Source: http://www.vincenzodeprisco.com/it/taxonomy/term/1
Timestamp: 2019-04-21 06:11:03+00:00
Document Index: 38437526

Matched Legal Cases: ['art 22', 'art 28', 'sentenza ', 'art. 5', 'art 1', 'art 41']

GDPR | Vincenzo De Prisco
Inviato da vincenzodeprisco1975 il Dom, 12/16/2018 - 15:19
Per il 2018 non occorre compilare ( più o meno ) l'allegato alla circolare 2 di Agid 2/2017.
Bisogna attendere le LL.GG. AGID sulla sicurezza , ed in funzione di queste rivedere le mms . Le linee guida saranno pronte entro i primi 15 giorni di Gennaio 2019 . Come sempre il documento mira a modelli organizzativi e non solo all'acquisto di appartai ( firewall, nas, server e ferro vario ), e chiunque ancor prima di queste LL.GG. abbia fatto acquisti non proporzionati ( obbligazioni di mezzi e non di risultato come tante volte detto nel GDPR e non solo ) è a rischio danno erariale.
Le LL.GG , ripeto , sono la normale evoluzione del DPCM 01.08.15 e circolare 2/2017 AGID.
L'architettura sarà basata su tre top level, e 10 principi ( semplici ed immediati ).
L'analisi delle risultantze dell'applicazione delle LL.GG. , l'analisi dei rischi che dovrebbe essere in ogni modello GDPR ( grandi assenti ) ed il confronto con la circolare 2/2017 AGID dovrebbero rappresentare la base di partenza per poi fare gli investimenti ( sentiti il RTD ex articolo 17 82/05 e DPO 37 reg 2016/679).
I TRE LIVELLI .
I PRINCIPI : Politiche culturali e problemi da affrontare
II MISURE DI SICUREZZA : Cosa fare nel dettaglio per esplicare i principi enunciati nel primo livello.
III REGOLE TECNICHE : Praticamente cosa fare nel dettaglio .
Praticamente, come ci insegna l'arte e la tecnica della compliance, abbiamo le prime tre W della regola delle 5 W (WHO , WHEN, WHAT , WHY , WHERE - CHI,QUANDO,COSA,PERCHÈ, DOVE ), infatti i tre livelli rispondono alle domande PERCHE ? - COSA ? - COME ?.
Un esempio dei tre principi potrebbe essere:
I MISURA : I dati della PA devono essere riservati ed utilizzati per fini istituzionali ( euristica )
II MISURA : di conseguenza tutti gli utenti devono essere univocamente identificti da user e password
III MISURA : le password devono essere composte da almeno 8 caratteri alfanumerici, un carattere maiuscolo ed uno speciale .
È chiaro che l'euristica, la politica data non varia, il secondo ed il terzo principio potrebbe variare a partire dal terzo ( analisi del contesto ) ,non otto ma magari 10 caratteri , oppure non potrebbe bastare la combinazione user e password ma anche un terzo fattore, magari biometrico.
I DIECI COMANDAMENTI - o PRINCIPI.
Per proteggere bisogna conoscere se stessi, principio fortemente analizzato in circolare 2/2017 , ABSC ID 1 e ABSC ID 2. Per proteggere gli asset devo conoscere ed avere un elenco degli asset da preservare.
E' un elemento base della segregazione funzionale propria dei MOG, risponde alla domanda "conosci chi fa cosa e cosa fa cosa, ha fatto o farà ?”.
Quando si parla di trattare bene i dati è inutili spostare l'attenzione solo ed esclusivamente sulla copia e sui virus ( dimenticando sempre i dati analogici ) ma occorre sapere all'interno dell'organizzazione come viene attuato il paradigma CRUD ( CREATE. READ,UDPATE, DELETE).
Principio della pervasività
La sicurezza deve essere pervasiva, trasparente agli utilizzatori , quindi come un abito su misura ( è evidente il richiamo all'articolo 25 del GDPR).
Attenzione, per essere pervasivo uno strumento non può essere calato dall'alto ( procedure ISO ) ma disegnate dal basso con la maieutica ( proedure D.Lgs 231/01 ad esempio ).
