Privacy Policy – Odontoline

1. PREMESSA DI CARATTERE NORMATIVO

Il presente Regolamento in materia di protezione dei dati personali (così detta “privacy”) è uno strumento di applicazione del vigente D.lgs. 30 giugno 2003, n. 196 (cosiddetto “Codice sulla privacy” aggiornato dal recente D.lgs. 10 agosto 2018 n. 101) e, in particolare, del nuovo Regolamento Europeo n. 2016/679, (anche conosciuto come “GDPR”), nell’ambito dell’organizzazione aziendale. Il principio cardine, di matrice anglosassone, introdotta dal nuovo Regolamento Europeo è quello della “responsabilizzazione” (accountability nell’accezione inglese) che pone, in carico al Titolare del trattamento dei dati, l’obbligo di attuare politiche adeguate in materia di protezione dei dati, con l’adozione di misure tecniche ed organizzative, anche certificate, che siano concretamente e sempre dimostrabili, oltre che conformi alle disposizioni europee (principio della “conformità” o compliance nell’accezione inglese); vi è quindi l’obbligo di porre in essere comportamenti proattivi, tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del Regolamento UE.

Nell’ottica del Legislatore europeo, quindi, in materia di privacy ciascun Titolare può scegliere autonomamente il modello organizzativo e gestionale che ritiene più adatto alla propria realtà e dotarsi delle misure di sicurezza che ritiene più efficaci in quanto Egli risponde delle proprie azioni e deve essere in grado, in qualsiasi momento, di darne conto verso l’esterno. La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. ha fatto proprio l’approccio del Legislatore europeo relativo all’accountability ed alla compliance ed ha adottato il Regolamento n. 2016/679. Il presente documento aziendale si rende necessario per recepire, i precetti normativi a maggior rilevanza, in tema di trattamento dei dati personali, al fine di darne collocazione sistematica nel contesto aziendale. Il presente documento è sottoposto ad aggiornamento periodico, in linea con le novità normative, giurisprudenziali e con le pronunce del Garante per la protezione dei dati personali.

2. PREMESSA DI CARATTERE ORGANIZZATIVO

Oramai, la piena tutela della privacy, è da considerare non solo come un oneroso rispetto degli adempimenti burocratici, ma soprattutto, come garanzia per il cittadino-utente che si rivolge all’azienda per una completa riservatezza sotto il profilo sostanziale. Il diritto alla privacy costituisce un vero e proprio diritto inviolabile dell’essere umano, che non si limita alla tutela della riservatezza o alla protezione dei dati, ma implica il pieno rispetto dei diritti e delle libertà fondamentali e della dignità del singolo individuo. Per questi motivi, la cultura della privacy è un vero e proprio elemento cardine dell’organizzazione aziendale, la quale si impegna a migliorare la qualità del rapporto con gli interessati attraverso l’adozione di cautele giuridiche, tecniche ed organizzative necessarie per procedere in maniera corretta al trattamento dei loro dati personali.

3. OGGETTO DEL REGOLAMENTO

Il presente documento disciplina, all’interno della ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C., la tutela dei dipendenti in ordine al trattamento dei dati personali, nel rispetto di quanto previsto dal Codice Privacy e la libera circolazione di tali dati, nel rispetto del Regolamento UE n. 679. Nel caso della ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C., si considera applicabile quanto stabilito dall’art 9 del Reg. UE 679 “È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

4. FINALITA’ DEL REGOLAMENTO

La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. garantisce che il trattamento dei dati, a tutela dei propri dipendenti, si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale e al diritto alla protezione dei dati personali, a prescindere dalla nazionalità o dalla residenza dell’interessato.

