COMUNE DI  RIPE SAN GINESIO
(Provincia di Macerata)
P.zza  Vittorio  Emanuele II,  8  -  c.a.p.  62020  
Tel/Fax 0733/500102 - 500374 
C.F. e Partita IVA:  00267220432

43 045
COPIA DI DELIBERAZIONE DELLA GIUNTA COMUNALE

N. 49  Data 20-05-19

----------------------------------------------------------------------
Oggetto: Regolamento  privacy UE 2016/679 General Data Pro=
tection  Regulation (GDPR). Approvazione del regi=
stro  dei  trattamenti ex art. 33 GDPR, individua=
zione figure organigramma privacy, avvio delle at=
----------------------------------------------------------------------

L'anno  duemiladiciannove, il giorno  nove del mese di maggio alle ore 14:00, nella Sede Comunale, in seguito a convocazione disposta dal Sindaco, si é riunita la Giunta Comunale nelle persone dei Signori:

======================================================================

TEODORI PAOLO	SINDACO	P	
GASPARRINI PIERINO	VICE SINDACO	P	
VIOLA TIZIANA	ASSESSORE	A	

======================================================================

Presenti n.    2                                      Assenti  n.    1

Partecipa il Segretario comunale Signor GIULIANA DOTT.SSA SERAFINI
Il Presidente Signor TEODORI PAOLO in qualità di SINDACO dichiara aperta la seduta per aver constatato il numero legale degli intervenuti, passa alla trattazione dell'argomento di cui all'oggetto.

   LA GIUNTA MUNICIPALE

RICHIAMATO il Codice dell’Amministrazione Digitale, D.Lgs. n. 82/2005, così come modificato dal D.Lgs. n. 179/2016, che all’art. 51, rubricato “Sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni”, prevede che “i documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta”;

PRESO ATTO che con Circolare del 18 aprile 2017, n. 2/2017, pubblicata in G.U. Serie Generale n. 103 del 5.05.2017, l’Agenzia per l’Italia Digitale (AGID), al fine di contrastare le minacce più comuni e frequenti cui sono soggetti i sistemi informativi delle Pubbliche Amministrazioni, ha disposto la sostituzione della circolare n. 1/2017 del 17 marzo 2017, recante “Misure minime di sicurezza ICT per le pubbliche amministrazioni” con nuove misure minime per la sicurezza informatica a cui le stesse Pubbliche Amministrazioni sono tenute a conformarsi entro il termine del 31.12.2017;

CONSIDERATO che il 25 maggio 2016 è entrato in vigore il Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati; 

RILEVATO che il summenzionato Regolamento è direttamente applicabile in ciascuno degli Stati membri dell’Unione Europea ed entrerà in vigore il 25 maggio 2018;

CONSIDERATO che con il Regolamento Europeo Privacy UE/2016/679 viene recepito nel nostro ordinamento giuridico il “principio di accountability” (obbligo di responsabilizzazione) che impone alle Pubbliche Amministrazioni titolari del trattamento dei dati:
- di dimostrare di avere adottato le misure tecniche ed organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche;
- che i trattamenti siano conformi ai principi e alle disposizioni del Regolamento, prevedendo, altresì, l’obbligo del titolare o del responsabile del trattamento della tenuta di apposito registro delle attività di trattamento, compresa la descrizione circa l’efficacia delle misure di sicurezza adottate;
- che il registro di cui al punto precedente, da tenersi in forma scritta - o anche in formato elettronico, deve contenere una descrizione generale delle misure di sicurezza tecniche e organizzative e che su richiesta, il titolare del trattamento o il responsabile del trattamento sono tenuti a mettere il registro a disposizione dell’autorità di controllo;

TENUTO CONTO, inoltre, che il Regolamento Europeo Privacy UE/2016/679 ha:
- disciplinato la nuova figura del “Data Protection Officer” (DPO), responsabile della protezione dei dati personali che le pubbliche amministrazioni hanno l’obbligo di nominare al proprio interno e deve sempre essere “coinvolto in tutte le questioni riguardanti la protezione dei dati personali”;
- rafforzato i poteri delle Autorità Garanti nazionali ed inasprito le sanzioni amministrative a carico di imprese e pubbliche amministrazioni, in particolare, in caso di violazioni dei principi e disposizioni del Regolamento, le sanzioni possono arrivare fino a 10 milioni di euro o per le imprese fino al 2% - 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore;

