Source: http://docplayer.it/9834203-Manuale-ad-uso-dei-responsabili-e-degli-incaricati.html
Timestamp: 2017-10-18 02:16:41+00:00

Document:
MANUALE AD USO DEI RESPONSABILI E DEGLI INCARICATI - PDF
MANUALE AD USO DEI RESPONSABILI E DEGLI INCARICATI
Download "MANUALE AD USO DEI RESPONSABILI E DEGLI INCARICATI"
Cecilia Quaranta
1 La protezione dei dati personali Attuazione del D. Lgs. 196/2003 MANUALE AD USO DEI RESPONSABILI E DEGLI INCARICATI Versione: 5.3 Numero totale pagine: 33 Manuale_Uso_Privacy_V5.3.doc
2 ELENCO DEI CONTENUTI 1. INDICAZIONI GENERALI PER IL TRATTAMENTO DI DATI PERSONALI I principi e gli obblighi fondamentali Il significato di alcuni termini introdotti dalla normativa vigente Indicazioni generali per il trattamento Consenso e informativa Diritti dell interessato Comunicazione e diffusione di dati personali Le responsabilità e le sanzioni Sicurezza dei dati e dei sistemi Trattamenti effettuati con l ausilio di strumenti elettronici Trattamenti effettuati senza l ausilio di strumenti elettronici GLI ADEMPIMENTI PER IL RESPONSABILE La nomina degli incaricati L aggiornamento dell ambito di trattamento L informativa L adozione delle misure minime di sicurezza Il Documento Programmatico sulla Sicurezza (DPS) MISURE MINIME DI SICUREZZA IN FEDERICO II Premessa Trattamenti automatizzati Adempimenti di carattere generale previsti per tutte le tipologie di PC Il sistema di autenticazione La segretezza e la custodia della password Sicurezza del software e dell hardware Protezione da virus informatici Salvataggio periodico dei dati Adempimenti specifici previsti per il caso a) PC non collegati in rete Adempimenti specifici previsti per il caso b) PC collegati in rete ma non alle applicazioni centralizzate Adempimenti specifici previsti per il caso c) PC collegati in rete ed alle applicazioni centralizzate Utilizzo della rete internet Utilizzo di supporti rimovibili Trattamenti non automatizzati Dati personali non sensibili né giudiziari Dati sensibili e giudiziari I PIN degli studenti Videosorveglianza RACCOMANDAZIONI GENERALI Distanza di cortesia Linee guida per il corretto utilizzo di userid e password Come scegliere le password...29 Allegato A - DISPOSIZIONI RELATIVE AL PROTOCOLLO ED AGLI ARCHIVI...30 Manuale_Uso_Privacy_V5.3.doc Pagina 2 di 33
3 A.1 Il Protocollo...30 A.2 La tenuta dell Archivio presso l Amministrazione Centrale...30 A.3 La tenuta dell Archivio presso i Poli...31 Allegato B - ACCORGIMENTI PER GLI AMMINISTRATORI DI SISTEMA...32 ELENCO DELLE TABELLE Tabella 1 Regole da implementare per l utilizzo della password di BIOS Tabella 2 Regole da implementare per l utilizzo della password locale del PC Tabella 3 Regole valide per userid e password per l accesso alla rete (PC Amm. C.le e Poli) Tabella 4 Regole valide per userid e password delle applicazioni informatiche centralizzate Manuale_Uso_Privacy_V5.3.doc Pagina 3 di 33
4 MANUALE AD USO DEI RESPONSABILI E DEGLI INCARICATI 1. INDICAZIONI GENERALI PER IL TRATTAMENTO DI DATI PERSONALI 1.1. I principi e gli obblighi fondamentali Il primo gennaio del 2004 è entrato in vigore il decreto legislativo 30 giugno 2003, n. 196, recante il "Codice in materia di protezione dei dati personali" - d'ora in poi denominato "Codice" - nel quale sono raccolte, in forma di testo unico, tutte le disposizioni in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali ed alle attività connesse. Il Codice sancisce il diritto alla protezione dei dati personali, prerogativa fondamentale della persona, e garantisce che il trattamento di queste informazioni "si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali". Il sistema di garanzie approntato dal Codice si ispira ai principi di semplificazione, efficacia ed armonizzazione delle modalità di esercizio dei diritti e delle libertà fondamentali dell interessato e degli adempimenti degli obblighi da parte dei titolari dei trattamenti (ar. 2, comma 2). Il Codice introduce pertanto una simmetria tra le disposizioni che disciplinano: a) le modalità d esercizio dei diritti degli interessato b) l adempimento degli obblighi da parte del titolare del trattamento. La normativa, dinamica e coerente con gli indirizzi giurisprudenziali più attuali, è improntata ai principi di: Semplificazione: nella ricerca di percorsi più snelli per le modalità di esercizio dei diritti da parte degli interessati e degli adempimenti da parte del titolare. Armonizzazione: nello sforzo di creare un sistema privacy pubblico-privato differenziato, ma coerente e di collegarsi in modo coordinato all intero impianto legislativo vigente, non solo in materia di tutela della privacy. Efficacia: nel rendere il Codice concretamente operativo, mediante la previsione, accanto alle norme primarie (norme di legge), di norme secondarie di attuazione e di dettaglio (norme di regolamento). Il diritto alla protezione dei dati personali potrà essere garantito solo se le amministrazioni titolari dei trattamenti ispireranno la loro attività ai principi sanciti dal Codice e conseguentemente, oltre ad ottemperare agli obblighi ivi espressamente previsti, adotteranno una serie di comportamenti concreti, azioni e provvedimenti organizzativi coerenti con i principi che regolano la materia. Manuale_Uso_Privacy_V5.3.doc Pagina 4 di 33
