Dal 25 maggio quando il comune stipulerà un contratto di fornitura di servizi o beni in cui siano coinvolti i dati personali di cui sia titolare, dovrà prevedere un’apposita clausola contrattuale in cui si “nomina” il fornitore come “responsabile del trattamento” e gli si danno le “consegne” relative a questa nomina.

Vediamo come potrebbe essere questa clausola:

Art. xx – Responsabile del trattamento

Il fornitore con la sottoscrizione del presente contratto, ai sensi dell’art. 28 e seguenti del Regolamento generale sulla protezione dei dati ( RGPD - UE-2016/679), viene nominato “Responsabile del trattamento” dei seguenti dati personali che gli vengono o gli verranno consegnati dall’amministrazione comunale:

• Dettagliare i dati che vengono consegnati

Il fornitore nell’esecuzione del contratto e nello svolgimento della funzione di Responsabile del trattamento, dovrà applicare, in materia di riservatezza dei dati personali tutte le disposizioni del citato RGPD e del vigente Codice della privacy (D.lgs. 196/2003), anche con riferimento alle norme sull’adozione di adeguate misure di sicurezza per prevenire la violazione o la perdita dei suddetti dati.

(Qualora il trattamento sia eseguito anche con modalità informatiche o telematiche) L’amministrazione comunale raccomanda in particolare al fornitore l’adozione delle misure minime di sicurezza ICT per le pubbliche amministrazioni, contenute nella circolare AGID n.2 del 18 aprile 2017, pubblicata sulla GU - Serie generale - n. 103 del 05/05/2017. Qualora i parametri di sicurezza ivi contenuti non dovessero essere applicati, previa diffida ad adempiere in 30 giorni, l’inadempimento potrà essere ragione di risoluzione del presente contratto.

L’amministrazione comunale rimane “proprietaria” dei dati e titolare dei relativi trattamenti; anche qualora gli stessi dati siano, in virtù della fornitura, modificati o integrati e al termine del contratto gli stessi dovranno essere restituiti integralmente, nello stato di fatto dell’elaborazione fino a quel momento eseguita, e contestualmente distrutti in ogni copia dal fornitore. (NB. Qui si potrebbe anche prevedere un periodo in cui il fornitore, dopo l’esecuzione del contratto, debba mantenere una copia di sicurezza dei dati, fin quando il nuovo responsabile o il titolare stesso non siano pienamente operativi).