Source: https://www.ancebrescia.it/2005/tutela-della-privacy-d-lgs-n-1962003-ulteriori-chiarimenti/
Timestamp: 2019-05-21 05:55:47+00:00
Document Index: 158731435

Matched Legal Cases: ['art. 30', 'art. 30', 'art. 4', 'art. 11', 'art. 13', 'art. 23', 'art. 13', 'art. 17', 'art. 4', 'art. 11', 'art. 7', 'art. 7', 'art. 7', 'art. 13', 'art. 7', 'art. 29', 'art. 7', 'art. 31']

ANCE Brescia – Collegio Costruttori Edili » Blog Archive TUTELA DELLA PRIVACY - D.LGS. N. 196/2003 - ULTERIORI CHIARIMENTI - ANCE Brescia - Collegio Costruttori Edili
25.11.2005 - economia
TUTELA DELLA PRIVACY – D.LGS. N. 196/2003 – ULTERIORI CHIARIMENTI
TUTELA DELLA PRIVACY – D TUTELA DELLA PRIVACY – D.LGS. N. 196/2003 – ULTERIORI CHIARIMENTI
Il 31 dicembre 2005 entreranno in vigore le nuove misure minime di sicurezza in materia di privacy previste dal D.Lgs. 196/2003. Di seguito si pubblicano alcuni modelli che potranno essere utilizzati dalle imprese per i principali adempimenti previsti dal D.Lgs. 196/2003. Per gli aspetti generali si rinvia alla precedente nota in materia (cfr. Not. n. 11/2004) e all’allegato B al D.Lgs. 196/2003. I modelli pubblicati prima dell’utilizzo devono essere adattati alle singole realtà.
1) Lettera di designazione degli incaricati al trattamento dei dati.
Carta intesta dell’impresa
Oggetto: Nomina ed istruzioni per gli incaricati del trattamento ai sensi dell’art. 30 Decreto Legislativo 196/2003
Gent.mo/a Sig./Sig.ra
Il decreto legislativo 30 giugno 2003 n. 196 Codice in materia di protezione dei dati personali, ha introdotto rilevanti obblighi a carico dell’impresa, obblighi la cui inosservanza è sanzionata sia penalmente sia in via amministrativa ed espone a responsabilità civili.
Il fine del decreto è quello di garantire che il trattamento di dati personali si svolga nel pieno rispetto dei diritti dell’interessato, sia esso persona fisica che società, ente od associazione.
La legge prescrive (art. 30) che vengano impartite da parte del titolare specifiche istruzioni agli incaricati del trattamento, ossia coloro che, nell’ambito dell’impresa ed in relazione alle mansioni affidate, trattano dati personali sia mediante sistemi informatici che mediante documenti cartacei.
Pertanto, la scrivente impresa ____________________ corrente in ___________ via __________ in qualità di Titolare del trattamento dei dati dell’ incarica il Dr./sig./la sig.ra _______ nato/a a __________ il ___________ al trattamento dei dati personali nell’ambito della mansione di __________ (ad es. segretaria, amministrazione, magazzino, geometra di cantiere) che è chiamato/a a svolgere. Tale incarico comporta la possibilità di raccogliere, registrare e conservare ed in ogni caso eseguire qualsiasi altra operazione di trattamento nei limiti delle proprie mansioni e nel rispetto delle norme di legge nonchè delle istruzioni fornite dal titolare.
A tal fine vengono fornite informazioni ed istruzioni per l’assolvimento del compito assegnato atte a garantire un trattamento lecito, corretto e sicuro dei dati personali, anche sensibili.
Accesso a banche dati aziendali
Le banche dati cui è autorizzato ad accedere per effettuare i trattamenti (sia informatici che cartacei) sono le seguenti (indicare le banche dati di interesse):
– Banca dati clienti
– Banca dati lavoratori
– Banca dati fornitori
– _______________________
E’ autorizzato al trattamento anche dei dati sensibili e giudiziari di cui all’art. 4, comma 1, lett. d) ed e) del D.Lgs. 196/2003, nei soli casi e nei limiti strettamente necessari e sufficienti per l’esercizio della mansione espletata.