5 1.2. Il significato di alcuni termini introdotti dalla normativa vigente Il codice definisce dati personali "qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale". Nei sistemi informativi di una organizzazione le informazioni contenenti dati personali sono presenti essenzialmente nelle seguenti forme: dati strutturati (ad esempio, database) dati destrutturati (ad esempio, documenti o posta elettronica). E fondamentale comprendere che la norma protegge i dati personali indipendentemente dalla forma nella quale essi sono organizzati e del supporto utilizzato (sia questo informatico o meno). I dati sensibili sono quelli idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Tra i dati sensibili rientrano quelli biomedici e genetici. Pertanto, nell ambito dell Ateneo, i dati sensibili concretamente utilizzati sono relativi a: o appartenenza del dipendente ad associazioni sindacali; o inabilità del dipendente; o inabilità del familiare dal dipendente; o malattia del dipendente; o provvedimenti giudiziari a carico del dipendente; o handicap dello studente. I dati giudiziari sono quelli idonei a rivelare provvedimenti di iscrizione nel casellario giudiziale o nell anagrafe delle sanzioni amministrative dipendenti da reato e i relativi carichi pendenti, o la qualità di imputato o di indagato. Per trattamento deve intendersi qualunque operazione o complesso di operazioni, effettuati anche senza l ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati. Il titolare è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Il responsabile è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. Ai sensi del Regolamento di Ateneo, i responsabili dei trattamenti dei dati personali, anche sensibili e giudiziari, effettuati dall Università sono nominati dal Titolare con provvedimento scritto tra il personale responsabile di uffici, strutture e servizi dell Ateneo. Manuale_Uso_Privacy_V5.3.doc Pagina 5 di 33
6 Gli incaricati sono le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile. Ai sensi del Regolamento di Ateneo, gli incaricati dei trattamenti dei dati personali, anche sensibili e giudiziari, effettuati dall Università sono nominati dai responsabili tra il personale afferente all ufficio o struttura. L interessato è la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali Indicazioni generali per il trattamento Il trattamento dei dati personali da parte delle pubbliche amministrazioni è consentito solo qualora sia necessario per lo svolgimento delle funzioni istituzionali, rispettando gli eventuali altri presupposti e limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti. I dati sensibili possono, invece, essere trattati soltanto se il trattamento risulta autorizzato da un'espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. Nell effettuare qualsivoglia trattamento, al fine di mantenersi entro gli ambiti della legittimità fissati dal Codice, i responsabili dovranno verificare che il trattamento si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato, con particolare riferimento alla riservatezza, all identità personale ed al diritto alla protezione dei dati personali. In particolare, ciascun trattamento dovrà essere effettuato riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. In ogni caso, i dati personali devono essere trattati: - in modo lecito e secondo correttezza; - raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; - esatti e, se necessario, aggiornati; - pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; - conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati Consenso e informativa Si evidenzia che il Codice prevede che i soggetti pubblici e, dunque l Università, salvo quanto espressamente previsto per gli esercenti le professioni sanitarie e gli organismi sanitari pubblici, non devono richiedere il consenso dell interessato. Il Codice prescrive inoltre l obbligo di rendere l informativa per tutti i trattamenti effettuati. Pertanto, il responsabile dovrà adottare ogni misura organizzativa idonea, ivi compreso l inserimento dell informativa nella modulistica utilizzata nell ambito della propria struttura, affinché l interessato o la persona presso la quale sono raccolti i dati personali siano previamente informati per iscritto circa: Manuale_Uso_Privacy_V5.3.doc Pagina 6 di 33
7 - le finalità e le modalità del trattamento cui i dati sono destinati; - la natura obbligatoria o facoltativa del conferimento dei dati; - le conseguenze di un eventuale rifiuto di rispondere; - i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in quanto responsabili o incaricati, e l ambito di diffusione dei dati medesimi; - i diritti dell interessato; - gli estremi identificativi del titolare e del responsabile. Al fine di poter provare in ogni caso di aver adempiuto all obbligo di rendere l informativa, sebbene il Codice preveda la possibilità di renderla anche solo oralmente, si dispone che la stessa venga resa sempre per iscritto Diritti dell interessato Sono indicati all art. 7 del Codice nel quale è previsto che l interessato ha diritto ad ottenere conferma dell esistenza o meno di dati personali che lo riguardano anche se non ancora registrati, e la loro comunicazione in forma intelligibile; ha il diritto di conoscerne la fonte, di sapere per quali finalità e con quali modalità sono trattati, se e a chi detti dati vengono comunicati; ha, inoltre, il diritto di ottenerne l aggiornamento, la rettifica, l integrazione, la cancellazione, la trasformazione in forma anonima o il blocco, con attestazione che dette operazioni sono state portate a conoscenza anche di coloro ai quali i dati sono stati comunicati o diffusi. L interessato può inoltre sempre opporsi al trattamento dei dati che lo riguardano, in particolare ove esso sia effettuato a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. Detti diritti sono esercitati con richiesta rivolta, senza formalità, al titolare o al responsabile, anche per il tramite di un incaricato. Alla richiesta deve essere fornito idoneo riscontro senza ritardo. La richiesta può essere trasmessa anche mediante fax o posta elettronica o semplicemente formulata in via orale. Quando essa riguarda la mera richiesta di informazioni relative al trattamento eventualmente in atto, può essere formulata anche oralmente; in tal caso è annotata sinteticamente a cura del responsabile o dell incaricato. Al fine di esaudire la richiesta dell interessato il responsabile, o un incaricato all uopo individuato, dovrà: - comunicare oralmente le informazioni richieste; oppure - consentire la visione delle informazioni mediante strumenti elettronici; oppure - se richiesto, provvedere alla trasposizione dei dati su supporto cartaceo o informatico ovvero all invio per via telematica Comunicazione e diffusione di dati personali La comunicazione e la diffusione di dati personali costituiscono trattamenti particolarmente delicati. Si ritiene utile, pertanto, richiamare l attenzione dei responsabili sulle disposizioni da osservare, coerentemente con quanto disposto dal Regolamento di Ateneo di attuazione del codice di protezione dei dati personali (D. R. n del ), nel prosieguo detto Regolamento di Ateneo. Manuale_Uso_Privacy_V5.3.doc Pagina 7 di 33
