Source: http://rsuibmsegrate.altervista.org/2002417p.htm
Timestamp: 2017-03-29 19:02:09+00:00
Document Index: 108897941

Matched Legal Cases: ['art. 1', 'art. 1', 'art. 13', 'art. 8', 'art. 8', 'art. 4', 'art. 4', 'art. 17', 'sentenza ', 'art. 6', 'art. 8', 'art. 15', 'art. 1', 'art. 13', 'art. 6', 'art. 8']

RSU IBM Italia - PROPOSTA DI ACCORDO QUADRO SULLA GESTIONE DEI DATI DEI DIPENDENTI (2002417p.htm)
Home Lista RSU Guida Sindacale Accordi Importanti Indici Tematici Storico Contattaci Iscriviti Sindacati Ricerca PROPOSTA DI ACCORDO QUADRO SULLA GESTIONE DEI DATI DEI DIPENDENTI [obsoleto]
Per regolare l'applicazione di dette leggi per quanto riguarda i dipendenti di IBM Italia S.p.A. (di seguito: IBM Italia), l'Azienda e il Coordinamento Nazionale delle RSU IBM Italia (di seguito: Coordinamento) stipulano il seguente accordo sul trattamento dei dati personali dei dipendenti e sulla prevenzione del controllo occulto. (Finalità e definizioni) Scopo del presente accordo è ottemperare, nell'azienda IBM Italia, a quanto previsto dalle seguenti leggi e decreti che sono da intendersi qui interamente richiamati: 300/70 ("Statuto dei lavoratori"), 675/96 ("Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali") e 676/96 ("Delega al Governo in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali") e Decreto del Presidente della Repubblica 318/99 ("Regolamento recante norme per l'individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell'articolo 15, comma 2, della legge 31 dicembre 1996, n 675"). La terminologia adottata è quella definita dall'art. 1 della L. 675/96 e dall'art. 1 del DPR 318/99 a cui, ai fini del presente accordo, si aggiungono le seguenti definizioni:
a) per "Rappresentanti dei Lavoratori per il Trattamento dei Dati Personali" (nel seguito: RLTDP) si intendono i tre membri delle Rappresentanze Sindacali Unitarie (RSU) designato dal Coordinamento a rappresentare i dipendenti di IBM Italia per quanto concerne le tutele di cui al presente accordo; il ruolo di RLTDP è compatibile con l'accettazione della delega o procura di cui all'art. 13 comma 4 della l. 675/96 .
b) con la parola inglese "log" si intende qualsiasi registrazione delle attività elaborative compiute da un'applicazione, e delle attività compiute dagli utenti dell'applicazione stessa tramite di essa, che permetta di ricostruire le operazioni svolte e il codice dell'utente che ha operato.
c) per "cifratura a doppia chiave" si intende l'operazione compiuta da un sistema cifrante tale per cui alcuni dati vengono cifrati (crittografati) prima di essere registrati su di una memoria permanente di un elaboratore o di un dispositivo elettronico; la chiave di decifrazione è divisa in due parti, in possesso separato di due diversi soggetti; per rimettere "in chiaro" i dati cifrati, è indispensabile l'utilizzo contemporaneo delle due parti della chiave. Le RSU prendono atto che:
a) dato il particolare settore produttivo in cui l'azienda opera, e cioè l'elaborazione elettronica dei dati, la totalità o la quasi totalità dei dipendenti sono normalmente chiamati a svolgere compiti di addetti al trattamento dei dati (art. 8 della l. 675/96) come parte dell'espletamento delle loro mansioni lavorative;
b) l'azienda, in quanto titolare del trattamento dei dati personali, ha nominato i propri Responsabili di detto trattamento secondo quanto disposto dall'art. 8 della l. 675/96.
c) l'azienda in ottemperanza a quanto disposto dal DPR 318/99, art. 4 comma 1, sub a), ha attribuito a ciascun incaricato del trattamento dei dati personali un codice identificativo personale per l'utilizzazione dell'elaboratore.
