· Web viewAlcuni di questi documenti possono essere gestiti anche elettronicamente tramite file...

PROGRAMMA AMBIENTE APUANE S.p.A.Sede Legale: G.Catani, 37, 59100 Prato (PO)Impianto: Via N.Garbuio, 105, 54038 Montignoso, (MS)Telefono 0585/349656 e fax 0585/821387e-mail: [email protected] – PEC-mail: [email protected] I.V.A. 00710250457Codice Fiscale 00072670458Registro Imprese CCIAA di Prato (PO) n° 526887Capitale Sociale Euro 560.000,00Società soggetta a coordinamento e controllo da parte di PROGRAMMA AMBIENTE SPA

_______________________________________________________________________________________

DISCIPLINARE PRIVACY

PROGRAMMA AMBIENTE APUANE SpA

DELIBERAZIONE AMMINISTRATORE UNICO DEL 27.1.2016

1

mailto:[email protected]



_______________________________________________________________________________________

SOMMARIO

Scopo ed ambito di applicazione......................................................................................................................3

Principali definizioni normative....................................................................................................................4

(art. 4 del D.lgs. 30 giugno 2003, n. 196 e s.m.i.)...........................................................................................4

Definizioni normative.....................................................................................................................................6

Misure minime di sicurezza...........................................................................................................................6

Principali riferimenti normativi....................................................................................................................7

Definizione dei ruoli.....................................................................................................................................11

I Responsabili del trattamento....................................................................................................................12

In generale il Responsabile, se designato, ha il compito di:............................................................................12

I trattamenti effettuati.................................................................................................................................18

Elenco de Trattamenti..................................................................................................................................19

Accessi non autorizzati alla struttura..............................................................................................53Incendio..........................................................................................................................................54Distruzione o perdita dei dati cartacei............................................................................................54Divulgazione dati a soggetti non autorizzati..................................................................................55Condotte degli operatori.................................................................................................................55

Novità legislative introdotte dal Job’s Act: rapporto di lavoro e privacy……………………..58

Sottoscrizioni……………………………………………………………………………………….59

2




_______________________________________________________________________________________

Scopo ed ambito di applicazione

Il presente documento nasce con il duplice obiettivo di:

fornire alla società ed ai suoi dipendenti, ai collaboratori, ai fornitori e ai consulenti esterni o

affiliati, istruzioni organizzative e tecniche che consentano l’osservanza degli obblighi e, quindi, il

rispetto delle prescrizioni di cui al novellato d.lgs. 30 giugno 2003, n.196; altresì di delineare il

quadro di sicurezza del sistema informativo e di affidabilità dei relativi programmi informatici ai

fini della tutela dei dati personali trattati;

avere piena coscienza del grado d’esposizione del proprio patrimonio informativo ai rischi

specifici individuati dalla norma (art. 31, d.lgs. 30 giugno 2003 ,196 e s.m.i.) in modo da poter

applicare le misure di sicurezza atte a garantire la protezione dei dati trattati soprattutto attraverso

gli strumenti elettronici.

3




_______________________________________________________________________________________Principali definizioni normative

(art. 4 del D.lgs. 30 giugno 2003, n. 196 e s.m.i.)

Trattamento Qualunque operazione o complesso di operazioni effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati.

Comunicazione Il dare conoscenza dei dati personali ad uno o più soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.

Diffusione Il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.

Titolare del

trattamento

La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione o organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.

Dati personali Qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

Dati sensibili I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati o organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

4




_______________________________________________________________________________________

5




_______________________________________________________________________________________Dati giudiziari I dati personali idonei a rivelare provvedimenti di cui all’articolo 3, comma 1,

lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale.

Banca dati Qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti.

Interessati La persona fisica cui si riferiscono i dati personali trattati dal titolare

Amministratori

di sistema

Gli "amministratori di sistema" sono figure essenziali per la sicurezza delle banche dati e la corretta gestione delle reti telematiche. Sono esperti chiamati a svolgere delicate funzioni che comportano la concreta capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad essi è affidato spesso anche il compito di vigilare sul corretto utilizzo dei sistemi informatici di un'azienda o di una pubblica amministrazione.

Garante L'autorità di cui all'articolo 153, istituita dalla l. 31 dicembre 1996, n. 675.

6




_______________________________________________________________________________________Definizioni normative

Misure minime di sicurezza

(art. 31 e ss. d.lgs. 30 giugno2003, n. 196 e s.m.i. e artt. da 1 a 18 del Disciplinare tecnico (all. B d.lgs. 30 giugno 2003, n. 196)

Misure minime Il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto dalla normativa vigente.

Autenticazione

Informatica

Il processo che consente di identificare la persona che accede (e/o utilizza) sistemi informativi, programmi per elaboratori o qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento.

Credenziali di

autenticazione

I dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l’ autenticazione informatica.

Parola chiave Componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica.

Profilo di

autorizzazione

L’insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti.

Sistema di

autorizzazione

L’insieme degli strumenti e delle procedure che abilitano l’accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente.

7




_______________________________________________________________________________________Principali riferimenti normativi

Normative Nazionali

Decreto legislativo del 30 giugno 2003, n. 196 e s.m.i

Codice in materia di protezione dei dati personali e successive modificazioni e integrazioni

Normative comunitarie

Dir. CE 24 ottobre 1995, n. 46

Direttiva del Parlamento Europeo e del Consiglio relativa alla tutela delle persone fisiche con riguardo al trattamento di dati personali, nonché alla libera circolazione di tali dati .

Dir. CE 15 dicembre 1997, n. 66

Direttiva del Parlamento Europeo e del Consiglio sul trattamento di dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni .

Dir. CE 12 luglio 2002 , n. 58

Direttiva del parlamento Europeo e del Consiglio relativa al trattamento di dati personali ed alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata ed alle comunicazioni elettroniche) .

Commissione Europea – Bruxelles 25 gennaio 2012

Proposta di Regolamento del Parlamento Europeo e del Consiglio – concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione dei dati

Provvedimenti dell’autorità Garante

Provvedimento 1° Marzo 2007

Trattamento di dati personali relativo all'utilizzo di strumenti elettronici da parte dei lavoratori in ambito privato.

Provvedimento 27 novembre Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati

8




_______________________________________________________________________________________2008 con strumenti elettronici relativamente alle attribuzioni delle

funzioni di amministratore di sistema.

Provvedimento 8 aprile 2010 Disciplina in materia di videosorveglianza.

Provvedimento 19 gennaio 2011

Prescrizioni per il trattamento di dati personali per finalità di marketing, mediante l’impiego del telefono con operatore a seguito dell’istituzione del registro pubblico delle opposizioni (d.p.r. n.178/2010).

Normative internazionali

l. 21 febbraio 1989, n. 98 Ratifica ed esecuzione della convenzione n. 108 sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale, adottata a Strasburgo il 28 gennaio 1981.

Carta di Venezia del 30 settembre 2000

Dichiarazione sottoscritta da 28 Paesi, nei quali esiste un'Autorità Garante per la protezione dei dati personali.

9




_______________________________________________________________________________________Revisione ed Aggiornamento

Le istruzioni organizzative e tecniche descritte nel presente documento dovranno essere verificate

ed aggiornate - a cura del titolare del trattamento anche in ciò coadiuvato dai responsabili nominati -

conformemente ai dettami di legge in materia di protezione dei dati personali.

Sarà, quindi, necessario procedere ad un’attenta rilettura, nonché all’aggiornamento dello stesso

ogni qualvolta si verifichi almeno una delle seguenti condizioni:

evoluzione del contesto normativo e legislativo di riferimento;

cambiamenti nella struttura organizzativa privacy aziendale;

modifiche all’infrastruttura del sistema informativo preposto al trattamento dei dati

personali;

ulteriori e nuovi rischi nell’evoluzione tecnica e tecnologica.

A tal fine il titolare, secondo la previsione della norma, anche coadiuvato, qualora nominati, dai responsabili/dal responsabile, ciascuno per il settore/area/direzione di competenza, con cadenza periodica, relazionerà sullo stato dei trattamenti in essere e sulle misure di sicurezza in atto, e, una volta valutata la conseguente necessità, provvederà, secondo l’ambito di incidenza (normativo e/o aziendale etc.), agli aggiornamenti interessanti nel caso le procedure, le nomine, oltreché i trattamenti e le istruzioni organizzative e tecniche.

Ad esempio, il titolare utilizza tali mezzi allorquando, secondo l’art. 35 del d.lgs. 30 giugno2003, n. 196 e s.m.i., procederà all’aggiornamento periodico, e, in ogni caso, annuale, dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati o alle unità organizzative.

10




_______________________________________________________________________________________Titolare del trattamento dei dati e finalità

Definizione

Il titolare è la persona fisica, la persona giuridica cui competono le decisioni in ordine alle finalità,

alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della

sicurezza.

