Omniavis webbook - capitolo del libro

03.07.03.09. Al termine delle attività di trattamento, il responsabile deve, a scelta del titolare, cancellare o restituire tutti i dati personali al titolare e cancellare le copie esistenti (Art. 28(3)(g) GDPR)

03.07.03.10. Il responsabile deve mettere a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 e consentire e contribuire agli audit, comprese le ispezioni, condotte dal titolare o da altro revisore incaricato dal titolare del trattamento (art. 28(3)(h) GDPR)

03.07.03.11. Istruzioni che violano la legge sulla protezione dei dati

03.07.03.12. Responsabile che determina finalità e modalità del trattamento

03.07.03.13. Sub-responsabili

03.07.04. Azioni in contitolarità: conseguenze

03.07.04.01 Determinare in modo trasparente le rispettive responsabilità dei congiunti titolari del trattamento per il rispetto degli obblighi previsti dal GDPR

03.07.04.02. L'attribuzione delle responsabilità deve essere effettuata mediante un accordo: forma dell'accordo

03.07.04.03. Obblighi nei confronti degli interessati

03.07.04.04. L'essenza dell'accordo è messa a disposizione dell'interessato

03.07.04.05. L'accordo può designare un punto di contatto per gli interessati

03.07.04.06. Obblighi nei confronti delle autorità di protezione dei dati

03.07.05. Il DPO o RPD (Responsabile della protezione dei dati)

03.07.06. Gli autorizzati e i designati al trattamento

03.07.07. Medico competente, consulente del lavoro, OdV

03.07.07.01. Il medico competente

03.07.07.02 Il consulente del lavoro

03.07.07.03. L’OdV (Organismo di Vigilanza ex Dlgs n. 231/2001)

03.07.07.04 Qualificazione dell’OdV ex Dlgs n. 231/2001

03.08. I dati personali in USA: “bulk collection” e sorveglianza globale (cenni)

03.08.01 Le sentenze Schrems I e II

03.08.02 Il “Biden Executive order”: 07-10-2022 - ‘‘President Biden Signs Executive Order to Implement the UE-US Data Privacy Framework’’

03.08.03 La nuova decisione di adeguatezza per gli USA licenziata dalla UE il 10 luglio 2023 (Brussels, 10.7.2023 - C(2023) 4745 final)

03.09. La Cina e la sua ‘‘recente’’ normativa “data protection” e sulla c.d. “Intelligenza artificiale” (cenni) -

03.10. Il dato non personale (il Reg. UE n. 1807 del 2018)

04. Data breach e linee guida EDPB n. 1 del 2021

04.01. Ransomware con backup corretto e senza esfiltrazione

04.02. Ransomware senza backup adeguato

04.03. Ransomware con backup e senza esfiltrazione in un ospedale

04.04. Ransomware senza backup e con esfiltrazione

04.05. Misure organizzative e tecniche per prevenire / mitigare gli impatti di attacchi ransomware (esempi)

04.06. Esfiltrazione di dati dalla domanda di lavoro da un sito web

04.07. Esfiltrazione di password con hash da un sito web

04.08. Attacco di credential stuffing a un sito web bancario

04.09. Misure organizzative e tecniche per prevenire / mitigare gli impatti di attacchi di hacker

04.10. Fonte di rischio umano: esfiltrazione di dati aziendali da parte di un ex dipendente

04.11. Trasmissione accidentale di dati a una terza parte fidata

04.12. Misure consigliate:

04.13. Dispositivi smarriti o rubati e documenti su carta: esempio del materiale rubato contenente dati personali crittografati

04.14. Materiale rubato contenente dati personali non crittografati

04.15. File cartacei rubati con dati sensibili

04.16. Misure organizzative e tecniche per prevenire / mitigare gli impatti di perdita o di furto di dispositivi (esempi)

04.17. Invio di e-mail all’indirizzo postale sbagliato: errore di posta ordinaria

04.18. Dati personali sensibili inviati per posta per errore

04.19. Dati personali inviati per posta per errore

04.20. Errore di posta ordinaria

04.21. Misure consigliate:

04.22. Altri casi - ingegneria sociale: furto d’identità

04.23. Esfiltrazione di e-mail

04.24 Schematizzazione normativa del GDPR

05. Il Codice nazionale italiano ex Dlgs n. 196/2003

05.01. Il trattamento dei dati sanitari: il periodo pandemico

05.01.01. Ricorsi giurisdizionali proposti principalmente per asserita messa a rischio dei dati personali delle persone fisiche obbligate ad ottenere i “green pass”: un aspetto processuale innovativo e da considerare. Ne dipende la giurisdizione. [DEMO]