DATO ATTO che la nuova normativa europea fa carico alle Pubbliche Amministrazioni di non limitarsi alla semplice osservanza di un mero adempimento formale in materia di privacy, conservazione e sicurezza dei dati personali, ma attua un profondo mutamento culturale e concettuale con un rilevante impatto organizzativo da parte dell’Ente nell’ottica di adeguare le norme di protezione dei dati ai cambiamenti determinati dalla continua evoluzione delle tecnologie (cloud computing, digitalizzazione, social media, cooperazione applicativa, interconnessione di banche dati, pubblicazione automatizzata di dati on line) nelle amministrazioni pubbliche;

RITENUTO, pertanto, necessario realizzare un “modello organizzativo” da implementare in base ad una analisi dei rischi e ad un’autovalutazione finalizzata all’adozione delle migliori strategie volte a presidiare i trattamenti di dati effettuati, abbandonando l’approccio meramente formale del D.Lgs. 196/2003, limitato alla mera adozione di una lista “minima” di misure di sicurezza, realizzando, piuttosto, un sistema organizzativo caratterizzato da un’attenzione multidisciplinare alle specificità della struttura e della tipologia di trattamento, sia dal punto di vista della sicurezza informatica e in conformità agli obblighi legali, sia in considerazione del modello di archiviazione e gestione dei dati trattati. Tutto questo prevedendo, al contempo, non solo l’introduzione di nuove figure soggettive e professionali che dovranno presidiare i processi organizzativi interni per garantire un corretto trattamento dei dati personali, tra cui la figura del Responsabile della Protezione dei dati personali (DPO), ma altresì l’adozione di nuove misure tecniche ed organizzative volte a garantire l’integrità e la riservatezza dei dati, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento, la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico, nonché la verifica e la valutazione dell’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento;

VISTA la Determina del Segretario Comunale n. 28 del 17/05/2018 con la quale si è proceduto all’acquisto dei seguenti servizi, al fine di ottemperare agli obblighi organizzativi, documentali e tecnici introdotti dal GDPR 2016/679: 

Servizio A, garantito dalla ditta SAEV SRL con sede in Viale Don Minzoni 3/F JESI (AN), così specificato: 

• Assessment – analisi approfondita della struttura per individuare tutti i trattamenti dati presenti;
• Elaborazione Regolamento tipo GDPR;
• Valutazione rischio privacy e redazione Piano di Emergenza;
• Studio dei processi e delle procedure di adeguamento e piano di miglioramento;
• Formazione di tutto il personale dipendente che opera sul trattamento dati; 
• Istituzione di un “Registro di qualità del titolare del trattamento”;
• Registro delle categorie di attività in qualità di Responsabile del trattamento;
• Nomine per addetti e Responsabili del trattamento;
• Controllo e messa in regola della modulistica aziendale;

Servizio B, garantito dalla Ditta Soluzione srl, Società a socio unico, con sede in Piazza Oberdan n.40, Brescia, per un anno a far data dal conferimento dell’incarico, così specificato: 

• Nomina e comunicazione, all’autorità garante della Privacy, del nominativo del Responsabile della Protezione dei Dati (RDP);
• Soggetto designato ad assolvere funzioni di supporto e controllo, consultive, formative e informative sull’applicazione del Regolamento medesimo, con compiti di cooperazione con l’Autorità Garante e quale punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali; 

VISTO il Decreto Sindacale n. 1 del 23/05/2018 che, ai sensi del GDPR n.2016/679, designa l’Avv. Guido Paratico avente sede in Volta Mantovana (MN) Via San Martino 8/b, quale Responsabile della protezione dei dati personali (RDP) per il Comune di Ripe San Ginesio, in forza di stipulazione del contratto di servizio con la persona giuridica Soluzione srl, con sede in Brescia, Via Oberdan n.140;

VISTO il Regolamento Comunale sulla protezione dei dati personali approvato con Delibera di Consiglio Comunale n. 19 del 11/04/2019 

VISTA la necessità di ottemperare agli ulteriori obblighi imposti dal Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati; 

ATTESA la propria competenza ai sensi dell’art. 48 del T.U. approvato con D.Lgs n. 267, del 18/08/2000;VISTI i pareri espressi in calce riportati, ai sensi dell’ art. 49 comma 1 del T.U. approvato con D.Lgs. n. 267, del 18/08/2000;

CON votazione unanime espressa per alzata di mano;

DELIBERA

1.Di riconoscere quale Titolare del trattamento dei dati il Comune di Ripe San Ginesio; 

2.Di individuare quale rappresentante del Titolare del trattamento dei dati il Sindaco pro Tempore;