Stante quanto precede, al fine di mantenere le tutele previste dell'art. 4, comma 2, della L. 300/70 e dell'art. 17, comma 1, della L. 675/96 per quanto riguarda i dipendenti interessati, anche alla luce di quanto stabilito dalla sentenza della Pretura di Milano in data 5/12/1984, le parti concordano quanto segue:
IBM ribadisce, inoltre, che i dati rilevati non saranno in alcun caso utilizzati per controlli inerenti l'attività svolta dai dipendenti né per fini non inerenti il presente	accordo.	b. (Log) I log contenenti i codici identificativi dei dipendenti devono essere considerati a tutti gli effetti registrazioni di dati personali.
c. (Inventario delle applicazioni)
L'azienda consegna semestralmente al RLTDP la lista seguente aggiornata di tutte le applicazioni che gestiscono dati personali dei dipendenti; ogni voce dovrà contenere:
i centri e i Paesi in cui viene eseguita; il numero e la tipologia degli utenti;
la descrizione dei dati personali dei dipendenti gestiti;
la descrizione dei dati registrati sui log relativi alle operazioni dei dipendenti;
i centri e i Paesi in cui i dati e i log sono conservati; i criteri con cui i dati e i log sono conservati nel tempo o cancellati;
informazioni particolari di cui agli articoli successivi. ;
Qualora gli RLTDP, anche a seguito delle segnalazioni ricevute dai Rappresentanti Sindacali, dai dipendenti IBM Italia o da altre fonti, non ritenessero corretta o completa la lista ricevuta e, dopo aver comunicato le proprie osservazioni ai Responsabili aziendali, non ottenessero entro venti giorni lavorativi la versione corretta e completa, saranno tenuti a informare il Coordinamento della situazione creatasi.
Qualora gli RLTDP individuassero nella lista ricevuta applicazioni con specificità di trattamento dei dati che esulano dagli accordi sottoscritti o comunque tali da richiedere un esame approndito e l'eventuale stipula di accordi particolari, sono tenuti a darne tempestiva comunicazione al Coordinamento..
La lista aggiornata di cui sopra, completa di tutti gli allegati e accettata dagli RLTDP, costituisce parte integrante del Documento programmatico della sicurezza previsto dall'art. 6 del DPR 18/99 e delle istruzioni scritte previste dal comma 4 dell'art. 8 della legge 675/96.
d. (Cifratura) La cifratura a doppia chiave costituisce la miglior soluzione tecnica per ottemperare a quanto previsto dalle leggi citate, in particolare dall'art. 15, comma 1 della l. 675/96, a maggior ragione se compiuta da un sistema cifrante posto all'origine dei dati di cui si tratta nel presente accordo, e dotato di dispositivo di
prevenzione della disattivazione o della manomissione occulte. L'azienda verificherà, insieme con gli RLDTP ed eventualmente altri esperti indicati dal Coordinamento, modi e tempi per migliorare i sistemi di cifratura e per
estenderli a tutti i sistemi informatici elencati nell'inventario di cui al punto 3.c . Gli RLTDP sono i detentori della
parte di chiave di cifratura e gli esecutori delle procedure. Per ciascuna applicazione presente nella lista dotata di sistema di cifratura, viene preventivamente stilato di
comune accordo dai Responsabili aziendali e dagli RLTDP, e successivamente aggiornato quando necessario,
un documento operativo contenente:
la tipologia dei tentativi di accesso non autorizzato al sistema per i quali i sistemi di sicurezza danno all'utente risposta negativa, che daranno origine a registrazioni di log non cifrate.