05.01.02. La c.d. “mini riforma” del 2021: il D.L. n. 139/2021 e la sua conversione con L. n. 205/2021

05.01.02.01. L’intento di “sburocratizzare” il Codice nazionale

05.01.02.02. Le “nuove” basi legittimanti

00.01 AGGIORNAMENTI

00.02 LEGENDA

00. Introduzione: perché un manuale digitale e dinamico (web-book) in materia di trattamento dei dati personali e non solo

01. Facciamo chiarezza sull’essenza della normativa

01.01. Non bisogna confondere la riservatezza (c.d. “privacy”) con la libera circolazione e protezione dei dati personali, né pensare di poter comprendere la materia isolatamente rispetto ai fenomeni dello sviluppo tecnico, sociale ed identitario degli umani

01.01.01. Dalla protezione della sfera dell’individuo alla “libera” circolazione dei dati personali: un percorso storico quasi secolare

01.01.02. Una necessaria riflessione sociologica a sfondo filosofico

01.01.03. Dati, tecno-capitalismo, comunicazioni digitali: agōn

01.01.04. La visione della tecnologia basata sui dati personali: una mitizzazione antropocentrica sbagliata e malamente spiegata

01.01.05 Internet? Un nuovo mondo digitale inizialmente pensato da un militare e per la più parte fatto oggi (ancora per poco?) di cavi transoceanici il cui possesso è ritenuto sempre più fondamentale dagli ISP

01.01.06 Domande irriverenti di un anziano adolescente poco tecnologico: l’‘‘IO’’ e il ‘‘NOI’’ (che abitano il grande apparato artificiale e tecnologico) chi sono oggi?

01.02. Alcuni concetti di fondo del trattamento dei dati personali

02. La protezione e la “libera circolazione” dei dati personali: due aspetti correlati e da porsi a confronto

02.01. La storica necessità di proteggere le persone fisiche attraverso la protezione dei loro dati personali: quando e come nasce l’esigenza (alcuni cenni storici)

02.02 Le ragioni di fondo della normativa europea

02.03. La circolazione dei dati: un diritto di necessità

02.04. La protezione dei dati personali quale diritto fondamentale

02.05. Che cos’è il dato personale [DEMO]

02.06. Classificazione e qualificazione dei dati personali

02.06.01 Il trattamento dei dati personali ex art. 6.1.b GDPR alla luce delle Linee Guida EDPB n. 2/2019 (nel contesto della fornitura di servizi online agli interessati)

02.06.02 I dati personali afferenti alla salute umana: un concetto ampio e la cui importanza giuridica è stata messa in particolare evidenza nel periodo pandemico 2020-2022 [DEMO]

02.06.03. Ambito di applicazione della normativa in materia di trattamento dei dati in situazione di dichiarata pandemia e di messa a rischio dei servizi pubblici essenziali: sarebbe necessario mantenere coerenza giuridica da parte delle istituzioni

02.06.04. Green pass: connessioni; distinzioni; aspetti critici a livello giuridico sovranazionale e nazionale nel trattamento dei dati personali

02.06.05. Vaccinazione obbligatoria e green pass: facciamo chiarezza

02.06.06. Le criticità dei green pass nazionali alla luce della normativa in materia di trattamento dei dati personali (cenni)

02.07. I dati personali afferenti alle condanne penali e ai reati

02.07.01. Il trattamento del dato personale di reato

02.07.02. Dati di reato: lo scenario normativo di riferimento va messo a confronto

02.07.03. “Oggi” i “confini” previgenti ci sono ancora?

02.07.04. Chi può trattare i dati personali di reato?

02.08. I dati biometrici delle persone fisiche: la primaria rilevanza sociale e geopolitica dei dati personali biometrici

02.08.01. Ma cosa si intende (giuridicamente) per dato personale biometrico e perché è considerato così importante e speciale?

