CITTA DI SAN GIOVANNI LUPATOTO C.A.P PROVINCIA DI VERONA Tel Via Roma, 18 C.F Fax

Transcript

1 CAPITOLATO SPECIALE D APPALTO SERVIZIO DI ADEGUAMENTO DEL COMUNE DI SAN GIOVANNI LUPATOTO ALLA NORMATIVA EUROPEA SULLA PROTEZIONE DEI DATI PERSONALI. INDIVIDUAZIONE DELLA FIGURA DEL RESPOSNABILE DELLA PROTEZIONE DEI DATI (REGOLAMENTO EUROPEO 679/2016). Cig. ZFA23645F5

2 Art. 1 - OGGETTO DEL SERVIZIO Il presente capitolato disciplina gli interventi di adeguamento del sistema di gestione della Privacy del Comune di San Giovanni Lupartoto alle disposizioni del nuovo regolamento europeo sul Trattamento dei Dati da realizzarsi per un triennio a decorrere dalla data di affidamento del servizio. Art. 2 MODALITA' E CONDIZIONI DEL SERVIZIO I servizi previsti dal presente CSA dovranno prevedere ed essere espletati dalla ditta affidataria come di seguito Adeguamento del sistema di gestione della privacy al Regolamento Europeo, in particolare: A) Verifica presso l ente dello stato di fatto (analisi organizzativa, verifica sistema informativo, analisi delle competenze, compliance con il RE 679/2016) Valutazione presso le sedi del comune (per ottemperare al principio di accountability) in cui vengono gestiti dati ed informazioni (Privacy Impact Assessment). L Audit prevede: - una verifica presso i vari uffici che trattano i dati; - Identificazione e censimento dei trattamenti; - Valutazione delle anomalie nei trattamenti; - Definizione programma gestione delle problematiche riscontrate e interazione con i diversi servizi dell ente er analizzare e adeguare i flussi di comunicazione e la gestione documentale nel rispetto della normativa europea in materia di privacy; - Definizione piani di miglioramento da concordarsi con il titolare e il settore informativo dell ente; B) Analisi rischi e pianificazione degli interventi di messa in sicurezza art 35 Regolamento Europeo. Al termine di questa dovrà essere redatto un documento di rapporto. C) Definizione delle procedure e della documentazione prevista dal RE 679/2016 Identificazione dei responsabili della sicurezza e dei relativi compiti; - Nomina degli incaricati; - Identificazione delle aziende esterne che trattano i dati e relativa gestione del ruolo come previsto dalla normativa; - Definizione delle procedure operative per la protezione delle aree e dei locali interessati alle misure della sicurezza; - Definizione delle regole per assicurare la riservatezza e l integrità dei dati (per ottemperare al principio di accountability); - Procedure e regole per la gestione dell informativa; - Supporto per l implementazione delle misure di sicurezza e nella determinazione delle modalità di trattamento, in particolare per i trattamenti che presentano rischi per l interessato e supporto nell esercizio del bilanciamento dei diritti (a mero titolo esemplificativo, utilizzo videosorveglianza a bordo mezzi, trattamento dei dati sensibili riferiti agli utenti ecc); - supporto al titolare nella predisposizione organigramma privacy; - Privacy by design e Privacy by default: gestione della sicurezza dei dati secondo i principi definiti previsti art 23 Regolamento Europeo; - Aggiornamento periodico di tutta la documentazione prodotta; - Revisione del Regolamento comunale sulle politiche di trattamento dei dati personali e sul corretto utilizzo degli strumenti informatici e consulenza in materia di privacy nel rapporto di lavoro e controlli a distanza (navigazione internet e posta elettronica); - Analisi sito web ufficiale e formulazione delle azioni correttive (redazione di informative, istruzioni per eventuali modifiche, etc);

