ISTRUZIONI D’USO DEL QUESTIONARIO DI VALUTAZIONE, AD USO INTERNO

Il Responsabile va scelto tra i soggetti che per esperienza, capacità ed affidabilità forniscono idonea garanzia del pieno rispetto delle vigenti disposizioni sul trattamento, ivi compreso il profilo della sicurezza (art. 28 e 32 del GDPR). 
Per poter procedere con una verifica in tal senso è fortemente consigliato inserire nella documentazione pre contrattuale, oltre alle consuete clausole di rito, che:

Il consulente dichiara, consapevole che chiunque rilascia dichiarazioni mendaci è punito ai sensi del codice penale e delle leggi speciali in materia, ai sensi e per gli effetti degli artt. 46 e 47 del D.P.R. n. 445/2000, di aver adempiuto al disposto della normativa relativa alla protezione dei dati personali (GDPR 2016/679 e D.Lgs. 196/2003 così come novellato dal D.Lgs. 101/18, e ss.mm.ii.) relativamente alla propria attività professionale.

Sempre in sede pre contrattuale al consulente dovrà essere inviato il seguente questionario di valutazione, che dovrà essere restituito a stretto giro di posta, debitamente compilato, in tempo utile per la definizione del contratto di servizio.
E’ importante fare attenzione nel caso in cui, in fase di restituzione, alcune voci riportino “Non ancora implementato o pianificato”, “Parzialmente implementato o pianificato” o “Non applicabile” (ad eccezione dei punti 3,7,12,13,16,17,20,22 da valutarsi a seconda del tipo di struttura organizzativa del consulente e della tipologia del servizio), oppure qualora le note descrittive non riportino una breve descrizione delle valutazioni preventive adottate, tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento. In questi casi il contratto non dovrebbe essere formalizzato in mancanza di successive o ulteriori garanzie. 
Nel caso in cui il consulente non sia in grado di dimostrare di aver adempiuto al disposto della normativa relativamente alla propria attività professionale, e risulti già contrattualizzato, questo potrà comportare il recesso contrattuale per giusta causa.
E’ necessario poi tenere presente che il presente questionario dovrà essere altresì trasmesso periodicamente al Responsabile esterno, con cadenza almeno annuale, per la successiva compilazione di uno specifico verbale interno di valutazione, da parte del Titolare del Trattamento (vedasi al riguardo i modelli VVR e VVR ADS).
Sarà cura e responsabilità di ogni Titolare del Trattamento compilare e tenere aggiornati i predetti verbali di valutazione e di integrarli in ogni revisione annuale della documentazione.

Pagina intenzionalmente bianca

Asolo, li 17 aprile 2023

Oggetto: Questionario di valutazione del Responsabile ex art. 28 e 32 GDPR 2016/679.

In qualità di nostro Responsabile del trattamento, Vi invitiamo a procedere alla compilazione e alla successiva trasmissione del seguente questionario per la valutazione nonché l’autovalutazione della Vostra conformità, in quanto soggetto giuridico sottoposto alla vigente normativa in materia di protezione dei dati personali. La trasmissione dovrà avvenire ‘brevi mano’, oppure a mezzo posta elettronica certificata all’indirizzo PEC della scrivente, entro e non oltre 7 giorni dal ricevimento della presente, e comunque in tempo utile per la sottoscrizione o per il rinnovo del contratto di servizio.
In alternativa e/o in aggiunta alla compilazione del presente questionario, è sempre possibile inviare alla Scrivente diversa documentazione attestante la propria compliance privacy (es. Procedura Valutazione Fornitori ISO 9001/27001, o ulteriore materiale messo a disposizione anche mediante il sito web).

Il questionario è compilato in data __/__/__ dal Sig./Sig.ra _________________________________________________

per conto di _____________________________________________________________________________________

a)	Si ricorda che per la corretta compilazione dovrà essere inserita una spunta in ciascuna delle voci, a seconda dello stato di implementazione della misura da voi implementata, evidenziando che è altresì richiesto obbligatoriamente, a titolo di trasparenza, riportare nelle note una breve descrizione delle valutazioni preventive adottate all’interno della Vostra organizzazione, tali da dimostrare la Vostra concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento. La compilazione priva delle valutazioni preventive adottate non potrà essere considerata valida.

1. Viene redatto e periodicamente revisionato ed aggiornato il Registro dei Trattamenti del Titolare e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

2. Viene redatto e periodicamente revisionato ed aggiornato il Registro dei Trattamenti del Responsabile e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

3. Il Responsabile ha nominato un responsabile della protezione dei dati (DPO/RPD).
	Non ancora implementato o pianificato	Note/Commenti/Se presente DPO/RPD fornire dati identificativi e di contatto:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

4. Sono fornite agli interessati informative sul trattamento dei dati personali e raccolti, ove necessario, i consensi.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

5. Ove si sia provveduto a raccogliere i consensi, se ne tiene traccia mediante una specifica procedura e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

6. Esistono specifiche procedure per comunicare al Titolare del Trattamento la richiesta di esercizio dei diritti da parte dell’Interessato.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