02.08.02. Proctoring e dati biometrici

02.08.03. Una spiegazione insufficiente sull’importanza del dato biometrico: c’è in gioco molto di più di ciò che si rappresenta usualmente [DEMO]

02.08.04. La forza centripeta del dato personale biometrico

05.01.02.03. Sulla natura degli atti amministrativi generali

05.01.02.04. Il trattamento di categorie particolari di dati

05.01.02.05. La conversione in legge ha impattato anche sui poteri del Garante

06. La Direttiva UE n. 680/2016 e il Dlgs n. 51/2018 di suo recepimento

06.01. I dati personali attinenti a reati, alle sanzioni penali e alla salvaguardia contro le minacce alla sicurezza pubblica e alla loro prevenzione

06.02. A quale tipo di trattamento si applica il D.Lgs n. 51/2018?

06.03. Autorità competenti soggette alla normativa: una nozione aperta?

06.04. I principi applicabili ai dati di reato ed alle sanzioni penali

06.05. L'obbligo di distinzione tra categorie di interessati e tra dati basati su fatti da quelli basati su valutazioni

06.06. La liceità del trattamento e condizioni specifiche di trattamento

06.07. Trattamento decisionale automatizzato

06.08. Diritti dell'interessato e limiti agli stessi

06.08.01 Esercizio indiretto dei diritti e ricorso giurisdizionale avverso la decisione di un'autorità di controllo nazionale per scarse informazioni rilasciate (decisione CGUE, caso C-333/2022 del 16-11-2023)

06.09. Titolare e responsabile del trattamento

06.10. La contitolarità del trattamento

06.11. Registri, registrazione, valutazione d'impatto, “autodenuncia”, consultazione

06.12. La sicurezza mediante il controllo del trattamento automatizzato

06.13. La nomina del responsabile della protezione dei dati

06.14. Reclamo, ricorso, risarcimento e sanzioni amministrative

06.15. Illeciti e sanzioni penali

07. La legge n. 205/2021 di conversione del D.L. n. 139/2021 ha impattato anche il Dlgs n. 51/2018: vediamo i cambiamenti e i conseguenti problemi

07.01. L’intervento sul Dlgs n. 51/2018: la nuova base giuridica

07.02. Alcune (ulteriori) criticità della “mini novella” del 2021

08. La Direttiva europea NIS (Network and Information Security)

08.01. La Direttiva NIS n. 1148/2016

08.02 La Direttiva NIS 2

09. Platforms, social, trattamento dei dati personali e non solo

09.01. La rilevanza sociale delle platform: una storia americana [DEMO]

09.02. Moderazione dei contenuti social: la platform è mia e decido io?

09.03. Platform e alcune significative pronunce italiane

09.04. Il rilievo sociale delle social platform è paragonabile a Internet? Il paradigma provider/utente oscura il rapporto utenti/sotto utenti?

09.05. La chat quale assetto organizzativo elementare. E il trattamento dei dati personali?

09.06. I social network: comodi ma pericolosi “per i dati personali”

09.07. Il regime di responsabilità applicabile al Service Provider: la Direttiva UE n. 31/2000 e il Dlgs. n. 70/2003 di recepimento

09.08. Digital Services Act (DSA)

09.09. Il DSA in pillole: domande e risposte

09.10. DGA (Digital Governance Act): il Regolamento UE 868 del 30-05-2022 relativo alla governance europea dei dati

10. A.I. - Intelligenza Artificiale

10.01. Articolo 1 - Oggetto

10.02. Articolo 2 - Ambito di applicazione

10.03. Articolo 3 - Definizioni

10.04. L’A.I. spiegate “a suon di bastonate ed algoritmi”

10.05. Algoritmo e Cassazione italiana (ordinanza della prima sezione n. 28358 in data 10/10/2023)

10.06. Il DDL italiano sull’Intelligenza Artificiale”

11. La video audio ripresa: la c.d. “videosorveglianza”

11.01. Introduzione

11.02. La normativa di settore

11.03. Linee Guida n. 3/2019

11.03.01. Ambito di applicazione

11.03.02 Liceità del trattamento

11.03.02.01. Legittimo interesse

11.03.02.02. Necessità allo scopo di eseguire un compito nell’interesse pubblico o connesso all’esercizio di pubblici poteri

11.03.02.03. Consenso

11.03.03. La comunicazione di filmati a terzi

11.03.04. Trattamenti riguardanti categorie particolari di dati

11.03.04.01. Considerazioni sul trattamento dei dati biometrici

11.03.05. Diritti dell’interessato

11.03.05.01. Diritto di accesso

11.03.05.02. Diritto alla cancellazione

11.03.05.03. Diritto di opposizione

11.03.06. Obblighi di trasparenza e informazione

11.03.06.01. Informazioni di primo livello (segnaletica di avvertimento)

11.03.06.02. Informazioni di secondo livello

11.03.07. Periodi di conservazione e obbligo di cancellazione

11.03.08. Misure tecniche e organizzative

11.03.09. Valutazione d’impatto sulla protezione dei dati (cenni)

11.04. FAQ del Garante in tema di videosorveglianza

11.05. Alcune nozioni in materia di c.d. sicurezza urbana integrata con particolare riguardo all’uso della c.d. “videosorveglianza”

