DOCUMENTO di ADOZIONE delle MISURE MINIME di … principale.pdf · Altri strumenti di elaborazione...

2018

Azienda Servizi alla Persona A.S.P. “CarloPezzani”

Provincia di Pavia

DOCUMENTO diADOZIONE delle MISUREMINIME di SICUREZZA

Il presente documento e stato emesso il giorno 07 maggio 2018,

e stato redatto ai sensi e per gli effetti dell’articolo 34, comma 1,

lettera g del D.Lgs 196/2003 e del Disciplinare Tecnico allegato

al medesimo decreto sub b.

Data di stampa: 07 maggio 2018

2018

Azienda Servizi alla Persona A.S.P. “Carlo Pezzani”

Indice

1 Documento di Adozione delle Misure Minime di Sicurezza 11.1 Revisioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11.2 Scopo di questo documento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21.3 Campo di applicazione . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21.4 Riferimenti Normativi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41.5 Titolare del trattamento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.6 Esercizio della titolarita . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.7 Definizioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

1.7.1 Trattamento . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.7.2 Dati Personali . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.7.3 Dati sensibili . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.7.4 Dati giudiziari . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51.7.5 Titolare . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.6 Responsabile del trattamento dei dati . . . . . . . . . . . . . . . . . . . . 61.7.7 Incaricati al trattamento . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.8 Interessato . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.9 Comunicazione . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.10 Diffusione . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.11 Dato anonimo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61.7.12 Blocco . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.13 Banca dati . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.14 Comunicazione elettronica . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.15 Strumenti elettronici . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.16 Rischi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.17 Misure minime . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.18 Autenticazione informatica . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.19 Credenziali di autenticazione . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.20 Parola Chiave . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71.7.21 Profilo di autorizzazione . . . . . . . . . . . . . . . . . . . . . . . . . . . 81.7.22 Sistema di autorizzazione . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

1.8 Elenco degli Allegati e dei Modelli utilizzati . . . . . . . . . . . . . . . . . . . . 8

2 Ruoli, compiti e nomina delle figure previste per la sicurezza dei dati perso-nali 92.1 Titolare del trattamento dei dati personali . . . . . . . . . . . . . . . . . . . . . 9

2.1.1 Compiti del titolare del trattamento dei dati personali . . . . . . . . . . 92.2 Responsabile della sicurezza dei dati personali . . . . . . . . . . . . . . . . . . . 10

2.2.1 Compiti del responsabile della sicurezza dei dati personali . . . . . . . . 102.2.2 Nomina del responsabile della sicurezza dei dati personali . . . . . . . . . 11

Documento di Adozione delle Misure Minime di Sicurezza - i di 49 07 maggio 2018

2018


2.3 Responsabile di uno specifico trattamento dei dati personali . . . . . . . . . . . 112.3.1 Compiti del responsabile di uno specifico trattamento di dati personali . 112.3.2 Nomina dei responsabili di uno specifico trattamento di dati personali . . 12

2.4 Amministratori di Sistema . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132.4.1 Compiti degli Amministratori di sistema . . . . . . . . . . . . . . . . . . 132.4.2 Nomina degli Amministratori di Sistema . . . . . . . . . . . . . . . . . . 15

2.5 Responsabile della custodia delle password . . . . . . . . . . . . . . . . . . . . . 152.5.1 Compiti dei responsabili della custodia delle password . . . . . . . . . . . 152.5.2 Nomina dei Responsabili della custodia delle password . . . . . . . . . . 17

2.6 Responsabile delle copie di sicurezza delle banche dati . . . . . . . . . . . . . . . 172.6.1 Compiti dei responsabili delle copie di sicurezza delle banche dati . . . . 172.6.2 Nomina dei Responsabili delle copie di sicurezza delle banche dati . . . . 19

2.7 Incaricato della custodia delle aree e dei locali . . . . . . . . . . . . . . . . . . . 192.7.1 Compiti degli incaricati della custodia delle aree e dei locali . . . . . . . 192.7.2 Nomina degli incaricati della custodia delle aree e dei locali . . . . . . . . 19

2.8 Incaricato del trattamento dei dati personali . . . . . . . . . . . . . . . . . . . . 202.8.1 Compiti degli incaricati del trattamento dei dati personali . . . . . . . . 202.8.2 Nomina degli incaricati del trattamento dei dati personali . . . . . . . . . 22

3 Trattamenti con l’ausilio di strumenti elettronici 253.1 Sistema di autenticazione informatica . . . . . . . . . . . . . . . . . . . . . . . . 25

3.1.1 Procedura di identificazione . . . . . . . . . . . . . . . . . . . . . . . . . 253.1.2 Identificazione dell’incaricato . . . . . . . . . . . . . . . . . . . . . . . . 253.1.3 Cautele per assicurare la segretezza della componente riservata della

credenziale . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263.1.4 Caratteristiche della parola chiave . . . . . . . . . . . . . . . . . . . . . . 263.1.5 Modalita di richiesta delle credenziali di autenticazione . . . . . . . . . . 263.1.6 Istruzioni per non lasciare incustodito e accessibile lo strumento elettronico 273.1.7 Accesso straordinario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28

3.2 Sistema di autorizzazione . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283.3 Altre misure di sicurezza . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283.4 Elenco dei trattamenti di dati personali . . . . . . . . . . . . . . . . . . . . . . . 29

3.4.1 Elenco delle sedi e degli uffici in cui vengono trattati i dati . . . . . . . . 293.4.2 Elenco degli archivi dei dati oggetto del trattamento . . . . . . . . . . . 293.4.3 Elenco dei sistemi di elaborazione per il trattamento . . . . . . . . . . . 29

3.5 Distribuzione dei compiti e delle responsabilita nell’ambito delle strutture pre-poste al trattamento dei dati . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 303.5.1 Elenco dei soggetti autorizzati al trattamento dei dati . . . . . . . . . . . 303.5.2 Verifiche periodiche delle condizioni per il mantenimento delle autorizza-

zioni . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 303.6 Analisi dei rischi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30

3.6.1 Analisi dei rischi hardware . . . . . . . . . . . . . . . . . . . . . . . . . . 303.6.2 Analisi dei rischi sui sistemi operativi e sui software installati . . . . . . . 313.6.3 Analisi degli altri rischi nel trattamento dei dati . . . . . . . . . . . . . . 31

3.7 Misure da adottare per garantire l’integrita e la disponibilita dei dati . . . . . . 323.8 Misure da adottare per la protezione delle aree e dei locali, rilevanti ai fini della

loro custodia e accessibilita . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333.8.1 Misure generali . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333.8.2 Procedure per controllare l’accesso ai locali in cui vengono trattati i dati 33

07 maggio 2018 Documento di Adozione delle Misure Minime di Sicurezza - ii di 49

2018


3.9 Formazione degli incaricati del trattamento . . . . . . . . . . . . . . . . . . . . . 343.9.1 Piano di formazione . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34

3.10 Criteri da adottare per garantire l’adozione delle misure minime di sicurezza incaso di trattamenti di dati personali affidati all’esterno della struttura del titolare 353.10.1 Trattamenti di dati personali affidati all’esterno della struttura del titolare 353.10.2 Criteri per la scelta degli enti terzi per il trattamento di dati personali

affidati all’esterno della struttura del titolare . . . . . . . . . . . . . . . . 353.10.3 Nomina del responsabile esterno del trattamento in out-sourcing . . . . . 35

3.11 Ulteriori misure in caso di trattamento di dati sensibili o giudiziari . . . . . . . . 363.11.1 Protezione contro l’accesso abusivo . . . . . . . . . . . . . . . . . . . . . 363.11.2 Istruzioni organizzative e tecniche per la custodia e l’uso dei supporti

rimovibili . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373.11.3 Riutilizzo dei supporti rimovibili . . . . . . . . . . . . . . . . . . . . . . . 373.11.4 Ripristino dell’accesso ai dati in caso di danneggiamento . . . . . . . . . 38

3.12 Misure di tutela e garanzia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 383.12.1 Descrizione degli interventi effettuati da soggetti esterni . . . . . . . . . . 38

4 Trattamenti senza l’ausilio di strumenti elettronici 394.1 Nomina e istruzioni agli incaricati . . . . . . . . . . . . . . . . . . . . . . . . . . 394.2 Norme di sicurezza per gli incaricati del trattamento di dati personali effettuato

senza l’ausilio di strumenti elettronici . . . . . . . . . . . . . . . . . . . . . . . . 394.3 Copie degli atti e dei documenti . . . . . . . . . . . . . . . . . . . . . . . . . . . 414.4 Controllo degli accessi . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41

5 Diritti dell’interessato 435.1 Diritto di accesso ai dati personali . . . . . . . . . . . . . . . . . . . . . . . . . . 435.2 Esercizio dei diritti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445.3 Modalita di esercizio . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445.4 Riscontro all’interessato . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45

6 Controlli 476.1 Nomina del Responsabile dei controlli . . . . . . . . . . . . . . . . . . . . . . . . 476.2 Periodicita dei controlli . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 476.3 Adozione delle misure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47

7 Dichiarazioni d’impegno e firma 49

Documento di Adozione delle Misure Minime di Sicurezza - iii di 49 07 maggio 2018

2018


Capitolo 1

Documento di Adozione delle MisureMinime di Sicurezza

1.1 Revisioni

Revisione Data Stampa Descrizione1.00 07 maggio 2018 Stampa

Documento di Adozione delle Misure Minime di Sicurezza - 1 di 49 07 maggio 2018

2018


1.2 Scopo di questo documento

Il presente Documento di Adozione delle Misure Minime di Sicurezza e redatto per soddisfaretutte le misure minime di sicurezza che debbono essere adottate in via preventiva da tutticoloro che trattano dati personali, conformemente a quanto previsto dal Codice in materia diprotezione dei dati personali (D.Lgs, n.196 del 30 giugno 2003).

Inoltre costituisce un valido strumento per la adozione delle misure previste dall’Art. 31,dall’Art. 34 e dall’Art. 35 dello stesso Codice in materia di protezione dei dati personali (D.Lgs.n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misure minime di sicurezza(allegato B del D.Lgs. n.196 del 30 giugno 2003).

Scopo del presente Documento e quello di ridurre al minimo i rischi di distruzione o perdita,anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito onon conforme alle finalita della raccolta, intendendosi per misure di sicurezza il complesso degliaccorgimenti tecnici, informatici, organizzativi, logistici e procedurali di sicurezza.

1.3 Campo di applicazione

Il Documento di Adozione delle Misure Minime di Sicurezza definisce le politiche e gli standarddi sicurezza in merito al trattamento dei dati personali.Il Documento di Adozione delle Misure Minime di Sicurezza riguarda il trattamento di tutti idati personali:

• Sensibili

• Giudiziari

• Comuni

Il Documento di Adozione delle Misure Minime di Sicurezza si applica al trattamento di tuttii dati personali effettuato per mezzo di:

• Strumenti elettronici di elaborazione

• Altri strumenti di elaborazione (ed esempio: Cartacei, Audio, Visivi e Audiovisivi, ecc.)

Il Documento di Adozione delle Misure Minime di Sicurezza deve essere conosciuto ed applicatoda tutte le funzioni che fanno parte dell’organizzazione.

07 maggio 2018 Documento di Adozione delle Misure Minime di Sicurezza - 2 di 49

2018



2018


1.4 Riferimenti Normativi

Riferimento Descrizione1 Codice in materia di dati personali (D.Lgs. n. 196 del 30 giugno 2006)2 Art. 45, comma 1, lett. d), del decreto legge 9 febbraio 2012, n. 5,

convertito, con modificazioni, dalla legge 4 aprile 2012, n. 35.3 Disciplinare tecnico in materia di misure minime di sicurezza (Allegato B

al D.Lgs. n. 196 del 2003)4 Amministratore di Sistema – Provvedimento generale sulle Misure e ac-

corgimenti prescritti ai titolari dei trattamenti effettuati con strumentielettronici relativamente alle attribuzioni delle funzioni di amministratoredi sistema - 27 novembre 2008

5 Amministratore di Sistema – Provvedimento generale sulle Modifiche delprovvedimento del 27 novembre 2008 recante prescrizioni ai titolari deitrattamenti effettuati con strumenti elettronici relativamente alle attri-buzioni di amministratore di sistema e proroga dei termini per il loroadempimento - 25 giugno 2009

6 Videosorveglianza – Provvedimento generale in materia di videosor-veglianza - 8 aprile 2010 – Gazzetta Ufficiale n. 99 del 29 aprile2010

7 Autorizzazione n. 1/2005 al trattamento dei dati sensibili nei rapporti dilavoro – 21 dicembre 2005 (G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinarion. 1)

8 Autorizzazione n. 2/2005 al trattamento dei dati idonei a rivelare lo statodi salute e la vita sessuale – 21 dicembre 2005 (G.U. n. 2 del 3 gennaio2006 Suppl. Ordinario n. 1)

9 Autorizzazione n. 3/2005 al trattamento dei dati sensibili da parte degliorganismi di tipo associativo e delle fondazioni – 21 dicembre 2005 (G.U.n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1)

10 Autorizzazione n. 4/2005 al trattamento dei dati sensibili da parte deiliberi professionisti – 21 dicembre 2005 (G.U. n. 2 del 3 gennaio 2006Suppl. Ordinario n. 1)

11 Autorizzazione n. 5/2005 al trattamento dei dati sensibili da parte didiverse categorie di titolari – 21 dicembre 2005 (G.U. n. 2 del 3 gennaio2006 Suppl. Ordinario n. 1)

12 Autorizzazione n. 6/2005 al trattamento dei dati sensibili da parte degliinvestigatori privati – 21 dicembre 2005 (G.U. n. 2 del 3 gennaio 2006Suppl. Ordinario n. 1)

13 Autorizzazione n. 7/2005 al trattamento dei dati a carattere giudiziarioda parte di privati, di enti pubblici economici e di soggetti pubblici – 21dicembre 2005 (G.U. n. 2 del 3 gennaio 2006 Suppl. Ordinario n. 1)

14 Videosorveglianza – Provvedimento generale sulla videosorveglianzaProvvedimenti a carattere generale – 29 aprile 2004

15 Legge 31 dicembre 1996 n. 675: Tutela delle persone e di altri soggettirispetto al trattamento dei dati personali

16 Decreto Legislativo 28 luglio 1997 n. 25517 Decreto Legislativo 8 maggio 1998 n. 13518 Decreto Legislativo 13 maggio 1998 n. 17119 Legge 6 ottobre 1998 n. 34420 Decreto Legislativo 6 novembre 1998 n. 38921 Decreto Legislativo 26 febbraio 1999 n. 5122 Decreto Legislativo 11 maggio 1999 n. 135


2018


1.5 Titolare del trattamento

Titolare al trattamento dei dati a cui spetta la vigilanza sul rispetto da parte dei Responsabilidelle proprie istruzioni nonche sulla puntuale osservanza delle disposizioni vigenti in materia ditrattamento dei dati e la sua sicurezza:

Azienda Servizi alla Persona A.S.P. “Carlo Pezzani”Viale della Repubblica 86 a, 27058

Voghera (Pavia)

1.6 Esercizio della titolarita

La titolarita del trattamento viene esercitata per conto di “Azienda Servizi alla Persona A.S.P.“Carlo Pezzani””, in base alle definizioni degli articoli 4 e 28 del D.Lgs. 196/2003, dal suo LegaleRappresentante Presidente Roberto Pittaluga a cui spettano le decisioni in ordine allefinalita, alle modalita del trattamento di dati personali e agli strumenti utilizzati, ivi compresoil profilo della sicurezza.

