Al comma 1, dopo la lettera b) sono inserite le seguenti:
b-bis) all'articolo 30, dopo il comma 2, è inserito il seguente:
«2-bis. Sono previsti interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali, più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali».
b-ter) all'articolo 33, al comma 1, è inserito in fine il seguente periodo:
«Ogni titolare e responsabile del trattamento e, se presente, il rappresentante stabilito nel territorio dello Stato, devono conservare la documentazione aggiornata descrittiva di tutte le operazioni di trattamento di dati sensibili e devono metterla a disposizione, se richiesti, dell'autorità Garante. Tale documentazione deve contenere come minimo le seguenti informazioni:
a) il nome e i dettagli di contatto del titolare o di ogni titolare congiunto, di ogni responsabile e, se presente, del rappresentante stabilito;
b) gli scopi del trattamento, inclusi gli eventuali legittimi interessi perseguiti dal titolare;
c) una descrizione delle categorie di Interessati e delle categorie di dati personali a loro riferiti;
d) l'elenco dei soggetti a cui i dati possono essere comunicati;
e) l'elenco dei trasferimenti di dati personali all'estero, inclusi i dettagli dei Paesi di destinazione e i documenti che legittimano tale trasferimento;
f) l'elenco delle banche dati e l'indicazione generale del tempo massimo di conservazione delle diverse tipologie di dati, termine dopo il quale essi verranno cancellati;
g) la descrizione delle misure minime adottate tra quelle individuate nel presente capo.».