UNIVERSITA’ DELLA TERZA ETA’ DI QUARTU SANT’ELENA APS , denominata QU3 Attività svolte per l’adeguamento alle norme sulla Privacy secondo il Regolamento Europeo in materia di Protezione dei Dati Personali, altrimenti chiamato General Data Protection Regulation (GDPR) entrato in vigore il 25 maggio 2018 sulla base del regolamento 679 del 27 Aprile 2016 emanato dal Parlamento Europeo.

Adeguamento alle norme sulla Privacy Il contesto Gli aspetti operativi ed i documenti necessari Le raccomandazioni ricevute La scelta adottata da QU3 e quelle possibili per le altre Associazioni

QUALI SONO GLI SCOPI DEL GDPR? Il GDPR si propone soprattutto di far sì: che i dati personali (*) vengano utilizzati per scopi leciti e comunque per le finalità in base alle quali sono stati raccolti e non oltre il tempo necessario per raggiungere tali finalità; b) che i dati conosciuti da estranei non vengano diffusi o comunque utilizzati contro la volontà o nell’ignoranza della persona cui si riferiscono; c) che i dati personali non vengano distrutti o perduti. (*) i dati personali che le nostre Associazioni trattano NON sono i DATI SENSIBILI (es: opinioni politiche, convinzioni religiose appartenenza sindacale), i DATI GENETICI e DATI BIOMETRICI intesi a identificare in modo univoco una persona fisica, i DATI SANITARI (dati relativi alla salute o quelli relativi alla vita sessuale o all’orientamento sessuale della persona).

CHI SONO GLI INTERESSATI AL GDPR PER QU3 Il Titolare del Trattamento, ovvero la persona giuridica nel suo complesso (e quindi l’Associazione, la Fondazione, il Comitato, ecc.) e non le persone fisiche che ne fanno parte o che ne hanno la rappresentanza legale. Il Titolare del trattamento è quindi QU3; Il Responsabile del Trattamento è la persona fisica o giuridica che svolge, su incarico scritto del Titolare o sulla base di un contratto, un trattamento dei dati “per conto” del Titolare. I Responsabili del Trattamento in QU3 saranno 4, appartenenti al C.D. , ognuno dei quali responsabili di database diversi (Soci, Docenti, Fornitori, Enti Esterni); Gli Incaricati o Autorizzati al trattamento sono ciascun soggetto che all’interno e per conto dell’Associazione trattano dati personali (Presidente, Consiglieri, volontari, dipendenti, etc.);

CONTESTO DI RICEZIONE DATI Soci Dipendenti CONTESTO DI RICEZIONE DATI Fase 1: l’Associazione riceve dati dall’esterno da parte di Terzi (Soci, Dipendenti, Collaboratori, Enti, Fornitori, …) Fase 2: l’Associazione invia loro, differenti per categoria, l’Informativa contenente anche la richiesta di consenso al trattamento dei loro dati Fase 3: i Terzi inviano all’Associazione il consenso opportunamente firmato ASSOCIAZIONE Collaboratori Enti vari

Enti vari CONTESTO DI INVIO DATI Fase 1: l’Associazione invia ad Enti vari dati in proprio possesso, assieme ad una lettera di nomina di detto Ente quale responsabile esterno al trattamento, contenente tutte le indicazioni affinché detti Enti trattino i dati secondo le norme Fase 2: gli Enti vari inviano all’Associazione lo stesso documento firmato per accettazione ASSOCIAZIONE

Adeguamento alle norme sulla Privacy Gli aspetti operativi ed i documenti indispensabili Per rendere operativo il rispetto delle finalità del GDPR, occorre quindi che: in una apposita riunione di Consiglio Direttivo vengano nominati i Responsabili del trattamento; in analoga riunione vengano nominati gli Incaricati al trattamento; vengano redatte le diverse Informative attinenti alle varie tipologie di persone fisiche di cui verranno trattati i dati, contenenti la richiesta di consenso; venga redatta la lettera-tipo di nomina a responsabile esterno del trattamento; venga descritto il “Design del trattamento” ovvero le procedure interne e nominative affinché le finalità del GDPR siano totalmente rispettate;

Adeguamento alle norme sulla Privacy Le raccomandazioni ricevute Redatti in bozza i documenti di cui alla pagina precedente, QU3 ha avuto un incontro con un Consulente, da cui sono emerse una serie di raccomandazioni (ovvero attività non obbligatorie) affinché si ottenga la massima tutela nel caso di controlli, ovvero: Provvedere alla Formazione dei Responsabili del trattamento dati e degli Incaricati al trattamento dati, attraverso un predefinito corso on line fornito dal Consulente, con certificazione di avvenuta formazione; Redigere un documento di “Valutazione dei rischi” da parte del Consulente, a fronte di un sopralluogo con check-list ed evidenziazione delle condizioni operative mancanti od insufficienti cui attenersi; Redigere il “Registro dei trattamenti” su cui riportare tutti gli avvenimenti significativi in ordine al dimostrare l’attinenza documentale ed operativa al GDPR;

Adeguamento alle norme sulla Privacy Le scelte adottate da QU3 QU3 aveva preparato in bozza quanto ritenesse fosse necessario. L’incontro con il Consulente ha messo in luce la necessità di integrazioni ai documenti in bozza riferendo successivamente, su richiesta di QU3, che il preventivo per operare dette integrazioni ascendeva a 245€, IVA inclusa, altre attività raccomandate escluse (ovvero senza Formazione per i nostri 4 Responsabili del trattamento, senza Valutazione dei rischi e senza Registro dei trattamenti). In termini di possibile alternativa, lo stesso Consulente ha presentato un preventivo per una prestazione “tutto incluso”, ovvero con la fornitura di un Manuale completo che supera totalmente i nostri documenti e che comprende la Valutazione dei rischi e il Registro dei trattamenti, ma non la Formazione. Il preventivo in questo caso è di 671€ IVA inclusa (suscettibile di decremento, come da pagina successiva); QU3 opterebbe per questa soluzione, che prevede altresì 1 anno di consulenza gratuita, riservandosi di operare successivamente a pagamento la Formazione dei 4 Responsabili al trattamento dati;

Adeguamento alle norme sulla Privacy Quale scelta per le Associazioni che vogliano adeguarsi alle norme del GDPR? Dando per indispensabile che le diverse UTE provvedano al rispetto delle norme del GDPR, allo stesso Consulente QU3 ha richiesto preventivi per fasce di Associazioni che aderiscano al “tutto incluso”, ottenendo le seguenti condizioni: - da 5 a 10 Associazioni: 427€, IVA inclusa (inserendovi QU3) oltre 10 Associazioni: 305€, IVA inclusa Queste offerte NON comprendono la Formazione on-line che, IVA inclusa, ascenderebbe a : da 5 a 10 Associazioni: circa 67€ per ogni Responsabile del trattamento oltre 10 Associazioni: circa 55€ per ogni Responsabile del trattamento NOTA CIRCA LA FORMAZIONE: Il GDPR indica come obbligatoria la Formazione ai Responsabili ed agli Incaricati, ma non indica come dover procedere, lasciando quindi aperta la possibilità che venga realizzata all’interno dell’Associazione. QU3 sceglierebbe di formare a pagamento i 4 Responsabili del trattamento che a loro volta istruiranno i circa 15 Incaricati.