Guida alla Contestualizzazione per il GDPR tecniche siano riesaminate e aggiornate qualora necessario (DP-ID.AM-7-02). Il controllo DPID.AM-7-03 assegna al titolare del trattamento la responsabilità circa la definizione ed attuazione di politiche adeguate in materia di protezione dei dati personali. Il controllo DP-ID.AM7-04 riguarda invece i rappresentanti dei titolari o dei responsabili dei trattamenti. Esso richiede che i titolari e i responsabili non stabiliti nell’Unione che effettuano trattamenti riguardanti l’offerta di beni o servizi a interessati che si trovano nell’Unione o il monitoraggio del comportamento degli stessi, designino un rappresentante stabilito nell’Unione (in uno degli Stati membri in cui si trovano gli interessati i cui dati personali sono trattati). Il controllo DPID.AM-7-05 assegna al titolare la responsabilità circa la definizione di ruoli e responsabilità del responsabile del trattamento e specifica che ciò debba avvenire per mezzo di un contratto o altro atto giuridico. Il controllo DP-ID.AM-7-06 impone che chiunque abbia accesso a dati personali (inclusi il responsabile del trattamento e chiunque agisca sotto la sua responsabilità) non possa trattare dati personali se non è istruito in tal senso dal titolare del trattamento. Il controllo DP-ID.AM-7-07 riguarda invece i contitolari del trattamento. In particolare, specifica che questi debbano definire, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal Regolamento. I successivi tre controlli riguardano il responsabile della protezione dei dati (Data Protection Officer, DPO). In particolare, essi specificano che il titolare e il responsabile del trattamento devono nominare un responsabile della protezione dei dati in funzione delle sue qualità professionali (DP-ID.AM-7-08), definendo i suoi compiti e le sue funzioni (vedi art. 39 del Regolamento), che esso è tenuto a svolgere in piena autonomia ed indipendenza ed in assenza di conflitti di interesse, e coinvolgendolo in tutte le questioni riguardanti la protezione dei dati personali (DP-ID.AM-7-10). Inoltre, i suoi dati di contatto devono essere pubblicati e comunicati all'autorità di controllo (DP-ID.AM-7-09). Infine, gli ultimi due controlli assegnano al titolare del trattamento la responsabilità circa l’adozione di adeguate misure tecniche e organizzative atte a garantire i principi di protezione dei dati fin dalla progettazione (DP-ID.AM-7-11) e per impostazione predefinita (DP-ID.AM-7-12). FUNCTION CATEGORY IDENTIFY (ID) Asset Management (ID.AM) SUBCATEGORY DP-ID.AM-7: Sono definiti e resi noti ruoli e responsabilità inerenti al trattamento e la protezione dei dati personali per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner) RIFERIMENTI CONTROLLI GDPR DP-ID.AM-7-01: Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattaArt. 24(1) mento è effettuato conformemente al Regolamento. DP-ID.AM-7-02: Il titolare del trattamento riesamina e aggiorna le misure tecniArt. 24(1) che di cui al controllo DP-ID.AM-7-01 qualora necessario. DP-ID.AM-7-03: Il titolare del trattamento definisce ed attua politiche adeguate Art. 24(2) in materia di protezione dei dati personali. DP-ID.AM-7-04: Qualora il trattamento riguardi l’offerta di beni o servizi a interessati che si trovano nell’Unione o il monitoraggio del comportamento degli stessi, il titolare del trattamento o il responsabile del trattamento, se non stabiArt. 27(1),(3) lito nell’Unione, designa per iscritto un rappresentante nell'Unione, in uno degli Stati membri in cui si trovano gli interessati. DP-ID.AM-7-05: Il titolare del trattamento definisce, nell'ambito di un contratto o altro atto giuridico, i ruoli e le responsabilità dei responsabili del trattamento. Art. 28 29