PROCEDURA DIRITTI DEGLI INTERESSATI (PDI)
Sommario
- REVISIONI
- SCOPO
- CONTESTO E APPLICABILITA’
- RIFERIMENTI
- TERMINI E DEFINIZIONI
- RESPONSABILITA’
- GLI INTERESSATI PREVALENTI DELL’ENTE
- MODALITA’ DI ESERCIZIO DEI DIRITTI DA PARTE DELL’INTERESSATO
- I DIRITTI DEGLI INTERESSATI
- MODULISTICA ALLEGATA
- INOSSERVANZA DELLA PROCEDURA
- VALIDITA’ E GESTIONE DEL DOCUMENTO
1. REVISIONI
| REV. | DATA | DESCRIZIONE E RIFERIMENTI |
| 0 | 04.09.2022 | Redazione iniziale |
| 1 | 30.10.2025 | Aggiornamento |
2. SCOPO
La presente policy ha lo scopo di illustrare la procedura adottata dal CONSORZIO 6 TOSCANA SUD (Titolare) in caso di esercizio dei diritti da parte degli interessati. Tale procedura è conforme alle disposizioni e ai principi contenuti nel Regolamento UE 2016/679 concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (di seguito, “GDPR”).
3. CONTESTO E APPLICABILITA’
Il Consorzio di Bonifica è un ente pubblico a base associativa, previsto dalla normativa nazionale e instituito con L.R.T. n.79/2012. Il Consorzio riunisce obbligatoriamente tutti i proprietari di beni immobili (terreni e fabbricati) che ricevono un beneficio dall’attività del consorzio stesso.
L’attività dei Consorzi di Bonifica è riconosciuta di rilevanza pubblica volta a garantire la sicurezza idraulica, la difesa del suolo, la manutenzione del territorio, la tutela e valorizzazione delle attività agricole, del patrimonio idrico, anche con riferimento alla provvista e all’utilizzazione delle acque a prevalente uso irriguo, nonché dell’ambiente e delle sue risorse naturali.
Per finanziare la propria attività, il Consorzio, come previsto dalla legge, emette il contributo di bonifica, il cui pagamento è obbligatorio.
La presente procedura si applica a tutti i dati personali trattati da parte del Titolare del Trattamento e da parte del Direttore Generale in qualità di esercente funzioni da Titolare
4. RIFERIMENTI
- 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati);
- Lgs 30 giugno 2003 n. 196, recante il Codice in materia di protezione dei dati personali e provvedimenti adottati dall’Autorità Garante per la protezione dei dati personali come modificato dal D. Lgs 101/2018;
- Best practices di settore sviluppatesi alla luce del Codice e della giurisprudenza del Garante;
- Linee guida sulla notifica delle violazioni di dati personali ai sensi del Regolamento 679/2016 (WP250), adottate dal Gruppo di lavoro Articolo 29 (“WP29”), in via definitiva, il 6 febbraio 2018;
- Linee-guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento “possa presentare un rischio elevato” ai sensi del Regolamento 2016/679 (WP248), adottate dal WP29, in via definitiva, il 4 ottobre 2017;
- Linee guida sui responsabili della protezione dei dati (WP243), adottate dal WP29, in via definitiva, il 5 aprile 2017;
- Dichiarazione relativa al ruolo di un approccio basato sul rischio nel quadro normativo in materia di protezione dati (WP218), adottata dal WP29 il 30 maggio 2014;
- Raccomandazioni per una metodologia della valutazione della gravità delle violazioni di dati personali, adottate dalla European Union Agency for Network and Information Security (ENISA) il 20 dicembre 2013.
5. TERMINI E DEFINIZIONI
Valgono le definizioni riportate nel Regolamento Europeo 2016/679.
Ai sensi del Regolamento Europeo 2016/679, l’interessato (data subject) è una persona fisica identificata o identificabile, cioè che può essere identificata anche in modo indiretto, facendo riferimento ad informazioni o elementi caratteristici o tramite la combinazione di una molteplicità di dati personali.
6. RESPONSABILITA’
La responsabilità della procedura è affidata al Titolare del Trattamento ed al Direttore Generale, nonché ai Dirigenti, ciascuno in relazione alla propria Area di Competenza.
7. GLI INTERESSATI PREVALENTI DELL’ENTE
All’interno dell’organizzazione consortile, assumono la veste di “Interessato” i seguenti soggetti:
- Dipendenti
- Consorziati
- Persone fisiche
- Persone giuridiche
- Enti pubblici o a natura mista
- altri soggetti
7.1. I CONSORZIATI
Il Consorzio di bonifica è costituito tra i proprietari degli immobili (terreni e/o fabbricati) ricadenti nel perimetro di contribuenza del comprensorio di bonifica, siano essi persone fisiche che giuridiche, personalità giuridica pubblica o privata.