Il titolare del trattamento può scegliere e nominare i responsabili assumendosi l’onere di

individuarli secondo le specifiche normative e di formarli in ordine alle attività spettanti

nell’acquisita qualità.

Il titolare del trattamento provvederà ad agevolare l'accesso ai dati personali da parte dell'interessato

nel rispetto dei tempi e delle modalità previste dal Codice Privacy.

Il Titolare del trattamento dati è :

PROGRAMMA AMBIENTE APUANE SpA

AMMINISTRATORE UNICO DOTT.ARRIGONI MASSIMILIANO

Finalità del Trattamento:

Adempimento dell’oggetto Sociale

Oggetto sociale:

L’esercizio dell’attività sociale ed il compimento, per il raggiungimento dell’oggetto sociale di tutte

le operazioni ad essa connesse, attraverso l’adozione di sicuri metodi che garantiscano la

riservatezza (intesa come protezione delle informazioni dalla lettura o copia da parte di soggetti

terzi non autorizzati) e l’integrità dei dati (intesa come protezione delle informazioni da qualunque

tipo di operazione in grado di alterarle o eliminarle senza permesso del titolare del trattamento).

Sedi e uffici:

11




_______________________________________________________________________________________La sede legale è in (59100) Prato (PO), via Catani 37

Sede operativa e impianto: Discarica via n. Garbuio 105 Montignoso (MS).

Uffici contratto di service con Programma ambiente spa presso il sito di ASM SpA via Paronese,

106 – 110 a Prato e in via del Biancospino a Campi bisenzio.

Definizione dei ruoli

Il D.lgs. n. 196/2003 e s.m.i. individua alcune figure alle quali sono attribuiti specifici obblighi e

diritti in relazione all’attività di trattamento dei dati personali.

Gli obblighi di sicurezza riguardano il “Titolare” del trattamento, il “Responsabile” se designato, gli

“Incaricati” e, più ampiamente, chiunque è tenuto all’adozione di misure di sicurezza.

Il legale rappresentante pro – tempore, dott. Gianluca Tapparini agisce per la società ai fini di

controllo, supervisione, impegno di spesa e di bilancio.

Il Responsabile, il cui ruolo è descritto all’art. 29 del Codice, allorché nominato, è individuato tra

soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto

delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo della sicurezza.

In particolare, la società è organizzata nel modo che segue:

Titolare del trattamento: esercita il potere decisionale sulle finalità e sulle modalità del

trattamento ivi compreso il profilo della sicurezza; questi è responsabile delle scelte in materia di

sicurezza dei dati trattati della cui mancata adozione risponde anche penalmente.

Responsabili del trattamento: sono scelti fra le figure aziendali che forniscono idonea garanzia

del pieno rispetto delle disposizioni in materia di protezione dei dati personali, ivi compreso il

profilo della sicurezza. I responsabili agiscono in base alle istruzioni specifiche ricevute dal titolare

e rispondono della loro ingiustificata inosservanza, e hanno obblighi specifici circa la

comunicazione di eventuali problematiche la cui risoluzione comporta l’intervento decisionale del

titolare.

12




_______________________________________________________________________________________Amministratori di Sistema: sono figure essenziali per la sicurezza delle banche dati e la corretta

gestione delle reti telematiche. Sono esperti chiamati a svolgere delicate funzioni che comportano la

concreta capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad essi

è affidato spesso anche il compito di vigilare sulla protezione dei sistemi informatici di un'azienda o

di una pubblica amministrazione.

Incaricati: soggetti che, nominati direttamente dal titolare o dal responsabile, operano sotto la loro

diretta autorità nel rispetto delle istruzioni da questi ricevute e condivise.

I Responsabili del trattamento

In generale il Responsabile, se designato, ha il compito di:

rispettare le istruzioni impartite dal Titolare;

collaborare con il Titolare per garantire la puntuale osservanza della normativa in materia di

tutela della riservatezza dei dati personali;

individuare e nominare per iscritto gli incaricati del trattamento e dare loro le istruzioni

idonee per il trattamento dei dati personali ad essi affidato, nel rispetto e nell’osservanza dei limiti e

delle indicazioni date/ricevute dal Titolare;

vigilare affinché gli incaricati rispettino le prescrizioni in materia di privacy; l’obbligo di

vigilanza in capo al responsabile è da intendersi funzionale allo svolgimento delle ordinarie attività

lavorative, e pertanto non si risolve in un aggravio ulteriore a carico di questi. Allorché nel consueto

svolgimento delle sue funzioni all’interno della società, avverta che gli incaricati nominati

disattendano le prescrizioni di legge e le istruzioni impartite dalla società in materia, è tenuto a

richiamarne il rispetto e, nei casi più gravi, a segnalare al Titolare eventuali violazioni;

provvedere a rilasciare le informative secondo le specifiche istruzioni date dal Titolare,

istruendo a tal fine anche i propri incaricati, qualora coinvolti direttamente nella gestione delle

informazioni ex art. 13 del D.lgs n. 196/2003 e s.m.i.; il Responsabile è sin da ora edotto delle

conseguenze che potrebbero conseguire in caso di mancato rilascio delle informative nei termini e

con le modalità di legge; nelle ipotesi in cui le informative contengano espressamente la richiesta di

consenso da parte dell’interessato, sarà premura del Responsabile anche per il tramite dei propri

incaricati, accertare che il consenso venga opportunamente prestato da parte dell’interessato;13




_______________________________________________________________________________________ provvedere affinché siano rispettate le misure minime di sicurezza come indicate dal

legislatore ai sensi e per gli effetti degli artt. 31 e ss. del Decreto Legislativo n. 196/2003 e s.m.i.,

nonché di cui al novellato Disciplinare Tecnico (Allegato B del medesimo testo normativo), ed in

particolare vigilando affinché:

l’accesso ai dati da parte degli incaricati avvenga mediante credenziali di autenticazione che

dovranno essere conservate con la massima accuratezza preservandole dalla conoscibilità di

soggetti estranei all’attività aziendale; nell’ipotesi in cui il Responsabile verifichi violazioni

in tal senso ha l’obbligo di richiamare formalmente l’incaricato negligente al rispetto della

normativa, coinvolgendo nei casi più gravi anche il titolare;

l’uso e la custodia della documentazione cartacea presso gli uffici competenti avvengano

prestando la massima cura da parte degli incaricati; nell’ipotesi in cui il Responsabile

verifichi violazioni in tal senso è tenuto a richiamare gli incaricati negligenti coinvolgendo

nei casi più gravi anche il titolare;

provvedere - in caso di ricezione di istanze da parte degli interessati ex art. 7 Decreto

Legislativo n. 196/2003 e s.m.i., siano esse recapitate direttamente o anche indirettamente

conosciute dall’area da questi presidiata - all’immediato invio al titolare al fine di consentire al

medesimo un riscontro nei termini di legge; resta inteso che il Responsabile dovrà inviare la detta

comunicazione provvedendo ad allegare tutte le informazioni richieste, al fine di consentire una

risposta esaustiva;

dare immediato avviso al Titolare nel caso di nuovi trattamenti e/o della cessazione di quelli

già esistenti; l’omissione può comportare anche l’inutilizzabilità dei dati nelle ipotesi in cui siano

sottoposti a specifiche prescrizioni da parte dell’Autorità Garante e/o di cui al Decreto Legislativo

n. 196/2003 e s.m.i.;

coadiuvare il titolare nella verifica periodica, laddove prevista, dei trattamenti in atto e delle

relative operazioni consentite agli incaricati sulla base dei profili di autorizzazione loro assegnati;

conservare i dati oggetto del trattamento per il tempo necessario al raggiungimento degli

scopi per i quali essi siano stati raccolti, registrati e successivamente trattati. Il Responsabile del

trattamento dovrà adoperarsi affinché siano rispettati i limiti e i termini di conservazione imposti

14




_______________________________________________________________________________________per legge compatibilmente con le finalità proprie dell’attività dell’ufficio e/o dell’area di

appartenenza;

consentire l’accesso ai dati ad altri incaricati e/o responsabili appartenenti ad aree diverse

purché ciò sia stato preventivamente verificato come necessario e compatibile con le rispettive

cariche lavorative, e comunque richiamando gli obblighi dei richiedenti al rispetto della normativa

in argomento;

provvedere - in caso di ricezione di richieste specifiche avanzate dall’Autorità Garante per la

protezione dei dati personali o altre autorità – ad inviarle senza ritardo al Titolare sì da consentire

un riscontro nei termini di legge; resta inteso che il Responsabile dovrà provvedervi allegando,

altresì, tutte le informazioni richieste dall’Autorità Garante o da altra autorità in modo da garantire

una risposta esaustiva;

collaborare a coadiuvare i soggetti incaricati dal Titolare o da terze Autorità al controllo ed

alle ispezioni interne, fornendo loro con trasparenza ed immediatezza le informazioni inerenti i

trattamenti effettuati sotto il proprio controllo.

