Document Type: normattiva_dump
Token Count: $#tokens

Art. 29 Comunicazione dei dati 1. Al fine di promuovere l'utilizzo dei dati censuari da parte delle pubbliche amministrazioni territoriali, l'ISTAT comunica, a titolo gratuito, agli Uffici di statistica delle Regioni e Province autonome, delle Province e dei Comuni facenti parte del Sistema statistico nazionale, i dati personali, comprensivi degli elementi identificativi diretti, relativi alle unità censite che abbiano il centro aziendale o almeno un terreno aziendale nel territorio di rispettiva competenza. Dati ulteriori possono essere comunicati in conformità all'articolo 8 del codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale e secondo le modalità stabilite dalla direttiva 20 aprile 2004, n. 9, del Comitato di cui all'articolo 17 del decreto legislativo 6 settembre 1989, n. 322. 2. La comunicazione dei dati ai soggetti del Sistema statistico nazionale diversi da quelli indicati al comma 1 è effettuata dall'ISTAT ai sensi dell'articolo 8 del codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale e secondo le modalità stabilite dalla direttiva 20 aprile 2004, n. 9, del Comitato di cui all'articolo 17 del decreto legislativo 6 settembre 1989, n. 322. 3. In relazione alle amministrazioni non facenti parte del Sistema statistico nazionale che abbiano costituito l'Ufficio di censimento ai sensi del presente regolamento, l'ISTAT comunica al predetto ufficio, a titolo gratuito e previa motivata richiesta connessa al proprio fabbisogno istituzionale informativo, i dati personali, privi di elementi identificativi diretti, relativi alle unità censite che abbiano il centro aziendale o almeno un terreno aziendale nel territorio di rispettiva competenza. È fatto obbligo agli Uffici di censimento delle medesime amministrazioni di procedere al trattamento dei dati nel rispetto delle prescrizioni di cui al decreto legislativo 6 settembre 1989, n. 322, e alle direttive e atti di indirizzo del Comitato di cui all'articolo 17 del medesimo decreto legislativo, nonché del decreto legislativo 30 giugno 2003, n. 196, e delle disposizioni del codice di deontologia e di buona condotta per il trattamento di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale di cui all'allegato 3 del medesimo decreto legislativo 30 giugno 2003, n. 196; 4. Gli uffici delle amministrazioni di cui al presente articolo e le amministrazioni di cui al comma 3 sono tenuti, nel rispetto della normativa in materia di segreto statistico e di protezione dei dati personali, a utilizzare i dati acquisiti in base al presente articolo per esclusive finalità statistiche, a non comunicarli a terzi, ivi compresi gli uffici dell'amministrazione di appartenenza, e ad adottare le misure di sicurezza di cui agli articoli 31 e seguenti del decreto legislativo 30 giugno 2003, n. 196. Note all'art. 29: - Si riporta l'art. 8 del codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell'ambito del Sistema statistico nazionale (Allegato A/3 al decreto legislativo n. 196/2003): «Art. 8 (Comunicazione dei dati tra soggetti del sistema statistico nazionale). - 1. La comunicazione di dati personali, privi di dati identificativi, tra i soggetti del Sistema statistico nazionale è consentita per i trattamenti statistici, strumentali al perseguimento delle finalità istituzionali del soggetto richiedente, espressamente determinati all'atto della richiesta, fermo restando il rispetto dei principi di pertinenza e di non eccedenza. 2. La comunicazione anche dei dati identificativi di unità statistiche tra i soggetti del Sistema statistico nazionale è consentita, previa motivata richiesta in cui siano esplicitate le finalità perseguite ai sensi del decreto legislativo 6 settembre 1989, n. 322, ivi comprese le finalità di ricerca scientifica per gli enti di cui all'art. 2 del decreto legislativo medesimo, qualora il richiedente dichiari che non sia possibile conseguire altrimenti il medesimo risultato statistico e, comunque, nel rispetto dei principi di pertinenza e di stretta necessità. 3. I dati comunicati ai sensi dei commi 1 e 2 possono essere trattati dal soggetto richiedente, anche successivamente, per le sole finalità perseguite ai sensi del decreto legislativo 6 settembre 1989, n. 322, ivi comprese le finalità di ricerca scientifica per gli enti di cui all'art. 2 del decreto legislativo medesimo, nei limiti previsti dal decreto legislativo 30 luglio 1999, n. 281, e nel rispetto delle misure di sicurezza previste dall'art. 15 della legge e successive modificazioni e integrazioni.». - La direttiva 20 aprile 2004, n. 9 (Criteri e modalità per la comunicazione dei dati personali nell'ambito del Sistema statistico nazionale) è pubblicata nella Gazzetta Ufficiale 23 dicembre 2004, n. 300. - Si riporta l'art. 17 del decreto legislativo 6 settembre 1989, n. 322 (Norme sul Sistema statistico nazionale e sulla riorganizzazione dell'Istituto nazionale di statistica, ai sensi dell'art. 24 della legge 23 agosto 1988, n. 400): «Art. 17 (Comitato di indirizzo e coordinamento dell'informazione statistica). - 1. È costituito il comitato di indirizzo e coordinamento dell'informazione statistica per l'esercizio delle funzioni direttive dell'ISTAT nei confronti degli uffici di informazione statistica costituiti ai sensi dell'art. 3. 