ACCORDO DI CONTITOLARITÀ DEL TRATTAMENTO DATI PERSONALI

ACCORDO DI CONTITOLARITÀ DEL TRATTAMENTO DATI PERSONALI

(art. 26 del Regolamento UE 2016/679) TRA

U.N.Si.L.-Unione Nazionale Sindacale del Lavoro con sede legale in Milano alla Via Enrico Cosenz n. 22, C.F. 97869550158, in persona del legale rapp.te p.t. Isabella Tammaro, (di seguito anche “Contitolare”);

 

E

_________________con sede territoriale    (di seguito, “Struttura” o anche “Contitolare”)

 

 

di seguito congiuntamente “Parti” o anche “Contitolari”

 

PREMESSO CHE:

 

-l’art. 26, punto 1, del Regolamento UE 2016/679 (di seguito “Regolamento”) prevede che “Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.”;

-l’art. 26, punto 2, del Regolamento prevede che, “L’accordo di contitolarità riflette adegua- tamente i ruoli e irapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione degliinteressati”;

-le parti determinano congiuntamente le finalità ed i mezzi del trattamento dei dati personali secondo quantoprevisto  dalla presente “Convenzione“;

-l’espletamento delle suddette attività comporta infatti il trattamento di dati personali, come definiti all’art. 4,punto 1) del Regolamento, anche di particolari categorie di cui all’art. 9 del GDPR;

-le Parti si impegnano sin d’ora a trattare i dati secondo i principi di liceità, correttezza, tra- sparenza, minimizzazione, esattezza, limitazione, integrità, riservatezza ed esclusivamente per le fi- nalità esplicitate nelpresente accordo, ai sensi dell’art. 5, punto 1 del Regolamento, del D. Lgs. 196/2003 e successive modifiche(D.lgs.101/18) (“Codice in materia di protezione dei dati personali”) e di ogni altra norma cogente (ad es. leggi,decreti legislativi, regolamenti ecc.), ivi in- clusi i provvedimenti del Comitato europeo per la protezione dei datie del Garante per

 

la protezione dei dati personali (di seguito “Garante”) di volta in volta applicabili (di seguito “Nor- mativaApplicabile”);

 

SI CONVIENE QUANTO SEGUE:

 

Art. 1 – Oggetto

1.Con il presente accordo le Parti determinano congiuntamente le finalità e mezzi del trattamento, nonché lerispettive responsabilità in merito all’osservanza degli obblighi derivanti dal vigente assetto normativo conparticolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delleinformazioni di cui agli articoli 13 e 14, e  sono inoltre stabiliti gli obblighi delle Parti in merito all’esercizio deidiritti degli interessati.

2.La Contitolarità di cui al presente Accordo è riferita al trattamento dei dati personali svolto nell’ambito dellaConvenzione, sia con modalità analogiche che con strumenti informatizzati.

 

Art. 2 – Dati trattati, finalità e base giuridica del trattamento

1.Per l’erogazione delle prestazioni oggetto della Convenzione, verranno raccolti e trattati dati personali degliutenti, inclusi quelli rientranti nelle categorie particolari di dati, laddove necessari ed indispensabili rispetto alperseguimento delle obbligazioni derivanti dall’attività negoziata.

2.Le Parti determinano congiuntamente che la finalità del trattamento è l’erogazione di prestazioni di natura sindacale rivolte ai propri iscritti/associati, nonché l’erogazione di altri servizi connessi alla tutela della persona in ambito lavorativo, fiscale, contabile, previdenziale ed assistenziale, secondo quanto previsto dalla Convenzione.

3.La base giuridica del trattamento dei dati personali è rappresentata dall’articolo 9, paragrafo 2, lettera h, dagliarticoli 2 septies e 75 del D.lgs 196/2003 e dalle specifiche disposizioni di settore.

Il rapporto di contitolarità avrà ad oggetto le seguenti tipologie di dati:

 

NATURA DEI DATI	CATEGORIE DI SOGGETTI INTERESSATI
dati anagrafici identificativi	utenti deiservizi lororeferenti
dati di contatto	utenti deiservizi lororeferenti

 

 

Art. 3 – Ripartizione dei ruoli e dei compiti

1.Ogni Contitolare si assume, per la parte di propria competenza, l’onere di trattare i dati per- sonali secondo lenorme vigenti, le modalità di conservazione e le disposizioni inerenti agli inciden- ti di sicurezza informatica e attraverso l’utilizzo di strumenti informatici conformi ai requisiti tecni- co-organizzativi vigenti, nonché tramiteproprio personale, debitamente informato e istruito ex art. 32 del Regolamento, condividendo percorsi formativicomuni o estendendo linee guida, disciplinari interni e policy di condotta.

