1. Ai sensi dell'art. 28 del regolamento UE 2016/679, la società Telecom Italia S.p.A., con sede legale in Milano, via Gaetano Negri n. 1, direzione generale e sede secondaria in Roma, corso d'Italia n. 41, P.IVA 00488410010, quale impresa mandataria capogruppo del Raggruppamento temporaneo, costituito, oltre che dalla stessa, da Enterprise Services Italia S.r.l., Poste Italiane S.p.A., Postecom S.p.A., Postel S.p.A., nell'ambito del Contratto Quadro per l'affidamento dei servizi di cloud computing per le pubbliche amministrazioni - Lotto 1 di cui al contratto esecutivo n. 2080012000826022COE, è nominata responsabile esterno del trattamento dei dati personali relativamente all'intervento denominato "Contributo a fondo perduto - Bonu- Sicilia", di competenza dell'Assessorato regionale delle attività produttive - Dipartimento regionale delle attività produttive.

2. Il responsabile esterno del trattamento ha facoltà di designare sub-responsabili del trattamento le società subappaltanti, previa autorizzazione scritta da parte del titolare del trattamento dei dati.

3. Il responsabile esterno del trattamento effettua il trattamento dei dati di cui all'allegato "A" al presente provvedimento nei limiti e nel rispetto delle finalità per cui sono trattati.

4. Il responsabile esterno del trattamento dei dati ha validità dalla operatività dell'intervento denominato "Con tributo a fondo perduto - BonuSicilia" e sino al completamento dell'intervento stesso, o fino alla revoca anticipata per qualsiasi motivo da parte del titolare, fermo restando che, anche successivamente alla cessazione del contratto di fornitura o alla revoca, il responsabile esterno dovrà mantenere la massima riservatezza sui dati e le informazioni relative al titolare delle quali sia venuto a conoscenza nell'adempimento delle sue obbligazioni.

1. Il responsabile esterno del trattamento ha facoltà, nell'ambito dell'esecuzione dei contratti di cui all'art.1, di procedere alla nomina degli autorizzati al trattamento dei dati personali, mediante apposito atto di designazione. Per autorizzato si intende qualsiasi unità di personale interna alla propria società, autorizzata al trattamento dei dati personali secondo le proprie direttive e istruzioni. Il responsabile esterno fornisce, all'Assessorato regionale delle attività produttive, l'elenco degli autorizzati.

2. Il responsabile esterno del trattamento, nell'ambito dell'esecuzione dei contratti di cui all'art. 1, ha l'obbligo di mettere in atto le misure di sicurezza di natura fisica, logica, tecnica e organizzativa idonee a garantire un livello di sicurezza adeguato al rischio e conformi alla normativa vigente, tenendo conto delle finalità perseguite, del contesto e delle specifiche circostanze in cui avviene il trattamento, nonché della tecnologia applicabile e dei costi di attuazione.

3. Il responsabile si deve attenere alle misure di sicurezza indicate dall'Assessorato regionale delle attività produttive, di cui all'Allegato B al presente provvedimento, nonché di quelle specificate nel contratto di fornitura di cui all'art. 1 e relativi allegati.

4. Il responsabile esterno del trattamento ha l'onere di informare il titolare di eventuali modifiche riguardanti l'aggiunta o la sostituzione degli ulteriori sub-responsabili. Il titolare avrà il diritto di opporsi a tali modifiche, comunicando la propria opposizione per iscritto entro 10 giorni dalla notifica da parte del responsabile esterno. Il responsabile esterno non ricorrerà ai sub-responsabili nei cui confronti il titolare abbia manifestato la propria opposizione. Resta inteso che, in mancanza di opposizione, la modifica si intenderà accettata. Il responsabile esterno impone al sub-responsabile con apposito atto, gli stessi obblighi in materia di protezione dei dati che sono posti a suo carico in forza del presente atto e vigila sul loro rispetto. Il responsabile esterno del trattamento rimarrà direttamente responsabile nei confronti del titolare in ordine alle azioni ed alle omissioni dei propri sub-responsabili.

1. Il responsabile esterno del trattamento assiste il titolare in tutte le operazioni di sua competenza, inclusa quella di fornire risposta alla richiesta di esercizio dei diritti degli interessati, e ha l'onere di svolgere compiti di direzione e coordinamento sul corretto trattamento dei dati personali.

