Bozza nomina responsabile del trattamento (servizi bancari)

(va su carta intestata della scuola)
……(Data), …. 
Prot. n. ……………

Oggetto: protezione dei dati personali ex D.Lgs. n. 196/2003 e ex Regolamento UE 2016/679 - designazione Responsabile.

Il/La sottoscritto/a Nome Cognome, in qualità di rappresentante legale dell’istituto __________________________ titolare del trattamento dei dati ai sensi del GDPR 2016/679,

NOMINA
RESPONSABILE DEL TRATTAMENTO

La banca _____________________ nella persona del Dott. _______________, nato a _______, il ___________, nella sua qualità di  ______________ per i trattamenti di dati personali operati per conto del Titolare nell’ambito delle attività previste dalla convenzione __________. 

Tali trattamenti sono realizzati per mezzo delle operazioni, o del complesso di operazioni, di cui all’art. 4, comma 1, lettera a), del Decreto Legislativo n. 196/03 e all’art. 4, comma 1, n. 2 del Regolamento UE 679/2016, con o senza l’ausilio di strumenti elettronici o automatizzati, e comunque mediante procedure idonee a garantirne la riservatezza. 

In qualità di Responsabile del trattamento dei dati ha il compito e la responsabilità di adempiere a tutto quanto necessario per il rispetto delle disposizioni vigenti in materia e di osservare scrupolosamente quanto in essa previsto, nonchè le seguenti istruzioni impartite dal Titolare.

COMPITI ED ISTRUZIONI PER I RESPONSABILI DEL TRATTAMENTO DEI DATI PERSONALI 
in applicazione del considerando art. 28 del Regolamento UE 2016/679

PRINCIPI GENERALI DA OSSERVARE
Ogni trattamento di dati personali deve avvenire, nel rispetto primario dei seguenti principi di ordine generale. Per ciascun trattamento di propria competenza, il Responsabile deve fare in modo che siano sempre rispettati i seguenti presupposti:

∙	i dati devono essere trattati:
−	secondo il principio di liceità, vale a dire conformemente alle disposizioni del Regolamento, nonché alle disposizioni del Codice Civile, per cui, più in particolare, il trattamento non deve essere contrario a norme imperative, all’ordine pubblico ed al buon costume;
−	secondo il principio fondamentale di correttezza, il quale deve ispirare chiunque tratti qualcosa che appartiene alla sfera altrui;

∙	i dati devono essere raccolti solo per scopi:
−	determinati, vale a dire che non è consentita la raccolta come attività fine a se stessa;
−	espliciti, nel senso che il soggetto interessato va informato sulle finalità del trattamento;
−	legittimi, cioè, oltre al trattamento, come è evidente, anche il fine della raccolta dei dati deve essere lecito;
−	compatibili con il presupposto per il quale sono inizialmente trattati, specialmente nelle operazioni di comunicazione e diffusione degli stessi;

∙	i dati devono, inoltre, essere:
−	esatti, cioè, precisi e rispondenti al vero e, se necessario, aggiornati;
−	pertinenti, ovvero, il trattamento è consentito soltanto per lo svolgimento delle funzioni istituzionali, in relazione all’attività che viene svolta;
−	completi: non nel senso di raccogliere il maggior numero di informazioni possibili, bensì di contemplare specificamente il concreto interesse e diritto del soggetto interessato;
−	non eccedenti in senso quantitativo rispetto allo scopo perseguito, ovvero devono essere raccolti solo i dati che siano al contempo strettamente necessari e sufficienti in relazione al fine, cioè la cui mancanza risulti di ostacolo al raggiungimento dello scopo stesso;
−	conservati per un periodo non superiore a quello necessario per gli scopi del trattamento e comunque in base alle disposizioni aventi ad oggetto le modalità ed i tempi di conservazione degli atti amministrativi. Trascorso detto periodo i dati vanno resi anonimi o cancellati e la loro comunicazione e diffusione non è più consentita.