Creazione nuove banche dati. Gestione programmi
Senza preventiva autorizzazione del titolare non è permesso realizzare nuove ed autonome banche dati, con finalità diverse da quelle già previste.
La raccolta ed il trattamento dei dati personali, nell’ambito delle banche dati sopra indicate, deve essere effettuato esclusivamente in conformità alle finalità previste dal D.Lgs. n. 196/2003 ed in particolare dell’art. 11 del D.Lgs. n. 196/2003, che prevede che i dati personali oggetto di trattamento devono essere:
– esatti e se necessario aggiornati;
– pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti e successivamente trattati;
L’incaricato dovrà, preliminarmente, classificare ogni dato personale trattato, al fine di distinguere quelli sensibili e giudiziari, osservando maggiori cautele per il trattamento di quest’ultimo tipo di dati.
Eventuali colloqui con terzi presso la postazione di lavoro potranno essere svolti solo dopo che tutti i documenti contenenti dati non attinenti al colloquio siano stati collocati in modo da non poter essere, neppure accidentalmente, visti da terzi.
a) Trattamento dei dati con strumenti elettronici
Per ogni incaricato viene creata una credenziale di autenticazione che consente l’accesso in rete ai dati, attraverso una procedura di autenticazione. A tal fine, ad ogni incaricato è stata assegnata in via riservata una credenziale per l’autenticazione che consiste in un codice identificativo (username) ed una parola chiave riservata (password). Tale password dovrà essere da Lei modificata al primo utilizzo e tale parola chiave non va comunicata ad altri se non al custode delle chiavi designato nella persona del sig. ___________. Tale comunicazione dovrà avvenire consegnando una busta chiusa contenente la nuova password prescelta. Inoltre dovrà provvedere a variare con periodicità trimestrale tale parola chiave e dovrà comunicare la nuova parola chiave, sempre in modo riservato, al custode delle credenziali. (inserire l’eventuale previsione di un sistema di autorizzazione).
Si ricorda che l’impresa, titolare del trattamento, nei casi in cui è indispensabile ed indifferibile accedere ai dati trattati dall’incaricato ed agli strumenti informatici in dotazione allo stesso sia per le esigenze dell’ impresa sia per la sicurezza ed operatività dello stesso sistema informatico (ad esempio nei casi di prolungata assenza od impedimento dell’incaricato), potrà accedere mediante intervento del custode delle credenziali nominato dall’azienda stessa.
La postazione informatica non va lasciata incustodita durante una sessione di lavoro lasciando accessibili i dati. A tal fine deve essere abilitato un salva schermo che intervenga dopo dieci minuti di inattività e possa essere rimosso solo tramite specifica password che verrà comunicata dall’incaricato con le stesse modalità sopra indicate.
Tutti i supporti magnetici utilizzati vanno riposti negli archivi; i supporti non più utilizzati possono essere eliminati solo dopo che i dati contenuti sono stati resi effettivamente inutilizzabili.
E’ vietato copiare s supporti informatici rimovibili dati personali salvo il caso in cui tale operazione sia necessaria per usi interni dell’impresa.
L’incaricato non può installare ed utilizzare programmi per elaboratore non autorizzati dall’impresa né privi di licenza che legittimino l’uso.
Ogni elaboratore è dotato di un sistema antivirus, il cui aggiornamento dovrà essere controllato dall’incaricato. E’ fatto divieto di alterare tale impostazione.
Il salvataggio dei dati deve essere effettuato ogni giorno.
b) Trattamenti dei dati senza l’ausilio di strumenti elettronici (trattamenti cartacei)
In base al principio di stretta pertinenza dei trattamenti rispetto alle mansioni svolte, potrà accedere agli archivi relativi alle banche dati di tipo cartaceo.
L’incaricato nel trattare documenti contenenti dati sensibili o giudiziari è tenuto a custodirli fino alla restituzione in modo da evitare l’accesso agli stessi dati a persone prive di autorizzazione. L’incaricato deve, inoltre, custodire gli archivi contenenti documenti con dati sensibili e giudiziari, ed evitare che personale non autorizzato vi acceda. L’accesso fuori dall’orario di lavoro impone la registrazione e identificazione delle persone ammesse ai locali.
