Nomine Gestione della generazione, firma e archiviazione degli atti di nomina obbligatori previsti dal GDPR. ### 1. Cos'è la sezione Nomine La sezione **Nomine** gestisce la generazione, la firma e l'archiviazione degli atti di nomina obbligatori previsti dal GDPR. Per ciascuna figura giuridica rilevante, GDPRLab fornisce un template precompilato con i dati dell'organizzazione, pronto per essere personalizzato, firmato e conservato nel repository con impronta SHA-256 certificata. Si accede cliccando su **Nomine** nel menu laterale sinistro. ### 2. Struttura della pagina La pagina mostra una griglia di schede (card), una per ogni tipo di nomina disponibile. Ogni card riporta: * Titolo della nomina. * Indicazione se la nomina è obbligatoria o non obbligatoria secondo GDPR. * Badge di stato: **Non compilata (grigio)** – indica che la nomina non è ancora stata generata e firmata. * Freccia › per accedere alla scheda dettaglio della nomina. In alto a destra nella pagina è presente il pulsante **Firma in Presenza**, che avvia il flusso di firma fisica in presenza per tutte le nomine in attesa. ### 3. Meccanismo comune a tutte le nomine Ogni nomina segue lo stesso flusso operativo: 1. Aprire la scheda della nomina cliccando sulla card. 2. Compilare i dati specifici richiesti dal form (dati del nominato, dell'azienda, ecc.). 3. Cliccare **Aggiorna** per rigenerare il Corpo della Lettera con i dati inseriti. 4. Verificare il testo generato nell'editor (modificabile con la barra degli strumenti H1/H2/H3, allineamento, tabelle, codice). 5. Firmare il documento tramite *Firma in Presenza* oppure tramite invio per *firma remota*. 6. La lettera firmata viene salvata nel repository con hash SHA-256 certificata. > **Nota operativa:** Il badge "Non generata" in verde nella modale indica che la nomina non è ancora stata prodotta e firmata. Dopo la firma il badge cambia stato. Il pulsante **Aggiorna** è essenziale: va cliccato ogni volta che si modificano i dati nel form per aggiornare il testo della lettera prima della firma. > > **Nota operativa:** Il testo del Corpo della Lettera è editabile tramite l'editor integrato. Le variabili dinamiche (es. `{{NOME_AZIENDA}}`, `{{SEDE_LEGALE}}`, `{{PIVA_AZIENDA}}`) vengono sostituite automaticamente con i dati dell'organizzazione configurati nella sezione Azienda. Non modificare le variabili tra doppie graffe a meno che non sia strettamente necessario. --- ### 4. Tipologie di nomine disponibili #### 4.1 Titolare del trattamento | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria | | **Base normativa** | Art. 4, par. 7 e art. 24 GDPR | | **Dati richiesti nel form** | Nessun dato aggiuntivo specifico – il template si precompila automaticamente con i dati dell'organizzazione (Ragione Sociale, Sede Legale, P.IVA, Legale Rappresentante) | | **Cosa viene generato** | Atto di individuazione e nomina del Titolare del Trattamento dei dati personali | > **Nota operativa:** Questa nomina identifica formalmente l'organizzazione come Titolare del Trattamento. È il documento di base da cui discendono tutte le altre nomine. Generarla e firmarla per prima. #### 4.2 Contitolare del trattamento | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria (quando ricorre il caso) | | **Base normativa** | Art. 26 GDPR | | **Struttura del form** | Due sezioni affiancate: Azienda 1 (da compilare) e Azienda 2 (precompilata con i dati dell'organizzazione corrente) | | **Dati Azienda 1** | Ragione Sociale, Sede Legale, P.IVA/CF, Legale Rappresentante, CCIAA, N. REA, Email Contatto | | **Dati Accordo** | Descrizione Attività Congiunta (obbligatorio), Finalità del Trattamento (obbligatorio) | | **Cosa viene generato** | Accordo di contitolarità del trattamento tra le due organizzazioni | > **Nota operativa:** La contitolarità ricorre quando due o più organizzazioni determinano congiuntamente le finalità e i mezzi del trattamento. Non confondere con il Responsabile del Trattamento (art. 28): in quel caso le finalità sono determinate dal Titolare, non condivise. Compilare la sezione Dati dell'Accordo con precisione: la descrizione delle attività congiunte qualifica la natura della contitolarità. #### 4.3 Amministratore di Sistema (AdS) | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria | | **Base normativa** | Provvedimento del Garante del 27 novembre 2008 (e successive