11.05.01. La sicurezza integrata

11.05.02. La sicurezza urbana

11.05.03. L’attuazione della Sicurezza Urbana e la “videosorveglianza”

11.05.04. La sicurezza complementare

12. I cookie

12.01. Cenni storici

12.02. Che cosa sono i cookie?

12.03. Cookie tecnici, ‘‘analitici’’ e di profilazione

12.04. Cookie di prima parte e di terza parte

12.05. Cookie di sessione e persistenti

12.06. Il consenso e il banner rispetto ai cookie

12.07. Scrolling e cookie wall

12.08. Linee guida sull’uso dei cookie e di altri strumenti di tracciamento del Garante italiano del 10-06-2021 (provv. n. 231/2021)

13. Accesso ai dati. Linee Guida EDPB 01-2022: valutazioni generali e abstract

13.01. Finalità e struttura complessiva del diritto di accesso

13.02. Considerazioni generali sulla valutazione della richiesta dell'interessato

13.03. Ambito di applicazione del diritto di accesso

13.04. Come fornire l'accesso (l’accesso è assistito ed agevolato)

13.05. Limiti e restrizioni: entra in gioco la proporzionalità

14. Sanzioni amministrative: principi (abstract delle Linee Guida WP29 253)

14.01. I principi attinenti all'applicazione delle sanzioni

14.02. Criteri di valutazione di cui all’art. 83, paragrafo 2, GDPR

14.03. Le Linee guida EDPB n. 04/2022 rivolte alle Autorità garanti dei Paesi Membri: indicazioni su come effettuare il calcolo delle sanzioni amministrative (sintesi).

14.04 La Corte di Cassazione si pronuncia in tema di sanzioni pecuniarie (la modulazione della sanzione e – forse? – la “plurima” competenza delle autorità nazionali ad assumerla in caso di trattamento transfrontaliero)

15. Linee Guida AgID sui documenti informatici

16. Linee Guida

16.01. “Linee Guida” (atti di indirizzo) del Garante italiano

16.01.01 Le mail dei lavoratori, i metadati, lo Statuto dei lavoratori e un recente atto di indirizzo del GPDP - aspetti delicati, soluzioni pratiche e primi rilievi critici

16.03. Linee Guida EDPS

16.04. Linee Guida EDPB n. 1/2022 sul diritto di accesso (Abstract - nb al successivo paragrafo troverai la versione integrale con doppia traduzione)

16.05. Linee Guida EDPB n. 1/2022 sul diritto di accesso (VERSIONE TRADOTTA INTEGRALMENTE: CON DOPPIO TESTO, INGLESE E ITALIANO)

16.06 Linee Guida EDPB per le piccole imprese (“small business”)

17. Slides tematiche

18. Sentenze della CGUE, decisioni dell’EDPB o delle autorità di controllo nazionali (commenti, massime e/o riferimenti), sanzioni

18.01. Il consenso a trattare i dati personali (un recente orientamento nazionale)

18.02. Diritto di accesso ai propri dati – Informazioni sui destinatari o sulle categorie di destinatari a cui sono stati o saranno comunicati i dati personali – Limitazioni - (sentenza CGUE 12-01-2023, C. n. 154-2021 - sentenza CGUE c-307/22 del 26-10-23)

18.03. I ricorsi amministrativi e giudiziari previsti dal GDPR possono essere esercitati in modo concorrente e indipendente (Sentenza CGUE 12-01-2023, C 132/2021)

18.04. Le sanzioni del DPC irlandese a META: la complessiva vicenda spiegata in pillole e l’esito delle decisioni vincolanti assunte dall’EDPB in base al principio di armonizzazione

18.05. I danni risarcibili per la violazione della “privacy” a livello giornalistico on line: una pronuncia della Cassazione italiana

18.06. Videoconferenze e lezioni in diretta nel contesto della scuola pubblica: la corte di Giustizia UE (C 34-21) indica le coordinate maestre per applicare (bene) il GDPR anche rispetto alla base legittimante del consenso

19. “Pareri” (alias: approfondimenti tematici)