Se hai valore per me, devo copiarti ed avere un sostituto valido. da un punto di vista fisico devo avere ridondanze strutturate ( RAID 5 ,server in cluster, locale o geografico, e più in generale assenza di Single Point of Failure ) .
Dal punto di vista organizzativo non devono esserci centri unici di potere all'interno di ufficio , non posso lancaiare testate nucleari da solo e non posso distruggere documenti nello stesso modo, mentre dal lato logico dovrei permettere come regola del principio della pervasività la possibilità di accedere ale informazioni con più metodologie ( web, cell, sportello etc ).
Chi tratta l'argomento da tempo non può non notar ele analogie del TIER delle LL.GG. sul DISASTER RECOVERY dell'articolo 50 bis del vecchio CAD ( 235/10).
Citazione popolare " Tre so' 'e putiente: 'o Papa, 'o Rre e chi nun tene niente" traduzione " i potenti sono il Papa , il Re e chi non ha niente ".
Il Papa ed il Re hanno grossi patrimoni e le risorse per il loro presidio, chi non ha niente non ha nulla da perdere e quel poco che ha può essere presidiato in economia.
tecnologicamente si traduce nel ridurre la superficie di attacco elimianndo tanti servizi inutili che si interfacciano sul web, organizzativamente invece si attua con le review delle utenze attivate ( ci ricolleghiamo al paradigma CRUD del primo comandamento ).
Non restiamo mai indietro, formiamo continuamente il nostro personale sugli aspetti tecnologici e normativi.
L'uomo può sbagliare nei lavori ripetitivi, la mente dell'uomo deve programmare gli eventi e creare e controllare le procedure. Trattare bene i dati prevede alcuni automatismi , con i limiti ovviamente di natura etica e normati ( art 22 GDPR)
Principio della temporalità
Massima priorità agli aggiornamenti tecnologici ed alla PATCH ( ampliamente tratato nelle mms AGID ) , essenziale l'abbonamento al CERT-PA.
Principio della diversità
Chi è appassionato di automobili ? io no ma faccio un esempio .
Avete un antifurto con immobilizer sull'auto ? Avete anche il block shaft ? Si ? perche non non avete montato due antifurti di tipo immobilizer ?.
Proeggere significa differenziare i presidi di sicurezza, Un esempio da non seguire ? DUE o PIU' FIREWALL identici. BUCATO uno, bucati gli altri.
A ben vedere è una regola biologica evolutiva .
Deve sempre vigere il principio della separation of duties , esempi sono quelli costituzionali ( separazione del potere legislativo , esecutivo e giudicante ).
Il modello di riferimento potrebbe nuovamente essere quello dei MOG ex d.lgs 231/01. In alcuni aspetti è l'atra faccia del principio della ridondanza.
Tecnologicamente si attua con avere ambienti fisici e virtuali, reti separate e soluzioni confinate in ambienti diversi. Per assurdo se virtualizzo un server fisico facendolo girare sullo stesso con un black out perdo tutto.
I dieci principi somo facilmenene in alcuni ID dell'ABSC Agid 2/2017, ad esempio nel paragrafo
ABSC 2.1.1 Stilare un elenco di software autorizzati e relative versioni necessari per ciascun tipo di sistema, compresi server, workstation e laptop di vari tipi e per diversi usi. Non consentire l'installazione di software non compreso nell'elenco.
Trovo i principi di Inventario ,di Attribuzione , della Separazione, del Minimo .
Continuiamo la nostral DIGITAL COMMEDIA ricordando come sempre che la Conserva di POMODORO ci insegna le giuste procedure per trattare bene i dati.
llgg. AGID
Per saperne di più su LL.GG. AGID Sicurezza Cibernetica. Il danno erariale. La circolare 2/2017 AGID.
Per saperne di più su COLLEGAMENTI TRA TRASPARENZA E GDPR nel PNA 2018 .Bang !!! SLAAAAAM , SIGH!!! RDP, RPCT, RDP, DPO, GDPR , PNA. IL PNA 2018.
I tempi della NOTIFICAZIONE a mezzo PEC.
Inviato da vincenzodeprisco1975 il Lun, 12/03/2018 - 16:21
Art. 16-septies. DL 179/12 ( CRESCITA )
Tempo delle notificazioni con modalita' telematiche
Per saperne di più su I tempi della NOTIFICAZIONE a mezzo PEC.