modifiche 25 giugno 2009) | | **Dati richiesti nel form** | Nome \*, Cognome \*, Codice Fiscale \*, Email \* dell'Amministratore di Sistema designato | | **Cosa viene generato** | Atto di nomina ad Amministratore di Sistema ai sensi del Regolamento UE 2016/679 e dei Provvedimenti del Garante | > **Nota operativa:** L'Amministratore di Sitema è la figura che gestisce i sistemi informatici dell'organizzazione e ha accesso privilegiato ai dati. La sua nomina è obbligatoria per legge e deve essere accompagnata dall'elenco delle attività svolte. Il Codice Fiscale è obbligatorio per identificare univocamente il nominato nell'atto. #### 4.4 Data Protection Officer (DPO) | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina non obbligatoria per tutte le organizzazioni (obbligatoria nei casi previsti dall'art. 37 GDPR) | | **Base normativa** | Artt. 37, 38 e 39 GDPR | | **Accesso** | Cliccando sulla card DPO si apre una modale di scelta tra due opzioni | La modale DPO presenta due percorsi distinti: | Opzione | Descrizione | Quando usarla | | :--- | :--- | :--- | | **Crea Lettera di Nomina DPO** | Genera e firma la lettera di nomina del Data Protection Officer. Richiede: Nome \*, Cognome \*, Codice Fiscale \*, Email \* del DPO designato | Quando l'organizzazione nomina un DPO (obbligatorio o volontario) | | **Dichiarazione di Non Obbligatorietà** | Genera la dichiarazione che attesta che l'organizzazione non è tenuta alla nomina obbligatoria del DPO ai sensi dell'art. 37 GDPR. Il testo è editabile e include i motivi di esclusione previsti dalla normativa | Quando l'organizzazione non rientra nei casi di nomina obbligatoria e vuole documentare questa valutazione | > **Nota operativa:** La Dichiarazione di Non Obbligatorietà è un documento fortemente raccomandato anche per le organizzazioni che non sono obbligate a nominare il DPO: dimostra che la valutazione è stata fatta consapevolmente e documentata. Usare i pulsanti *Genera Anteprima* (per verificare il documento) e *Salva nel Repository* per archiviarlo con hash SHA-256. #### 4.5 Responsabile del trattamento interno | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria | | **Base normativa** | Art. 28 GDPR | | **Dati richiesti nel form** | Nome \*, Cognome \*, Codice Fiscale \*, Email \* del Responsabile designato | | **Cosa viene generato** | Atto di nomina a Responsabile del Trattamento dei Dati Personali (ai sensi dell'art. 28 GDPR) per soggetti interni all'organizzazione | > **Nota operativa:** Questa nomina si utilizza per i soggetti interni all'organizzazione (dipendenti o collaboratori) che assumono formalmente il ruolo di Responsabile del Trattamento per specifiche attività. Distinguere dalla nomina del Responsabile del trattamento esterno che riguarda soggetti giuridici terzi. #### 4.6 Responsabile del trattamento esterno | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria | | **Base normativa** | Art. 28 GDPR | | **Selezione rapida** | Menu a tendina "Seleziona per precompilare": permette di scegliere un Responsabile Esterno già censito nella sezione Responsabili Esterni, precompilando automaticamente tutti i campi anagrafici | | **Dati richiesti** | Ragione sociale \*, Via \*, CAP \*, Provincia \*, Città \*, Codice fiscale/P.IVA \*, Email \*, Descrizione attività | | **Cosa viene generato** | Atto di nomina a Responsabile del Trattamento per soggetti giuridici terzi (aziende, enti, fornitori) | > **Nota operativa:** Il menu "Seleziona per precompilare" è il metodo più efficiente: se il Responsabile Esterno è già stato censito nella sezione Responsabili Esterni, la selezione precompila automaticamente tutti i campi anagrafici. Censire prima i fornitori in Responsabili Esterni, poi generare le nomine da questa sezione. #### 4.7 Sub-responsabile del trattamento | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria | | **Base normativa** | Art. 28, par. 2 e 4 GDPR | | **Dati richiesti nel form** | Nome \*, Cognome \*, Codice Fiscale \*, Email \* del Sub-Responsabile designato | | **Cosa viene generato** | Atto di nomina a Responsabile del Trattamento (struttura analoga alla nomina del Responsabile interno, applicata al sub-responsabile) | > **Nota operativa:** Il Sub-responsabile del trattamento è il soggetto a cui il Responsabile del Trattamento (art. 28) affida a sua volta alcune attività di trattamento, previo