Source: http://docplayer.it/1420385-Azienda-ospedaliera-s-maria-terni-via-tristano-di-joannuccio-05100-terni-tel-39-0744-2051-fax-39-0744-205006-www-aospterni.html
Timestamp: 2017-06-24 06:02:09+00:00
Document Index: 27712382

Matched Legal Cases: ['arti 10', 'art. 29', 'art. 4', 'art. 7', 'art. 7', 'art. 7', 'art. 7', 'art. 11', 'art. 7', 'art. 4', 'art. 2', 'art. 34', 'art. 31', 'art. 169', 'art. 3', 'art. 4', 'art. 1', 'art. 4', 'art. 4', 'art. 114', 'art. 38', 'art. 171', 'art. 615', 'art. 4', 'art. 13', 'art. 13', 'art. 13', 'art. 7', 'art 13', 'art. 7', 'art 13', 'art. 7', 'art. 29', 'art. 13']

Azienda Ospedaliera "S.Maria" Terni. Via Tristano di Joannuccio Terni. Tel.: Fax: - PDF
Azienda Ospedaliera "S.Maria" Terni. Via Tristano di Joannuccio Terni. Tel.: Fax:
Download "Azienda Ospedaliera "S.Maria" Terni. Via Tristano di Joannuccio 05100 Terni. Tel.: +39 0744.2051 Fax: +39 0744.205006. www.aospterni."
1 Regolamento per il rispetto degli obblighi in materia di protezione dei dati personali trattati con l ausilio di strumenti elettronici, per la custodia degli strumenti elettronici, per il corretto uso della mailbox aziendale e per la navigazione online Azienda Ospedaliera "S.Maria" Terni Via Tristano di Joannuccio Terni Tel.: Fax: Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 1 di 312 Indice 1 Premessa di carattere generale 4 2 CAPO I Privacy policy Premessa Definizioni rilevanti in materia di protezione dei dati personali Aspetti generali in materia di protezione dei dati personali Procedure per la designazione dei responsabili Procedure per la nomina degli incaricati del trattamento Profili di autorizzazione Terze parti 10 3 CAPO II Security Policy Premessa Controllo degli accessi logici dei dipendenti Autenticazione Definizioni Identificativi Password Copie delle credenziali in caso di prolungata assenza ed impedimento dell incaricato Corretto uso e custodia degli strumenti elettronici Regole per la sicurezza della workstation Procedure e misure di sicurezza contro specifici rischi Procedura anti-virus (AV) Aggiornamenti del sistema operativo Firewall Backup Ulteriori misure di sicurezza per dati sensibili e giudiziari Istallazione di misure di sicurezza da parte di soggetti esterni alla struttura Uso della posta elettronica Caratteristiche di ordine generale e controlli sulla mailbox degli incaricati Best practices per un corretto uso della posta elettronica (codice etico) Disclaimer Navigazione in Internet Controlli legittimi Limiti all attività di controllo Regole per una sicura e legittima navigazione in Internet (codice etico) Protezione dei PC portatili 25 4 CAPO III Auditing 26 5 CAPO IV Reportistica degli incidenti Premessa Definizioni Report degli incidenti Scala gerarchica Informazione e collaborazione con autorità istituzionalmente riconosciute 28 6 CAPO V Accordi di riservatezza ( Non Disclosure Agreements ) 29 7 CAPO VI - Formazione 30 8 CAPO VII Norme transitorie e finali 31 Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 2 di 313 Normativa di riferimento (in ordine cronologico) - Legge 633/1941 e succ. modif., c.d. Legge sul diritto d autore - Artt. 2086, 2087, 2104, 2105, 2106 del codice civile; - Art. 12 della Dichiarazione Universale dei Diritti dell Uomo adottata dall'assemblea Generale delle Nazioni Unite il 10 Dicembre 1948; - Art. 8 della Convenzione Europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali (Roma, 4 Novembre 1950); - Legge 300/1970, recante lo Statuto dei lavoratori ; - Paragrafi 2 e 3 della Raccomandazione n. R (89) 2 del Comitato dei Ministri agli Stati membri relativa alla protezione dei dati a carattere personale utilizzati ai fini dell occupazione, adottata dal Comitato dei Ministri il 18/1/1989; - Decreto Legislativo 518/1992, che riguarda la tutela giuridica del programmi per elaboratore; - Legge 547/1993, che modifica il codice penale introducendo i crimini informatici; - Decreto Legislativo 626/1994 in materia di sicurezza sul luogo di lavoro, Allegato VII, Paragrafo 3, lett. b) - Art. 15, comma 2, della Legge 59/1997, che riconosce validità e rilevanza a tutti gli effetti di legge agli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, altresì ai contratti stipulati nelle medesime forme, nonché alla loro archiviazione e trasmissione con strumenti informatici; - Decreto Legislativo 169/1999, che riguarda la tutela giuridica delle banche di dati; - Artt. 7 e 8 della Carta dei diritti fondamentali dell Unione Europea (Nizza, Dicembre 2000); - Documento di lavoro riguardante la vigilanza sulle comunicazioni elettroniche sul posto di lavoro, adottato il dal Gruppo di lavoro sulla protezione dei dati, ai sensi dell art. 29 della direttiva 1995/46/CE (documento n. 5401/01/IT/def. - WP 55); - Linee guida dell'ocse sulla sicurezza dei sistemi e delle reti d informazione (Raccomandazione del Consiglio dell OCSE, ); - Decreto Legislativo 196/2003 e succ. modif., recante il Codice in materia di protezione dei dati personali ; - Allegato B al Decreto Legislativo 196/2003, concernente il Disciplinare tecnico in materia di misure minime di sicurezza ; - Decreto del Presidente del consiglio dei ministri , concernente le Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici ; - Decreto del Presidente della Repubblica , n. 68, concernente il Regolamento recante disposizioni per l utilizzo della posta elettronica certificata, a norma dell articolo 27 della legge 16 gennaio 2003, n. 3 ; - Decisione Quadro 2005/222/GAI del Consiglio UE del , relativa agli attacchi contro i sistemi di informazione; - Art. 3 della Legge 43/2005, in materia di interventi per i beni e le attività culturali; - Decreto Legislativo 82/2005 (come successivamente modificato dal Decreto Legislativo 159/2006), recante il Codice delle amministrazioni digitali ; - Legge 38/2006 lotta contro lo sfruttamento sessuale dei bambini e la pedopornografia anche via Internet, che modifica la Legge 269/1998; - Parere del 28 novembre 2006, Prot. n. 25/I/ , adottato dal Ministero del Lavoro e della Previdenza Sociale Direzione Generale per l attività ispettiva; - Provvedimento generale del Garante per la protezione dei dati personali del , Bollettino del n. 81/marzo 2007, pag. 0 [doc. web n ], concernente le Linee guida del Garante per posta elettronica e internet. - Autorizzazione n. 2/2009 al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale - 16 dicembre 2009 (G.U. n. 13 del 18 gennaio suppl. ord. n. 12). In vigore fino al 30 giugno Direttiva n. 02/09 del 26/05/2009 della Presidenza del Consiglio dei Ministri Dipartimento della Funzione Pubblica. Utilizzo di internet e della casella di posta elettronica istituzionale sul luogo di lavoro. - Regolamento del Procedimento Disciplinare per il comparto dell'a.o. "S. Maria" di Terni approvato con deliberazione del Direttore Generale n. 149 del * * * Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 3 di 314 1 Premessa di carattere generale Oggetto del presente documento è l armonizzazione e standardizzazione delle procedure per il corretto uso degli strumenti informatici e telematici messi a disposizione del personale, interno ed esterno, dall Azienda Ospedaliera "S.Maria" di Terni (di seguito, per brevità, A.O.), in ogni suo aspetto (strutturale, funzionale, organizzativo) e in ogni sua componente (hardware, software). In particolare il Regolamento sarà sottoposto all attenzione del personale sanitario (medico e paramedico, ivi inclusi stagisti e specializzandi) e di quello non sanitario (impiegati amministrativi, collaboratori, consulenti, personale del settore IT, tecnici, responsabili di uffici, organi di management), che prestino le loro attività per l A.O., in modo tale che risultino informati sulle politiche di sicurezza e di protezione dei dati critici [ 1 ] adottate dall A.O. stessa. Tale documento avrà anche valore di Codice Etico per tutti i soggetti sopra indicati che, dopo adeguata informazione e dopo eventuali modifiche concordate con gli organi apicali, lo sottoscriveranno, personalmente ovvero tramite delega rilasciata alle rappresentanze sindacali o, in alternativa, alle commissioni interne, se presenti, salva interpello all Ispettorato del Lavoro da parte dell A.O. in caso di mancato accordo, ai sensi di quanto previsto dall art. 4 dello Statuto dei Lavoratori (l. 300/1970). Gli aspetti concernenti la protezione dei dati critici dell A.O. contenuti su supporti cartacei o comunque archiviati/conservati/gestiti secondo modalità tradizionali potranno essere affrontati in un separato e specifico documento. 