La partecipazione al consorzio è obbligatoria. La qualifica di consorziato si intende acquisita con l’iscrizione delle proprietà immobiliari nel perimetro di contribuenza.
Con la partecipazione al Consorzio di bonifica, i proprietari degli immobili che ricevono benefici dall’attività di bonifica, assolvono ai loro obblighi riguardo alla manutenzione ed alla gestione delle opere di regimazione idraulica, di sistemazione idrogeologica, etc., rientranti nell’ambito dell’attività di bonifica.
Ai sensi e per gli effetti dell’Art. 13 del Regolamento UE 2016/679, il Titolare ha realizzato apposita Informativa per gli interessati in qualità di Consorziati, la quale è resa disponibile sul sito istituzionale dell’Ente, dove si fa specifico riferimento alle modalità di esercizio dei diritti previsti dalla normativa vigente.
7.2. I DIPENDENTI
Al momento della formalizzazione del contratto di lavoro con il Consorzio, ciascun dipendente visiona e sottoscrive per accettazione un’apposita informativa rilasciata dal Titolare ai sensi dell’art.13 del GDPR ove viene espressamente indicata la possibilità, per l’interessato, di esercitare i diritti di cui al punto 3 del presente documento.
Lo stesso documento è pubblicato sul portale “Ufficio WEB” del Consorzio..
8. MODALITA’ DI ESERCIZIO DEI DIRITTI DA PARTE DELL’INTERESSATO
Ai sensi dell’art. 12 e ss. del GDPR, ciascun interessato può esercitare i propri diritti con richiesta rivolta senza formalità (vale a dire in carta semplice) al Titolare, al Direttore Generale, nonché ai Dirigenti di Area (Soggetti Designati del Trattamento dei Dati), ovvero mediante lettera raccomandata, telefax o posta elettronica. Per contattare il Titolare del Trattamento e/o il Direttore Generale, l’interessato può avvalersi in qualunque momento delle informazioni necessarie riportate all’interno dell’Informative e tramite le modalità di contatto indicate può richiedere l’esercizio dei propri diritti.
9. I DIRITTI DEGLI INTERESSATI
Il GDPR fornisce agli Interessati determinati diritti previsti dall’art.7 e dagli artt. 13-14, 15-18 e 20-21 del Reg. 2016/679. Sarà, pertanto, necessario da parte dei Destinatari della presente procedura assistere il Titolare affinché possa garantire agli Interessati l’esercizio dei seguenti diritti:
Diritto di revoca del consenso (art. 7): l’Interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. Ovviamente tale diritto è limitato ai trattamenti di dati personali basati sul consenso precedentemente accordato al Titolare. La mera revoca non può comportare la cancellazione stessa dei dati e l’eliminazione di tutti gli effetti del trattamento fino alla data della revoca.
Diritto di ricevere informativa (art. 13 e 14): l’Interessato ha il diritto di ottenere dal Titolare informazioni riguardanti il trattamento dei propri dati personali. L’interessato ha il diritto di ottenere informazioni prima che il trattamento di dati abbia inizio e, successivamente, durante il trattamento ogni volta che lo richieda al Titolare.
Diritto di accesso (art. 15): l’Interessato ha il diritto di ottenere dal Titolare la conferma che sia o meno in corso un trattamento di Dati personali che lo riguardano e, in tal caso, ottenere l’accesso ai Dati personali e alle seguenti informazioni:
- Ricevere una descrizione dei dati detenuti e delle finalità del trattamento;
- Indicazione dei destinatari o delle categorie di destinatari a cui i Dati personali sono stati o saranno comunicati e se le informazioni vengono divulgate a chiunque, a parte il destinatario originale dei dati e se è così, l’identità di questi destinatari;
- ove possibile, il periodo di conservazione dei Dati personali ovvero, se non è possibile i criteri utilizzati per determinare tale periodo;
- l’esistenza del diritto dell’Interessato di chiedere al Titolare del trattamento la rettifica o la cancellazione, la limitazione, l’opposizione al trattamento dei Dati personali che lo riguardano;
- il diritto di proporre reclamo all’Autorità Garante per la protezione dei dati personali;
- qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine;
- l’esistenza di un processo decisionale automatizzato, compresa la profilazione e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
Diritto di rettifica (art. 16): l’Interessato ha il diritto di ottenere dal Titolare, senza ingiustificato ritardo, la correzione, modifica, integrazione dei dati perché errati, non aggiornati o insufficienti. Tenuto conto delle finalità del trattamento, l’Interessato ha il diritto di ottenere l’integrazione dei Dati personali incompleti, anche fornendo una dichiarazione integrativa. Nel caso in cui i dati personali oggetto di rettifica siano stati comunicati ad altri soggetti (o pubblicati), è onere del titolare darne comunicazione e richiedere la rettifica a ciascuno dei destinatari, a meno che ciò sia impossibile o implichi uno sforzo sproporzionato (art. 19 del GDPR).