19.01. Le sedute degli Enti locali nel periodo pandemico

19.02. La questione Google Cookie Analytics e il trasferimento dei dati personali fuori dallo Spazio Economico Europeo

19.02.01. Google Analytics e l’Autorità garante austriaca (DSB)

19.02.02. Google Analytics e l’Autorità garante francese (CNIL)

19.02.03. Google Analytics, EDPS (European Data Protection Supervisor) e Parlamento europeo

19.02.04. Google Analytics e l’Autorità garante italiana

19.03. La delicata questione della compatibilità tra lo svolgimento delle funzioni di DPO o RPD (Responsabile della protezione dei dati personali) e quelle di RPCT (Responsabile della corruzione e della trasparenza) ovvero di altre funzioni nelle organizzazioni a matrice pubblicistica (Internal Auditor o Compliance Manager)

20. ESTRATTO pratico del WEB-BOOK per corsisti “Il trattamento dei dati personali nell’era digitale e dell’intelligenza artificiale”

20.01. Le persone fisiche e i dati personali (cenni storici)

20.02. A chi e dove si applica il GDPR?

20.03. Definizioni di “dato personale”, “trattamento”, “profilazione” e “pseudonimizzazione”

20.04. La tipologia dei dati personali

20.05. I principi alla base del trattamento dei dati personali

20.06. I protagonisti del trattamento dei dati personali: interessati; titolari; contitolari; responsabili; autorizzati; responsabili della protezione dei dati

20.06.01. Gli interessati del/nel trattamento dei dati personali alla luce dei loro diritti

20.06.02. Il titolare e il contitolare del trattamento

20.06.03. Il responsabile del trattamento

20.06.04. I sub-responsabili

20.06.05. Il DPO o RPD (Responsabile della protezione dei dati)

20.06.06. Gli autorizzati e i designati al trattamento

20.07. Il registro dei trattamenti

20.08. L’informativa

20.09. DPIA (Valutazione di impatto)

20.09.01. Cosa deve valutare una DPIA?

20.09.02. DPIA discrezionale e necessaria

20.10. Il Data breach

02.08.05. I dati personali dei minori: profili “data protection” nell’ambito della società tecnologica

02.08.06 Whistleblowing e principi GDPR (il Dlgs. 24/2023): non tutto è ancora chiaro rispetto ai ruoli data protection da attribuire ai gestori dei canali di segnalazione

02.09 Linee Guida EDP n. 5 del 2022 sull’uso della tecnologia di riconoscimento facciale nell’area delle forze dell’ordine

02.09.01 Sintesi delle Linee Guida n. 5/2022

02.09.02 Introduzione alle Linee Guida n. 5/2022

02.09.03 Tecnologia biometrica

02.09.03 Quadro giuridico applicabile

02.09.04 Conclusioni

02.09.05 Allegati

03. La regolamentazione europea sui dati personali e brevi cenni finali a quella degli USA e della Cina

03.01. Il Regolamento UE n. 679/2016 (GDPR): caratteristiche di fondo, peculiarità ed innovazioni

03.01.01. La portata della normativa UE

03.01.02. La struttura della normativa: motivazioni e articolato

03.01.03. Alcune caratteristiche peculiari e un profilo geo-politico

03.01.04. I dati personali sono beni giuridici disponibili o indisponibili? I dati personali rappresentano il nuovo petrolio digitale o la nuova moneta del XXI secolo? La normativa posta a presidio dei dati personali è inderogabile e imperativa?

03.02. A chi e dove si applica il GDPR?

03.03. A quale trattamento si applica il GDPR?

03.03.01 I trasferimenti dei dati personali: cenni generali e principi di base attinenti ai trasferimenti internazionali

03.03.02 La circolazione di dati tra Stati membri e tra parti contraenti e la circolazione di dati verso paesi terzi quali parti non contraenti o organizzazioni internazionali (“OI”)

03.03.03 Decisioni di adeguatezza, garanzie adeguate, clausole contrattuali, norme vincolanti d’impresa, accordi internazionali, la SWIFT

03.03.04 I codici di condotta (le linee guida EDPB n. 4/2021)

03.03.05 Linee guida EDPB n. 7-2022 sulla certificazione come strumento per i trasferimenti dei dati personali in paesi terzi o verso organizzazioni internazionali

03.04. Il GDPR ed il dovere del “dare conto” sul come e sul perché sono trattati i dati personali nelle varie declinazioni

03.05. L’analisi del rischio in materia di trattamento dei dati personali: una pre-condizione da non confondere con la DPIA

03.05.01. Valutazione del rischio e necessità di monitoraggio costante

03.05.02. Concetti di base per misurare il rischio

03.05.03. Tecniche per misurare la probabilità e l’impatto del rischio

03.05.04. Errori comuni (da evitare) nella valutazione del rischio

03.06. DPIA (Valutazione di impatto)

03.06.01. Cosa contiene una DPIA?

03.06.02. “Usare” una DPIA già fatta o usarla per altre utilità?