I documenti (o copia degli stessi) non possono, senza specifica autorizzazione, essere portati fuori dai luoghi di lavoro, salvo i casi di comunicazione dei dati a terzi preventivamente autorizzati in via generale dal titolare.
In relazione alle banche dati di cui è autorizzato il trattamento nello svolgimento delle mansioni affidate, è autorizzata la comunicazione dei dati stessi esclusivamente ai seguenti soggetti esterni indicati dall’azienda:
– INPS, INAIL, Sistema Cassa Edili, Direzione Provinciale del Lavoro, Uffici Fiscali, Agenzia delle Entrate, ogni altra Pubblica Amministrazione competente che in base a provvedimento idoneo li richieda;
– Consulente del Lavoro ____________;
– Commercialista _________________;
– Studio Legale __________________;
La comunicazione a soggetti diversi dovrà essere preventivamente autorizzata dal titolare.
Ogni incaricato è tenuto ad osservare tutte le misure di protezione e sicurezza atte a evitare rischi di distruzione, perdita, accesso non autorizzato, trattamento non consentito, già predisposte dall’impresa, nonché quelle che in futuro verranno comunicate.
Per ogni altra misura ed istruzione qui non prevista ci si richiama al D.P.S., che viene allegato alla presente.
Timbro e firma dell’impresa
Per conoscenza e accettazione da parte dell’incaricato
Firma dell’incaricato
2) Lettera per la nomina del custode delle credenziali
Oggetto: Nomina ed istruzioni del custode delle credenziali ai sensi del Decreto Legislativo 196/2003 per il trattamento dei dati con sistemi informatici
Le norme che regolamentano l’attuazione delle misure minime obbligatorie per la sicurezza nel trattamento dei dati personali (attualmente il disciplinare tecnico allegato al Codice sulla privacy emanato con decreto legislativo n. 196/2003), impongono che nel caso di trattamento dei dati utilizzando sistemi elettronici ogni incaricato del trattamento dei dati sia munito di credenziali per l’autenticazione costituito da un codice per l’identificazione (nome utente) associato ad una parola chiave riservata (password) per l’accesso ai dati personali presenti nei singoli elaboratori e/o nei sistemi informatici in rete.
L’assegnazione, la gestione e la variazione della parola chiave deve essere caratterizzata dalla riservatezza: a tal fine lo stesso disciplinare tecnico (punto 10) impone la individuazione e la nomina di un soggetto incaricato della loro custodia. In considerazione delle mansioni da Lei svolte in azienda e della sua qualificazione professionale, viene, pertanto incaricato custode delle credenziali di autenticazione attribuite ai singoli incaricati al trattamento in azienda.
Pertanto lei dovrà consegnare a ciascun incaricato l’elenco delle password a lui assegnate, avvertendolo che tali password devono essere immediatamente modificate dall’incaricato stesso.
Nell’espletamento delle sue funzioni dovrà applicare le misure di sicurezza disposte dall’impresa e, specificatamente, nelle gestione delle parole chiave dovrà:
– ricevere dai singoli incaricati del trattamento comunicazione riservata in busta chiusa della sostituzione di password effettuata;
– custodire le stesse parole chiave con modalità atte a garantire la segretezza delle stesse parole chiave e la loro integrità come indicato nelle procedure indicate nel Codice di comportamento per gli incaricati al trattamento;
– intervenire sul profilo autorizzativo del singolo incaricato per permettere alla stessa azienda, titolare del trattamento, di accedere ai dati trattati da ogni incaricato con le modalità fissate dalla stessa azienda, al solo fine di garantire l’operatività, la sicurezza del sistema ed il normale svolgimento dell’attività aziendale in caso di prolungata assenza od impedimento dell’incaricato che renda indispensabile ed indifferibile l’intervento;
– informare tempestivamente l’incaricato dell’intervento di accesso realizzato;
– con cadenza almeno semestrale dovrà distruggere le buste ricevute dagli incaricati che abbiano interrotto il loro rapporto con l’impresa ovvero a cui sia stato revocata la funzione di incaricato al trattamento.