5. DEFINIZIONI, DIRITTI E PRINCIPI FONDAMENTALI

5.1 DEFINIZIONI

ACCOUNTABILITY: il responsabile del trattamento è responsabile per qualsiasi trattamento dei dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto.
CONSENSO: emissione da parte dell’interessato di un atto positivo con il quale egli manifesta l’intenzione libera, specifica, informata e inequivocabile e di accettare il trattamento stesso.
TRATTAMENTO DEI DATI: come stabilito dall’art 5 del R. UE 67972016 i dati personali:
- sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (liceità-correttezza-trasparenza),
- sono raccolti per finalità determinate, esplicite e legittime e successivamente trattati in modo che non sia incompatibile con tali finalità (limitazione delle finalità),
- sono adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (minimizzazione dei dati),
- esatti e se necessario aggiornati (esattezza),
- conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati (limitazione della conservazione),
- trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentale (integrità e riservatezza).
EMISSIONE DI UNA INFORMATIVA: obbligo generale che va adempiuto prima o al massimo al momento di dare avvio alla raccolta per il trattamento di dati personali.
- l’informativa deve essere resa in forma CONCISA, TRASPARENTE, INTELLEGGIBILE e FACILMENTE ACCESSIBILE con un LINGUAGGIO SEMPLICE E CHIARO, PER ISCRITTO o mediante MEZZI ELETTRONICI.
- L’informativa è resa, in linea di principio, per iscritto o con mezzi elettronici (soprattutto nel contesto di servizi online).
PRIVACY BY DESIGN: messa in atto di misure tecniche ed organizzative adeguate a proteggere in modo efficace i dati.
PRIVACY BY DEFAULT: messa in atto di misure tecniche ed organizzative adeguate, per garantire l’esclusiva trattazione dei dati personali necessari per ogni specifica finalità del trattamento.
PRIVACY IMPACT ASSESSMENT (DOCUMENTO DI VALUTAZIONE DI IMPATTO NEL TRATTAMENTO DEI DATI): analisi del rischio condotta in concreto dal titolare, attraverso la considerazione e l’analisi dei rischi che si corrono nel trattamento dei dati, la valutazione delle possibili cautele da adottare per prevenire tali rischi, la predisposizione di una lista dei rischi concreti e potenziali e lo sviluppo di un programma per risolvere i problemi.
DATA BREACH NOTIFICATION: obbligo di notificare tempestivamente alle autorità le ipotesi di violazione rispetto ai data-base gestiti dal titolare. La comunicazione della notizia deve avvenire entro 72 ore da un evento di violazione del trattamento dei dati, deve essere data in modo specifico e formale all’autorità di controllo. Inoltre, si prevede l’obbligo di informare nel più breve tempo possibile anche le persone i cui dati si trovano nel data-base oggetto di violazione.
PROFILAZIONE: forma di trattamento automatizzato che valuta aspetti personali concernenti una persona fisica per fare analisi e previsioni.
TRASFERIMENTO DI DATI ALL’ESTERO: La Commissione, previa valutazione dell’adeguatezza del livello di protezione, può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscano un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. In mancanza di una tale decisione, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

5.2 DIRITTI DEGLI INTERESSATI

DIRITTO DI ACCESSO (art 15): diritto da parte dell’interessato di ricevere una copia dei dati personali oggetto di trattamento. Fra le informazioni che il titolare deve fornire non rientrano le “modalità” del trattamento, mentre occorre indicare il periodo di conservazione previsto o, se non è possibile, i criteri utilizzati per definire tale periodo, nonché le garanzie applicate in caso di trasferimento dei dati verso Paesi terzi.
DIRITTO ALL’OBLIO (art 17): diritto dell’interessato alla cancellazione dei dati personali in forma rafforzata. Si prevede, infatti, l’obbligo per i titolari (se hanno “reso pubblici” i dati personali dell’interessato: ad esempio, pubblicandoli su un sito web) di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi “qualsiasi link, copia o riproduzione”.
DIRITTO ALLA PORTABILITA’ DEI DATI (art 20): chiunque sappia che i suoi dati sono oggetto di trattamenti automatizzati compiuti dal titolare del trattamento, o col suo consenso o per contratto, ha diritto di chiedere che i dati da lui forniti siano trasmessi, senza impedimenti, o a sé stesso o ad altro titolare da lui indicato, utilizzando un formato “strutturato, di uso comune e leggibile da dispositivo automatico”.