3 - Almeno due Sessioni di Formazione in house (4 ore per incontro) per il personale dell'ente, oltre a webinar specialistici. Dovranno essere predisposti i documenti previsti nel RE 679/2016 (GDPR/PSSI: Piano Sicurezza Sistema Informativo; DPIA: Data Protection Impact Assessment (Analisi dei Rischi); Rapporto di audit (principio di Accountability) art 24 e 32 del Regolamento Europeo; Lettere di incarico dirigenti e funzionari art 37 del Regolamento Europeo; Nomine delle aziende esterne come responsabili del trattamento dei dati; Regole trattamento dei dati; Modelli di informativa art 5 e 12 del Regolamento Europeo; Attestati di formazione (per ottemperare al principio di accountability); Autorizzazione al trattamento per gli addetti; Istruzione degli autorizzati al trattamento). Dovranno essere predisposte le seguenti relazioni: analisi dei rischi; misure di sicurezza adottate; Piani sviluppo. Dovranno essere predisposte le seguenti schede: analisi DPIA - Data Protection Impact Assessment; rilevazione e controllo di requisiti e operato degli amministratori di sistema. Dovranno essere predisposti i seguenti registri: Trattamenti aggiornati (incluso nel piano di sicurezza); - Registro delle violazioni (Data Breach); - Registro delle verifiche di sicurezza; Procedura gestione incidenti (incluso nel piano di sicurezza); Procedura qualifica Fornitori a cui sono affidati trattamenti esterni; Regolamento gestione sistema informativo; Uso degli strumenti di trattamento; Trattamento dei dati sensibili aggiornato (incluso nel piano di sicurezza); Dovranno essere predisposte le seguenti Informative: Informative cittadini; Informative dipendenti; Informativa sito web e portali erogazione servizi. D) Definizione delle procedure e della documentazione prevista dal RE 679/2016: Gestione dei programmi di miglioramento inerenti il trattamento dei dati (per ottemperare al principio di accountability); Supporto per l implementazione delle misure di sicurezza; Supporto nella gestione dei processi di trattamento previsti nel (PSSI); Privacy by design e Privacy by default: gestione della sicurezza dei dati secondo i principi definiti previsti art 23 Regolamento Europeo. Le attività di cui sopra dovranno essere realizzate al fine di ottemperare, entro il minor tempo possibile, a quanto previsto dalla nuova normative vigente. Le attività di Audit presso alcuni uffici dell ente (per ottemperare al principio di accountability) con verifica a campione nel corso dell anno di tutti gli uffici e verifica di misure di sicurezza; di stesura del rapporto di audit e del riesame della direzione sul modello dello standard IS0 EN UNI (per ottemperare al principio di accountability); di Identificazione delle Anomalie e dei Piani di miglioramento inerenti le attività di trattamento dei dati e di gestione del sistema informativo; di Supporto al titolare nell implementazione dei piani di miglioramento; di Supporto nella progettazione del trattamento dei dati previsti per lo sviluppo di nuovi servizi; di Adeguamento PSSI; di Adeguamento documentazione di progetto; di Adeguamento lettere id incarico ed informative dovranno essere garantite per ciascun anno di affidamento dei servizi.