7. È stata redatta una valutazione rischi sui trattamenti dei dati, periodicamente revisionata ed aggiornata e siete in grado di comprovarlo. In base a tale valutazione, vengono poste in essere eventuali azioni di miglioramento e/o volte a ridurre i rischi rilevati.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

8. Esiste una procedura da seguire in caso di "data breach" (violazioni sui dati personali), che comprenda la segnalazione di tali violazioni al Titolare del Trattamento.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

9. Esiste una procedura per smaltire regolarmente e in sicurezza i dati personali non più necessari in base ai tempi di conservazione fissati.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

10. Sono stati regolati i rapporti con i propri Responsabili (es. Consulente del Lavoro, Enti di certificazione, Consulente Informatico, Web Agency, ecc.) mediante Data Processing Agreement, clausola contrattuale o diverso atto giuridico e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

11. I propri Responsabili vengono periodicamente valutati sotto il profilo della compliance alla normativa vigente sulla protezione dei dati personali nonché della sicurezza delle informazioni e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

12. I dipendenti e collaboratori che trattano dati personali sono stati istruiti in relazione ai trattamenti stessi, con l'indicazione dei trattamenti loro consentiti e dei dati a cui hanno accesso e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

13. I dipendenti e collaboratori hanno ricevuto adeguata formazione sulla protezione dei dati personali e la sicurezza delle informazioni e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

14. Si dispone di controlli per limitare l'accesso ai locali e alle attrezzature al fine di prevenire accessi fisici non autorizzati nonché la perdita, il danneggiamento, il furto o la compromissione dei dati personali.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

15. Si dispone di modalità di archiviazione sicura per proteggere i record cartacei e informatici al fine di prevenire la perdita, il danneggiamento, il furto o la compromissione dei dati personali e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

16. È stato adottato e correttamente configurato un sistema di autenticazione (accesso ai PC mediante utente e password) e di autorizzazione (accesso alle condivisioni di rete selezionato per utente o gruppo) che consente la profilazione dei singoli addetti al trattamento all’accesso al Sistema Informativo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

17. Viene garantita la sicurezza del lavoro mobile e l'utilizzo dei dispositivi di elaborazione mobile.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

18. I singoli componenti, hardware e software, sono protetti da adeguato software antivirus e da un sistema di sicurezza informatica perimetrale (Firewall) opportunamente configurato ed aggiornato.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

19. È stato adottato un sistema per la gestione delle copie di riserva dei dati (backup) che consente il ripristino dei dati in tempi rapidi e siete in grado di comprovarlo.
	Non ancora implementato o pianificato	Note/Commenti:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

20. I dati trattati sono soggetti a trasferimento al di fuori dello Spazio Economico Europeo.  SI   NO
In particolare verso il seguente Paese Terzo  _________________________________
Per tali trasferimenti dei dati extra SEE, è implementato uno degli strumenti di cui agli artt. 44 ss. per assicurare che il livello di protezione delle persone fisiche non sia pregiudicato.
	Non ancora implementato o pianificato	Note/Commenti/Indicare quale strumento è implementato:	
	Parzialmente implementato o pianificato		
	Implementato		
	Non applicabile		

21.Si indicano i Responsabili che intervengono nei trattamenti svolti per conto del Titolare del Trattamento.
	Non applicabile (nessun Responsabile interviene nei trattamenti svolti per conto del Titolare del Trattamento)	Es. Nome Cognome - Commercialista / ACME SRL, Consulente Privacy

	

22. Si indicano le persone fisiche che svolgono interventi tipici da Amministratori di Sistema nei sistemi del Titolare del Trattamento.
	Non applicabile (non sono forniti servizi IT di alcun tipo)	Es. Nome Cognome - Backup Manager

	

Con la sottoscrizione del presente questionario, il Responsabile del Trattamento:

b)	Si assume la piena responsabilità, civile e penale, della veridicità e dell’accuratezza delle proprie dichiarazioni;
c)	Prende atto che, con riferimento ai singoli punti ai quali è stata fornita risposta negativa o parzialmente negativa (“Non ancora implementato o pianificato”, “Parzialmente implementato o pianificato”), si configura una totale o parziale violazione della normativa vigente in materia di protezione dei dati personali e s’impegna pertanto a procedere tempestivamente, e comunque prima del conferimento di qualsiasi dato personale da parte del Titolare del Trattamento, alla propria messa in conformità, previo accordo scritto con il Titolare del Trattamento, e conseguente nuova preventiva valutazione, o in alternativa a fornire informazioni integrative, o adeguate motivazioni, alla Scrivente;
d)	Prende atto che, anche sulla base dei riscontri al presente questionario e/o di evidenze diverse e ulteriori, il Titolare del Trattamento procede alle necessarie valutazioni ai sensi dell’art. 28 par. 1 e par 3 let. h) del GDPR 2016/679 e si riserva di adottare gli opportuni provvedimenti qualora le non conformità rilevate costituiscano violazione della normativa vigente in materia di protezione dati, incluso il recesso contrattuale per giusta causa.

Per il Titolare del Trattamento	Per il Responsabile del Trattamento	

Per espressa accettazione dei punti A, B, C e D della presente.

Per il Responsabile del Trattamento