8 La comunicazione dei dati nell ambito dell Ateneo è ispirata al principio della libera circolazione delle informazioni. La comunicazione ad altro soggetto pubblico è invece ammessa o quando è prevista da una norma di legge o di regolamento oppure quando è comunque necessaria per lo svolgimento di funzioni istituzionali dell ente richiedente. In tale ultimo caso, il responsabile per il tramite del Titolare - è tenuto a darne comunicazione al Garante, a mezzo telefax o con altro mezzo idoneo ad attestarne la ricezione; la comunicazione può essere avviata decorso il termine di quarantacinque giorni dalla comunicazione del trattamento al Garante. La comunicazione a privati o a enti pubblici economici di dati personali diversi da quelli sensibili e giudiziari è regolata dall art. 13 del Regolamento di Ateneo e può avvenire solo dietro richiesta scritta e motivata. Tale richiesta, indirizzata al Titolare, deve contenere le seguenti indicazioni: a. il nome, la denominazione, la ragione sociale; b. i dati di cui si richiede la visione o la trasmissione; c. le finalità e le modalità di utilizzo dei dati richiesti; d. l eventuale ambito di comunicazione dei dati richiesti; e. l eventuale connessione con altri trattamenti e/o banche dati. La diffusione di dati personali sensibili e giudiziari non è mai ammessa. La diffusione di dati personali diversi da quelli sensibili e giudiziari è invece ammessa unicamente quando sono previste da norma di legge o di regolamento, richiamando la quale il trattamento potrà essere effettuato. In ogni caso, i dati idonei a rivelare lo stato di salute non possono essere diffusi Le responsabilità e le sanzioni All interno del Codice vige il principio della responsabilità oggettiva per il trattamento dei dati personali. In base a questo principio, chiunque (responsabile o incaricato, in relazione ai rispettivi ambiti di responsabilità) cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art c.c. (responsabilità derivante dall esercizio di attività pericolose) se non prova di aver adottato tutte le misure tecniche ed organizzative idonee ad evitare il danno. Al fine di poter fornire tale prova, risulta indispensabile per i responsabili e per gli incaricati di trattamento osservare scrupolosamente le istruzioni individuate dal Titolare in attuazione della normativa in materia di protezione dei dati personali. Si evidenzia, altresì, che, in ogni caso, la violazione di disposizioni del Titolare costituisce violazione dei doveri d ufficio ed implica, conseguentemente l applicabilità di sanzioni disciplinari. Fra le tante sanzioni previste dal Codice si ritiene inoltre opportuno, segnalare che: - la omessa o inidonea informativa all interessato, la cessione di dati al di fuori dei casi consentiti, la violazione delle disposizioni in tema di comunicazione di dati personali idonei a rivelare lo stato di salute o la vita sessuale nonché l omessa informazione o esibizione di documenti al Garante comportano l applicabilità di una sanzione amministrativa; - il trattamento illecito di dati, la falsa notifica o false informazioni al Garante, l omessa adozione delle misure minime di sicurezza e l inosservanza dei provvedimenti del Garante costituiscono per il trasgressore illecito penale; - come pena accessoria è sempre prevista la pubblicazione della sentenza di condanna. Manuale_Uso_Privacy_V5.3.doc Pagina 8 di 33
9 1.8. Sicurezza dei dati e dei sistemi Ai sensi dell art. 33 e dell art. 34 del Codice, il trattamento dei dati personali è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell allegato B del Codice, le seguenti misure minime di sicurezza, distinte a seconda che il trattamento sia effettuato con o senza l ausilio di strumenti elettronici: Trattamenti effettuati con l ausilio di strumenti elettronici a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico (almeno annuale) dell individuazione dell ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari Trattamenti effettuati senza l ausilio di strumenti elettronici a) aggiornamento periodico (almeno annuale) dell individuazione dell ambito del trattamento consentito ai singoli incaricati o alle unità organizzative; b) previsione di procedure per un idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati. In ogni caso, qualunque sia la tipologia di trattamento effettuato, l omissione da parte di chiunque (responsabile o incaricato) dell applicazione delle misure minime di sicurezza è sanzionabile penalmente, in base a quanto sancito dall art. 169 del Codice. Inoltre, l adozione di misure di sicurezza inadeguate (cioè non coerenti con quanto disciplinato dal Codice o dalla legge) rende il trattamento illecito, per cui il titolare non può più utilizzare i dati raccolti e l interessato può ottenerne la cancellazione. Manuale_Uso_Privacy_V5.3.doc Pagina 9 di 33
10 2. GLI ADEMPIMENTI PER IL RESPONSABILE 2.1. La nomina degli incaricati Qualora siano gestiti dati personali, il responsabile del trattamento dei dati dovrà autorizzare per iscritto gli incaricati ed assegnare loro il relativo ambito di trattamento coerente con quanto riportato nell ultima versione pubblicata della tabella Ambiti_Trattamento della propria struttura 1, procedendo alla revoca della detta autorizzazione in tutti i casi di perdita della qualità che consente all incaricato l accesso ai dati personali (per es.: per trasferimento del dipendente ad altro ufficio, per assegnazione ad altre attività, per estinzione del rapporto di lavoro con l Ateneo). Per il conferimento e la revoca dell incarico, il responsabile dovrà utilizzare: a. il modello SICURDAT/A per autorizzare i trattamenti cartacei o elettronici su PC non in rete, b. il modello SICURDAT/B per autorizzare i trattamenti automatizzati centralizzati. In ogni caso, sul modulo dovrà essere apposta anche la firma dell incaricato del trattamento per attestare l avvenuta comunicazione dell