____________________________________________________________________________
Copia di deliberazione della Giunta Comunale

Numero  69   del 25-05-18 

Oggetto:	REGOLAMENTO PRIVACY UE 2016/679  GENERAL DATA PRO=
		TECTION  REGULATION (GDPR). APPROVAZIONE DEL REGI=
		STRO  DEI TRATTAMENTI, INDIVIDUAZIONE DPO E FIGURE
		DELL'ORGANIGRAMMA PRIVACY, AVVIO DELLE ATTIVITÀ DI

L’anno  duemiladiciotto, il giorno  venticinque del mese di maggio alle ore 16:35, in Tossicia, nella sala delle adunanze del comune, convocata dal Sindaco, si è riunita la Giunta Comunale, nelle persone dei Signori:

   Nominativo	Carica	Pres. / Ass.	
TARQUINI FRANCO	SINDACO	P	

Nominativo	Carica	Pres. / Ass.	
RISPOLI EMANUELA	ASSESSORE	P	

Nominativo	Carica	Pres. / Ass.	
ESPOSITO ROBERTO	ASSESSORE	P	

Partecipa alla seduta, con funzioni consultive, referenti, di assistenza e  verbalizzazione (art. 97, D.Lgs. del 18/08/2000 n.267) il Segretario Comunale Pizzi Mauro.

Risultato legale il numero degli intervenuti, Il Presidente dichiara aperta la discussione della proposta di deliberazione appresso trascritta. Nessuno interviene.

Si procede, quindi, alla votazione per l’approvazione della proposta che viene espressa per alzata di mano.

Il presidente ne proclama l’esito che è il seguente:

APPROVATA ALL’UNANIMITA’

LA GIUNTA COMUNALE

Richiamato il Codice dell’Amministrazione Digitale, D.Lgs. n. 82/2005, così come modificato dal D.Lgs. n. 179/2016, che all’art. 51, rubricato “Sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni”, prevede che “i documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta”;

Preso atto che con Circolare del 18 aprile 2017, n. 2/2017, pubblicata in G.U. Serie Generale n. 103 del 5.05.2017, l’Agenzia per l’Italia Digitale (AGID), al fine di contrastare le minacce più comuni e frequenti cui sono soggetti i sistemi informativi delle Pubbliche Amministrazioni, ha disposto la sostituzione della circolare n. 1/2017 del 17 marzo 2017, recante “Misure minime di sicurezza ICT per le pubbliche amministrazioni” con nuove misure minime per la sicurezza informatica a cui le stesse Pubbliche Amministrazioni sono tenute a conformarsi entro il termine del 31.12.2017;

Considerato che il 25 maggio 2016 è entrato in vigore il Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati;

Rilevato che il summenzionato Regolamento è direttamente applicabile in ciascuno degli Stati membri dell’Unione Europea ed entrerà in vigore il 25 maggio 2018;

Considerato che con il Regolamento Europeo Privacy UE/2016/679 viene recepito nel nostro ordinamento giuridico il “principio di accountability” (obbligo di responsabilizzazione) che impone alle Pubbliche Amministrazioni titolari del trattamento dei dati:
-	di dimostrare di avere adottato le misure tecniche ed organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche;
-	che i trattamenti siano conformi ai principi e alle disposizioni del Regolamento, prevedendo, altresì, l’obbligo del titolare o del responsabile del trattamento della tenuta di apposito registro delle attività di trattamento, compresa la descrizione circa l’efficacia delle misure di sicurezza adottate;
-	che il registro di cui al punto precedente, da tenersi in forma scritta - o anche in formato elettronico, deve contenere una descrizione generale delle misure di sicurezza tecniche e organizzative e che su richiesta, il titolare del trattamento o il responsabile del trattamento sono tenuti a mettere il registro a disposizione dell’autorità di controllo;

Tenuto conto, inoltre, che il Regolamento Europeo Privacy UE/2016/679 ha:
-	disciplinato la nuova figura del “Data Protection Officer” (DPO), responsabile della protezione dei dati personali che le pubbliche amministrazioni hanno l’obbligo di nominare al proprio interno e deve sempre essere “coinvolto in tutte le questioni riguardanti la protezione dei dati personali”;
-	rafforzato i poteri delle Autorità Garanti nazionali ed inasprito le sanzioni amministrative a carico di imprese e pubbliche amministrazioni, in particolare, in caso di violazioni dei principi e disposizioni del Regolamento, le sanzioni possono arrivare fino a 10 milioni di euro o per le imprese fino al 2% - 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore;

Dato atto che la nuova normativa europea fa carico alle Pubbliche Amministrazioni di non limitarsi alla semplice osservanza di un mero adempimento formale in materia di privacy, conservazione e sicurezza dei dati personali, ma attua un profondo mutamento culturale e concettuale con un rilevante impatto organizzativo da parte dell’Ente nell’ottica di adeguare le norme di protezione dei dati ai cambiamenti determinati dalla continua evoluzione delle tecnologie (cloud computing, digitalizzazione, social media, cooperazione applicativa, interconnessione di banche dati, pubblicazione automatizzata di dati on line) nelle amministrazioni pubbliche;