5.3 PRINCIPI DI BASE

PRINCIPIO DI TRASPARENZA: le informazioni destinate all’interessato devono essere COINCISE, FACILMENTE ACCESSIBILI e di FACILE COMPRENSIONE, deve essere utilizzato un LINGUAGGIO SEMPLICE e CHIARO.
PRINCIPIO DI FINALITA’: il trattamento deve essere svolto per scopi determinati, espliciti e legittimi.
PRINCIPIO DI PROPORZIONALITA’: i dati oggetto di trattamento, devono essere pertinenti, non eccedenti e completi rispetto agli scopi.
PRINCIPIO DI SICUREZZA: i dati oggetto di trattamento devono essere protetti attraverso l’adozione di misure di sicurezza.

6. FIGURE DI RIFERIMENTO

Le figure di riferimento coinvolte dal GDPR sono:

L’INTERESSATO: il soggetto interessato al trattamento dei propri dati personali da parte del titolare, che detiene i seguenti diritti e garanzie:
- diritto di essere informato: sapere in modo chiaro e trasparente chi e come tratta i suoi dati personali,
- diritto di accedere ai propri dati personali: l’interessato può riconoscere in ogni momento i dati personali trattati dal titolare, per quali finalità ed altre info correlate,
- diritto alla rettifica: modificare i dati personali qualora l’interessato ritenga che non siano accurati o aggiornati,
- diritto di revoca: ritirare il consenso precedentemente concesso in qualsiasi momento,
- diritto di opporsi al trattamento: per alcuni specifici tipi o finalità di trattamento,
- diritto alla cancellazione: dei dati personali,
- diritto all’oblio: cancellare le informazioni rese pubbliche in passato ma per le quali è venuto meno l’interesse iniziale alla diffusione,
- diritto alla portabilità dei dati: possibilità di ricevere i propri dati personali o chiedere il trasferimento presso di un altro titolare.
TITOLARE DEL TRATTAMENTO: persona fisica o giuridica, l’autorità pubblica o altro organismo che singolarmente definisce le finalità ed i mezzi di trattamento dei dati personali, mette in atto misure tecniche ed organizzative adeguate al fine di garantire ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento.
CONTITOLARI DEL TRATTAMENTO: due o più soggetti che si trovano contemporaneamente, ciascuno per la propria area di competenza, ad agire come titolare del trattamento; tale situazione viene disciplinata attraverso un accordo interno che ripartisce tra i contitolari le responsabilità rispetto agli obblighi del GDPR.
RESPONSABILE DEL TRATTAMENTO: persona fisica o giuridica, l’attività pubblica o l’organismo che tratta i dati personali per conto del Titolare del trattamento. Questa figura mette in atto misure tecniche ed organizzative adeguate a soddisfare i requisiti del GDPR e a garantire la tutela dei diritti dell’interessato, per tale motivo i trattamenti messi in atto dal responsabile sono tassativamente disciplinati da un contratto o da altro atto giuridico che lo vincoli al Titolare. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento.

A livello contrattuale è necessario stabilire:
- la materia disciplinata,
- la durata del trattamento,
- la natura e le finalità del trattamento.
- il tipo di dati personali e le categorie di interessati,
- gli obblighi e i diritti del Titolare e del Responsabile.
DATA PROTECTION OFFICER: figura necessaria in 3 specifici casi quali:
- il trattamento dei dati è svolto da un’autorità pubblica o da un organismo pubblico,
- l’attività principale del titolare o del responsabile consiste nel monitoraggio regolare e sistematico degli interessati su larga scala,
- il trattamento su larga scala è relativo a categorie particolari di dati o di dati relativi a condanne penali e reati.
INCARICATO AL TRATTAMENTO DEI DATI PERSONALI E SENSIBILI: figura incaricata di svolgere operazioni di trattamento, che opera sotto la diretta autorità del titolare o del responsabile e si attiene alle istruzioni impartite. La designazione è effettuata per iscritto e individua puntualmente l’ambito del trattamento consentito.