Diritto alla cancellazione (c.d. diritto all’oblio art. 17): l’Interessato ha il diritto di ottenere dal Titolare la cancellazione dei Dati personali che lo riguardano senza ingiustificato ritardo se sussiste uno dei seguenti motivi:
- i Dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
- l’Interessato revoca il consenso su cui si basa il trattamento e non vi sono ulteriori basi giuridiche che legittimino il trattamento;
- l’Interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento;
- i dati personali sono stati trattati illecitamente;
- i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento;
- i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione ai minori.
Il titolare del trattamento nei casi indicati è obbligato a procedere alla cancellazione dei dati e – se li ha resi pubblici – ad adottare le misure ragionevoli per informare altri titolari del trattamento che stanno trattando i dati (compreso “qualsiasi link, copia o riproduzione”) di procedere alla loro cancellazione (art. 19 del GDPR). Tale diritto trova delle limitazioni che si fondano sulla base giuridica a fondamento del trattamento e che legittimano quindi sia la conservazione dei dati che l’ulteriore trattamento. Il Titolae può quindi rigettare la richiesta di cancellazione se il trattamento si basa:
- sull’esercizio del diritto alla libertà di espressione e di informazione;
- su un adempimento di un obbligo legale, per l’esecuzione di un compito di pubblico interesse oppure nell’esercizio di pubblici poteri;
- su motivi di interesse pubblico nel settore della sanità pubblica;
- su finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, nella misura in cui la cancellazione rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;
- sull’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.
Diritto di limitazione di trattamento (art. 18): l’Interessato ha il diritto di ottenere dal Titolare del trattamento la limitazione del trattamento effettuato in presenza di una delle seguenti condizioni:
- l’interessato contesta l’esattezza dei Dati personali. In tal caso, per il periodo necessario al Titolare del trattamento a verificare l’esattezza di tali Dati personali, l’Interessato potrà richiedere la limitazione del trattamento dei propri dati;
- il trattamento è illecito e l’Interessato si oppone alla cancellazione dei Dati personali e chiede, invece, che ne sia limitato l’utilizzo;
- i Dati personali sono necessari all’Interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
- l’Interessato si è opposto al trattamento; in tal caso ha diritto di richiedere la limitazione del trattamento in attesa della verifica da parte del Titolare in merito all’eventuale prevalenza dei motivi legittimi di quest’ultimo rispetto a quelli dell’Interessato.
I dati il cui trattamento sia sottoposto a limitazione possono essere conservati ma non più trattati negli ambiti per cui sia stata accordata la limitazione, a meno che:
- il titolare non ottenga contestualmente uno specifico consenso per una o più finalità diverse da quelle per cui sia disposta la sospensione (ove il trattamento si basi sul consenso);
- il trattamento non sia:
- finalizzato all’esercizio o difesa di un diritto in sede giudiziaria;
- finalizzato alla tutela dei diritti di un’altra persona fisica o giuridica;
- effettuato per motivi di interesse pubblico rilevante.
Nel caso in cui i dati personali oggetto di limitazione siano stati comunicati ad altri soggetti (o pubblicati) e sia accordata la limitazione, è onere del titolare darne comunicazione a ciascuno dei destinatari, a meno che ciò sia impossibile o implichi uno sforzo sproporzionato (art. 19 del GDPR).
In un secondo momento la limitazione può essere revocata (ad es. a seguito dell’avvenuta rettifica); prima che la revoca sia efficace però, il titolare del trattamento deve avvisare l’interessato.
Il Considerando 67 illustra alcune modalità pratiche per attuare il diritto alla limitazione; questo potrebbe essere garantito ad es.:
- trasferendo temporaneamente i dati selezionati in un altro sistema di trattamento (così da non renderli disponibili per le normali attività di trattamento);
- rendendo i dati personali selezionati inaccessibili agli utenti (ove il trattamento sia così configurato);
- rimuovendo temporaneamente i dati pubblicati da un sito web.
