Nomina responsabile videosorveglianza GDPR

Indice

In questa pagina troverai un modello editabile di nomina del responsabile della videosorveglianza conforme al GDPR, pronto per il download e da utilizzare come riferimento. Il documento è progettato per essere facilmente completato con i dati necessari e può essere stampato una volta ultimato.

Esempio di nomina responsabile videosorveglianza GDPR

Di seguito si presenta un esempio di nomina del responsabile per la videosorveglianza in conformità al GDPR. Questo modello può servire come base per coloro che necessitano di redigere un documento di tale natura.

ATTO DI NOMINA A RESPONSABILE ESTERNO DEL TRATTAMENTO DEI DATI PERSONALI Impianto di videosorveglianza – art. 28 Regolamento UE 2016/679 (GDPR)

PREMESSA E PARTI

Il presente atto è stipulato tra:

IL TITOLARE DEL TRATTAMENTO

_______________________________________________ (denominazione / nome e cognome), con sede legale / domicilio in _______________________________________________, Via / Piazza _______________________________________________ n. _____, cap ______, (), Codice fiscale / P.IVA ___________________________, in persona del legale rappresentante / titolare _______________________________________________, di seguito denominato “Titolare”,

IL RESPONSABILE DEL TRATTAMENTO

_______________________________________________ (denominazione / nome e cognome), con sede legale in _______________________________________________, Via / Piazza _______________________________________________ n. _____, cap ______, (), Codice fiscale / P.IVA ___________________________, in persona del legale rappresentante / referente _______________________________________________, di seguito denominato “Responsabile”,

di seguito congiuntamente denominate “le Parti”.

VISTO

il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (GDPR), in particolare gli artt. 4, par. 1, n. 8; 28; 29; 32; 37; 82; il D.Lgs. 30 giugno 2003, n. 196 (Codice Privacy), come modificato dal D.Lgs. 10 agosto 2018, n. 101; le Linee guida sulla videosorveglianza dell’EDPB n. 3/2019; il Provvedimento generale del Garante per la protezione dei dati personali n. 467 dell’11 ottobre 2018 (Elenco DPIA); il Provvedimento generale del Garante dell’8 aprile 2010 (Videosorveglianza), nei limiti della compatibilità con il GDPR;

PREMESSO CHE

il Titolare ha affidato al Responsabile, in forza del contratto di ☐ installazione / ☐ manutenzione / ☐ gestione / ☐ fornitura del servizio di videosorveglianza / ☐ archiviazione cloud delle immagini / ☐ altro: _______________________________________________ stipulato in data _____ / _____ / _______________ (di seguito “Contratto principale”), l’esecuzione delle seguenti attività che comportano il trattamento di dati personali per conto del Titolare: _______________________________________________; che ai sensi dell’art. 28, par. 1, GDPR, quando il trattamento è effettuato per conto di un Titolare, quest’ultimo deve ricorrere unicamente a Responsabili che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate; che il Responsabile ha dichiarato di possedere le competenze tecniche, le risorse e le garanzie necessarie allo svolgimento delle attività affidate nel rispetto del GDPR e della normativa applicabile;

le Parti concordano e stipulano il presente Atto di nomina a Responsabile del trattamento ai sensi dell’art. 28 GDPR.

Art. 1 – Nomina e oggetto

Il Titolare nomina formalmente _______________________________________________ quale Responsabile del trattamento dei dati personali ai sensi dell’art. 28 GDPR, limitatamente alle attività di trattamento connesse all’esecuzione del Contratto principale di cui in premessa e specificamente descritte nel seguente oggetto:

☐ Installazione, configurazione e messa in opera dell’impianto di videosorveglianza presso _______________________________________________, Via _______________________________________________ n. _____, cap ________, ()

☐ Manutenzione ordinaria e straordinaria dell’impianto (interventi tecnici che comportano l’accesso alle registrazioni)

☐ Gestione e monitoraggio da remoto delle telecamere / del sistema di registrazione

☐ Archiviazione e conservazione delle immagini su ☐ server proprio / ☐ piattaforma cloud / ☐ NVR/DVR di proprietà del Titolare gestito dal Responsabile

☐ Assistenza tecnica con accesso alle registrazioni

☐ Altro: _______________________________________________

Il Responsabile tratta i dati personali esclusivamente per le finalità indicate dal Titolare e nei limiti del presente atto. Qualsiasi trattamento effettuato al di fuori di tali istruzioni è imputabile al solo Responsabile, il quale assume in tal caso la qualifica di titolare autonomo del trattamento con le conseguenti responsabilità.