incarico a lui affidato e dell ambito di trattamento che gli è consentito. I due modelli SICURDAT sono reperibili all indirizzo: Gli uffici dell Amministrazione Centrale e dei Poli dovranno protocollare ed inviare esclusivamente tramite Protocollo Informatico tali moduli alla Direzione Amministrativa, custodendo gli originali. Per motivi di organizzazione interna, è opportuno effettuare registrazioni di protocollo separate per i modelli SICURDAT/A e SICURDAT/B. In assenza di variazioni, i responsabili di tali uffici invieranno alla Direzione Amministrativa formale attestazione di conferma degli incarichi conferiti. Per quanto attiene alle strutture di Ateneo, la gestione e la conservazione dei moduli SICURDAT è regolamentata da appositi decreti e comunicazioni del titolare ai responsabili. Nel caso di comunicazione all esterno dell Ateneo di dati personali (mediante trasmissione di flusso cartaceo o elettronico, oppure mediante l utilizzo di specifiche applicazioni informatiche non gestite dall Ateneo) si evidenzia l importanza di segnalare, nel modello SICURDAT/A, la denominazione dei soggetti o degli enti esterni a cui i dati sono comunicati e dell applicazione utilizzata. Il responsabile deve segnalare queste informazioni anche nel caso di accesso a banche dati esterne gestite da applicazioni informatiche dell ente o soggetto esterno. All atto del conferimento dell incarico, il responsabile deve consegnare all incaricato il presente manuale (reperibile anche all indirizzo: in quanto contiene - tra l altro - le istruzioni, le regole e le prassi a cui devono attenersi gli incaricati per la tutela dei dati personali trattati dall Università degli Studi di Napoli Federico II. 1 Per le ripartizioni e gli uffici dell Amministrazione Centrale, la tabella è denominata Ambiti_Trattamenti; per gli uffici dei Poli è denominata Ambiti_Trattamenti_Poli; per le strutture didattiche, di ricerca e di servizio dell Ateneo, è denominata Ambiti_Trattamento_Strutture_Ateneo. Manuale_Uso_Privacy_V5.3.doc Pagina 10 di 33
11 2.2. L aggiornamento dell ambito di trattamento Con frequenza annuale, ciascun responsabile deve provvedere a comunicare alla Direzione Amministrativa eventuali difformità riscontrate fra quanto risulta dalla tabella Ambiti_Trattamenti in cui risulta censita la propria struttura (o ufficio) e la situazione di fatto esistente nella struttura stessa (o ufficio), al fine di evitare la violazione della normativa vigente per quanto attiene alla erronea individuazione dell ambito di trattamento consentito ai responsabili ed agli incaricati L informativa Ai sensi di quanto è prescritto dall art. 15 del Regolamento di Ateneo, l informativa di cui all art. 13 del D.lgs. 196/2003, è a cura del responsabile del trattamento ed è resa all interessato direttamente ovvero è effettuata con modalità idonee a garantire ampia diffusione della stessa. L informativa relativa al trattamento di dati sensibili e giudiziari deve contenere l indicazione della normativa che prevede gli obblighi o i compiti in base alla quale il trattamento è effettuato. Inoltre, l informativa relativa alla comunicazione e/o diffusione di dati personali deve essere sempre effettuata prima della trasmissione dei dati oggetto di trattamento. In ogni caso, il responsabile è tenuto a conservare i documenti dai quali possa desumersi che l informativa è stata resa in conformità alle disposizioni contenute nel Codice nonché nel Regolamento di Ateneo L adozione delle misure minime di sicurezza Al fine di garantire la sicurezza dei dati, il responsabile custodisce i dati seguendo le indicazioni che gli vengono fornite dal Titolare ed adottando ogni altra misura di sicurezza idonea a ridurre al minimo i rischi di distruzione, di perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. A tal fine, impartisce le opportune istruzioni agli incaricati e vigila sul corretto svolgimento dei trattamenti di propria competenza. Più specificatamente,il responsabile deve adottare, per lo svolgimento dei trattamenti di propria competenza, idonee soluzioni atte a garantire: a) la disponibilità e l utilizzo da parte degli incaricati di un idoneo sistema di autenticazione; b) la attenta custodia delle credenziali di autenticazione degli incaricati; c) la sicurezza del software e dell hardware utilizzato dagli incaricati in termini di: manutenzione, installazione di prodotti di protezione dei sistemi, di prevenzione delle vulnerabilità e di correzione, strumenti e procedure per il salvataggio periodico dei dati Il Documento Programmatico sulla Sicurezza (DPS) Ciascun responsabile di trattamento dei dati personali, responsabile di struttura didattica, di ricerca o di servizio (Polo, Facoltà, Dipartimento, Centro Interdipartimentale di Servizio o di Ricerca, Scuola di Specializzazione, Biblioteca, Centro di Ateneo, etc.) redige annualmente il Documento Programmatico sulla Manuale_Uso_Privacy_V5.3.doc Pagina 11 di 33
12 Sicurezza relativo al trattamento dei dati personali effettuati nel proprio ambito, eventualmente su schemitipo forniti dal Titolare ed avvalendosi dei contributi forniti dai responsabili del trattamento dei dati personali, ove presenti, di sotto-strutture afferenti alla struttura stessa. Ciascun responsabile trasmette quindi al Titolare il DPS relativo al trattamento dei dati personali effettuato con strumenti elettronici nell ambito della propria struttura, in modo tale da consentirne la allegazione al Documento Programmatico sulla Sicurezza dell intero Ateneo, sottoposto dal Titolare al Consiglio di Amministrazione ed allegato al bilancio di previsione dell Ateneo. E opportuno ricordare che la tenuta di un aggiornato DPS è tra le misure minime previste per i trattamenti automatizzati. Ai sensi dell articolo 19 dell allegato B del Codice, il DPS deve contenere: il censimento dei trattamenti di dati personali svolti (Reg. 19.1); l analisi della distribuzione dei compiti e delle responsabilità (Reg. 19.2); l analisi dei rischi incombenti sui dati (Reg. 19.3); la descrizione delle misure di garanzia adottate per l integrità e la disponibilità dei dati, la protezione dei locali e delle aree (Reg. 19.4); la descrizione dei criteri e modalità per il ripristino dei dati a seguito di distruzione o danneggiamento, entro sette giorni nel caso di dati sensibili e giudiziari (Reg. 19.5); la previsione di interventi formativi a beneficio degli incaricati (Reg. 19.6); la descrizione dei criteri per l affidamento di elaborazioni dati all esterno della struttura del Titolare (Reg. 19.7); la descrizione dei criteri per la cifratura o la separazione di dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati personali dell interessato (Reg. 19.8). Manuale_Uso_Privacy_V5.3.doc Pagina 12 di 33
