Spett.le. Via. Egregi Signori, facciamo seguito alle intese intercorse per confermarvi quanto segue. Premesso che:

Transcript

1 Spett.le. Via Oggetto: Designazione a Responsabile Esterno del trattamento dei Dati Personali ai sensi dell art. 29 D. Lgs. 30 giugno 2003 n. 196 (di seguito Codice Privacy ) Egregi Signori, facciamo seguito alle intese intercorse per confermarvi quanto segue. Premesso che: a) a far data dal [...] sono in corso rapporti contrattuali tra le nostre società, finalizzati all erogazione, in favore di Pirelli & C. S.p.A. e delle società del Gruppo Pirelli (per brevità, denominate congiuntamente PIRELLI ) di Servizi di Vigilanza, inclusa la gestione di impianti di videosorveglianza (per brevità detti anche Servizi di Vigilanza ) da parte di... (per brevità, detta anche... ); b) ai sensi del Codice Privacy, l esecuzione dei Servizi di Vigilanza comporta, da parte di..., il trattamento di dati personali di cui PIRELLI è Titolare ; c)..., presa visione delle istruzioni nel seguito riportate, dichiara di essere in possesso dei requisiti di esperienza, di capacità ed affidabilità previsti dal Codice Privacy all articolo 29, comma 2, per garantire il pieno rispetto delle vigenti disposizioni in materia di trattamento di dati personali, ivi compreso il profilo relativo alla sicurezza. Tutto ciò premesso, con la presente PIRELLI nomina..., ai sensi dell art. 29 del Codice Privacy e nei termini di seguito indicati, Responsabile del trattamento dei dati personali - secondo la definizione dell art. 4 lett. g) del Codice Privacy - dalla stessa trattati nell ambito dei Servizi di Vigilanza. Con la presente, PIRELLI conferma, inoltre, che, a far data dal [...] e fino alla data odierna,... ha agito in qualità di soggetto Responsabile del trattamento dei dati personali, secondo la definizione dell art. 4 lett. g) del Codice Privacy, nei termini di seguito indicati. Art. 1 Compiti del Responsabile In ottemperanza a quanto prescritto dall art. 29, comma 4 del Codice Privacy, si ricorda che nell ambito dei compiti attribuiti al Responsabile per il trattamento dei dati personali, il Responsabile è tenuto, in particolare, a: procedere al trattamento dei dati personali esclusivamente ai fini dell esecuzione dei Servizi di Vigilanza, attenendosi alle istruzioni impartite dal Titolare; rispettare ed applicare le misure di sicurezza idonee a salvaguardare la riservatezza, l integrità e la completezza dei dati trattati, secondo quanto disposto dagli art.31 e 33 del Codice Privacy e dal relativo Disciplinare Tecnico; verificare che i dati trattati siano esatti e, se necessario, aggiornarli; che siano pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti e/o successivamente trattati; 1