1.7 Definizioni

1.7.1 Trattamento

Qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumen-ti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, laconsultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo,l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione didati, anche se non registrati in una banca di dati.

1.7.2 Dati Personali

Qualunque informazione relativa a persona fisica, identificata o identificabile, anche indiretta-mente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identi-ficazione personale.

1.7.3 Dati sensibili

I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche odi altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazionia carattere religioso, filosofico, politico o sindacale, nonche i dati personali idonei a rivelare lostato di salute e la vita sessuale.

1.7.4 Dati giudiziari

I dati personali idonei a rivelare provvedimenti di cui all’articolo 3, comma 1, lettere da a) a o)e da r) a u), del D.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafedelle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualita diimputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale.


2018


1.7.5 Titolare

La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, as-sociazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni inordine alle finalita, alle modalita del trattamento di dati personali e agli strumenti utilizzati,ivi compreso il profilo della sicurezza.

1.7.6 Responsabile del trattamento dei dati

La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, asso-ciazione od organismo preposti dal titolare al trattamento di dati personali. All’Amministratoredi Sistema – Interno o in Outsursing - spetta il compito di promuovere lo sviluppo ed il mante-nimento dei programmi di sicurezza contenuti nel presente Documento di Adozione delle MisureMinime di Sicurezza; informare il titolare del trattamento sulle eventuali non corrispondenzecon le norme di sicurezza e sugli eventuali incidenti; promuovere lo svolgimento di un continuoprogramma di addestramento degli incaricati al trattamento e mantenere attivo un programmadi controllo, sorveglianza e monitoraggio della corrispondenza con le regole di sicurezza; pro-muovere e garantire l’esecuzione del programma di audit. Garantire il funzionamento di tutti idispositivi elettronici, degli strumenti, dei sistemi operativi, dei software, con particolare riferi-mento ai sistemi Antivirus, Firewall, al sistema di backup, al sistema per il ripristino dei dati,alle reti, al controllo degli accessi.

1.7.7 Incaricati al trattamento

Le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal respon-sabile.

1.7.8 Interessato

La persona fisica, la persona giuridica, l’ente o l’associazione cui si riferiscono i dati personali.

1.7.9 Comunicazione

Il dare conoscenza dei dati personali a uno o piu soggetti determinati diversi dall’interessato,dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, inqualunque forma, anche mediante la loro messa a disposizione o consultazione.

1.7.10 Diffusione

Il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anchemediante la loro messa a disposizione o consultazione.

1.7.11 Dato anonimo

Il dato che in origine, o a seguito di trattamento, non puo essere associato ad un interessatoidentificato o identificabile.


2018


1.7.12 Blocco

La conservazione di dati personali con sospensione temporanea di ogni altra operazione deltrattamento.

1.7.13 Banca dati

Qualsiasi complesso organizzato di dati personali, ripartito in una o piu unita dislocate in unoo piu siti.

1.7.14 Comunicazione elettronica

Ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un serviziodi comunicazione elettronica accessibile al pubblico. Sono escluse le informazioni trasmesse alpubblico tramite una rete di comunicazione elettronica, come parte di un servizio di radio-diffusione, salvo che le stesse informazioni siano collegate ad un abbonato o utente ricevente,identificato o identificabile.

1.7.15 Strumenti elettronici

Gli elaboratori, i programmi per elaboratori, qualunque dispositivo elettronico automatizzatoo qualsiasi contenitore o mezzo impiegato per effettuare il trattamento dei dati.

1.7.16 Rischi

Situazioni o comportamenti che possano generare un pericolo per i dati personali e/o sensibili.Per meglio valutare l’entita e le azioni da intraprendere il rischio prevede diversi livelli di soglia:lieve, medio, grave e gravissimo.

1.7.17 Misure minime

Il complesso delle misure cautelari tecniche, informatiche organizzative, logistiche e proceduralidi sicurezza atti ad eliminare i rischi valutati e stimati nella progettazione della sicurezza inrelazione alla soglia di gravita.

1.7.18 Autenticazione informatica

L’insieme degli strumenti elettronici e delle procedure per la verifica anche indiretta dell’iden-tita.

1.7.19 Credenziali di autenticazione

L’insieme delle informazioni, univocamente associate ad una persona, che consente di indivi-duare a quali dati essa puo accedere, non che ı trattamenti ad essa consentiti.

1.7.20 Parola Chiave

Componente di una credenziale di autenticazione associata ad una persona ed a questa nota,costituita da una sequenza di caratteri o altri dati in forma elettronica.


2018


1.7.21 Profilo di autorizzazione

L’insieme delle informazioni, univocamente associate ad una persona, che consente di indivi-duare a quali dati essa puo accedere, nonche i trattamenti ad essa consentiti.

1.7.22 Sistema di autorizzazione

L’insieme degli strumenti e delle procedure che abilitano l’accesso ai dati e alle modalita ditrattamento degli stessi, in funzione del profilo di autorizzazione del richiedente.

1.8 Elenco degli Allegati e dei Modelli utilizzati

Codice Tipodocumento

Descrizione

A Normativa Disciplinare Tecnico in materia di Misure Minime di Si-curezza (Artt. Da 33 a 36 del D.lgs. n. 196 del 30 giugno2003)

B Informativa Adozione delle misure di sicurezzaC Schede Banche dati oggetto del trattamentoD Schede Schede delle strutture di riferimentoE Schede Elenco incaricatiF Schede Compiti e responsabilita sulle banche datiG Normativa Linee guida del Garante per Posta Elettronica ed InternetH Normativa Linee guida del Garante per gli Amministratori di SistemaI Regolamento Disciplinare in materia di utilizzo del Sistema InformaticoL Regolamento Disciplinare per l’uso di Internet e Posta Elettronica


2018


Capitolo 2

Ruoli, compiti e nomina delle figurepreviste per la sicurezza dei datipersonali

2.1 Titolare del trattamento dei dati personali

2.1.1 Compiti del titolare del trattamento dei dati personali

In base a quanto definito dall’Art. 4, comma 1, lettera f) del Codice in materia di protezionedei dati personali (D.lgs. n.196 del 30 giugno 2003) il “Titolare del trattamento e la personafisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione odorganismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalita,alle modalita del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilodella sicurezza”.

Il Titolare del trattamento si impegna ad assicurare e garantire direttamente che venganoadottate le misure di sicurezza ai sensi del Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003) e del Disciplinare tecnico in materia di misure minime disicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003) tese a ridurre al minimo il rischiodi distruzione dei dati, accesso non autorizzato o trattamento non consentito, previe idoneeistruzioni fornite per iscritto.

Il Titolare del trattamento puo decidere, qualora lo ritenga opportuno, di affidare il tratta-mento dei dati in tutto o in parte all’esterno della struttura del titolare.

In base a quanto stabilito dall’Art, 29 del Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003), il Titolare del trattamento, ove necessario, per esigenzeorganizzative, puo designare facoltativamente uno o piu soggetti Responsabili del trattamentoanche mediante suddivisione di compiti.

I Responsabili del trattamento sono individuati tra soggetti che per esperienza, capacita edaffidabilita forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia ditrattamento, ivi compreso il profilo relativo alla sicurezza.

I compiti affidati ai Responsabili del trattamento sono analiticamente specificati per iscrittodal Titolare del trattamento.

I Responsabili del trattamento effettuano il trattamento attenendosi alle istruzioni impartitedal Titolare del trattamento.

In base a quanto stabilito dall’Art. 29 del Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003) il Titolare del trattamento, in relazione all’attivita svolta, puoindividuare, nominare e incaricare per iscritto, se lo ritiene opportuno uno o piu Responsabili


2018


della sicurezza dei dati che assicurino e garantiscano che vengano adottate tutte le misure disicurezza ai sensi del Codice in materia di protezione dei dati personali (D.lgs. n.196 del 30giugno 2003) e del Disciplinare tecnico in materia di misure minime di sicurezza (Allegato B alD.lgs. n.196 del 30 giugno 2003).

Qualora il Titolare del trattamento ritenga di non nominare alcun Responsabile dellasicurezza dei dati, ne assumera tutte le responsabilita e funzioni.

In base a quanto stabilito dall’Art, 29 del Codice in materia di protezione dei dati personali(Dlgs. n.196 del 30 giugno 2003) il Titolare del trattamento, in relazione all’attivita svolta, puoindividuare, nominare e incaricare per iscritto, se lo ritiene opportuno uno o piu Responsabilidi specifici trattamenti con il compito di individuare, nominare e incaricare per iscritto, gliIncaricati del trattamento dei dati personali.

Qualora il Titolare del trattamento ritenga di non nominare alcun Responsabile di specificitrattamenti, ne assumera tutte le responsabilita e funzioni.

2.2 Responsabile della sicurezza dei dati personali

2.2.1 Compiti del responsabile della sicurezza dei dati personali

In base a quanto stabilito dall’Art. 29 del Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003), il Titolare del trattamento, ove necessario, per esigenzeorganizzative, puo designare facoltativamente uno o piu soggetti Responsabili del trattamentoanche mediante suddivisione di compiti.

Il Responsabile della sicurezza dei dati personali e la persona fisica, la persona giuridica, lapubblica amministrazione e qualsiasi altro ente, associazione od organismo a cui da parte delTitolare del trattamento, sono affidate le seguenti responsabilita e compiti:

• Garantire che tutte le misure di sicurezza riguardanti i dati personali siano applicate.

• Redigere ed aggiornare ad ogni variazione l’elenco delle sedi in cui vengono trattati i dati.

• Redigere ed aggiornare ad ogni variazione l’elenco degli uffici in cui vengono trattati idati.

• Redigere ed aggiornare ad ogni variazione l’elenco delle banche dati oggetto di trattamen-to.

• Se il trattamento e effettuato con mezzi informatici, redigere ed aggiornare ad ognivariazione l’elenco dei sistemi di elaborazione.

• Redigere e di aggiornare ad ogni variazione l’elenco delle sedi e degli uffici in cui vieneeffettuato il trattamento dei dati.

• Nominare per ciascun ufficio in cui viene effettuato il trattamento dei dati, un incaricatocon il compito di controllare i sistemi, le apparecchiature, e se previsti, i registri di accessoai locali allo scopo di impedire intrusioni o danneggiamenti.

• Definire e verificare periodicamente le modalita di acceso ai locali e le misure da adottareper la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilita.

• Qualora il trattamento dei dati sia stato affidato in tutto o in parte all’esterno dellastruttura del titolare controllare e garantire che tutte le misure di sicurezza riguardanti idati personali siano applicate.


2018


• Se il trattamento e effettuato con mezzi informatici, individuare, nominare e incaricareper iscritto, uno o piu Amministratori di Sistema.

• Se il trattamento e effettuato con mezzi informatici, individuare, nominare e incaricareper iscritto, uno o piu Responsabili della custodia delle password qualora vi sia piu di unincaricato del trattamento.

• Se il trattamento e effettuato con mezzi informatici, individuare, nominare e incaricareper iscritto, uno o piu Responsabili delle copie di sicurezza delle banche dati.

• Custodire e conservare i supporti utilizzati per le copie dei dati.

Qualora il Titolare del trattamento ritenga di non nominare alcun Responsabile della sicurezzadei dati personali, ne assumera tutte le responsabilita e funzioni.

2.2.2 Nomina del responsabile della sicurezza dei dati personali

La nomina di ciascun Responsabile della sicurezza dei dati personali deve essere effettuata dalTitolare del trattamento con una lettera di incarico in cui sono specificate le responsabilita chegli sono affidate e deve essere controfirmata dall’interessato per accettazione.

Copia della lettera di nomina accettata deve essere conservata a cura del Titolare deltrattamento in luogo sicuro.

Il Titolare del trattamento deve informare ciascun Responsabile della sicurezza dei dati per-sonali delle responsabilita che gli sono affidate in conformita a quanto disposto dalle normativein vigore, ed in particolare di quanto stabilito dal Codice in materia di protezione dei dati per-sonali (D.lgs. n.196 del 30 giugno 2003) e del Disciplinare tecnico in materia di misure minimedi sicurezza (allegato B al D.lgs. n. 196 del 30 giugno 2003).

Il Titolare del trattamento deve consegnare a ciascun Responsabile della sicurezza dei datipersonali una copia di tutte le norme che riguardano la sicurezza del trattamento dei dati invigore al momento della nomina.

La nomina del Responsabile della sicurezza dei dati personali e a tempo indeterminato, edecade per revoca o dimissioni dello stesso.