Art. 2 – Categorie di dati personali e interessati

Nell’ambito dell’esecuzione del Contratto principale, il Responsabile tratta le seguenti categorie di dati personali:

☐ Immagini video (dati identificativi diretti: volto, corporatura, movimenti)

☐ Dati biometrici ai sensi dell’art. 9 GDPR (es. riconoscimento facciale): ☐ Sì / ☐ No – specificare: _______________________________________________

☐ Dati relativi a targhe di veicoli

☐ Audio: ☐ Sì / ☐ No

☐ Altra categoria: _______________________________________________

Le categorie di interessati coinvolte sono: ☐ dipendenti / collaboratori del Titolare; ☐ clienti / utenti / visitatori; ☐ fornitori / terzi; ☐ pubblico generico transitante nelle aree riprese; ☐ soggetti vulnerabili (specificare: _______________________________________________)

Art. 3 – Durata

Il presente atto ha validità dalla data di sottoscrizione, _____ / _____ / _______________, fino alla scadenza o risoluzione del Contratto principale di cui in premessa, salva la facoltà di revoca anticipata da parte del Titolare ai sensi dell’art. 8 del presente atto. Alla cessazione del rapporto contrattuale trovano applicazione le disposizioni di cui all’art. 12 del presente atto.

Art. 4 – Istruzioni del Titolare

Il Responsabile tratta i dati personali esclusivamente su istruzione documentata del Titolare, in conformità al presente atto. Le istruzioni vigenti sono le seguenti:

le immagini registrate devono essere conservate per un periodo massimo di _____ ore / giorni dalla registrazione, al termine dei quali devono essere automaticamente cancellate tramite sovrascrittura o altra modalità di eliminazione sicura; le immagini non devono essere consultate, visualizzate, copiate o estratte se non per le finalità strettamente connesse all’esecuzione del Contratto principale o su specifica richiesta scritta del Titolare; in nessun caso le immagini devono essere utilizzate per finalità diverse da quelle dichiarate dal Titolare nella propria informativa ex art. 13 GDPR; ogni accesso alle registrazioni deve essere registrato in apposito log (data, ora, soggetto autorizzato, motivazione); in caso di richiesta delle Autorità competenti (Polizia Giudiziaria, Magistratura), il Responsabile ne dà immediata comunicazione al Titolare, salvo divieto di legge; ulteriori istruzioni specifiche: _______________________________________________.

Il Responsabile informa immediatamente il Titolare qualora ritenga che un’istruzione impartitagli violi il GDPR o la normativa applicabile, senza tuttavia sospendere l’esecuzione dell’incarico salvo diversa indicazione del Titolare.

Art. 5 – Obblighi del Responsabile

Il Responsabile si impegna a:

☐ trattare i dati personali esclusivamente per le finalità e secondo le istruzioni del Titolare, astenendosi da qualsiasi trattamento non autorizzato;

☐ garantire che le persone fisiche autorizzate al trattamento (propri dipendenti, collaboratori, sub-responsabili) si siano impegnate alla riservatezza o siano soggette a idoneo obbligo legale di riservatezza (art. 28, par. 3, lett. b, GDPR);

☐ adottare tutte le misure di sicurezza richieste dall’art. 32 GDPR, tra cui: _______________________________________________ (specificare misure tecniche e organizzative concrete);

☐ rispettare le condizioni stabilite dal presente atto per il ricorso a sub-responsabili (art. 6);

☐ assistere il Titolare, nella misura del possibile e tenuto conto della natura del trattamento, al fine di soddisfare l’obbligo del Titolare di dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR), entro il termine di _____ giorni dalla richiesta;

☐ assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica violazioni, comunicazione agli interessati, DPIA, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni disponibili;

☐ su scelta del Titolare, cancellare o restituire tutti i dati personali dopo la fine della prestazione dei servizi relativi al trattamento e cancellare le copie esistenti, salvo che la legge dell’Unione o degli Stati membri preveda la conservazione dei dati;

☐ mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR e consentire le attività di revisione e ispezione realizzate dal Titolare o da un soggetto da questi incaricato, con preavviso di _____ giorni lavorativi;

☐ informare immediatamente il Titolare di qualsiasi violazione dei dati personali (data breach) di cui venga a conoscenza, fornendo le informazioni necessarie ai fini della notifica al Garante entro 72 ore (art. 33 GDPR) e della eventuale comunicazione agli interessati (art. 34 GDPR);

☐ non trasferire dati personali verso Paesi terzi o organizzazioni internazionali al di fuori dello Spazio Economico Europeo senza previa autorizzazione scritta del Titolare e nel rispetto degli artt. 44-49 GDPR;

☐ tenere il Registro delle Attività di Trattamento svolte per conto del Titolare ai sensi dell’art. 30, par. 2, GDPR: ☐ Sì / ☐ Non obbligatorio (motivazione: _______________________________________________).