2. Il comitato è composto: a) dal presidente dell'Istituto che lo presiede; b) da dieci membri in rappresentanza delle amministrazioni statali, di cui tre delle amministrazioni finanziarie, dotate dei più complessi sistemi di informazione statistica, indicate dal Presidente del Consiglio dei Ministri, sentito il presidente dell'ISTAT; c) da un rappresentante delle regioni designato tra i propri membri dalla Conferenza permanente per i rapporti tra lo Stato, le regioni e le province autonome, di cui all'art. 12 della legge 23 agosto 1988, n. 400; d) da un rappresentante dell'UPI; e) da un rappresentante dell'Unioncamere; f) da tre rappresentati dell'ANCI; g) da due rappresentanti di enti pubblici tra quelli dotati dei più complessi sistemi d'informazione; h) dal direttore generale dell'ISTAT; i) da due esperti scelti tra i professori ordinari di ruolo di prima fascia in materie statistiche, economiche ed affini. 3. Il comitato può essere integrato, su proposta del presidente, da rappresentanti di altre amministrazioni statali competenti per specifici oggetti di deliberazione. 4. I membri di cui alle lettere b), c), d), e), f) e g) del comma 2 sono nominati con decreto del Presidente del Consiglio dei Ministri, su proposta del Ministro o del rappresentante degli organismi interessati; i membri di cui alla lettera i) sono nominati con decreto del Presidente del Consiglio dei Ministri, su proposta del Ministro dell'università e della ricerca scientifica e tecnologica. 5. Il comitato dura in carica quattro anni. I suoi membri possono essere confermati per non più di due volte. 6. Il comitato emana direttive vincolanti nei confronti degli uffici di statistica costituiti ai sensi dell'art. 3, nonché atti di indirizzo nei confronti degli altri uffici facenti parte del Sistema statistico nazionale di cui all'art. 2. Le direttive sono sottoposte all'assenso della amministrazione vigilante, che si intende comunque dato qualora, entro trenta giorni dalla comunicazione, la stessa non formula rilievi. Delibera, su proposta del presidente, il programma statistico nazionale. 7. Il comitato si riunisce su convocazione del presidente ogni volta che questi o le amministrazioni e gli enti rappresentati ne ravvisino la necessità. 8. Il comitato è costituito con la nomina della maggioranza assoluta dei propri membri.». - Si riportano gli articoli, 31, 32, 33, 34, 35 e 36 del decreto legislativo n. 196/2003 (Codice in materia di protezione dei dati personali, in materia di misure minime di sicurezza) pubblicato nella Gazzetta Ufficiale 29 luglio 2003, n. 174, S.O. «Art. 31 (Obblighi di sicurezza). - 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.». «Art. 32 (Particolari titolari). - 1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta ai sensi dell'art. 31 idonee misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei suoi servizi, l'integrità dei dati relativi al traffico, dei dati relativi all'ubicazione e delle comunicazioni elettroniche rispetto ad ogni forma di utilizzazione o cognizione non consentita. 2. Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia è definita dall'Autorità per le garanzie nelle comunicazioni secondo le modalità previste dalla normativa vigente. 3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico informa gli abbonati e, ove possibile, gli utenti, se sussiste un particolare rischio di violazione della sicurezza della rete, indicando, quando il rischio è al di fuori dell'ambito di applicazione delle misure che il fornitore stesso è tenuto ad adottare ai sensi dei commi 1 e 2, tutti i possibili rimedi e i relativi costi presumibili. Analoga informativa è resa al Garante e all'Autorità per le garanzie nelle comunicazioni.». «Art. 33 (Misure minime). - 1. Nel quadro dei più generali obblighi di sicurezza di cui all'art. 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'art. 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.». «Art. 34 (Trattamenti con strumenti elettronici). - 1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. 1-bis. Per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale, la tenuta di un aggiornato documento programmatico sulla sicurezza è sostituita dall'obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell'art. 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle altre misure di sicurezza prescritte. In relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, sentito il Ministro per la semplificazione normativa, individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico di cui all'allegato B) in ordine all'adozione delle misure minime di cui al comma 1.». «Art. 35 (Trattamenti senza l'ausilio di strumenti elettronici). - 1. Il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unità organizzative; b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati.». «Art. 36 (Adeguamento). - 1. Il disciplinare tecnico di cui all'allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie e il Ministro per la semplificazione normativa, in relazione all'evoluzione tecnica e all'esperienza maturata nel settore.».