4 Incarico DPO Data Protection Officer per un triennio dalla data di affidamento del servizio, le attività da svolgere saranno al minimo le seguenti: rendere noti al Titolare o al Responsabile del Trattamento gli obblighi derivanti dal Regolamento europeo e conservare la documentazione relativa a tale attività di comunicazione o di consulenza; vigilare sull attuazione e sul applicazione delle politiche del titolare o del responsabile del trattamento in materia di protezione dei dati personali, compresi l attribuzione delle responsabilità, la formazione del personale che partecipa ai trattamenti e gli audit connessi; attribuire le responsabilità ad altri soggetti che all interno dell ente operano su dati personali; vagliare la corretta attuazione delle disposizioni contenute nel regolamento europeo, occupandosi, in particolare di verificare che i sistemi, sin dalla fase della loro progettazione rispettino la privacy (privacy by design) verificare la protezione di default di dati e sistemi (privacy by default), rilevare che venga garantita la sicurezza nei trattamenti dei dati; fornire agli interessati un riscontro circa i diritti previsti dal regolamento; garantire la conservazione della documentazione relativa ai trattamenti effettuati dal titolare; controllare che le violazioni dei dati personali siano documentate, notificate e comunicate; verificare che titolare o responsabile effettuino la valutazione dell impatto delle attività sulla privacy e richieda l autorizzazione preventiva o la consultazione preventiva nei casi previsti; fungere da intermediario tra Titolare o Responsabile e Garante oppure, eventualmente, consultare il Garante di propria iniziativa; controllare che siano rispettati eventuali provvedimenti o richieste espresse dal Garante e, nell ambito delle sue competenze, cooperare di propria iniziativa o su richiesta dell Autorità; elaborazione delle procedure inerenti il trattamento dei dati per le varie attività dell ente; fornire, se richiesto, pareri in merito alla valutazione d impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell art. 35 del Regolamento; formare il personale. Il soggetto incaricato dovrà garantire la presenza fisica presso la sede comunale per almeno 4 giornate annue (1 giornata al trimestre, salvo diverse esigenze nel corso dell anno); inoltre, nel caso di attività ispettive promosse dall autorità di controllo/garante, dovrà assicurare la propria presenza presso la sede comunale entro il termine massimo di n. 2 ore dall inizio dell attività ispettiva medesima. I compiti stabiliti per il DPO potranno essere assolti efficacemente anche da un team operante sotto l autorità di un contratto principale designato e responsabile, ma la ripartizione all interno del team del DPO dovrà essere ben chiara. La ditta concorrente sarà tenuta inoltre a dotare l Ente di una soluzione informatizzata che consenta la gestione integrata delle tematiche della privacy. Art. 3 DURATA DELL'AFFIDAMENTO La durata del servizio è di 36 mesi dalla data di affidamento. Art. 4 IMPORTO A BASE D ASTA L importo presunto a base d asta è pari a presunte ,00 oltre Iva. Art. 5 - PAGAMENTI La spesa necessaria per l affidamento del servizio in parola è finanziata con fondi propri del Comune Committente. I pagamenti avverranno secondo le regole relative alla fatturazione elettronica introdotte dal decreto ministeriale n. 55 del 03 aprile 2013, nei tempi ed alle condizioni che seguono: - il 35% del compenso risultante dall offerta presentata dall operatore economico aggiudicatario entro l anno 2018;

5 - 25% del compenso risultante dall offerta presentata dall operatore economico aggiudicatario, per gli anni 2019 e 2010; - 15% del compenso risultante dall offerta presentata dall operatore economico aggiudicatario, per l anno 2021; I pagamenti avverranno a seguito di presentazione di idonea fattura trimestrale posticipata, registrata e vistata per regolarità dal responsabile del servizio Economico Finanziario dell Ente Committente, entro 30 (trenta) giorni dalla data di ricevimento della fattura medesima, previa verifica della regolarità contributiva dell affidatario del servizio. La fattura dovrà riportare: il numero della determinazione di affidamento del servizio; il numero di impegno assegnato dall Ufficio Ragioneria; il codice C.I.G. (Codice Identificativo Gara). Le fatture in formato elettronico dovranno essere intestate a: Comune di San Giovanni Lupatoto Ufficio Ragioneria, via Roma, San Giovanni Lupatoto (VR) P. IVA: e trasmesse mediante la piattaforma digitale codice univoco UFA9B2. Con il corrispettivo risultante dalla procedura, l appaltatore si intende compensato di qualsiasi sua prestazione, connessa e conseguente al servizio medesimo, senza alcun diritto a nuovi o maggiori compensi. L affidatario, ai sensi dell articolo 3, comma 8, della L. n. 136/2010, a pena di nullità assoluta del contratto, assume gli obblighi di tracciabilità dei flussi finanziari. A tal proposito tutte le fatture dovranno riportare il relativo Codice Identificativo Gara (C.I.G.). ART. 6 RESPONSABILITA DELL AGGIUDICATARIO L operatore economico aggiudicatario è responsabile a tutti gli effetti del corretto adempimento degli obblighi e delle prestazioni dedotte nel presente Capitolato speciale e della perfetta esecuzione dei servizi affidati, restando inteso che le norme e prescrizioni contenute nel Capitolato Speciale sono da esso riconosciute idonee al perseguimento degli scopi della Committenza. L osservanza di tali norme e il recepimento delle indicazioni ricevute dal Committente in fase di esecuzione del contratto non limitano la responsabilità dell aggiudicatario e dei professionisti che eseguono il servizio. In particolare l aggiudicatario è responsabile di eventuali difformità rispetto alle prescrizioni vigenti, anche se non esplicitamente richiamate nel presente Capitolato e nei documenti contrattuali, nonché di ogni inesattezza, omissione od errore riscontrati nell esecuzione del servizio o nella documentazione che l aggiudicatario dovrà produrre in riferimento all attività svolta. L aggiudicatario si impegna inoltre a manlevare il Committente da ogni eventuale rivendicazione di terzi riguardo alla proprietà intellettuale di quanto elaborato, ai programmi utilizzati ed a quanto connesso all esecuzione del contratto. L aggiudicatario dovrà mantenere la massima riservatezza nello svolgimento del servizio. L eventuale uscita di informazioni non autorizzate per iscritto dal RUP potrà essere causa di richiesta di allontanamento e sostituzione del personale e/o consulenti responsabili. ART. 7 ALTRI OBBLIGHI DELL OPERATORE ECONOMICO AGGIUDICATARIO L operatore economico che risulterà aggiudicatario del presente appalto dovrà inoltre sottostare ai seguenti obblighi contrattuali: - considerare inclusi nell importo offerto anche gli oneri non specificatamente dettagliati, comunque necessari per l esecuzione del servizio, anche nel caso siano derivati da richieste del Committente; - fornire tutte le polizze, assicurative, bancarie, fideiussorie e/o garanzie previste ai sensi della vigente normativa e indicate nel presente Capitolato;