La nomina del Responsabile della sicurezza dei dati personali puo essere revocata in qualsiasimomento dal Titolare del trattamento dei dati senza preavviso, ed eventualmente affidata adaltro soggetto.

2.3 Responsabile di uno specifico trattamento dei dati

personali

2.3.1 Compiti del responsabile di uno specifico trattamento di datipersonali

In base a quanto stabilito dall’Art. 29 del Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003), il Titolare del trattamento, ove necessario, per esigenzeorganizzative, puo designare facoltativamente uno o piu soggetti Responsabili del trattamentoanche mediante suddivisione di compiti.

Il Responsabile di uno specifico trattamento di dati personali e la persona fisica, la personagiuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo al qualeil Titolare del trattamento affida il compito di gestire il trattamento dei dati personali di una


2018


o piu Banche di dati ed ha il compito di individuare, nominare e incaricare per iscritto, gliIncaricati del trattamento dei dati personali del trattamento specifico di cui gli e stata assegnatala responsabilita.

I Responsabili di uno specifico trattamento di dati personali sono individuati tra soggettiche per esperienza, capacita ed affidabilita forniscano idonea garanzia del pieno rispetto dellevigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.

Il Responsabile di uno specifico trattamento di dati personali ha il compito di:

• Nominare gli Incaricati del trattamento dei dati personali limitatamente alle Banche didati di cui sono responsabili.

• Di sorvegliare che il trattamento sia effettuato nei termini e nei modi stabiliti dal Codice inmateria di protezione dei dati personali (Dlgs. n.196 del 30 giugno 2003) e dal Disciplinaretecnico in materia di misure minime di sicurezza (Allegato B al Dlgs. n.196 del 30 giugno2003).

• Di dare le istruzioni adeguate agli Incaricati del trattamento effettuato con strumentielettronici.

• Di dare le istruzioni adeguate agli Incaricati del trattamento effettuato senza l’ausilio distrumenti elettronici.

• Periodicamente, e comunque almeno annualmente, di verificare la sussistenza delle con-dizioni per la conservazione dei profili di autorizzazione degli Incaricati del trattamentodei dati personali.

Qualora il Titolare del trattamento ritenga di non nominare uno o piu di un Responsabile diuno specifico trattamento di dati personali, ne assumera tutte le responsabilita e funzioni.

2.3.2 Nomina dei responsabili di uno specifico trattamento di datipersonali

La nomina di ciascun Responsabile di uno specifico trattamento di dati personali deve essereeffettuata dal Titolare del trattamento con una lettera di incarico in cui sono specificate leresponsabilita che gli sono affidate e deve essere controfirmata dall’interessato per accettazione.

Nella lettera di nomina debbono essere indicate le Banche dati di cui e responsabile perquanto attiene alla sicurezza e a quanto stabilito dal Codice in materia di protezione dei datipersonali (D.lgs. n.196 del 30 giugno 2003) e del Disciplinare tecnico in materia di misureminime di sicurezza (allegato B al D.lgs. n.196 del 30 giugno 2003).

Copia della lettera di nomina accettata deve essere conservata a cura del Titolare deltrattamento in luogo sicuro.

Il Titolare del trattamento deve informare ciascun Responsabile di uno specifico trattamentodi dati personali delle responsabilita che gli sono affidate in conformita a quanto disposto dallenormative in vigore, ed in particolare di quanto stabilito dal Codice in materia di protezione deidati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003).

Il Titolare del trattamento deve consegnare a ciascun Responsabile di uno specifico tratta-mento di dati personali una copia di tutte le norme che riguardano la sicurezza del trattamentodei dati in vigore al momento della nomina.

La nomina del Responsabile di uno specifico trattamento di dati personali e a tempoindeterminato, e decade per revoca o dimissioni dello stesso.


2018


La nomina del Responsabile di uno specifico trattamento di dati personali puo essere revoca-ta in qualsiasi momento dal Titolare del trattamento dei dati senza preavviso, ed eventualmenteaffidata ad altro soggetto.

2.4 Amministratori di Sistema

2.4.1 Compiti degli Amministratori di sistema

In conformita a quanto disposto dal punto 15, punto 16, punto 17 e punto 20 del Disciplinaretecnico in materia di misure minime di sicurezza (allegato B del D.Lgs. n.196 del 30 giugno2003) il Responsabile della sicurezza dei dati personali, in relazione all’attivita svolta, puoindividuare, nominare e incaricare per iscritto, se lo ritiene opportuno, uno o piu Amministratoridi Sistema.

L’Amministratore di Sistema e la persona fisica che sovrintende alle risorse del sistemaoperativo di un elaboratore o di un sistema di Banche di dati.

L’Amministratore di Sistema e assunto quale figura professionale dedicata alla gestione ealla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di datipersonali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali isistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le retilocali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali.

I titolari di alcuni trattamenti effettuati in ambito pubblico e privato a fini amministrativo-contabili, i quali pongono minori rischi per gli interessati e sono stati pertanto oggetto di recentimisure di semplificazione (art. 29 d.l. 25 giugno 2008, n. 112, conv., con mod., con l. 6 agosto2008, n. 133; art. 34 del Codice; Provv. Garante 6 novembre 2008), non sono obbligati allanomina dell’Amministratore di Sistema.

Le funzioni tipiche dell’Amministrazione di un Sistema sono richiamate nel menzionatoAllegato B, nella parte in cui prevede l’obbligo per i titolari di assicurare la custodia dellecomponenti riservate delle credenziali di autenticazione. Gran parte dei compiti previsti nelmedesimo Allegato B spettano tipicamente all’Amministratore di Sistema: dalla realizzazionedi copie di sicurezza (operazioni di backup e recovery dei dati) alla custodia delle credenzialialla gestione dei sistemi di autenticazione e di autorizzazione.

E onere del Responsabile della sicurezza dei dati personali, in relazione all’attivita svolta,individuare, nominare e incaricare per iscritto, se lo ritiene opportuno, uno o piu Amministratoridi Sistema.

E compito degli Incaricati degli amministratori di sistema:

(a) gestire il sistema informatico, nel quale risiedono le banche dati personali, in osservanzaal disciplinare tecnico allegato al Codice della privacy (D.Lgs. 196/2003) e sue successi-ve modifiche ed aggiornamenti, attenendosi anche alle disposizioni del Titolare (e/o delResponsabile, qualora nominato) in tema di sicurezza;

(b) predisporre ed aggiornare un sistema di sicurezza informatico idoneo a rispettare le prescri-zioni dell’art. 31 e seguenti del D.Lgs. 196/2003, adeguandolo anche alle eventuali futurenorme in materia di sicurezza.Piu specificatamente, in base al sopra citato vigente disciplinare tecnico, fatte salve lesuccessive integrazioni dello stesso, l’Amministratore di sistema dovra:

• assegnare e gestire il sistema di autenticazione informatica secondo le modalita indicatenel Disciplinare tecnico e quindi, fra le altre, generare, sostituire ed invalidare, inrelazione agli strumenti ed alle applicazioni informatiche utilizzate, le parole chiave


2018


ed i Codici identificativi personali da assegnare agli incaricati del trattamento dati,svolgendo anche la funzione di custode delle copie delle credenziali;

• procedere, piu in particolare, alla disattivazione dei Codici identificativi personali, incaso di perdita della qualita che consentiva all’utente o incaricato l’accesso all’elabo-ratore, oppure nel caso di mancato utilizzo dei Codici identificativi personali per oltre6 (sei) mesi;

• adottare adeguati programmi antivirus, firewall ed altri strumenti software o hardwareatti a garantire la massima misura di sicurezza nel rispetto di quanto dettato dal D.Lgs.196/2003 utilizzando le conoscenze acquisite in base al progresso tecnico del software edell’hardware, verificandone l’installazione, l’aggiornamento ed il funzionamento deglistessi;

• adottare tutti i provvedimenti necessari ad evitare la perdita o la distruzione, anchesolo accidentale, dei dati personali e provvedere al ripristino periodico degli stessi concopie di back-up, vigilando sulle procedure attivate in struttura. L’Amministratore disistema dovra anche assicurarsi della qualita delle copie di back-up dei dati e dellaloro conservazione in luogo adatto e sicuro;

• indicare al personale competente o provvedere direttamente alla distruzione e smalti-mento dei supporti informatici di memorizzazione logica o alla cancellazione dei datiper il loro reimpiego, alla luce del Provvedimento del Garante per la Protezione deiDati personali del 13 ottobre 2008 in materia di smaltimento strumenti elettronici;

• cooperare nella predisposizione del documento programmatico sulla sicurezza per laparte concernente il sistema informatico ed il trattamento informatico dei dati;

• vigilare sugli interventi informatici diretti al sistema informatico della struttura effet-tuati da vari operatori esterni. In caso di anomalie sara sua cura segnalarLe diretta-mente alla direzione;

• predisporre ed implementare le eventuali ulteriori misure minime di sicurezza impo-ste per il trattamento informatico dei dati sensibili e per la conseguente tutela deglistrumenti elettronici;

(c) coordinare assieme al Titolare (e/o al Responsabile, qualora nominato) le attivita ope-rative degli incaricati del trattamento nello svolgimento delle mansioni loro affidate pergarantire un corretto, lecito e sicuro trattamento dei dati personali nell’ambito del sistemainformatico;

(d) collaborare con il Titolare (e/o con il Responsabile, qualora nominato) per l’attuazionedelle prescrizioni impartite dal Garante;

(e) comunicare prontamente al Titolare (e/o al Responsabile, qualora nominato) qualsiasisituazione che possa compromettere il corretto trattamento informatico dei dati personali;

(f) verificare il rispetto delle norme sulla tutela del diritto d’autore sui programmi di elabora-tore installati nei pc. presenti nell’unita produttiva.

(g) adottare e gestire sistemi idonei alla registrazione degli accessi logici (autenticazione in-formatica) ai sistemi di elaborazione e agli archivi elettronici da parte di tutte le personequalificate amministratori di sistema. Le registrazioni (access log) devono avere caratteri-stiche di completezza, inalterabilita e possibilita di verifica della loro integrita adeguate alraggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i


2018


riferimenti allo “username” utilizzato, i riferimenti temporali e la descrizione dell’evento(log in e log out) che le ha generate e devono essere conservate per un congruo periodo,non inferiore a sei mesi.

L’operato degli Amministratori di Sistema deve essere oggetto, con cadenza almeno annuale,di un’attivita di verifica da parte dei titolari o dei responsabili del trattamento, in modo dacontrollare la sua rispondenza alle misure organizzative, tecniche e di sicurezza rispetto aitrattamenti dei dati personali previste dalle norme vigenti.

Qualora il Responsabile della sicurezza dei dati personali ritenga di non nominare alcunAmministratore di Sistema, ne assumera tutte le responsabilita e funzioni

2.4.2 Nomina degli Amministratori di Sistema

Il Responsabile della sicurezza dei dati personali nomina uno o piu Amministratori di Sistemaai quali e conferito il compito di sovrintendere al buon funzionamento delle risorse del sistemainformatico e degli accessi alle Banche di dati.

L’attribuzione delle funzioni di Amministratore di Sistema deve avvenire previa valutazionedell’esperienza, della capacita e dell’affidabilita del soggetto designato, il quale deve fornire ido-nea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento ivi compresoil profilo relativo alla sicurezza. La designazione quale amministratore di sistema deve esserein ogni caso individuale e recare l’elencazione analitica degli ambiti di operativita consentiti inbase al profilo di autorizzazione assegnato.

Il Responsabile della sicurezza dei dati personali deve informare ciascun Amministratore diSistema delle responsabilita che gli sono affidate in conformita a quanto disposto dalle normativein vigore, ed in particolare di quanto stabilito dal Codice in materia di protezione dei datipersonali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misureminime di sicurezza (allegato B al D.lgs. n.196 del 30 giugno 2003).

La nomina di uno o piu Amministratori di Sistema deve essere effettuata con una lettera diincarico e deve essere controfirmata per accettazione e copia della lettera di nomina accettatadeve essere conservata a cura del Responsabile della sicurezza dei dati personali in luogo sicuro.

Il Responsabile della sicurezza dei dati personali deve consegnare a ciascun Amministratoredi Sistema una copia di tutte le norme che riguardano la sicurezza del trattamento dei dati invigore al momento della nomina.

La nomina degli Amministratori di Sistema e a tempo indeterminato, e decade per revocao dimissioni dello stesso.

La nomina degli Amministratori di Sistema puo essere revocata in qualsiasi momento dalResponsabile della sicurezza dei dati personali senza preavviso, ed eventualmente affidata adaltro soggetto.

2.5 Responsabile della custodia delle password

2.5.1 Compiti dei responsabili della custodia delle password

In conformita a quanto disposto dal punto 10 del Disciplinare tecnico in materia di misureminime di sicurezza (allegato B del D.lgs. n.196 del 30 giugno 2003) debbono essere impartiteidonee e preventive disposizioni scritte volte a individuare chiaramente le modalita con le qualiil Titolare del trattamento puo assicurare la disponibilita di dati o strumenti elettronici in casodi prolungata assenza o impedimento dell’incaricato che renda indispensabile e indifferibileintervenire per esclusive necessita di operativita e di sicurezza del sistema.


2018


E onere del Titolare del trattamento o, se designato, del Responsabile della sicurezza deidati personali, in relazione all’attivita svolta, individuare, nominare e incaricare per iscritto, selo ritiene opportuno, uno o piu Responsabili della custodia delle password.

E compito dei Responsabili della custodia delle password:

• Autorizzare l’assegnazione e la gestione delle Credenziali di autenticazione per l’accessoai dati personali degli Incaricati del trattamento, su richiesta del Responsabile dello spe-cifico trattamento, avvalendosi del supporto tecnico dell’Amministratore di Sistema, inconformita a quanto disposto dal punto 3 del Disciplinare tecnico in materia di misureminime di sicurezza (allegato 8 del D.lgs. n.196 del 30 giugno 2003).