13 3. MISURE MINIME DI SICUREZZA IN FEDERICO II 3.1 Premessa Le misure minime sono costituite, in accordo con quanto precedentemente detto, da quel complesso di misure tecniche, informatiche, organizzative, logistiche e procedurali che l Ateneo è tenuto ad adottare per ridurre al minimo i rischi di distruzione o di perdita, anche accidentale, dei dati personali trattati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta e che configurano il livello minimo di protezione richiesto dal Decreto Legislativo 196/2003 in materia di protezione dei dati personali. Poiché il trattamento di dati personali può essere effettuato sia attraverso sistemi automatizzati sia attraverso supporti cartacei, è necessario distinguere tra: 1) Trattamenti automatizzati (effettuati con strumenti informatici e telematici) 2) Trattamenti non automatizzati (cartacei). La presente guida, coerentemente con le misure minime definite nel Codice e con quanto prescritto nel Regolamento di Ateneo, contiene tra l altro le istruzioni, le regole e le prassi a cui devono attenersi i responsabili e gli incaricati per la tutela dei dati personali trattati dall Università degli Studi di Napoli Federico II. Infine, è opportuno precisare che per tutto ciò che non è specificato nel presente manuale, il responsabile e l incaricato osservano: 1) i principi contenuti nel D. Lgs. 196/2003 Codice in materia di protezione dei dati personali; 2) il Regolamento di attuazione del Codice di Protezione dei dati personali utilizzati dall Università, adottato con D.R. n del ; 3) Il Regolamento di Ateneo in materia di Trattamento dei dati sensibili e giudiziari adottato con D.R. n del Trattamenti automatizzati Nell ambito di tali trattamenti è necessario distinguere tra: a) PC non collegati in rete; b) PC collegati in rete ma non utilizzanti applicazioni informatiche centralizzate; c) PC collegati in rete ed utilizzanti le applicazioni informatiche centralizzate Adempimenti di carattere generale previsti per tutte le tipologie di PC Il sistema di autenticazione L autenticazione 2 fa riferimento alla capacità di un determinato sistema di consentire ad un utente autorizzato di accedere ai servizi ed alle informazioni cui ha legittimamente diritto e, contemporaneamente, 2 Definizione: un sistema di autenticazione è un dispositivo atto a stabilire e verificare in modo univoco, anche indiretto, l identità dichiarata da un utente che vuole accedere al sistema, prima di ulteriori interazioni tra il sistema e l utente. Manuale_Uso_Privacy_V5.3.doc Pagina 13 di 33
14 di impedire qualunque tipo di accesso a chi, invece, non ha le autorizzazioni necessarie. L applicazione di questo principio, ovviamente, comporta che il sistema debba essere in grado di memorizzare in modo sicuro le credenziali di ogni utente, di riconoscerlo all atto della richiesta di un determinato servizio e di garantire che non possano avvenire manipolazioni delle richieste di accesso. Tutti i PC devono essere accessibili attraverso l utilizzo di un sistema di autenticazione, mediante l utilizzo di password da inserire all atto dell accensione della macchina. I meccanismi da implementare dipendono dalla tipologia di PC (se collegato in rete locale, oppure no), dalle caratteristiche tecniche del PC e dalla disponibilità di idonee infrastrutture di servizio (ad esempio, la presenza di server di dominio). Tali aspetti saranno più diffusamente trattati nei prossimi paragrafi La segretezza e la custodia della password Si sottolinea che l attenta custodia della password di accensione va effettuata anche nell interesse dello stesso utente al fine di non esporsi a dover rispondere di attività svolte da altri soggetti tramite il PC a lui assegnato. Al fine di consentire l uso del PC anche in caso di impedimento dell incaricato che lo utilizza normalmente, questi dovrà consegnare al Responsabile del trattamento dei dati della struttura una busta chiusa contenente la propria password e provvedere a sostituirla in occasione dell adozione di una nuova password. Il responsabile del trattamento dei dati, in caso di impedimento temporaneo di un dipendente, qualora sia indispensabile utilizzare il PC a questi assegnato (anche per effettuare un intervento tecnico di manutenzione da parte del personale autorizzato, oppure perché utilizzato per uno specifico trattamento di dati personali), aprirà la busta contenente la relativa password e la fornirà ad altro dipendente per consentirgli l utilizzo del detto PC. La busta, con l indicazione della data della sua apertura, dovrà essere conservata a cura del Responsabile fino alla consegna della busta contenente la nuova password da parte del dipendente che è stato temporaneamente impedito. Il Responsabile è tenuto, inoltre, a verificare la corretta applicazione delle disposizioni relative alla password di accensione del PC, riscontrando in particolare la sostituzione, ogni tre mesi, delle password (vale a dire delle buste contenenti le stesse) Sicurezza del software e dell hardware Se nell utilizzo del PC e/o dell applicazione informatica a cui si è abilitati, viene rilevato un problema che può compromettere la sicurezza dei dati, l incaricato ne dà immediata comunicazione al responsabile del trattamento che, a sua volta, provvede ad attivare la ditta o la struttura di Ateneo preposta alla manutenzione dei PC che analizzerà il problema segnalato ed adotterà tutte le misure tecniche necessarie a risolverlo. Nel caso dell Amministrazione Centrale e degli uffici dei Poli, la struttura incaricata della manutenzione dei posti di lavoro è lo CSI che sarà attivato dal responsabile mediante Contact Center (al numero ). All utente è vietato installare programmi non attinenti le normali attività d ufficio, né nuovi programmi necessari, né modificare le configurazioni hardware e software delle apparecchiature, senza il preventiva autorizzazione del proprio responsabile. Manuale_Uso_Privacy_V5.3.doc Pagina 14 di 33
