Source: http://www.a1itt.net/318_99/testo_decreto.htm
Timestamp: 2018-03-17 04:35:08+00:00

Document:
A1 ITT Web Agency - DPR 318/99
Art. 2 - Individuazione degli incaricati
Art. 4 - Codici identificativi e protezione degli elaboratori
Art. 5 - Accesso ai dati particolari
Art. 6 - Documento programmatico sulla sicurezza
Art. 7 - Reimpiego dei supporti di memorizzazione
Art. 8 - Parola chiave
Art. 9 -Trattamento dei dati personali
Visto l'articolo 15 della legge 31 dicembre 1996, n. 675, recante "Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali";
Ritenuto che ai sensi dell'articolo 15, comma 2, della legge 31 dicembre 1996, n. 675, occorre individuare, in via preventiva, le misure minime di sicurezza per i dati personali oggetto di trattamento, al fine di assicurare il funzionamento delle misure sanzionatorie penali previste dall'articolo 36 della medesima legge;
Sentiti l'Autorità per l'informatica nella pubblica amministrazione e il Garante per la protezione dei dati personali;
Udito il parere del Consiglio di Stato, espresso dalla sezione consultiva per gli atti normativi nell'adunanza del 26 aprile 1999;
Ritenuto di dover comunque garantire la possibilità, in caso di più incaricati del trattamento, di limitare l'accesso a determinati dati personali attraverso la previsione di una specifica parola chiave per tali dati, senza operare, quindi, alcuna equiparazione tra tale ipotesi e quella relativa alla previsione di un'unica parola chiave per l'accesso al sistema;
Viste le deliberazioni del Consiglio dei Ministri adottate nelle riunioni del 16 luglio e del 23 luglio 1999;
a) "misure minime": il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, previste nel presente regolamento, che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti dall’art. 15, comma 1, della legge;
b) "strumenti": i mezzi elettronici o comunque automatizzati con cui si effettua il trattamento;
c) "amministratori di sistema": i soggetti cui è conferito il compito di sovrintendere alle risorse del sistema operativo di un elaboratore o di un sistema di base dati e di consentirne l’utilizzazione.
Trattamento dei dati personali effettuato mediante elaboratori non accessibili da altri elaboratori o terminali
1. Salvo quanto previsto dall’articolo 8, se il trattamento dei dati personali è effettuato per fini diversi da quelli di cui all’articolo 3 della legge mediante elaboratori non accessibili da altri elaboratori o terminali, devono essere adottate, anteriormente all’inizio del trattamento, le seguenti misure:
a) prevedere una parola chiave per l’accesso ai dati, fornirla agli incaricati del trattamento e, ove tecnicamente possibile in relazione alle caratteristiche dell’elaboratore, consentirne l'autonoma sostituzione, previa comunicazione ai soggetti preposti ai sensi della lettera b);
Trattamento dei dati personali effettuato mediante elaboratori accessibili in rete
a) a ciascun utente o incaricato del trattamento deve essere attribuito un codice identificativo personale per l'utilizzazione dell’elaboratore; uno stesso codice, fatta eccezione per gli amministratori di sistema relativamente ai sistemi operativi che prevedono un unico livello di accesso per tale funzione, non può, neppure in tempi diversi, essere assegnato a persone diverse;
c) gli elaboratori devono essere protetti contro il rischio di intrusione ad opera di programmi di cui all’articolo 615 quinquies del codice penale, mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati con cadenza almeno semestrale.
7. Le disposizioni di cui ai commi da 1 a 6 non si applicano al trattamento dei dati personali di cui è consentita la diffusione.
1. Nel caso di trattamento dei dati di cui agli articoli 22 e 24 della legge effettuato mediante gli elaboratori indicati nell’articolo 3, comma 1, lettera b), dev’essere predisposto e aggiornato, con cadenza annuale, un documento programmatico sulla sicurezza dei dati per definire, sulla base dell'analisi dei rischi, della distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati stessi:
2. L’efficacia delle misure di sicurezza adottate ai sensi del comma 1 dev’essere oggetto di controlli periodici, da eseguirsi con cadenza almeno annuale.
Art. 7- Reimpiego dei supporti di memorizzazione
Trattamento dei dati personali effettuato per fini esclusivamente personali
1. I supporti non informatici contenenti la riproduzione di informazioni relative al trattamento di dati personali di cui agli articoli 22 e 24 della legge, devono essere conservati e custoditi con le modalità di cui all'articolo 9.
Il presente decreto, munito del sigillo di Stato, sarà inserito nella Raccolta ufficiale degli atti normativi della Repubblica italiana.
Dato a Roma, addí 28 luglio 1999
D'ALEMA. Presidente del Consiglio dei Ministri
Registrato alla Corte dei conti il 31 agosto 1999
Atti di Governo, registro n. 117, foglio n. 15.
Copyright © 2003 A1 ITT Web Agency. All rights reserved. Legal notice.

References: Art. 2

Art. 4

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 7