30 Framework Nazionale per la Cybersecurity e la Data Protection DP-ID.AM-7-06: Il titolare del trattamento deve istruire tutti i soggetti che hanno accesso ai dati personali circa l'esecuzione dei compiti loro assegnati. DP-ID.AM-7-07: Nel caso di contitolarità del trattamento, i contitolari del trattamento definiscono, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza del Regolamento. DP-ID.AM-7-08: Il titolare del trattamento e il responsabile del trattamento designano, in funzione delle sue qualità professionali (conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati e capacità di assolvere i propri compiti), un responsabile della protezione dei dati (data protection officer - DPO). DP-ID.AM-7-09: Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all'autorità di controllo. DP-ID.AM-7-10: Il titolare o il responsabile del trattamento definiscono, nell'ambito dell'atto di designazione, compiti e funzioni che il DPO è tenuto a svolgere in piena autonomia ed indipendenza ed in assenza di conflitti di interesse, e lo coinvolgono in tutte le questioni riguardanti la protezione dei dati personali. DP-ID.AM-7-11: Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di protezione dei dati (ad esempio pseudonimizzazione, minimizzazione) fin dalla progettazione (data protection by-design). DP-ID.AM-7-12: Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate a garantire che siano trattati, per impostazione predefinita (data protection by-default), solo i dati personali necessari per ogni specifica finalità del trattamento. Art. 29 Art. 26 Art. 37 Art. 37(7) Artt. 38(3), 39 Art. 25(1) Art. 25(2) Registri delle attività di trattamento Questa area di indirizzo prevede un solo controllo (DP-ID.AM-8-01) che riguarda la tenuta dei registri delle attività di trattamento da parte del titolare del trattamento e del responsabile del trattamento. In particolare, occorrerà prestare la massima attenzione alle informazioni che il titolare e il responsabile del trattamento devono includere nei relativi registri. Per i trattamenti svolti sotto la propria responsabilità Il titolare del trattamento dovrà tenere un registro contenente (art. 30 par. 1 del Regolamento): • i propri dati di contatto e, ove applicabile, quelli del contitolare, del rappresentante del titolare e del responsabile per la protezione dei dati; • le finalità del trattamento; • una descrizione delle categorie di interessati e delle categorie di dati personali; • le categorie di destinatari (es. responsabili del trattamento, altri titolari del trattamento) a cui i dati personali sono stati o saranno comunicati; • indicazione di eventuali trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali; • i termini ultimi previsti per la cancellazione delle diverse categorie di dati; • una descrizione generale delle misure di sicurezza tecniche e organizzative messe in atto per garantire la sicurezza del trattamento (art. 32, par. 1 del Regolamento). Per i trattamenti svolti per conto di un titolare il responsabile del trattamento dovrà tenere un registro contenente (art. 30 par. 2 del Regolamento): • i propri dati di contatto, quelli di ogni titolare per conto del quale svolge trattamenti e, ove applicabile, quelli del rappresentante del titolare o del responsabile del trattamento e del responsabile per la protezione dei dati;