Inviato da vincenzodeprisco1975 il Sab, 10/27/2018 - 12:46
Il responsabile del trattamento ( che come è stato ulteriormente chiarito dal D.Lgs 101/18 è diverso dal responsabile "interno" del codice d.lgs 196/03, tanto che l'articolo 27 ne abroga il contenuto ) è una sorta di terzista del trattamento . Negli enti locali ( invero in tutte le strutture complesse ), diamo per scontato di essere sempre i nominanti verso terzi di una lettera ex art 28 GDPR.
Un esempio ? L'ISTAT nomina il Comune di Paperopoli responsabile per taluni censimenti ( raccolta ). In questo caso il Comune di Paperopoli deve redigere un ulteriore registro delle attivita ( articolo 30 paragrafo 2 del GDPR) .
Nella lettera di nomina del titolare ( che ricordo non è il Comune di Paperopoli, ma l'ISTAT ) ci devono essere tutte le indiacazioni dell'articolo 28 e le indicazioni indispensabili per il corretto trattamento . La nomina deve essere in forma scritta ( come da articolo 20 comma 1 bis D.lgs 82/05) .
Resta inteso che gli obblighi contenuti nell'articolo 28 della L. 241/90 restano in capo al dipendnete designato incaricato dal responsabile.
Appresso l'articolo 28 del GDPR
Per saperne di più su E se fossimo noi i Responsabili GDPR ? Un caso concreto.
Sollecito MINISTERIALE per la nomina del RTD
Inviato da vincenzodeprisco1975 il Lun, 10/01/2018 - 18:59
Riporto la circolare odierna per la nomia del RTD ex articolo 17 d.lgs 82/05, appresso prima del testo integrale della cricolare inserisco i link sull'argomento, giuso per il piacere di dire " te l'avevo detto!!!!"
http://www.ca-campania.com/ca40/il-cad-le-novita-parte-ii/
http://www.ca-campania.com/ca40/a-cosa-serve-il-responsabiel-alla-trasnsizione-digitale-ad-evitare-sanzioni/
Con la presente Circolare, nella convinzione della centralità del ruolo del RTD ai fini della trasformazione digitale dell’amministrazione e del pieno adempimento delle norme in materia di innovazione della pubblica amministrazione, si richiamano le amministrazioni a provvedere, con ogni opportuna urgenza, alla individuazione del RTD preposto all’ufficio per la transizione al digitale e alla relativa registrazione sull’Indice delle pubbliche amministrazioni (IPA - www.indicepa.gov.it).
Per saperne di più su Sollecito MINISTERIALE per la nomina del RTD
DISCORSI ATTORNO AL CODICE DELL'AMMINISTRAZIONE DIGITALE
Inviato da vincenzodeprisco1975 il Dom, 09/16/2018 - 16:17
Iniziamo da oggi a trattare in modo approfondito il CAD ( dall'origine al 179/16).
Parleremo del CAD di tutti i giorni, la creazione del documento, la copia informatica, la copia dall'analogico , le notifiche e le comunicazioni.
Iniziamo con le basi, ed analizziamo una pessima abitudine che ancora esiste in molte PP.AA. nostrane.
Esiste una forte confusione tra documento massivo analogico, stampato per intenderci, e documento informatico,
In particolare girando sui siti web istituzionali ancora si vedono documento sigillati con la dicitura " firma autografa omessa ai sensi dell'articolo 3 del D.Lgs 39/93."
Una piccola parentesi, ricordate della conserva di pomodoro della mia natia terra ? trattare bene i dati significa non solo conservarli, ma selezionarli dall'inizio del processo ( o del procedimento amministrativo).
Far nascere dei documenti, per poi metterli sotto vuoto, in conservazione sostitutiva , con questa postilla equivale e sprecare spazio, a conservare qualcosa di sbagliato, riporto l'articolo di legge
1. ((COMMA ABROGATO DAL D.LGS. 26 AGOSTO 2016, N. 179)).