2 conservare i dati in una forma che consenta l identificazione degli interessati per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti e successivamente trattati; individuare gli incaricati del trattamento e dare loro adeguate istruzioni scritte, ai sensi dell art. 30 del Codice Privacy, tenendo in considerazione sia la natura dei dati trattati (es.: dati sensibili o giudiziari), sia l esistenza di eventuali rischi specifici; sarà cura del Responsabile legare i propri Incaricati al segreto, anche per il periodo successivo all estinzione del rapporto di lavoro intrattenuto con il Responsabile, in relazione alle operazioni di trattamento da essi eseguite; adempiere all obbligo di formazione in tema privacy degli incaricati individuati; assicurare, ai fini della corretta applicazione della vigente normativa sulla privacy, il costante monitoraggio degli adempimenti e delle attività effettuati dai propri incaricati (ad esempio: informativa, consenso, raccolta, elaborazione ed archiviazione, comunicazione e diffusione, cessazione) in relazione alle operazioni di trattamento di competenza; trasmettere al Titolare la lista dei propri incaricati al trattamento che abbiano accesso presso i locali del Titolare. La lista dovrà essere tenuta costantemente aggiornata; informare periodicamente il Titolare in ordine all attività svolta, sia sotto il profilo del trattamento, sia sotto il profilo della sicurezza dei dati; in particolare, relazionare il Titolare, ogni sei (6) mesi in caso di trattamento di dati sensibili ed ogni dodici (12) mesi in caso di trattamento di dati comuni, sulle misure di sicurezza adottate; inviare al Titolare, al momento della cessazione delle operazioni di trattamento o anche antecedentemente in caso di specifica richiesta del Titolare, la documentazione comprovante l avvenuta esecuzione degli adempimenti privacy; informare prontamente il Titolare di ogni questione rilevante ai fini della presente nomina, quali a titolo indicativo: (i) istanze di interessati; (ii) richieste del Garante; (iii) violazioni o messa in pericolo della riservatezza, della completezza o dell integrità dei dati personali. fornire la massima collaborazione al Titolare in caso di istanze avanzate da parte degli interessati, ai sensi dell art. 7 e seguenti del Codice Privacy, le cui informazioni sono trattate in esecuzione dei Servizi di Vigilanza o in caso di accertamenti o ispezioni effettuate da parte del Garante per la protezione dei dati personali (il Garante ), nonché in caso di qualsiasi controversia avente ad oggetto la normativa a tutela dei dati personali; informare prontamente il Titolare di tutte le questioni rilevanti ai fini della legge (ad esempio richieste del Garante, esiti delle ispezioni, istanze degli interessati, ecc.); garantire l esecuzione di ogni altra operazione richiesta o necessaria per ottemperare agli obblighi derivanti dalle disposizioni di legge e/o da regolamenti vigenti in materia di privacy. Art. 2 - Gli obblighi specifici da osservare per la Videosorveglianza Il Responsabile, nell eseguire l attività di gestione degli impianti di videosorveglianza, è tenuto ad eseguire i seguenti ulteriori specifici compiti: assicurarsi che l informativa videosorveglianza fornita dal Titolare (l Informativa Videosorveglianza ) sia regolarmente affissa e visibile presso gli ingressi dei siti di svolgimento dei Servizi di Vigilanza, laddove siano presenti impianti di videosorveglianza; raccogliere e trattare le immagini esclusivamente per consentire al Titolare di procedere al perseguimento delle finalità indicate nell Informativa Videosorveglianza; astenersi dall utilizzare le immagini per il perseguimento di uno scopo diverso o di utilizzare le immagini per il conseguimento di finalità proprie; fornire ai propri dipendenti e collaboratori incaricati al trattamento dei dati per la videosorveglianza, specifiche istruzioni scritte in conformità al fac simile sub Allegato 1, garantendone il rispetto da parte degli stessi; evidenziare per ciascun Incaricato nominato ai sensi del punto precedente il livello di accesso alle immagini ed il loro ambito di trattamento; non incaricare la medesima persona fisica, sia essa dipendente o collaboratore, alla gestione della banca dati immagini contestualmente ad altre banche dati contenenti dati personali il cui trattamento presenta profili di elevata rischiosità per la tutela della persona quali le banche dati che contengono le informazioni inerenti codici identificativi di carte elettroniche o i dati biometrici; nel caso in cui sia previsto l accesso alle immagini registrate, istituire e custodire un registro degli accessi, da compilare ad ogni accesso alle immagini registrate. In particolare, nel registro degli accessi dovranno essere indicati: data di accesso, nominativo e codice identificativo dell Incaricato, modalità di accesso alla registrazione (es. mera visualizzazione o estrazione di copia delle immagini registrate) e finalità dell accesso; garantire il rispetto, anche da parte dei propri dipendenti e collaboratori, delle prescrizioni previste nel Provvedimento Generale del Garante per la protezione dei dati personale del 29 aprile del 2004 sulla videosorveglianza, manlevando il Titolare da qualsiasi responsabilità ne dovesse scaturire. 2

