OGGETTO: GDPR - Regolamento UE 2016679: provvedimenti	
Punto od.g.: 8.2
N. o.d.g.: 19/02	Rep. n. 416/2019	Prot. n. 253422/2019	UOR: SDRT - Staff di direzione - Segreteria del Rettore	

Nominativo	F	C	A	As	
Prof. Carlo Adolfo Porro	X				
Dott. Ilario Benetti	X				
Prof.ssa Daniela Fontana	X				
Ten. Col. Enrico Gasparini	X				
Dott. Stefano Landi	X				
Sig. Felice Moretti				X	
Dott.ssa Giovanna Perfetto	X				
Prof. Roberto Ravazzoni	X				
Prof.ssa Bianca Rimini	X				
Sig. Federico Spadaro				X	
Prof. Pietro Torricelli	X				
Legenda: (F - Favorevole) - (C - Contrario) - (A - Astenuto) - (As - Assente)
Il Rettore ricorda che, a far data dal 25 maggio 2018, è divenuto applicabile il Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati (“Regolamento generale sulla protezione dei dati”, di seguito “Regolamento” o GDPR).
In attuazione di tali norme, il Consiglio di Amministrazione, in data 29/03/2019, ha approvato il “Regolamento in materia di protezione dei dati personali” di Ateneo.
Il Rettore fa presente che occorre ora dare esecuzione a tali norme e invita a entrare l’Avv. Vittorio Colomba, DPO (Data Protection Officer, Responsabile della protezione dei dati) di Unimore.
L’Avv. Colomba, DPO, riferisce innanzitutto che le nomine conferite dal Rettore (Decreto n. 24 del 03/04/2006) in favore dei Dirigenti, dei vice Dirigenti, dei Presidi delle Facoltà, dei Direttori dei Dipartimenti e dei Direttori dei Centri di Ricerca e Centri di Servizio devono essere adeguate al Regolamento europeo sopracitato.
Pertanto si rende necessario designare, quali Referenti per la protezione dei dati (ex Responsabili del trattamento dei dati):
-	i Dirigenti e Vice Dirigenti delle Aree dell’amministrazione centrale,
-	i Direttori dei Centri di Servizio,
-	i Responsabili amministrativi dei Dipartimenti,
-	i Presidi, i Direttori dei Dipartimenti e i Direttori dei Centri di Ricerca,
ciascuno relativamente ai dati personali trattati nella gestione amministrativa della struttura di competenza.
Il DPO precisa che i Referenti per la protezione dei dati, come sopra individuati, saranno tenuti a: 
1.	conoscere e rispettare le disposizioni di legge, nonché le istruzioni impartite dal Titolare in materia di protezione dei dati personali e i loro successivi aggiornamenti, nonché a vigilare sul loro rispetto da parte dei dipendenti e collaboratori afferenti alla struttura di competenza; 
2.	adottare le opportune misure di sicurezza per garantire la protezione dei dati personali trattati; qualora tali dati dovessero essere raccolti in autonomia dalle strutture di propria competenza, al di fuori degli archivi cartacei e informatizzati o dei server gestiti in maniera centralizzata dall’Ateneo, dovranno inviare al Responsabile della Protezione dei dati di Ateneo una dettagliata comunicazione scritta che indichi: 
a.	finalità e modalità del trattamento; 
b.	natura dei dati, luogo dove sono custoditi, categorie di interessati cui i dati si riferiscono; 
c.	ambito di comunicazione e diffusione dei dati; 
d.	descrizione delle misure di sicurezza adottate; 
e.	eventuale connessione con altri trattamenti o banche dati. 
3.	adottare le opportune misure di sicurezza dei sistemi informatici, qualora tali sistemi dovessero essere gestiti in autonomia dalle strutture di cui sono responsabili, in accordo con le disposizioni di legge nonché con le indicazioni eventualmente impartite dal Responsabile per la Transizione Digitale (RTD); 
4.	comunicare, entro il 30 settembre di ogni anno, al Responsabile per la Protezione dei Dati e al Responsabile per la Transizione Digitale l’elenco degli archivi di dati personali, cartacei e informatizzati e dei server attivi, gestiti in maniera autonoma dalle strutture di cui sono responsabili, accompagnato da una dichiarazione dell’avvenuta adozione delle misure di sicurezza adottate per la protezione dei dati personali; 
5.	tenere e aggiornare l’inventario degli archivi di dati personali cartacei e informatizzati e dei server attivi gestiti in maniera autonoma dalla struttura di cui sono responsabili; 
6.	far compilare ai responsabili scientifici dei progetti di ricerca, prima dell’avvio di ogni progetto di ricerca, la “Scheda di analisi dei progetti di ricerca” e inviarla senza indugio al Responsabile della Protezione dei Dati. Tale scheda si allega al presente verbale
ALLEGATO N. 3 COMPOSTO DA N 6 PAGINE;
7.	assicurarsi che tutti i dipendenti e collaboratori, afferenti alla struttura di propria competenza, prendano visione del presente documento e dei relativi allegati nonché dei futuri aggiornamenti; 
8.	vigilare affinché tutti i dipendenti e collaboratori, afferenti alla struttura di propria competenza, operino nel rispetto delle istruzioni impartite. Tali istruzioni si allegano al presente verbale;
ALLEGATO N. 4 COMPOSTO DA N 6 PAGINE;
9.	garantire che, al momento della raccolta dei dati, sia resa all’interessato, ai sensi degli artt. 13 e 14 del GDPR, la dovuta informativa; 
10.	prendere visione della procedura da attivare in caso di violazione di dati personali (c.d. procedura segnalazione data breach) adottata dall’Ateneo; 
11.	raccogliere ogni segnalazione di violazione, anche solo presunta, di dati personali da parte di dipendenti, collaboratori e/o interessati e segnalarla secondo le modalità indicate nella già citata procedura di segnalazione del data breach;
12.	raccogliere ogni segnalazione di violazione, anche solo presunta, dei sistemi informatici, compresi quelli eventualmente gestiti in autonomia dalle strutture di cui sono responsabili, e riferirla senza indugio al Responsabile per la Transizione Digitale (RTD).