2. Nell'ambito delle  pubbliche  amministrazioni  l'immissione,  la
riproduzione  su  qualunque  supporto  e  la  trasmissione  di  dati,
informazioni e documenti mediante sistemi informatici  o  telematici,
nonche' l'emanazione di atti  amministrativi  attraverso  i  medesimi
sistemi, devono essere accompagnate dall'indicazione  della  fonte  e
del  responsabile  dell'immissione,  riproduzione,   trasmissione   o
emanazione. Se per la validita'  di  tali  operazioni  e  degli  atti
emessi sia prevista l'apposizione di firma autografa,  la  stessa  e'
sostituita dall'indicazione a  stampa,  sul  documento  prodotto  dal
sistema automatizzato, del nominativo del soggetto responsabile.
Nell'ambito delle pubbliche amministrazioni l'immissione, la riproduzione su qualunque supporto e la trasmissione di dati, informazioni e documenti mediante sistemi informatici o telematici, nonche' l'emanazione di atti amministrativi attraverso i medesimi sistemi, devono essere accompagnate dall'indicazione della fonte e del responsabile dell'immissione, riproduzione, trasmissione o emanazione. Se per la validita' di tali operazioni e degli atti emessi sia prevista l'apposizione di firma autografa, la stessa e' sostituita dall'indicazione a stampa, sul documento prodotto dal sistema automatizzato, del nominativo del soggetto responsabile.
E' chiara l'intenzione di agevolare la firma quando i documenti sono massivi e stampati, in ogni caso questi documenti non hanno la forma del documento scritto.
Invece il documento formato ai sensi del CAD, dell'articolo 20 in particolare soddisfail requisito della forma scritta come da codice civile all'articolo 2702.
Validita' ed efficacia probatoria dei documenti informatici
((1-bis. Il documento informatico soddisfa il requisito della forma
scritta e ha  l'efficacia  prevista  dall'articolo  2702  del  Codice
civile quando vi e' apposta una firma digitale, altro tipo  di  firma
elettronica qualificata o una firma elettronica avanzata o, comunque,
e'  formato,  previa  identificazione  informatica  del  suo  autore,
attraverso un processo avente i requisiti fissati dall'AgID ai  sensi
dell'articolo 71  con  modalita'  tali  da  garantire  la  sicurezza,
integrita' e immodificabilita' del documento e, in maniera  manifesta
e inequivoca, la sua riconducibilita' all'autore. In tutti gli  altri
casi, l'idoneita' del documento informatico a soddisfare il requisito
della forma scritta e  il  suo  valore  probatorio  sono  liberamente
valutabili  in  giudizio,  in  relazione  alle   caratteristiche   di
sicurezza,  integrita'  e  immodificabilita'.  La  data  e  l'ora  di
formazione del documento informatico  sono  opponibili  ai  terzi  se
apposte in conformita' alle Linee guida.))
In questo post iniziale non mi dilungherò sui diversi tipi di fima previste dal CAD ( e dall'EiDAS reg. 2014/910) , ma mi fermo con il ricordare che la firma apposta come da articolo 3 del 39/93 non produce nessun effetto, inoltre se qualche banca permettesse di far girare gli assegni senza la firma autografa ma colla dicitura " ha firmato chi avrebbe dovuto firmare" vi fidereste ? io no.
QUADERNO CODICE DELL'AMMINISTRAZIONE DIGITALE
Per saperne di più su DISCORSI ATTORNO AL CODICE DELL'AMMINISTRAZIONE DIGITALE
Il 18 Ottobre cosa accadrà ?
Inviato da vincenzodeprisco1975 il Dom, 09/16/2018 - 13:09
Spero di essere stato chiaro, il GDPR è un bel piatto da portata da ornare e guarnire.
E' una norma di riferimento, di principi di massima, ma l'applicazione settoriale deve essere contestualizzata con norme specifiche, per questo mi piace dire che non esiste la privacy ma solo il corretto trattamento dei dati.
Molti dati e molte informazioni trattate dalle PP.AA. hanno a che fare con il codice dei contratti ( e proprio in questo caso, vige il principio della trasparenza e non quello della riservatezza, cfr articolo 29 del codice e 37 del D.lgs 33/13 ).