3 Art. 3 - Controlli del Titolare Il Responsabile si impegna a consentire al Titolare, o a soggetti dallo stesso delegati, di effettuare verifiche periodiche sulla puntuale osservanza di quanto previsto dal Codice Privacy, nonché delle proprie istruzioni, in conformità alle disposizioni di cui all art. 29, comma 5 del Codice Privacy. Nella suddetta ipotesi, il Titolare si impegna ad avvisare il Responsabile con un preavviso di almeno cinque (5) giorni lavorativi. Art. 4 Elenco dei Responsabili In ottemperanza a quanto disposto dall articolo 13, lettera f) del Codice Privacy, il Responsabile sarà indicato in un elenco aggiornato dei Responsabili del trattamento, che potrà essere reso conoscibile agli interessati in modo agevole. Art. 5 - Cessazione del Trattamento Alla cessazione per qualsiasi causa dei Servizi di Vigilanza, il Responsabile sarà tenuto, a discrezione del Titolare: (i) a restituire al Titolare i dati personali oggetto del trattamento oppure (ii) a provvedere alla loro integrale distruzione, salvi solo i casi in cui la conservazione dei dati sia richiesta da norme di legge ad altri fini (contabili, fiscali, ecc.). In entrambi i casi il Responsabile provvederà a rilasciare al Titolare apposita dichiarazione per iscritto contenente l attestazione che presso il Responsabile non esiste alcuna copia dei dati personali e delle informazioni di titolarità di PIRELLI, fatti salvi i caso in cui la conservazione dei dati sia richiesta da norme di legge ad altri fini (contabili, fiscali, ecc.). Il Titolare si riserva il diritto di effettuare controlli e verifiche volte ad accertare la veridicità della dichiarazione. Art. 6 - Gratuità della prestazione L esecuzione delle attività di cui alla presente nomina non importano alcun diritto del Responsabile a percepire compensi ulteriori rispetto a quanto previsto per i Servizi di Vigilanza. Art. 7 - Responsabilità e Manleva Il Responsabile si impegna a tenere indenne il Titolare da ogni responsabilità, costo, spesa o altro onere, discendenti da pretese, azioni o procedimenti di terzi a causa della violazione, da parte del Responsabile (o di suoi dipendenti o collaboratori), degli obblighi a suo carico in base alla presente nomina e/o della violazione delle prescrizioni contenute nel Codice Privacy. Art. 8 - Durata La presente nomina va intesa come se fosse stata effettuata in data [...] ed avrà durata fino alla cessazione, per qualsivoglia motivo, del Contratto di Servizi. Milano, [...] Pirelli & C. S.p.A. * * * * * Con la sottoscrizione della presente accettiamo la nomina a Responsabile del Trattamento dei dati personali nei termini sopra descritti ed, inoltre, confermiamo che, a far data dal [...] e fino alla data odierna,... ha agito nella medesima qualità ed ai medesimi termini. 3

4 Luogo e data di sottoscrizione... (con timbro) 4

5 ALLEGATO 1 FAC SIMILE DI NOMINA E ISTRUZIONI PER GLI INCARICATI ALLA VIDEOSORVEGLIANZA CHE NON POSSONO ACCEDERE AD IMMAGINI REGISTRATE Egregio Signor (inserire nominativo) VIDEOSORVEGLIANZA: Nomina ad Incaricato del trattamento dei dati personali ex art. 30 del D. Lgs. 30 giugno 2003 n. 196 ( Codice Privacy ) che può solo visualizzare le immagini Ai sensi dell articolo 30 del Codice Privacy, Le comunico che Lei è nominato Incaricato del trattamento dei dati personali costituiti dalle immagini dei soggetti ripresi attraverso il sistema di videosorveglianza. In conformità a quanto previsto dal Disciplinare Tecnico sulle misure minime di sicurezza (Allegato B del Codice Privacy) e dal Provvedimento Generale sulla Videosorveglianza, pubblicato dal Garante il 29 aprile 2004, che impongono di individuare i differenti livelli di accesso alle immagini, Lei è autorizzato esclusivamente ad accedere alle immagini durante la fase della visualizzazione. Il trattamento dovrà essere eseguito in conformità alle specifiche Istruzioni per la Videosorveglianza, qui allegate. Tali istruzioni sono state redatte in conformità alle prescrizioni previste dal Codice Privacy nonché ai provvedimenti emessi, in materia di videosorveglianza da parte del Garante per la protezione dei dati personali e da organismi internazionali, quali il Gruppo dei Garanti europei ed il Consiglio d Europa. La prego di volersi attenere scrupolosamente alle istruzioni ricevute e di segnalare eventuali incidenti di sicurezza quali la distruzione o la perdita dei dati, l accesso da parte di soggetti non autorizzati o eventuali trattamenti eseguiti i difformità alle istruzioni ricevute. Vorrà, altresì, segnalare eventuali difficoltà di carattere operativo per il pieno rispetto delle prescrizioni rilasciate per il trattamento dei dati. In ogni caso, Le ricordo che Le è fatto assoluto divieto di procedere al trattamento dei dati per il perseguimento di finalità proprie. Cordiali saluti. Luogo, Data FIRMA 5

