[normattiva_dump]

Art. 12 Trattamento dei dati personali 1. Il MEF è il titolare del trattamento dei dati necessari allo svolgimento del programma che deve intendersi limitato alla sola realizzazione dei compiti attinenti all'attribuzione del rimborso in denaro in applicazione dell'articolo 1, commi da 288 a 290, della legge 27 dicembre 2019, n. 160, e si avvale delle società di cui ai commi 2 e 3 in qualità di responsabili del trattamento. 2. PagoPA S.p. A. è titolare del trattamento dei dati necessari alla registrazione degli aderenti al programma tramite l'APP IO. Inoltre, la stessa PagoPA S.p. A. agisce per conto del MEF in qualità di responsabile del trattamento ai sensi dell'articolo 28 del regolamento UE 2016/679 per i trattamenti diversi da quelli di cui al primo periodo del presente comma e necessari allo svolgimento delle attività ad essa affidate nell'ambito del programma. 3. Consap S.p. A. è responsabile del trattamento dei dati ai sensi dell'articolo 28 del regolamento UE 2016/679 per conto del MEF per i trattamenti necessari allo svolgimento delle attività ad essa affidate nell'ambito del programma. 4. Gli issuer convenzionati sono titolari del trattamento dei dati personali dei propri clienti. Inoltre, gli stessi agiscono, per conto del MEF, in qualità di sub-responsabili del trattamento, individuati da PagoPA S.p. A. in virtù di un'apposita convenzione, limitatamente allo svolgimento delle attività ad essi affidate ai sensi dell'articolo 4, nell'ambito del programma. 5. Gli acquirer convenzionati sono titolari del trattamento dei dati personali effettuato nell'ambito delle transazioni da essi gestite. Inoltre, essi agiscono, per conto del MEF, in qualità di sub-responsabili del trattamento, individuati da PagoPA S.p. A., in virtù di un'apposita convenzione, limitatamente allo svolgimento delle attività ad essi affidate ai sensi dell'articolo 4, nell'ambito del programma. 6. Il MEF effettua, prima del trattamento, la valutazione di impatto ai sensi dell'articolo 35 del regolamento UE 2016/679 e la sottopone alla verifica preventiva del Garante per la protezione dei dati personali. 7. Nella valutazione di impatto sono indicate, tra l'altro, le misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio, nonché a tutela dei diritti e delle libertà degli interessati. Nella valutazione di impatto sono altresì disciplinati i tempi e le modalità di cancellazione dal programma. 8. I dati personali raccolti ai sensi del presente decreto possono essere trattati esclusivamente per la finalità di cui al comma 1. L'identificativo dell'esercente di cui all'articolo 4, comma 1, lettera c), è utilizzato per il solo fine di verificare le transazioni oggetto di reclamo. 9. Il MEF può effettuare statistiche sull'attuazione del programma trattando anche i dati personali degli aderenti, relativi alla partecipazione al programma, al numero e al valore delle transazioni effettuate, nonché ai rimborsi erogati, nel rispetto delle regole deontologiche di cui all'allegato A.4 al decreto legislativo 30 giugno 2003, n. 196, e dei tempi di conservazione dei dati personali previsti dal presente decreto. Note all'art. 12: - Il testo dei commi da 288 a 290 dell'articolo 1 della legge 27 dicembre 2019, n. 160 è riportato nelle note alle premesse. - Per i riferimenti del regolamento UE 2016/679 si veda nelle note all'art. 1. - Si riporta l'allegato A.4 al decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE): «Allegato A/4 Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici (Provvedimento del Garante 16 giugno 2004, n. 2 - G.U. 14 agosto 2004, n. 190, S.O. n. 141) CODICE DI DEONTOLOGIA E DI BUONA CONDOTTA PER I TRATTAMENTI DI DATI PERSONALI PER SCOPI STATISTICI E SCIENTIFICI sottoscritto da: Conferenza dei rettori delle università italiane Associazione italiana di epidemiologia Associazione italiana di sociologia Consiglio italiano per le scienze sociali Società italiana degli economisti Società italiana di biometria Società italiana di demografia storica Società italiana di igiene, medicina preventiva e sanità pubblica Società italiana di statistica Società italiana di statistica medica ed epidemiologia clinica Associazione tra istituti di ricerche di mercato, sondaggi di opinione, ricerca sociale PREAMBOLO I sottoindicati soggetti pubblici e privati sottoscrivono il presente codice, adottato sulla base di quanto previsto dall'art. 106 del decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (di seguito denominato «decreto»), sulla base delle seguenti premesse: 1) Le disposizioni del presente codice di deontologia e di buona condotta sono volte ad assicurare l'equilibrio tra i diritti e le libertà fondamentali della persona, in particolare il diritto alla protezione dei dati personali e il diritto alla riservatezza, con le esigenze della statistica e della ricerca scientifica, quali risultano dal principio della libertà di ricerca costituzionalmente garantito, presupposto per lo sviluppo della scienza, per il miglioramento delle condizioni di vita degli individui e per la crescita di una società democratica; 2) i ricercatori, singoli o associati, che operano nell'ambito di università, enti ed istituti di ricerca e società scientifiche, conformano al presente codice ogni fase dei trattamenti di dati personali effettuati a fini statistici o scientifici, indipendentemente dalla sottoscrizione del codice stesso da parte dei rispettivi enti e società scientifiche; 3) nell'applicazione del presente codice, i soggetti che ne sono destinatari osservano i principi contenuti nella Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali del 1950, ratificata con legge 4 agosto 1955, n. 848, nella direttiva 95/46/CE del Parlamento europeo e del Consiglio dell'Unione europea, nelle Raccomandazioni del Consiglio d'Europa n. R(83)10 adottata il 23 settembre del 1983 e n. R(97)18 adottata il 30 settembre 1997, nonché nelle altre disposizioni normative comunitarie e internazionali relative al trattamento dei dati personali a fini statistici e scientifici. Essi operano nel rispetto dei principi di pertinenza e di non eccedenza, intesa come non ridondanza del trattamento progettato rispetto agli scopi perseguiti, avuto riguardo ai dati disponibili ed ai trattamenti già effettuati dallo stesso titolare; 4) per quanto non disciplinato nel presente codice, si applicano le disposizioni previste dalla normativa in materia di dati personali, anche in relazione alla natura pubblica o privata del soggetto titolare del trattamento (artt. 18 e s. e 23 e s. del decreto).