Il Verbale del Consiglio di Amministrazione per la nomina del responsabile privacy è il documento formale con cui l’organo collegiale di una società o ente prende atto e delibera la designazione di un soggetto incaricato della protezione dei dati personali, sia esso nominato quale Responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR) oppure quale Responsabile della protezione dei dati (DPO) ai sensi degli artt. 37–39 GDPR. Il verbale registra le premesse normative e organizzative, la delibera di nomina con i dati identificativi del nominato, la decorrenza e durata dell’incarico, l’ambito e i compiti attribuiti, le garanzie di autonomia e l’atto di accettazione del nominato, e costituisce prova dell’atto decisionale e del conferimento ufficiale dell’incarico.
Fac simile Verbale CDA nomina responsabile privacy Word
In questa sezione è possibile trovare il modello Verbale CDA nomina responsabile privacy Word.
Esempio Verbale CDA nomina responsabile privacy
Società/Ente: ___________________________________________________________
Sede: _________________________________________________________________
Data: _________________________________________________________________
Ora: _________________________________________________________________
Luogo della riunione: __________________________________________________Presenti:
– Presidente: _________________________________________________________
– Consiglieri: ________________________________________________________
– Segretario verbalizzante: _____________________________________________
Assenti giustificati: ___________________________________________________
Oggetto: Nomina del Responsabile della protezione dei dati (DPO) / Nomina del Responsabile del trattamento dei dati personali
Tutto ciò premesso
– Vista la normativa vigente in materia di protezione dei dati personali, in particolare il Regolamento (UE) 2016/679 (GDPR) e, ove applicabile, il d.lgs. 196/2003 e ss.mm.ii.;
– Considerata la necessità di assicurare la conformità alle disposizioni del GDPR e di presidiare gli adempimenti connessi al trattamento dei dati personali nell’ambito delle attività svolte dalla Società/Ente;
– Richiamate le eventuali precedenti delibere del Consiglio relative a nomine o incarichi in materia di privacy: delibera n. ______________ del ______________;
– Preso atto delle valutazioni esposte dal Presidente/Amministratore Delegato _____________________________________________________;
Il Consiglio, all’unanimità / a maggioranza (barrare la voce che interessa) dei presenti
DELIBERA
1) Di nominare quale:
– (barrare la voce che interessa)
– Responsabile della protezione dei dati (DPO/RPD) ai sensi degli artt. 37-39 del Regolamento (UE) 2016/679 (GDPR);
– Responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR).
Nome e dati del nominato:
Nome e Cognome / Ragione sociale: ________________________________________
Codice fiscale / Partita IVA: _____________________________________________
Sede legale / Residenza: ________________________________________________
Qualifica / Incarico (es. DPO interno, consulente esterno, fornitore): _________
Recapiti (telefono / e-mail): _____________________________________________
2) Decorrenza e durata dell’incarico
– Decorrenza dell’incarico: dal ______________
– Durata: fino al ______________ / sino a revoca / per la durata di ______________ (specificare)
– Eventuali condizioni di proroga o revoca: ________________________________
3) Ambito dell’incarico e trattamenti oggetto della nomina
– L’incarico riguarda i trattamenti effettuati per le finalità di: _______________
(es. amministrazione del personale, gestione clienti/fornitori, contabilità, marketing, sicurezza, ecc.)
– Categorie di dati trattati: _____________________________________________
(es. dati anagrafici, fiscali, dati bancari, dati di salute, dati dei dipendenti, dati dei fornitori)
– Operazioni di trattamento comprese nella nomina: raccolta, registrazione, organizzazione, conservazione, consultazione, estrazione, uso, comunicazione, rettifica, cancellazione, diffusione, ecc.