La presenza del documento operativo concordato viene segnalata nelle "informazioni particolari" di cui al precedente punto 3c.
e. (Documenti operativi in assenza di cifratura). Tutte le applicazioni per le quali sono definite procedure concordate fra azienda e RSU o fra Responsabili aziendali e RLTDP devono essere presenti nella lista di cui al punto 3c con la segnalazione nelle informazioni particolari dell'esistenza del documento operativo contenente dette procedure.
f. (Continuità della funzione di RLTDP). Il Coordinamento nominerà i tre RLTDP fra le RSU in carica e comunicherà i loro all'azienda. In casi di eccezionale urgenza, anche un solo RTDP può operare; nel caso in cui nessun RLTDP sia disponibile, un membro dell'Esecutivo del Coordinamento potrà svolgere temporaneamente la funzione di sostituto RLTDP. In tutti i casi, gli RLTDP saranno tenuti a verificare successivamente quanto fatto dall'RLTDP che ha operato e a sottoscrivere la presa visione di tutti i documenti prodotti. L'azienda, in funzione delle necessità operative e dei cambiamenti tecnologici, si farà carico dei costi per corsi sulla sicurezza dei dati e dei sistemi aziendali e sul rispetto delle leggi e delle disposizioni sul trattamento dei dati personali che il RLTDP e i suoi sostituti riterranno necessario di dover seguire. In caso di nomina di un nuovo RLTDP, questi dovrà firmare la presa visione di tutti i documenti in vigore.
Gli RLTDP sono tenuti a fornire una relazione scritta delle proprie attività al Coordinamento su richiesta dell'Esecutivo; in tale relazione non devono essere citati nomi di dipendenti interessati al trattamento dei dati personali. g. (Trattamento dei dati) Nessuno può fare interrogazioni, decifrazioni, statistiche, analisi, tabulati, correlazioni e controlli in genere sui dati riguardanti gli accessi e l'utilizzo dei sistemi da parte dei dipendenti, né tanto meno trasmettere ad altri tali dati o elaborazioni; tali elaborazioni possono essere compiute solo ed esclusivamente dai Responsabili aziendali a fronte di gravi motivazioni ed esclusivamente sulle applicazioni presenti nella lista di cui al punto 3c , nel rispetto delle procedure contenute nei documenti operativi e su autorizzazione scritta del RLTDP che deve essere presente per l'intera durata delle operazioni.
h. (Verbali) Al termine delle operazioni di cui al punto precedente, i Responsabili aziendali e il RLTDP dovranno stendere congiuntamente un verbale così composto:
le motivazioni dell'indagine
l'elenco dei sistemi acceduti
le operazioni fondamentali compiute su detti sistemi
la data e il luogo in cui l'indagine è stata compiuta
i nomi di tutte le persone presenti durante le operazioni
un codice univoco di identificazione dell'indagine su tutte le pagine
il numero totale di pagine del verbale
questa prima parte non deve contenere dati e informazioni che contrastino con l'esigenza di pubblicità.
l'elenco dei record analizzati per ciascuna applicazione, con indicazione del nominativo del dipendente che ha operato su di essi
le firme delle persone presenti su tutte le pagine
lo stesso codice univoco di identificazione dell'indagine della prima parte su tutte le pagine. Se vi sono più dipendenti interessati, per ciascuno di essi dovrà essere redatto un verbale distinto.
Gli unici soggetti legittimati a prendere visione di tutti i verbali nella loro interezza sono i Responsabili aziendali del trattamento dei dati e il RLTDP. Il sostituti del RLTDP sono legittimati a prendere visione solo dei verbali alla cui redazione abbiano preso parte. Ciascun dipendente è legittimato a prendere visione solo dei verbali riguardanti dati per i quali è interessato secondo la definizione di cui alla L. 675/96, art. 1, comma 2, sub f.
I verbali vengono custoditi in una cassaforte installata presso i locali di IBM Italia che può essere aperta solo in presenza di almeno un Responsabile aziendale e del RLTDP.
I verbali vengono distrutti dopo dodici mesi dalla loro compilazione. i. (Avviso al dipendente) I Responsabili aziendali e il RLTDP avviseranno per iscritto il dipendente interessato dell'avvenuta procedura di analisi con trasmissione del relativo verbale nella sua interezza, anche in osservanza delle tutele di cui all'art. 13 della L. 675/96 .
j. (Casi particolari)
L'azienda mantiene le procedure di cifratura dei codici individuali sui sistemi così come definite nell'Allegato A, adeguandole alle successive versioni dei sistemi interessati.