2.Rispetto ai dati trattati nell’ambito della Convenzione, ciascun Contitolare nomina un Preposto, anche tenutoconto dei contenuti del primo comma art. 2 quaterdecies del Codice, al trattamento dei dati personali, individua ilpersonale Autorizzato/Addetto al trattamento dei dati personali, nonché gli eventuali amministratori di sistema,impartendo le necessarie istruzioni per un corretto adempimento delle disposizioni alla luce della normativaapplicabile.

 

3.Ogni Contitolare informa e forma il proprio personale interessato sulle modalità organizzative, sulle procedureoperative, sulla gestione della documentazione cartacea, sull’utilizzo degli strumenti informatici e sullefunzionalità dei sistemi informativi.

4.I Contitolari si impegnano inoltre a:

-adottare un’informativa da rendere disponibile agli interessati ai sensi degli artt. 13 e 14 del Regolamento;

-mettere a disposizione degli interessati il contenuto del presente Accordo attraverso richiesta da inviare aicontatti previsti al successivo art. 7;

-censire, ognuna nel proprio registro dei trattamenti, se previsto, i trattamenti di dati personali per cui sonoContitolari in virtù del presente Accordo ai sensi dell’art. 30 del Regolamento;

-effettuare, laddove necessario, una valutazione d’impatto sulla protezione dei dati (DPIA), relativamente altrattamento oggetto del presente accordo, ai sensi degli articoli 35 e 36 del Regolamento. L’eventualeconsultazione preventiva dell’autorità di controllo e la trasmissione dei dati necessari alla medesima sarà effettuataprevio accordo tra le parti.

-informare senza ritardo l’altra parte, anche attraverso i rispettivi Responsabili della Protezione         dei Dati personali (di seguito “RPD”), di eventuali comunicazioni, ispezioni e/o contestazioni del Garante con riferimentoai trattamenti oggetto della Convenzione, nonché in caso di reclamo o esercizio dei diritti ex artt. 15 e segg. GDPR;

-condividere vicendevolmente e senza indugio, anche per il tramite dei rispettivi RPD, ogni violazione ai datitrattati nell’ambito dell’Accordo, inclusi gli eventuali incidenti di sicurezza rilevati, concordando nel più brevetempo possibile, e comunque entro i termini e modi previsti dalla normativa, i contenuti dell’eventuale notificaal Garante e agli interessati ai sensi degli artt. 33 e 34 del Regolamento; la comunicazione all’interessato in caso diuna violazione dei dati personali sarà effettuata dalla parte che avrà materialmente subito il data breach.

-Il trattamento dei dati personali oggetto del presente accordo avviene in particolare tramite il sistema informativo(“Atl@nte”), anche attraverso interoperabilità informatica; le Parti sono con- giuntamente autorizzate a compierele attività di seguito indicate:

 

Operazione	Descrizione attività
Raccolta	acquisizione del dato
Consultazione	lettura dei dati personali
Elaborazione	modifica sostanziale del dato
Cancellazione (logica)	eliminazione dei dati tramite utilizzo di strumenti informatici
Comunicazione a terzi legittimati	(artt. 15 e 92 GDPR)

 

Per le operazioni di trattamento dei dati con il sistema informativo sopra richiamato, diverse da quelle sopraindicate, la responsabilità è da ritenersi in capo ad APSS, in qualità di soggetto che ha messo a disposizione ilsistema; in particolare l’operazione di conservazione e successiva cancella- zione dei dati contenuti nel sistemasono in capo ad APSS.

I Contitolari non possono utilizzare i dati trattati nell’ambito del presente Accordo per scopi di caratterecommerciale e comunque per finalità non legate al trattamento in questione.

 

 

 

 

 

Art. 4 – Obblighi relativi alla sicurezza dei dati personali

1.I Contitolari sono tenuti a mettere in atto tutte le misure di sicurezza tecniche ed organizzative adeguate perproteggere i dati personali trattati nell’ambito della attività di cui al presente Accordo, verificandoregolarmente il rispetto di tali misure ed eseguendo un monitoraggio periodico sul livello di sicurezza raggiunto, alfine di renderlo sempre adeguato al rischio.

