Lettera di nomina dell'Autorizzato al trattamento e istruzioni operative — 2024
- Documento
- Lettera di nomina Autorizzato ai sensi dell'art. 29 Reg. UE 679/2016, con allegate le Istruzioni operative, 2024, privo di codice e di indice di revisione
- Destinatari
- il singolo dipendente incaricato, individuato per nome e mansione
- Sottoscrizione
- il titolare firma e appone il timbro; l'Autorizzato firma per accettazione e presa visione
- Struttura
- due documenti in un unico file, la lettera di incarico e le istruzioni operative
Contenuto della lettera di incarico
Il titolare incarica una persona fisica, indicata con nome e mansione, del trattamento dei dati personali sotto la propria autorità diretta, e le fornisce istruzioni sui principi da rispettare: liceità, correttezza e trasparenza, adeguatezza e limitazione dei dati alla finalità, verifica costante della correttezza e dell'aggiornamento, rispetto delle misure tecniche e organizzative predisposte dal titolare.
L'Autorizzato ha accesso a tutte le banche dati cartacee ed elettroniche contenenti dati personali, particolari o giudiziari necessari alla mansione, con permesso di inserimento, accesso e stampa, modifica e annullamento.
Obblighi di riservatezza dichiarati
| Obbligo | Contenuto |
|---|---|
| Divieto di comunicazione | Divieto assoluto di comunicare o diffondere i dati senza preventiva autorizzazione del titolare |
| Limite di accesso | L'accesso è limitato all'espletamento delle proprie mansioni ed esclusivamente negli orari di lavoro, salvo diversa comunicazione scritta |
| Raccolta del consenso | Osservanza della procedura per il rilascio dell'informativa e l'ottenimento del consenso scritto |
| Interruzione del lavoro | Verifica che i dati in trattamento non siano accessibili a terzi non autorizzati |
| Custodia dei documenti | Controllo e custodia degli atti per l'intero ciclo, con restituzione al termine della sessione di lavoro |
| Durata dell'obbligo | La riservatezza permane dopo la modifica dell'incarico e dopo la cessazione del rapporto di lavoro |
Regole sulle credenziali
| Regola | Prescrizione |
|---|---|
| Composizione | Almeno 8 caratteri alfanumerici comprese le maiuscole, oppure il numero massimo consentito dallo strumento |
| Contenuto | Nessun riferimento agevolmente riconducibile all'Autorizzato |
| Prima modifica | Al primo utilizzo |
| Modifica periodica | Ogni 6 mesi; ogni 3 mesi per chi tratta dati sensibili o particolari |
| Custodia | Segretezza e uso esclusivo |
| Sostituzione da parte del titolare | In caso di assenza o impedimento prolungato, per necessità di operatività e sicurezza, con comunicazione tempestiva all'Autorizzato |
Le istruzioni operative allegate ripetono le stesse regole di composizione e di periodicità, e aggiungono il divieto di lasciare incustodito e accessibile lo strumento elettronico durante le operazioni di trattamento.
Ciclo di vita della nomina
- Nomina — il titolare designa l'Autorizzato con apposita lettera di incarico, che indica responsabilità e mansioni affidate.
- Accettazione — l'Autorizzato sottoscrive per accettazione e presa visione.
- Conservazione — la lettera sottoscritta "deve essere conservata (in copia) nel cd. fascicolo privacy".
- Durata — la nomina è a tempo indeterminato.
- Cessazione — decade per revoca o per dimissioni; il titolare può revocarla in qualsiasi momento anche senza preavviso.
Formazione e consegna delle istruzioni
La lettera dichiara che il titolare "provvederà anche alla formazione periodica nonché alla consegna delle Istruzioni operative per l'Autorizzato".
Termini di dominio
| Termine | Uso nel documento |
|---|---|
| Autorizzato | Persona fisica autorizzata dal titolare a compiere operazioni sui dati personali sotto la sua autorità diretta, ai sensi dell'art. 29 del regolamento |
| Fascicolo privacy | Raccolta in cui si conserva la copia della lettera di nomina sottoscritta |
| Istruzioni operative | Allegato che dettaglia i compiti dell'Autorizzato |
Da verificare in intervista
- Quante nomine sono state conferite, e a chi? Esiste un elenco degli Autorizzati?
- Dove si trova il "fascicolo privacy" e chi lo tiene?
- La formazione periodica dichiarata è stata erogata? Con quale periodicità?
- Le regole sulla lunghezza e sul cambio periodico della password sono imposte dai sistemi, oppure restano a carico della persona?
- Chi verifica che la password sia cambiata ogni 6 o 3 mesi?
- Esiste una nomina a responsabile del trattamento ai sensi dell'art. 28 per la società di elaborazione paghe e per i fornitori informatici, che l'informativa ai dipendenti indica fra i destinatari?
- Le nomine sono state rinnovate dopo il 2024?
Cosa il documento non dice
Non definisce il "fascicolo privacy": non indica dove risieda, in quale forma, chi vi acceda né per quanto tempo si conservi. Nessun altro documento del corpus lo nomina.
Non indica la periodicità della formazione che promette, né rinvia a ID03 Formazione e addestramento per la sua programmazione.
Non elenca le operazioni di trattamento affidate: il testo rinvia alle "operazioni di trattamento elencate" senza allegare l'elenco.
Non nomina il registro delle attività di trattamento dell'art. 30, né un responsabile della protezione dei dati.
Non tratta l'uso di strumenti esterni per il trattamento dei dati, e la formula "misure tecniche e organizzative predisposte dal Titolare" non rinvia a un documento determinato.
Non porta codice del sistema documentale, indice di revisione né data di entrata in vigore, che ID02 Gestione documenti e registrazioni §4.1.6 prescrive.
Contraddizioni interne o con altri documenti
Fascicolo privacy prescritto e non identificato. Le istruzioni operative impongono la conservazione della lettera sottoscritta nel "fascicolo privacy". Né ID02 Gestione documenti e registrazioni, che stabilisce luoghi e tempi di archiviazione delle registrazioni, né il censimento dei moduli contengono una raccolta con quel nome o con quell'oggetto. Il rilievo è R-131.
Formazione periodica promessa e non programmata. La lettera dichiara che il titolare provvederà alla formazione periodica sulla protezione dei dati. Il foglio 2026 del modulo m05, piano di formazione, non contiene righe, e il registro m21 non riporta corsi sulla materia, come rilevato in Censimento dei moduli e delle registrazioni. Il rilievo è R-133.
Denominazione della sede legale. La lettera indica "Via Angelo Carlo Fumagalli n. 6". Il Regolamento sugli strumenti informatici e l'informativa ai dipendenti, dello stesso pacchetto, indicano "Via Angelo Fumagalli n. 6". Il rilievo è R-134.