1 Sono definiti critici quei dati, la cui esposizione a indebite appropriazioni o sottrazioni ovvero a perdita, cancellazione, distruzione, alterazione, modifica, falsificazione o ad ogni altra operazione non autorizzata che ne determini l indisponibilità, anche solo parziale o temporanea, potrebbe causare danno alla continuità e alla crescita dell attività dell A.O. ovvero potrebbe lederne l immagine ovvero ancora determinare il mancato rispetto degli obblighi di legge o di quei valori etici e deontologici, ai quali l A.O. stessa si ispira. L accesso a tali dati è normalmente limitato e riservato, potendo le eventuali violazioni essere fonte di rischio per gli interessi e lo sviluppo delle attività. D altra parte i dati ccdd. pubblici sono in quanto tali di pubblico dominio e destinati alla comunicazione a terzi e talora alla diffusione e meritano un livello minimo di protezione in quanto la loro perdita, distruzione, cancellazione etc. non determina nessun impatto sulle attività ovvero determina un impatto minimo. I dati possono considerarsi comuni pur sempre se divulgati senza preclusioni o divieti da parte dell A.O. sia all interno che all esterno ovvero se pubblicamente disponibili al di fuori della realtà dell A.O. oppure nei casi in cui si intendano di pubblico utilizzo. Resta salvo l assoluto divieto di diffusione dei dati idonei a rivelare lo stato di salute. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 4 di 315 2 CAPO I Privacy policy 2.1 Premessa Tutti i messaggi inviati, ricevuti o archiviati, usando computer e sistemi di processing dell A.O. oppure inviati sulla rete Intranet della medesima sono da considerarsi di proprietà o di pertinenza dell A.O. stessa. Gli utenti, interni o esterni, devono essere informati e resi edotti del fatto che le loro comunicazioni e relativi file possono essere oggetto di monitoraggio e di controllo da parte dell A.O., al fine di verificarne la conformità alle proprie politiche interne e agli obblighi dei soggetti in quanto dipendenti o utenti dell A.O.. In particolare gli account, le caselle di posta elettronica e le attività dell utente possono essere monitorate dall A.O. Quest ultima si riserva altresì il diritto di filtrare i contenuti delle connessioni ad internet. Ovviamente monitoraggio e controllo verranno effettuati nel rispetto della privacy di ciascun utente, con particolare riferimento alla dignità, alla riservatezza, all identità, al diritto alla protezione dei dati personali e agli altri diritti e libertà fondamentali dell utente medesimo, in base alle leggi nazionali e locali, ai regolamenti, alla normativa comunitaria e ad altre normative rilevanti in materia di protezione dei dati personali. In particolare dovranno essere rispettati i principi di necessità, finalità, proporzionalità, liceità, correttezza, sicurezza e trasparenza nelle attività di controllo degli accessi e di monitoraggio. Gli stessi utenti interni sono tenuti a rispettare le regole sulla privacy individuale anche in ambiente lavorativo. Gli utenti interni ed esterni non devono accedere intenzionalmente e senza autorizzazione ad informazioni personali, né copiare software, file, dati, password o codici d accesso relativi a terze persone (siano essi utenti esterni o esterni), né assumerne l identificativo. Resta impregiudicato l esercizio dei diritti da parte degli interessati (cioè delle persone alle quali software, file, dati etc. si riferiscono) ai sensi dell art. 7 del D.Lgs. 196/2003, Codice in materia di protezione dei dati personali (di seguito, per brevità, Codice), che recita come segue: Art. 7 (Diritto di accesso ai dati personali ed altri diritti) 1. L interessato ha diritto di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile. 2. L interessato ha diritto di ottenere l'indicazione: a) dell origine dei dati personali; b) delle finalità e modalità del trattamento; c) della logica applicata in caso di trattamento effettuato con l ausilio di strumenti elettronici; d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell articolo 5, comma 2; e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati. 3. L interessato ha diritto di ottenere: a) l aggiornamento, la rettificazione ovvero, quando vi ha interesse, l integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; c) l attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 5 di 316 adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato. 4. L interessato ha diritto di opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. Le istanze di esercizio dei diritti sono rivolte senza formalità (via mail, tramite fax o telefono ovvero tramite corrispondenza tradizionale, ordinaria o raccomandata) all A.O., in qualità di Titolare del trattamento dei dati personali degli interessati, ovvero a colui/coloro che sia/siano stato/stati designato/designati Responsabile / Responsabili del trattamento, anche per il tramite di uno o più Incaricati del trattamento stesso (per le definizioni di trattamento, titolare, incaricato e responsabile, cfr. paragrafo successivo). Nell esercizio dei diritti di cui all art. 7 cit. l interessato può conferire, per iscritto, delega o procura a persone fisiche, enti, associazioni od organismi. L'interessato può, altresì, farsi assistere da una persona di fiducia. In tali ipotesi la persona che agisce per conto dell interessato può agire secondo le seguenti modalità: esibizione o allegazione di copia della procura [ 2 ]; esibizione o allegazione della delega [ 3 ] sottoscritta in presenza di un incaricato; esibizione o allegazione della delega sottoscritta e presentata unitamente a copia fotostatica non autenticata di un documento di riconoscimento dell'interessato. I diritti di cui all art. 7 cit. riferiti a dati personali concernenti persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato o per ragioni familiari meritevoli di protezione. L A.O. darà riscontro a tali istanze senza ritardo e comunque non oltre 15 giorni dalla ricezione delle medesime, salvo che le operazioni necessarie per un integrale riscontro siano di particolare complessità, ovvero ricorra altro giustificato motivo. In tali casi l A.O. o il responsabile ne danno comunicazione all interessato entro il termine di cui sopra e il termine per l integrale riscontro è di trenta giorni dal ricevimento della richiesta medesima. I dati sono estratti a cura del responsabile o degli incaricati e sono comunicati al richiedente anche oralmente ovvero offerti in visione mediante strumenti elettronici secondo modalità trasparenti e in forma chiara e comprensibile. In caso di comunicazione di codici o sigle sono forniti, anche mediante gli incaricati, i parametri per la comprensione del relativo significato. Se vi è richiesta da parte dell interessato, l A.O. provvede alla trasposizione dei dati su supporto cartaceo o informatico ovvero alla loro trasmissione per via telematica. Salvo che la richiesta sia riferita a un particolare trattamento o a specifici dati personali o a categorie di dati personali, il riscontro comprende tutti i dati personali che riguardano l interessato comunque trattati dall A.O.. Quando l estrazione dei dati risulta particolarmente difficoltosa, il riscontro alla richiesta dell interessato può avvenire anche attraverso l esibizione o la consegna in copia di atti e documenti contenenti i dati personali richiesti. Il diritto di ottenere la comunicazione in forma intelligibile dei dati non riguarda dati personali relativi a terzi diversi dall interessato, salvo che la scomposizione dei dati trattati o la privazione di alcuni elementi renda incomprensibili i dati personali relativi all interessato. 2.2 Definizioni rilevanti in materia di protezione dei dati personali a) trattamento : qualunque operazione o complesso di operazioni, effettuati anche senza l ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; 2 Il termine procura è qui da intendersi in senso tecnico quale atto formale di autorizzazione alla rappresentanza ed assistenza giudiziale, rilasciato a soggetti iscritti in appositi albi e abilitati ex lege a tale tipo di attività (es. avvocati). 3 Il termine delega è da intendersi in senso lato (v. art e ss. del codice civile), quale atto di autorizzazione alla rappresentanza rilasciato dall interessato ad altro soggetto anche non iscritto in appositi albi o comunque non abilitato all attività di assistenza giudiziale. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 6 di 317 b) dato personale : qualunque informazione, contenuta in supporti cartacei o elettronici, relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Esempi: nome, cognome, pseudonimo, denominazione e ragione sociale, ditta, codice fiscale, partita IVA, account di posta elettronica, password, codice PIN, userid etc.; c) dato identificativo : dato personale, su qualsiasi supporto contenuto, che permette l'identificazione diretta dell'interessato. Esempi: nome e cognome, impronte digitali etc. d) dati sensibili : dati personali, in qualunque supporto contenuti, idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Esempi: certificati medici, cartelle cliniche, passaporti, tessere di partiti politici o di sindacati, tessere di associazioni religiose etc.; e) dati giudiziari : dati personali idonei a rivelare provvedimenti di cui all articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale. Esempi: certificato del casellario giudiziale dal quale emergano precedenti penali; f) titolare : la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Esempio: una società, un qualsiasi datore di lavoro (imprenditore individuale, anche piccolo o agricolo), il proprietario di un pubblico esercizio, un ente pubblico territoriale come il Comune o la Provincia etc.; g) responsabile : la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. Esempi: un capo-ufficio, un capo-reparto, un distretto, un dipartimento, un ufficio centrale o periferico di un ente pubblico, un azienda controllata o collegata etc.; h) incaricato : la persona fisica autorizzata a compiere operazioni di trattamento dal titolare o dal responsabile. Esempio: dipendenti, collaboratori, operatori di sistema, impiegati, funzionari etc. i) interessato : la persona fisica, la persona giuridica, l ente o l associazione cui si riferiscono i dati personali. Esempi: clienti, consumatori, utenti, fornitori, dipendenti di un azienda o di ente pubblici i cui dati vengano trattati etc. j) comunicazione, il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. Esempio: telefonata, fax, mail, corrispondenza cartacea, chat etc. k) diffusione : il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. Esempi: pubblicazione su giornali o su siti web, cartelloni pubblicitari etc.; l) blocco, la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; m) banca di dati, qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti. NOTE 1. Il presente regolamento si applica a tutte le operazioni con l ausilio di strumenti elettronici, che coinvolgono informazioni identificabili come personali, come per esempio: pagamenti, registrazioni, archiviazioni, consultazioni, uso, e/o recupero informazioni (riferito in generale al trattamento). 