15 Gli utenti, con cadenza almeno mensile, verificano la disponibilità (ad esempio, per gli utilizzatori di sistemi Windows/Vista, sul sito ufficiale della Microsoft), di correzioni software per problemi di sicurezza, applicabili alla propria versione di sistema operativo. Se nel corso di tale verifica si rileva la presenza di correzioni software per problemi di sicurezza (aggiornamenti critici), l incaricato è tenuto a scaricare ed installare tali aggiornamenti sulla propria postazione di lavoro, seguendo le istruzioni impartite dal fornitore. Tale adempimento è applicabile a tutti gli utenti le cui postazioni di lavoro sono collegate alla rete internet. Per i PC non in rete, l aggiornamento dovrà essere eseguito da disco rimovibile. Tutti gli incaricati evitano qualsiasi tipo di azione teso a superare le protezioni applicate ai sistemi e alle applicazioni. Qualora l intervento di installazione, configurazione e regolazione del sistema è effettuato da una ditta esterna o da personale di Ateneo preposto alla manutenzione dei PC (nel caso dell Amministrazione Centrale e degli uffici dei Poli, dallo CSI), a conclusione dell intervento di manutenzione, il Responsabile del trattamento è tenuto comunque a verificare che il PC sia riportato nella situazione originaria per quanto riguarda le misure minime (password di accensione del PC, presenza del programma antivirus). E inoltre non superfluo far presente che, qualora la manutenzione sia affidata ad una ditta esterna, questa deve essere formalmente nominata incaricata del trattamento. PC. E espressamente vietata qualsiasi azione volta a superare il blocco con password all accensione del Protezione da virus informatici I virus informatici rappresentano una delle minacce principali per la sicurezza dei sistemi informativi e dei dati in essi presenti. Un virus informatico può danneggiare un PC, può modificare e/o cancellare i dati in esso contenuti, può compromettere la sicurezza e la riservatezza di un intero sistema informativo, può rendere indisponibile parti del sistema informativo, ivi compresa la rete di trasmissione dati. I seguenti comportamenti inducono un aumento del livello di rischio di contaminazione da virus informatici: 1) installazione di software gratuito (freeware o shareware) prelevato da siti internet o allegato a riviste e/o libri; 2) scambio di file eseguibili allegati a messaggi di posta elettronica; 3) ricezione ed esecuzione di file eseguibili allegati a messaggi di posta elettronica; 4) collegamenti ad internet con esecuzione di file eseguibili, applets Java, ActiveX; 5) utilizzo della condivisione, senza password, di cartelle fra computer in rete; 6) utilizzo di floppy disk già utilizzati e la cui provenienza sia dubbia. Al fine di evitare i problemi correlati alla diffusione di virus informatici, il responsabile e gli incaricati si attengono alle istruzioni di seguito riportate: 1) accertarsi che sul proprio computer sia sempre operativo uno dei programmi antivirus in uso presso l Ateneo. Nel caso contrario segnalare immediatamente la situazione alla ditta o alla struttura di Ateneo preposta alla manutenzione dei PC (nel caso dell Amministrazione Centrale e dei Poli allo CSI, tramite Contact Center); 2) aggiornare il programma antivirus, per i PC collegati in rete, automaticamente o su richiesta dell utente, con cadenza almeno settimanale. Per i PC non collegati in rete l aggiornamento del programma antivirus deve essere effettuato con cadenza almeno mensile; 3) accertarsi sempre della provenienza dei messaggi di posta elettronica contenenti allegati. Nel caso che il mittente del messaggio di posta elettronica dia origine a dubbi, cancellare direttamente il messaggio senza aprire gli allegati; Manuale_Uso_Privacy_V5.3.doc Pagina 15 di 33
16 4) sottoporre a controllo, con il programma antivirus installato sul proprio PC, tutti i supporti di provenienza esterna e/o incerti prima di eseguire uno qualsiasi dei files in esso contenuti; 5) non condividere con altri computer il proprio disco rigido o una cartella senza password di protezione in lettura/scrittura; 6) proteggere in scrittura i propri floppy disk contenenti programmi eseguibili e/o files di dati; 7) limitare la trasmissione fra computer in rete di files eseguibili e di sistema; 8) non intraprendere azioni di modifica sui sistemi utilizzati a seguito di diffusione di messaggi e segnalazioni di virus informatici da qualsiasi fonte provengano. Le uniche azioni eventualmente necessarie sono comunicate esclusivamente dal Centro Servizi Informativi d Ateneo (CSI); 9) non scaricare dalla rete internet programmi o files non inerenti l attività dell Ufficio o comunque sospetti; 10) distribuire preferibilmente documenti in formato elettronico avviene tramite formati standard, compatibili e possibilmente compressi (p.e. PDF). Il Responsabile del trattamento dei dati della struttura è tenuto a verificare la corretta applicazione delle presenti disposizioni, accertando che tutti i PC dell Ufficio siano dotati del programma antivirus. Nel caso riscontri la mancanza di tali protezioni minime, il responsabile è tenuto a far attivare il necessario intervento tecnico (nel caso dell Amministrazione Centrale e degli uffici dei Poli, effettuando una chiamata al Contact Center dello CSI). Nel caso in cui da parte del programma antivirus sia riscontrata la presenza di un virus informatico sul PC, l Incaricato segue le istruzioni riportate sullo schermo dal programma e contestualmente avverte dell evento il responsabile del trattamento dei dati. Quest ultimo, dopo aver verificato che siano state rispettate le misure minime di protezione da virus informatici, provvede a segnalare l