7. ANAGRAFICA

Campo	Valore
DITTA	ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C.
LEGALE RAPPRESENTANTE	ZENOBI ALBERTO
SEDE LEGALE	Viale G. Oberdan, 78/1 – FOSSOMBRONE (PU)
SEDE OPERATIVA	Viale G. Oberdan, 78/1 – FOSSOMBRONE (PU)
CODICE FISCALE/P. IVA	02029920416
E-Mail	info@odontoline.eu
LOCALI	L’attività dispone di ufficio, servizi igienici e laboratorio
TIPO DI ATTIVITA’	Studio odontotecnico

8. RUOLI – COMPETENZE E RESPONSABILITA’ DEL PERSONALE

RUOLO	SOGGETTO INCARICATO	COMPETENZE	RESPONSABILITA’
TITOLARE DEL TRATTAMENTO	ZENOBI ALBERTO	• determina le finalità ed i mezzi del trattamento di dati personali<br>• decide il motivo e le modalità di trattamento<br>• adotta misure tecniche ed organizzative adeguate, per garantire la tutela dei diritti dell’interessato e che i dati non siano persi, alterati, distrutti e trattati illecitamente	• risponde della gestione effettuata dai responsabili<br>• soddisfa i requisiti del regolamento<br>• assume decisioni conformi alla legge<br>• tratta i dati dell’interessato in modo lecito-corretto-trasparente<br>• mantiene la riservatezza<br>• individua i responsabili del trattamento
CONTITOLARE DEL TRATTAMENTO (se presente)	NON PRESENTE	• determina congiuntamente le finalità ed i mezzi del trattamento,<br>• decide il motivo e le modalità di trattamento<br>• adotta misure tecniche ed organizzative adeguate a garantire la tutela dei diritti dell’interessato e che i dati non siano persi, alterati, distrutti e trattati illecitamente	• responsabile del trattamento dei dati<br>• soddisfa i requisiti del regolamento<br>• assume decisioni conformi alla legge<br>• tratta i dati dell’interessato in modo lecito-corretto-trasparente<br>• mantiene la riservatezza<br>• individua i responsabili del trattamento
RESPONSABILE DEL TRATTAMENTO	VEDI NOMINE RESPONSABILI DEL TRATTAMENTO	• affidabile<br>• dispone di risorse tecniche adeguate<br>• elabora i dati personali per conto del titolare	• fornisce garanzie al fine di assicurare il pieno rispetto delle disposizioni in materia di trattamento dei dati personali<br>• garantisce la tutela dei diritti dell’interessato.
INCARICATO DEL TRATTAMENTO DEI DATI PERSONALI E SENSIBILI	VEDI NOMINE INCARICATI DEL TRATTAMENTO	• gestisce la documentazione aziendale,<br>• si interfaccia con gli enti e i responsabili del trattamento<br>• gestisce amministrativamente gli stipendi dei dipendenti, i clienti ed i fornitori<br>• gestisce la posta elettronica<br>• gestisce le chiamate in entrata ed in uscita<br>• organizza e fissa gli appuntamenti	• cura gli aspetti amministrativi della ditta
DPO (se necessario)	NON NECESSARIO	• deve avere competenze approfondite sul nuovo regolamento GDPR 2016/679<br>• deve sapersi interfacciare con le figure interne dell’aziende assumendo un ruolo di coordinamento e supervisione<br>• deve avere carattere di imparzialità e autonomia<br>• deve essere una figura di riferimento a cui gli interessati possano rivolgersi<br>• non può assumere il ruolo se in conflitto con altre mansioni aziendali<br>• deve sapersi interfacciare con le autorità di controllo in maniera professionale e competente	• è tenuto al segreto e alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione o degli Stati Membri.

9. IDENTIFICAZIONE DELLE RISORSE

Le risorse della ditta per il trattamento di dati, che verranno analizzate nel presente documento, sono:

• Luoghi fisici;
• Strumenti elettronici;
• Dati cartacei.

9.1 I LUOGHI FISICI

La ditta è situata in Viale G. Oberdan, 78/1 – FOSSOMBRONE (PU), all’interno di un condominio e l’accesso è obbligato da un unico portone blindato.

La ditta è dotata di impianto d’allarme a tutela del patrimonio e dei dati personali presenti. I dati cartacei sono conservati all’interno dell’ufficio amministrativo, dentro armadio chiuso con chiave.

Nell’ufficio amministrativo in assenza della titolarità, la porta viene mantenuta chiusa a chiave a tutela dei dati cartacei/informatici presenti.

Nel caso di acquisizione di dati in occasione di fiere/eventi deve essere raccolto preventivamente il consenso dell’utente per il trattamento dei dati personali.