Elenco dei responsabili: in virtù delle modalità operative interne sono stati nominati più

soggetti Responsabili del Trattamento, individuati nei dirigenti responsabili delle aree aziendali,

così da poter garantire una più efficace armonizzazione del trattamento dei dati sotto il profilo

privacy.

I Responsabili designati nominano i soggetti incaricati, individuati per classi omogenee connesse

alle mansioni svolte nei rispettivi uffici di competenza.

Sono stati inoltre individuati i soggetti Responsabili del trattamento dati costituiti da immagini,

rilevate attraverso gli impianti di videosorveglianza in dotazione presso le strutture aziendali.

Dalla tabella riportata di seguito si evidenziano le scelte operate da PROGRAMMA AMBIENTE

APUANE SpA :

15




_______________________________________________________________________________________

RESPONSABILE

DESIGNATODIREZIONE/AREA DI APPARTENZA

INCARICATI

(segnalata la

presenza con X)

MASSIMILIANO

ARRIGONIAMMINISTRATORE UNICO X

GIORGIO

CALESTANI

RESPONSABILE IMPIANTO

MONTIGNOSO E SISTEMA

VIDEOSORVEGLIANZA X

PAOLO NATALINI

RESPONSABILE AREA

AMMINISTRATIVA E SISTEMI

INFORMATICI CON GESTIONE

SISTEMI

X

Elenco delle postazioni di videosorveglianza

DISCARIVA MONTIGNOSO –

16




_______________________________________________________________________________________Gli incaricati al trattamento

Ai sensi dell’articolo 4, comma 1, lettera h del D.lgs. 196/2003 e s.m.i., per incaricato si intende “la

persona fisica autorizzata, dal titolare o dal responsabile, a compiere operazioni di trattamento”.

Come, altresì, emerge dalla definizione e dall’articolo 30 del suddetto Decreto, l’incaricato assume,

in ordine al trattamento, funzioni esecutive in aderenza a specifiche istruzioni ricevute dal Titolare o

dal Responsabile.

La designazione dell’incaricato deve essere formulata per iscritto ed in essa deve essere individuato

puntualmente l’ambito del trattamento consentito. Il Codice considera alla stregua di una corretta

designazione anche la documentata predisposizione della persona ad un’unità organizzativa per la

quale venga espressamente indicato l’ambito del trattamento.

Le risorse in servizio presso le strutture in cui si svolgono i trattamenti devono essere

preventivamente individuati ed incaricati a trattare i dati personali necessari per lo svolgimento

delle funzioni ad esse nel complesso affidate e di compiere le sole operazioni di trattamento a ciò

strumentali, attenendosi anche alle ulteriori istruzioni contenute negli ordini di servizio, o impartite

nel corso dell’attività e rispettando le pertinenti disposizioni contenute in specifiche comunicazioni

interne.

L’incarico è conferito, in concreto, con lettera di nomina che fa riferimento alla struttura aziendale

d’appartenenza.

17




_______________________________________________________________________________________I trattamenti effettuati

Le schede di censimento riportate di seguito, contengono le seguenti voci:

Descrizione sintetica del Trattamento: è menzionato il trattamento dei dati personali

tramite l’indicazione della finalità perseguita o dell’attività svolta (es., fornitura di beni o servizi,

gestione del personale, ecc.) e delle categorie di persone cui i dati si riferiscono (clienti o utenti,

dipendenti e/o collaboratori, consulenti esterni , fornitori, ecc.);

Natura e descrizione dei dati trattati: indicazione della tipologia dei dati trattati secondo

la classificazione del d. lgs. 30 giugno 2003, n.196 e s.m.i;

Categorie di interessati persone a cui si riferiscono i dati oggetto del trattamento, (es.

dipendenti, clienti, fornitori, visitatori...);

Finalità del trattamento: è indicata la finalità perseguita dal trattamento

Modalità del trattamento: è indicata la modalità del trattamento

Ambito di comunicazione dei dati: è indicato l’ambito di comunicazione (sia all’interno

della società che verso società terze) dei dati personali oggetto del trattamento

In particolare sono individuate le operazioni di trattamento che si svolgono all’interno della società

e quelle invece conferite al di fuori della struttura aziendale.

Sedi aziendali: sedi presso le quali avviene il trattamento dei dati ;

Altre strutture che concorrono al trattamento: nel caso in cui un trattamento, per essere

completato, comporti l’attività di diverse strutture, saranno indicate, oltre quella che cura

primariamente l’attività, le altre principali strutture che concorrono al trattamento anche

dall’esterno;

Periodo di conservazione: durata della conservazione dei dati.

18




_______________________________________________________________________________________Elenco de Trattamenti

Si riportano di seguito i trattamenti di cui è titolare la struttura.

T01 Trattamento dati Clienti/Utenti

Natura dei dati

trattatiPersonali, Sensibili (eventuali)

Categoria degli

interessati

In particolare dati personali relativi ai clienti della PROGRAMMA

AMBIENTE APUANE SPA

dati anagrafici;

dati amministrativi e fiscali;

dati contabili;

dati giudiziari (eventuali)

dati sensibili eventuali in caso di cliente fruitore di servizi dedicati

Finalità del

trattamento

Adempimento delle obbligazioni reciprocamente assunte nell'ambito dei

rapporti contrattuali in essere ed esatta osservanza delle disposizioni

attualmente in vigore e che dovessero in futuro sopravvenire.

Il conferimento dei dati in oggetto ha natura obbligatoria con riferimento a

quelle disposizioni, essenzialmente di natura fiscale, che prescrivono

l'adempimento di specifiche e rigorose formalità nelle relazioni

commerciali.

Modalità di

trattamento

Tali dati sono presenti nel sistema elettronico utilizzati dalle strutture

aziendali.

Con tali dati anagrafici vengono poi gestiti i dati contabili ed amministrativi

derivanti dal rapporto commerciale con il Cliente.

Oltre a questi data base elettronici esiste un archivio cartaceo contenente la

corrispondenza ed i documenti inerenti al rapporto commerciale con il

Cliente, inclusi eventuali dati patrimoniali, di bilancio. Alcuni di questi 19




_______________________________________________________________________________________documenti possono essere gestiti anche elettronicamente tramite file word,

Excel, ect.

Ambito di

comunicazione

Soggetti esterni autorizzati, quali

Fornitori

Consulenti

Sedi aziendali Sedi della Società

Altre strutture

che concorrono

al trattamento

--

Periodo di

conservazione

(data retention)

Dieci anni (in linea)

20




_______________________________________________________________________________________

T02 Trattamento dati Fornitori effettivi e potenziali

Natura dei dati

trattatiPersonali

Categoria degli

interessati

In particolare dati personali riguardanti i fornitori effettivi e potenziali:

dati anagrafici

dati fiscali

dati commerciali

dati giudiziari (eventuali)

I fornitori che lavorano con la società ovvero le categorie solitamente

utilizzate sono:

fornitori di beni e servizi non professionali

professionisti e prestatori d’opera

consulenti

Finalità del

trattamento

Adempimento delle obbligazioni reciprocamente assunte nell'ambito dei

rapporti commerciali e professionali instaurati con i fornitori; esatta

osservanza delle disposizioni attualmente in vigore o che dovessero in

futuro sopravvenire, nonché analisi dei rapporti commerciali medesimi.


quelle disposizioni, essenzialmente di natura fiscale, che prescrive

l'adempimento di specifiche e rigorose formalità nelle relazioni

commerciali.

Le finalità per il trattamento dei dati dei potenziali fornitori risiedono nella

esigenza di acquisire informazioni preliminari alla conclusione di un

contratto, all’esecuzione di un servizio o di una o più operazioni oggetto di

21




_______________________________________________________________________________________trattativa.

Modalità di

trattamentoDati trattati sia in formato elettronico che cartaceo

Ambito di

comunicazione


Consulenti

Sedi aziendali Sedi della società

Altre strutture

che concorrono

al trattamento

---

Periodo di

conservazione

(data retention)

Dieci anni (in linea) per i fornitori effettivi

Cinque anni per i fornitori potenziali

22




_______________________________________________________________________________________T03 Trattamento dati Personale Dipendente e Candidati assunzioni

Natura dei dati

trattatiPersonali, Sensibili

Categoria degli

interessati

a) Personale dipendenti:

In particolare dati personali riguardanti i dipendenti della PROGRAMMA

AMBIENTE APUANE SPA:

dati anagrafici

dati relativi alle certificazioni mediche

dati retributivi (ivi incluse le trattenute per iscrizione al sindacato)

Sono trattati anche in forma cartacea i dati relativi alle certificazioni

mediche relative al personale

b) Candidati (Domande di partecipazione a selezioni):

In particolare dati personali riguardanti i potenziali futuri dipendenti che

partecipano alle procedure di selezione e inviano alla società il proprio CV.