L'Allegato A è un documento operativo del tipo previsto dal punto 3c. Sono assimilate ad applicazioni ad accesso per codice individuale e devono comparire nella lista delle applicazioni
che trattano dati personali dei dipendenti:
Le applicazioni di controllo degli accessi ad aree riservate con identificazione del dipendente
entrante di cui all'allegato B che è un documento operativo del tipo previsto dal punto 3c; la specificazione delle aree protette fa parte integrante della documentazione di lista.
Le applicazioni che identificano il dipendente al fine di attribuire correttamente il costo di un servizio; le
applicazioni di questo tipo attualmente operative alla data di stipula del presente accordo e definite nella
documentazione di lista riguardano:
l'addebito a cedolino dei pasti consumati presso la mensa aziendale;
la gestione delle spese telefoniche di cui all'allegato C che è un documento operativo del tipo previsto dal punto 3.
Ogni altra applicazione finalizzata ad analoga attribuzione dei costi dovrà essere preventivamente
concordata, formerà oggetto di integrazione della documentazione di lista e, ove necessario, della stesura
concordata di un documento operativo del tipo previsto dal punto 3.
sia quelli inviati agli utenti e contemporaneamente al loro invio
I documenti di indagine che interessano dipendenti specificati devono essere distrutti entro 6 mesi dalla loro produzione. L'RLTDP deve essere preventivamente informato del tipo di indagine IBM Italia intende svolgere e può verificare le comunicazioni ricevute dai dipendenti interessati e l'effettiva distruzione dei documenti come previsto dal presente accordo. k. (Spese) Le spese sostenute dal RLTDP per la partecipazione alle operazioni sopraccitate saranno rimborsate secondo la prassi aziendale vigente; il RLTDP esporrà permessi sindacali retribuiti a carico del Coordinamento per il tempo dedicato a dette operazioni.
l. (Documentazione richiesta dalla legislazione) Il presente accordo è parte integrante del Documento programmatico della sicurezza previsto dall'art. 6 del DPR 18/99 e le disposizioni operative che da esso scaturiscono, in particolare le liste e i documenti operativi di cui al punto 3, sono parte delle istruzioni scritte previste dal comma 4 dell'art. 8 della legge 675/96.
m. Gli accordi aziendali del 23/2/1982, 11/3/1983, 2/10/1985, 23/4/1991 sono abrogati.
Allegato A (Sistema Z/9000 ex MVS ex OS/390)
L'esame, da parte dell'Azienda, dei dati di cui sopra avverrà mediante procedure preventivamente comunicate al RLTDP.
Il sistema di cifratura, attivato congiuntamente dai Responsabili aziendali e dal RLTDP, determina due chiavi, una di cifratura interna al sistema e una di decifratura; quest'ultima chiave è composta da due componenti; una di dette componenti sarà assegnata al RLTDP e l'altra ai Responsabili aziendali (allegato 3). Le modalità di questa cifratura saranno stabilite a parte contestualmente al presente documento operativo di cui faranno parte integrante (allegato 2). La creazione di una nuova chiave di cifratura / decifratura dovrà avvenire ogni 6 mesi dalla creazione della precedente chiave. La vecchia chiave dovrà essere mantenuta da ciascuna delle parti per un periodo di 12 mesi.
L'azienda, al fine di verificare lo stato del sistema di cifratura, renderà disponibile al RLTDP, come da specifiche dell'allegato 2:
Allegato B (Accesso a sedi e aree riservate)
Allegato C (Gestione delle spese telefoniche)
La società si impegna ad utilizzare i dati di cui sopra, ed oggetto di registrazione, al solo ed esclusivo scopo di procedere agli addebiti di reparto sopra descritti e, comunque, nel pieno rispetto delle norme di Legge.
Le Rappresentanze Sindacali Aziendali potranno controllare, in ogni momento ed in presenza di incaricati della Società, il rispetto delle intese raggiunte con il presente accordo.