CONTRATTO PER LA DESIGNAZIONE DEL RESPONSABILE

Transcript

1 CONTRATTO PER LA DESIGNAZIONE DEL RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI. 28 FEBBRAIO 2019 L'ISTITUTO NAZIONALE DI FISICA NUCLEARE (di seguit anche INFN) cn sede legale in via E. Fermi, 40 Frascati (Rma), Cdice Fiscale: , in persna del Presidente pr-tempre/del Direttre della Struttura INFN di...] e TITOLARE DEL TRATTAMENTO L peratre ecnmic/ altr sggett in cas di Cnvenzini. cn sede. Cdice Fiscale:., in persna del legale rappresentante/persna appsitamente autrizzata giusta delega... cngiuntamente definite anche Parti, premess che RESPONSABILE DEL TRATTAMENTO - il Reglament UE 2016/679 relativ alla prtezine delle persne fisiche cn riguard al trattament dei dati persnali (di seguit anche Reglament) dispne che il sggett che effettui un trattament dei dati persnali per cnt del Titlare è individuat Respnsabile del trattament e vinclat a una cndtta cnfrme ai principi indicati nel Reglament nnché all adzine di misure tecniche e rganizzative adeguate per una efficace prtezine dei dati persnali; - cn deliberazine/rdine n. del la Giunta Esecutiva/il Direttre della Struttura INFN ha affidat all peratre ecnmic [altr sggett in cas di Cnvenzini]. il servizi [l attività] di ;

2 - le attività ggett del servizi affidat cmprtan il trattament di dati persnali; - l INFN è Titlare del trattament dei dati persnali cinvlti nelle prestazini ggett del servizi/ cnvenzine e in quant tale determina le finalità e i mezzi del lr trattament; - l INFN attribuisce asslut interesse a che i dati persnali dei quali è Titlare sian trattati secnd i più elevati standard di tutela, anche nell espletament del servizi ggett di appalt/cnvenzine; - l INFN, cn deliberazine del Cnsigli Direttiv n del 27 lugli 2018, ha individuat il prpri assett rganizzativ in materia di trattament dei dati persnali assegnand ai Direttri delle Strutture in cui si l Istitut si articla, tra gli altri, il cmpit di designare quali Respnsabili del trattament i sggetti che trattan dati persnali per cnt dell INFN nell ambit dei cntratti delle cnvenzini che hann il ptere di sttscrivere; - l INFN intende cnsentire all peratre ecnmic/altr sggett.. l access al trattament dei dati persnali di cui è titlare nel ristrett limite in cui il lr trattament è necessari ad adem - piere ai cmpiti ggett del servizi affidat/della cnvenzine stipulata; - l INFN ha pres att delle dichiarazini secnd le quali l peratre ecnmic/altr sggett garantisce di mettere in att misure tecniche ed rganizzative adeguate per assicurare che il trattament dei dati persnali effettuat per cnt dell INFN sddisfi i requisiti del Reglament UE 2016/679 e garantisca la tutela degli interessati; tutt quant sin qui premess, le Parti in epigrafe individuate e rappresentate cnvengn e stipulan quant segue. 1. Le premesse frman parte integrante e sstanziale del presente cntratt. 2. L INFN individua l peratre ecnmic/altr sggett.. Respnsabile del trattament dei dati persnali trattati per su cnt e affida all stess le perazini di trattament necessarie per eseguire il cntratt/la cnvenzine stipulata. 3. Per la durata del cntratt/cnvenzine e per le attività in ess disciplinate, il Respnsabile del trattament dei dati persnali designat, tenend cnt della natura, dell ambit di applicazine, del cntest e delle finalità del trattament, della tiplgia di dati persnali trattati, delle categrie di interessati nnché dei rischi aventi prbabilità e gravità diverse per i diritti e le libertà delle persne fisiche, si impegna nei cnfrnti del Titlare a: a. trattare i dati persnali nel rispett dei princìpi e delle dispsizini previsti dal Cdice, dal Reglament, dagli indirizzi e dai prvvedimenti a carattere generale emanati dal Garante in materia di prtezine dei dati persnali e da gni altra vigente nrmativa in materia di prtezine dei dati persnali; b. adttare eventuali prcedure di cnservazine dei dati e delle infrmazini nella prpria dispnibilità, per un perid di temp nn superire a quell strettamente necessari per adempiere agli bblighi di Legge per perseguire le finalità per le quali sn stati racclti dall stess Titlare successivamente utilizzati; 2