9.2 I DATI INFORMATICI E GLI STRUMENTI ELETTRONICI

Presso la sede legale ed operativa della ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C., sono presenti strumenti elettronici per archiviazione e gestione dei dati personali dei clienti necessari per la fatturazione e l’emissione dei documenti utilizzati nell’attività.

In particolare, sono presenti i seguenti ambienti dotati di strumenti informatici:

Aree di lavoro	Dipendenti/Titolare	HARDWARE	SOFTWARE
Ufficio amministrativo	SIMONETTA BRAVI	1 PC	• Sul PC programma gestionale ORISLAB fatturazione/ anagrafiche clienti – fornitori – dipendenti, posta elettronica, PEC e internet.
Laboratorio	TOMMASO TRUFFA PIATTELLI ANDREA ZENOBI ALBERTO	2 PC<br>1 PC portatile	• Internet, e-mail, gestione macchinari<br>• Gestione macchinari

La ditta dispone di 1 PC situato all’interno dell’ufficio amministrativo, dotato di programma gestionale ORISLAB per la fatturazione/ gestione clienti-fornitori-dipendenti/ gestione dichiarazioni conformità prodotti in CLOUD, internet, posta elettronica, PEC e HOME BANKING.

La password del PC viene modificata almeno ogni 6 mesi, e la copia cartacea della password viene conservata in busta cieca, all’interno di armadietto chiuso a chiave nell’ufficio amministrativo.

Il computer è dotato di antivirus e antispam e di firewall periodicamente aggiornati per proteggere il sistema informatico da potenziali attacchi esterni.

Il programma gestionale effettua automaticamente il BACK UP su CLOUD, mentre nei PC della produzione utilizzati per la gestione dei macchinari non viene fatto alcun back up, in quanto non presenti dati per i quali si deve garantirne la conservazione.

Qualora la ditta ritenga che alcuni documenti cartacei, per i quali deve garantirne la conservazione, non siano salvati anche in formato digitale si dovrà dotare di apposita cassetta ignifuga.

La ditta dispone di telefono cellulare aziendale, per comunicare con i clienti (telefono e WhatsApp) e per Home banking aziendale. Il cellulare aziendale è dotato di antivirus e firewall. In caso di perdita o smarrimento il cellulare deve essere subito bloccato, a garanzia dei dati presenti.

In caso di perdita o smarrimento di dati, verrà notificato entro 72 h come previsto dalla normativa al garante della privacy.

La ditta effettua promozioni marketing tramite pubblicazione di volantini digitali su canali social o invio di volantini tramite e-mail (personalizzate sulla base dei lavori richiesti).

9.2.1 SITO INTERNET E SOCIAL NETWORK

La ditta ha un sito internet (www.odontoline.eu) dove sono presenti le informazioni principali relative ai prodotti realizzati, oltre che la posizione dello studio ed i contatti. Il sito è dotato di link che rimanda ad informativa privacy e della cookie policy.

I dati dei possibili clienti, inviati dall’area contatti, arrivano all’azienda tramite mail (info@odontoline.eu) e vengono passati al titolare del trattamento.

La ditta dispone di profilo social network (LINKEDIN, FB, INSTAGRAM).

9.3 I DATI CARTACEI

Tutti i documenti che contengono dati personali clienti/fornitori/dipendenti sono custoditi all’interno dell’ufficio amministrativo dentro armadietto chiuso con chiave.

Il locale ufficio viene mantenuto chiuso a chiave quando non è presente il titolare del trattamento, a garanzia dei dati personali presenti.

I documenti con i dati personali elaborati da oltre 10 anni o non più necessari o per i quali è stato richiesto il diritto all’oblio da parte dell’interessato verranno distrutti mediante distruggi documenti. La ditta è in possesso di distruggi documenti.

I documenti cartacei per i quali non è possibile il recupero dei dati, se distrutti, devono essere conservati all’interno di apposito contenitore ignifugo.

10. ELENCO DEI DATI PERSONALI TRATTATI

I trattamenti di dati personali riguardano:

• DATA BASE clienti e fornitori (presente nel programma gestionale ORISLAB e rubrica informatizzata e cartacea).
• Dati personali dei dipendenti compresi i documenti inerenti alla loro condizione di salute.
• Dati necessari allo svolgimento della contabilità (elettronici e cartacei).