• Istruire gli incaricati del trattamento sull’uso delle componenti riservata delle credenzialidi autenticazione, e sulle caratteristiche che debbono avere, e sulle modalita per la loromodifica in autonomia, in conformita a quanto disposto dal punto 4 e dal punto 5 delDisciplinare tecnico in materia di misure minime di sicurezza (allegato B del D.lgs. n.196del 30 giugno 2003).

• Assicurare che il Codice per l’identificazione, laddove sia stato gia utilizzato, non siaassegnato ad altri Incaricati del trattamento, neppure in tempi diversi, in conformitaa quanto disposto dal punto 6 del Disciplinare tecnico in materia di misure minime disicurezza (allegato B del D.lgs. n.196 del 30 giugno 2003).

• Revocare le Credenziali di autenticazione per l’accesso ai dati degli Incaricati del tratta-mento nel caso di mancato utilizzo per oltre 6 (sei) mesi, in conformita a quanto dispostodal punto 7 del Disciplinare tecnico in materia di misure minime di sicurezza (allegato 8del D.lgs. n.196 del 30 giugno 2003).

• Revocare tutte le Credenziali di autenticazione non utilizzate in caso di perdita della qua-lita che consentiva all’incaricato del trattamento l’accesso ai dati personali, in conformitaa quanto disposto dal punto 8 del Disciplinare tecnico in materia di misure minime disicurezza (allegato 8 del D.lgs. n.196 del 30giugno 2003).

• Impartire istruzioni agli Incaricati del trattamento per non lasciare incustodito e accessi-bile lo strumento elettronico durante una sessione di trattamento, in conformita a quantodisposto dal punto 9 del Disciplinare tecnico in materia di misure minime di sicurezza(allegato B del D.lgs. n.196 del 30 giugno 2003).

In caso di prolungata assenza o impedimento di un Incaricato del trattamento che renda in-dispensabile e indifferibile intervenire per esclusive necessita di operativita e di sicurezza delsistema, il Responsabile della custodia delle password, in accordo con il responsabile dello spe-cifico trattamento di dati personali puo assicurare la disponibilita di dati o strumenti elettronicioperando secondo le seguenti istruzioni:

1. Utilizzando i diritti di “amministratore di sistema”, puo modificare in modo forzoso lacomponente riservata delle credenziali di autenticazione dell’Incaricato del trattamentodei dati personali assente o impedito ad effettuare il trattamento.

2. Comunica la componente riservata delle credenziali di autenticazione cosi modificata adun altro Incaricato del trattamento dei dati personali designato dal Responsabile dellospecifico trattamento di dati personali il quale potra utilizzarla solo temporaneamente.


2018


3. Terminata l’assenza o l’impedimento dell’Incaricato del trattamento che aveva reso indi-spensabile e indifferibile intervenire per esclusive necessita di operativita e di sicurezza delsistema, quest’ultimo dovra essere informato dell’intervento effettuato e dovra modificarela propria componente riservata delle credenziali di autenticazione

Qualora il Responsabile della sicurezza dei dati personali ritenga di non nominare alcun re-sponsabile della custodia delle password, ne assumera tutte le responsabilita e funzioni.

2.5.2 Nomina dei Responsabili della custodia delle password

In conformita a quanto disposto dai punti 3,4,5, 6,7, 8, 9 e 10 del Disciplinare tecnico inmateria di misure minime di sicurezza (allegato B del D.Lgs. n.196 del 30 giugno 2003), ilResponsabile della sicurezza dei dati personali nomina uno o piu soggetti Responsabili dellacustodia delle password a cui e conferito il compito di autorizzare l’assegnazione e la gestionedelle Credenziali di autenticazione per l’accesso ai dati gestiti con strumenti elettronici.

La nomina di uno o piu Responsabili della custodia delle password deve essere effettuatacon una lettera di incarico, deve essere controfirmata per accettazione e copia della letteradi nomina accettata deve essere conservata a cura del Responsabile della sicurezza dei datipersonali in luogo sicuro.

Il Responsabile della sicurezza dei dati personali deve informare i Responsabili della custodiadelle password della responsabilita che e stata loro affidata in conformita a quanto disposto dallenormative in vigore, ed in particolare di quanto stabilito dal Codice in materia di protezione deidati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misureminime di sicurezza (allegato B al D.lgs. n.196 del 30 giugno 2003).

Il Responsabile della sicurezza dei dati personali deve consegnare a ciascun Responsabiledella custodia delle password, una copia di tutte le norme che riguardano la Sicurezza deltrattamento dei dati in vigore al momento della nomina.

La nomina di uno o piu Responsabili della custodia delle password e a tempo indeterminato,e decade per revoca o dimissioni dello stesso.

La nomina di uno o piu Responsabili della custodia delle password puo essere revocata inqualsiasi momento dal Responsabile della sicurezza dei dati personali senza preavviso, ed essereaffidata ad altro soggetto.

2.6 Responsabile delle copie di sicurezza delle banche

dati

2.6.1 Compiti dei responsabili delle copie di sicurezza delle banchedati

In conformita a quanto disposto dal punto 18 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) il Responsabile della sicu-rezza dei dati personali, in relazione all’attivita svolta, puo individuare, nominare e incaricareper iscritto, se io ritiene opportuno, uno o piu Responsabili delle copie di sicurezza delle banchedati.

Il Responsabile delle copie di sicurezza delle banche dati e la persona fisica o la personagiuridica che ha il compito di sovrintendere alla esecuzione periodica delle copie di sicurezzadelle Banche di dati personali gestite.


2018


Al fine di garantire l’integrita dei dati contro i rischi di distruzione o perdita, il Responsabiledella sicurezza dei dati personali stabilisce, con il supporto tecnico dell’Amministratore diSistema la periodicita con cui debbono essere effettuate le copie di sicurezza delle Banche didati trattate. I criteri debbono essere concordati con l’Amministratore di Sistema in relazioneal tipo di rischio potenziale e in base al livello di tecnologia utilizzata.

In conformita a quanto disposto dal punto 18 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) la frequenza con cuidebbono essere effettuate le copie dei dati personali non deve superare in nessun caso i 7 (sette)giorni.

In particolare per ogni Banca di dati debbono essere definite le seguenti specifiche:

• Il “Tipo di supporto” da utilizzare per le “Copie di Back-Up”.

• Il numero di “Copie di Back-Up” effettuate ogni volta.

• Se i supporti utilizzati per le “Copie di Back-Up” sono riutilizzati e in questo caso conquale periodicita.

• Se per effettuare le “Copie di Back-Up” si utilizzano procedure automatizzate e program-mate.

• Le modalita di controllo delle “Copie di Back-Up”.

• La durata massima stimata di conservazione delle informazioni senza che ci siano perditeo cancellazione di dati.

• L’incaricato del trattamento a cui e stato assegnato il compito di effettuare le “Copie diBack-Up”.

• Le istruzioni e i comandi necessari per effettuare le “Copie di Back-Up”.

E compito dei Responsabili delle copie di sicurezza delle banche dati:

• Prendere tutti i provvedimenti necessari ad evitare la perdita o la distruzione dei dati eprovvedere al ricovero periodico degli stessi con copie di sicurezza secondo i criteri stabilitidal Responsabile della sicurezza dei dati personali.

• Assicurarsi della qualita delle copie di sicurezza dei dati e della loro conservazione in luogoadatto e sicuro.

• Assicurarsi della conservazione delle copie di sicurezza in luogo adatto e sicuro e ad accessocontrollato.

• Di provvedere a conservare con la massima cura e custodia i dispositivi utilizzati per lecopie di sicurezza, impedendo l’accesso agli stessi dispositivi da parte di personale nonautorizzato.

• Di segnalare tempestivamente all’amministratore di sistema, ogni eventuale problemadovesse verificarsi nella normale attivita di copia delle banche dati.

Qualora il Responsabile della sicurezza dei dati personali ritenga di non nominare alcun Re-sponsabile delle copie di sicurezza delle banche dati, ne assumera tutte le responsabilita efunzioni.


2018


2.6.2 Nomina dei Responsabili delle copie di sicurezza delle banchedati

In conformita a quanto disposto dal punto 18 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) il Responsabile della sicu-rezza dei dati personali, in relazione all’attivita svolta, puo individuare, nominare e incaricareper iscritto, se io ritiene opportuno, uno o piu Responsabili delle copie di sicurezza delle banchedati a cui e conferito il compito di effettuare periodicamente le copie di sicurezza delle Banchedi dati gestite specificando gli elaboratori o le banche dati che e chiamato a sovrintendere.

Il Responsabile della sicurezza dei dati personali deve informare ciascun Responsabile dellecopie di sicurezza delle banche dati delle responsabilita che gli sono affidate in conformita aquanto disposto dalle normative in vigore, ed in particolare di quanto stabilito dai Codice inmateria di protezione dei dati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinaretecnico in materia di misure minime di sicurezza (Allegato B al D.lgs. n.196 del 30 giugno2003).

La nomina di uno o piu Responsabili delle copie di sicurezza delle banche dati deve essereeffettuata con una lettera di incarico e deve essere controfirmata.

Copia della lettera di nomina accettata deve essere conservata a cura del Responsabile dellasicurezza dei dati personali in luogo sicuro.

Il Responsabile della sicurezza dei dati personali deve consegnare a ciascun Responsabiledelle copie di sicurezza delle banche dati una copia di tutte le norme che riguardano la sicurezzadel trattamento dei dati in vigore al momento della nomina.

2.7 Incaricato della custodia delle aree e dei locali

2.7.1 Compiti degli incaricati della custodia delle aree e dei locali

Il Responsabile della sicurezza dei dati personali, puo individuare, nominare e incaricare periscritto, se lo ritiene opportuno, uno o piu Incaricati della custodia delle aree e dei locali in cuisono effettuati i trattamenti di dati personali o in cui vengono conservati documenti contenentidati personali.

Gli incaricati della custodia delle aree e dei locali debbono:

• Consentire l’accesso alle aree e ai locali di cui debbono assicurare il controllo solo agliIncaricati del trattamento autorizzati.

• Identificare e registrare le persone ammesse, a qualunque titolo, dopo l’orario di chiusura.

• Informare tempestivamente il Responsabile della sicurezza dei dati personali nel caso incui si siano riscontrate situazioni anomale.

• Controllare la chiusura dei locali al termine dell’orario.

Qualora il Responsabile della sicurezza dei dati personali ritenga di non nominare alcun inca-ricato della custodia delle aree e dei locali, ne assumera tutte le responsabilita e funzioni.

2.7.2 Nomina degli incaricati della custodia delle aree e dei locali

Il Responsabile della sicurezza dei dati personali, puo individuare, nominare e incaricare periscritto, se io ritiene opportuno, uno o piu incaricati della custodia delle aree e dei locali in cui


2018


sono effettuati i trattamenti di dati personali o in cui vengono conservati documenti contenentidati personali.

Il Responsabile della sicurezza dei dati personali deve informare ciascun Incaricato dellacustodia delle aree e dei locali delle responsabilita che gli sono affidate in conformita a quantodisposto dalle normative in vigore, ed in particolare di quanto stabilito dal Codice in materiadi protezione dei dati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico inmateria di misure minime di sicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003).

La nomina di uno o piu Incaricati della custodia delle aree e dei locali deve essere effettuatacon una lettera di incarico e deve essere controfirmata.

Copia della lettera di nomina accettata deve essere conservata a cura del Responsabile dellasicurezza dei dati personali in luogo sicuro. La nomina dell’incaricato della custodia delle areee dei locali puo essere revocata in qualsiasi momento dal Responsabile della sicurezza dei datipersonali che gli ha affidato l’incarico, senza preavviso, ed eventualmente puo essere affidata adaltro soggetto.

2.8 Incaricato del trattamento dei dati personali

2.8.1 Compiti degli incaricati del trattamento dei dati personali

In base a quanto stabilito dall’Art. 30 del D.lgs. n.196 del 30 giugno 2003, le operazioni ditrattamento possono essere effettuate solo da Incaricati dei trattamento che operano sotto ladiretta autorita dei Titolare del trattamento o, se designato, del Responsabile di uno specificotrattamento di dati personali, attenendosi alle istruzioni impartite.

in base a quanto definito dall’Art. 4, punto 1, comma h) del D.lgs. n.196 dei 30 giugno2003, gli “incaricati del trattamento sono persone fisiche autorizzate a compiere operazioni ditrattamento sui dati personali dal Titolare del trattamento o, se designato, dal Responsabile diuno specifico trattamento di dati personali”.

Per i trattamenti di dati personali effettuato con l’ausilio di strumenti elettronici, gli Inca-ricati del trattamento dei dati personali debbono osservare le seguenti disposizioni:

• Gli incaricati del trattamento dei dati personali sono autorizzati ad effettuare esclusiva-mente i trattamenti di dati personali che rientrano nell’ambito della loro mansione, con laconseguente possibilita di accesso ed utilizzo della documentazione cartacea e degli stru-menti informatici, elettronici e telematici e delle banche dati che contengono i predettidati personali.

• il trattamento dei dati personali deve essere effettuato esclusivamente in conformita allefinalita previste e dichiarate e, pertanto, in conformita alle informazioni comunicate agliinteressati.

• L’incaricato del trattamento dei dati personali deve prestare particolare attenzione all’e-sattezza dei dati trattati e, se sono inesatti o incompleti, deve provvedere ad aggiornarlitempestivamente.

• Ogni incaricato del trattamento dei dati personali e tenuto ad osservare tutte le misuredi protezione e sicurezza atte a evitare rischi di distruzione o perdita anche accidentaledei dati, accesso non autorizzato, trattamento non consentito o non conforme alle finalitadella raccolta.


2018


• Gli Incaricati del trattamento dei dati personali che hanno ricevuto le credenziali diautenticazione per il trattamento dei dati personali, debbono conservare con la massimasegretezza le componenti riservate delle credenziali di autenticazione (parole chiave) e idispositivi di autenticazione in loro possesso a uso esclusivo.