3 c. designare, ve richiest in base al Reglament, un Respnsabile della prtezine dei dati, in cnfrmità a quant dispst dall art. 37 e ss. del Reglament e cmunicare i dati di cntatt all Autrità di cntrll e al Titlare del trattament; d. nn trasferire, né in tutt né in parte, in un Paese terz a un rganizzazine internazinale i dati persnali trattati ai sensi del Cntratt, senza la previa autrizzazine del Titlare; e. nel trattare i dati persnali per cnt del Titlare, attenersi alle istruzini frnite dal Titlare stess, anche in cas di eventuale trasferiment di dati persnali vers un Paese terz un rganizzazine internazinale, salv che l richieda il diritt dell Unine la nrmativa nazinale; in tal cas, il Respnsabile del trattament si impegna a infrmare il Titlare circa tale bblig giuridic prima del trattament, a men che il diritt vieti tale infrmazine per rilevanti mtivi di interesse pubblic; f. sservare quale livell minim di sicurezza, le prescrizini previste dal Cntratt e dagli eventuali sui allegati, adttand misure nn inferiri alle Nrme per il trattament dei dati persnali nell INFN dispnibili all indirizz web ltre, ve applicabili, le Linee guida per l svilupp del sftware sicur pubblicate dall Agenzia per l Italia Digitale e gni altra eventuale cmunicazine scritta del Titlare cncernente le mdalità di trattament dei dati da parte del Respnsabile; g. adttare, nei trattamenti effettuati cn strumenti infrmatici misure nn inferiri alle seguenti: garantire che gni incaricat pssieda una credenziale persnale di autenticazine a su us esclusiv (p.e. username / passwrd un dispsitiv hardware di autenticazine); prescrivere le necessarie cautele per assicurare la segretezza della cmpnente riservata della credenziale e/ la diligente custdia del dispsitiv in pssess e us esclusiv dell'incaricat; verificare che l'eventuale passwrd sia cmpsta da almen dieci caratteri alfanumerici, che nn cntenga riferimenti facilmente ricnducibili all'incaricat, che venga mdificata da quest'ultim al prim utilizz e, successivamente, cn raginevle frequenza; garantire che l'eventuale cdice identificativ persnale, nn sia assegnat ad altri incaricati, neppure in tempi diversi; eliminare il cdice identificativ persnale quand cessi la necessità di access da parte dell incaricat e disabilitarl nel cas di inattività superire a sei mesi; predisprre le prcedure per assicurare la dispnibilità di dati strumenti elettrnici in cas di prlungata assenza impediment dell incaricat; limitare al minim indispensabile i privilegi di autrizzazine di gni singl incaricat grupp mgene; verificare, cn peridicità almen annuale, la sussistenza delle ragini che hann prtat al rilasci delle autrizzazini; 3