2. Il responsabile esterno del trattamento ha, altresì, l'onere di:

a. mettere in atto misure tecniche e organizzative atte a garantire, ed essere in grado di dimostrare, che il trattamento dei dati personali per conto del titolare è effettuato in conformità al regolamento europeo UE 2016/679;

b. adottare misure tecniche e organizzative idonee a garantire la sicurezza dei locali e delle postazioni di lavoro;

c. fornire ai propri dipendenti e collaboratori deputati a trattare i dati personali le istruzioni necessarie per garantire un corretto, lecito e sicuro trattamento, vincolandoli alla riservatezza su tutte le informazioni acquisite nello svolgimento della loro attività;

d. predisporre ed aggiornare sistematicamente il registro delle attività di trattamento dei dati personali trattati per conto del titolare ed assistere il titolare nell'aggiornamento del suo registro delle categorie di trattamento e il Dipartimento regionale delle attività produttive dell'Assessorato regionale delle attività produttive nell'aggiornamento dei registri delle categorie di attività di trattamento;

e. cooperare, su richiesta, assieme al titolare, con l'autorità di controllo nell'esecuzione dei suoi compiti;

f. fornire assistenza al titolare per la gestione del consenso degli interessati al trattamento dei dati personali;

g. fornire assistenza al titolare per informare in maniera trasparente gli interessati sulla modalità di gestione e di protezione dei relativi dati personali trattati;

h. fornire assistenza al titolare per la gestione le richieste degli interessati sui propri dati personali trattati per conto del titolare;

i. fornire assistenza al titolare per l'analisi del rischio sui dati personali trattati;

j. fornire assistenza al titolare per la valutazione d'impatto dell'eventuale uso di nuove tecnologie sulla sicurezza dei dati personali trattati (Data protection impact assessment o DPIA o VIP);

k. collaborare con il titolare e con il responsabile della protezione dei dati della Regione siciliana nell'attuazione delle ispezioni interne organizzative e tecniche volte alla verifica dell'attuazione di misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al regolamento UE 2016/679;

l. comunicare i luoghi dove sono memorizzati i dati, le loro copie e i sistemi che li trattano, e impegnarsi a non trasferirli in Paese terzo rispetto la UE;

m. fornire assistenza al titolare nell'aggiornamento dell'informativa da rendere agli interessati ai sensi degli art. 13 e 14 del regolamento UE 679/2016 in merito al trattamento in argomento;

n. rendere disponibili tutte le informazioni necessarie per dimostrare il rispetto degli adempimenti previsti dal regolamento europeo UE 2016/679.

3. Il responsabile esterno del trattamento ha l'obbligo di informare il titolare (inviando una comunicazione a mezzo PEC), senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza, di ogni violazione della sicurezza (Data breach) che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati, ed a prestare ogni necessaria collaborazione al titolare in relazione all'adempimento degli obblighi, sullo stesso gravanti, di notifica delle suddette violazioni all'autorità ai sensi dell'art. 33 del GDPR o di comunicazione della stessa agli interessati ai sensi dell'art. 34 del GDPR. Inoltre comunica le prime misure organizzative e tecniche adottate per porre rimedio alla violazione dei dati personali e per minimizzare gli effetti negativi e propone al titolare l'adozione di ulteriori misure di sicurezza non immediatamente attuabili.

4. Il responsabile esterno del trattamento sarà responsabile per i danni conseguenti a inadempimenti o inosservanze delle istruzioni di cui all'Allegato B al presente provvedimento o di quelle successive eventualmente trasmesse per iscritto dall'Assessorato regionale delle attività produttive.

5. Il responsabile esterno del trattamento, all'atto della scadenza del contratto di fornitura o, comunque, in caso di cessazione - per qualunque causa - dell'efficacia del presente atto di nomina, salvo la sussistenza di un obbligo di legge o di regolamento nazionale e/o comunitario che preveda la conservazione dei dati personali, sarà tenuto ad interrompere ogni operazione di trattamento degli stessi e dovrà provvedere, a scelta del titolare, all'immediata restituzione allo stesso dei dati personali oppure alla loro integrale cancellazione, in entrambi i casi rilasciando contestualmente un'attestazione scritta che presso lo stesso responsabile esterno non ne esiste alcuna copia. In caso di richiesta scritta del titolare, il responsabile esterno è tenuto a indicare le modalità tecniche e le procedure utilizzate per la cancellazione/distruzione.

Il presente decreto sarà pubblicato in forma integrale nella Gazzetta Ufficiale della Regione siciliana e nel sito web dell'Assessorato regionale delle attività produttive.

Palermo, 30 ottobre 2020.

TURANO