Art. 6 – Sub-responsabili

☐ Il Titolare non autorizza il Responsabile a ricorrere a sub-responsabili per le attività oggetto del presente atto.

☐ Il Titolare autorizza il Responsabile a ricorrere ai seguenti sub-responsabili già individuati: _______________________________________________ per le attività di: _______________________________________________

☐ Il Titolare concede al Responsabile autorizzazione generale a ricorrere a sub-responsabili, con obbligo di informare previamente il Titolare di eventuali modifiche riguardanti l’aggiunta o la sostituzione dei sub-responsabili, con un preavviso di almeno _____ giorni. Il Titolare ha il diritto di opporsi a tali modifiche entro _____ giorni dalla comunicazione.

In ogni caso, il Responsabile impone ai sub-responsabili gli stessi obblighi in materia di protezione dei dati previsti nel presente atto, mediante contratto o altro atto giuridico scritto (art. 28, par. 4, GDPR). Il Responsabile risponde nei confronti del Titolare degli inadempimenti dei sub-responsabili come se li avesse commessi in proprio, salvo che dimostri che il danno non è in alcun modo a lui imputabile (art. 82 GDPR).

Art. 7 – Misure di sicurezza (art. 32 GDPR)

Il Responsabile adotta e mantiene le seguenti misure tecniche e organizzative per garantire un livello di sicurezza adeguato al rischio:

☐ Sistemi di autenticazione con credenziali personali e riservate per l’accesso alle registrazioni e ai sistemi di gestione dell’impianto

☐ Cifratura dei dati registrati e trasmessi: ☐ Sì – protocollo/standard: _______________________________________________ / ☐ No

☐ Log degli accessi alle registrazioni (data, ora, utente, motivazione) con conservazione per _____ mesi

☐ Procedure di cancellazione sicura e certificata delle immagini al termine del periodo di conservazione

☐ Aggiornamento regolare del firmware e del software dell’impianto

☐ Procedure documentate per la gestione degli incidenti di sicurezza e dei data breach

☐ Formazione periodica del personale autorizzato

☐ Audit e test periodici sull’efficacia delle misure: cadenza _______________________________________________

☐ Altra misura: _______________________________________________

Art. 8 – Verifica e ispezione

Il Titolare ha il diritto di effettuare in qualsiasi momento, con preavviso scritto di _____ giorni lavorativi, verifiche e ispezioni presso le sedi del Responsabile al fine di accertare il rispetto del presente atto e del GDPR. Il Responsabile si impegna a collaborare attivamente, mettendo a disposizione la documentazione richiesta, il personale competente e l’accesso ai sistemi pertinenti.

Art. 9 – Responsabilità e risarcimento del danno (art. 82 GDPR)

Il Responsabile risponde per il danno causato dal trattamento solo se non ha adempiuto agli obblighi del GDPR specificatamente diretti ai Responsabili del trattamento ovvero ha agito in modo difforme o contrario rispetto alle legittime istruzioni del Titolare. Il Responsabile è esonerato da responsabilità se dimostra che il danno non è in alcun modo a lui imputabile. Qualora più soggetti siano responsabili in solido per lo stesso danno, ciascuno risponde per l’intero ammontare del danno, con diritto di regresso nei confronti degli altri.

Il Responsabile si impegna a mantenere attiva per tutta la durata del presente atto una polizza assicurativa per responsabilità civile a copertura dei rischi connessi al trattamento dei dati personali, con massimale non inferiore a € _______________. Estremi della polizza: _______________________________________________, Compagnia: _______________________________________________, scadenza: _____ / _____ / _______________

Art. 10 – Riservatezza

Il Responsabile si impegna a mantenere riservate tutte le informazioni, i dati e i contenuti delle registrazioni di cui viene a conoscenza nell’esecuzione del presente incarico e a non divulgarli a soggetti terzi non autorizzati. L’obbligo di riservatezza si estende a tutti i propri dipendenti, collaboratori e sub-responsabili e permane per _____ anni successivi alla cessazione del presente atto.