Ritenuto, pertanto, necessario realizzare un “modello organizzativo” da implementare in base ad una preliminare analisi dei rischi e ad un’autovalutazione finalizzata all’adozione delle migliori strategie volte a presidiare i trattamenti di dati effettuati, abbandonando l’approccio meramente formale del D.Lgs. 196/2003, limitato alla mera adozione di una lista “minima” di misure di sicurezza, realizzando, piuttosto, un sistema organizzativo caratterizzato da un’attenzione multidisciplinare alle specificità della struttura e della tipologia di trattamento, sia dal punto di vista della sicurezza informatica e in conformità agli obblighi legali, sia in considerazione del modello di archiviazione e gestione dei dati trattati. Tutto questo prevedendo, al contempo, non solo l’introduzione di nuove figure soggettive e professionali che dovranno presidiare i processi organizzativi interni per garantire un corretto trattamento dei dati personali, tra cui la figura del Responsabile della Protezione dei dati personali (DPO), ma altresì l’adozione di nuove misure tecniche ed organizzative volte a garantire l’integrità e la riservatezza dei dati, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento, la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico, nonché la verifica e la valutazione dell’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento;

Tutto ciò premesso

Vista la necessità di ottemperare agli obblighi imposti dal Regolamento Europeo Privacy UE/2016/679 o GDPR (General Data Protection Regulation) che stabilisce le nuove norme in materia di protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché le norme relative alla libera circolazione di tali dati;

Visto il parere favorevole in ordine alla regolarità tecnica, rilasciato ai sensi dell’art. 49 del d.lgs. n. 267/2000;

Con la seguente votazione: n. 3 favorevoli;

DELIBERA

•	di riconoscere quale Titolare del trattamento dei dati il Comune di Tossicia (TE), http://comunetossicia.gov.it 

•	di individuare quale rappresentante del Titolare del trattamento dei dati il Sindaco pro tempore;

•	di individuare quali “designati al trattamento dei dati personali”, ai sensi del GDPR UE 2016/679 e ai sensi del modello di D.Lgs. di adeguamento reso disponibile nel recente periodo attraverso i canali istituzionali governativi, tutti i soggetti precedentemente riconosciuti come “incaricati al trattamento dei dati” ai sensi del D.Lgs. 196/2003, ovvero i Responsabili del Servizio del Comune di Tossicia, i Responsabili del Procedimento del Comune di Tossicia, il Segretario Comunale;

•	di individuare quali Responsabili esterni al trattamento dei dati personali tutti i soggetti, fisici o giuridici, che sono entrati o entreranno in possesso di banche dati contenenti dati personali in virtù di rapporti contrattuali con il Comune di Tossicia, individuando tutti i soggetti richiamati all’interno del registro dei trattamenti allegato alla presente;

•	di nominare, ai sensi degli artt. 37-38-39 del GDPR UE 2016/679, il dott. Giorgio Tagliaferri, individuato attraverso la stipula di un contratto di servizi con la Fondazione Logos PA con l’ausilio del Mercato Elettronico della Pubblica Amministrazione (Determinazione di affidamento n. 60/226 del 9.5.2018 - Stipula relativa a trattativa n. 484315 CIG Z6B23735DE), quale Responsabile della Protezione dei Dati;

•	di comunicare entro il termine ultimo del 25/05/2018 il nominativo ed i contatti del Responsabile della Protezione dei Dati al Garante per la Protezione dei Dati Personali, attraverso il form online appositamente predisposto dallo stesso Garante, conferendo mandato per la comunicazione al Punto Ordinante della trattativa diretta sopra richiamata;

•	di rendere disponibile il nominativo ed i contatti del Responsabile della Protezione dei Dati attraverso la pubblicazione nella sezione Amministrazione Trasparente del proprio sito istituzionale;

•	di approvare, quale strumento primario per l’avvio di un percorso di accountability, il modello di registro dei trattamenti allegato alla presente, che sarà redatto con tutte le informazioni richieste dall’art. 30 del GDPR UE 2016/679;

•	di avviare, con riguardo ai trattamenti di dati personali con maggiore esposizione a rischio per i diritti e le libertà delle persone fisiche interessate, Valutazioni di Impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 del GDPR UE 2016/679;

•	di approvare, quale strumento primario per l’avvio di un percorso di accountability, il registro di accountability allegato alla presente, strumento indispensabile a dimostrare il compimento di tutte le attività espletate e da effettuare volte alla definizione del modello organizzativo del Comune di Tossicia in ambito protezione dei dati personali, quali a titolo esemplificativo: incontri formativi, incontri informativi, politiche di sensibilizzazione, impostazione del registro delle attività di trattamento, completamento del registro delle attività di trattamento, impostazione del registro di accountability, aggiornamento del registro di accountability;