La norma ed i modelli per gestire meglio le informazini derivano da alcune normative che mia paice definire " le grandi assenti" :
- il codice dell'amministrazione digitale ( D.lgs 82/05)
- Codice dei beni culturali e del paesaggio ( D.lgs 42/2004 ) .
Per dirla in breve, in maniera banale, gli atti devono nascere in digitale, dematerializzati ( ai sensi dell'articolo 40 del CAD ) e sin dall'origine fanno parte del patrimonio dello Stato ( articolo 10 comma 2 lett. b D.lgs 42/2004).
Dal 18 ottobre, la generazione dei documenti digitali hanno un'ulteriore spinta, infatti enrta in vigore l'articolo 40 del Codice dei Contratti.
riporto per facilità di lettura il 5 bis CAD
Art. 5-bis (Comunicazioni tra imprese e amministrazioni pubbliche). 1. La presentazione di istanze, dichiarazioni, dati e lo scambio di informazioni e documenti, anche a fini statistici, tra le imprese e le amministrazioni pubbliche avviene esclusivamente utilizzando le tecnologie dell'informazione e della comunicazione. Con le medesime modalita' le amministrazioni pubbliche adottano e comunicano atti e provvedimenti amministrativi nei confronti delle imprese. 2. Con decreto del Presidente del Consiglio dei Ministri, su proposta del Ministro per la pubblica amministrazione e l'innovazione, di concerto con il Ministro dello sviluppo economico e con il Ministro per la semplificazione normativa, sono adottate le modalita' di attuazione del comma 1 da parte delle pubbliche amministrazioni centrali e fissati i relativi termini. 3. ((AgID)), anche avvalendosi degli uffici di cui all'articolo 17, provvede alla verifica dell'attuazione del comma 1 secondo le modalita' e i termini indicati nel decreto di cui al comma 2. 4. Il Governo promuove l'intesa con regioni ed enti locali in sede di Conferenza unificata per l'adozione degli indirizzi utili alla realizzazione delle finalita' di cui al comma 1
(Comunicazioni tra imprese e amministrazioni pubbliche).
1. La presentazione di istanze, dichiarazioni, dati e lo scambio di
informazioni e documenti, anche a fini statistici, tra le  imprese  e
le amministrazioni pubbliche avviene  esclusivamente  utilizzando  le
tecnologie dell'informazione e della comunicazione. Con  le  medesime
modalita' le amministrazioni pubbliche adottano e comunicano  atti  e
provvedimenti amministrativi nei confronti delle imprese.
2. Con decreto  del  Presidente  del  Consiglio  dei  Ministri,  su
proposta   del   Ministro   per   la   pubblica   amministrazione   e
l'innovazione, di concerto con il Ministro dello sviluppo economico e
con il Ministro per la semplificazione normativa,  sono  adottate  le
modalita'  di  attuazione  del  comma  1  da  parte  delle  pubbliche
amministrazioni centrali e fissati i relativi termini.
3. ((AgID)), anche avvalendosi degli uffici di cui all'articolo 17,
provvede  alla  verifica  dell'attuazione  del  comma  1  secondo  le
modalita' e i termini indicati nel decreto di cui al comma 2.
4. Il Governo promuove l'intesa con regioni ed enti locali in  sede
di Conferenza unificata per l'adozione  degli  indirizzi  utili  alla
realizzazione delle finalita' di cui al comma 1.
Vediamo velocemente cosa succederà tenedo conto il fine pubblico, creare un mercato unico ( anche nelle procedure) che potrebbe portare un incremento di posti di lavoro con circa 415 miliardi di euro circolanti .
Il processo ( spesso già digitale) sarà uniformato, in particolare lo stack abbraccia tre sottoprocessi :
A breve, come da piano triennale per l'informatica iniziaremo quindi ad usare il portale ComproPA, ma ancora prima inizieromo ad utilizzare SIMOG 2.0 o SIMOG EVOLUTION per le comunicazioni in entrata ed in uscita verso gli altri paese UE.