4 redigere e mantenere aggirnat un elenc cn gli estremi identificativi delle persne fisiche che rivestn il rul di Amministratri di Sistema e, per ciascun di essi, la descrizine delle funzini che gli sn state attribuite nell ambit delle attività svlte per cnt del Titlare e implementare le ulteriri misure di sicurezza, cme definit nel Prvvediment dell Autrità Garante per la Prtezine dei dati persnali del 27/11/2008 Misure e accrgimenti prescritti ai titlari dei trattamenti effettuati cn strumenti elettrnici relativamente alle attribuzini delle funzini di amministratri di sistema e s.m.i.; utilizzare le utenze amministrative sl per effettuare perazini che ne richiedan i privilegi, registrand gni access effettuat e assicurare la cmpleta distinzine tra utenze privilegiate e nn privilegiate degli amministratri, alle quali debbn crrispndere credenziali diverse; utilizzare le utenze amministrative annime, quali "rt" di UNIX "Administratr" di Windws, sl per le situazini di emergenza, gestend le credenziali relative in md da assicurare l'imputabilità di chi ne fa us utilizzare e mantenere aggirnati idnei prgrammi cntr il rischi di esecuzine di malware, di intrusine e access abusiv; eseguire reglarmente scansini sui prpri sistemi alla ricerca di sftware nn autrizzat e vulnerabilità, avend cura di mantenere sempre aggirnati gli strumenti utilizzati; eseguire tutte le perazini di amministrazine remta di server, wrkstatin, dispsitivi di rete e analghe apparecchiature sl tramite cnnessini prtette; gni vlta che vi sia la segnalazine della presenza di vulnerabilità nei sistemi utilizzati, prvvedere cn sllecitudine al lr aggirnament; definire un pian di gestine dei rischi che tenga cnt dei livelli di gravità delle vulnerabilità, del ptenziale impatt e della tiplgia degli apparati; utilizzare, e verificare peridicamente, sistemi di salvataggi e ripristin dei dati: quest'ultim deve avere tempi certi e cmunque nn superiri a sette girni; assicurare la riservatezza delle infrmazini cntenute nelle cpie di salvataggi mediante adeguata prtezine fisica dei supprti cifratura, avend cura che almen una di esse nn sia permanentemente accessibile dal sistema, per evitare che attacchi su quest pssan cinvlgere anche tutte le sue cpie di sicurezza; inltre, per il trattament di dati particlari, cme definiti dall'art. 9 del Reglament, il Respnsabile deve: assicurare che la lr memrizzazine avvenga in maniera da nn permettere la diretta identificazine dell interessat, p.e. cifrandli mantenendli separati dagli altri dati persnali; assicurare che il lr trasferiment in frmat elettrnic avvenga in maniera cifrata; 4

5 h. implementare, sia nei trattamenti effettuati in md infrmatic sia cartace, le misure tecniche e rganizzative di sicurezza impartite dal Titlare al fine di assicurare, in ragine del prpri assett rganizzativ, gni più efficace livell di sicurezza dei dati persnali trattati per cnt del Titlare; il Respnsabile deve infrmare il Titlare qualra ritenga che un istruzine impartitagli da quest ultim vili il Reglament altre dispsizini eurpee nazinali relative alla prtezine dei dati; i. assistere il Titlare nell adempiment dei prpri bblighi derivanti dall esercizi, da parte degli interessati, dei diritti di cui alla Sezine 3 del Reglament e individuare, di cncert cn il Titlare, una prcedura idnea a frnire sllecita rispsta all interessat nel cas in cui questi frmuli istanza di access ai dati trattati per cnt del Titlare, nnché per l esercizi di tutti i diritti che la legislazine eurpea e nazinale pne a sua tutela; j. adttare tutte le misure di sicurezza di cui all art. 32 del Reglament; nel cas in cui il trattament, per la prpria natura, il cntest e/ le tecnlgie utilizzate, necessiti di una valutazine d impatt sulla prtezine dei dati e/ evidenzi la necessità di apprntare ulteriri misure di sicurezza, il Titlare può chiedere al Respnsabile la lr implementazine; il Respnsabile, nei casi in cui evidenzi una nn piena crrispndenza tra la tiplgia di trattament prevista dal cntratt/dalla cnvenzine e le misure di sicurezza richieste, si impegna a cmunicarl per scritt al Titlare, frnendgli l analisi del rischi effettuata e indicand le misure di sicurezza che ritiene adeguate; k. assistere il Titlare nel garantire il rispett degli bblighi cncernenti la sicurezza dei dati persnali (in particlare: sicurezza del trattament, ntifica della vilazine dei dati persnali al Garante per la prtezine dei dati persnali e relativa cmunicazine all interessat), la valutazine d impatt sulla prtezine dei dati e la cnsultazine preventiva cn il Garante, ai sensi degli articli da 32 a 36 del Reglament, tenend cnt della natura del trattament e delle infrmazini a dispsizine del Respnsabile; cmunicare al Titlare qualsiasi element che pssa cmprmettere il crrett trattament dei dati persnali e, senza ritard e per iscritt, cmunicare gni vilazine dei dati persnali; in particlare, il Respnsabile garantirà il rispett delle prescrizini di cui all art. 33 del Reglament e frnirà al Titlare una descrizine dettagliata: i) della vilazine verificatasi, ii) dei dati persnali interessati (cmprensivi delle categrie e del numer apprssimativ degli interessati), iii) delle categrie e del numer apprssimativ delle registrazini dei dati persnali interessati, iv) delle prbabili cnseguenze della vilazine, v) nnché gni ulterire infrmazine e/ dcumentazine richiesta dal Titlare, nn appena dispnibili; infrmare immediatamente il Titlare qualra, a su parere, un istruzine dall stess frnita vili il Reglament altre nrme applicabili in materia di prtezine dei dati. l. nn ricrrere a un altr Respnsabile senza la previa autrizzazine scritta del Titlare; gniqualvlta il Titlare autrizzi il ricrs del Respnsabile ad altr Respnsabile per l esecuzine di specifiche attività di trattament, il Respnsabile designat cn il presente att impne a tale altr Respnsabile, mediante la stipula di un cntratt altr att giuridic, i medesimi bblighi in materia di prtezine dei dati persnali cntenuti nella presente designazine; il Respnsabile designat cn il presente att accerta la sussistenza, in cap al Respnsabile dal medesim 5