Lo stesso considerando, poi, evidenzia che “negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe, in linea di massima, essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano più essere modificati dove l’interessato non ne richieda la cancellazione. Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali è stato limitato”. In questo senso, il dato personale soggetto a limitazione dovrebbe essere “contrassegnato” in attesa di determinazioni ulteriori.
Diritto alla portabilità dei dati (art. 20): l’Interessato ha il diritto di ricevere dal Titolare i Dati personali che lo riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico e ha il diritto di trasmettere tali dati a un altro titolare qualora:
- il trattamento dei propri dati sia effettuato da parte del Titolare sulla base del consenso e/o sia necessario all’esecuzione di un contratto;
- il trattamento sia effettuato con mezzi automatizzati.
Non si applica ai trattamenti non automatizzati (quindi ad es. ai dati detenuti in archivi o registri cartacei) ed è esercitabile solo nel caso in cui i dati:
- siano stati forniti direttamente dall’interessato (consapevolmente e in modo attivo);
- siano acquisiti e trattati sulla base del consenso dell’interessato o per l’esecuzione di un contratto di cui è parte l’interessato (artt. 6, par. 1, lett. A), o 9, par. 2, lett. A);
- siano chiaramente riferibili all’interessato; sono quindi ad esempio esclusi i dati relativi a terze persone ovvero quelli anonimi;
- siano trattati attraverso strumenti automatizzati, ossia ad esclusione di qualsivoglia dato inferenziale o derivati, sia sulla base di un intervento umano nel trattamento medesimo sia che ciò derivi ad es., dall’applicazione di un algoritmo;
L’interessato può quindi richiedere:
- di ricevere i dati personali trattati e conservarli su un supporto personale in vista di un utilizzo ulteriore per scopi personali, senza trasmetterli necessariamente a un altro titolare;
- di trasmettere i dati personali da un titolare del trattamento a un altro titolare del trattamento, se è tecnicamente fattibile.
Diritto di opposizione (art. 21): l’Interessato ha il diritto di opporsi in ogni momento, per ragioni connesse alla sua particolare situazione, al trattamento dei Dati personali che lo riguardano. Tale richiesta può essere esercitata qualora il trattamento:
- si fondi sull’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri (in ambito pubblico);
- sia posto in essere nell’esercizio di un legittimo interesse del titolare del trattamento o di terzi (in ambito privato);
- sia effettuato a fini di ricerca scientifica o storica o a fini statistici a norma dell’articolo 89, par. 1 del GDPR, salvo che il trattamento sia necessario per l’esecuzione di un compito di interesse pubblico.
In questi casi, l’interessato può opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, e quindi motivando la sua richiesta. Spetta dunque al Titolare l’onere di dimostrare che la base giuridica su cui si fonda il trattamento (compresa la necessità di accertamento, esercizio o difesa di un proprio diritto in sede giudiziaria) prevalgano sugli interessi o sui diritti e sulle libertà fondamentali dell’interessato.
- è finalizzato ad attività di marketing diretto (compresa la profilazione connessa al marketing diretto).
In questo caso, l’interessato può opporsi in qualsiasi momento. Si tratta quindi di un diritto assoluto, poiché non soggetto a motivazione e ad alcuna valutazione da parte del Titolare. Anche in questo caso, se l’interessato esercita tale diritto, il Titolare deve esimersi dal procedere con il trattamento per finalità di marketing, potendo ben continuare eventuali diversi trattamenti che fondino il proprio presupposto su diverse basi (ad es., obbligazione contrattuale, l’interesse legittimo del titolare stesso, finalità che devono comunque essere rese esplicite all’interessato).
9.1. PROCEDURA PER L’INVIO DI UNA RICHIESTA
Il Titolare ha messo a disposizione le informazioni utili all’interno delle sue Informative per consentire agli Interessati di poter esercitare agevolmente i diritti riconosciuti dal GDPR.
Sarà inoltre compito del Dirigente di Area sotto le direttive del Direttore Generale e con eventuale consulto con il DPO, a cui si riferisce il trattamento:
- in caso di richiesta formulata oralmente – solo per le ipotesi di accesso e rettifica, ove possibile, raccogliere l’istanza utilizzando il modulo “Esercizio di diritti in materia di protezione dei dati personali”, invitando l’interessato a compilare i campi richiesti nel suddetto modulo ed a sottoscrivere il medesimo. In caso contrario, il Dirigente di Area (con il supporto operativo eventuale del suo autorizzato) provvede direttamente alla compilazione del suddetto modulo sottoponendolo alla sottoscrizione da parte dell’interessato.