Finalità del

trattamento

a) il trattamento, cui sono sottoposti i dati personali del personale

dipendente, nonché i dati sensibili, resi noti al momento dell’instaurazione,

nel corso, e alla cessazione del rapporto di lavoro, ha la finalità di

provvedere alla corresponsione dello stipendio ed ai relativi adempimenti di

Legge, di contratto collettivo nazionale e/o aziendale o di regolamento

aziendale.

La Legge prevede che per alcuni dati il dipendente/collaboratore/stagista sia

obbligato a fornire il suo consenso, mentre per altri lo possa fare in maniera

facoltativa.

I dati di natura obbligatoria sono quelli relativi allo svolgimento di

adempimenti fiscali e previdenziali previsti dalle vigenti normative di

Legge e dall’esecuzione degli obblighi derivanti dalle vigenti normative

23




_______________________________________________________________________________________contrattuali di lavoro; quelli di natura facoltativa si riferiscono ad iniziative

di carattere aziendale (per esempio la stipula di polizze assicurative non

obbligatorie o non previste dai vigenti contratti di lavoro, la pubblicazione

dei notiziari aziendali, i moduli di valutazione della performance e/o di

sviluppo e formazione).

b) il trattamento cui sono sottoposti i dati personali dei candidati alle

assunzioni è finalizzato esclusivamente allo svolgimento delle attività di

reclutamento e selezione del personale.

Modalità di

trattamento


aziendali.


derivanti dal rapporto con i Dipendenti/Collaboratori e Candidati alle

assunzioni.


corrispondenza e eventuale altra documentazione inerente la gestione,

prevalentemente economica, del rapporto in essere. Alcuni di questi

documenti possono essere gestiti anche elettronicamente tramite file word,

Excel, ect.

Ambito di

comunicazione

Limitatamente ai dati di dipendenti/collaboratori/stagisti, comunicazione a

soggetti terzi autorizzati, quali:

Enti/società di formazione

Consulenti Istituti previdenziali

Istituti di credito

Agenzia delle entrate


Altre strutture

che concorrono

--

24




_______________________________________________________________________________________al trattamento

Periodo di

conservazione

(data retention)

a) Personale dipendenti: dieci anni (in linea)

b) Candidati (Domande d'assunzione): un anno

T04Trattamento dati Log degli accessi degli Amministratori ai sistemi

informatici rilevanti per la privacy

Natura dei dati

trattatiPersonali

Categoria degli

interessatiSoggetti individuati quali amministratori di Sistema da parte della

PROGRAMMA AMBIENTE APUANE SPA

Finalità del

trattamento

Il trattamento dei dati personali è esclusivamente finalizzato alla tutela delle

persone e del patrimonio aziendale e di fornire i dati alle autorità

relativamente ai sistemi in oggetto.

Il conferimento dei dati in oggetto ha natura obbligatoria.

L’eventuale rifiuto di fornire i dati richiesti, avrà come conseguenza

l’impossibilità per la PROGRAMMA AMBIENTE APUANE SPA di

consentire l’uso dei sistemi informatici e telematici come Amministratore

oggetto del trattamento tenuto conto della normativa vigente in materia di

sicurezza.

Modalità di

trattamento

Le informazioni dettagliate relative ai log di accesso degli Amministratori

risiedono su sistema informatico dedicato, in cui i diritti di

Amministrazione e visualizzazione sono demandati ad accesso controllato

dal Responsabile del Trattamento dati

Ambito di

comunicazione


Fornitori

Consulenti25




_______________________________________________________________________________________Sedi aziendali Sedi della Società

Altre strutture

che concorrono

al trattamento

---

Periodo di

conservazione

(data retention)

Log : 6 mesi

T05Trattamento dati derivanti dal sito

www.programmambiente.it

Natura dei dati

trattatiPersonali

Categoria degli

interessati

Soggetti che visitano il sito aziendale, per quanto attiene in particolare

Ordinari e di navigazione

Dati personali identificativi in caso di utilizzo del form di contatto.”

Finalità del

trattamento

I dati sono trattati dalla società al fine di monitorare la navigazione sul sito

nonché per l’instaurazione dei contatti da parte degli utenti interessati a

ricevere informazioni sociali e/o sui servizi offerti dalla Società.

Il rilascio dei dati personali identificativi dell’utente attraverso il form

presente sul sito è subordinato al rilascio del consenso libero ed informato,

non rientrando, detto trattamento, nelle esimenti previste dall’art. 24 del

d.lgs. 196/2003..

Modalità di

trattamentoDati trattati in formato elettronico

Ambito di Soggetti esterni autorizzati, quali

26




_______________________________________________________________________________________comunicazione Fornitori

Consulenti


Altre strutture

che concorrono

al trattamento

Società esterna in ragione di rapporto contrattuale

Periodo di

conservazione

(data retention)

Non oltre il tempo necessario all’espletamento delle funzioni attivate

attraverso il sito e/o le pagine web dedicate al titolare e da questi presidiate.

T06 Trattamento dati Contatti Commerciali e Potenziali Clienti

Natura dei dati

trattatiPersonali

Categoria degli

interessati

In particolare vengono trattati dati personali, relativi ai possibili futuri

clienti della PROGRAMMA AMBIENTE APUANE SPA.

Finalità del

trattamento

Il trattamento dei dati personali è finalizzato alla gestione commerciale dei

potenziali clienti.

Il conferimento dei dati in oggetto ha natura facoltativa.

L’eventuale rifiuto di fornire i dati richiesti, avrà come conseguenza

l’impossibilità per la PROGRAMMA AMBIENTE APUANE SpA di

inviare le comunicazioni istituzionali relative ai servizi offerti.

Modalità di

trattamento

Le informazioni relative ai soggetti interessati risiedono sui data base

utilizzati dalla società

Ambito di

comunicazione


27




_______________________________________________________________________________________ Fornitori

Consulenti


Altre strutture

che concorrono

al trattamento

Società controllata da PROGRAMMA AMBIENTE APUANE SpA.

(Programma Ambiente Apuane Spa)

Periodo di

conservazione

Cinque anni decorrenti dall’ultimo contatto commerciale in caso di mancata

instaurazione del rapporto contrattuale

28




_______________________________________________________________________________________T07 Trattamento dati di terzi

Natura dei dati

trattatiPersonali, Sensibili

Categoria degli

interessati

Dati relativi ai soggetti individuati dagli interessati: possono riguardare i

soggetti con cui gli interessati entrano in rapporto per lo svolgimento

dell’attività e di cui trattano o comunque possono conoscere, anche solo

incidentalmente, i dati personali.

Si tratta in particolare di dati

anagrafici;

amministrativi e fiscali;

contabili;

dati giudiziari ;

retributivi (ivi incluse le trattenute per iscrizione al sindacato)

relativi alle certificazioni mediche

In particolare, tra i dati che il Titolare può trattare vi sono quelli di cui è

titolare la PROGRAMMA AMBIENTE APUANE SpA, con sede in

Montignoso (MS), Via Aurelia Km 374.

Finalità del

trattamento

Adempimento dei contratti di service in essere ed esatta osservanza dei

rapporti gestori derivanti dal collegamento societario.

Adempimento agli obblighi assunti nell’ambito dei rapporti instaurati

riferiti ai fini necessari all’esecuzione del contratto e dei rapporti in essere e

per l’adempimento degli obblighi da questi discendenti. Adempimento dei

contratti di service in essere ed esatta osservanza dei rapporti gestori

derivanti dal collegamento societario.

Modalità di Tali dati sono presenti nel sistema elettronico utilizzati dalle strutture

29




_______________________________________________________________________________________trattamento aziendali.


corrispondenza ed i documenti inerenti al rapporto commerciale con

l’interessato, inclusi eventuali dati patrimoniali. Alcuni di questi documenti

possono essere gestiti anche elettronicamente tramite file word, Excel, ect.

Ambito di

comunicazione


Fornitori

Consulenti

Pubbliche Amministrazioni


Periodo di

conservazione

(data retention)

Secondo i termini di legge in riferimento alla natura del contatto ed alla

categoria dell’interessato

30




_______________________________________________________________________________________T08 Trattamento dati Videosorveglianza

Natura dei dati

trattatiPersonali, Sensibili (in caso di soggetto portatore di handicap visibile)

Categoria degli

interessati

Soggetti ripresi dal campo visivo delle telecamere in dotazione presso la

PROGRAMMA AMBIENTE APUANE SpA.

Finalità del

trattamento

I dati sono trattati ed utilizzati per motivi di sicurezza interna ed esterna

delle strutture in cui si svolge l’attività, per agevolare il diritto di difesa del

titolare, di clienti/fornitori o di terzi in caso di eventuali fatti illeciti, tutelare

i dipendenti, i beni ed il patrimonio da atti illeciti di qualsivoglia natura, e

anche ai fini di prevenzione contro episodi vandalici o incendi anche

accidentali

Modalità di

trattamento

Gli impianti permettono la registrazione del dato ripreso con sovra

registrazione ogni 24 ore.