3.Di individuare quali designati al trattamento dei dati personali, ai sensi del GDPR UE 2016/ tutti i soggetti autorizzati con Decreto Sindacale n. 6 del 20/05/2019 “Atto di autorizzazione al trattamento dei dati personali ai sensi del Regolamento UE 679/2016” ovverosia: 
• tutti i dipendenti, ai sensi del D. Lgs. 165/2001, del Comune di Ripe San Ginesio a tempo indeterminato e determinato, così come individuati dal documento di nomina ad incaricato del trattamento redatto dal Comune di Ripe San Ginesio in data 17/12/2018; 
• tutti coloro che, pur non dipendenti dell’ente, prestano a vario titolo attività lavorativa presso l’ente, sotto la direzione e il coordinamento dell’amministrazione comunale, e che, in ragione di tale attività hanno accesso a dati personali;

4.Di individuare quali Responsabili esterni al trattamento dei dati personali tutti i soggetti, fisici o giuridici, che sono entrati o entreranno in possesso di banche dati contenenti dati personali in virtù di rapporti contrattuali con il Comune di Ripe San Ginesio, individuando tutti i soggetti richiamati all’interno del registro dei trattamenti allegato alla presente. A tali soggetti saranno comunicate apposite istruzioni in materia di trattamento dei dati forniti dal Comune di Ripe San Ginesio; 

5.Di prendere atto, che con determina n. 28 del 17/05/2018 , ai sensi degli artt. 37-38-39 del GDPR UE 2016/679, sono stati individuati gli incarichi esterni, necessari all’adempimento degli obblighi connessi all’entrata in vigore del GDPR 2016/679, così elencati: 

a)Ditta SAEV SRL con sede in Viale Don Minzoni 3/F JESI (AN): 
• Assessment – analisi approfondita della struttura per individuare tutti i trattamenti dati presenti;
•Elaborazione Regolamento tipo GDPR;
•Valutazione rischio privacy e redazione Piano di Emergenza;
•Studio dei processi e delle procedure di adeguamento e piano di miglioramento;
•Formazione di tutto il personale dipendente che opera sul trattamento dati;
•Istituzione di un “Registro di qualità del titolare del trattamento”;
•Registro delle categorie di attività in qualità di Responsabile del trattamento;
•Nomine per addetti e Responsabili del trattamento;
•Controllo e messa in regola della modulistica aziendale;b)Ditta Soluzione srl Società a socio unico con sede in via Oberdan n.40, Brescia, per un anno a far data dal conferimento dell’incarico: 
•Nomina e comunicazione, all’Autorità Garante della Privacy, del nominativo del Responsabile della Protezione dei Dati (RDP);
•Soggetto designato ad assolvere funzioni di supporto e controllo, consultive, formative e informative sull’applicazione del Regolamento medesimo, con compiti di cooperazione con l’Autorità Garante e quale punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali; 

6.Di prendere atto che, per le motivazioni di cui al punto precedente, l’Avv. Guido Paratico, con sede in Volta Mantovana (MN) Via San Martino 8/b, è stato designato quale Responsabile della Protezione dei Dati per il Comune di Ripe San Ginesio, con Decreto Sindacale n.1 del 23/05/2018; 

7.Di prendere atto che, entro il termine ultimo del 25/05/2018 il nominativo ed i contatti del Responsabile della Protezione dei Dati al Garante per la Protezione dei Dati Personali sono stati comunicati al Garante per la Protezione dei Dati Personali;

8.Di rendere disponibile il nominativo ed i contatti del Responsabile della Protezione dei Dati attraverso la pubblicazione nella sezione Amministrazione Trasparente del proprio sito istituzionale;

9.Di approvare, quale strumento primario per l’avvio di un percorso di accountability, il modello di registro dei trattamenti allegato alla presente, che è redatto con tutte le informazioni richieste dall’art. 30 del GDPR UE 2016/679;

10.Di avviare, con riguardo ai trattamenti di dati personali con maggiore esposizione a rischio per i diritti e le libertà delle persone fisiche interessate, Valutazioni di Impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 del GDPR UE 2016/679;

11.Di approvare, ai sensi dell’art. 33 del GDPR UE 2016/679, il registro delle violazioni dei dati personali allegato alla presente;

12.Di approvare, quale strumento primario per l’avvio di un percorso di accountability, il registro di accountability allegato alla presente, strumento indispensabile a dimostrare il compimento di tutte le attività espletate e da effettuare volte alla definizione del modello organizzativo del Comune di Ripe San Ginesio in ambito protezione dei dati personali, quali a titolo esemplificativo: incontri formativi, incontri informativi, politiche di sensibilizzazione, impostazione del registro delle attività di trattamento, completamento del registro delle attività di trattamento, impostazione del registro di accountability, aggiornamento del registro di accountability; 