6 designat, delle garanzie sufficienti alla messa in att delle misure tecniche e rganizzative adeguate richieste dal Reglament e cnserva, nei cnfrnti del Titlare del trattament anche in cas di inadempiment dell altr Respnsabile, l intera respnsabilità dell adempiment di tali bblighi; m. garantire e vigilare che i prpri dipendenti e/ le persne autrizzate al trattament dei dati persnali si sian impegnate alla riservatezza abbian un adeguat bblig legale di riservatezza, che abbian ricevut le istruzini idnee alle attività da svlgere, finalizzate a trattare in md sicur e riservat i dati affidati, custdendli e cntrllandli nel md più apprpriat e sicur e, in gni cas, che abbian ricevut la frmazine necessaria; n. tenere il registr delle categrie di attività relative al trattament dei dati persnali effettuate per cnt del Titlare ai sensi dell art. 30, cmma 2 del Reglament, e, su richiesta, mettere tale registr a dispsizine del Titlare e/ del Garante per la prtezine dei dati persnali;. mettere a dispsizine del Titlare tutte le infrmazini necessarie a dimstrare il rispett degli bblighi di cui alla presente designazine e di cui all art. 28 del Reglament nnché cnsentire e cntribuire alle attività di revisine, cmprese le ispezini, eseguite dal Titlare da altr sggett da questi incaricat; p. a scelta e su richiesta del Titlare, cancellare restituire al medesim tutti i dati persnali al termine del Cntratt cmunque della prestazine dei servizi relativi al trattament nnché cancellare le cpie esistenti, salv che il diritt dell Unine la nrmativa nazinale prevedan la cnservazine dei dati. 4. In cnfrmità a quant dispst dall art. 28, cmma 10 del Reglament, nel cas in cui il Respnsabile vili gli bblighi per la stessa previsti dal Reglament ed ad ess attribuiti dal presente cntratt, determinand le finalità ed i mezzi del trattament, ess sarà cnsiderat ai fini sanzinatri, Titlare del trattament effettuat. 5. Il Respnsabile del trattament rispnde dei danni derivati dal trattament qualra nn abbia adempiut agli bblighi della nrmativa vigente in materia di trattament dei dati persnali abbia agit in md diffrme alle istruzini frnite dal Titlare. 6. Il presente cntratt nn cmprta alcun diritt del Respnsabile a cmpensi rimbrsi aggiuntivi rispett quelli già previsti nel cntratt principale cui il presente accrd accede. Per quant nn espressamente previst dalla presente designazine, si fa espress riferiment alla nrmativa, sia eurpea sia nazinale, in materia di prtezine dei dati persnali. Lug e data... Per l peratre ecnmic/altr sggett Respnsabile del trattament Il legale rappresentante Per l INFN Titlare del trattament Il Presidente/Direttre 6