COMUNE DI SANT'ANGELO IN PONTANO

COPIA DI DELIBERAZIONE   
DELLA
GIUNTA COMUNALE    

----------------------------------------------------------------------

DELIBERAZIONE  NUMERO  35 DEL  07-06-18

----------------------------------------------------------------------
OGGETTO: 

ADOZIONE DEL REGISTRO DELLE ATTIVITÀ DI TRATTAMENTO E DELLE MISURE DI SICUREZZA ADOTTATE PER LA CORRETTA GESTIONE DELLE BANCHE DATI COMUNALI E VALUTAZIONE DI IMPATTO SULLA PROTEZIONE DEI DATI.

----------------------------------------------------------------------
L'anno  duemiladiciotto il giorno  sette del mese di giugno alle ore 12:30, nella Residenza Municipale in seguito a convocazione, disposta nei modi di legge, si è riunita la Giunta Comunale nelle persone dei signori:

======================================================================

Cavasassi Agostino	SINDACO	P	
SPOSETTI FIORELLA	VICE SINDACO	P	
DELLA VECCHIA CLAUDIO	ASSESSORE	A	

======================================================================

Assegnati n.  3  In carica n.  3 Presenti n.   2  Assenti n.   1

Partecipa in qualità di segretario verbalizzante il Segretario Sig. D.SSA MARISA CARDINALI
Constatato il numero legale degli intervenuti, assume la presidenza il Sig. Cavasassi Agostino nella sua qualità di SINDACO ed invita la Giunta Comunale alla discussione dell'oggetto su riferito.

LA GIUNTA COMUNALE

	Visto il documento istruttorio, riportato in allegato alla presente deliberazione, predisposto dal  Responsabile del Procedimento  dal quale si rileva la necessità di adottare il presente atto;

	Ritenuto, per i motivi riportati nel predetto documento istruttorio e che vengono condivisi, di deliberare in merito;

      Visto l’articolo 48 del Decreto Legislativo 18 agosto 2000, n. 267 in ordine alla competenza per l’adozione del presente atto;

       Acquisiti i pareri favorevoli espressi dai responsabili dei servizi interessati secondo quanto disposto dell’articolo 49 del Decreto Legislativo 267/2000; 

       Atteso che il Segretario Comunale, a ciò espressamente richiesto, rileva la conformità dell’atto alle norme legislative, statutarie e regolamentari ai sensi dell’articolo 97, comma 2, del Decreto Legislativo 18 agosto 2000;

	Con votazione favorevole unanime, espressa per alzata di mano,

D E L I B E R A

di approvare il documento istruttorio che, allegato alla deliberazione, forma parte integrante e sostanziale del presente dispositivo.

Ed inoltre, stante l’urgenza, ad unanimità dei voti resi nei modi di legge, 

DELIBERA

di dichiarare il presente atto immediatamente eseguibile, ai sensi dell’art. 134, comma IV del D.Lgs. 18 Agosto 2000 n. 267 “T.U. sull’ordinamento degli EE.LL.”

DOCUMENTO ISTRUTTORIO

A)	NORMATIVA DI RIFERIMENTO:

- Decreto Legislativo 18 agosto 2000, n. 267;
 
B)	MOTIVAZIONE ED ESITO DELL’ISTRUTTORIA:

	Visto:
•	che il Consiglio Comunale dovrà adottare un apposito regolamento per la gestione della riservatezza dei dati personali, che dovrà prendere atto delle modifiche che produrrà l’abrogazione del vigente codice della privacy, di cui il Garante ha già prodotto uno schema all’esame dei competenti organi governativi e parlamentari;
•	che nelle more dell’approvazione del nuovo codice della privacy o del provvedimento a carattere normativo che lo sostituirà si rende necessario adeguare la struttura comunale alle principali disposizioni comunitarie, fin quando non sarà possibile adottare un regolamento organico;
•	che il 25 maggio 2018 è entrato in vigore il Regolamento UE 2016/679 del 27 aprile 2016 relativo alla “Protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, che prevede:

Articolo 30 - Registri delle attività di trattamento 
1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.
2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente:
a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.
3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.
4. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell’autorità di controllo.
5. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all’articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all’articolo 10.
Articolo 35 Valutazione d’impatto sulla protezione dei dati
1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.
2. Il titolare del trattamento, allorquando svolge una valutazione d’impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno.
3. La valutazione d’impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti:
a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all’articolo 10; o
c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
4. L’autorità di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi del paragrafo 1. L’autorità di controllo comunica tali elenchi al comitato di cui all’articolo 68.
5. L’autorità di controllo […]
7. La valutazione contiene almeno:
a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
c) una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e
d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.
8. Nel valutare l’impatto del trattamento effettuato dai relativi titolari o responsabili è tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all’articolo 40, in particolare ai fini di una valutazione d’impatto sulla protezione dei dati.
9. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.
10.Qualora il trattamento effettuato ai sensi dell’articolo 6, paragrafo 1, lettere c) o e), trovi nel diritto dell’Unione o nel diritto dello Stato membro cui il titolare del trattamento è soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l’insieme di trattamenti in questione, e sia già stata effettuata una valutazione d’impatto sulla protezione dei dati nell’ambito di una valutazione d’impatto generale nel contesto dell’adozione di tale base giuridica, i paragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare tale valutazione prima di procedere alle attività di trattamento.
11. Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d’impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento.