Art. 5-bis (Comunicazioni tra imprese e amministrazioni pubbliche). 1. La presentazione di istanze, dichiarazioni, dati e lo scambio di informazioni e documenti, anche a fini statistici, tra le imprese e le amministrazioni pubbliche avviene esclusivamente utilizzando le tecnologie dell'informazione e della comunicazione. Con le medesime modalita' le amministrazioni pubbliche adottano e comunicano atti e provvedimenti amministrativi nei confronti delle imprese. 2. Con decreto del Presidente del Consiglio dei Ministri, su proposta del Ministro per la pubblica amministrazione e l'innovazione, di concerto con il Ministro dello sviluppo economico e con il Ministro per la semplificazione normativa, sono adottate le modalita' di attuazione del comma 1 da parte delle pubbliche amministrazioni centrali e fissati i relativi termini. 3. ((AgID)), anche avvalendosi degli uffici di cui all'articolo 17, provvede alla verifica dell'attuazione del comma 1 secondo le modalita' e i termini indicati nel decreto di cui al comma 2. 4. Il Governo promuove l'intesa con regioni ed enti locali in sede di Conferenza unificata per l'adozione degli indirizzi utili alla realizzazione delle finalita' di cui al comma 1.
Per saperne di più su Il 18 Ottobre cosa accadrà ?
Inviato da vincenzodeprisco1975 il Dom, 09/09/2018 - 16:37
E' ormai chiara la mia lettura e la mia visione sulle normative ( Italiana, Europea, Leggi primarie, secondarie, terziarie e blà blà blà ).
Per corroborare il mio pensiero riporto il quarto considernado GDPR
Il trattamento dei dati personali dovrebbe essere al servizio dell'uomo. Il diritto alla protezione dei dati di carattere personale non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalità. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libertà e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare il rispetto della vita privata e familiare, del domicilio e delle comunicazioni, la protezione dei dati personali, la libertà di pensiero, di coscienza e di religione, la libertà di espressione e d'informazione, la libertà d'impresa, il diritto a un ricorso effettivo e a un giudice imparziale, nonché la diversità culturale, religiosa e linguistica.
È per orogoglio anche una la stringa famosa di una sentenza italiana che è arrivata ancor prima del GDPR, cass. 10280/15 sez III
IL DIRITTO ALLA PROTEZIONE DEI DATI PUR RIENTRANDO NEI DIRITTI FONDAMENTALI NON E’ UN “TOTEM AL QUALE POSSONO SACRIFICARSI ALTRI DIRITTI COSTITUZIONALMENTE GARANTITI” …IL DIRITTO ALLA PROTEZIONE DEI DATI DEVE ESSERE ” COORDINATO E BILANCIATO” CON LE NORME DI CARATTERE PUBBLICISTICO E PRIVATISTICO.
Ed ancora è bello, doveroso ed importante ricordare che trattare bene i dati non significa solo proteggerli e copiarli, si corre in questo modo il rischio di proteggere e conservare qualcosa di sbagliato, non conforme.
La protezione dalla nascita dei dati prevede ( articolo 25 GDPR ) una serie di presidi di tutela proattiva e di resilienza dei sistemi, ma nessun sistema può ben gestire le informazioni se il personale deputato all'inputazione non ha delle direttive valide, queste direttive, queste regole sono gestite e disciplinate dal Manuale della gestione documentale ex art. 5 DPCM 03/12/13.
Faccio un esempio, anzi meglio riporto un caso pratico che mi vede coinvolto.
Anni addietro per la prima volta acquistai in una grossa catena di elettronica il mio primo PC, chiesi la fattura e diedi il mio biglietto da visita .
Nella stringa DENOMINAZIONE del gestionale inserirono quanto riportato sul biglietto da visita, dott. Vincenzo De Prisco.
Ancora oggi quando acquisto qualcosa in questa catena, dando solo il mio nome e cognome io non risulto , solo dopo molte ricerche mi ricordo che sono registrato anche con il titolo di accademia .
Una buona progettazione del sistema avrebbe dovuto memorizzare il titolo in una casella di form text ininfluente sulla ricerca, ed il nominativo in una casella invece influente sulla ricerca.
Qualora il sistema blindato ( ed è il caso dei sistemi IBM AS/400) non permetta questa personalizzazione delle buone regole da manuale dovrebbero colmare questa lacuna, tipo impartire all'operatore l'istruzione di scrivere sempre il titolo accademico senza nessuna abbreviazione alla fine della stringa, oppure tra il cognome ed il nome etc etc, creare in breve delle regole certe.