6 ISTRUZIONI PER GLI INCARICATI ALLA VIDEOSORVEGLIANZA Gli Incaricati alla gestione dei sistemi di videosorveglianza e gli incaricati che possono accedere alle immagini visualizzate nonché alle immagini registrate dovranno attenersi alle seguenti istruzioni. 1. La conservazione delle immagini Il periodo di conservazione delle immagini è normalmente di un (1) giorno, fatta salva la possibilità di detenere le stesse, in caso di festività o di giornate non lavorative, fino alla ripresa delle attività lavorative. In alcuni casi particolari, come ad esempio qualora sussista un concreto pericolo per la salvaguardia dell incolumità dei lavoratori e dei visitatori oppure per la tutela del patrimonio, le immagini possono essere conservate una settimana. Periodi più lunghi di conservazione sono ammessi unicamente nel caso si sia verificata una fattispecie criminosa al fine di consentire l esercizio del diritto di difesa all azienda oppure in caso di richiesta avanzata da parte dell autorità giudiziaria, della polizia giudiziaria e degli altri organi preposti all attività di accertamento e repressione dei reati. 2. Divieto di collegamento, incrocio o confronto delle immagini con dati particolari E fatto divieto assoluto agli Incaricati alla videosorveglianza di procedere all incrocio delle immagini registrate con qualsiasi altra informazione. Nello specifico, è fatto divieto di incrociare le immagini con dati biometrici, con la voce, con i codici di identificazione personale riportati su carte elettroniche o magnetiche nonché con altri dati il cui trattamento presenta un elevato livello di rischiosità. È possibile procedere al collegamento, all incrocio o al confronto con dati di natura comune o di altra natura in presenza di un espresso obbligo di legge. L incrocio, il confronto o il collegamento delle immagini con dati anagrafici è possibile per soddisfare le istanze di accesso ai dati personali presentate ai sensi dell art. 7 del Codice privacy da parte dei soggetti interessati o degli aventi diritto. L incrocio, il confronto o il collegamento delle immagini con qualsivoglia tipologia di dato (ivi compresi i dati il cui trattamento potrebbe essere particolarmente rischioso per la tutela della dignità della persona) è consentito in presenza di una specifica richiesta da parte della autorità giudiziaria, della polizia giudiziaria o di tutti gli altri soggetti preposti all accertamento ed alla repressione dei reati. In siffatte ipotesi occorrerà attenersi anche alle istruzioni rilasciate volta per volta dal Titolare. 3. Divieto di accedere contestualmente, da parte del medesimo Incaricato, alla banca dati immagini con altre banche dati. Fatte salve le ipotesi sopra riportate: 1. è fatto divieto per gli Incaricati al trattamento addetti alla gestione dell impianto di videosorveglianza di accedere alla banca dati in cui sono conservate le informazioni raccolte tramite la registrazione dei codici identificativi di carte elettroniche; 2. è fatto, altresì, divieto per gli Incaricati che possono accedere alla banca dati in cui sono conservate le informazioni inerenti i codici identificativi di carte elettroniche di accedere alla sala di gestione dell impianto di videosorveglianza. 4. Divieto di interconnessione di banche dati di diversi Titolari del trattamento dei dati 6

7 E fatto divieto di interconnessione delle banche dati immagini con società Titolari estranee al Gruppo Pirelli. 3. divieto di rilevazione di immagini che segnalano particolari comportamenti che possano dar luogo ad episodi di discriminazione dovendosi procedere in dette circostanza all utilizzo di altre misure di sicurezza ed, in particolare, di guardie; 4. divieto di riprendere, nell angolo visuale della telecamera collocata in prossimità dei lettori di badge, le persone che accedono tramite l utilizzo del badge, in modo da consentirne la identificazione. 5. In caso di installazione di telecamere su aree esterne Non utilizzare la funzione di zoom salvo i casi in cui ciò sia necessario a causa dell esistenza di un pericolo concreto per la sicurezza degli individui o per la tutela del patrimonio aziendale. 7