Tali trattamenti avvengono nel rispetto del REGOLAMENTO UE 2016/679 per ottemperare a quanto prescritto da tutte le normative vigenti applicabili alla realtà aziendale.

11. INFORMAZIONI SUL TRATTAMENTO DEI DATI

Come stabilito dall’articolo n. 13 del Regolamento Europeo n. 2016/679, in caso di raccolta presso l’interessato di dati che lo riguardano, il Titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

A. l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
B. i dati di contatto del Responsabile della protezione dei dati (RPD) – (se presente);
C. le finalità del trattamento a cui sono destinati i dati personali nonché la base giuridica del trattamento;
D. qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f) del Regolamento UE, i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
E. gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
F. ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione, nei termini previsti dal Regolamento UE.

In aggiunta alle informazioni di cui sopra, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:

G. il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
H. l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali;
I. la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
J. qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a) del Regolamento UE, l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
K. il diritto di proporre reclamo a un’autorità di controllo;
L. se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
M. l’eventuale esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4 del Regolamento UE, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.

Per quanto concerne il periodo di conservazione dei dati personali raccolti dalla ditta, i dati verranno conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello strettamente necessario agli scopi per i quali essi sono stati raccolti e successivamente trattati.

12. INFORMAZIONI SUL CONSENSO DEI DATI

Il Regolamento 679 del 2016 prevede che, prima del trattamento di dati personali venga raccolto il CONSENSO dell’interessato ai sensi dell’art 9., come di seguito riportato:

qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
se il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è prestata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di tale dichiarazione che costituisca una violazione del presente regolamento è vincolante.
l’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l’interessato è informato di ciò, Il consenso è revocato con la stessa facilità con cui è accordato.
nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto.

La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. richiede il consenso dell’interessato per assolvere agli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato previsti dalle normative vigenti, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato.

13. RACCOLTA DEI DATI

La raccolta dei dati deve essere svolta con massima cura ed è necessario verificare l’esattezza dei dati stessi.

NON è POSSIBILE RACCOGLIERE I DATI PRIMA DI AVER FORNITO ALL’INTERESSATO L’INFORMATIVA SECONDO QUANTO STABILITO DALL’ART 13 DEL REG. UE. 679/2016.

La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. ha elaborato una informativa, che consegna a tutti gli interessati (clienti, fornitori e dipendenti), sul trattamento dei dati ai sensi dell’art.13 del Regolamento (UE) 2016/679; prima della raccolta del consenso degli stessi (INFORMATIVA PRIVACY E RACCOLTA CONSENSO).

Durante l’acquisizione di dati in occasione di fiere/eventi deve essere acquisito preventivamente il consenso dell’utente per il trattamento dei dati personali.

14. COMUNICAZIONE DELLE INFORMAZIONI

Per comunicazione, secondo quanto previsto dall’art 4 lettera l) del codice privacy si intende “il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”.

Le informazioni vengono comunicate ai responsabili del trattamento, per svolgere la propria funzione, principalmente tramite mail aziendale.

15. ARCHIVIAZIONE E CANCELLAZIONE

15.1 ARCHIVIAZIONE

L’ARCHIVIAZIONE è la fase del trattamento dei dati che comporta le operazioni finalizzate al deposito e conservazione dei dati.

La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. dispone di mobili chiusi per l’archiviazione dei documenti cartacei. Per i dettagli si rimanda al punto 9.

15.2 CANCELLAZIONE

La CANCELLAZIONE consiste nella distruzione o nel trasferimento ad altro titolare del dato.

I dati personali vengono conservati in una forma che consente l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

I dati vengono trattati come di seguito:

i documenti cartacei non più utilizzati devono essere distrutti o comunque resi illeggibili, prima di essere eliminati o cestinati,
i dati personali archiviati nei supporti informatici di memorizzazione, non più utilizzati, devono essere cancellati o comunque resi inutilizzabili mediante i seguenti metodi:
- formattazione dei supporti,
- sovrascrittura dei dati,
- smagnetizzazione dei supporti magnetici,
- distruzione fisica dei supporti.