Il sistema di videosorveglianza è gestito esclusivamente da personale

interno appositamente incaricato.

Ambito di

comunicazioneSocietà di vigilanza appositamente nominata responsabile esterno


Altre strutture

che concorrono

al trattamento

---

31




_______________________________________________________________________________________Periodo di

conservazione

(data retention)

24 ore fatte salve speciali esigenze di ulteriore conservazione nel caso in

cui il Titolare debba aderire ad una specifica richiesta investigativa

dell’autorità giudiziaria o di polizia giudiziaria

T09 Trattamento dati Docenti

Natura dei dati

trattatiPersonali

Categoria degli

interessati

Docenti che intervengono ai meeting e/o ai corsi di formazione per il

personale organizzati e predisposti dalla PROGRAMMA AMBIENTE

APUANE SpA.

Finalità del

trattamento

Adempimento degli obblighi reciprocamente assunti con i docenti stessi o

con le Società/Enti presso la/Il quale/i prestano servizio

Modalità di

trattamento


aziendali.


derivanti dal rapporto in essere.


corrispondenza ed i documenti inerenti al rapporto (quali, a titolo

meramente esemplificativo e non esaustivo, contratti e fatture). Alcuni di

questi documenti possono essere gestiti anche elettronicamente tramite file

word, Excel, ect.

Ambito di

comunicazioneSoggetti terzi autorizzati

Sedi aziendali Sedi della Società32




_______________________________________________________________________________________

Altre strutture

che concorrono

al trattamento

Società del Gruppo limitatamente alle funzioni eventualmente delegate

Periodo di

conservazione

(data retention)


T10 Dati di Visitatori

Natura dei dati

trattatiPersonali

Categoria degli

interessati

Soggetti esterni che accedono alle strutture aziendali per ragioni quali - a

titolo meramente esemplificativo e non esaustivo - controlli, visite ispettive,

e comunque altre ed ulteriori esigenze connesse all’attività sociale.

Finalità del

trattamento

Il trattamento dei dati personali è strettamente finalizzato a ragioni, e

conseguenti obblighi, derivanti dalla normativa sulla sicurezza degli

ambienti e dei luoghi di lavoro.

Modalità di

trattamento

Tali dati sono trattati in formato cartaceo attraverso moduli messi a

disposizione del personale addetto al controllo ingressi.

Ambito di

comunicazione---


Altre strutture ---33




_______________________________________________________________________________________che concorrono

al trattamento

Periodo di

conservazione

(data retention)

Un giorno decorrente dal termine della visita, salvo sussistano ulteriori

esigenze di conservazione

34




_______________________________________________________________________________________T11 Trattamento dati compagine societaria

Natura dei dati

trattatiPersonali

Tipologia dei

dati e categoria

degli interessati

In particolare vengono trattati dati personali identificativi, contabili, fiscali

e giudiziari eventuali riferiti agli organi di vertice della Società

Finalità del

trattamento

Adempimento delle obbligazioni discendenti dall’appartenenza alla

compagine sociale del titolare e alla partecipazione alle attività statutarie;

esatta osservanza delle disposizioni attualmente in vigore o che dovessero

in futuro sopravvenire, nonché analisi bilanci societari.

Modalità di

trattamentoIl trattamento dei dati è eseguito attraverso supporti cartacei ed informatici

Ambito di

comunicazioneSoggetti terzi autorizzati


Altre strutture

che concorrono

al trattamento

---

Periodo di

conservazione

(data retention)

Dieci anni e secondo disposizioni di legge

35




_______________________________________________________________________________________T12 Trattamento dati Enti convenzionati

Natura dei dati

trattatiPersonali

Categoria degli

interessatiEnti Pubblici di riferimento che si relazionano con la Società

Finalità del

trattamento

Corretta gestione ed amministrazione delle attività convenzionate.

Adempimento delle obbligazioni reciprocamente assunte nell'ambito delle

convenzioni in essere ed esatta osservanza delle disposizioni attualmente in

vigore o che dovessero in futuro sopravvenire, nonché analisi dei rapporti

medesimi.


quelle disposizioni, essenzialmente di natura fiscale, che prescrive

l'adempimento di specifiche e rigorose formalità.

Modalità di

trattamento


aziendali.


derivanti dalla convenzione in essere.


corrispondenza ed i documenti inerenti la convenzione in essere, inclusi

eventuali dati patrimoniali. Alcuni di questi documenti possono essere

gestiti anche elettronicamente tramite file word, Excel, ect.

Ambito di

comunicazione---


Altre strutture ---36




_______________________________________________________________________________________che concorrono

al trattamento

Periodo di

conservazione

(data retention)


37




_______________________________________________________________________________________T13 Trattamento dati relativi ai Reclami

Natura dei dati


Categoria degli

interessati

Soggetti interessati – prevalentemente utenti e clienti - che presentano

reclami alla Società.

In particolare vengono trattati dati personali identificativi, sensibili

(eventuali) e giudiziari (eventuali)

Finalità del

trattamentoEvasione e corretta gestione del reclamo ricevuto

Modalità di

trattamentoIl trattamento dei dati avviene attraverso supporti elettronici e cartacei

Ambito di

comunicazione


Fornitori

Consulenti

Pubbliche Amministrazioni


Altre strutture

che concorrono

al trattamento

---

Periodo di

conservazione

(data retention)


38




_______________________________________________________________________________________

39




_______________________________________________________________________________________T14 Trattamento dati dei Sinistrati

Natura dei dati


Categoria degli

interessati

Dati relativi agli utenti/cittadini coinvolti in sinistri di cui sono parte mezzi

della Società

In particolare vengono trattati dati personali identificativi, sensibili

(eventuali) e giudiziari (eventuali)

Finalità del

trattamentoCorretta gestione della pratica inerente al sinistro

Modalità di

trattamentoIl trattamento dei dati avviene attraverso supporti elettronici e cartacei

Ambito di

comunicazione


Fornitori

Consulenti

Compagnie Assicurative


Altre strutture

che concorrono

al trattamento

---

Periodo di

conservazione

(data retention)


40




_______________________________________________________________________________________

41




_______________________________________________________________________________________Descrizione delle misure di sicurezza inerenti l’adozione di credenziali di autenticazione

Si riportano di seguito le caratteristiche di base in relazione alla gestione delle credenziali di

autenticazione nel rispetto della normativa.

La password deve essere composta da almeno 8 caratteri, se il sistema di elaborazione non

dovesse gestire il numero di caratteri minimo la password deve essere composta dal numero

massimo consentito dal sistema di elaborazione;

Non deve contenere nomi comuni, nomi di persona o riferimenti agevolmente riconducibili

all’incaricato;

All’assegnazione della password, questa deve essere modificata dall’incaricato al primo

utilizzo;

Successivamente deve essere modificata con cadenza al massimo semestrale. In caso di

trattamento di dati sensibili e/o giudiziari la password deve essere modificata con cadenza

trimestrale;

La password è personale e non deve essere trascritta.

Agli incaricati viene consegnata, congiuntamente alla propria lettera di nomina, una

dispensa istruttiva sulla gestione delle proprie credenziali di accesso.

Considerato quanto sopra, la PROGRAMMA AMBIENTE APUANE SPA ha fornito ad ogni

dipendente una password di otto caratteri alfanumerici. Una volta ricevuta, la stessa viene

immediatamente cambiata da ogni utente in modo tale da garantire un’identificazione univoca degli

accessi dalle singole postazioni. La password deve essere rinnovata ogni tre mesi.

Inoltre, nel caso di incaricati che cessino la propria attività presso la PROGRAMMA AMBIENTE

APUANE SPA, o perdano o mutino la qualità di incaricato, viene effettuata la cancellazione

immediata delle credenziali di autenticazione al fine di proteggere i dati dalla conoscibilità di

soggetti non più svolgenti attività all’interno della PROGRAMMA AMBIENTE APUANE SPA.

42




_______________________________________________________________________________________Descrizione dei server sulla base dei criteri di sicurezza informatica come imposti dal

legislatore ed adottati dalla struttura

presente in SALA SERVER

Si riportano di seguito le schede con indicazione dei livelli di sicurezza (autovalutazione) di seguito

indicati in tabella LdS, in relazione a tutti i Server utilizzati dalla PROGRAMMA AMBIENTE

SPA.

VERIFICA ASPETTI AUTENTICAZIONE Sì No

LdR

ALT

O

LdR

MED

IO

LdR

BASS

O

Il server è munito di credenziali di autenticazione X X

Le credenziali sono dotate di almeno 8 caratteri? X X

Vengono modificate almeno ogni 3 mesi? X X

In alternativa, hanno password biometrica? X x

VERIFICA ASPETTI PROTEZIONE

Il server ha un sistema antivirus? X X

L’aggiornamento avviene manualmente? X

In caso di aggiornamento manuale, esiste un solo

responsabile o più soggetti incaricati?