4) Compiti e funzioni attribuiti (elenco esemplificativo e non esaustivo)
Se Responsabile del trattamento (art. 28 GDPR):
– Trattare i dati esclusivamente per le finalità indicate dal titolare e conformemente alle istruzioni ricevute;
– Adottare adeguate misure tecniche e organizzative ai sensi dell’art. 32 GDPR per garantire la sicurezza dei dati;
– Assistere il titolare nell’esercizio dei diritti degli interessati (artt. 15–22, 34 GDPR);
– Custodire e rispettare le condizioni per l’eventuale coinvolgimento di sub-responsabili (art. 28, par. 2 e 4);
– Tenere aggiornato un registro delle operazioni di trattamento svolte per conto del titolare, ove applicabile;
– Segnalare tempestivamente al titolare eventuali violazioni dei dati personali (data breach) e fornire supporto nelle relative comunicazioni e adempimenti;
Se DPO / RPD (artt. 37–39 GDPR):
– Informare e fornire consulenza al titolare e al personale sugli obblighi derivanti dal GDPR e dalla normativa nazionale;
– Sorvegliare l’osservanza del GDPR e delle politiche interne, inclusi la valutazione delle necessità di DPIA, la formazione e la sensibilizzazione del personale, e gli audit periodici;
– Fornire pareri e partecipare alle consultazioni relative alla valutazione d’impatto sulla protezione dei dati (DPIA) e verificare la sua esecuzione;
– Cooperare con l’Autorità Garante per la protezione dei dati personali e fungere da punto di contatto per le questioni connesse al trattamento;
– Segnalare al vertice aziendale eventuali criticità e proporre misure correttive;
– Mantenere un rapporto di autonomia e indipendenza nello svolgimento delle proprie funzioni, senza ricevere istruzioni per l’esecuzione delle stesse.
5) Garanzie di autonomia e assenza di conflitti (solo per DPO)
– Il Consiglio prende atto che il nominato dichiara di poter svolgere le funzioni di DPO con piena autonomia e indipendenza, senza conflitti di interesse derivanti da altri ruoli ricoperti, come dettagliato nella dichiarazione allegata: ______________
6) Obblighi e responsabilità del titolare
– Si precisa che il titolare del trattamento resta responsabile della conformità complessiva dei trattamenti e della corretta gestione dei dati, anche se affida specifiche attività a un responsabile esterno;
– Il titolare si impegna a mettere a disposizione del DPO le risorse necessarie all’adempimento dei compiti (tempo, supporto organizzativo, accesso alle informazioni e alla documentazione).
7) Formalizzazione dell’incarico
– Si incarica il Legale Rappresentante / l’Amministratore Delegato ______________ di sottoscrivere, a nome della Società/Ente, il relativo atto di nomina / contratto / accordo di incarico, con allegato il dettaglio delle istruzioni operative, misure tecniche e organizzative richieste e livelli di servizio, da redigersi in conformità all’art. 28 GDPR e, per il DPO, allo schema di atto indicato dall’Autorità Garante, e da allegare al presente verbale come Allegato A.
8) Accettazione dell’incarico
– Il nominato dichiara di accettare l’incarico alle condizioni sopra indicate e si impegna a svolgere le funzioni attribuite in conformità al GDPR e alla normativa vigente.
Dichiarazione di accettazione (da sottoscrivere):
Il/La sottoscritto/a _____________________________________________________ dichiara di accettare l’incarico conferito e di impegnarsi a rispettare gli obblighi previsti dalle normative applicabili.
Luogo e data: _________________________________________________________
Firma del nominato: ___________________________________________________
9) Designazione referente interno
– Il Consiglio designa quale referente interno per i rapporti con il DPO/Responsabile del trattamento: Nome e qualifica: ___________________________________________________
Compiti del referente: coordinamento operativo, supporto nelle comunicazioni, gestione delle richieste interne, ecc.
10) Ulteriori adempimenti deliberati
– Aggiornamento dell’informativa privacy e pubblicazione della medesima: responsabilità a ____________________________________________________
– Aggiornamento del Registro dei trattamenti: responsabilità a _______________________________________________________
– Programma di formazione del personale: responsabile ________________________________________________________________
– Altri interventi di adeguamento previsti: ________________________________________________________________
11) Allegati
– Allegato A: Atto di nomina / Contratto di incarico dettagliato;
– Allegato B: Dichiarazione di assenza di conflitti di interesse del nominato (se DPO);
– Allegato C: Informativa ai dipendenti/interessati (bozza);
– Altri allegati: ________________________________________________________
La presente deliberazione viene approvata e sottoscritta come verbale della riunione.