•	di dare avvio con la presente ad un percorso di compliance normativa al GPDR UE 2016/679, anche attraverso la consulenza del Responsabile della Protezione dei Dati, che si concretizzerà nelle seguenti attività:

-	revisione ed aggiornamento della modulistica in dotazione al Comune di Tossicia: modelli di informativa e raccolta del consenso, ai sensi degli artt. 12-13-14 del GDPR UE 2016/679;

-	verifica ed implementazione delle misure fisiche, ai sensi del GDPR UE 2016/679, a tutela della riservatezza dei dati personali, conservati in forma cartacea ed elettronica, di cui il Comune di Tossicia è titolare del trattamento;

-	verifica ed implementazione delle misure tecniche ed informatiche, ai sensi del GDPR UE 2016/679, a tutela della riservatezza dei dati personali, conservati in forma cartacea ed elettronica, di cui il Comune di Tossicia è titolare del trattamento (sala server, accesso al server, log degli accessi e delle operazioni, controllo postazioni computer, sistemi operativi, antivirus, policy delle password, firewall, antivirus, policy della posta elettronica, policy dell’estrazione dei dati su dispositivi di massa e di memorizzazione dati);

-	messa a punto di un sistema di cartellonistica al fine di facilitare la comunicazione dell’informativa, ai sensi degli artt. 12-13-14 del GDPR UE 2016/679, all’utenza;

-	progettazione di percorsi formativi/informativi generali e puntuali rivolti ai dipendenti dell’ente, ai designati al trattamento dei dati personali, al Titolare e ai Responsabili del trattamento;

-	di assegnare al Responsabile della Protezione dei Dati individuato il compito di aggiornare periodicamente, attraverso l’invio di articoli di approfondimento e/o link a webinar gratuiti, il Titolare del trattamento ed i designati al trattamento dei dati sulle novità normative in materia di protezione e trattamento dei dati personali;

-	verifica ed eventuale implementazione del sistema di Videosorveglianza di proprietà del Comune di Tossicia con particolare riguardo a: cartellonistica, informativa specifica, DPIA);

-	adesione ad eventuali codici di condotta di cui all’art. 40 del GDPR UE 2016/679 al fine di limitare i potenziali rischi del trattamento per i diritti e le libertà delle persone fisiche;

•	di ritenere disapplicata ed assorbita ogni regolamentazione contraria del Comune di Tossicia rispetto alle previsioni del GDPR UE 2016/679;

•	di dichiarare il presente provvedimento immediatamente eseguibile, ai sensi dell’art. 134, comma 4, del d.lgs. n. 267/2000.

PARERI  Ai sensi dell’art.49, comma 1, del D.Lgs. n.267 del 18.08.2000.

Settore						Ufficio

IN ORDINE AL PARERE TECNICO: si esprime parere Favorevole.

Lì 24-05-2018

Il Responsabile del Settore
F.to CRUCIANI SILVANA

Motivazione adottata dalla Giunta Comunale per l’assunzione della deliberazione in presenza dei pareri contrari sopra riportati.

Di quanto sopra si è redatto il presente verbale che,previa lettura, viene confermato e sottoscritto.

IL SINDACO	IL SEGRETARIO COMUNALE	
f.to TARQUINI FRANCO	f.to Pizzi Mauro	
.
SI  AT T E S T A
Che la presente deliberazione :				Prot. N. __________

•	E’ stata pubblicata, in data odierna, per rimanervi per quindici giorni consecutivi:
-	all’albo pretorio comunale (art. 124, c. 1° del T.U. 18.08.2000 n. 267);
-	nel sito informatico di questo Comune (art. 32, c. 1°, della legge 18.06.2009 n. 69);
•	E’ stata compresa nell’elenco n. ________, in data odierna, delle deliberazioni comunicate ai capigruppo consiliari  (art. 125, D.Lgs. n. 267/2000).

Lì 30-05-2018	Il Responsabile dell’Area Amministrativa	
	f.to CRUCIANI SILVANA	

______________________________________________________________
Il sottoscritto visti gli atti d’ufficio,
A T T E S T A
che la presente deliberazione:
•	è immediatamente eseguibile perché dichiarata urgente ai sensi dell’art. 134, comma 4, del D.Lgs. n. 267/2000;
•	è divenuta esecutiva oggi, decorsi 10 giorni dalla pubblicazione, (art. 134, c. 3, D.Lgs. 267/2000);
•	E’ stata affissa all’Albo Pretorio Comunale e pubblicata nel sito informatico di questo Comune, come prescritto dall’art. 124, c.2, D.Lgs. 267/2000, per 15 giorni consecutivi dal _________, al ________             

Li   	f.to Il Responsabile dell’Area Amministrativa

_______________________________________________________________

RIFERIMENTO PER SERVIZI FINANZIARI	Capitolo					Anno		
	Pr. Imp.					Anno		
	Impegno					Anno		
	Liquidaz.					Anno		
	Mandato					Anno