Per conoscenza e accettazione da parte del custode
Firma del custode
Modello di comunicazione delle password
Incaricato ________
User-id __________
Eventuali altre password _____
3) Lettera per l’informativa ed il consenso al trattamento di dati personali relativamente ai dipendenti dell’impresa
Oggetto: Informativa ai sensi dell’art. 13 del decreto legislativo 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali.
Acquisizione del consenso dell’interessato al trattamento dei dati comuni e sensibili ai sensi dell’art. 23 del decreto legislativo 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali.
Come previsto dall’art. 13 del D.Lgs. 196/2003 di seguito si fornisce la necessaria informativa in merito ai dati personali che dovranno essere forniti all’atto dell’assunzione nonché nel corso dello svolgimento del rapporto di lavoro:
a) Natura, finalità e modalità di trattamento dei dati
Saranno acquisiti i dati identificativi ossia i dati che permettono l’identificazione diretta dell’interessato nonché il codice fiscale, i dati necessari per l’accreditamento delle retribuzioni. Saranno acquisiti analoghi dati relativi ai componenti il nucleo famigliare.
Inoltre, nello svolgimento del rapporto potrà essere necessario acquisire e trattare dati sensibili (così elencati dall’articolo 4 del Codice in materia di protezione dei dati personali: i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute) e dati che presentano rischi specifici, come indicati dall’art. 17 del D.Lgs. 196/2003.
L’interessato potrà fornire ogni altro dato relativo a cespiti reddittuali propri o di altri componenti il nucleo famigliare.
Il trattamento dei dati personali comuni e sensibili, richiesti o acquisiti sia preventivamente all’instaurazione del rapporto di lavoro che nel corso o dopo la cessazione dello stesso, ha la finalità di permettere gli adempimenti retributivi, contributivi, di assicurazione e fiscali, connessi alla corresponsione delle retribuzioni ed ai relativi adempimenti di legge, nonché ogni altro adempimento previsto dalla legge e/o dal contratto collettivo in materia di lavoro subordinato.
Il trattamento, come definito dall’art. 4, comma 1, lett. a) del D.Lgs. 196/2003, sarà effettuato sia avvalendosi di strumenti elettronici sia senza l’utilizzo di tali strumenti. In ogni caso i dati personali saranno trattati con le modalità indicate nell’art. 11, del citato decreto legislativo.
b) Natura obbligatoria o facoltativa dei conferimento
Il conferimento dei dati ed il relativo trattamento ha natura obbligatoria in forza della vigente legislazione in materia di lavoro, e del vigente c.c.n.l..
c) Conseguenze di un eventuale rifiuto al consenso del trattamento da parte dell’interessato
L’eventuale, parziale o totale, rifiuto di conferire i dati comporta l’impossibilità di perseguire le finalità sopra indicate.
d) Soggetti ai quali possono essere comunicati i dati
Il trattamento dei dati personali comporta che gli stessi saranno eventualmente comunicati a:
– alle organizzazioni appartenenti al sistema A.N.C.E. – Confindustria allo scopo di aderire alle normative contrattuali, nonchè alle organizzazioni sindacali per un riscontro contabile dei contributi sindacali versati;
– alle casse di previdenza ed assistenza (CAPE) al fine di adempiere alle normative contributive e previdenziali;
– alla società assicuratrice ai fini della riscossione del premio relativo alle polizze che questa impresa ha in essere;
– ai consulenti esterni di cui si avvale questa impresa, specialmente per la gestione del servizio paghe e contributi;
– a studi legali, per l’assistenza legale in controversie di cui sia parte l’impresa;
– ai committenti, in adempimento delle vigenti disposizioni di legge e di contratto, al fine di garantire la sicurezza nei cantieri edili presso i quali opererà l’interessato.
In ogni caso i dati comunicati saranno solo quelli strettamente necessari per il perseguimento delle finalità sopra indicate.
Verranno a conoscenza dei sui dati anche gli incaricati al trattamento addetti all’ufficio amministrativo, tecnico ___________ dell’impresa nei limiti strettamente necessari per l’espletamento dei compiti assegnati a ciascun ufficio.
Di seguito si riporta il testo dell’art. 7 del Codice, che indica i diritti dell’interessato:
Il titolare del trattamento dei dati è _____ (indicare la denominazione dell’impresa), con sede in _____________, via _____________, n. ___.