Letto, confermato e sottoscritto.
Firma del Presidente del CDA: ___________________________________________
Firma del Segretario verbalizzante: _____________________________________
Firma del Legale Rappresentante (per presa d’atto e autorizzazione alla sottoscrizione dell’atto di nomina): __________________________________________________
Data di registrazione: __________________________________________________
Eventuali note / osservazioni: ___________________________________________
Come compilare il Verbale CDA nomina responsabile privacy
La redazione del verbale deve seguire una logica documentale e una precisione giuridica tali da rendere immediatamente comprensibile la scelta del Consiglio e i limiti dell’incarico conferito. In apertura è opportuno indicare chiaramente l’intestazione della società o dell’ente, luogo, data e ora della riunione e la composizione del Consiglio, con i nominativi del Presidente, dei consiglieri presenti e del segretario verbalizzante; l’indicazione delle eventuali assenze giustificate è rilevante per la validità delle deliberazioni.
Nelle premesse si richiama la cornice normativa: il Regolamento (UE) 2016/679 e, se pertinente, la normativa nazionale di riferimento, evidenziando la necessità aziendale o istituzionale che giustifica la nomina, eventuali verifiche svolte e richiami a precedenti delibere. La parte dispositiva deve contenere una formulazione netta e inequivocabile della delibera: specificare se si nomina il Responsabile del trattamento ai sensi dell’art. 28 GDPR o il DPO ai sensi degli artt. 37–39 GDPR, riportando i dati identificativi completi del nominato, compresi codice fiscale o partita IVA, sede e recapiti e la qualifica (DPO interno, consulente esterno, fornitore, ecc.).
È fondamentale indicare la decorrenza e la durata dell’incarico, oppure stabilire che l’incarico è conferito “fino a revoca”, e precisare eventuali condizioni di proroga, termini e motivi di possibile revoca. Il verbale deve descrivere con sufficiente dettaglio l’ambito dell’incarico: le finalità per le quali il nominato è autorizzato a operare, le categorie di dati interessate e le tipologie di operazioni di trattamento consentite, in modo da circoscrivere il perimetro di responsabilità e gli obblighi di interoperabilità con il titolare.
Per quanto riguarda le funzioni e i compiti, il verbale deve riportare le principali responsabilità previste dalla norma: per il responsabile del trattamento l’obbligo di trattare i dati secondo le istruzioni del titolare, l’adozione di misure tecniche e organizzative conformi all’art. 32 GDPR, la collaborazione nelle richieste degli interessati e la gestione dei sub-responsabili; per il DPO la consulenza, il monitoraggio dell’osservanza del GDPR, il supporto nelle DPIA, le attività di formazione e audit e il ruolo di punto di contatto con l’Autorità Garante.
Quando si nomina un DPO è essenziale inserire una presa d’atto sulla sua autonomia e indipendenza, con la dichiarazione dell’assenza di conflitti di interesse e l’impegno dell’ente a garantire le risorse necessarie e il non ricevimento di istruzioni relative all’esercizio delle funzioni del DPO. Il verbale deve altresì richiamare che la nomina non esonera il titolare dalla responsabilità generale della gestione dei trattamenti e deve prevedere il rinvio a un atto di nomina o contratto allegato che disciplini in dettaglio le istruzioni operative, le misure di sicurezza richieste, i livelli di servizio, le modalità di segnalazione di data breach e gli obblighi di rendicontazione.
È buona prassi designare nel medesimo verbale un referente interno che svolga funzioni operative di raccordo con il DPO o il responsabile del trattamento e prevedere gli adempimenti connessi quali l’aggiornamento dell’informativa, l’aggiornamento del Registro dei trattamenti e la pianificazione di formazione specifica per il personale. Infine il verbale deve includere l’accettazione formale dell’incarico da parte del nominato, con firma e data, e l’elenco degli eventuali allegati (atto di nomina, dichiarazione di assenza di conflitti, bozza di informativa, contratto) che costituiscono parte integrante della delibera; tale completezza documentale è necessaria per dimostrare la conformità procedurale e sostanziale alle prescrizioni del GDPR in caso di verifiche o contenziosi.