Art. 11 – DPO del Responsabile

☐ Il Responsabile ha designato un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 GDPR: _______________________________________________, contatto: _______________________________________________

☐ Il Responsabile non è tenuto alla designazione di un DPO.

Art. 12 – Restituzione e cancellazione dei dati al termine del rapporto

Al termine del presente atto, per qualsiasi causa, il Responsabile si impegna, su scelta del Titolare espressa per iscritto entro _____ giorni dalla cessazione:

☐ a restituire al Titolare tutti i dati personali trattati per suo conto, in formato: _______________________________________________, entro _____ giorni dalla richiesta;

☐ a cancellare in modo sicuro e irreversibile tutti i dati personali e le relative copie, fornendo al Titolare attestazione scritta dell’avvenuta cancellazione entro _____ giorni.

La restituzione o la cancellazione non si applica ai dati la cui conservazione sia imposta da obblighi di legge, che il Responsabile si impegna a comunicare preventivamente al Titolare.

Art. 13 – Revoca

Il Titolare ha facoltà di revocare il presente atto in qualsiasi momento, mediante comunicazione scritta inviata a mezzo ☐ PEC / ☐ raccomandata A/R / ☐ e-mail certificata, con preavviso di _____ giorni. La revoca è automatica e immediata in caso di accertata violazione da parte del Responsabile degli obblighi di cui al presente atto o del GDPR. La revoca non comporta obbligo di corresponsione di indennità o risarcimento al Responsabile salvo quanto diversamente previsto dal Contratto principale.

Art. 14 – Legge applicabile e foro competente

Il presente atto è disciplinato dalla legge italiana. Per ogni controversia derivante dall’interpretazione, esecuzione o risoluzione del presente atto, le Parti individuano quale foro esclusivamente competente il Tribunale di _______________________________________________. È fatta salva la facoltà del Titolare di agire in giudizio davanti all’autorità giudiziaria competente per il luogo in cui si è verificato il danno.

Art. 15 – Modifiche

Qualsiasi modifica al presente atto deve essere effettuata per iscritto e sottoscritta da entrambe le Parti. Le istruzioni del Titolare possono essere aggiornate anche mediante comunicazione scritta unilaterale del Titolare, che il Responsabile è tenuto a seguire dalla data di ricezione.

FIRME

Letto, approvato e sottoscritto.

_____________________________________________, lì _____ / _____ / _______________

Il Titolare del trattamento

Nome e cognome: _______________________________________________ Firma: _______________________________________________

Il Responsabile del trattamento

Nome e cognome: _______________________________________________ Qualifica: _______________________________________________ Firma: _______________________________________________

ALLEGATO A – NOMINA DEGLI AUTORIZZATI INTERNI AL TRATTAMENTO (art. 29 GDPR – per uso separato o allegato al contratto con il Responsabile)

Il Titolare del trattamento _______________________________________________ nomina i seguenti soggetti Autorizzati al trattamento dei dati personali raccolti mediante l’impianto di videosorveglianza, limitatamente alle operazioni e ai sistemi di loro competenza:

Nome e cognome: _______________________________________________ Ruolo: _______________________________________________ Operazioni consentite: ☐ visualizzazione in tempo reale / ☐ accesso alle registrazioni / ☐ estrazione e copia immagini / ☐ gestione sistema / ☐ altro: _______________________________________________

Gli Autorizzati si impegnano a trattare i dati personali esclusivamente per le finalità indicate dal Titolare, a mantenere la riservatezza sulle immagini e sulle informazioni di cui vengono a conoscenza e a rispettare le istruzioni operative impartite dal Titolare.

_____________________________________________, lì _____ / _____ / _______________

Il Titolare del trattamento

Firma: _______________________________________________

Firma per presa visione e accettazione di ciascun Autorizzato:

_______________________________________________ lì _____ / _____ / _______________

Fac simile nomina responsabile videosorveglianza GDPR Word

Il modello per la nomina del responsabile della videosorveglianza conforme al GDPR è disponibile in formato Doc, il che consente di aprirlo facilmente con Word o con qualsiasi altro programma compatibile. Per completare il fac simile, è fondamentale inserire tutte le informazioni mancanti. Il modulo è completamente modificabile, permettendo così di adattarlo senza difficoltà alle proprie specifiche necessità. Una volta compilato, il documento può essere convertito in PDF o stampato per un utilizzo immediato.