Questo in un negozio privato ( anche se grande ), immaginate cosa può accadere nei protocolli e negli archivi delle PP.AA, senza regole.
È facile dire " vabbè ma oggi i sistemi sono più performanti, basta una parolina ed esce tutto ....", in parte è vero, ma ricordiamoci che l'ordine sistemico è il presidio fondamentale per la correttezza dei dati e soprattutto che sia nel pubblico che nel privato esistono i c.d. sistemi LEGACY, gli ereditati e che la stessa norma GDPR non impone sembre di cambiare il modo di lavorare, ricordiamoci l'incipit degli articli 25 e 32 .
In estrema sintesi, riprendo un simpatico esempio , quello della procedura delle conserve di pomodoro, nessuno conserverebbe il barattolo di conserva se questo è pieno di pomodori marci , non sterilizzati o se il contenitore ha aria all'interno, potremo ordinarli e proteggerli dal sole, ma sempre velenosi sono.
Ora riprendiamo il filo con queste regole , possiamo parlare di protezione e riservatezza solo dopo avere gestite le politiche di accesso alle informaazioni della PA .
Dunque il quesito è : quali sono i sistemi di accesso alle informazioni di una PA ( concetto allargato, vedasi art 1c. 2 d.lgs 165/01) ?
1 - certamente l'accesso documentale della L. 241/90
2 - Certamente l' accesso civico tradizionale, quello semplice ( avresti dovuto pubblicare in AT, non l'hai fatto ? io cittadino guardiano ti invito a farlo )
3- Si, non sono pienamente in sintonia, ma anche l'accesso civivo generalizzato, anche se solo in parte .
Il problema che spesso dimentichiamo alcuni strumenti importanti come la pubblicazione tramite Openda Data ( ricordo, con gli OD accedo ai dati informativi, non ai documenti .
Manca quello che per me rappresenta il verso sistema partecipativo, certamente un'evoluzione del potere di sindacato della 241/90, parlo dell'articolo 41 comma 2 del CAD, l'accesso ed il controllo dinamico del procedimento amministrativo per far valere i diritti dell'articolo 10 della 241.
art 41 c 2 CAD
La pubblica amministrazione titolare del procedimento raccoglie in un fascicolo informatico gli atti, i documenti e i dati del procedimento medesimo da chiunque formati; all'atto della comunicazione dell'avvio del procedimento ai sensi dell'articolo 8 della legge 7 agosto 1990, n. 241, comunica agli interessati le modalita' per esercitare in via telematica i diritti di cui all'articolo 10 della citata legge 7 agosto 1990, n. 241. (28)
riporto anche il 10 della 241
Art. 10. (( (Diritti dei partecipanti al procedimento) )) 1. I soggetti di cui all'articolo 7 e quelli intervenuti ai sensi dell'articolo 9 hanno diritto: a) di prendere visione degli atti del procedimento, salvo quanto previsto dall'articolo 24; b) di presentare memorie scritte e documenti, che l'amministrazione ha l'obbligo di valutare ove siano pertinenti all'oggetto del procedimento.
Per questo motivo gran parte degli approfondimenti futuri saranno focalizzati sulle istanze telematiche del CAD e sui sistemi di contemperazione di PRIVACY-CTD-TRASPARENZA.
mi è venuta fame, a presto.
codice trattamento dati 101/18
Per saperne di più su I tipi di accesso alle informazioni della PP.AA.
Inviato da vincenzodeprisco1975 il Sab, 09/08/2018 - 16:42
In forza di una mia lettura molto personale ( bah !!) sul GDPR mi fa piacere che il D.Lgs 101/18 avvalora la mia interpretazione ( la mia lettura...), ci sono diritti fondamentali superiori al corretto trattamento dei dati ( come chiaro anche nel quarto considerando GDPR) , si veda l'articolo 2 octies del D.lgs 101.