• La parola chiave, quando e prevista dal sistema di autenticazione, deve essere compostada almeno otto caratteri oppure, nei caso in cui lo strumento elettronico non lo permetta,da un numero di caratteri pari al massimo consentito.

• La componente riservata delle credenziali di autenticazione (parola chiave) non devecontenere riferimenti agevolmente riconducibili all’incaricato.

• L’Incaricato dei trattamento dei dati personali deve modificare la componente riservatadelle credenziali di autenticazione (parola chiave) al primo utilizzo e, successivamente,almeno ogni sei mesi.

• In caso di trattamento di dati sensibili e di dati giudiziari la componente riservata dellecredenziali di autenticazione (parola chiave) deve essere modificata almeno ogni tre mesi.

• Gli incaricati del trattamento non debbono in nessun caso lasciare incustodito e accessibileio strumento elettronico durante una sessione di trattamento dei dati personali.

Per i trattamenti di dati personali effettuato senza l’ausilio di strumenti elettronici gli Incaricatidel trattamento dei dati personali debbono osservare le seguenti disposizioni:

• I documenti contenenti dati personali trattati senza l’ausilio di strumenti elettronici nondevono essere portati al di fuori dei locali individuati per la loro conservazione se non incasi del tutto eccezionali, e nei caso questo avvenga, l’asportazione deve essere ridotta altempo minimo necessario per effettuare le operazioni di trattamento.

• Per tutto il periodo in cui i documenti contenenti dati personali trattati senza l’ausiliodi strumenti elettronici sono al di fuori dei locali individuati per la loro conservazione,l’incaricato del trattamento non dovra lasciarli mai incustoditi.

• L’incaricato del trattamento deve inoltre controllare che i documenti contenenti dati per-sonali trattati senza l’ausilio di strumenti elettronici , composti da numerose pagine o piuraccoglitori, siano sempre completi e integri.

• Al termine dell’orario di lavoro l’incaricato del trattamento deve riportare tutti i docu-menti contenenti dati personali trattati senza l’ausilio di strumenti elettronici, nei localiindividuati per la loro conservazione.

• I documenti contenenti dati personali trattati senza l’ausilio di strumenti elettronici nondevono essere mai lasciati incustoditi sul tavolo durante l’orario di lavoro.

• Si deve adottare ogni cautela affinche ogni persona non autorizzata, possa venire a co-noscenza del contenuto di documenti contenenti dati personali trattati senza l’ausilio distrumenti elettronici.

• Per evitare il rischio di diffusione dei dati personali trattati senza l’ausilio di strumentielettronici, si deve limitare l’utilizzo di copie fotostatiche.

• Particolare cautela deve essere adottata quando i documenti sono consegnati in originalea un altro incaricato debitamente autorizzato;


2018


• Documenti contenenti dati personali sensibili o dati che, per una qualunque ragione sianostati indicati come meritevoli di particolare attenzione, devono essere custoditi con moltacura.

• E’ inoltre tassativamente proibito utilizzare copie fotostatiche di documenti (anche se nonperfettamente riuscite) all’esterno del posto di lavoro, ne tantomeno si possono utilizzarecome carta per appunti.

• Quando i documenti devono essere trasportati essere portati al di fuori dei locali indivi-duati per la loro conservazione o addirittura all’esterno del luogo di lavoro, l’incaricatodel trattamento deve tenere sempre con se la cartella o la borsa, nella quale i documentisono contenuti.

• L’incaricato del trattamento deve inoltre evitare che un soggetto terzo non autorizzato aitrattamento possa esaminare, anche solo la copertina del documento in questione.

• E’ proibito discutere, comunicare o comunque trattare dati personali per telefono, senon si e certi che il destinatario sia un incaricato autorizzato a potere trattare i dati inquestione.

• Si raccomanda vivamente non parlare mai ad alta voce, trattando dati personali pertelefono, soprattutto utilizzando apparati cellulari, in presenza di terzi non autorizzati,per evitare che i dati personali possano essere conosciuti da terzi non autorizzati, ancheaccidentalmente.

• Queste precauzioni diventano particolarmente importanti, quando il telefono e utilizzatoin luogo pubblico od aperto al pubblico.

2.8.2 Nomina degli incaricati del trattamento dei dati personali

La nomina di ciascun Incaricato del trattamento dei dati personali deve essere effettuata da unResponsabile di uno specifico trattamento di dati personali con una lettera di incarico in cuisono specificati i compiti che gli sono stati affidati che deve essere controfirmata dall’interessatoper presa visione. Copia della lettera di nomina firmata deve essere conservata a cura delResponsabile di uno specifico trattamento di dati personali in luogo sicuro.

Il Responsabile di uno specifico trattamento di dati personali deve informare ciascun inca-ricato dei trattamento dei dati personali delle responsabilita che gli sono affidate in conformitaa quanto disposto dalle normative in vigore, ed in particolare di quanto stabilito dal Codicein materia di protezione dei dati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinaretecnico in materia di misure minime di sicurezza (allegato B al D.lgs. n.196 del 30 giugno 2003).

Il Responsabile di uno specifico trattamento di dati personali deve consegnare a ciascunIncaricato del trattamento dei dati personali una copia di tutte le norme che riguardano lasicurezza del trattamento dei dati in vigore al momento della nomina. Gli Incaricati del tratta-mento dei dati personali devono ricevere idonee ed analitiche istruzioni scritte, anche per gruppiomogenei di lavoro, sulle mansioni loro affidate e sugli adempimenti cui sono tenuti.

Agli incaricati del trattamento dei dati personali deve essere assegnata una credenziale diautenticazione.

Agli Incaricati del trattamento dei dati personali e prescritto di adottare le necessarie cauteleper assicurare la segretezza della componente riservata della credenziale di autenticazione e ladiligente custodia dei dispositivi in possesso e ad uso esclusivo dell’incaricato.


2018


La nomina dell’incaricato del trattamento dei dati personali e a tempo indeterminato, edecade per revoca o dimissioni dello stesso.

La nomina dell’incaricato del trattamento dei dati personali puo essere revocata in qualsiasimomento dal Responsabile dello specifico trattamento di dati personali che gli ha affidatol’incarico, senza preavviso, ed eventualmente puo essere affidata ad altro soggetto.


2018Questa pagina e stata intenzionalmente lasciata bianca.

2018


Capitolo 3

Trattamenti con l’ausilio di strumentielettronici

3.1 Sistema di autenticazione informatica

3.1.1 Procedura di identificazione

In conformita a quanto disposto dal punto 1 del Disciplinare tecnico in materia di misure mini-me di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) nel caso in cui il trattamento didati personali e effettuato con strumenti elettronici, il Responsabile della sicurezza dei dati per-sonali deve assicurarsi che il trattamento sia consentito solamente agli incaricati del trattamentodei dati personali dotati di Credenziali di autenticazione che consentano il superamento di unaprocedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.

3.1.2 Identificazione dell’incaricato

In conformita a quanto disposto dal punto 2 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) il Responsabile dellasicurezza dei dati personali avvalendosi della collaborazione del Responsabile della custodiadelle copie delle credenziali e dell’Amministratore di Sistema deve assicurare che il trattamentodi dati personali, effettuato con strumenti elettronici, sia consentito solamente agli Incaricatidel trattamento dotati di una o piu credenziali di autenticazione tra le seguenti:

• Un codice per l’identificazione dell’incaricato associato a una parola chiave riservataconosciuta solamente dal medesimo

• Un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato, eventualmenteassociato a un codice identificativo o a una parola chiave

• Una caratteristica biometrica dell’incaricato, eventualmente associata a un codice identi-ficativo o a una parola chiave.

In conformita a quanto disposto dal punto 3 dei Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) ad ogni incaricati deltrattamento possono essere assegnate o associate individualmente una o piu Credenziali perl’autenticazione.


2018


3.1.3 Cautele per assicurare la segretezza della componente riserva-ta della credenziale

In conformita a quanto disposto dal punto 4 del Disciplinare tecnico in materia di misure mini-me di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) gli incaricati debbono adottarele necessarie cautele per assicurare la segretezza della parola chiave e custodire diligentementeogni altro dispositivo che gli e stato affidato per i sistemi di autenticazione informatica (badgemagnetici, tessere magnetiche, ecc..).

Inoltre ogni incaricati del trattamento deve essere informato e reso edotto che le credenzialidi autenticazione:

• Sono personali

• Devono essere memorizzate

• Non devono essere comunicate a nessuno

• Non devono essere trascritte

3.1.4 Caratteristiche della parola chiave

In conformita a quanto disposto dai punto 5 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) la Componente riservatadelle credenziali di autenticazione (parola chiave o password) deve rispettare i seguenti criteri:

• Non deve contenere nomi comuni

• Non deve contenere nomi di persona

• Deve contenere sia lettere che numeri

• Deve comprendere almeno 3 caratteri alfabetici

• Deve comprendere almeno 2 caratteri numerici

• Deve essere diversa dallo User-Id

• Deve essere lunga 8 caratteri o massimo consentito dal sistema di autenticazione

• Non deve essere riconducibile all’incaricato

3.1.5 Modalita di richiesta delle credenziali di autenticazione

L’assegnazione delle credenziali di autenticazione avviene dietro specifica richiesta del Respon-sabile del trattamento.

La richiesta deve essere inoltrata all’Amministratore di Sistema in forma scritta.L’Amministratore di Sistema provvedera:

• A comunicare all’incaricato del trattamento dei dati personali al momento dell’attivazionela sua credenziale di autenticazione

• A comunicare all’incaricato del trattamento dei dati personali al momento dell’attivazionela sua componente riservata delle credenziali di autenticazione (parola chiave o password)provvisoria


2018


• Alla abilitazione dei permessi che consentano all’incaricato del trattamento dei dati per-sonali di accedere al trattamento che gli e stato affidato

• Ad effettuare le verifiche di corretto accesso

• A conservare copia della richiesta

Il Responsabile del trattamento deve informare i propri Incaricati del trattamento dei criteri edelle regole che debbono essere osservate per assicurare la segretezza della Componente riservatadelle credenziali di autenticazione (parola chiave o password).

Il Responsabile del trattamento che ha effettuato la richiesta deve fare firmare ad ogniIncaricato del trattamento per presa visione una informativa in cui sono specificati i criteriche debbono essere rispettati per la Componente riservata delle credenziali di autenticazione(parola chiave o password), che deve essere allegata al presente Documento di Adozione delleMisure Minime di Sicurezza.

Al primo accesso l’Incaricato del trattamento dovra modificare la Componente riservatadelle credenziali di autenticazione (parola chiave o password) rispettando le regole definitenella lettera di assegnazione delle Credenziali di autenticazione.

E compito del Responsabile della sicurezza dei dati personali approntare gli strumenti ed icontrolli mediante cui verificare il corretto uso delle Credenziali di autenticazione e monitoraree vigilare sui tentativi di accesso non autorizzato.

I tentativi di accesso non autorizzati saranno registrati e dovra essere data tempestivacomunicazione al Titolare del trattamento.

In caso di smarrimento della componente riservata delle credenziali di autenticazione (parolachiave o password) il Responsabile del trattamento dell’Incaricato dovra richiedere all’Ammi-nistratore di Sistema una nuova assegnazione.

L’Amministratore di Sistema provvedera ad annullare la componente riservata delle cre-denziali di autenticazione (parola chiave o password) precedente e ad assegnarne una nuovaprovvisoria.

Le credenziali di autenticazione che non sono utilizzate per piu di 6 mesi dovranno esseredisabilitate d’autorita dall’Amministratore di Sistema.

I Responsabili del trattamento devono dare informazione al Responsabile della sicurezza deidati personali circa le dimissioni del personale o lo spostamento di mansione per annullare lecredenziali di autenticazione dell’incaricato del trattamento.

3.1.6 Istruzioni per non lasciare incustodito e accessibile lo stru-mento elettronico

In conformita a quanto disposto dal punto 9 dei Disciplinare tecnico in materia di misure mi-nime di sicurezza (Allegato 6 del D.lgs. n.196 del 30 giugno 2003) gli incaricati del trattamentohanno l’obbligo di:

• Non lasciare incustodito il proprio posto di lavoro.

• Di chiudere tutte le applicazioni aperte o meglio ancora di spegnere il sistema informaticoin caso di assenza prolungata.


2018


3.1.7 Accesso straordinario

In conformita a quanto disposto dal punto 10 del Disciplinare tecnico in materia di misureminime di sicurezza (allegato B del Dlgs. n.196 del 30 giugno 2003) i Responsabili della cu-stodia delle password, hanno il compito di assicurare la disponibilita dei dati e degli strumentielettronici in caso di prolungata assenza o impedimento dell’incaricato che renda indispensabilee indifferibile intervenire per esclusive necessita di operativita e di sicurezza del sistema.

La custodia delle password di autorizzazione e organizzata garantendo la relativa segretezza.I Responsabili della custodia delle password devono informare tempestivamente l’incaricato

del trattamento ogni qualvolta sia stato effettuato un tale tipo di intervento.In conformita a quanto disposto dal punto 11 del del Disciplinare tecnico in materia di

misure minime di sicurezza (allegato B del D.lgs. n.196 del 30 giugno 2003) le disposizioni sulsistema di autenticazione di cui ai precedenti punti e quelle sul sistema di autorizzazione nonsi applicano ai trattamenti dei dati personali destinati alla diffusione.

3.2 Sistema di autorizzazione

Il Responsabile del trattamento di dati personali ha il compito di individuare gli incaricati deltrattamento per ogni tipologia di banca di dati personali trattata.

In conformita a quanto disposto dal punto 12 e dal punto 13 del Disciplinare tecnico inmateria di misure minime di sicurezza (Allegato B dei D.lgs. n,196 dei 30 giugno 2003) il tipodi trattamento effettuato da ogni singolo Incaricato del trattamento puo essere differenziato.