43




_______________________________________________________________________________________

VERIFICA ASPETTI INERENTI IL

RIPRISTINO DATI IN CASO DI PERDITA /

DANNEGGIAMENTO

I dati contenuti nel server sono soggetti a

procedure di back-up?X

La struttura sarebbe in grado di ripristinare i dati

contenuti sul server entro 7 gg. decorrenti

dall’evento di perdita e/o danneggiamento dati?

X

In caso positivo il back-up ha cadenza

giornaliera?X

Disaster recovery? X

Sussiste un soggetto appositamente incarico del

back-up?X

Riutilizzo dei supporti? X

VERIFICA PROTEZIONE GENERALE DEL

SERVER

Il sito di allocazione fisica del server è soggetto a

sorveglianza? X X

Sussistono badge di accesso alla sala server? X X

La sala server è protetta con chiusura a chiave e

relativa detenzione da parte di soggetti

appositamente incaricati?

X X

44




_______________________________________________________________________________________

Di seguito viene altresì indicata la classificazione dei dati trattati con l'uso di elaboratore e loro

allocazione su Server:

Identificativo dei datiEventuale

banca dati

Ubicazione

fisica su

Server

Tipologia

dispositivi

Tipologia di

interconnessione

Sensibili

(Si/No)

Gestione

Credenziali

Gestione

Profili

Gestionale GAMMA MS-SQLSala CED

Campi B.Hard disk

Rete locale e VPN

site to siteNO Sì Sì

Gestionale

E4 EnterpriseMS-SQL

Sala CED

Campi B.Hard disk

Rete locale e VPN


Fax server File systemSala CED

Campi B.Hard disk

Rete locale e VPN


Protocollo Lotus dbSala CED

Campi B.Hard disk

Rete locale e VPN

site to siteNO Sì NO

Personale

risorse umaneFile system

Sala CED

Campi B.Hard disk

Rete locale e VPN

site to siteSI Sì Sì

Posta elettronica SQL-LiteSala CED

Campi B.Hard disk

Rete locale, SMTPs,

POP3s e IMAP4sSI Sì Sì

Documenti File systemSala CED

Campi B.Hard disk

Rete locale e VPN

site to siteSI Sì Sì

Data aggiornamento: 15/12/2015

Per quanto concerne la strumentazione informatica in uso nelle varie aree, la connessione ad

internet avviene tramite un gateway munito di firewall debitamente configurato.

45




_______________________________________________________________________________________Formato delle copie di sicurezza e procedure di ripristino del dato

Tutti i file system dei server vengono copiati con logica incrementale una volta al giorno durante la

notte, con logica differenziale una volta alla settimana e con logica integrale una volta al mese. Il

periodo di ritenzione dei dati è di almeno 6 mesi con la seguente periodicità:

- A partire dalla data dell’ultimo backup rimangono disponibili tutti i backup giornalieri per

30 giorni;

- Nel mese precedente l’ultimo backup rimangono a disposizione il backup mensile e quelli

settimanali;

- Dal terzo mese a ritroso rimarranno a disposizione esclusivamente i backup mensili.

E’ stata inoltre attivata la funzione di shadow copy per avere un ulteriore livello di ripristino

disponibile che copre, in media, 10 giorni lavorativi.

Inoltre i backup sono impostati per poter effettuare il disaster recovery in un qualunque momento

storico compreso fra l’ultimo backup ed il più vecchio disponibile.

Le copie di sicurezza vengono effettuate utilizzando il programma Acronis Backup, attualmente alla

versione 11.5 ma costantemente aggiornato, utilizzando come supporto un server di tipo NAS posto

in un armadio rack chiuso e protetto da chiave sito nel locale dell’antibagno. Il NAS è dotato di un

gruppo di continuità autonomo.

In caso di necessità di ripristino di primo livello, laddove il periodo di tempo non sia superiore a 10

giorni, l’utente può recuperare in autonomia qualunque dato a cui abbia accesso, secondo permessi

e credenziali, sfruttando la funzione “versioni precedenti”.

Nel caso in cui sia necessario un periodo anteriore ai 10 giorni o il ripristino interessi database

(SQL) e configurazioni di sistema, interviene il personale specificamente

46




_______________________________________________________________________________________Analisi dei rischi e delle criticità sotto il profilo informatico

Si individuano i rischi relativi alla conservazione e alla riservatezza dei dati derivanti dai seguenti

eventi:

1. Passaggio di credenziali a persona non autorizzata a seguito di smarrimento,

disattenzione o errore materiale.

2. Azione di virus informatici, di software malizioso intromesso dall'esterno, o di

manipolatori che si intromettono con manovre di destrezza informatica ("hackers").

3. Difetti di funzionamento e/o guasto hardware o del software, o degli impianti

necessari ad assicurare il buon funzionamento dei dispositivi (condizionatori, gruppi di continuità,

eccetera, Black-out elettrici).

4. Eventi disastrosi o catastrofici, naturali, colposi, o dolosi (incendi, crolli,

alluvioni, surriscaldamento, eccetera,).

5. Azioni di furto, sabotaggio, intercettazione perpetrate con lo scopo diretto di

danneggiare l'azienda e/o di trarre profitto in modo criminoso.

6. Accessi dall’esterno autorizzati tramite VPN a rete PROGRAMMA

AMBIENTE APUANE

7. Protezione E-Mail e Anti Spam

8. Accesso e monitoraggio sala CED

9. Collegamenti e servizi per/da il mondo esterno e Server Farm

10. Integrità dei dati lato Client

11. rottamazione e Riciclo PC

1. Passaggio di credenziali a persona non autorizzata.

Conseguenze: Gravità lieve. L'evento non produce danni se la persona non autorizzata non utilizza

la credenziale per eseguire operazioni indebite; nel caso che questo avvenga si tratta comunque di

operazioni previste dalle normali procedure, e, quindi, rettificabili con le stesse (esempio: emissione

di fatture indebite). Esula da questa analisi la valutazione di eventuali responsabilità oggettive,

contestabili in sede civile e penale a chi fa l'uso indebito della credenziale.

47




_______________________________________________________________________________________Misure preventive: Si responsabilizzano gli incaricati del trattamento dei dati notificando le norme

comportamentali da seguire nell'uso delle credenziali.

Si dà disposizione al tecnico che gestisce gli impianti informatici di forzare il cambio delle parole

chiave almeno ogni sei mesi.

Misure consuntive: Se l'evento si verifica si annulla immediatamente la credenziale, e, se è nota la

persona che ne è venuta indebitamente in possesso, gli si invia una diffida scritta.

Stato Attuale: Procedura Attiva

2. Azione di virus informatici o di hackers

Conseguenze: Gravità elevata. L'evento può provocare danni notevoli, soprattutto se non è rilevato

tempestivamente.

Misure preventive: Su tutti i punti d'interconnessione della rete aziendale con la rete Internet è

installato un dispositivo di sbarramento ("firewall").

Tutti gli addetti al trattamento dei dati mediante elaboratore vengono diffidati dall'installare sul

proprio computer software di dubbia provenienza, e senza il controllo da parte del responsabile dei

servizi informatici aziendali. La manutenzione, l'aggiornamento, e la verifica della funzionalità del

dispositivo firewall sono affidate al responsabile dei sistemi informatici aziendali, che si avvale

eventualmente di collaborazioni esterne adeguatamente qualificate e responsabilizzate.

Nell'impianto d'elaborazione dati dell'azienda, sia lato Server che Client, opera un programma di

scansione delle memorie e dell’attività in tempo reale per l'individuazione tempestiva dei virus

(Antivirus Trend Micro). E’ attivo un sistema giornaliero di Upgrade dei patterns virali

Server/Client con relativo e autonomo aggiornamento su questi. Inoltre per ognuno di questi è

prevista una scansione dell’intero sistema come evento schedulato, disabilitato soltanto in alcuni

casi specifici considerata la bassa probabilità di contagio relativa.

La manutenzione, l'aggiornamento, e la verifica della funzionalità di questo software sono affidate

al responsabile dei sistemi informatici aziendali, che si avvale eventualmente di collaborazioni

interne e/o esterne adeguatamente qualificate e responsabilizzate.

Azioni consuntive: nel caso in cui si verifichi un'intrusione indebita non impedita dal firewall, o si

rilevi la presenza di un virus non neutralizzato dal programma antivirus, si effettua un controllo

dell'efficienza e del livello d'aggiornamento di quegli strumenti, coinvolgendo il tecnico

48




_______________________________________________________________________________________responsabile incaricato, a cui si richiederà di relazionare per iscritto sulle cause dell'incidente e di

proporre azioni d'integrazione o di sostituzione. Inoltre si attiva intervento tecnico di personale

PROGRAMMA AMBIENTE o Partner incaricato al fine di eliminare l’azione virale e ripristinare

la situazione precedente l’attacco.

Se si rileva un'intrusione avvenuta in aree da cui è possibile accedere ai dati, si ripristinano i dati

compromessi da un precedente salvataggio non corrotto.