Potranno venire a conoscenza dei sui dati anche gli incaricati al trattamento addetti all’ufficio amministrativo dell’impresa.
_________ (data)
CONSENSO AL TRATTAMENTO DEI DATI PERSONALI DEL DIPENDENTE
In relazione alla richiesta formulatami e preso atto dell’informativa di cui sopra – in particolare dei diritti a me riconosciuti dall’art. 7, del decreto legislativo 30 giugno 2003, n. 196 – presto il mio consenso per il trattamento di tutti i dati, comuni, sensibili e con rischi specifici, di cui alla presente informativa, ivi compresa la comunicazione, per le finalità e nei limiti indicati dalla presente informativa.
(firma leggibile del lavoratore)
(Nome e Cognome) (firma leggibile dei familiari) – per i minorenni la firma deve essere del genitore
4) Lettera per l’informativa ed il consenso al trattamento di dati personali relativamente a clienti e fornitori
Spett.le ____________,
La scrivente informa che per l’instaurazione e l’esecuzione dei rapporti contrattuali con Voi in corso è in possesso di dati anagrafici e fiscali acquisiti anche verbalmente direttamente o tramite terzi, a voi relativi, dati qualificati come personali dalla legge.
– i dati verranno trattati in forma scritta e/o su supporto magnetico, elettronico e telematico;
– ferme restando le comunicazioni e diffusioni effettuate in esecuzione di obblighi di legge, i dati potranno essere comunicati in Italia a:
– ai fini della gestione dei nostri diritti relativi al singolo rapporto commerciale, per le medesime finalità, i dati potranno venire a conoscenza delle seguenti categorie di incaricati
– relativamente ai dati medesimi la vostra Società può esercitare i diritti previsti dall’art. 7 del D. Lgs.vo 196/2003 nei limiti e alle condizioni previste dagli articoli 8, 9 e 10 del citato decreto legislativo.
– titolare del trattamento dei dati è _____ (indicare nominativo e sede dell’impresa)
CONSENSO AL TRATTAMENTO DEI DATI PERSONALI DEL CLIENTE – FORNITORE
La scrivente Società dichiara di aver ricevuto completa informativa ai sensi dell’art. 13 del D. Lgs.vo 196/2003, unitamente a copia dell’art. 7 del decreto medesimo, ed esprime il consenso al trattamento ed alla comunicazione dei propri dati qualificati come personali dal citato decreto nei limiti, per le finalità e per la durata precisati nell’informativa.
Timbro e firma del fornitore cliente
5) Lettera di nomina del responsabile esterno del trattamento dei dati
(Questo modello può essere utilizzato per il consulente del lavoro, il commercialista ecc.)
Carta intestata dell’impresa
Spett. Ditta/Studio/Professionista
Ai sensi dell’art. 29 del decreto legislativo 196/2003 e delle intese intercorse, e nell’ambito dell’incarico professionale assegnato consistente ____________________ (ad esempio: elaborazione paghe, predisposizione documentazione fiscale…), vi comunichiamo la nomina a responsabile del trattamento delle banche dati di seguito individuate e di quelle che in futuro Vi verranno affidate nell’ambito dello stesso incarico professionale:
Nel vostro incarico dovrete attenervi alle istruzioni impartite per rispettare tutti gli obblighi della legge compreso il profilo della sicurezza:
– individuare gli incaricati del trattamento e successivamente diramare le istruzioni scritte necessarie per un corretto, lecito, sicuro trattamento; le istruzioni dovranno essere integrate con le adeguate prescrizioni sulle misure di sicurezza da applicare definite in base al sistema di sicurezza richiamato più avanti;
– attuare gli obblighi di informazione e acquisizione del consenso, quando richiesto, nei confronti degli interessati;
– predisporre l’eventuale notificazione iniziale e le eventuali successive variazioni verificando l’esattezza e la completezza dei dati;
– garantire all’interessato l’effettivo esercizio dei diritti previsti dall’art. 7 del decreto legislativo n.196/2003, in ordine all’accesso ai dato e a tutti i diritti di aggiornamento,rettificazione,cancellazione e di opposizione;
– collaborare per l’attuazione delle prescrizioni del Garante;
– predisporre ed aggiornare un sistema di sicurezza idoneo a rispettare le prescrizioni dell’art. 31 del decreto legislativo n.196/2003, nonché adeguare il sistema alle norme regolamentari in materia di sicurezza, curandone l’applicazione da parte degli incaricati.
