COMUNE DI SERRAVALLE DI CHIENTI
Provincia di Macerata

C O P I A
---------
DELIBERAZIONE DELLA GIUNTA COMUNALE

Numero  80   Del  26-09-2019

Oggetto:	Adozione del Registro della Privacy previsto dal R.G.P.D. - Regolamento Generale per la Protezione dei Dati - (UE) n. 2016/679.	

L'anno  duemiladiciannove il giorno  ventisei del mese di settembre alle ore 10:30, presso questa Sede Comunale, convocata nei modi di legge, si è riunita la Giunta Comunale per deliberare sulle proposte contenute nell'ordine del giorno unito all'avviso di convocazione.
Dei Signori componenti della Giunta Comunale di questo Comune:

======================================================================

NARDI EMILIANO	Sindaco	P	
SANTAMARIANOVA GABRIELE	Assessore	P	
RICCI PIETRO	Assessore	P	

======================================================================

ne risultano presenti n.   3 e assenti n.   0.
Assume  la  presidenza il Signor NARDI EMILIANO in qualità di Sindaco e partecipa il Segretario Montaruli Angelo
Il Presidente, accertato il numero legale, dichiara aperta la seduta ed invita la Giunta Comunale ad esaminare e ad assumere le proprie determinazioni sulla proposta di deliberazione indicata in oggetto.

LA GIUNTA COMUNALE
Visto:
•	Che il Consiglio Comunale dovrà adottare un apposito regolamento per la gestione della riservatezza dei dati personali, che dovrà prendere atto delle modifiche recentemente introdotte al Codice della privacy dal D.Lgs. 10 agosto 2018, n. 101;
•	Che il 25 maggio 2018 è entrato in vigore il Regolamento UE 2016/679 del 27 aprile 2016 relativo alla “Protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, che prevede:
Articolo 30 - Registri delle attività di trattamento 
1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.
2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente:
a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.
3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.
4. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell’autorità di controllo.
5. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all’articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all’articolo 10.
Articolo 35 Valutazione d’impatto sulla protezione dei dati
1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.
2. Il titolare del trattamento, allorquando svolge una valutazione d’impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno.
3. La valutazione d’impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti:
a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all’articolo 10; o
c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
4. L’autorità di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi del paragrafo 1. L’autorità di controllo comunica tali elenchi al comitato di cui all’articolo 68.
5. L’autorità di controllo […]
7. La valutazione contiene almeno:
a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
c) una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e
d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.
8. Nel valutare l’impatto del trattamento effettuato dai relativi titolari o responsabili è tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all’articolo 40, in particolare ai fini di una valutazione d’impatto sulla protezione dei dati.
9. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.
10.Qualora il trattamento effettuato ai sensi dell’articolo 6, paragrafo 1, lettere c) o e), trovi nel diritto dell’Unione o nel diritto dello Stato membro cui il titolare del trattamento è soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l’insieme di trattamenti in questione, e sia già stata effettuata una valutazione d’impatto sulla protezione dei dati nell’ambito di una valutazione d’impatto generale nel contesto dell’adozione di tale base giuridica, i paragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare tale valutazione prima di procedere alle attività di trattamento.
11. Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d’impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento.
•	il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, come modificato dal D.Lgs. 10 agosto 2018, n. 101 , che prevede:
Art. 2-quaterdecies  (Attribuzione di funzioni e compiti a soggetti designati)
1.   Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell'ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità.
2.  Il titolare o il responsabile del trattamento individuano le modalità più opportune per autorizzare al trattamento dei dati personali le persone che operano sotto la propria autorità diretta.