13.Di dare avvio con la presente ad un percorso di compliance normativa al GPDR UE 2016/679, anche attraverso la collaborazione del Responsabile della Protezione dei Dati, che si concretizzerà nelle seguenti attività:
• revisione ed aggiornamento della modulistica in dotazione al Comune di Ripe San Ginesio: modelli di informativa e template di raccolta dei dati, ai sensi degli artt. 12-13-14 del GDPR UE 2016/679;
• verifica ed implementazione delle misure fisiche, ai sensi del GDPR 2016/679, a tutela della riservatezza dei dati personali, conservati in forma cartacea ed elettronica, di cui il Comune di Ripe San Ginesio è titolare del trattamento;
• verifica ed implementazione delle misure tecniche ed informatiche, ai sensi del GDPR UE 2016/679, a tutela della riservatezza dei dati personali, conservati in forma cartacea ed elettronica, di cui il Comune di Ripe San Ginesio è titolare del trattamento (sala server, accesso al server, log degli accessi e delle operazioni, controllo postazioni computer, sistemi operativi, antivirus, policy delle password, firewall, antivirus, policy della posta elettronica, policy dell’estrazione dei dati su dispositivi di massa e di memorizzazione dati);
• messa a punto di un sistema di cartellonistica al fine di facilitare la comunicazione dell’informativa, ai sensi degli artt. 12-13-14 del GDPR UE 2016/679, all’utenza;
• progettazione di percorsi formativi/informativi generali e puntuali rivolti ai dipendenti dell’ente, ai designati al trattamento dei dati personali, al Titolare e ai Responsabili del trattamento;
• assegnare al Responsabile della Protezione dei Dati individuato il compito di aggiornare periodicamente, attraverso l’invio di articoli di approfondimento e/o link a webinar gratuiti, il Titolare del trattamento ed i designati al trattamento dei dati sulle novità normative in materia di protezione e trattamento dei dati personali;
• adesione ad eventuali codici di condotta di cui all’art. 40 del GDPR UE 2016/679 al fine di limitare i potenziali rischi del trattamento per i diritti e le libertà delle persone fisiche;

14. Di ritenere disapplicata ed assorbita ogni regolamentazione contraria del Comune di Ripe San Ginesio rispetto alle previsioni del GDPR UE 2016/679;

15.Di trasmettere la presente deliberazione alla ditta SAEV SRL con sede in Viale Don Minzoni 3/F JESI (AN) ed all’ Avv. Guido Paratico, con sede in Volta Mantovana (MN) Via San Martino 8/b;
16. Di dichiarare la presente, con separata unanime votazione, ed avente carattere d’urgenza, immediatamente eseguibile, ai sensi e per gli effetti dell’art. 134 comma 4 del T.U. approvato con D.Lgs. n. 267 del 18/08/2000.

PARERI SULLA PROPOSTA DELLA PRESENTE DELIBERAZIONE AVENTE PER OGGETTO:
"Regolamento  privacy UE 2016/679 General Data Pro=tection  Regulation (GDPR). Approvazione del regi=stro  dei  trattamenti ex art. 33 GDPR, individua=zione figure organigramma privacy, avvio delle at="

VISTO:
Ai sensi e per gli effetti dell'art. 49 del D.L.gvo 18.08.2000 n. 267, si esprime parere favorevole, per quanto di competenza in ordine alla regolarità contabile e sotto il profilo della copertura finanziaria.

			IL RESPONSABILE UFFICIO RAGIONERIA
			     F.to Rag. Luca Bettucci 

VISTO:

Ai sensi e per gli effetti dell'art. 49 del D.L.gvo 18.08.2000 n. 267, si esprime parere favorevole, per quanto di competenza in ordine alla regolarità tecnica.

			IL RESPONSABILE UFFICIO SEGRETERIA
			 F.to Dott.ssa Giuliana Serafini

Il presente verbale viene approvato e sottoscritto:

IL PRESIDENTE                                    IL SEGRETARIO
f.to TEODORI PAOLO             f.to GIULIANA DOTT.SSA SERAFINI

======================================================================
ATTESTATO DI PUBBLICAZIONE
Si attesta che copia della presente deliberazione viene pubblicata all'Albo Pretorio di questo Comune per 15 giorni consecutivi a partire dal 11-06-19
IL SEGRETARIO
li, 11-06-19                           f.to GIULIANA DOTT.SSA SERAFINI
======================================================================
La presente é copia conforme all'originale.
Ripe San Ginesio li ......................       IL SEGRETARIO
GIULIANA DOTT.SSA SERAFINI

=====================================================================
ESECUTIVITA'
La presente deliberazione, trascorsi 10 giorni dalla su indicata data di inizio pubblicazione, é divenuta esecutiva il 11-06-19
[] non essendo pervenute richieste di invio al controllo.
[]  non essendo soggetta a controllo, in quanto meramente esecutiva di
altra deliberazione.
IL SEGRETARIO
f.to GIULIANA DOTT.SSA SERAFINI

======================================================================