3. Difetti di funzionamento e/o guasto hardware, software, o impianti

Conseguenze: possono essere gravi in casi particolari, generalmente lievi o temporanee. Questo tipo

di evento è dannoso soprattutto per quanto riguarda la disponibilità dei dati, più che per la loro

integrità e riservatezza. Queste vengono salvaguardate dalla presenza di copie di salvataggio

eseguite regolarmente. Si possono anche generare interruzioni del servizio su procedure OnLine o

comunque critiche per PROGRAMMA AMBIENTE APUANE .

Azioni preventive: Si adottano provvedimenti per garantire l'efficienza nel tempo delle attrezzature:

il livello tecnologico dell'hardware e del software di base viene aggiornato periodicamente; ogni

aggiornamento del software applicativo viene testato in via preliminare con dati di prova; si

sottoscrivono contratti di manutenzione preventiva per gli impianti tecnologici. Per i guasti ai

sistemi di Storage è prevista la configurazione in Raid (1 o 5) dei Servers e/o l’utilizzo di apposite

SAN. Per quanto riguarda invece i Server dove risiedono procedure OnLine o comunque critiche

per PROGRAMMA AMBIENTE APUANE è previsto un sistema di virtualizzazione (VMWare)

che permette anche in caso di Crash del sistema centrale l’immediata presa in carico da parte di

altro Server (normalmente utilizzato per ripartire il carico di lavoro) di tutte le operazioni in

oggetto.

Azioni consuntive: Dopo il ripristino della funzionalità delle attrezzature, si effettua in via

preliminare un test con dati di prova. Solo dopo il superamento di questo test si rimettono in linea i

dati effettivi, eventualmente recuperandoli da una copia.

Stato Attuale: Procedura Attiva – Virtualizzazione Server in fase di completamento

4. Eventi disastrosi o catastrofici

Conseguenze: lievi (per quanto riguarda i dati)49




_______________________________________________________________________________________Si hanno gravi conseguenze solo se non si dispone delle copie di salvataggio, oppure se i supporti

delle copie vengono coinvolti nel disastro.

Azioni preventive: - Esecuzione delle copie di salvataggio con puntualità, regolarità e completezza.

- I server adibiti ai salvataggi conservano sono situati in locali diversi dal CED

- verifica periodica dell'efficienza delle procedure di salvataggio.

-Per quanto riguarda il rischio incendio esiste sistema antincendio passivo e attivo.

- Allagamenti: assente – Crollo: Assente – Vibrazioni: Attivo - Surriscaldamento: sistema di

climatizzazione indipendente con sistema di rilevamento over temperatura – Black Out elettrico:

Sistema di UPS con monitoraggio impianto elettrico e gestione di spegnimento automatico graduale

dei Server, a seconda del servizio svolto da questi, al fine di aumentare la soglia di autonomia a quei

Server dove risiedono procedure che operano On Line oppure critiche.

Azioni consuntive: Recupero dei dati dalle copie e costante verifica dei sistemi.


5. Azioni dolose

Conseguenze: gravi.

A prescindere dai danni economici prodotti intenzionalmente, o come effetto collaterale del primo

intento criminoso, può conseguire dall'evento una diffusione indiscriminata dei dati o un utilizzo

illegale.

Azioni preventive: Si adottano le normali cautele di vigilanza.

Azioni consuntive: Si sostituiscono tutte le credenziali.


6. Accesso dall’esterno a rete PROGRAMMA AMBIENTE APUANE in VPN

Conseguenze: gravi.

L’evento, se non autorizzato, può portare a sottrazione di dati non autorizzato e/o al

danneggiamento della rete Aziendale stessa.

Azioni preventive: Si permette l’accesso a soggetti esterni o dipendenti PAA autorizzati alla rete

PAA da remoto tramite VPN con tecnica di cifratura con chiavi precondivise di lunghezza

adeguata.

50




_______________________________________________________________________________________Per i soggetti esterni vengono altresì definite nel sistema le aree specifiche a cui ognuno deve accedere, precludendo di fatto il resto della rete e limitando quindi il raggio d’azione, per i Dipendenti PAA l’area di azione è riconducibile ad un accesso standard sulla rete PAA da postazione fissa in sede.Azioni consuntive: Revoca dell’accesso in caso di cessata esigenza del servizio, oppure in caso di accertato non corretto utilizzo.7. Protezione E-Mail e Antispam

Conseguenze: Gravità elevata nel caso di azione virale su E-Mail: l'evento può provocare danni

notevoli, soprattutto se non è rilevato tempestivamente. Gravità Lieve nel caso di Spam: può avere

conseguenze di messaggi indesiderati sui Client.

Azioni preventive: Sul Server di posta è attivo un Antivirus (Clamav) che garantisce la scansione di

tutti i messaggi int. ed ext.. E’ previsto un suo aggiornamento periodico a cadenza giornaliera. E’

altresì attivo anche un sistema di gestione antispam che elimina un alto numero di messaggi

indesiderati dalla posta in arrivo.

Azioni Consuntive: Verifica da parte di partner incaricato dei Log di entrambi i servizi. Attività di

analisi continua che riduce al minimo i rischi di azione virale e aggiornamento mirato programmato

delle regole di gestione del servizio antispam.


8. Accesso e monitoraggio sala CED

Conseguenze: Gravità elevata l’evento può provocare danni notevoli alle strutture aziendali e

conseguentemente ai sistemi dati e fonia

Azioni preventive: Accesso tramite badge di prossimità. Possibilità di accesso tramite chiave

tradizionale anche a personale autorizzato solo in caso di emergenza. Presenza di personale

PROGRAMMA AMBIENTE APUANE in caso di accesso di terzi a seguito di lavori alle strutture

del locale oppure di operazioni sugli apparati informatici (hardware e/o software). Il locale è dotato

di sistema di videosorveglianza collegato al relativo sistema centrale.

Azioni Consuntive: Nessuna in particolare, salvo verificare le cause di un eventuale emergenza, con

o senza accesso ai locali al fine di garantire la regolarità delle operazioni.


9. Collegamenti e servizi per/da il mondo esterno e Server Farm

51




_______________________________________________________________________________________Conseguenze: A seconda del tipo di guasto hardware o problema software si possono avere

conseguenze lievi o gravi sulla normale attività di PROGRAMMA AMBIENTE APUANEe di altri

soggetti collegati a vario titolo.

Azioni preventive: Definizione di piano di back up per tutti i servizi e tutte le connessioni esterne ed

interne, compreso l’integrazione di piani similari predisposti da terzi partner e/o fornitori di servizi

ad PROGRAMMA AMBIENTE APUANE. Ridondanza delle apparecchiature strategiche e dei

collegamenti (in fibra o rame anche di soggetti fornitori diversi) sia sulla rete interna che di

connessione ai servizi esterni. Richiesta ai Fornitori di SLA adeguati sui servizi.

Azioni consuntive: Monitoraggio continuo e al verificarsi di eventuali problematiche non

prevedibili o comunque anomale, un attenta analisi dell’evento al fine di migliorare lo standard dei

servizi offerti ed integrazione delle relative procedure in essere.

Stato Attuale: Procedura attiva

10. Integrità dei dati lato Client

Conseguenze: In caso di guasto fisico della memoria centrale del Client, nella maggior parte dei

casi perdita di dati non contenenti dati sensibili e di basso interesse aziendale ma comunque da

salvaguardare nell’interesse dell’attività del singolo utente.

Azioni preventive: Organizzazione su ogni singolo client di aree dati, di tipologia da definirsi a

seconda dei casi, copiate su area di Storage definita e regolarmente inserite nel sistema di BackUp

centralizzato.

Azioni consuntive: operazione di Backup su ogni singolo Client delle aree dati predefinite su area di

Storage a carico singolo utente.

Stato attuale: Procedura attiva.

11. Rottamazione e Riciclo PC

Conseguenze: Possibilità di recuperare i dati presenti sull’HD con conseguente utilizzo non

autorizzato.

Azioni preventive: Nel caso di riciclo si procede preventivamente alla formattazione dell’HD e

reinstallazione del S.O. e delle applicazioni prima della riassegnazione. Nel caso di rottamazione se

l’HD è buono viene tolto e preso in carico dal Settore Informatica, altrimenti se danneggiato si

procede comunque, per maggior sicurezza, a renderlo inutilizzabile a livello fisico. 52




_______________________________________________________________________________________Azioni consuntive: Verifica del rispetto delle procedure se effettuate da soggetti esterni abiliati al

servizio.

Stato attuale: Procedura Attiva

53




_______________________________________________________________________________________Valutazione dei rischi generali

Si riportano di seguito gli elementi di analisi dei rischi tenuto conto dei seguenti fattori:

Rischio

Rischio potenziale valutato

Probabilità

Valutata sulla base dell’analisi aziendale

Gravità del rischio

Indica la gravità del danno potenziale causato qualora si verificasse.