consenso scritto del Titolare. Ricorre tipicamente quando un fornitore (Responsabile) si avvale di un sub-fornitore (Sub-responsabile) che accede ai dati personali. #### 4.8 Responsabile interno della gestione dell'impianto di videosorveglianza | Attributo | Valore | | :--- | :--- | | **Obbligatorietà** | Nomina obbligatoria (per le organizzazioni che gestiscono impianti TVCC) | | **Base normativa** | GDPR art. 32, Provvedimento Garante videosorveglianza, Linee guida EDPB 3/2019 | | **Dati richiesti nel form** | Nome \*, Cognome \*, Ruolo aziendale \* (es. Responsabile Sicurezza), Codice Fiscale, Email | | **Cosa viene generato** | Atto di designazione del Responsabile interno della gestione dell'impianto di videosorveglianza, incluso l'atto di designazione e l'allegato mansionario | > **Nota operativa:** Questa nomina è necessaria ogni volta che l'organizzazione gestisce un impianto di videosorveglianza (TVCC/CCTV) in locali aziendali. Il campo Ruolo aziendale è obbligatorio e deve rispecchiare la posizione effettiva della persona nell'organigramma. La lettera include l'allegato mansionario che descrive le responsabilità specifiche della gestione dell'impianto. --- ### 5. Riepilogo nomine per obbligatorietà | Nomina | Obbligatoria | Art. di riferimento | | :--- | :--- | :--- | | **Titolare del trattamento** | Sì | Art. 4 par. 7, art. 24 GDPR | | **Contitolare del trattamento** | Sì (se ricorre il caso) | Art. 26 GDPR | | **Amministratore di Sistema** | Sì | Provv. Garante 27/11/2008 | | **Data Protection Officer (DPO)** | Solo nei casi art. 37 GDPR | Artt. 37–39 GDPR | | **Responsabile del trattamento interno** | Sì | Art. 28 GDPR | | **Responsabile del trattamento esterno** | Sì | Art. 28 GDPR | | **Sub-responsabile del trattamento** | Sì (se ricorre il caso) | Art. 28 par. 2 e 4 GDPR | | **Resp. gestione impianto videosorveglianza** | Sì (se gestisce TVCC) | GDPR art. 32, Provv. Garante TVCC | --- ### 6. Firma e archiviazione Ogni nomina generata può essere firmata tramite due modalità: | Modalità | Descrizione | | :--- | :--- | | **Firma in Presenza** | Disponibile tramite il pulsante in alto a destra nella pagina Gestione Nomine. Avvia il flusso di firma fisica: il documento viene mostrato a schermo per la firma contestuale. | | **Firma da editor** | Il documento può essere generato in anteprima e salvato nel repository per poi essere firmato successivamente. | Tutte le nomine firmate vengono archiviate nel repository documentale della piattaforma con impronta SHA-256 certificata, che garantisce l'integrità e la non alterabilità del documento nel tempo. > **Nota operativa:** La Dichiarazione di Non Obbligatorietà DPO (caso specifico) dispone dei pulsanti Genera Anteprima e Salva nel Repository direttamente nella modale, senza passare dal flusso standard di firma. --- ### 7. Workflow consigliato 1. Compilare prima la sezione **Azienda** con tutti i dati anagrafici completi (verranno usati come variabili nei template). 2. Generare e firmare la nomina **Titolare del trattamento** (documento base da cui discendono le altre). 3. Generare la nomina **Amministratore di Sistema** per il/i referente/i IT. 4. Valutare l'obbligatorietà del DPO: generare la nomina DPO oppure la *Dichiarazione di Non Obbligatorietà*. 5. Generare le nomine **Responsabile interno** per i referenti interni designati. 6. Censire i fornitori in **Responsabili Esterni**, poi generare le nomine *Responsabile esterno* per ciascuno. 7. Se presenti impianti TVCC: generare la nomina **Responsabile gestione videosorveglianza**. 8. Verificare che tutte le nomine obbligatorie abbiano stato diverso da "Non compilata". --- ### 8. Relazioni con altre sezioni | Sezione | Come usa i dati Nomine | | :--- | :--- | | **Azienda** | I dati anagrafici (Ragione Sociale, Sede Legale, P.IVA, Legale Rappresentante) vengono usati come variabili nei template delle nomine | | **Organigramma** | I nominativi delle persone inserite nell'organigramma possono essere selezionati per le nomine interne | | **Responsabili Esterni** | I Responsabili Esterni censiti vengono precompilati nella nomina Responsabile del trattamento esterno | | **Repository** | Tutte le nomine firmate vengono archiviate nel repository con hash SHA-256 | | **Registro Trattamenti** | Il Registro riporta le nomine dei Responsabili del Trattamento per ciascun trattamento |