6 - sopportare a proprie spese eventuali obblighi ed oneri non specificatamente indicati nel presente Capitolato e nei singoli documenti progettuali e di gara, ma necessari per il miglior espletamento degli obblighi contrattuali; - non ritardare, sospendere od interrompere unilateralmente l esecuzione del servizio; Tutta la documentazione e gli elaborati forniti nel corso dell espletamento del servizio resteranno di proprietà piena e assoluta dell'amministrazione Comunale, la quale potrà utilizzarli a suo insindacabile giudizio. ART. 8 RISOLUZIONE DEL CONTRATTO Per la risoluzione del contratto si applica integralmente l articolo 108 del D. Lgs. n. 50/2016. ART. 9 RISOLUZIONE DI DIRITTO IN FORZA DI CLAUSOLA RISOLUTIVA ESPRESSA Ai sensi dell articolo 1456 del codice civile costituiscono clausola risolutiva espressa, le seguenti ipotesi: perdita o sospensione della capacità a contrarre con la Pubblica Amministrazione in seguito ad un provvedimento giurisdizionale anche di natura cautelare; applicazione di misure di prevenzione o di sicurezza in materia di lotta alla criminalità organizzata; violazione grave o reiterata di disposizioni in materia fiscale, tributaria o contributiva, oppure in materia assistenziale o del diritto del lavoro, verso i dipendenti o i collaboratori; accertamento della violazione della disciplina del subappalto; accertamento della violazione del regime di incompatibilità; accertamento della violazione delle prescrizioni in materia di riservatezza; apertura di una procedura di fallimento a carico dell affidatario o coinvolgimento dello stesso in procedure fallimentari; messa in liquidazione o in altri casi di cessione dell attività dell impresa; inosservanza delle norme di legge relative al personale dipendente e mancata applicazione dei contratti collettivi nazionali di lavoro e agli integrativi locali; interruzione non giustificata del servizio; cessione del contratto o subappalto non autorizzato dal Committente; in caso di frode o grave inadempimento degli obblighi contrattuali; Ai sensi del secondo comma dell articolo 1456 del codice civile, ricorrendo la fattispecie della clausola risolutiva espressa, la risoluzione del contratto si verifica di diritto quando il Comune Committente dichiara all affidatario che intende avvalersi della clausola medesima. ART. 10 TRACCIABILITÀ DEI FLUSSI FINANZIARI Il CIG assegnato al servizio in argomento dovrà essere sempre indicato in fattura, unitamente agli estremi del conto corrente bancario o postale dedicato alle commesse pubbliche. L'appaltatore è tenuto ad assolvere a tutti gli obblighi previsti dall'art. 3 della legge del 13 agosto 2010 n. 136 al fine di assicurare la tracciabilità dei movimenti finanziari relativi all'appalto. L'appaltatore ha, altresì, l'obbligo, ai sensi dell'art. 3, comma 7, della legge medesima, anche in via non esclusiva, di comunicare a questa stazione appaltante, tempestivamente e, comunque, entro sette giorni dalla sua accensione, gli estremi identificativi del conto corrente di cui al precedente comma, nonché, nello stesso termine, le generalità ed il codice fiscale delle persone delegate ad operare su di esso. ART. 11 OBBLIGO DI RISERVATEZZA E TRATTAMENTO DEI DATI PERSONALI Ai sensi dell'articolo 13 del D. Lgs. n. 196/2003 si forniscono le informazioni di seguito indicate:

7 A) I dati richiesti sono raccolti per le finalità inerenti alla procedura, disciplinata dalla legge, per l affidamento degli appalti pubblici. B) Il conferimento dei dati richiesti ha natura obbligatoria. A tale riguardo, si precisa che: per i documenti e le dichiarazioni da presentare ai fini dell ammissione alla procedura selettiva, l operatore economico è tenuto a rendere i dati e la documentazione richiesta, a pena di esclusione dalla procedura medesima; per i documenti da presentare ai fini dell eventuale aggiudicazione e conclusione del contratto, l operatore economico che non presenterà i documenti o non fornirà i dati richiesti, sarà sanzionato con la decadenza dall aggiudicazione. C) I dati raccolti potranno essere oggetto di comunicazione: al personale del Committente, al Responsabile Unico del Procedimento o, comunque, al personale coinvolto nella procedura per ragioni di servizio; a tutti i soggetti aventi titolo, ai sensi della legge n. 241/1990 e del D. Lgs. n. 267/2000; D) Il trattamento dei dati avverrà mediante strumenti, anche informatici, idonei a garantirne la sicurezza e la riservatezza. E) I dati ed i documenti saranno rilasciati agli organi dell Autorità Giudiziaria che ne facciano richiesta nell ambito di procedimenti a carico degli operatori concorrenti. F) I diritti spettanti all interessato sono quelli di cui all articolo 7 del D. Lgs. 196/2003. ART. 12 CODICE DI COMPORTAMENTO L appaltatore deve osservare, per sé e per i suoi collaboratori, per quanto compatibili, gli obblighi di condotta previsti dal Codice di comportamento adottato dal Comune Committente, in attuazione del D.p.r. n. 62/2013 Regolamento recante codice di comportamento dei dipendenti pubblici, a norma dell art. 54 del D.Lgs. 30/3/2001, n, 165. La mancata osservanza dei predetti obblighi di condotta, previamente e motivatamente contestata all affidatario, comporterà la risoluzione del contratto e il risarcimento dei danni. ART. 13 PROTOCOLLO DI LEGALITA E PATTO DI INTEGRITA All affidamento del servizio si applicano le clausole pattizie di cui al Protocollo di Legalità che l appaltatore si impegna a rispettare, ai fini della prevenzione dei tentativi di infiltrazione della criminalità organizzata nel settore dei contratti pubblici di Lavori, Servizi e Forniture sottoscritto in data dalla Regione Veneto, dagli Uffici Territoriali del Governo del Veneto, dall Anci Veneto e dall UPI Veneto, come recepite dal Comune di San Giovanni Lupatoto con specifico provvedimento pubblicato sul sito istituzionale dell Ente. ART. 14 DOMICILIO E RECAPITO Per tutti gli effetti del contratto, l appaltatore elegge il proprio domicilio presso la propria sede legale. Tutte le comunicazioni e intimazioni relative al contratto vanno al domicilio eletto. L appaltatore deve essere sempre in comunicazione diretta con il Responsabile Unico del Procedimento; a tale effetto deve stabilire un recapito telefonico al quale essere reperibile giornalmente, nonché un indirizzo di posta elettronica certificata a cui il Comune può inviare le comunicazioni. A tal fine resta stabilito che tutte le comunicazioni e intimazioni inviate al suddetto indirizzo di posta elettronica certificata si hanno come regolarmente notificate ai sensi di legge. ART. 15 CONTROVERSIE Per tutte le controversie che dovessero insorgere in dipendenza del presente affidamento sarà competente il Tribunale ordinario di Verona. E esclusa la competenza arbitrale. ART. 16 RINVIO

8 Per quanto non espressamente disciplinato con il presente Capitolato Speciale descrittivo e prestazionale valgono e si applicano le norme vigenti in materia.