In particolare il Responsabile del trattamento di dati personali puo decidere quali operazionidi trattamento siano consentite ad ogni Incaricato del trattamento tra le seguenti:

• Inserire nuove informazioni nella banca di dati personali

• Accedere alle informazioni in visualizzazione e stampa

• Modificare le informazioni esistenti nella banca di dati personali

• Cancellare le informazioni esistenti nella banca di dati personali

In conformita a quanto disposto dal punto 15 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 dei 30 giugno 2003) almeno una volta l’anno,ogni Responsabile del trattamento di dati personali deve aggiornare l’elenco dei permessi diaccesso che sono stati assegnati agli incaricati del trattamento per ogni banca dati.

3.3 Altre misure di sicurezza

In considerazione di quanto disposto dal Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misure minime disicurezza (allegato B al D.lgs. n.196 dei 30 giugno 2003), e fatto divieto a chiunque di:

• Effettuare copie su supporti magnetici o trasmissioni non autorizzate dai Responsabiledella sicurezza dei dati personali di dati oggetto dei trattamento.

• Effettuare copie fotostatiche o di qualsiasi altra natura, non autorizzate dai Responsabiledella sicurezza dei dati personali, di stampe, tabulati, elenchi, rubriche e di ogni altromateriale riguardante i dati oggetto dei trattamento.


2018


• Sottrarre, cancellare, distruggere senza l’autorizzazione del Responsabile della sicurezzadei dati personali, stampe, tabulati, elenchi, rubriche e ogni altro materiale riguardante idati oggetto del trattamento.

• Consegnare a persone non autorizzate dai Responsabile della sicurezza dei dati personali,stampe, tabulati, elenchi, rubriche e di ogni altro materiale riguardante i dati oggetto deltrattamento.

3.4 Elenco dei trattamenti di dati personali

3.4.1 Elenco delle sedi e degli uffici in cui vengono trattati i dati

Al Responsabile della sicurezza dei dati personali e affidato il compito di redigere e di aggior-nare ad ogni variazione l’elenco delle sedi in cui viene effettuato il trattamento dei dati. L’Elenco delle sedi in cui vengono trattati i dati e inserito nell’Allegato “D” (Sezioni Edifici eUffici della Struttura), che viene presentato assieme al presente Documento di Adozione delleMisure Minime di Sicurezza, e deve essere aggiornato e conservato in luogo sicuro a cura delResponsabile della sicurezza dei dati personali.

3.4.2 Elenco degli archivi dei dati oggetto del trattamento

Al Responsabile della sicurezza dei dati personali e affidato il compito di redigere e di aggiornaread ogni variazione l’elenco delle tipologie di trattamenti effettuati.

Ogni banca di dati o archivio deve essere classificato in relazione alle informazioni contenuteindicando se si tratta di:

• Dati personali Comuni

• Dati personali Sensibili

• Dati personali Giudiziari

L’individuazione degli archivi dei dati oggetto del trattamento e inserita nell’Allegato “C”, cheviene presentato assieme al presente Documento di Adozione delle Misure Minime di Sicurezza.

3.4.3 Elenco dei sistemi di elaborazione per il trattamento

Al Responsabile della sicurezza dei dati personali e affidato il compito di redigere e di aggiornaread ogni variazione l’elenco dei sistemi di elaborazione con cui viene effettuato il trattamentodei dati. Per ogni sistema deve essere specificato il nome dell’incaricato o degli incaricati chelo utilizzano.

Ogni sistema di elaborazione viene descritto nell’Allegato “D” (Capitolo 3 “Uffici dellastruttura”, sottosezione “Strumenti”), che viene presentato assieme al presente Documento diAdozione delle Misure Minime di Sicurezza, e deve essere conservato a cura del Responsabiledella sicurezza dei dati personali in luogo sicuro e deve essere trasmesso in copia controllataall’Amministratore di Sistema di competenza.


2018


3.5 Distribuzione dei compiti e delle responsabilita nel-

l’ambito delle strutture preposte al trattamento dei

dati

3.5.1 Elenco dei soggetti autorizzati al trattamento dei dati

Ogni Responsabile di uno specifico trattamento di dati personali ha il compito di:

• Nominare gli incaricati del trattamento dei dati personali limitatamente alle Banche didati di cui sono responsabili.

• Assegnare le credenziali di autenticazione.

• Informare il Responsabile della sicurezza dei dati personali delle variazioni intervenutenell’assegnazione delle credenziali di autorizzazione.

Il Responsabile della sicurezza dei dati personali deve tenere aggiornato ad ogni variazionel’Elenco del personale autorizzato al trattamento dei dati.

L’Elenco del personale autorizzato al trattamento dei dati deve essere redatto dal Respon-sabile della sicurezza dei dati personali, utilizzando l’Allegato “E”, che deve essere presentatoassieme al presente Documento di Adozione delle Misure Minime di Sicurezza, e deve essereconservato a cura del Responsabile della sicurezza dei dati personali, in luogo sicuro.

Una copia dell’Elenco del personale autorizzato al trattamento dei dati deve essere conse-gnata al Responsabile della custodia delle copie delle credenziali.

3.5.2 Verifiche periodiche delle condizioni per il mantenimento delleautorizzazioni

Il Responsabile della sicurezza dei dati personali eventualmente in collaborazione con i Respon-sabili del trattamento di dati personali ha il compito di verificare ogni anno le credenziali diautenticazione.

Il Responsabile della sicurezza dei dati personali deve tenere aggiornato ad ogni variazionel’Elenco del personale autorizzato al trattamento dei dati.

Una copia dell’Elenco del personale autorizzato al trattamento dei dati deve essere conse-gnata al Responsabile della custodia delle credenziali.

3.6 Analisi dei rischi

3.6.1 Analisi dei rischi hardware

Il Responsabile della sicurezza dei dati personali in collaborazione con gli incaricati della ge-stione del Sistema Informativo, anche avvalendosi di consulenti interni o esterni, puo verificareogni anno:

• La situazione delle apparecchiature hardware installate con cui vengono trattati i dati

• La situazione delle apparecchiature periferiche

• La situazione dei dispositivi di collegamento con le reti pubbliche


2018


La verifica ha lo scopo di controllare l’affidabilita dei sistema tenendo conto anche dell’evolu-zione tecnologica, per quanto riguarda:

• La sicurezza dei dati trattati.

• Il rischio di distruzione o di perdita.

• Il rischio di accesso non autorizzato o non consentito

L’analisi dei rischi che incombono sui dati e inserita nell’Allegato “D”, che viene consegnatoassieme al presente Documento di Adozione delle Misure Minime di Sicurezza.

Gli Amministratori di Sistema, nel caso in cui esistano rischi evidenti, debbono informaretempestivamente il Responsabile della sicurezza dei dati personali affinche siano presi gli op-portuni provvedimenti allo scopo di assicurare il corretto trattamento dei dati in conformitaalle norme in vigore.

3.6.2 Analisi dei rischi sui sistemi operativi e sui software installati

Al Responsabile della sicurezza dei dati personali in collaborazione con gli Amministratori diSistema, e affidato il compito di verificare ogni anno la situazione dei Sistemi Operativi e delleapplicazioni software installate sulle apparecchiature con cui vengono trattati i dati.

La verifica ha lo scopo di controllare l’affidabilita dei Sistemi Operativi e delle applicazionisoftware, per quanto riguarda:

• La sicurezza dei dati trattati,

• il rischio di distruzione o di perdita,

• il rischio di accesso non autorizzato o non consentito.

Tenendo conto in particolare di:

• Disponibilita di nuove versioni migliorative dei software utilizzati.

• Segnalazioni di Patch, Fix o Service-Pack per la rimozione di errori o malfunzionamenti.

• Segnalazioni di Patch, Fix o Service-Pack per l’introduzione di maggiori sicurezze controi rischi di intrusione o di danneggiamento dei dati.

L’analisi dei rischi e inserita nell’Allegato “D”, che viene consegnato assieme al presente Docu-mento di Adozione delle Misure Minime di Sicurezza.

Gli Amministratori di Sistema, nel caso in cui esistano rischi evidenti, debbono informaretempestivamente il Responsabile della sicurezza dei dati personali affinche siano presi gli op-portuni provvedimenti per assicurare il corretto trattamento dei dati in conformita alle normein vigore.

3.6.3 Analisi degli altri rischi nel trattamento dei dati

Al Responsabile della sicurezza dei dati personali in collaborazione con i Responsabili del trat-tamento di dati personali, e affidato il compito di analizzare eventuali altri rischi connessi altrattamento dei dati, tenendo conto in particolare di:

• Rischi connessi al comportamento degli operatori


2018


• Rischi connessi al contesto fisico ed ambientale

L’analisi dei rischi e inserita nell’Allegato “D”, che viene consegnato assieme al presente Docu-mento di Adozione delle Misure Minime di Sicurezza.

I Responsabili del trattamento di dati personali, nel caso in cui esistano rischi evidenti, deb-bono informare tempestivamente il Responsabile della sicurezza dei dati personali affinche sianopresi gli opportuni provvedimenti per assicurare il corretto trattamento dei dati in conformitaalle norme in vigore

3.7 Misure da adottare per garantire l’integrita e la di-

sponibilita dei dati

Il Responsabile della sicurezza dei dati personali, in collaborazione con gli amministratori disistema, al fine di garantire l’integrita dei dati contro i rischi di distruzione o perdita, stabiliscela periodicita con cui debbono essere effettuate le copie di sicurezza delle banca di dati trattati.I criteri debbono essere definiti in relazione al tipo di rischio potenziale e in base al livello ditecnologia utilizzata.

L’Amministratore di Sistema, per ogni banca di dati deve predisporre le istruzioni di copia,verifica e ripristino dei dati.

In particolare per ogni banca di dati debbono essere definite le seguenti specifiche:

• Il tipo di supporto da utilizzare per le Copie di sicurezza dei dati.

• Il numero di Copie di sicurezza dei dati effettuate ogni volta

• Se i supporti utilizzati per le Copie di sicurezza dei dati sono riutilizzati e in questo casocon quale periodicita

• Se per effettuare le Copie di sicurezza dei dati si utilizzano procedure automatizzate eprogrammate.

• Le modalita di controllo delle Copie di sicurezza dei dati.

• La durata massima stimata di conservazione delle informazioni senza che ci siano perditeo cancellazione di dati.

• Il nome dell’incaricato a cui e stato assegnato il compito di effettuare le Copie di sicurezzadei dati.

• Le istruzioni e i comandi necessari per effettuare le Copie di sicurezza dei dati.

• Le istruzioni e i comandi necessari per effettuare il ripristino delle Copie di sicurezza deidati.

La relazione sui criteri di backup e inserita nel Documento di Adozione delle Misure Minime diSicurezza.

Una copia del “Elenco delle banche dati oggetto del trattamento” (vedi Allegato “C” alpresente Documento di Adozione delle Misure Minime di Sicurezza) deve essere:

• conservata a cura del Responsabile della sicurezza dei dati personali in luogo sicuro.


2018


• consegnata a ciascun Responsabile delle copie di sicurezza delle banche dati.

Al Responsabile della sicurezza dei dati personali, in collaborazione con l’Amministratore diSistema e con i Responsabili delle copie di sicurezza delle banche dati, e affidato il compitodi verificare ogni anno le necessita di formazione dei personale incaricato di effettuare perio-dicamente le copie di sicurezza delle banca di dati trattate, in funzione anche di eventualiopportunita offerte dall’evoluzione tecnologica.

3.8 Misure da adottare per la protezione delle aree e dei

locali, rilevanti ai fini della loro custodia e accessibi-

lita

3.8.1 Misure generali

In considerazione di quanto disposto dal Codice in materia di protezione dei dati personali(D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico in materia di misure minime disicurezza (allegato B al D.lgs. n.196 del 30 giugno 2003), e fatto divieto a chiunque di:

• Effettuare copie su supporti magnetici o trasmissioni non autorizzate dal Responsabiledella sicurezza dei dati personali o dal Responsabile del trattamento di dati personalioggetto del trattamento.

• Effettuare copie fotostatiche o di qualsiasi altra natura, non autorizzate dal Responsabiledella sicurezza dei dati personali o dal Responsabile del trattamento di dati personali, distampe, tabulati, elenchi, rubriche e di ogni altro materiale riguardante i dati oggetto deltrattamento.

• Sottrarre, cancellare, distruggere senza l’autorizzazione del Responsabile della sicurezzadei dati personali o dal Responsabile del trattamento di dati personali, stampe, tabulati,elenchi, rubriche e ogni altro materiale riguardante i dati oggetto del trattamento.

• Consegnare a persone non autorizzate dal Responsabile della sicurezza dei dati personalio dai Responsabile del trattamento di dati personali, stampe, tabulati, elenchi, rubrichee di ogni altro materiale riguardante i dati oggetto del trattamento.

3.8.2 Procedure per controllare l’accesso ai locali in cui vengonotrattati i dati

In conformita a quanto disposto dal punto 19.4 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) al Responsabile dellasicurezza dei dati personali e affidato il compito di redigere e di aggiornare ad ogni variazionel’elenco degli uffici in cui viene effettuato il trattamento dei dati, e di nominare per ciascun ufficioun incaricato della custodia delle aree e dei locali con il compito di controllare direttamente isistemi, le apparecchiature, o i registri di accesso ai locali allo scopo di impedire intrusioni odanneggiamenti.

Il Responsabile della sicurezza dei dati personali deve definire le modalita di accesso agliuffici in cui sono presenti sistemi o apparecchiature di accesso ai dati trattati.

Il Responsabile della sicurezza dei dati personali deve incaricare per iscritto con una letteradi nomina ogni incaricato del controllo di accesso ai locali dei compiti che gli sono stati affidatiutilizzando l’apposito modello.


2018


3.9 Formazione degli incaricati del trattamento

3.9.1 Piano di formazione

Il Responsabile della sicurezza dei dati personali, in collaborazione con i Responsabili del trat-tamento di dati personali, valuta per ogni incaricato a cui e stato affidato il trattamento, sullabase dell’esperienza, delle sue conoscenze, ed in funzione anche di eventuali opportunita offertedall’evoluzione tecnologica, se e necessario pianificare interventi di formazione.