2.Le parti convengono che per il sistema di cui all’art. 3 l’individuazione, l’adozione e l’implementazionedelle misure di sicurezza sul sistema informativo utilizzato e condiviso nel con- testo dell’erogazione dei servizi dicui in premessa compete alla APSS. Ogni contitolare è invece responsabile dell’individuazione dei soggetti daabilitare/disabilitare al sistema e dell’assegnazione del relativo ruolo.

3.Ogni Contitolare predispone modalità organizzative e procedure operative nel rispetto dei principi applicabilial trattamento dei dati personali, in particolare del principio di minimizzazione dei dati di cui all’art. 5, par. 1,lettera c), del Regolamento e della tutela della riservatezza dei dati personali.

4.La tipologia del collegamento per la trasmissione dei flussi di dati e le caratteristiche di dettaglio sono individuatedai Contitolari in relazione all’opportunità tecnologica, alle caratteristiche delle prestazioni richieste eall’onerosità della connessione. Le caratteristiche del collegamento potranno cambiare nel tempo in relazione alladisponibilità di particolari tecnologie, all’evoluzione delle stesse, all’adeguatezza dei sistemi di comunicazionerispetto ai flussi di dati. La condivisione di tali modalità avrà luogo attraverso un confronto tra l’amministratoredel sistema informativo di cui all’art. 3 e gli amministratori di eventuali altri sistemi informativi interoperantiutilizzati dalla struttura.

In particolare, i Contitolari si impegnano:

• a rispettare il principio di necessità riducendo al minimo l’utilizzazione di dati personali e identificativi, inmodo da escludere il trattamento quando le finalità perseguite possono essere realizzate mediante datianonimi o modalità che consentano di identificare l’interessato solo se necessario;
• rispettare i principi di “privacy by design” e “privacy by default”

–  evitare di fare copie, estrazioni, duplicazioni, anche parziali per ragioni non attinenti alle finalità deltrattamento di  cui in premessa, documentare le predette operazioni di sicurezza, e, in caso di richiesta, esibire aciascun contitolare ogni documento a supporto;

–  a non comunicare a soggetti non autorizzati, né a diffondere, dati personali e informazioni di caratterestrettamente riservato che riguardano la dotazione tecnologica e/o le modalità organizzative e procedurali di cuivenissero a conoscenza nei rapporti con gli altri Contitolari;

–  ad agevolare verifiche reciproche di adeguatezza delle strumentazioni e delle metodologie di trattamento etrasmissione, solo dei dati previsti riferiti alla Convenzione. Nello specifico sono garantite ed accettate in modoreciproco azioni di controllo e di audit al fine di verificare il rispetto delle misure di sicurezza minime ed idoneein accordo con quanto stabilito dalla normativa applicabile, nonché il rispetto delle disposizioni contenute nelpresente Accordo;

 

 

• ad informare, formare ed aggiornare costantemente il proprio personale sugli aspetti connessi alla sicurezza deltrattamento dei

Ove il trattamento dei dati da parte dei Contitolari avvenga mediante l’interazione tra sistemi informativi si devegarantire l’osservanza delle disposizioni in materia di sicurezza informatica e di protezione dei dati personali. Inparticolare al fine di garantire un trattamento efficiente, sicuro e affidabile da parte delle Parti è fondamentale chesiano rispettate le regole tecniche, organizzative, comportamentali e quelle riguardanti i contenuti informativicontenute nel presente Accordo anche mediante interventi di raccordo che coinvolgano i rispettivi amministratori disistema, i responsabili del trattamento e gli RPD.

 

Art. 5 – Responsabilità dei Contitolari

1.Le Parti sono responsabili per il rispetto delle misure di propria pertinenza al fine di garantire il risarcimentoeffettivo dell’interessato ai sensi di quanto previsto dalla Normativa Applicabile,dagli articoli 26 e 82 delRegolamento, e in particolare secondo quanto previsto dagli articoli 3 e 4 del presente Accordo.

2.Per quanto riguarda il trattamento dei dati personali previsti nell’Accordo, i Contitolari saranno ritenutisolidalmente responsabili nei confronti degli interessati, i quali potranno agire indistintamente nei confronti diciascun Contitolare per la tutela dei propri diritti. Ferma restando la responsabilità solidale verso gli interessati, è sin d’ora convenuto che ciascun Contitolare avrà azione di regresso nei confronti degli altri Contitolari per leeventuali sanzioni, multe, ammende o danni derivanti dalla violazione o dall’erronea esecuzione del presenteAccordo.

