Un verbale del Consiglio di Amministrazione per l’approvazione della privacy formalizza la decisione dell’organo sociale di adottare o aggiornare le policy e le procedure necessarie per l’adeguamento al Regolamento (UE) 2016/679 (GDPR), documentando le motivazioni normative, i documenti allegati, le nomine (come il DPO o referente privacy) e gli incarichi operativi assegnati per l’attuazione delle misure di conformità.
Fac simile Verbale CDA per approvazione privacy Word
In questa sezione è possibile trovare il modello Verbale CDA per approvazione privacy Word.
Esempio Verbale CDA per approvazione privacy
VERBALE DEL CONSIGLIO DI AMMINISTRAZIONE
della Società: _____________
Sede legale: _____________
Partita IVA / C.F.: _____________
Iscrizione Registro Imprese / CCIAA: _____________
Numero protocollo: _____________
Numero delibera: _____________
Data della riunione: _____________
Luogo della riunione: _____________
Ora inizio: _____________
Ora fine: _____________
Presenti:
– Presidente: _____________
– Consiglieri presenti: _____________
– Consiglieri assenti: _____________
– Eventuali deleghe: _____________
Assume la presidenza dell’adunanza il Sig./la Sig.ra _____________ e funge da segretario il Sig./la Sig.ra _____________, ai sensi dello statuto.
Ordine del giorno:
1) Adeguamento della Società al Regolamento (UE) 2016/679 (GDPR) e approvazione della Privacy Policy aziendale e delle informative;
2) Approvazione del Registro dei Trattamenti e delle procedure interne (data breach, gestione diritti degli interessati);
3) Approvazione delle misure tecniche e organizzative per la protezione dei dati;
4) Nomina / conferma del Data Protection Officer (DPO) o referente privacy interno;
5) Presa d’atto degli adempimenti svolti e pianificazione delle attività di aggiornamento e formazione;
6) Ogni altro provvedimento connesso e consequenziale.
Premessa
Il Presidente ricorda che il Regolamento (UE) 2016/679 (General Data Protection Regulation – GDPR) impone al titolare del trattamento obblighi in materia di protezione dei dati personali, tra cui l’adozione di misure tecniche e organizzative adeguate, la tenuta del registro dei trattamenti, la predisposizione di informative agli interessati e la nomina, ove necessario, del Data Protection Officer (artt. 24, 30, 37 e ss. del Regolamento). Considerata la necessità di adeguare la Società alle suddette disposizioni normative e alle linee guida del Garante per la protezione dei dati personali, sono stati predisposti i documenti allegati al presente verbale.
Documenti presentati e illustrati
– Privacy Policy aziendale (allegato A): contenente finalità e basi giuridiche dei trattamenti, categorie di dati trattati, tempi di conservazione, diritti degli interessati e modalità di esercizio;
– Informative per clienti, dipendenti, fornitori e utenti del sito web (allegato B);
– Registro dei Trattamenti (allegato C), con mappatura dei processi e valutazione preliminare dei rischi;
– Procedure interne: gestione data breach, procedura per esercizio diritti degli interessati, criteri di conservazione e cancellazione (allegato D);
– Relazione sulle misure tecniche e organizzative adottate (backup, cifratura, controllo accessi, policy password, formazione del personale) (allegato E);
– Bozza di incarico per il DPO / referente privacy (allegato F).
Si prende atto che la documentazione sopra elencata è stata illustrata dal Sig./Sig.ra _____________, Responsabile Privacy / Consulente esterno _____________, che ha risposto alle osservazioni dei Consiglieri, evidenziando conformità rispetto ai principi di liceità, correttezza, trasparenza, minimizzazione e integrità/confidenzialità previsti dal Regolamento (UE) 2016/679 e richiamando le linee guida del Garante.
Discussione
I membri del Consiglio esaminano i documenti allegati, formulano osservazioni relativamente a: ambiti di comunicazione a terzi, durata delle conservazioni, procedure di controllo degli accessi e formazione obbligatoria per il personale. Si discute inoltre della necessità di prevedere aggiornamenti periodici del registro dei trattamenti e di adottare misure di limitazione della pubblicazione online di dati personali, in conformità alle indicazioni del Garante.