La formazione puo essere programmata gia al momento dell’ingresso in servizio di nuoviincaricati del trattamento, nonche in occasione di cambiamenti di mansioni, o di introduzionedi nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.

Un Piano di formazione del personale puo essere predisposto per:

• Rendere edotti gli incaricati del trattamento sui rischi che incombono sui dati

• Rendere edotti gli incaricati del trattamento sulle misure disponibili per prevenire eventidannosi

• Rendere edotti gli incaricati del trattamento sui profili della disciplina sulla protezionedei dati personali piu rilevanti in rapporto alle relative attivita

• Rendere edotti gli incaricati del trattamento sulle responsabilita che ne derivano

• Rendere edotti gli incaricati del trattamento sulle modalita per aggiornarsi sulle misureminime adottate dal titolare


2018


3.10 Criteri da adottare per garantire l’adozione delle

misure minime di sicurezza in caso di trattamenti

di dati personali affidati all’esterno della struttura

del titolare

3.10.1 Trattamenti di dati personali affidati all’esterno della strut-tura del titolare

Il Responsabile della sicurezza dei dati personali, puo decidere di affidare il trattamento deidati in tutto o in parte all’esterno della struttura del titolare.

Il Responsabile della sicurezza dei dati personali, deve redigere e aggiornare ad ogni varia-zione l’elenco dei soggetti che effettuano il trattamento dei dati in tutto o in parte all’esternodella struttura del titolare, ed indicare per ognuno di essi il tipo di trattamento effettuatospecificando:

• I soggetti interessati

• I luoghi dove fisicamente avviene il trattamento dei dati stessi

• I responsabili del trattamento di dati personali

Per i trattamenti dei dati affidati in tutto o in parte all’esterno della struttura, e possibile lanomina di Responsabili esterni, in quanto soggetti autonomi non controllabili dal titolare deltrattamento stesso (relativamente alle modalita e alle misure minime di sicurezza da adotta-re); ai sensi dell’art. 28 del Codice in materia di protezione dei dati personali (D.lgs. n.196del 30 giugno 2003), devono intendersi autonomi titolari del trattamento e quindi soggetti aicorrispettivi obblighi, e pertanto rispondono direttamente ed in via esclusiva per le eventualiviolazioni alla legge.

3.10.2 Criteri per la scelta degli enti terzi per il trattamento di datipersonali affidati all’esterno della struttura del titolare

Il Responsabile della sicurezza dei dati personali, puo affidare il trattamento dei dati in tuttoo in parte all’esterno della struttura del titolare a quei soggetti terzi che abbiano i requisiti diesperienza, capacita ed affidabilita individuati all’att. 29 dei Codice in materia di protezionedei dati personali (D.lgs. n.196 dei 30 giugno 2003).

Il Titolare a cui e stato affidato il trattamento dei dati all’esterno deve rilasciare una di-chiarazione scritta da cui risulti che sono state adottate le misure idonee di sicurezza per iltrattamento ai sensi del Codice in materia di protezione dei dati personali (D.lgs. n.196 del 30giugno 2003) e del Disciplinare tecnico in materia di misure minime di sicurezza (Allegato B alD.lgs, n.196 del 30 giugno 2003).

3.10.3 Nomina del responsabile esterno del trattamento in out-sourcing

Per ogni trattamento affidato ad un soggetto esterno alla struttura del titolare, il Responsabiledella sicurezza dei dati personali deve assicurarsi che siano rispettate le norme di sicurezza diun livello non inferiore a quanto stabilito per il trattamento interno.

Il Responsabile esterno del trattamento in Out-sourcing deve accettare la nomina.


2018


La nomina del Responsabile esterno del trattamento in Out-sourcing deve essere controfir-mata per accettazione e copia della lettera di nomina accettata deve essere conservata a curadel Responsabile della sicurezza dei dati personali in luogo sicuro.

Il Responsabile della sicurezza dei dati personali deve informare il Responsabile esternodel trattamento in Out-sourcing, dei compiti che gli sono assegnati in conformita a quantodisposto dalle normative in vigore, ed in particolare di quanto stabilito dal Codice in materiadi protezione dei dati personali (D.lgs. n.196 del 30 giugno 2003) e dal Disciplinare tecnico inmateria di misure minime di sicurezza (Allegato B ai D.lgs. n.196 del 30 giugno 2003).

Al momento dell’affidamento dell’incarico il Responsabile esterno del trattamento in Out-sourcing, deve dichiarare per iscritto:

• Di essere consapevole che i dati che trattera nell’espletamento dell’incarico ricevuto, sonodati personali e, come tali sono soggetti all’applicazione del codice per la protezione deidati personali

• Di ottemperare agli obblighi previsti dal Codice per la protezione dei dati personali

• Di adottare le istruzioni specifiche eventualmente ricevute per il trattamento dei datipersonali o di integrarle nello procedure gia in essere.

• Di impegnarsi a relazionare annualmente sulle misure di sicurezza adottate e di allertareimmediatamente il proprio committente in caso di situazioni anomale o di emergenze.

• Di riconoscere il diritto del committente a verificare periodicamente l’applicazione dellenorme di sicurezza adottate.

3.11 Ulteriori misure in caso di trattamento di dati sen-

sibili o giudiziari

3.11.1 Protezione contro l’accesso abusivo

In conformita a quanto disposto dal punto 16, punto 17 e punto 20 del Disciplinare tecnico inmateria di misure minime di sicurezza (Allegato B del D.lgs. n.196 dei 30 giugno 2003) al finedi garantire la sicurezza dei dati sensibili o giudiziari contro l’accesso abusivo, il Responsabiledella sicurezza dei dati personali, deve stabilire, con il supporto tecnico dell’Amministratore diSistema, le misure tecniche da adottare in rapporto ad eventuali rischi.

I criteri debbono essere definiti dal Responsabile della sicurezza dei dati personali in relazioneai tipo di rischio potenziale e in base al livello di tecnologia utilizzata.

In particolare per ogni Sistema interessato debbono essere definite le seguenti specifiche:

• In conformita a quanto disposto dal punto 16 del Disciplinare tecnico in materia di misureminime di sicurezza (allegato B del D.lgs. n.196 del 30 giugno 2003) individuare gli idoneistrumenti per la protezione degli strumenti elettronici contro il rischio di intrusione edell’azione di programmi informatici aventi per scopo o per effetto il danneggiamento diun sistema informatico o telematico, dei dati o dei programmi in esso contenuti o ad essopertinenti, ovvero l’interruzione, totale o parziale, o l’alterazione del suo funzionamento.

• In conformita a quanto disposto dal punto 17 del Disciplinare tecnico in materia di mi-sure minime di sicurezza (allegato B del D.lgs. n.196 del 30 giugno 2003) stabilire lefrequenza con cui aggiornare i programmi per elaboratore per prevenire la vulnerabilitadegli strumenti elettronici e correggerne difetti.


2018


• In conformita a quanto disposto dal punto 20 del Disciplinare tecnico in materia di misureminime di sicurezza (allegato B dei D.lgs. n.196 del 30 giugno 2003) individuare comeproteggere, mediante l’utilizzo di idonei strumenti elettronici, i dati sensibili o giudizia-ri contro l’accesso abusivo da parte di chiunque abusivamente si introduce nel sistemainformatico o telematico.

Per la nomina dell’Amministratore di Sistema deve essere utilizzato l’apposito modello, e deveessere conservato a cura del Responsabile della sicurezza dei dati personali in luogo sicuro edeve essere trasmesso in copia controllata all’Amministratore di Sistema stesso.

3.11.2 Istruzioni organizzative e tecniche per la custodia e l’uso deisupporti rimovibili

In conformita a quanto disposto dal punto 21 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) per ogni supporto utilizzatoper le operazioni di copia deve essere individuato il luogo di conservazione in modo che siaconvenientemente protetto dai potenziali rischi di:

• Agenti chimici

• Fonti di calore

• Campi magnetici

• Intrusioni e atti vandalici

• incendio

• Allagamento

• Furto

• Accesso non autorizzato

• Trattamento non consentito

L’accesso ai supporti utilizzati per le copie dei dati e limitato per ogni banca di dati a:

• responsabili delle copie di sicurezza delle banche dati

• Responsabile della sicurezza dei dati personali

Il Responsabile della sicurezza dei dati personali e responsabile della custodia e della conserva-zione dei supporti utilizzati per le copie dei dati e deve indicare, nella relazione dei criteri dibackup, il luogo di conservazione supporti utilizzati per le copie dei dati.

3.11.3 Riutilizzo dei supporti rimovibili

In conformita a quanto disposto dai punto 22 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) se il Responsabile dellasicurezza dei dati personali decide che i supporti magnetici contenenti dati sensibili o giudiziarinon siano piu utilizzabili per gli scopi per i quali erano stati destinati, deve provvedere afarne cancellare il contenuto annullando e rendendo intelligibili e tecnicamente in alcun modoricostruibili le informazioni in esso contenute.


2018


E compito del Responsabile della sicurezza dei dati personali controllare e assicurarsi chein nessun caso vengano lasciate copie di Banche di dati contenenti dati sensibili o giudiziari,non piu utilizzate, senza che ne venga cancellato il contenuto ed annullate e rese intelligibili etecnicamente in alcun modo ricostruibili le informazioni in esso registrate.

3.11.4 Ripristino dell’accesso ai dati in caso di danneggiamento

In conformita a quanto disposto dal punto 23 del Disciplinare tecnico in materia di misureminime di sicurezza (Allegato B del D.lgs. n.196 del 30 giugno 2003) la decisione di ripristinarela disponibilita dei dati in seguito a distruzione o danneggiamento e compito esclusivo delResponsabile della sicurezza dei dati personali.

La decisione di ripristinare la disponibilita dei dati deve essere presa rapidamente e in ognicaso la disponibilita dei dati deve essere ripristinata ai massimo entro 7 (sette) giorni.

Una volta valutata la assoluta necessita di ripristinare la disponibilita dei dati in segui-to a distruzione o danneggiamento il Responsabile della sicurezza dei dati personali deveprovvedere con la collaborazione del Responsabile delle copie di sicurezza delle banche datie dell’Amministratore di Sistema all’operazione di ripristino dei dati.

La decisione di ripristinare a funzionalita degli elaboratori elettronici guasti, e compitoesclusivo del Responsabile della sicurezza dei dati personali che si puo avvalere del pareredell’Amministratore di Sistema.

La decisione di ripristinare la funzionalita degli elaboratori elettronici guasti deve esserepresa rapidamente e in ogni caso la funzionalita deve essere ripristinata al massimo entro 7(sette) giorni.

3.12 Misure di tutela e garanzia

3.12.1 Descrizione degli interventi effettuati da soggetti esterni

Nel caso in cui ci si avvalga di soggetti esterni alla propria struttura, per provvedere al controllodel buon funzionamento hardware e/o software degli strumenti elettronici e alla eventuale ripa-razione, aggiornamento o sostituzione, il Responsabile della sicurezza dei dati personali, devefarsi consegnare puntualmente dal personale che ha effettuato l’intervento tecnico, una dichia-razione scritta con la descrizione dettagliata delle operazioni eseguite che attesti la conformitaa quanto stabilito dal Codice in materia di protezione dei dati personali (D.lgs. n.196 del 30giugno 2003).


2018


Capitolo 4

Trattamenti senza l’ausilio di strumentielettronici

4.1 Nomina e istruzioni agli incaricati

In base a quanto stabilito dall’Art. 30 del D.lgs. n.196 del 30 giugno 2003, le operazioni ditrattamento possono essere effettuate solo da Incaricati del trattamento che operano sotto ladiretta autorita del Titolare del trattamento o, se designato, del Responsabile del trattamentodi dati personali, attenendosi alle istruzioni impartite.

Il Responsabile del trattamento di dati personali deve predisporre per ogni archivio di cuie responsabile l’elenco degli Incaricati del trattamento autorizzati ad accedervi e impartireistruzioni tese a garantire un controllo costante per l’accesso agli archivi.

In base a quanto stabilito dal punto 28 del Disciplinare tecnico in materia di misure minimedi sicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003), i documenti che contengono datisensibili o giudiziari debbono essere custoditi dagli incaricati fino alla restituzione in manierache ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delleoperazioni affidate.

4.2 Norme di sicurezza per gli incaricati del trattamen-

to di dati personali effettuato senza l’ausilio di stru-

menti elettronici

In base a quanto stabilito dal punto 27 e dal punto 28 del Disciplinare tecnico in materia dimisure minime di sicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003), per i trattamentidi dati personali effettuati senza l’ausilio di strumenti elettronici vengono stabilite le seguentiregole che gli Incaricati del trattamento debbono osservare:

• I documenti contenenti dati personali trattati senza l’ausilio di strumenti elettronici nondevono essere portati al di fuori dei locali individuati per la loro conservazione se non incasi del tutto eccezionali, e nel caso questo avvenga, l’asportazione deve essere ridotta altempo minimo necessario per effettuare le operazioni di trattamento.

• Per tutto il periodo in cui i documenti contenenti dati personali trattati senza l’ausiliodi strumenti elettronici sono al di fuori dei locali individuati per la loro conservazione,l’incaricato del trattamento non dovra lasciarli mai incustoditi.


2018


• L’incaricato del trattamento deve inoltre controllare che i documenti contenenti dati per-sonali trattati senza l’ausilio di strumenti elettronici , composti da numerose pagine o piuraccoglitori, siano sempre completi e integri.

• Al termine dell’orario di lavoro l’incaricato del trattamento deve riportare tutti i docu-menti contenenti dati personali trattati senza l’ausilio di strumenti elettronici, nei localiindividuati per la loro conservazione.

• I documenti contenenti dati personali trattati senza l’ausilio di strumenti elettronici nondevono essere mai lasciati incustoditi sul tavolo durante l’orario di lavoro.

• Si deve adottare ogni cautela affinche ogni persona non autorizzata, possa venire a co-noscenza del contenuto di documenti contenenti dati personali trattati senza l’ausilio distrumenti elettronici.