http://www.ca-campania.com/ca40/procedura-antiriciclaggio-da-adottare-anche-nelle-ppaa/
http://www.ca-campania.com/ca40/differenze-tra-esenzione-ed-esclusione-delliva-come-incidono-le-voci-sulle-gare-di-appalto-e-sullantiriciclaggio-nelle-pa/
http://www.ca-campania.com/ca40/antiriciclaggio-nella-pubblica-amministrazione-il-dlgs-23107-ed-il-dm-250915/
/Under Adempimenti PA, Anticorruzione e Trasparenza, Antiriciclaggio, Protezione dei dati
Pubblicita’ e diritto alla conoscibilita’ 1. Tutti i documenti, le informazioni e i dati oggetto ((di accesso civico, ivi compresi quelli oggetto)) di pubblicazione obbligatoria ai sensi della normativa vigente sono pubblici e chiunque ha diritto di conoscerli, di fruirne gratuitamente, e di utilizzarli e riutilizzarli ai sensi dell’articolo 7. ((1-bis. L’Autorita’ nazionale anticorruzione, sentito il Garante per la protezione dei dati personali nel caso in cui siano coinvolti dati personali, con propria delibera adottata, previa consultazione pubblica, in conformita’ con i principi di proporzionalita’ e di semplificazione, e all’esclusivo fine di ridurre gli oneri gravanti sui soggetti di cui all’articolo 2-bis, puo’ identificare i dati, le informazioni e i documenti oggetto di pubblicazione obbligatoria ai sensi della disciplina vigente per i quali la pubblicazione in forma integrale e’ sostituita con quella di informazioni riassuntive, elaborate per aggregazione. In questi casi, l’accesso ai dati e ai documenti nella loro integrita’ e’ disciplinato dall’articolo 5. 1-ter. L’Autorita’ nazionale anticorruzione puo’, con il Piano nazionale anticorruzione, nel rispetto delle disposizioni del presente decreto, precisare gli obblighi di pubblicazione e le relative modalita’ di attuazione, in relazione alla natura dei soggetti, alla loro dimensione organizzativa e alle attivita’ svolte, prevedendo in particolare modalita’ semplificate per i comuni con popolazione inferiore a 15.000 abitanti, per gli ordini e collegi professionali.))
1. Fatto salvo quanto previsto dall'articolo 60, i presupposti, le
modalita',  i  limiti  per  l'esercizio  del  diritto  di  accesso  a
documenti  amministrativi  contenenti  dati  personali, e la relativa
tutela  giurisdizionale,  restano  disciplinati  dalla legge 7 agosto
1990,  n.  241, e successive modificazioni e dalle altre disposizioni
di  legge in materia, nonche' dai relativi regolamenti di attuazione,
anche  per  cio' che concerne i tipi di dati sensibili e giudiziari e
le   operazioni  di  trattamento  eseguibili  in  esecuzione  di  una
richiesta  di  accesso.  Le attivita' finalizzate all'applicazione di
tale disciplina si considerano di rilevante interesse pubblico.
articolo 3 FOIA Pubblicita' e diritto alla conoscibilita'
1. Tutti i documenti, le informazioni e i dati oggetto ((di accesso
civico, ivi compresi quelli oggetto)) di  pubblicazione  obbligatoria
ai sensi della normativa vigente sono pubblici e chiunque ha  diritto
di  conoscerli,  di  fruirne  gratuitamente,  e  di   utilizzarli   e
riutilizzarli ai sensi dell'articolo 7.
((1-bis. L'Autorita' nazionale anticorruzione, sentito  il  Garante
per la protezione dei dati personali nel caso in cui siano  coinvolti
dati personali, con propria delibera adottata,  previa  consultazione
pubblica, in conformita' con i  principi  di  proporzionalita'  e  di
semplificazione, e all'esclusivo fine di ridurre gli  oneri  gravanti
sui soggetti di cui all'articolo 2-bis, puo' identificare i dati,  le
informazioni e i documenti oggetto di pubblicazione  obbligatoria  ai
sensi della disciplina vigente per i quali la pubblicazione in  forma
integrale e'  sostituita  con  quella  di  informazioni  riassuntive,
elaborate per aggregazione. In questi casi, l'accesso ai  dati  e  ai
documenti nella loro integrita' e' disciplinato dall'articolo 5.
professionali.))
Per saperne di più su Ancora sul D.lgs 101/18, corretto trattamento dei dati ed antiriciclaggio , anche per le PP.AA.
Iscriviti a GDPR