Delibera
Il Consiglio di Amministrazione, riunito in seduta regolarmente costituita e, esaminata la documentazione sopra riportata, udita la relazione del Presidente e del Responsabile Privacy / consulente esterno:
Delibera quanto segue:
1) Di approvare, ai sensi del Regolamento (UE) 2016/679, la Privacy Policy aziendale come da allegato A, nonché le informative per clienti, dipendenti, fornitori e utenti del sito web come da allegato B;
2) Di approvare il Registro dei Trattamenti come da allegato C e di dare mandato al Responsabile Privacy di aggiornarlo tempestivamente ogni qualvolta si verifichino modifiche nei trattamenti o nelle misure di tutela;
3) Di approvare le procedure interne per la gestione dei data breach, per la gestione delle richieste degli interessati e per la conservazione/cancellazione dei dati, come da allegato D;
4) Di prendere atto e approvare le misure tecniche e organizzative illustrate nella relazione allegata (allegato E) e di incaricare l’Amministratore Delegato / Direttore operativo di porre in essere gli interventi necessari per l’implementazione di tali misure;
5) Di nominare / confermare quale Data Protection Officer (DPO) / referente privacy interno il Sig./la Sig.ra _____________, con studio/sede in _____________, per la durata dell’incarico di _____________ anni/mesi, con decorrenza dal _____________, secondo quanto previsto dalla bozza di incarico allegata (allegato F). In alternativa, di incaricare il responsabile interno Sig./Sig.ra _____________ come referente privacy con i compiti e la durata indicati nell’allegato F;
6) Di affidare al DPO / referente privacy l’onere di curare i rapporti con l’Autorità di controllo, nonché l’attuazione e il monitoraggio delle misure di conformità e la predisposizione dei piani di formazione per il personale;
7) Di prendere atto, ai sensi del punto 5 dell’ordine del giorno, delle attività già svolte e delle misure di adeguamento programmate (mappatura dei trattamenti, revisione delle informative, implementazione di misure di sicurezza informatica) e di confermare che tali attività sono conformi, a giudizio del Consiglio, ai principi del Regolamento (UE) 2016/679 e alle linee guida del Garante;
8) Di autorizzare la pubblicazione sul sito aziendale, all’interno della sezione privacy / trasparenza, esclusivamente dei documenti e dei dati strettamente necessari previsti dalla normativa e dalle linee guida del Garante, adottando tutte le cautele necessarie per evitare la diffusione di dati personali non pertinenti o eccedenti, prevedendo inoltre l’indicazione della data di aggiornamento e le modalità di richiesta di rimozione o limitazione della pubblicazione;
9) Di incaricare l’Amministratore Delegato / Direttore Operativo di porre in essere tutti gli adempimenti operativi e contrattuali necessari per l’attuazione delle presenti delibere, compresa l’eventuale stipula di contratti con responsabili esterni del trattamento e l’aggiornamento delle clausole contrattuali;
10) Di depositare il presente verbale e gli allegati negli appositi fascicoli aziendali e di inserirne copia nel registro delle delibere societarie.
Presa d’atto finale
Il Consiglio stabilisce che le attività di adeguamento saranno oggetto di verifica periodica e aggiornamento e che il Responsabile Privacy riferirà al Consiglio sullo stato di avanzamento degli adempimenti con cadenza _____________ (es. semestrale/annuale).
Pubblicità e trasparenza
Il Consiglio richiama l’attenzione sulla necessità di rispettare le indicazioni del Garante circa la pubblicazione online di atti e documenti, limitando la diffusione di dati personali ai soli elementi necessari e applicando le misure tecniche per ridurre l’indicizzazione da parte dei motori di ricerca, ove opportuno.
Null’altro essendovi da deliberare, la seduta viene tolta alle ore _____________.
Letto, approvato e sottoscritto.