• Per evitare il rischio di diffusione dei dati personali trattati senza l’ausilio di strumentielettronici, si deve limitare l’utilizzo di copie fotostatiche.

• Particolare cautela deve essere adottata quando i documenti sono consegnati in originalea un altro incaricato debitamente autorizzato;

• Documenti contenenti dati personali sensibili o dati che, per una qualunque ragione sianostati indicati come meritevoli di particolare attenzione, devono essere custoditi con moltacura.

• E’ inoltre tassativamente proibito utilizzare copie fotostatiche di documenti (anche se nonperfettamente riuscite) all’esterno del posto di lavoro, ne tanto meno si possono utilizzarecome carta per appunti.

• Quando i documenti devono essere trasportati essere portati al di fuori dei locali indivi-duati per la loro conservazione o addirittura all’esterno del luogo di lavoro, l’incaricatodel trattamento deve tenere sempre con se la cartella o la borsa, nella quale i documentisono contenuti.

• L’incaricato del trattamento deve inoltre evitare che un soggetto terzo non autorizzato altrattamento possa esaminare, anche solo la copertina del documento in questione.

• E’ proibito discutere, comunicare o comunque trattare dati personali per telefono, senon si e certi che il destinatario sia un incaricato autorizzato a potere trattare i dati inquestione.

• Si raccomanda vivamente non parlare mai ad alta voce, trattando dati personali pertelefono, soprattutto utilizzando apparati cellulari, in presenza di terzi non autorizzati,per evitare che i dati personali possano essere conosciuti da terzi non autorizzati, ancheaccidentalmente.

• Queste precauzioni diventano particolarmente importanti, quando il telefono e utilizzatoin luogo pubblico od aperto al pubblico.


2018


4.3 Copie degli atti e dei documenti

In base a quanto stabilito dal Codice in materia di protezione dei dati personali (D.lgs. n.196 del30 giugno 2003) e dal Disciplinare tecnico in materia di misure minime di sicurezza (AllegatoB al D.lgs. n.196 del 30 giugno 2003), e fatto divieto a chiunque di:

• Effettuare copie fotostatiche o di qualsiasi altra natura, non autorizzate dal Responsabiledella sicurezza dei dati personali, di stampe, tabulati, elenchi, rubriche e di ogni altromateriale riguardante i dati oggetto del trattamento.

• Sottrarre, cancellare, distruggere senza l’autorizzazione del Responsabile della sicurezzadei dati personali, stampe, tabulati, elenchi, rubriche e ogni altro materiale riguardante idati oggetto del trattamento.

• Consegnare a persone non autorizzate dal Responsabile della sicurezza dei dati personali,stampe, tabulati, elenchi, rubriche e di ogni altro materiale riguardante i dati oggetto deltrattamento.

4.4 Controllo degli accessi

In base a quanto stabilito dal punto 29 del Disciplinare tecnico in materia di misure minime disicurezza (Allegato B al D.lgs. n.196 del 30 giugno 2003), l’accesso agli archivi contenenti datisensibili o giudiziari deve essere controllato ed e consentito, solo agli Incaricati del trattamentoautorizzati dal Responsabile del trattamento.

Le persone ammesse, a qualunque titolo, dopo l’orario di chiusura, debbono essere identifi-cate e registrate.


2018


Capitolo 5

Diritti dell’interessato

5.1 Diritto di accesso ai dati personali

1. L’interessato ha diritto di ottenere la conferma dell’esistenza o meno di dati personali chelo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.

2. L’interessato ha diritto di ottenere l’indicazione:

(a) dell’origine dei dati personali;

(b) delle finalita e modalita del trattamento;

(c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumentielettronici;

(d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designatoai sensi dell’articolo 5, comma 2;

(e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comu-nicati o che possono venirne a conoscenza in qualita di rappresentante designato nelterritorio dello Stato, di responsabili o incaricati.

3. L’interessato ha diritto di ottenere:

(a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione deidati;

(b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati inviolazione di legge, compresi quelli di cui non e necessaria la conservazione in relazioneagli scopi per i quali i dati sono stati raccolti o successivamente trattati;

(c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a cono-scenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono staticomunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibileo comporta un impiego di mezzi manifestamente sproporzionato rispetto al dirittotutelato.

4. L’interessato ha diritto di opporsi, in tutto o in parte:

(a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorchepertinenti allo scopo della raccolta;

(b) al trattamento di dati personali che Io riguardano a fini di invio di materiale pubblici-tario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazionecommerciale.


2018


5.2 Esercizio dei diritti

1. I diritti di cui all’articolo 7 sono esercitati con richiesta rivolta senza formalita al titolare oal responsabile, anche per il tramite di un incaricato, alla quale e fornito idoneo riscontrosenza ritardo.

2. I diritti di cui all’articolo 7 non possono essere esercitati con richiesta al titolare o alresponsabile o con ricorso ai sensi dell’articolo 145, se i trattamenti di dati personali sonoeffettuati:

(a) in base alle disposizioni del decreto-legge 3maggio1991, n. 143, convertito, con mo-dificazioni, dalla legge 5 luglio 1991, n. 197, e successive modificazioni, in materia diriciclaggio;

(b) in base alle disposizioni del decreto-legge 31 dicembre 1991, n. 419, convertito, con mo-dificazioni, dalla legge 18febbraio 1992, n. 172, e successive modificazioni, in materiadi sostegno alle vittime di richieste estorsive;

(c) da Commissioni parlamentari d’inchiesta istituite ai sensi dell’articolo 82 della Costi-tuzione; d) da un soggetto pubblico, diverso dagli enti pubblici economici, in base adespressa disposizione di legge, per esclusive finalita inerenti alla politica monetariae valutaria, al sistema dei pagamenti, al controllo degli intermediari e dei mercaticreditizi e finanziari, nonche alla tutela della loro stabilita;

(d) ai sensi dell’articolo 24, comma 1, lettera f), limitatamente al periodo durante ilquale potrebbe derivarne un pregiudizio effettivo e concreto per lo svolgimento delleinvestigazioni difensive o per l’esercizio del diritto in sede giudiziaria;

(e) da fornitori di servizi di comunicazione elettronica accessibili al pubblico relativamen-te a comunicazioni telefoniche in entrata, salvo che possa derivarne un pregiudizioeffettivo e concreto per lo svolgimento delle investigazioni difensive di cui alla legge7 dicembre 2000, n. 397;

(f) per ragioni di giustizia, presso uffici giudiziari di ogni ordine e grado o il Consigliosuperiore della magistratura o altri organi di autogoverno o il Ministero della giustizia;

(g) ai sensi dell’articolo 53, fermo restando quanto previsto dalla legge 1◦ Aprile 1981, n.121.

3. Il Garante, anche su segnalazione dell’interessato, nei casi di cui al comma 2, lettere a),b), d), e) ed f), provvede nei modi di cui agli articoli 157, 158 e 159 e, nei casi di cui allelettere c), g) ed h) del medesimo comma, provvede nei modi di cui all’articolo 160.

4. L’esercizio dei diritti di cui all’articolo 7, quando non riguarda dati di carattere oggettivo,puo avere luogo salvo che concerna la rettificazione o l’integrazione di dati personali ditipo valutativo, relativi a giudizi, opinioni o ad altri apprezzamenti di tipo soggettivo,nonche l’indicazione di condotte da tenersi o di decisioni in via di assunzione da parte deltitolare del trattamento.

5.3 Modalita di esercizio

1. La richiesta rivolta al titolare o al responsabile puo essere trasmessa anche mediantelettera raccomandata, telefax o posta elettronica. Il Garante puo individuare altro idoneosistema in riferimento a nuove soluzioni tecnologiche. Quando riguarda l’esercizio dei


2018


diritti di cui all’articolo 7, commi 1 e 2, la richiesta puo essere formulata anche oralmentee in tal caso e annotata sinteticamente a cura dell’incaricato o del responsabile.

2. Nell’esercizio dei diritti di cui all’articolo 7 l’interessato puo conferire, per iscritto, delegao procura a persone fisiche, enti, associazioni od organismi. L’interessato puo, altresı, farsiassistere da una persona di fiducia.

3. I diritti di cui all’articolo 7 riferiti a dati personali concernenti persone decedute possonoessere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato o perragioni familiari meritevoli di protezione.

4. L’identita dell’interessato e verificata sulla base di idonei elementi di valutazione, anchemediante atti o documenti disponibili o esibizione o allegazione di copia di un documentodi riconoscimento. La persona che agisce per conto dell’interessato esibisce o allega copiadella procura, ovvero della delega sottoscritta in presenza di un incaricato o sottoscritta epresentata unitamente a copia fotostatica non autenticata di un documento di riconosci-mento dell’interessato. Se l’interessato e una persona giuridica, un ente o un’associazione,la richiesta e avanzata dalla persona fisica legittimata in base ai rispettivi statuti odordinamenti.

5. La richiesta di cui all’articolo 7, commi 1 e 2, e formulata liberamente e senza costrizionie puo essere rinnovata, salva l’esistenza di giustificati motivi, con intervallo non minoredi novanta giorni.

5.4 Riscontro all’interessato

1. Per garantire l’effettivo esercizio dei diritti di cui all’articolo 7 il titolare del trattamentoe tenuto ad adottare idonee misure volte, in particolare:

(a) ad agevolare l’accesso ai dati personali da parte dell’interessato, anche attraversol’impiego di appositi programmi per elaboratore finalizzati ad un’accurata selezionedei dati che riguardano singoli interessati identificati o identificabili;

(b) a semplificare le modalita e a ridurre i tempi per il riscontro al richiedente, anchenell’ambito di uffici o servizi preposti alle relazioni con il pubblico.

2. I dati sono estratti a cura del responsabile o degli incaricati e possono essere comunicatial richiedente anche oralmente, ovvero offerti in visione mediante strumenti elettronici,sempre che in tali casi la comprensione dei dati sia agevole, considerata anche la qualitae la quantita delle informazioni. Se vi e richiesta, si provvede alla trasposizione dei datisu supporto cartaceo o informatico, ovvero alla loro trasmissione per via telematica.

3. Salvo che la richiesta sia riferita ad un particolare trattamento o a specifici dati personalio categorie di dati personali, il riscontro all’interessato comprende tutti i dati personaliche riguardano l’interessato comunque trattati dal titolare. Se la richiesta e rivolta ad unesercente una professione sanitaria o ad un organismo sanitario si osserva la disposizionedi cui all’articolo 84, comma 1.

4. Quando l’estrazione dei dati risulta particolarmente difficoltosa il riscontro alla richiestadell’interessato puo avvenire anche attraverso l’esibizione o la consegna in copia di atti edocumenti contenenti i dati personali richiesti.


2018


5. Il diritto di ottenere la comunicazione in forma intelligibile dei dati non riguarda datipersonali relativi a terzi, salvo che la scomposizione dei dati trattati o la privazione dialcuni elementi renda incomprensibili i dati personali relativi all’interessato.

6. La comunicazione dei dati e effettuata in forma intelligibile anche attraverso l’utilizzo diuna grafia comprensibile. In caso di comunicazione di codici o sigle sono forniti, anchemediante gli incaricati, i parametri per la comprensione del relativo significato.

7. Quando, a seguito della richiesta di cui all’articolo 7, commi 1 e 2, lettere a), b) e c) nonrisulta confermata l’esistenza di dati che riguardano l’interessato, puo essere chiesto uncontributo spese non eccedente i costi effettivamente sopportati per la ricerca effettuatanel caso specifico.

8. Il contributo di cui al comma 7 non puo comunque superare l’importo determinato dalGarante con provvedimento di carattere generale, che puo individuarlo forfetariamente inrelazione al caso in cui i dati sono trattati con strumenti elettronici e la risposta e fornitaoralmente. Con il medesimo provvedimento il Garante puo prevedere che il contributopossa essere chiesto quando i dati personali figurano su uno speciale supporto del qualee richiesta specificamente la riproduzione, oppure quando, presso uno o piu titolari, sidetermina un notevole impiego di mezzi in relazione alla complessita o all’entita dellerichieste ed e confermata l’esistenza di dati che riguardano l’interessato.

9. Il contributo di cui ai commi 7 e 8 e corrisposto anche mediante versamento postale obancario, ovvero mediante carta di pagamento o di credito, ove possibile all’atto dellaricezione del riscontro e comunque non oltre quindici giorni da tale riscontro.


2018


Capitolo 6

Controlli

6.1 Nomina del Responsabile dei controlli

Il titolare del trattamento nomina con atto successivo il Responsabile dei controlli, avvalendosianche di una societa esterna, che avra il compito di verificare periodicamente il rispetto delD.Lgs. 196/2003 all’interno delle unita organizzative.

6.2 Periodicita dei controlli

Il titolare del trattamento o il Responsabile della sicurezza dei dati definira in accordo con ilResponsabile dei controlli la periodicita delle verifiche ispettive.

Tali verifiche saranno seguite da apposito verbale di ispezione che sara allegato successiva-mente al Documento Programmatico sulla Sicurezza.

6.3 Adozione delle misure

Il titolare del trattamento dopo aver preso visione del Documento Programmatico sulla Sicurez-za, valutera con il Responsabile della sicurezza dei dati le misure minime gia in essere e quelleda adottare. In base al D.L. 158/2004, il completamento delle misure minime si realizzera entrola data differita prevista dalla normativa vigente.

Allo scopo viene redatto e approvato anche il documento di differimento previsto ai sensidell’art. 180 comma secondo.


2018


Capitolo 7

Dichiarazioni d’impegno e firma

Il presente documento, redatto nel 2018, viene firmato in calce da Roberto Pittaluga, in qualitadi Presidente.

L’originale del presente documento viene custodito presso l’Ente, per essere esibito in casodi controlli.

Voghera, lı 07 maggio 2018.

il Titolare del trattamentoRoberto Pittaluga


DOCUMENTO di ADOZIONE delle MISURE MINIME di … principale.pdf · Altri strumenti di elaborazione...

Documents

Transcript of DOCUMENTO di ADOZIONE delle MISURE MINIME di … principale.pdf · Altri strumenti di elaborazione...