Inoltre, il DPO rammenta che i Referenti per la protezione dei dati, ove ciò sia reso necessario dalla dimensione della struttura e/o dalla complessità dei trattamenti di competenza, saranno autorizzati a nominare, nell’ambito del personale strutturato afferente alla struttura medesima, sub-referenti per la protezione dei dati cui delegare compiti e responsabilità loro proprie, con riguardo ad atti di propria competenza. Ai sub-referenti è fatto divieto di delegare ulteriormente. L’atto di delega, da redigersi per iscritto, dovrà essere comunicato tempestivamente al Responsabile per la Protezione dei Dati.
Il DPO precisa inoltre che occorrerà formalizzare come Soggetto Designato al trattamento dei dati personali, per i trattamenti e le finalità di pertinenza di ciascuna unità organizzativa/struttura/ dipartimento, tutto il personale strutturato e non (personale tecnico amministrativo, personale docente e ricercatore) assegnato a quella unità organizzativa/struttura/dipartimento deputata a compiere operazioni di trattamento sui dati personali in possesso dell’Ateneo.
Si dovrà inoltre procedere a  designare, altresì, come Soggetto Designato al trattamento dei dati personali, per i trattamenti e le finalità di pertinenza di ciascuna unità organizzativa/struttura/dipartimento, individuate nel Registro delle attività di trattamento, qualunque persona fisica che, a seguito di atto di assegnazione anche temporaneo (collaborazioni coordinate e continuative, contratti a progetto, 150 ore per studenti, stage, volontari del servizio civile, dottorandi, borsisti, tutor, assegnisti di ricerca, ecc.) si trovi ad afferire a quella unità organizzativa/struttura/dipartimento deputata a compiere operazioni di trattamento sui dati personali trattati dall’Ateneo.
Si dovrà infine impartire a tutti i soggetti sopra individuati, Referenti per la protezione dei dati ed Incaricati dei trattamenti, le Istruzioni per la protezione dei dati, sintetizzate nell’allegato “C” che si allega.
Il DPO fa presente, ancora, che occorrerà stabilire che, all’atto della sottoscrizione di ogni nuovo contratto di lavoro o di costituzione di un qualsiasi rapporto di collaborazione (collaborazioni coordinate e continuative, contratti a progetto, 150 ore per studenti, stage, volontari del servizio civile, dottorandi, borsisti, tutor, assegnisti di ricerca, ecc.) sia comunicata al dipendente/collaboratore la designazione dello stesso quale Incaricato del trattamento dei dati personali trattati dalla struttura di assegnazione, come individuati nel Registro delle attività di trattamento, e siano consegnate le Istruzioni per la protezione dei dati sopra indicate.
Si dovrà inoltre dare mandato a ciascun Referente per la protezione dei dati di portare il presente documento a conoscenza di tutto il personale accademico, tecnico-amministrativo, strutturato e non, già in servizio, nonché dei vari collaboratori esterni assegnati alle strutture di loro afferenza, per le quali sia individuato, nel Registro delle attività di trattamento, l’ambito dei trattamenti consentito agli addetti alla struttura medesima.
Infine sarà necessario incaricare il Responsabile della Protezione dei Dati e il Responsabile per la Transizione Digitale di predisporre, in collaborazione con il competente Ufficio Formazione, adeguati percorsi di informazione, formazione e aggiornamento del personale sulle procedure e sui sistemi di sicurezza atti a tutelare il trattamento, la conservazione e l’integrità dei dati personali.
Terminata l’illustrazione, il Rettore ringrazia l’Avv. Colomba, che lascia la seduta, e apre il dibattito.
Ultimata la discussione, il Rettore chiede al Consiglio di Amministrazione di approvare tutto quanto sopra proposto, relativamente alle designazioni, ai compiti, alle attività e ai documenti allegati.
Il Consiglio di Amministrazione approva unanime e dà mandato al Rettore di predisporre gli atti necessari per dare attuazione alla presente delibera.