03.06.04. Ma quando il rischio è elevato?

03.06.06. Nuove tecnologie - sistematico ed estensivo - effetto significativo - larga scala?

03.06.07. Esistono casi in cui si può evitare di svolgere la DPIA?

03.06.08. Descrizione del trattamento da sottoporre a DPIA?

03.06.09. La consultazione degli interessati al trattamento

03.06.10. Valutazione della necessità, della proporzionalità e delle misure di sicurezza del trattamento

03.06.11. Identificazione e valutazione del rischio

03.06.12. L’identificazione delle misure di mitigazione del rischio

03.06.13. La documentabilità di ciò che viene fatto in sede di DPIA

03.06.14. Monitoraggio e riesame periodico della DPIA ai fini del mantenimento nel tempo della protezione dei dati personali

03.06.15. TIA (cenni alla “transfer impact assessment”)

03.07. I protagonisti soggettivi del trattamento dei dati personali: interessati; titolari; contitolari; responsabili; autorizzati; designati; destinatari; terzi; responsabili della protezione dei dati (cenni riepilogativi)

03.07.01. Gli interessati del/nel trattamento dei dati personali alla luce dei loro diritti (sintesi dei diritti degli interessati)

03.07.01.01 L’oblio quale diritto degli interessati [DEMO]

03.07.01.02 Interessati e algoritmo trasparente: G.A. docet!

03.07.02. Titolari e contitolari (o co-titolari) del trattamento

03.07.02.01. Osservazioni Generali (abstract)

03.07.02.02. Definizione di titolare del trattamento

03.07.02.03. “Persona fisica o giuridica, autorità pubblica, agenzia o altro ente”

03.07.02.04. “Determina”

03.07.02.05. “Da solo o insieme ad altri”

03.07.02.06. “Finalità e mezzi”

03.07.02.07. “Del trattamento dei dati personali”

03.07.02.08. Definizioni di contitolari del trattamento

03.07.02.09. Valutazione della partecipazione congiunta

03.07.02.10. Scopo/i determinato/i congiuntamente

03.07.02.11. Mezzi determinati congiuntamente

03.07.02.12. Situazioni in cui NON esiste una contitolarità

03.07.02.13. Definizione di responsabile

03.07.02.14. Definizione di terzo/destinatario

03.07.02.15. Rapporto tra titolare e responsabile

03.07.02.16. La titolarità del trattamento e il Sindaco quale Ufficiale del Governo

03.07.02.17 I consiglieri comunali e provinciali, l’esercizio delle funzioni di indirizzo e controllo sull’ente ed il trattamento dei dati personali: non bisogna fare confusione.

03.07.03. Il responsabile del trattamento: come sceglierlo

03.07.03.01. Forma del contratto o altro atto giuridico

03.07.03.02. Contenuto del contratto o altro atto giuridico

03.07.03.03. Il responsabile del trattamento deve trattare i dati solo su istruzioni documentate del titolare del trattamento (art. 28 (3) (a) GDPR)

03.07.03.04. Il responsabile del trattamento deve garantire che le persone autorizzate al trattamento dei dati personali abbiano e/o si siano impegnate alla riservatezza o siano soggette ad un'adeguata legge che obblighi alla riservatezza (Art. 28(3)(b) GDPR)

03.07.03.05. Il responsabile del trattamento deve adottare tutte le misure richieste ai sensi dell'art. 32 (art. 28(3)(c) GDPR)

03.07.03.06. Il responsabile del trattamento deve rispettare le condizioni di cui all'art. 28, par. 2, e all'art. 28, par. 4, per l'indicazione di un ulteriore responsabile o sub-responsabile (art. 28, par. 3, lettera d) GDPR)

03.07.03.07. Il responsabile del trattamento deve assistere il titolare del trattamento per l'adempimento del suo obbligo di risposta alle richieste di esercizio dei diritti dell'interessato (art. 28, comma 3, lett. e) GDPR)

03.07.03.08. Il responsabile deve assistere il titolare nel garantire il rispetto degli obblighi ai sensi degli Articoli da 32 a 36 (Art. 28(3)(f) GDPR)