evento per eventuali e successivi interventi tecnici alla ditta o alla struttura di Ateneo preposta alla manutenzione dei PC (nel caso dell Amministrazione Centrale e degli uffici dei Poli, lo CSI, tramite Contact Center) Salvataggio periodico dei dati Per quanto garantire la disponibilità dei dati personali trattati con PC, a meno di meccanismi di salvataggio centralizzati (ma solo per i PC di tipologia b) e c)), il Responsabile è tenuto a verificare che, con cadenza almeno settimanale, tali dati siano archiviati su supporti di memorizzazione rimovibili (floppy disk, CDROM, DVD) e che tali supporti siano conservati in armadi o cassetti muniti di serratura, secondo quanto specificato al successivo paragrafo Adempimenti specifici previsti per il caso a) PC non collegati in rete Per i PC non collegati in rete, il meccanismo per l autenticazione deve essere necessariamente implementato in locale, sul PC. Se sul PC è installato un sistema della famiglia Windows 9x (Windows 95, Windows 98, Windows 98 SE, Windows ME) che non prevede un sistema di autenticazione nativo, la password di accensione deve essere in tal caso necessariamente di BIOS. La lunghezza minima della password è di 6 caratteri, o comunque del massimo consentito dal BIOS del PC; la password BIOS deve essere modificabile dall incaricato e variata almeno ogni sei mesi. Nel caso in cui sul PC risiedano dati sensibili o giudiziari, tale password deve essere modificata dall incaricato almeno ogni tre mesi. Di seguito, le regole valide per l utilizzo della password BIOS: Manuale_Uso_Privacy_V5.3.doc Pagina 16 di 33
17 DESCRIZIONE La password di BIOS può essere modificata dall utente? Quale deve essere la durata della password di BIOS? La password viene revocata in caso di mancato utilizzo? La password ha una lunghezza minima? REGOLA SI 6 mesi oppure 3 mesi nel caso di trattamenti con dati sensibili o giudiziari NO SI, 6 caratteri o comunque il massimo numero di caratteri consentiti dal BIOS del PC Tabella 1 Regole da implementare per l utilizzo della password di BIOS I PC più recenti, (MAC OS, Windows NT, Windows 2000, Windows XP, Windows Server 2003, Windows Vista) sono invece dotati di sistemi di autenticazione ed autorizzazione completi che permettono non solo l utilizzo di user-id e password, ma anche di credenziali di autenticazione forte quali token o device di riconoscimento biometrico. L utilizzo dell autenticazione locale non esclude l adozione anche della password BIOS. Di seguito, le regole valide per l utilizzo della password locale del PC: DESCRIZIONE La password locale del PC può essere modificata dall utente? Quale deve essere la durata della password locale del PC? La password viene revocata in caso di mancato utilizzo? La password deve avere una lunghezza minima? REGOLA SI 6 mesi oppure 3 mesi nel caso di trattamenti con dati sensibili o giudiziari NO SI, 8 caratteri Tabella 2 Regole da implementare per l utilizzo della password locale del PC Per quanto attiene alle restanti misure minime di sicurezza, gli incaricati provvedono ad eseguire: - con cadenza almeno mensile, da disco rimovibile, l aggiornamento del sistema operativo presente sul proprio PC e del programma antivirus; - con cadenza almeno settimanale, al salvataggio dei propri dati personali su supporti di memorizzazione rimovibili (floppy disk, CDROM, DVD) che devono essere conservati in armadi o cassetti muniti di serratura, secondo quanto specificato al successivo paragrafo 3.3; - ad impostare la protezione mediante screen-saver con password. E opportuno evidenziare, infine, che i trattamenti eseguiti sui PC non collegati in rete devono essere autorizzati mediante modulo SICURDAT/A Adempimenti specifici previsti per il caso b) PC collegati in rete ma non alle applicazioni centralizzate Se il PC è collegato alla rete locale, l autenticazione deve essere preferibilmente gestita da un sistema centralizzato di autenticazione. In tal caso, la password deve essere di lunghezza non inferiore a 8 caratteri o, comunque, al massimo numero di caratteri consentiti dal sistema di autenticazione utilizzato. L utilizzo di un sistema centralizzato di autenticazione, in generale, permette: Manuale_Uso_Privacy_V5.3.doc Pagina 17 di 33
18 la protezione e la gestione delle password (lunghezza minima, scadenza della password, rinnovo della password, cessazione dell utenza, regole di composizione della password, ecc.) grazie ad un'unica procedura di accesso alle risorse di rete la profilatura utente grazie all'impostazione di privilegi per il controllo dell'accesso agli oggetti della directory e ai singoli elementi dati che li costituiscono la gestione della sicurezza anche dei sistemi client collegati la sicurezza nell accesso ad Internet attraverso il supporto per i protocolli sicuri standard di Internet ed i meccanismi di autenticazione degli utenti quali Kerberos, PKI (Public Key Infrastructure) e LDAP (Lightweight Directory Access Protocol) la pre-impostazione centralizzata della protezione mediante screen-saver gestione della lista degli incaricati al trattamento dei dati in relazione al profilo di autorizzazione ed al conseguente ambito di trattamento consentito. Sul mercato sono disponibili diverse ed interessanti soluzioni tecnologiche, alcune in ambiente Open Source, atte a garantire i requisiti di sicurezza precedentemente esposti. Sarà cura del responsabile individuare ed adottare la soluzione più idonea per la propria struttura. Per l Amministrazione Centrale ed i Poli, il sistema di autenticazione risiede su un server di dominio per il controllo di autorizzazione gestito dal Centro Servizi Informativi d Ateneo (CSI). Le credenziali per l autenticazione al dominio di rete del responsabile e degli incaricati sono richieste mediante il modulo SICURDAT/B. Inoltre, coerentemente con quanto prescritto dal Disciplinare Tecnico allegato al D.Lgs. 196/2003, la password di rete scade automaticamente ogni tre mesi e deve essere modificata dall incaricato. Qualora, scaduto tale termine, la password non è modificata per ulteriori sei mesi, le credenziali sono disattivate. L istanza di riattivazione