In particolare, i dati idonei a rivelare lo stato di salute o la vita sessuale sono conservati
separatamente da altri dati personali trattati per finalità che non richiedono il loro utilizzo.
Ciascun trattamento deve, inoltre, avvenire nei limiti imposti dal principio fondamentale di riservatezza e nel rispetto della dignità della persona dell’interessato al trattamento, ovvero deve essere effettuato eliminando ogni occasione di impropria conoscibilità dei dati da parte di terzi.
Se il trattamento di dati è effettuato in violazione dei principi summenzionati e di quanto disposto dal Regolamento è necessario provvedere al “blocco” dei dati stessi, vale a dire alla sospensione temporanea di ogni operazione di trattamento, fino alla regolarizzazione del medesimo trattamento (ad esempio fornendo l’informativa omessa), ovvero alla cancellazione dei dati se non è possibile regolarizzare.
Ciascun Responsabile deve, inoltre, essere a conoscenza del fatto che per la violazione delle disposizioni in materia di trattamento dei dati personali sono previste sanzioni penali.
In ogni caso la responsabilità penale per eventuale uso non corretto dei dati oggetto di tutela, resta a carico della singola persona cui l’uso illegittimo degli stessi sia imputabile.

COMPITI PARTICOLARI DEL RESPONSABILE
Il Responsabile del trattamento dei dati personali, operando nell’ambito dei principi sopra ricordati, nello svolgimento delle attività previste dalla convenzione stipulata con l’istituto scolastico deve attenersi ai seguenti compiti di carattere particolare:
a)	identificare e censire i trattamenti di dati personali, le banche dati e gli archivi gestiti con supporti informatici e/o cartacei necessari all’espletamento delle attività rientranti nella propria sfera di competenza;
b)	predisporre il registro delle attività di trattamento da esibire in caso di ispezioni delle Autorità e contenente almeno le seguenti informazioni:
−	il nome e i dati di contatto del Responsabile, del Titolare del trattamento e del Responsabile della protezione dei dati;
−	le categorie dei trattamenti effettuati;
−	se del caso, i trasferimenti di dati personali verso Paesi terzi;
−	descrizione delle misure di sicurezza tecniche ed organizzative applicate a protezione dei dati;
c)	definire, per ciascun trattamento di dati personali, la durata del trattamento e la cancellazione o rendere anonimi i dati obsoleti, nel rispetto della normativa vigente in materia di prescrizione e tenuta archivi;
d)	ogni qualvolta si raccolgano dati personali, provvedere a che venga fornita l’informativa ai soggetti interessati;
e)	assicurare che la comunicazione a terzi e la diffusione dei dati personali avvenga solo se prevista da una norma di legge o regolamento o se comunque necessaria per lo svolgimento delle attività previste dalla convenzione. 
f)	adempiere agli obblighi di sicurezza, quali:
−	adottare, tramite il supporto del Responsabile del Sistema Informativo Aziendale, tutte le preventive misure di sicurezza, ritenute idonee al fine di ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta;
−	definire una politica di sicurezza per assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e servizi afferenti il trattamento dei dati;
−	assicurarsi la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati in caso di incidente fisico o tecnico;
−	testare, verificare e valutare regolarmente l’efficacia delle misure tecniche ed organizzative applicate;

g)	far osservare gli adempimenti previsti in caso di nuovi trattamenti e cancellazione di trattamenti;

h)	collaborare con il Titolare per l’evasione delle richieste degli interessati e delle istanze del Garante per la protezione dei dati personali;

i)	comunicare tempestivamente al Titolare ogni notizia rilevante ai fini della tutela della riservatezza.

Il Responsabile del trattamento risponde al Titolare per ogni violazione o mancata attivazione di quanto previsto dalla normativa in materia di tutela dei dati personali relativamente al settore di competenza. 
Resta fermo, in ogni caso, che la responsabilità penale per l’eventuale uso non corretto dei dati oggetto di tutela è a carico della singola persona cui l’uso illegittimo sia imputabile.

Per tutto quanto non espressamente previsto nel presente atto, si rinvia alle disposizioni generali vigenti in materia di protezione dei dati personali.

Il presente atto va firmato digitalmente dal titolare del trattaemnto e dal responsabile per accettazione. 

Il Responsabile del trattamento
(NOME COGNOME)
(Firmato digitalmente ai sensi del Codice dell’Amministrazione Digitale e norme ad esso connesse)	Il titolare del trattamento
(NOME COGNOME)
(Firmato digitalmente ai sensi del Codice dell’Amministrazione Digitale e norme ad esso connesse)