 

Art. 6 – Responsabile del trattamento dei dati

1.In relazione ai trattamenti di dati effettuati nell’ambito dell’Accordo, i Contitolari possono nominare uno o piùresponsabili al trattamento dei dati (ex art. 28 del Regolamento), scelti tra soggetti che presentino garanziesufficienti per mettere in atto misure tecniche e organizzative adeguate, in modo tale che il trattamento soddisfi leprevisioni di legge e garantisca la tutela dei diritti degli interessati, svolgendo opportune verifiche e indagini.

2.La nomina del responsabile al trattamento può avvenire con atto giuridico congiunto dei Contitolari oppurecon atto giuridico di uno dei Contitolari, che dovrà comunicarne gli estremi agli altri Contitolari per opportunaconoscenza, con un preavviso di almeno 7 giorni, o, nel caso di rapporto in essere al momento della stipula delpresente atto, entro i 7 giorni successivi alla stessa. Nel caso di designazione non congiunta, il contitolare chenomina il Responsabile ha l’onere e la responsabilità di verificare l’adeguatezza delle misure tecniche edorganizzative adottate dal medesimo, assumendosi in via esclusiva eventuali conseguenze pregiudizievoli derivantidalla condotta del Responsabile stesso.

3.I Contitolari si impegnano a limitare gli ambiti di circolazione e trattamento dei dati personali (es.memorizzazione, archiviazione e conservazione dei dati sui propri server o in cloud) ai Paesi facenti partedell’Unione Europea, con espresso divieto di trasferirli in paesi extra UE che non garantiscano (o in assenza di)un livello adeguato di tutela, ovvero in assenza di strumenti di tutela previsti dal GDPR (Paese terzo giudicatoadeguato dalla Commissione europea, BCR di gruppo, clausole contrattuali modello, etc.). Il contitolare,pertanto, non potrà trasferire o effettuare il trattamento dei dati personali oggetto del presente accordo al di fuoridell’Unione Europea.

 

 

Art. 7 – Diritti degli interessati

1.Gli interessati possono richiedere in qualsiasi momento l’accesso ai propri dati personali e ottenere copia deglistessi, la loro rettifica o integrazione qualora li ritengano inesatti o incompleti, nonché la loro cancellazione, ovequest’ultima non contrasti con la normativa vigente sulla conservazione dei dati stessi e con l’eventuale necessità diconsentire l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

2.Gli interessati hanno, altresì, diritto di presentare reclamo all’Autorità nazionale di controllo in caso di illecitotrattamento o di ritardo nella risposta del titolare a una richiesta che rientri nei diritti dell’interessato.

3.Per l’esercizio di tali diritti i punti di contatto sono i seguenti:

-per APSS: ufficio sito       in Via       – tel.    – fax– indirizzo di posta elettronica ;

–per la Struttura:………….;

I riferimenti dei Responsabili della protezione dei dati (RPD), a cui l’interessato può rivolgersi per le questionirelative al trattamento dei propri dati personali, sono i seguenti:

• per APSS: Via – Trento, indirizzo di posta elettronica Responsabile-       ;

–     per la Struttura:;

Resta inteso che, ai sensi dell’art. 26, par. 3, del Regolamento, indipendentemente dalle disposizioni del presente Accordo, l’interessato potrà esercitare i propri diritti nei confronti di ciascun Contitolare.

 

Art. 8 – Segretezza e confidenzialità

1.I Contitolari si impegnano a considerare strettamente confidenziale tutto il materiale generalmente non didominio pubblico di cui possono venire a conoscenza in ragione del rapporto di contitolarità e si impegnano acomunicare e utilizzare tali informazioni solamente per gli scopi previsti dal presente Accordo.

 

Art. 9 – Foro Competente

1. Per qualsiasi controversia derivante o comunque collegata al presente Accordo sarà competente in via esclusivail Foro di …….,con esclusione degli eventuali fori facoltativi previsti dalla legge.

Art. 10 – Corrispettivi

1.Le Parti convengono che per il ruolo di Contitolare nel trattamento dei dati nell’ambito del presente Accordonon è prevista remunerazione in merito ai servizi richiesti e forniti reciprocamente.

 

Art. 11 – Durata

1. La decorrenza e il termine del presente Accordo sono pari a quelle della Convenzione.

 

Art. 12 – Disposizioni conclusive

1.Eventuali modifiche al presente Accordo dovranno essere apportate previa intesa scritta tra le Parti.

2.Le Parti hanno letto e compreso il contenuto del presente Accordo e con la formale adesione allo stesso esprimonopienamente il loro consenso.

 

***