va presentata, a cura del responsabile, mediante il modello SICURDAT/B. Infine, dopo cinque tentativi di connessione falliti, il codice identificativo (userid) è disabilitato. La richiesta di riabilitazione è effettuata dall incaricato, tramite il Contact Center (al numero ) del CSI. Di seguito, le regole da implementare su di un qualunque server di dominio ed attualmente impostate da CSI sui server d dominio che gestiscono l autenticazione alla rete per i PC dell Amministrazione Centrali ed i Poli. Tali regole si applicano anche per i PC di tipologia c): DESCRIZIONE La password di rete può essere modificata dall utente? Quale è la durata della password di rete? Lo userid viene revocato in caso di mancato utilizzo? La password di rete ha una lunghezza minima? Quanti sono i tentativi di prova di una password di rete prima che lo USERID sia disabilitato? REGOLA SI 3 mesi SI, dopo sei mesi a partire dall ultimo rinnovo password non eseguito SI, 8 caratteri o comunque il massimo numero di caratteri consentiti dal sistema di autenticazione utilizzato 5 Tabella 3 Regole valide per userid e password per l accesso alla rete (PC Amm. C.le e Poli) Manuale_Uso_Privacy_V5.3.doc Pagina 18 di 33
19 In generale, l utilizzo della autenticazione tramite il server di dominio non esclude l utilizzo della password BIOS. Per quanto riguarda il salvataggio dei dati personali residenti sulle postazioni di lavoro dell Amministrazione Centrale e degli uffici dei Poli, a ciascun incaricato è assegnato un codice identificativo personale ed una password di rete mediante i quali l incaricato può accedere ed utilizzare le risorse di rete. Ciascun incaricato in possesso di una credenziale di autenticazione alla rete ha accesso, in lettura e scrittura, ad una cartella comune dedicata al proprio ufficio e ad una cartella personale, entrambe di capacità pari a 100 MB, in cui deve salvare, almeno con frequenza settimanale, i dati personali contenuti sul proprio PC. Le cartelle risiedono su server gestiti da CSI, in modo tale da garantire integrità, disponibilità e riservatezza dei dati registrati. L accesso (in lettura, in scrittura, in lettura/scrittura) alle sotto-cartelle contenute nella cartella comune viene consentita agli incaricati afferenti all intero Ufficio, oppure a gruppi nell ambito dell Ufficio, oppure a singoli dipendenti, sulla base di specifiche richieste concordate tra il Responsabile ed il C.S.I.. In assenza di richieste, la regola base adottata dal C.S.I. è di consentire, per ciascun Ufficio, l accesso in lettura/scrittura a tutti gli incaricati dell Ufficio stesso. Richieste di accessibilità ad ulteriori risorse di rete sono specificate ed autorizzate mediante il modulo SICURDAT/B. Il responsabile è tenuto a verificare che siano rispettate le indicazioni precedentemente riportate da parte di ciascun incaricato. In casi eccezionali, anche per i PC collegati in rete, il salvataggio dei dati può essere effettuato su supporti di memorizzazione rimovibili (floppy disk, CDROM, DVD) che devono essere conservati in armadi o cassetti muniti di serratura, secondo quanto specificato al successivo paragrafo Adempimenti specifici previsti per il caso c) PC collegati in rete ed alle applicazioni centralizzate A tali PC si applicano le norme previste per il caso b), con l aggiunta delle prescrizioni di seguito riportate. Ad ogni utente delle applicazioni informatiche centralizzate, per ciascuna applicazione, sono associati un codice identificativo personale, una password ed eventualmente un profilo di abilitazione. Il responsabile del trattamento dei dati dovrà individuare tassativamente per iscritto, compilando l apposito modulo SICURDAT/B, gli incaricati dei trattamenti informatizzati mediante procedure centralizzate. Tale incarico conferisce, implicitamente, anche l autorizzazione all utilizzo della corrispondente procedura informatica. I permessi dell utente saranno tali da consentire le operazioni di trattamento richieste nel modello SICURDAT/B. I profili di abilitazione di ciascun incaricato sono tenuti ed aggiornati dal CSI. Di seguito, infine, si riportano alcune informazioni utili sulla gestione del codice identificativo personale (userid) e della password per l accesso alle applicazioni informatiche centralizzate. Ad ogni utente delle applicazioni informatiche centralizzate è associato un codice identificativo personale (userid), una password ed un profilo di abilitazione. Alcune applicazioni prevedono due diversi livelli di identificazione: uno di sistema ed uno applicativo. Le applicazioni informatiche riportate nel SICURDAT/B che prevedono un doppio livello di identificazione sono: la procedura di Gestione del Personale - con inclusa la gestione dei Dottorati di Ricerca (CSA), la procedura per la gestione della Manuale_Uso_Privacy_V5.3.doc Pagina 19 di 33
20 Contabilità Integrata d Ateneo (CIA) e la procedura Gestione Ticket (GTIK). Solo per queste procedure, l utente deve identificarsi preliminarmente verso il sistema, attraverso la maschera di collegamento al CSI e, successivamente, identificarsi verso l applicazione. Le altre applicazioni informatiche prevedono un solo livello di identificazione dell utente. Queste ultime sono: la procedura di Gestione della Rilevazione delle Presenze (SIRP), la procedura Segreteria Studenti (GEDAS), la procedura Organi Collegiali (SIOC), la procedura Protocollo (E-Grammata), la procedura di valutazione comparativa (VALCOM), la procedura per la gestione delle utenze e del traffico telefonico (GUTTEL), la procedura INPDAP per la gestione dei dati di Previdenza ed Assistenza dei dipendenti e l applicazione per le Biblioteche Digitali. A seconda del tipo di applicazione informatica utilizzata, le regole applicabili allo userid e alla password, sono diverse. In particolare il quadro delle regole attualmente in essere, è riportato nella tabella seguente. I codici di abilitazione disponibili per le diverse applicazioni sono riportati nel modello SICURDAT/B. Manuale_Uso_Privacy_V5.3.doc Pagina 20 di 33

References: art. 7
 art. 13
 sentenza 
 art. 33
 art. 34
 art. 169
 art. 15
 art. 13
 articolo 19