•	il D.Lgs. 18 agosto 2000, n. 267, e successive modificazioni, recante: «Testo unico delle leggi sull’ordinamento degli enti locali»;
•	il vigente “Regolamento comunale sull’ordinamento generale degli uffici e dei servizi”;
•	la legge 7 agosto 1990, n. 241 e successive modificazioni, recante: “Nuove norme in materia di procedimento amministrativo e di diritto di accesso ai documenti amministrativi”;
•	il D.Lgs. 30 giugno 2003, n. 196, recante: “codice in materia di protezione dei dati personali”, per quanto tuttora in vigore;
•	lo statuto comunale;

	Dato atto che:

•	si rende necessario adottare un registro in cui siano monitorate anche le valutazioni di impatto;
•	il Sindaco con suo provvedimento n. 2  del 25/05/2018 ha provveduto ad affidare la funzione di Responsabile della protezione dei dati personali alla Ditta New System Srl con sede in Falerone (FM) – Via Brodolini, n.58/b, avente quale referente il Sig. Alberto Cruciani;
•	con determinazione n. 28 del 25/05/2018 è stato definito che le funzioni attribuite al Comune come titolare del trattamento o come responsabile del trattamento sono esercitate dalla ditta suindicata;
•	Il Responsabile della protezione dei dati personali di cui al capo precedente ha curato direttamente la predisposizione del “Registro delle attività di trattamento e delle misure di sicurezza adottate per la corretta gestione delle banche dati comunali e valutazione di impatto sulla protezione dei dati”,
•	sulla proposta della presente deliberazione, ai sensi dell’art. 49, comma 1, del D.Lgs. 18/08/2000, n. 267 hanno espresso i pareri che si allegano:
o	il Responsabile del servizio interessato, per quanto concerne la regolarità tecnica;
o	il Responsabile di ragioneria per quanto concerne la regolarità contabile.

C)	PROPOSTA:

Sulla base di quanto sopra esposto, si propone di deliberare quanto segue:

1.	Le premesse fanno parte integrante e sostanziale della presente delibera;
2.	di adottare il “Registro delle attività di trattamento e delle misure di sicurezza adottate per la corretta gestione delle banche dati comunali e valutazione di impatto sulla protezione dei dati”,
3.	di disporre che la compilazione e l’aggiornamento periodico, almeno una volta per anno solare, delle varie parti del registro, coordinata dal Responsabile della protezione dei dati personali, sarà effettuata dai responsabili dei servizi a cui i dati afferiscono per le parti di propria competenza, disponendo al contempo:
•	l’obbligatorietà della risposta ai quesiti posti da detto soggetto a qualsiasi dipendente entro 5 giorni dalla formalizzazione del quesito;
•	l’obbligatorietà della compilazione di parti del registro da parte dei responsabili dei servizi entro 15 giorni dalla formalizzazione della richiesta;
•	che la mancata effettuazione degli adempimenti richiesti con le modalità dei due punti precedenti comporta violazione dei doveri di ufficio e verrà considerata ai fini della valutazione della performance, nonché fonte di responsabilità civile a carico dell’inadempiente a norma dell’art. 2050 del CC e dell’art. 82 comma 2 del Regolamento UE 2016/679 del 27 aprile 2016;
4.	di dichiarare la presente deliberazione Immediata eseguibile, ai sensi dell'art. 134, comma 4, del D.lgs. 28 agosto 2000, n. 267.

PARERE DI REGOLARITA' TECNICA ESPRESSA DAL RESPONSABILE DEL SERVIZIO: 

Il sottoscritto responsabile del servizio, considerata la motivazione espressa nell'atto, esprime parere favorevole in ordine alla regolarità tecnica, alla correttezza dell’azione amministrativa e sotto il profilo di legittimità della presente deliberazione ai sensi degli artt. 49 e 147-bis del D.L.vo 267/2000. 

IL RESPONSABILE DEL SERVIZIO
Dott.ssa Colomba Orazi

PARERE DI REGOLARITA' CONTABILE ATTESTANTE LA COPERTURA FINANZIARIA:  

Il sottoscritto responsabile del servizio finanziario, esaminato il documento istruttorio e visto il parere del responsabile del servizio in ordine alla regolarità tecnica, alla correttezza dell’azione amministrativa e sotto il profilo di legittimità, esprime parere favorevole in ordine alla regolarità contabile attestante la copertura finanziaria della presente deliberazione ai sensi degli artt. 49 e 147-bis del D.L.vo 267/2000.

IL RESPONSABILE DEL SERVIZIO FINANZIARIO
Rag. Giuseppe Dotti

Il presente verbale viene letto,approvato e sottoscritto
IL PRESIDENTE                        IL SEGRETARIO COMUNALE
F.to Cavasassi Agostino                F.to D.SSA MARISA CARDINALI
-------------------------------------------------------------------------
E' copia conforme all'originale da servire per uso amministrativo.
Dalla Residenza Municipale, li
IL SEGRETARIO COMUNALE
					       D.SSA MARISA CARDINALI

-------------------------------------------------------------------------
Il sottoscritto Segretario Comunale,visti gli atti di Ufficio,
A T T E S T A 
- che la presente deliberazione:

[] E' stata pubblicata nel sito istituzionale di questo Comune per quindici giorni consecutivi dal 19-06-18 al 04-07-18 ,come prescritto dall'art.124, comma 1, del D.L.gs.N.267 del 18.8.2000, senza reclami;

[] E'stata comunicata, con lettera n. 3572   in data 19-06-18      ai signori capigruppo consiliari cosi come prescritto dall'art.125, del D.L.gs N.267 del 18.8.2000;

- che la presente deliberazione é divenuta esecutiva il giorno

[] perché dichiarata immediatamente eseguibile (Art.134, comma 4);
[] decorsi 10 giorni dalla pubblicazione (art.134, c.3, D.Lgs.vo n.267/2000).

Dalla Residenza municipale, li
Il Segretario Comunale
  F.to D.SSA MARISA CARDINALI