la formazione del personale, ecc;
7.	DI FORMULARE atto di indirizzo al Responsabile del Settore 1^ Amministrativo a provvedere all’individuazione, mediante appalto di servizi da effettuarsi sugli strumenti di acquisizione elettronica delle Pubbliche Amministrazioni, conformemente a quanto previsto dall’art. 37 c. 6 del Regolamento Europeo Privacy UE/2016/679, di un operatore economico in possesso dei requisiti necessari a garantire l’assolvimento dei suindicati obblighi imposti dal Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation).
8..DI DICHIARARE, con separata ed unanime votazione favorevole, la presente deliberazione immediatamente eseguibile, ai sensi dell’art.134 , comma 4 del D.lgs. n. 267 del 18.08.2000 stante l’urgenza di attuare quanto deliberato.
                                         F.to Bocci
Ritenuto di dover provvedere in merito;

Ad unanimita' di voti legalmente espressi;

D E L I B E R A

8.	DI CONFERMARE che Titolare del Trattamento del  Comune di Cerreto di Spoleto è rappresentato dal Sindaco p.t.
9.	DI INDIVIDUARE quale contitolare del trattamento il soggetto legale rappresentante o suo delegato di Enti con i quali il Comune di  Cerreto di Spoleto ha servizi in convenzione.
10.	DI INDIVIDUARE quale Responsabile Del Trattamento tutti i Responsabili di P.O. dei Settori in cui si articola l’organizzazione del Comune;
11.	DI INDIVIDUARE quale - CORRESPONSABILE DEL TRATTAMENTO tutte le aziende, società, ditte e soggetti terzi per l’attività di loro competenza su delega dell’Ente titolare;
12.	DI INDIVIDUARE incaricati del trattamento dei dati personali e autorizzati al trattamento dei dati sensibili di pertinenza tutti i dipendenti del Comune precisando che:
           - tutti i dipendenti che anche occasionalmente per dovere d’ufficio utilizzano i personal computer e/o compiono attività istruttoria nell’ambito dello svolgimento delle funzioni istituzionali dell’Ente ed in relazione ai compiti e alle mansioni loro assegnati sono incaricati del trattamento dei dati afferenti a persone fisiche e giuridiche di pertinenza della propria struttura (incluse le relative banche dati), ad esclusione del personale operaio;
- tutti i dipendenti del Comune sono inoltre incaricati del trattamento dei dati personali di pertinenza dei Settori e dei Servizi non di appartenenza qualora essi siano necessari per lo svolgimento dell’attività istruttoria di competenza in relazione ai compiti affidati;
- gli incaricati del trattamento dei dati personali e autorizzati del trattamento dei dati sensibili così individuati possono effettuare qualunque operazione o complesso di operazioni ascrivibili alla definizione di trattamento dati.

13.	DI DARE ATTO che all’interno del personale dipendente 6. Dell’Ente non sono presenti professionalità dotate delle conoscenze specialistiche, che presentano rilevanti aspetti di natura informatica, richieste dall’art. 37 c. 5 del Regolamento Europeo Privacy UE/2016/679 e necessarie allo svolgimento delle funzioni previste dal successivo art. 39, tra le quali figurano la mappatura dei procedimenti amministrativi, l’analisi della conformità del trattamento al GDPR, la valutazione del rischio, la redazione del registro trattamenti, la valutazione dell’impatto, la formazione del personale, ecc;
14.	DI FORMULARE atto di indirizzo al Responsabile del Settore 1^ Amministrativo a provvedere all’individuazione, mediante appalto di servizi da effettuarsi sugli strumenti di acquisizione elettronica delle Pubbliche Amministrazioni, conformemente a quanto previsto dall’art. 37 c. 6 del Regolamento Europeo Privacy UE/2016/679, di un operatore economico in possesso dei requisiti necessari a garantire l’assolvimento dei suindicati obblighi imposti dal Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation).
8..DI DICHIARARE, con separata ed unanime votazione favorevole, la presente deliberazione immediatamente eseguibile, ai sensi dell’art.134 , comma 4 del D.lgs. n. 267 del 18.08.2000 stante l’urgenza di attuare quanto deliberato.
*****

Responsabile area amm.va
parere FAVOREVOLE REGOLARITA' TECNICA___________

Responsabile area finanziaria
parere FAVOREVOLE REGOLARITA' CONTABILE__________

Il presente verbale viene approvato e sottoscritto:

IL PRESIDENTE 
F.to Campana Luciano    

IL SEGRETARIO
F.to Canafoglia Valter 

======================================================================
Il sottoscritto Segretario Comunale, visti gli atti d'Ufficio,

ATTESTA

-  che la presente deliberazione viene pubblicata nel sito web di
questo  Comune  a  partire dal 25-05-18 e vi resterà per 15 giorni
consecutivi 

() che la suddetta é stata comunicata con lettera n. 2691 in data
25-05-18 ai signori Capigruppo; 

Cerreto di Spoleto, lì             Il Segretario Comunale
F.to Canafoglia Valter 

======================================================================
E' copia conforme all'originale da servire per uso amministrativo.

Cerreto di Spoleto, lì               IL SEGRETARIO COMUNALE
Canafoglia Valter

======================================================================
Il sottoscritto Segretario Comunale, visti gli atti d'ufficio,

ATTESTA   

che la presente deliberazione, in applicazione del D.Lgs.267/2000, é divenuta esecutiva il giorno :
() decorsi 10 giorni dalla pubblicazione (art. 47, comma 2);

CeCerreto di Spoleto, lì                  IL SEGRETARIO COMUNALE
F.to Canafoglia Valter