16. GESTIONE DELLE ATTIVITA’ DI TRATTAMENTO

Il regolamento all’art. 30 prevede che venga implementato un registro dei trattamenti che deve contenere quanto di seguito riportato:

Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:

il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
le finalità del trattamento;
una descrizione delle categorie di interessati e delle categorie di dati personali;
le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e per i trasferimenti, di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.

“GLI OBBLIGHI SOPRA DEFINITI NON SI APPLICANO ALLE IMPRESE O ORGANIZZAZIONI CON MENO DI 250 DIPENDENI, A MENO CHE IL TRATTAMENTO CHE ESSE EFFETTUANO POSSA PRESENTARE UN RISCHIO PER I DIRITTI E LE LIBERTA’ DELL’INTERESSATO, IL TRATTAMENTO NON SIA OCCASIONALE O INCLUDA IL TRATTAMENTO DI CATEGORIE PARTICOLARI DI DATI DI CUI ALL’ART 9 par.1, O I DATI PERSONALI RELATIVI A CONDANNE PENALI E A REATI DI CUI ALL’ARTI 10.” – PAR. 5 -ART 30 DEL GDPR.

La ditta ODONTOLINE DI ZENOBI ALBERTO E C. S.N.C. ha implementato, comunque un registro dei trattamenti in cui indica tutte le tipologie di trattamento effettuate come previsto dalla norma.

17. FORMAZIONE DEGLI INCARICATI

La ditta ha previsto che gli incaricati interni al trattamento dei dati personali vengano opportunamente formati circa le misure di sicurezza minime da adottare per avere garanzia della corretta conservazione dei dati personali trattati per evitare di commettere errori di base, come l’apertura di allegati mail sconosciuti o anche attacchi più avanzati di “Social Engineering”.

La documentazione relativa alla formazione viene conservata in allegato alla presente relazione.

18. VALUTAZIONE DEI RISCHI PER TRATTAMENTO DATI REG UE 2016/679

In particolare, la normativa privacy richiede al titolare del trattamento una valutazione complessiva dei rischi connessi alle attività di trattamento attuate e, in base a quanto emerso, la realizzazione di adeguate misure per limitare i suddetti rischi. Più in particolare, le misure progettate e realizzate devono assicurare un adeguato livello di sicurezza bilanciando da un lato, lo stato dell’arte e i costi di attuazione e, dall’altro, i rischi che presentano i trattamenti e alla natura dei dati personali da proteggere.

È importante precisare che la normativa non fornisce una indicazione tassativa circa le misure di sicurezza da adottare, ma fornisce solo un elenco esemplificativo di misure che possono essere adottate dal Titolare del Trattamento sulla base delle risultanze dell’analisi dei rischi condotta, tra cui:

• pseudonimizzazione e cifratura dei dati personali;
• capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
• la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico;
• l’esistenza di una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

Ciascuna di queste misure generiche dovrà poi concretizzarsi tanto in misure tecniche, ossia quelle riferite ad uno strumento, macchina o elaboratore che verrà utilizzato dal Titolare del Trattamento nell’espletamento delle attività di trattamento, sia in misure organizzative, affidate invece ai comportamenti dei soggetti coinvolti nelle attività di trattamento, i quali dovranno essere precisamente regolamentati e standardizzati e livello aziendale.

Nel valutare poi il livello di adeguatezza delle misure adottate, ai sensi dell’art. 32 del GDPR, il Titolare del Trattamento dovrà stabilire se le stesse siano in grado di prevenire e contrastare i rischi tipicamente derivanti dall’attività di trattamento, ossia distruzione, perdita, modifica, divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.

18.1 CALCOLO DEL RISCHIO

Il RISCHIO è calcolato considerando il contributo di due fattori: la Probabilità di Accadimento del danno (P) e la Gravità degli effetti (D), secondo la formula R=P*D.

Sia la gravità del danno che la probabilità di accadimento possono avere valori variabili tra 1 e 4, a seconda dell’intensità. I valori sono riportati nella tabella seguente.