•	Che, nelle more dell’approvazione delle prime linee guida che il Garante per la privacy emanerà a seguito di quanto previsto all’art. 154-bis del Codice della privacy come da ultimo modificato dal già menzionato D.Lgs. 101/2018, si rende tuttavia necessario procedere con l’attività prevista dalle norme espressamente citate;
•	il D.Lgs. 18 agosto 2000, n. 267, e successive modificazioni, recante: «Testo unico delle leggi sull’ordinamento degli enti locali»;
•	il vigente “Regolamento comunale sull’ordinamento generale degli uffici e dei servizi”;
•	la legge 7 agosto 1990, n. 241 e successive modificazioni, recante: “Nuove norme in materia di procedimento amministrativo e di diritto di accesso ai documenti amministrativi”;
•	il D.Lgs. 30 giugno 2003, n. 196, recante: “Codice in materia di protezione dei dati personali”, come da ultimo modificato dal D.Lgs. 10 agosto 2018, n. 101;
•	lo statuto comunale;
Dato atto che:
•	Si rende necessario adottare un registro in cui siano monitorate anche le valutazioni di impatto e siano definite le attribuzioni di apicali e dipendenti in materia di privacy;
•	Questa amministrazione ha provveduto ad affidare la funzione di Responsabile della protezione dei dati personali alla ditta Gaspari s.r.l. con sede in Granarolo dell’Emilia, via M. Minghetti 18, P.IVA: 00089070403;
•	Il “Responsabile della protezione dei dati personali”, per il tramite di soggetti dotati di competenze professionali appositamente incaricati, ha coordinato l’attività dei responsabili dei trattamenti finalizzata alla predisposizione del “Registro della Privacy previsto dal R.G.P.D. - Regolamento Generale per la Protezione dei Dati - (UE) n. 2016/679”, [ALLEGATO 1];
•	che il presente provvedimento, in quanto norma di organizzazione dell’Ente, costituisce anche una forma di autorizzazione al trattamento dei dati personali da parte dei soggetti riportati, sulla base di quanto previsto dall’art. 2-quaterdecies del D.Lgs. 30 giugno 2003, n. 196;
•	sulla proposta della presente deliberazione, ai sensi dell’art. 49, comma 1, del D.Lgs. 18/08/2000, n. 267 hanno espresso i pareri che si allegano:
o	il Responsabile del servizio interessato, per quanto concerne la regolarità tecnica;
o	il Responsabile di ragioneria per quanto concerne la regolarità contabile.
Con votazione palese ed unanime

DELIBERA

1.	Le premesse fanno parte integrante e sostanziale della presente delibera;
2.	Di approvare il “Registro della Privacy previsto dal R.G.P.D. - Regolamento Generale per la Protezione dei Dati - (UE) n. 2016/679” [ALLEGATO 1];
3.	Di autorizzare espressamente i soggetti individuati nel suddetto registro alle attività di trattamento nello stesso riportate, dando atto che l’eventuale modifica o futura attività di autorizzazione al trattamento potranno avvenire attraverso differenti provvedimenti di designazione (Piano Esecutivo di Gestione, atti di designazione, provvedimenti di nomina ecc.);
4.	Di disporre che la compilazione e l’aggiornamento periodico, almeno una volta per anno solare, delle varie parti del registro, coordinata dal Responsabile della protezione dei dati personali, sarà effettuata dai responsabili dei servizi a cui i dati afferiscono per le parti di propria competenza, disponendo al contempo:
•	l’obbligatorietà della compilazione di parti del registro da parte dei responsabili dei servizi entro 15 giorni dalla formalizzazione della richiesta;
•	che la mancata effettuazione degli adempimenti richiesti con le modalità comporta violazione dei doveri di ufficio e verrà considerata ai fini della valutazione della performance, nonché fonte di responsabilità civile a carico dell’inadempiente a norma dell’art. 2050 del CC e dell’art. 82 comma 2 del Regolamento UE 2016/679 del 27 aprile 2016;
5.	Di trasmettere formalmente copia del registro al RPCT affinché ne tenga conto nella predisposizione dell’aggiornamento del Piano, specie nella sezione riservata alla trasparenza.
6.	Di disporre la pubblicazione del registro in un’apposita sotto-sezione di Amministrazione Trasparente, da creare nella sezione “Altri Contenuti”, fin quando l’ANAC o/e il Garante della privacy non daranno altre eventuali e diverse indicazioni.
Infine,
LA GIUNTA COMUNALE
stante l'urgenza di provvedere; con votazione unanime e palese,
DELIBERA
di dichiarare la presente deliberazione Immediata eseguibile, ai sensi dell'art. 134, comma 4, del D.lgs. 28 agosto 2000, n. 267.

Il presente verbale viene letto, approvato e sottoscritto.

Il Segretario	Il Sindaco	
f.to Montaruli Angelo	 f.to NARDI EMILIANO	

====================================================================
Preso nota dell'impegno di spesa, se ne attesta la relativa  copertura
finanziaria, ai sensi dell'artt. 49 e 151 del D. Lgs. 267/2000.
 
Il Responsabile del Servizio
f.to ROSSETTI RAG.ELISABETTA

====================================================================

ATTESTATO DI PUBBLICAZIONE

Registro pubblicazioni n.765
Copia della presente deliberazione viene pubblicata da oggi all'Albo Pretorio di questo Comune per 15 giorni consecutivi.

Serravalle di Chienti, lì 03-10-19
Il Responsabile del Servizio
f.to GILI Vincenzo
=====================================================================
CERTIFICATO ESECUTIVITA`

La presente deliberazione è divenuta esecutiva lo stesso giorno in cui l'atto è stato adottato.

Serravalle di Chienti, lì 03-10-19
Il Responsabile del Servizio
f.to GILI Vincenzo

======================================================================

Per copia conforme all'originale.

Serravalle di Chienti, li

Il Responsabile del Servizio