Il/La sottoscritto/a _________________________________ dichiara di accettare l’incarico sopra conferito e si impegna a procedere al trattamento dei dati personali attendendosi alle istruzioni impartite nel rispetto di quanto richiesto dalla legge
6) Documento programmatico sulla sicurezza (DPS)
Di seguito si pubblica la guida per redigere il DPS predisposta dall’Autorità Garante per la Privacy. Il documento redatto dal Garante è strutturato in due parti: nella prima sono riportate le istruzioni per sviluppare il DPS nella parte descrittiva oppure nella compilazione di alcune tabelle riportate nella seconda parte.
Parte I – Istruzioni
Per ciascuna regola dell’Allegato B al D.Lgs. 196/2003 sono riportati i contenuti, le informazioni essenziali e gli ulteriori elementi da inserire nel DPS.
Ulteriori elementi per descrivere gli strumenti (Da indicare facoltativamente)
Descrivere in questa sezione i principali eventi potenzialmente dannosi per la sicurezza dei dati, e valutarne le possibili conseguenze e la gravità in relazione al contesto fisicoambientale di riferimento e agli strumenti elettronici utilizzati.
– sottrazione di credenziali di autenticazione
– carenza di consapevolezza, disattenzione o incuria
– comportamenti sleali o fraudolenti
– errore materiale
– azione di virus informatici o di programmi suscettibili di recare danno
– spamming o tecniche di sabotaggio
– malfunzionamento, indisponibilità o degrado degli strumenti
– accessi esterni non autorizzati
– intercettazione di informazioni in rete
– ingressi non autorizzati a locali/aree ad accesso ristretto
– sottrazione di strumenti contenenti dati
– eventi distruttivi, naturali o artificiali (movimenti tellurici, scariche atmosferiche, incendi, allagamenti, condizioni ambientali, …), nonché dolosi, accidentali o dovuti ad incuria
– guasto a sistemi complementari (impianto elettrico, climatizzazione, ecc.)
– errori umani nella gestione della sicurezza fisica
Ulteriori elementi per la descrizione analitica delle misure di sicurezza (v. anche tab. 4.2) (Da indicare facoltativamente).
– la minaccia che si intende contrastare;
– la tipologia della misura (preventiva, di contrasto, di contenimento degli effetti ecc.);
– le informazioni relative alla responsabilità dell’attuazione e della gestione della misura;
– i tempi di validità delle scelte (contratti esterni, aggiornamento di prodotti, ecc.);
– gli ambiti cui si applica (ambiti fisici – un reparto, un edificio, ecc. – o logici – una procedura, un’applicazione, ecc.).
In questa sezione sono descritti i criteri e le procedure adottati per il ripristino dei dati in caso di loro danneggiamento o di inaffidabilità della base dati. L’importanza di queste attività deriva dall’eccezionalità delle situazioni in cui il ripristino ha luogo: è essenziale che, quando sono necessarie, le copie dei dati siano disponibili e che le procedure di reinstallazione siano efficaci. Pertanto, è opportuno descrivere sinteticamente anche i criteri e le procedure adottate per il salvataggio dei dati al fine di una corretta esecuzione del loro ripristino.
Ulteriori elementi per specificare i criteri e le procedure per il salvataggio e il ripristino dei dati (v. anche tab. 5.2) (Da indicare facoltativamente)
Descrizione dell’attività esternalizzata: indicare sinteticamente l’attività affidata all’esterno.
Soggetto esterno: indicare la società, l’ente o il consulente cui è stata affidata l’attività, e il ruolo ricoperto agli effetti della disciplina sulla protezione dei dati personali (titolare o responsabile del trattamento).
4. impegno a relazionare periodicamente sulle misure di sicurezza adottate – anche mediante eventuali questionari e liste di controllo – e ad informare immediatamente il titolare del trattamento in caso di situazioni anomale o di emergenze.
Parte II – Tabelle