Gli originali dei moduli compilati e sottoscritti dall’interessato sono conservati, sia in formato digitale sia cartaceo, presso l’Ufficio Protocollo, nonché trasmessi al Dirigente di Area competente e registrati nel gestionale.
- in caso di richiesta formulata per iscritto (obbligatoria per ottenere l’aggiornamento, la rettificazione o, se vi è interesse, l’integrazione dei dati, la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione della legge nonché l’attestazione che dette operazioni sono state portate a conoscenza a coloro ai quali i dati sono stati comunicati o diffusi) ricevere l’istanza;
- verificare l’identità dell’interessato sulla base di idonei elementi di valutazione, anche mediante atti e documenti disponibili o esibizione o allegazione di copia di documento di riconoscimento;
- nel caso di richiesta presentata da persona che agisce per conto dell’interessato, identificare il soggetto delegato e richiedere a seconda dei casi:
- esibizione o allegazione di copia della procura;
- esibizione o allegazione della delega sottoscritta dall’interessato in presenza di un Autorizzato;
- esibizione o allegazione della delega sottoscritta e presentata unitamente a copia fotostatica non autenticata di un documento di riconoscimento dell’interessato;
- nel caso di richiesta avanzata da interessato persona giuridica, associazione o ente, verificare la legittimazione della persona fisica che agisce in rappresentanza delle medesime in base ai rispettivi statuti od ordinamenti;
- provvedere, entro e non oltre 30 (trenta) giorni dalla data di ricevimento della richiesta, a dar corso alla medesima e provvedere a fornire una risposta all’interessato con comunicazione scritta, anche mediante trasposizione dei dati su supporto cartaceo o informativo, ovvero mediante la loro trasmissione per via telematica. Se entro il suddetto termine, le operazioni per il riscontro si rivelano di particolare complessità, ovvero ricorre altro giustificato motivo, il Dirigente di Area (o suo autorizzato) ne dà comunicazione all’interessato provvedendo comunque entro il termine di trenta giorni, dal ricevimento della richiesta, all’integrale riscontro. Vista la complessità ed il numero delle richieste si può prevedere di fare comunicazione di proroga di 3 (tre) mesi.
- Il Dirigente di Area, in ogni caso, provvede ad attivarsi presso tutti gli Uffici Consortili per ottenere le informazioni richieste dall’interessato che presteranno la massima collaborazione. Gli Uffici Consortili interessati provvedono a riferire in base alla richiesta pervenuta entro il termine indicato nella richiesta anche nel caso non siano presenti dati personali relativi all’interessato.
Il Dirigente di Area dovrà inoltre
- mantenere il registro delle richieste presentate dagli Interessati al Titolare (RDI-RICHIESTE DEGLI INTERESSATI);
- rifiutare, previa valutazione congiunta con il Titolare del trattamento, il Direttore Generale ed il DPO, la richiesta formulata da parte dell’Interessato nel caso in cui questa si riveli manifestamente infondata o eccessiva, in particolare per il carattere ripetitivo della stessa.
9.2. LIMITAZIONI
Il Dirigente di Area, previa valutazione congiunta con il Titolare del trattamento, il Direttore Generale ed il DPO, potrà rifiutare di soddisfare la richiesta formulata da parte dell’Interessato nel caso in cui questa si riveli manifestamente infondata o eccessiva, in particolare per il carattere ripetitivo della stessa.
Le richieste dei soggetti interessati dovranno essere valutate anche in ambito trasparenza quale obbligo per gli Enti Pubblici.
10. MODULISTICA ALLEGATA
SCARICA MODELLO RDI_RICHIESTE DEGLI INTERESSATI
11. INOSSERVANZA DELLA PROCEDURA
Le linee guida contenute nella presente Procedura hanno carattere vincolante per i destinatari
12. VALIDITA’ E GESTIONE DEL DOCUMENTO
Il responsabile di questo documento è il Titolare del trattamento, il quale deve controllare e, se necessario, previa valutazione congiunta con il DPO, aggiornare il documento, ogni qualvolta si renda necessario, in quanto responsabile ultimo della conformità del Consorzio alla normativa sul GDPR.
Il documento sostituito deve essere chiaramente identificato come superato e archiviato, in modo da non essere confuso con la documentazione in vigore
Grosseto, 30 Ottobre 2025
Il Titolare del Trattamento
Consorzio 6 Toscana Sud