Luogo e data: _____________
Il Presidente: _____________________________ Firma: _____________
Il Segretario: _____________________________ Firma: _____________
Consiglieri:
1) Nome e cognome: _________________________ Firma: _____________
2) Nome e cognome: _________________________ Firma: _____________
3) Nome e cognome: _________________________ Firma: _____________
(ulteriori firme se necessarie) _________________________ Firma: _____________
Allegati:
A) Privacy Policy aziendale – Allegato A
B) Informative per clienti/dipendenti/fornitori/sito web – Allegato B
C) Registro dei Trattamenti – Allegato C
D) Procedure interne (data breach, diritti interessati, conservazione) – Allegato D
E) Relazione misure tecniche e organizzative – Allegato E
F) Bozza incarico DPO / referente privacy – Allegato F
G) (Eventuali altri allegati) – Allegato G: _____________
Indicazioni per l’archiviazione:
– Collocazione fascicolo: _____________
– Scadenze per revisione documenti: _____________
Come compilare il Verbale CDA per approvazione privacy
La redazione del verbale deve seguire una logica giuridica e documentale che renda immediatamente verificabile la coerenza fra gli adempimenti approvati e gli obblighi previsti dal Regolamento (UE) 2016/679. In primo luogo il verbale deve contenere i dati identificativi della società e della riunione, con indicazione della sede legale, di eventuali riferimenti fiscali o di iscrizione al registro delle imprese, della data, dell’orario di inizio e di chiusura e dell’elenco dei partecipanti con eventuali deleghe: questi elementi costituiscono la premessa formale della validità della deliberazione. Nella premessa normativa è opportuno richiamare espressamente il GDPR e gli articoli rilevanti che giustificano l’intervento dell’organo sociale, argomentando brevemente la necessità aziendale di adeguamento e specificando i documenti predisposti a supporto della decisione. Il contenuto dell’ordine del giorno deve essere chiaro e puntuale, rimandando dove necessario agli allegati nominati nel verbale; l’indicazione degli allegati deve essere coerente con la parte deliberativa e con la documentazione effettivamente presentata in sede di CdA. La parte descrittiva del verbale deve sintetizzare le osservazioni rilevanti emerse in sede di discussione, con riferimento alle principali tematiche trattate quali basi giuridiche dei trattamenti, criteri di conservazione, misure tecniche e organizzative e modalità di gestione dei diritti degli interessati, evitando però di riportare ogni intervento in forma integrale salvo se necessario per ragioni probatorie. La delibera deve contenere una formulazione puntuale e operativa: occorre indicare con precisione l’approvazione delle singole policy e procedure, l’approvazione del Registro dei Trattamenti, le responsabilità attribuite e i mandati conferiti al Responsabile Privacy o al DPO per l’aggiornamento, il monitoraggio e il rapporto con l’autorità di controllo; quando si nomina un DPO è utile specificare i riferimenti del soggetto nominato, la durata dell’incarico, la decorrenza e il richiamo alla bozza d’incarico allegata che ne definisce compiti e poteri. Il verbale deve altresì prevedere una delega operativa agli amministratori esecutivi o ai dirigenti competenti per l’implementazione delle misure tecniche (ad esempio interventi su infrastrutture IT, contratti con responsabili esterni) e l’aggiornamento delle clausole contrattuali, con indicazione dei termini entro i quali tali attività devono essere svolte o rendicontate. Per quanto riguarda la pubblicazione online e la trasparenza, il testo deliberativo deve recepire le cautele indicate dal Garante: limitare la pubblicazione ai dati strettamente necessari, indicare la data di aggiornamento delle informazioni pubblicate, prevedere modalità di richiesta di rimozione o limitazione e adottare misure tecniche per ridurre l’indicizzazione ove opportuno. In chiusura il verbale va sottoscritto secondo quanto dispone lo statuto societario, con la firma del Presidente e del Segretario o del redattore del verbale, e va registrato nei fascicoli aziendali previsti, con protocollo e riferimenti di archiviazione che ne consentano la reperibilità e la tracciabilità temporale. È buona prassi inserire nel verbale l’impegno a verifiche periodiche e la cadenza dei report di avanzamento che il Responsabile Privacy dovrà fornire al Consiglio; prima della sottoscrizione definitiva è consigliabile una revisione legale o specialistica per verificare la coerenza del testo con la normativa vigente e con le linee guida del Garante, assicurando così che la deliberazione costituisca un documento operativo e difendibile in caso di verifiche esterne.