Valore	GRAVITA’ (D)	PROBABILITA’ (P)
1 – TRASCURABILE	Il danno ha un impatto sulla sicurezza dei dati quasi nullo – nessun impatto economico sull’azienda – nessun impatto sulla continuità del lavoro	Il danno ha una remota probabilità di accadimento
2 – LIEVE	Il danno ha un moderato impatto sulla sicurezza dei dati – impatto economico sull’azienda – nessun impatto sulla continuità del lavoro	Il danno ha una piccola probabilità di accadimento
3 – MEDIA	Il danno ha un serio impatto sulla sicurezza dei dati – impatto economico sull’azienda – impatta la continuità del lavoro	Il danno può accadere con una certa frequenza
4 – ALTA	Il danno ha un elevatissimo impatto sulla sicurezza dei dati – grave impatto economico sull’azienda – rischio per la continuità del lavoro e possibili problematiche legali	Il danno può insorgere con molta frequenza

Di seguito matrice del rischio:

![Matrice del Rischio – Riferimento al documento originale per la visualizzazione della matrice]

18.2 PRIORITA’ NELLA PROGRAMMAZIONE DELLE MISURE DI MIGLIORAMENTO

VALORE DI R	LIVELLO DI RISCHIO	DEFINIZIONE
>12-16	MOLTO ALTO	Necessario sospendere il trattamento ed individuare ed attuare misure di miglioramento per la riduzione del rischio.
>8-12	ALTO	Rischio non accettabile: obbligatorio intervenire in tempi brevi per risolvere il problema.
≥ 4 ≤8	MEDIO	Rischio tollerabile: è necessario programmare interventi a medio termine da attuare con interventi tecnici e di riorganizzazione.
>1 <4	MODERATO	I pericoli potenziali sono potenzialmente sotto controllo; purché siano mantenute attività di gestione e supervisione. Le azioni correttive sono da valutare eventualmente in fase di programmazione e pianificazione dei lavori.

18.3 VALUTAZIONE DEL RISCHIO

TIPOLOGIA DI RISCHIO	P	D	R	LIVELLO DI RISCHIO	INTERVENTI DI MIGLIORAMENTO	P	D	R	LIVELLO DI RISCHIO DOPO INTERVENTI
RISCHIO DA TRATTAMENTO ILLECITO DEI DATI (senza aver inviato informativa all’interessato e aver ricevuto il consenso al trattamento dei dati)	2	2	4	MEDIO	Richiedere sempre il consenso a tutti gli interessati	1.5	2	3	MODERATO
RISCHIO DA DIVULGAZIONE NON AUTORIZZATA DI DATI PERSONALI (distruggi documenti, controllo documentazione cartacea e device, ecc.…)	2	2	4	MEDIO	Controllo costante dei documenti cartacei archiviati e da distruggere e dei device in uso.	1.5	2	3	MODERATO
RISCHIO DI PERDITA DEI DATI E NON RIPRISTINO DEL SERVIZIO (back up su device esterno, cassetta ignifuga, cloud, ecc.…)	3	2	6	MEDIO	Back up su cloud e controllo del PC portatile ed eventuali hard disk esterni.	2	2	4	MEDIO
RISCHIO RELATIVO AL SISTEMA INFORMATICO (antivirus, antispam, firewall, tecnico informatico, contratti e licenze software e programmi, sito internet e social network, ecc.…)	3	2	6	MEDIO	Sostituzione periodica PWD, accesso limitato al gestionale, aggiornamenti periodici, controlli da parte di tecnico informatico	2	2	4	MEDIO
RISCHIO RELATIVO ALLA GESTIONE DEI DATI CARTACEI (conservazione dei dati all’interno di armadietti chiusi a chiave, porte chiuse a chiave, ecc.…)	2	2	4	MEDIO	Armadietti e porte chiuse a chiave (chiave non inserita)	1.5	2	3	MODERATO
RISCHIO RELATIVO AI LUOGHI DI LAVORO (controllo degli accessi, vigilanza, allarme, ecc.…)	2	2	4	MEDIO	Accessi aperti a seguito di verifica degli ingressi	1.5	2	3	MODERATO

ALLEGATI

• Nomine responsabili del trattamento
• Nomine incaricati del trattamento
• Informative privacy
• Registro dei trattamenti
• Documenti relativi alla formazione erogata
• Piano di miglioramento
• Report di conformità del sistema di protezione informatico (rilasciato dal tecnico informatico)

FOSSOMBRONE, 31/01/2025

Il titolare del trattamento dati

__________________________________