Rimedi

Indica se l’azienda ha adottato misure per coprire il rischio o meno.

Fattore di rischio

Indica in definitiva il fattore di criticità e di probabilità legate alla gravità e al danno conseguente

Accessi non autorizzati alla struttura Fattore Valore

Descrizione:

La PROGRAMMA AMBIENTE SpA controlla gli

accessi esterni con un sistema di identificazione

all’ingresso.

Durante la chiusura è attivo un sistema di allarme

È altresì attivo un sistema di videosorveglianza

Probabilità Bassa

Gravità Bassa

Danno

economicoBasso

Copertura Medio

Fattore di

rischioBasso

54




_______________________________________________________________________________________

55




_______________________________________________________________________________________

Incendio Fattore Valore

Descrizione:

Sussistenza dei mezzi ordinari di spegnimento ai

sensi della vigente normativa in materia di sicurezza

sui luoghi di lavoro

Probabilità Media

Gravità Media

Danno

economicoMedia

Copertura Media

Fattore di

rischioMedio

Distruzione o perdita dei dati cartacei Fattore Valore

Descrizione:

Sussistenza dei mezzi ordinari di spegnimento ai

sensi della vigente normativa in materia di sicurezza

sui luoghi di lavoro

Probabilità Media

Gravità Media

Danno

economicoMedio

Copertura Media

Fattore di

rischioMedio

56




_______________________________________________________________________________________

Divulgazione dati a soggetti non autorizzati Fattore Valore

Descrizione:

Controllo degli accessi esterni mediante

identificazione all’entrata.

Gli archivi cartacei sono contenuti in

stanze/armadietti chiusi a chiave.

Durante la chiusura è attivo un sistema di allarme

È altresì attivo un sistema di videosorveglianza

Probabilità Bassa

Gravità Bassa

Danno

economicoBasso

Copertura Alta

Fattore di

rischioBasso

Condotte degli operatori Fattore Valore

Descrizione:

i dipendenti hanno media conoscenza in materia

informatica

Probabilità Bassa

Gravità Media

Danno

economicoMedio

Copertura Media

Fattore di

rischioMedio

57




_______________________________________________________________________________________Pianificazione degli interventi formativi previsti

Sono previsti i seguenti interventi formativi a favore di responsabili ed incaricati delle banche dati

personali dell’Azienda:

– Attraverso specifiche circolari volte a fornire ad incaricati e responsabili, indicazioni sulle

modalità del trattamento dei dati effettuato in relazione alle specifiche mansioni aggiornandoli

anche in caso di modifiche sulle normativa corrente.

– Attraverso specifici interventi informativi - formativi , in caso di cambiamento di mansioni degli

incaricati, a cura del Responsabile del trattamento;

– Attraverso specifici interventi informativi - formativi, in caso di introduzione di nuovi

significativi strumenti, rilevanti rispetto al trattamento dei dati personali, a cura dei Responsabili;

– Attraverso l'assegnazione di dettagliate istruzioni, scritte e personalizzate, complete dell’ambito

di trattamento del nuovo incaricato.

– Attraverso corsi di formazione ad hoc prestati da consulenti in materia di privacy.

Procedura di dismissione della spazzatura elettronica

A seguito del Provvedimento 13 ottobre 2008, l’Autorità Garante ha sancito che il titolare, il quale

intenda dismettere pc e dispositivi elettronici contenti banche dati, dovrà preoccuparsi di cancellare

in maniera definitiva i dati personali ivi memorizzati, garantendo la loro non intelligibilità.

Criticità: DISMISSIONE PERMANENTE DEL PC

Soluzione: rimozione disco fisso e/o distruzione fisica dello stesso

Criticità: AFFIDAMENTO TEMPORANEO DEL PC A SOCIETA’ ESTERNA

Soluzione 1: adozione di dichiarazioni di riservatezza sottoscritte dalla società di

58




_______________________________________________________________________________________

assistenza

Trattamento dei dati con comunicazione ai terzi

La PROGRAMMA AMBIENTE APUANE SPA si avvale di terzi soggetti estranei

all’organizzazione cui vengono demandate alcune delle attività proprie della società titolare del

trattamento.

Quale criterio al fine di garantire che le misure minime di sicurezza adottate dalla Società siano

rispettate anche dai terzi, è stata adottata la prassi di richiedere una dichiarazione in cui il soggetto

terzo confermi l’adozione delle cautele necessarie al corretto trattamento dei dati personali

comunicati e la protezione dei medesimi, fornendo le proprie risorse informatiche delle misure

richieste per legge (minime e altresì idonee).

le dichiarazioni di riservatezza sottoscritte dai professionisti/consulenti quali, a titolo meramente

esemplificativo e non esaustivo:

a) consulente del lavoro

b) commercialisti

c) consulenti in materia di sicurezza sui luoghi di lavoro

d) società di informatica per la manutenzione, implementazione e tenuta dei server ed attività

convenzionate per la gestione dei servizi propri degli enti pubblici

e) consulenti legali

f) enti società di formazione

g) società di assistenza in materia videosorveglianza e vigilanza

h) società di marketing

i) società terze per la gestione dei servizi al cittadino ed i relativi reclami telefonici

j) collegio dei revisori (per la verifica dei bilanci e degli investimenti in virtù delle convenzioni

intervenute)

k) enti/società per attività di consulenza informatica e fornitura dei relativi servizi

59




_______________________________________________________________________________________Altresì la società in applicazione al disposto dell’art. 25 del Disciplinare Tecnico (All. B al D.lgs. n.

196/2003 s.m.i.) allorché adotti misure minime di sicurezza avvalendosi di soggetti esterni alla

propria struttura, per provvedere alla esecuzione riceve dall’installatore una descrizione scritta

dell’intervento effettuato che ne attesta la conformità alla normativa applicabile ovvero, nei casi di

cogestione dati o outsourcing diretto e fiduciario, viene effettuata direttamente una nomina a

responsabile esterno.

Condotte degli operatori Fattore ValoreDescrizione:I dipendenti hanno media conoscenza in materia informatica

Probabilità Bassa

Gravità MediaDanno economico MedioCopertura MediaFattore di rischio Medio

Novità legislative introdotte dal Job’s Act: rapporto di lavoro e privacy

Il Job’s Act ha introdotto delle novità inerenti l’utilizzo delle informazioni di cui viene in possesso

il datore di lavoro durante l’attività lavorativa attraverso sistemi di controllo a distanza quali

videosorveglianza, geolocalizzazione e qualsiasi altra tecnologia che permette il controllo della

prestazione lavorativa del dipendente.

Gli strumenti di controllo non sono ammessi se hanno il solo scopo di controllare il lavoro del

dipendente ma lo sono se rispondono ad esigenze organizzative, produttive, di sicurezza sul lavoro

e/o di tutela del patrimonio aziendale (inteso come beni materiali che immateriali).

I controlli che il datore di lavoro può fare attraverso questi strumenti sono incidentali o difensivi.

60




_______________________________________________________________________________________Affinché il datore di lavoro effettui legittimamente i controlli a distanza per gli scopi sopra citati le

ragioni del controllo devono essere verificabili e oggettive e i soggetti interessati devono essere

previamente informati del tipo di controllo a cui sono soggetti e dell’utilizzo dei dati raccolti.

Lo strumento di lavoro in sé ( ad es. tablet, pc, smartphone, etc) non può, invece, essere considerato strumento di controllo a distanza e può essere controllato dal datore di lavoro purché lo stesso ne abbia regolamentato l’utilizzo, il tipo di controllo effettuato e le eventuali sanzioni in caso di uso scorretto da parte del dipendente. Se il datore di lavoro rispetta quanto stabilito nella normativa di riferimento i dati raccolti possono essere utilizzati sia ai fini del rapporto di lavoro e quindi di verifica della correttezza della prestazione lavorativa sia in caso di un’eventuale commissione di reati da parte del dipendente.

Le regole aziendali stabilite da Programma Ambiente sono esplicitate in procedure e/o regolamenti

interni nonché nelle informative distribuite ai dipendenti.

Sottoscrizione

Il presente Disciplinare Privacy è stato redatto in linea con le previsioni del D.Lgs. 196/03.

Il sottoscritto MASSIMILIANO ARRIGONI nella sua qualità di legale rappresentante pro –

tempore della società PROGRAMMA AMBIENTE APUANE SPA, procede alla firma del

presente documento conferendo la necessaria ufficialità ad esso e alle informazioni contenute.

Prato , 27.1.2016

Per PROGRAMMA AMBIENTE APUANE SPA

AMMINISTRATORE UNICO

DR.ARRIGONI MASSIMILIANO

61




_______________________________________________________________________________________

62



· Web viewAlcuni di questi documenti possono essere gestiti anche elettronicamente tramite file...

Documents

Transcript of · Web viewAlcuni di questi documenti possono essere gestiti anche elettronicamente tramite file...