2. Il presente regolamento è volto a far sì che ogni membro dell A.O. rispetti completamente le normative, i regolamenti e le direttive governative in tema di privacy e protezione dei dati applicabili nelle varie unità operative. 2.3 Aspetti generali in materia di protezione dei dati personali I dati personali possono essere trattati solo dopo che i soggetti interessati (o i rappresentanti legali di essi, debitamente autorizzati) siano stati adeguatamente informati: Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 7 di 318 delle modalità e delle finalità del trattamento; della natura obbligatoria o facoltativa del conferimento dei dati; delle conseguenze di un eventuale rifiuto di rispondere; dei soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l ambito di diffusione dei dati medesimi; dei diritti di cui all art. 7 cit.; degli estremi identificativi del titolare e, se designato, del responsabile. Possono essere previste forme semplificate di informativa, secondo una valutazione effettuata caso per caso, tenendo conto della natura del dato trattato, delle modalità utilizzate, degli scopi perseguiti e delle disposizioni del Garante per la protezione dei dati personali. Il dato personale può essere trattato solo per gli adempimenti degli obblighi derivanti da leggi, regolamenti, normative comunitarie, per l erogazione dei servizi e delle attività garantite dall A.O., nonché per gli obiettivi di business e di ricerca specificati nell informativa; qualsiasi altro trattamento su quei dati, al di fuori delle previsioni fatte, richiede l immediato consenso informato, spontaneo, libero e consapevole da parte del soggetto (o del suo rappresentante legale), divenendo altrimenti illecito. Il trattamento sarà invece non conforme, se devia dalla direzione o dagli scopi originari per i quali era stata data l informativa e legittimamente raccolto il consenso dell interessato. Ai sensi dell art. 11 del Codice i dati personali oggetto di trattamento devono essere: trattati in modo lecito e secondo correttezza; raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; esatti e, se necessario, aggiornati; pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. Il soggetto (o il rappresentante legale di esso) avrà diritto ad accedere alle proprie informazioni personali all interno degli archivi che custodiscono i dati personali dei membri e degli utenti dell A.O.. Restano ovviamente sempre salvi i diritti di cui all art. 7 cit., secondo le forme, le modalità, i termini e le garanzie viste nel paragrafo precedente. I dati personali cc.dd. sensibili saranno trattati come informazioni classificate e quindi strettamente confidenziali di pertinenza dell A.O.; quest ultima svilupperà appropriate misure tecnico-organizzative per proteggere comunque ogni dato personale da cancellazioni, alterazioni, modifiche, accessi o diffusioni non autorizzati. L A.O. deve ricevere idonea garanzia dalle terze parti, alle quali devono essere trasferiti dati personali ( Outsourcing ), a conferma del rispetto degli obblighi di legge in materia di finalità e modalità del trattamento dei dati, nonché per quel che concerne il profilo della sicurezza degli stessi. La garanzia si traduce in un accordo formale che sancisce il rispetto delle restrizioni imposte per le modalità dello specifico trattamento. Il trasferimento di dati personali a terze parti sarà consentito nelle seguenti ipotesi: quando il soggetto è stato informato contestualmente al momento della raccolta della possibilità del trasferimento e/o cessione dei dati e abbia prestato il proprio consenso in modo espresso, libero, consapevole e specifico; in seguito alla vendita, al trasferimento o alla cessione di risorse ai quali è collegato il dato; nei casi in cui il trasferimento risulti obbligatorio, perché esplicitamente previsto da leggi nazionali o locali, normative regolamentari o comunitarie o prescrizioni delle Autorità (giudiziaria, amministrativa, sanitaria, militare etc.). Il trasferimento avverrà nella forma ordinaria della comunicazione. La diffusione di dati è ammessa solo nei casi espressamente previsti dalla legge o dai regolamenti. I dati idonei a rivelare lo stato di salute non possono essere diffusi. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati. 2.4 Procedure per la designazione dei responsabili L A.O., in qualità di titolare del trattamento, ha la facoltà di nominare uno o più responsabili. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 8 di 319 Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. Ove necessario per esigenze organizzative, possono essere designati responsabili più soggetti, anche mediante suddivisione di compiti. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare con apposita lettera di designazione. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle istruzioni da lui dettate. 2.5 Procedure per la nomina degli incaricati del trattamento Profili di autorizzazione Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite. La designazione è effettuata per iscritto con apposita lettera d incarico e individua puntualmente l ambito del trattamento consentito o profilo di autorizzazione. Si considera tale anche la documentata preposizione della persona fisica ad una unità per la quale è individuato, per iscritto, l ambito del trattamento consentito agli addetti all unità medesima. Per profilo di autorizzazione si intende l insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti (art. 4, comma 3, lett. f) del Codice). Ogni profilo dunque indica il tipo di dati che possono essere trattati e il tipo di trattamenti che possono essere effettuati sugli stessi: rappresenta dunque l ambito operativo per ogni singolo incaricato, i diritti e privilegi di cui gode (lettura, scrittura, aggiornamento, modifica, rettifica, cancellazione etc.). Ogni incaricato ha il suo "profilo", gode quindi di determinati privilegi o diritti e può così effettuare specifiche attività rispetto a determinati dati. Per quel che concerne le attività svolte sui sistemi informatici, computer, elaboratori etc., ad ogni operatore corrisponderà un "applicativo" cui corrisponderà a sua volta un determinato profilo. In tal senso ogni operatore, dopo aver acceduto alla macchina, avrà la possibilità di accedere al proprio profilo tramite password personale. Pertanto solo sul suo profilo (e quindi sul proprio applicativo) ogni operatore potrà trattare i dati personali di terzi (che dunque non risiedono sulla macchina, in locale), compiendo le operazioni per le quali ha i necessari e specifici diritti, secondo i principi della separazione e del privilegio minimo. Gli applicativi (coi rispettivi profili) sono gestiti a livello centralizzato, in modalità server, onde agevolare il controllo, anche automatizzato, sul rispetto dei diritti spettanti all operatore/incaricato. Purtuttavia il controllo non potrà mai essere "mirato", ma potrà avvenire solo per settori, reparti o aree di riferimento o d intervento (su tali aspetti si tornerà successivamente). Possono esservi più incaricati aventi lo stesso profilo. Si parla in tal caso di classi omogenee di incaricati (gruppi, reparti, distretti, dipartimenti etc.). Pertanto i profili di autorizzazione possono essere stabiliti non solo per unità (ossia per singolo incaricato), ma anche per reparto o per gruppo (sempre che gli incaricati del reparto o del gruppo svolgano i medesimi trattamenti in relazione ai medesimi dati). L A.O. ha valutato positivamente (v. il 1.3 a pag. 10 del presente documento) l ipotesi di conferire profili di autorizzazione per gruppi omogenei di incaricati, anche in virtù dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per l esercizio dei diritti da parte degli interessati, nonché per l adempimento degli obblighi previsti dalla legge (art. 2, comma 2, del Codice) I profili vanno preventivamente individuati, in modo che si sappia fin da principio chi-deve fare-cosa, così come vanno preventivamente configurati i sistemi e cioè implementati secondo i profili individuati (si pensi alla configurazione dei firewall per l attribuzione e per la gestione dei privilegi). Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. In tal senso si provvederà ai necessari e opportuni aggiornamenti dei profili autorizzatori ai sensi del Punto 15 dell Allegato B al Codice (recante il Disciplinare tecnico in materia di misure minime di sicurezza ; v. anche art. 34, lett. d) del Codice). Il rispetto del principio della prevenzione nell individuazione dei profili e nell implementazione dei sistemi è funzionale al trattamento di quei soli dati indispensabili al raggiungimento delle finalità del trattamento stesso (principi di necessità, di non eccedenza e di pertinenza dei dati rispetto alle finalità da perseguire; v. artt. 3 e 11 del Codice). Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 9 di 3110 2.6 Terze parti Onde evitare eventuali responsabilità, l A.O., in fase di accordo con i collaboratori/fornitori attuali o potenziali, dovrà esaminare e valutare in via preventiva, durante la fase di formalizzazione della collaborazione, le misure di sicurezza e le best practices adottate dai collaboratori/fornitori. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 10 di 3111 3 CAPO II Security Policy 3.1 Premessa Il trattamento dei dati personali di utenti interni o esterni dell A.O. è consentito solo se sono adottate adeguate misure di sicurezza a protezione dei dati stessi. Pertanto i dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico (secondo quindi un approccio dinamico ), alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 del Codice). In ogni caso dovranno essere almeno predisposte le cc.dd. misure minime di sicurezza, intendendosi per tali il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi di cui sopra. L omessa adozione delle misure minime comporta responsabilità penale ai sensi dell art. 169 del Codice. Analisi, architettura, implementazione di sicurezza e misure protettive devono essere perfezionate nel rispetto delle politiche dell A.O. relative alla classificazione e valutazione degli asset (o beni preziosi) informatici e telematici di proprietà o pertinenza dell A.O. stessa (risorse hardware, risorse software, supporti di backup e di memorizzazione, documentazione cartacea inerente i sistemi informatici, risorse di rete e soprattutto i dati e le informazioni memorizzati, archiviati, conservati su dispositivi e strumenti elettronici). Le informazioni devono essere classificate (in base alla natura intrinseca di esse) prima della loro acquisizione al fine di determinarne i relativi criteri di protezione. Le informazioni critiche devono poter essere valutate, valorizzate e classificate dal responsabile del trattamento dei dati, con cadenza almeno annuale. Al fine di assicurare una efficace protezione, il valore da attribuire ai dati dovrà essere determinato prima che questi siano rilasciati o trasmessi, con qualsiasi forma di comunicazione, in rete. Tutte le singole unità dell A.O. devono effettuare l inventario delle proprie risorse interne (gli asset per l appunto), valutarne la criticità, determinare quali di esse richiedono una protezione particolare e garantire, per ognuna, l adeguata procedura di sicurezza. Di tutto ciò dovrà essere redatta e adeguatamente tenuta idonea documentazione. La sicurezza dei dati è diretta a proteggere: la riservatezza o confidenzialità: protezione dall altrui curiosità ovvero da accessi abusivi o da comunicazioni, diffusioni e divulgazioni non lecite o comunque non consentite; l integrità: garanzia da modificazioni e cancellazioni non autorizzate, nonché da alterazioni e falsificazioni e protezione contro rischi di distruzione e perdita (anche accidentali) di dati ( data authentication ); l autenticità: paternità dei dati e delle informazioni, ossia la certezza della loro provenienza ( entity authentication ); la disponibilità dei dati: accessibilità, fruibilità, utilizzabilità; la business-continuity, cioè la continuità operativa e istituzionale dell A.O. Tutti gli utenti che utilizzano risorse dell A.O., aventi accesso ad informazioni interne, devono aderire alle politiche dell A.O. relative alla protezione del patrimonio informatico ed informativo. Tutte le soluzioni di sistema per la protezione delle informazioni trattate dall A.O. devono rispettare le normative, le leggi, i regolamenti, le direttive e le discipline vigenti. La privacy del personale, dei clienti e dei collaboratori dell A.O., deve necessariamente essere protetta. Prima della stessa adozione di misure di protezione delle informazioni, è necessario verificare se gli strumenti elettronici utilizzati: siano opportunamente configurati e protetti e dunque in grado di assicurare un elevato livello di tutela e di protezione dei dati, soprattutto in relazione ai diritti e alle libertà fondamentali della persona i cui dati sono trattati; siano affidabili, e quindi sicuri, in termini di efficienza e velocità di elaborazione e trasmissione e, nel contempo, siano dotati della manualistica idonea e delle certificazioni di qualità e delle altre omologazioni che ne attestino la conformità agli standard e alle normative tecniche nazionali (es. disposizioni tecniche dettate dal CNIPA) e internazionali (es. standard ISO); Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 11 di 3112 siano rispettosi del principio di necessità ai sensi dell art. 3 del Codice, laddove, sempre nell ottica di minimalizzazione del rischio, si prescrive che «i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l'interessato solo in caso di necessità». 3.2 Controllo degli accessi logici dei dipendenti Autenticazione Definizioni L autenticazione informatica è presupposto necessario per procedere al trattamento dei dati, quale primo anello della catena della sicurezza logica. Per autenticazione si intende quell insieme di strumenti elettronici e di procedure per la verifica anche indiretta dell identità (cfr. l art. 4, comma 3, lett. c) del Codice) [ 4 ] ed altro non è che un procedimento automatico per il riconoscimento o identificazione del soggetto che accede ad un sistema, computer o elaboratore per effettuare un trattamento di dati e cioè per porre in essere concrete operazioni sugli stessi, in virtù dei privilegi attribuitigli con lettera d incarico (cfr. il paragrafo sulle procedure di nomina degli incaricati a pag. 7 e sg. del presente documento). Quindi l incaricato prima accede legittimamente al sistema (1 anello: autenticazione), poi può operare sui dati (2 anello: autorizzazione). Normalmente per accedere al computer ogni incaricato avrà una credenziale di autenticazione costituita dall associazione logica di un identificativo con una parola-chiave, e precisamente dalla combinazione di userid e password Identificativi Per quanto riguarda gli "identificativi" o userid, è stata adottata una procedura di verifica che consenta di rispettare il precetto secondo il quale un medesimo codice per l identificazione, laddove utilizzato, non può essere assegnato ad altri utenti neppure in tempi diversi. Il servizio che ne effettua la generazione deve, pertanto, predisporre dei meccanismi di conservazione degli elenchi dei codici identificativi in uso o già assegnati precedentemente. Ogni volta che deve essere rilasciata un nuovo userid occorre: generare il codice identificativo secondo le modalità per esso stabilito (per es. nome. cognome oppure iniziale del nome. cognome etc.); verificare che il codice identificativo così generato non sia stato già precedentemente assegnato ad altra persona; se l esito del controllo è positivo, lo userid può essere generato e attribuito alla persona che ne ha fatto richiesta; nel caso in cui si accertasse che il codice identificativo sia già in uso o sia stato in precedenza assegnato ad altra persona occorre predisporre una combinazione che consenta univocità dell assegnazione. Inoltre ad opera del CED viene predisposta una procedura di attivazione al fine di: verificare, con cadenza almeno semestrale, la validità di ogni userid: quelli non utilizzati da almeno 6 mesi devono essere sospesi; sospendere immediatamente uno userid nel momento in cui viene a cessare il diritto di accesso ai sistemi (per es. in caso di licenziamento, pensionamento, cambiamento di ruolo che non rende più indispensabile l accesso al sistema); Le utenze che durante i controlli precedenti sono già state sospese possono essere rimosse o disabilitate solo dopo aver verificato, insieme con il Responsabile dell utente, a cui si riferisce, la cessazione del diritto che consentiva l accesso al sistema. 4 Un altra definizione di autenticazione è offerta dall art. 1, lett. b) del D.Lgs. 82/2005 e succ. modif., cd. Codice delle amministrazioni digitali, a mente del quale l autenticazione consiste nella validazione dell insieme di dati attribuiti in modo esclusivo ed univoco ad un soggetto, che ne distinguono l identità nei sistemi informativi, effettuata attraverso opportune tecnologie anche al fine di garantire la sicurezza dell accesso. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 12 di 3113 3.2.3 Password Per il primo accesso la password sarà fornita dall amministratore di sistema. La procedura da seguire per il primo accesso è la seguente: il responsabile competente richiede al settore IT (preventivamente e formalmente autorizzato) di associare lo userid alla password iniziale e di creare il profilo di autorizzazione con poteri di accesso ai dati e ai programmi differenziati in base alle effettive mansioni e responsabilità assegnate, come risultanti da lettera d incarico; il responsabile competente richiede al settore IT di associare l incaricato al profilo di autorizzazione corrispondente alla classe omogenea cui l incaricato stesso appartiene. Dopo il primo accesso la password dovrà essere sostituita dall incaricato. Per quel che concerne nello specifico gli incaricati del trattamento di ogni singolo reparto dell A.O., è stato previsto un doppio livello di autenticazione secondo la seguente procedura: dapprima l incaricato accede al sistema tramite la password di reparto (quindi condivisa tra i vari incaricati che vi appartengono) che consente semplicemente l accesso alla macchina; una volta acceduto alla macchina, ogni singolo incaricato digiterà la password personale di accesso al proprio profilo o "applicativo", in cui sono presenti i dati personali che egli, come da formale designazione attraverso lettera di incarico, è autorizzato a trattare, ovviamente potendo porre in essere solo quelle operazioni consentite e previste per il suo profilo. In tal modo i dati non sono mai trattati sulla macchina, e quindi in modalità locale o su desktop, bensì solo sui profili di ogni singolo incaricato gestiti in forma centralizzata in modalità server. La presente policy vieta espressamente di elaborare e trattare i dati personali in modalità locale o comunque su desktop (es. attraverso l uso di editor o utilities di testo come word o fogli elettronici come excel), valutandosi il contrario comportamento da parte dell A.O. anche come illecito disciplinare, con conseguente possibilità di irrogazione di sanzioni. La password di accesso al proprio profilo o applicativo costituisce la componente riservata ed assolutamente esclusiva della credenziale, pertanto essa non può essere rivelata o comunicata ad altri, né tanto meno diffusa o divulgata, nemmeno se già utilizzata o non più in uso. Nemmeno potrà essere condivisa con altri. V è dunque l assoluto divieto di scambio di password o di codici identificativi riservati (es. codici PIN) e di assegnazione della stessa credenziale a più incaricati (divieto di credenziali d accesso cd. di gruppo o di reparto, salvo che per meri accessi alla macchina per l uso della stessa, non certo per il trattamento dei dati, per il quale, come detto, esiste un applicativo protetto da password segreta per ogni incaricato). Ogni incaricato deve custodire gelosamente la propria password. A tutela della segretezza delle credenziali, è fatto assoluto divieto di scrivere la propria password o codice PIN su fogli di carta che restino incustoditi sul tavolo di lavoro o in cassetti non muniti di serratura o su post-it che vengono poi attaccati al monitor o sotto la tastiera. È altresì vietato comunicare la propria password via mail o via fax. Le password non devono essere memorizzate per eseguire accessi automatici al sistema (per es. password memorizzate in macro, batch o tasti funzione). Le password e i codici PIN sono considerati informazioni confidenziali riferibili all A.O. Per tal motivo, salve eventuali responsabilità civili e penali, la loro comunicazione, rivelazione o divulgazione non autorizzate, all esterno dell ente, saranno valutabili come illeciti disciplinari per violazione dell obbligo di fedeltà (art del codice civile), con conseguente possibilità di irrogazione delle sanzioni previste dalle leggi, dai regolamenti, dagli statuti e dai contratti collettivi. La password, oltre ad essere riservata, deve essere robusta e quindi complessa e nel contempo memorizzabile. In particolare deve presentare le seguenti caratteristiche (cfr. Punto 5 dell Allegato B al Codice): deve essere composta da un minimo di otto caratteri, in quanto maggiore lunghezza è sinonimo di maggior sicurezza; i caratteri devono essere preferibilmente alfa-numerici (lettere e numeri alternati), così come sarebbe opportuno utilizzare caratteri unicode (es., $, &, /,, etc.), sempre che questi ultimi siano accettati dal sistema; non deve essere facilmente riconducibile all incaricato (nome e cognome, data di nascita, nomignolo del coniuge o di un figlio, attore o sportivo preferito, indirizzi etc.); non deve essere banale o simile a quelle già utilizzate; non deve consistere in parole che possono essere scritte indifferentemente nell uno o nell altro senso; può contenere al massimo due digitazioni consecutive di caratteri uguali; deve essere modificata periodicamente, e precisamente: Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 13 di 3114 - almeno ogni centottanta giorni (sei mesi) per le utenze normali (accesso a Internet, navigazione e accesso alla mailbox); - almeno ogni novanta giorni (tre mesi), per il trattamento dei dati sensibili ed eventualmente giudiziari, così come definiti dall art. 4 del Codice. deve essere modificata quando si sospetti che terzi ne siano venuti a conoscenza. Al fine di rendere operativa la disposizione di legge che impone il mutamento della password a cadenze prestabilite (3 o 6 mesi) il sistema informatico può essere cronologicamente configurato per il blocco automatico in caso di non modifica (per es. si potrebbe imporre all utente di utilizzare un certo numero di password prima di riutilizzarne una già usata). Fanno eccezione a questa regola i PIN che controllano l accesso a dispositivi sotto l esclusivo controllo fisico dell utente [ 5 ] (per es. token, budge, smart-card etc.). Non è previsto il blocco degli accessi dopo ripetuti tentativi errati di login. La sessione di collegamento al sistema deve inoltre terminare dopo tre (3) minuti di inattività. Se l utente deve allontanarsi dalla postazione di lavoro, deve bloccare manualmente l accesso al computer e comunque, come sopra descritto, l accesso deve essere bloccato in automatico dopo non più di tre minuti di inattività. La password deve essere disabilitata, anche in automatico, in caso di non uso da almeno sei mesi. Fanno eccezione quelle credenziali che, seppur scadute nel senso suddetto, siano però ancora utili per le utenze tecniche, vale a dire per scopi di gestione esclusivamente tecnica del sistema (non cioè per scopi di trattamento dei dati). Devono altresì essere immediatamente disattivate le credenziali dell incaricato che ha perso (per es. perché licenziato o perché trasferito ad altri incarichi) il diritto di accedere al sistema e che dunque non ne ha più la facoltà o la necessità. In questo senso va prevista una procedura di notifica al settore IT perché si attivi immediatamente per la disabilitazione dell account Copie delle credenziali in caso di prolungata assenza ed impedimento dell incaricato In linea generale non sono custodite copie delle credenziali di accesso. In caso di necessità di accesso ai dati, in caso di assenza o impedimento dell incaricato (per qualsivoglia motivo si siano verificati: ferie, malattia, trasferta etc.), l A.O. può richiedere ai responsabili IT di ri-impostare le credenziali di accesso dell incaricato. Nel caso in cui questo si verifichi, l A.O. provvederà ad informare ex post e cioè ad intervento effettuato, l incaricato assente o impedito, stendendo apposito verbale, in cui verranno spiegate modalità, tempistica, contenuto e motivazioni dell intervento stesso. Solo ove non sia possibile, da parte dei responsabili IT, l attuazione della procedura di ri-impostazione delle credenziali, allora, per iscritto, l A.O. detta apposite istruzioni per le ipotesi di impedimento o di assenza dell incaricato affinché le copie delle credenziali (cioè delle password o dei codici PIN) siano custodite in modo che ne sia garantita la segretezza e che siano individuati i soggetti incaricati della custodia e autorizzati a operare il trattamento di dati. Questi ultimi assumeranno la figura di delegati o fiduciari dell incaricato. Per la custodia delle password, si dovrà seguire allora la seguente procedura: la password viene scritta su di un foglio che poi viene collocato in busta sigillata; la busta viene consegnata al fiduciario (o delegato), che a sua volta la collocherà in cassaforte o armadietto munito di serratura. Il fiduciario, qualora si verifichino le evenienze previste (assenze o impedimenti) dell incaricato sarà autorizzato ad aprire la busta, utilizzare la password per l accesso e operare i trattamenti necessari. Questi provvederà ad informare ex post e cioè ad intervento effettuato l incaricato assente o impedito, stendendo apposito verbale, in cui verranno spiegate modalità, tempistica, contenuto e motivazioni dell intervento stesso. È ovvio che l impedimento o l assenza dell incaricato rilevano come presupposti per l attuazione della procedura di cui sopra. Tuttavia va valutata la assoluta necessità (indispensabilità) e tempestività (indifferibilità) dell intervento in relazione ad esigenze operative e di sicurezza. Quanto alle esigenze di sicurezza, nulla quaestio, in quanto un intervento potrebbe essere assolutamente richiesto in caso di pericoli o minacce alla riservatezza, integrità o disponibilità dei sistemi ovvero dei dati di uno o più interessati (per necessità, dunque, di tutelarne i diritti). Quanto 5 Tuttavia anche per i possessori di smart-card o token vale la regola per la quale è assolutamente vietato riportare per iscritto o conservare insieme col supporto hardware i codici PIN o le password necessari all attivazione del dispositivo stesso così come ne è vietata la condivisione o rivelazione/comunicazione/diffusione. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 14 di 3115 invece alle esigenze operative, l espressione va intesa strictu sensu, onde evitare di giustificare un qualsivoglia intervento, anche quando non assolutamente necessario. Ed allora non v è dubbio che, nell individuare tali esigenze, bisognerà bilanciare interessi contrapposti quali: la necessità di assicurare la continuità dell attività istituzionale dell A.O., in relazione all esercizio delle attività alle quali è preposta e all erogazione di servizi agli utenti e ai clienti; il rispetto del diritto alla protezione dei dati personali, nonché dei diritti di riservatezza, dignità e identità e di tutti gli altri diritti e libertà fondamentali del personale dell A.O.. Tale bilanciamento dovrebbe essere oggetto di un apposito accordo sulla base del modello di concertazione previsto dall art. 4 dello Statuto dei lavoratori (legge 300/1970), disposizione, tra l altro, espressamente richiamata dall art. 114 del Codice, e la cui violazione è penalmente sanzionata ai sensi dell art. 38 dello Statuto cit. (anche quest ultima disposizione è richiamata dal Codice, precisamente dall art. 171). Per ogni singolo reparto è prevista la figura del custode delle password e/o fiduciario. Per es. custode delle password potrebbe essere un responsabile IT a livello locale, mentre il fiduciario potrebbe essere un primario, un dirigente, un capo-dipartimento, un capo-sezione, un capo-ufficio o un capo-reparto etc. 3.3 Corretto uso e custodia degli strumenti elettronici L utilizzo delle risorse informatiche e telematiche di proprietà dell A.O. deve sempre ispirarsi ai principi di diligenza e correttezza, atteggiamenti questi destinati a sorreggere ogni atto o comportamento posto in essere nell ambito del rapporto di lavoro. L A.O. ribadisce la volontà di mantenere un rapporto a carattere fiduciario con i propri collaboratori, ma ritiene comunque utile adottare alcune regole interne di comportamento condivise, dirette a evitare atteggiamenti inconsapevoli e/o scorretti e/o illeciti. Il dipendente è responsabile degli strumenti che gli vengono forniti per il regolare espletamento delle proprie funzioni ed è pertanto tenuto ad utilizzare tali strumenti correttamente e secondo la diligenza del buon padre di famiglia. Considerando che l utilizzo degli strumenti elettronici deve essere corretto e lecito, il presente documento resta valido anche qualora il dipendente o il collaboratore utilizzi tali strumenti al di fuori del normale orario di lavoro. Nell ambito dei più generali obblighi di protezione e custodia diligente, l A.O., in qualità di titolare, detta specifiche istruzioni affinché gli strumenti elettronici non siano lasciati incustoditi e accessibili a chiunque durante la sessione di trattamento dei dati (cfr. Punto 9 dell Allegato B al Codice). Il concetto di strumento elettronico è quanto mai ampio ed in esso vanno ricompresi: - server - PC, terminali, consolle e strumenti siti in una qualsivoglia workstation o postazione lavorativa (modem, fax, stampanti, router, switch, hub etc.); - computer portatili; - dispositivi come memory card, badge, smart-card o token; - supporti rimuovibili utilizzati per i backup (copie di sicurezza) o per la (anche solo temporanea) memorizzazione (es. CDR, floppy-disk, nastri magnetici etc.) Ebbene tutti questi strumenti vanno custoditi con adeguate misure di protezione in caso di allontanamento anche temporaneo o in caso di cessazione dell attività al termine della giornata lavorativa. Siffatte misure sono: a) logiche: screensaver con password inserita, time-out, impossibilità di memorizzazione automatica della password, etc. b) fisiche: gli strumenti vanno posti in locali chiusi o comunque ad accesso controllato o limitato ai soli incaricati o a personale autorizzato; c) procedurali: blocco dei badge in caso di smarrimento o furto, disattivazione delle password o dei codici di accesso, etc. Tali misure hanno come punto di riferimento temporale la sessione di trattamento, cioè il periodo in cui il collegamento è ancora attivo (quando cioè l incaricato si sia autenticato, abbia ottenuto accesso al sistema, abbia iniziato il trattamento e si sia successivamente allontanato per qualsivoglia ragione). 3.4 Regole per la sicurezza della workstation Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 15 di 3116 L utente non deve lasciare incustodita la postazione di lavoro se non in una condizione di spegnimento o di blocco (screensaver con password attivata in automatico o manualmente). In alternativa, si deve chiudere a chiave la porta dell ufficio e la chiave deve essere tenuta dall interessato ovvero consegnata in portineria o al personale di reparto debitamente autorizzato. La scrivania, nell arco di tempo in cui l incaricato si allontana, deve essere lasciata libera da qualsiasi supporto elettronico contenente dati personali, specialmente se classificati (sensibili e/o giudiziari) I supporti rimuovibili (siano essi magnetici, ottici etc.), se contenenti dati personali, devono essere conservati in appositi cassetti o armadi muniti di serratura. Al termine della sessione lavorativa o nei periodi di temporaneo allontanamento (pausa caffè, pausa pranzo, convocazioni straordinarie, riunioni sindacali o programmatiche etc.), l incaricato provvede alla chiusura dei cassetti o degli armadi in cui sono riposti i supporti rimuovibili, indi egli ha l obbligo di portare con sé la chiave e di consegnarla in portineria o al personale di reparto debitamente autorizzato. La stazione di lavoro assegnata non deve essere modificata nella sua configurazione hardware e software se non dal personale preposto. È inoltre assolutamente vietata l installazione e/o l utilizzo e/o l esecuzione di qualunque software non necessario allo svolgimento della propria attività lavorativa ovvero non predisposto a servizio o a corredo della postazione di lavoro o comunque non fornito o non precedentemente controllato o autorizzato dall A.O. Anche i supporti di provenienza esterna non possono essere inseriti nel sistema per essere letti, se non previo screening effettuato dal personale competente e previa autorizzazione dell amministratore di sistema o del responsabile. Lo screening si rende necessario per l ovvia ragione che un file o un programma di provenienza esterna potrebbe contenere un malware o codice maligno. Di qui la ragione del controllo preventivo. Il mancato rispetto di tali regole comportamentali non permetterà il proseguimento della attività e di conseguenza la macchina sarà riportata agli standard interni, senza ulteriore preavviso. L A.O. si riserva comunque di effettuare controlli periodici a campione su singole macchine per verificare il rispetto di tali regole. Il controllo sarà preceduto da notifica preventiva e, se necessario, l A.O. si avvarrà di personale specializzato per la ripulitura e/o bonifica della macchina, avviando, se del caso, azione disciplinare nei confronti di colui che si sarà reso responsabile della violazione. Per quel che concerne in particolare i software, le banche-dati elettroniche e altri file (audio, video, audiovideo, testi, immagini, fotografie), tutti gli operatori di sistema/incaricati si obbligano a rispettare la legislazione in materia di copyright, con specifico riferimento alla l. 633/1941 e succ. modif., c.d. "legge sul diritto d autore". Viene dunque ribadito l assoluto divieto di istallazione e uso e di qualsiasi altra operazione avente ad oggetto materiale informatico hardware o software illegalmente detenuto, di provenienza illecita, ricettato, contraffatto, duplicato senza autorizzazione. L installazione di nuovi programmi può creare problemi di stabilità del sistema sul quale sono istallati, con quel che ne consegue in termini di rallentamento del funzionamento, difficoltà di elaborazione delle informazioni, fino alla perdita o cancellazione di dati. L omessa ottemperanza a tale regola può costituire infrazione disciplinare, salve ovviamente le responsabilità civili, amministrative e penali derivanti dalle violazioni della legge sul diritto d autore. Per garantire il rispetto della copyright-policy, l A.O. si riserva (come nel caso precedente) di effettuare controlli periodici a campione su singole macchine. Si ricordi inoltre che l A.O. ha adottato sistemi operativi, software applicativi, utilities, tools, editor (elaboratori di testo) regolarmente licenziati o open source. Nel caso in cui risulti necessaria l installazione di software, deve essere effettuata apposita richiesta all Help Desk. Non si devono introdurre nella propria stazione di lavoro documenti o files di cui non si conosce la provenienza o non strettamente legati alla propria attività. Non è possibile utilizzare a scopo lavorativo strumenti personali (es. portatili non forniti dalla A.O.). Più in generale non è consentito l utilizzo delle infrastrutture ICT dell A.O. (es. computer, reti, numeri verdi, etc.) per un uso non strettamente lavorativo o comunque non istituzionale. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 16 di 3117 3.5 Procedure e misure di sicurezza contro specifici rischi Procedura anti-virus (AV) L A.O. ha un sistema anti-virus (di seguito AV) gestito in modalità centralizzata, anche per evitare l inconveniente o comunque il pericolo che la configurazione del medesimo su ogni singola macchina sia arbitrariamente modificata. L AV è sempre attivo e costantemente aggiornato in maniera automatica (in modalità live update ). In caso contrario, laddove vi sia stata notifica da parte dei responsabili del settore IT ai singoli operatori/incaricati, l accesso a documenti provenienti dall esterno del proprio computer (per es. floppy-disk o CDR o anche dal web) dovrà avvenire solo dopo la comunicazione ufficiale (sempre da parte dei responsabili del settore IT) dell istallazione degli ultimi aggiornamenti dell AV. Nei casi di necessità e di urgenza, laddove senza ritardo debba essere istallato un supporto o aperto ed eseguito un file o attivato un programma, uno dei responsabili del settore IT appositamente autorizzato effettuerà in locale lo screening del supporto o file o programma Aggiornamenti del sistema operativo Allo scopo di prevenire bug o vulnerabilità del sistema operativo, è necessario aggiornare periodicamente i programmi tramite l utilizzazione di patch o hotfix, che vengono periodicamente rilasciate dalle software-house che hanno programmato e implementato il sistema operativo stesso (cfr. il Punto 17 dell Allegato B al Codice). L aggiornamento può avvenire in automatico. Laddove ciò non fosse possibile, sarà cura dell incaricato provvedere a ciò manualmente ovvero, in difetto delle necessarie conoscenze tecniche, informare prontamente l amministratore di sistema o il responsabile affinché provveda. La frequenza degli aggiornamenti dovrebbe essere almeno mensile e comunque il sistema va aggiornato non appena possibile. Gli aggiornamenti devono essere approvati dai responsabili del settore IT per evitare effetti collaterali ed incompatibilità Firewall I dati contenuti nei sistemi, soprattutto se trattasi di dati sensibili e/o giudiziari, devono essere protetti contro l accesso abusivo, di cui all'art. 615-ter del codice penale mediante l utilizzo di idonei strumenti elettronici (cfr. Punto 20 dell Allegato B al Codice). A tale scopo esistono particolari programmi denominati firewall, utilizzati per il filtraggio dei dati e dei pacchetti provenienti dalla rete Internet, al fine di proteggere un qualsiasi sistema da tentativi di intrusione (es. da parte di hacker o cracker). Il firewall consente solo il passaggio di determinati tipi di dati, da determinati server, terminali o utenti. Il firewall oltre ad essere software (e in tal caso è montato su ogni singola macchina) può essere implementato anche su di una macchina dedicata (software + hardware) ed in tal senso può essere gestito in modalità centralizzata. L A.O. ha optato per tale ultima soluzione e precisamente si serve di un cluster di due macchine su piattaforma Linux Backup La generazione di copie di sicurezza o backup può essere gestita da remoto tramite storage centralizzato ed in realtime su server appositamente predisposto dall A.O. Laddove ciò non fosse possibile saranno i singoli incaricati, appositamente nominati e col compito specifico in tal senso assegnato, a effettuare i backup su supporti rimuovibili (CDR, DVD, nastri magnetici etc.) con frequenza almeno settimanale. I supporti dovranno poi essere ricoverati in locali controllati e protetti e la procedura, da precisarsi nella lettera di incarico, dovrà indicare: chi deve effettuare i backup, su quali formati elettronici, su quali supporti e con quale frequenza; a quali dati va conferita priorità di copia; dove i backup vanno riposti; Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 17 di 3118 chi li deve custodire, chi li può prelevare e chi li può utilizzare e per quali scopi; come archiviarli e cioè come etichettarli ed inventariarli. Quanto ai supporti, l A.O. ha optato per i nastri e hard disk rimovibili e la frequenza delle copie di sicurezza è quotidiana. Nell ipotesi di backup generati attraverso trasferimento telematico di dati (c.d. storage da remoto), il trasferimento dovrà avvenire in forma crittografata o comunque protetta (es. in file.zip o.rar protetti da password robuste). Tutte le risorse (hard-disk, floppy-disk, CDR, DVD, nastri etc.) che contengono o abbiano contenuto informazioni critiche (con particolare riferimento ai dati sensibili o giudiziari) devono essere controllate per garantire che tutti i dati siano stati rimossi prima di essere adibite ad altro uso (Punto 22 dell Allegato B al Codice) con idonee procedure di wiping (se riutilizzabili da personale diverso da quello precedentemente incaricato) o, se non più riutilizzabili, tramite smagnetizzazione dei supporti rimuovibili o tramite distruzione (annientamento fisico) degli stessi Ulteriori misure di sicurezza per dati sensibili e giudiziari Per tutti i dati sensibili ed eventualmente giudiziari contenuti in elenchi, registri o banche di dati, tenuti con l ausilio di strumenti elettronici, è obbligatorio usare la crittografia o tecniche simili, purché sia garantita la temporanea inintelligibilità anche per chi è autorizzato all accesso e purché l identificabilità sia strettamente indispensabile. In alternativa alla crittografia è possibile avvalersi il metodo c.d. di disgiunzione dei dati attraverso l anonimizzazione del dato identificativo (nome e cognome dell interessato/paziente) tramite l uso di codici (numerici o alfanumerici) corrispondenti a quel dato, in modo che sia visibile solo la diagnosi senza alcun riferimento all interessato, con possibilità di ricongiungere i dati (identificativi e sensibili) solo ove necessario (es. per la prognosi, per l erogazione della cura o della terapia etc.). Tale sistema è stato adottato dall A.O. Il rispetto di tali regole è necessario in quanto i dati sulla salute e sulla vita sessuale (cd. dati supersensibili ), per espressa disposizione legislativa, devono essere conservati in cartelle o archivi elettronici separati da altri dati personali trattati per finalità che non richiedono il loro utilizzo. I dati sulla salute non possono essere diffusi. Oltre al rispetto per gli adempimenti in materia di protezione dei dati personali, deve essere mantenuto il più assoluto riserbo anche al fine di osservare l obbligo del segreto professionale da parte del personale medico e paramedico Istallazione di misure di sicurezza da parte di soggetti esterni alla struttura In caso di predisposizione delle misure minime di sicurezza da parte di soggetti esterni (fornitori dell A.O.), sarà cura dei responsabili designati ovvero degli incaricati appositamente delegati dall A.O. stessa o dai responsabili farsi rilasciare una descrizione scritta dell intervento effettuato che ne attesta la conformità alle disposizioni del disciplinare tecnico in materia di misure minime di sicurezza (per l appunto, l Allegato B al Codice). Ottimo parametro per la valutazione dell affidabilità delle misure minime istallate da parte di personale esterno è costituito dalle certificazioni standard di sicurezza (ITSEC, ISO etc.) dei prodotti software e hardware. Ma ciò potrebbe non bastare, poiché, se il prodotto è male istallato o non adeguatamente mantenuto, le misure si riveleranno inefficaci. A questo punto, le varianti da considerare al fine di valutare le rispettive responsabilità per danni eventualmente causati per perdita o distruzione di dati ovvero per accessi abusivi o trattamenti illeciti e/o non conformi, saranno più d una, ed in particolare: - qualità del prodotto; - competenza degli installatori; - competenza dei manutentori; - competenza dell utente. Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 18 di 3119 3.6 Uso della posta elettronica Caratteristiche di ordine generale e controlli sulla mailbox degli incaricati Il dipendente è tenuto ad un corretto uso dei servizi informatici che l A.O. gli mette a disposizione per svolgere la propria attività lavorativa. Tra essi v è anche la casella di posta elettronica (cd. mailbox). Essa, seppur contraddistinta da diversi username di identificazione e password di accesso, è da ritenersi equiparata ai normali strumenti di lavoro dell ente e viene quindi messa a disposizione dei singoli dipendenti o collaboratori per lo svolgimento dell attività lavorativa agli stessi demandata. L uso improprio della posta elettronica costituisce violazione dell obblighi di diligenza e fedeltà di cui agli artt e 2105 del codice civile con conseguente possibilità per l A.O. di irrogare sanzioni disciplinari al lavoratore che per l appunto la utilizzi indebitamente. La casella di posta elettronica è dunque di proprietà dell A.O., considerando anche che in genere l account è così contraddistinto: nome (o semplice iniziale).cognome dell (es. L account è pur sempre riservato, ma in tali casi personalità dell indirizzo non significa privatezza del medesimo poiché l indirizzo aziendale al di là dell uso di intestazioni apparentemente personali del lavoratore quale principale utilizzatore proprio in quanto tale, per sua intrinseca natura, può sempre essere nella disponibilità di accesso e lettura da parte di soggetti diversi, sempre appartenenti alla struttura aziendale, rispetto al suo consuetudinario utilizzatore al fine, per esempio, di consentire la regolare continuità della attività dell ente nelle frequenti ipotesi di sostituzioni di colleghi per ferie, malattia, gravidanza etc. Pertanto, così come non può configurarsi un diritto del lavoratore ad accedere in via esclusiva al computer aziendale, parimenti non appare astrattamente prospettabile un suo diritto all utilizzo esclusivo e riservato di una casella di posta elettronica aziendale. Ciò implica che su richiesta dell A.O. i responsabili dell IT possano accedere alla mailbox, eventualmente modificando le credenziali di accesso. L A.O. provvederà ad informare ex post (cioè ad intervento effettuato) la persona, stendendo apposito verbale, in cui verranno spiegate modalità e motivazioni dell intervento stesso. Sarà cura dell A.O. mettere a disposizione dell incaricato anche apposite funzionalità di sistema, di agevole utilizzo, che consentano di inviare automaticamente in caso di assenze (per es., per ferie o attività di lavoro fuori sede), messaggi di risposta contenenti le coordinate (anche elettroniche o telefoniche) di un altro soggetto o altre utili modalità di contatto dell incaricato assente o della struttura. Preferibilmente dovrebbero essere indicati account generici, es. oppure oppure (account cc.dd. condivisi), senza che sia indicato un account specifico né un numero interno. Non deve essere indicato il motivo dell assenza. Allo stesso modo non deve essere indicata la propria mailbox privata (non aziendale) o il proprio numero di cellulare. È opportuno indicare il numero del centralino generale o di reparto, ove il mittente possa far presente le proprie esigenze. I messaggi di posta elettronica dovranno contenere un disclaimer o avvertimento, rivolto ai destinatari, nel quale sia dichiarata l eventuale natura non personale dei messaggi stessi, precisando se le risposte potranno essere conosciute anche da altri membri dell organizzazione di appartenenza del mittente, con eventuale rinvio alla policy adottata dalla stessa. Stanti i principi di necessità, proporzionalità (pertinenza e non eccedenza), finalità, liceità, correttezza e trasparenza del trattamento dei dati personali, il controllo o il monitoraggio delle mail non potrà che essere graduale, dovendosi così escludere l ammissibilità di controlli prolungati, costanti o indiscriminati e sono comunque vietate la lettura e la registrazione sistematica dei messaggi di posta elettronica ovvero dei relativi dati esteriori, al di là di quanto tecnicamente necessario per svolgere il servizio . Trattandosi poi di controlli a distanza sarà certamente applicabile la disciplina di cui all art. 4 della legge 300/1970, in modo che la policy sia trasparente e condivisa tra ente e lavoratori. Ogni forma di controllo occulto è vietata e comunque l A.O. non utilizza sniffer o altri dispositivi hardware o software finalizzati all intercettazione e/o all interruzione e/o all impedimento di comunicazioni telematiche, come quelle che avvengono tramite Best practices per un corretto uso della posta elettronica (codice etico) Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 19 di 3120 La casella di posta interna deve essere utilizzata esclusivamente per le comunicazioni inerenti la propria funzione lavorativa e le mansioni assegnate. È generalmente vietato l uso a carattere personale (messaggi ad amici, corrispondenza sentimentale, appuntamenti extra-lavorativi, ordinazioni via mail a imprese commerciali etc.), ma è tollerato un uso minimo e per comunicazioni urgenti a familiari o parenti. Sarà cura dell A.O. predisporre eventuali macchine di contenimento per l uso privato della posta elettronica da parte dei lavoratori. Le non provenienti dagli organi apicali o dagli organi di management dell A.O. ovvero provenienti da mittenti sconosciuti o con oggetto in lingua straniera o allusivo o non facente riferimento all attività dell ente, devono essere cestinate senza essere lette e immediatamente cancellate dal cestino. È assolutamente vietato eseguire o estrarre gli allegati delle , del cui contenuto o della cui provenienza non si è sicuri (si pensi a messaggi con oggetto in lingua straniera o in apparenza accattivante e stimolante la curiosità): gli allegati possono, infatti, contenere virus o altri codici maligni, nascosti nell allegato (tecnica troiana ), che possono avere come scopo o effetto l indebita appropriazione e divulgazione di password o di altri codici d accesso ovvero il danneggiamento di dati dell A.O. ovvero l interruzione, anche solo temporanea o parziale, del funzionamento dei sistemi informatici o la compromissione della loro sicurezza. Tuttavia è possibile configurare il firewall per bloccare preventivamente mail con allegati infetti o per effettuare lo screening preventivo degli stessi. Nel caso comunque che mail con allegato provengano da persone note, è buona prassi chiedere prima conferma per telefono. È vietato cliccare sui link presenti nel corpo delle mail di incerto contenuto o provenienza (ut supra): anche il click su tali link potrebbe attivare virus e altri codici maliziosi, come sopra visto per gli allegati o potrebbe comunque attivare procedure di download (o comunque consentire l intrusione) di codice arbitrario o malizioso (cross site scripting o XSS). Non è consentito utilizzare l indirizzo di posta elettronica lavorativo per inviare o memorizzare messaggi (interni o esterni) di natura minatoria, ingiuriosa, diffamatoria e/o discriminatoria per sesso, lingua, religione, razza, origine etnica, opinione e appartenenza sindacale e/o politica, così come più in generale è assolutamente vietato utilizzare la mail per commettere reati di ogni sorta (es. trasmissione, in HTML o in allegato, a una o più persone, di immagini o file pedopornografici ovvero archiviazione dei medesimi in cartelle di posta appositamente create; rivelazione di password o di codici d accesso, indebitamente ottenuti, a terze persone, con o senza compenso; tentativi di estorcere danaro dietro minaccia; istigazione a delinquere o a violare le leggi dello Stato; propaganda sovversiva o a scopo terroristico; istigazione all odio razziale ). Non è consentito utilizzare l indirizzo di posta elettronica lavorativo per la partecipazione, in Internet, a dibattiti, forum, newsgroup o mailing-list non attinenti all attività istituzionale dell ente o estranei all attività lavorativa. Non è consentito aderire o rispondere a messaggi che invitano ad inoltrare e perpetuare (verso ulteriori indirizzi ) contenuti o documenti oggetto delle cosiddette catene di S.Antonio, così come è vietato inoltrare falsi allarmi, false richieste di aiuto etc. (joke, hoax etc.). È vietato trasmettere materiale commerciale e/o pubblicitario non richiesto. È vietato utilizzare la posta elettronica per comunicare ad altri utenti informazioni di qualsiasi tipo relativamente ai virus. Questa misura serve ad evitare l invio di un elevato numero di messaggi del tipo c è un virus in circolazione. In caso di sospetta presenza di virus informatico, bisogna invece avvisare telefonicamente l Help Desk che fornirà le indicazioni su come operare. È assolutamente vietato inviare messaggi di posta elettronica in caso di accertata presenza nel sistema di virus informatici o di altri malware (codici maligni): la posta elettronica potrà essere riutilizzata solo dopo la rimozione del virus. Bisogna porre particolare attenzione ai messaggi con i quali si richiedano al lavoratore la comunicazione di password o di altri codici identificativi che devono restare riservati: in genere essi non vengono richiesti via mail, ma per la comunicazione vengono utilizzati canali più sicuri e comunque ufficiali e autorizzati dall A.O.. Potrebbe infatti trattarsi di attività fraudolente di social engineering (ingegneria sociale o arte dell inganno ), quali lo scam (truffa alla nigeriana), il phishing o altri tentativi di furto di identità ( identity theft ). In caso di spamming (comunicazioni pubblicitarie non sollecitate o pubblicità indesiderata), è consigliabile non rispondere, soprattutto a fronte di messaggi che invitano a cancellarsi con un click su una determinata area della mail contraddistinta da un link. Infatti il click non serve ad altro che a far sapere allo spammer che l account è attivo. Non è consentito effettuare comunicazioni di tipo finanziario, ivi comprese le operazioni di remote banking, né possono essere poste in essere attività di e-commerce, acquisti on-line e simili, salvo diversa ed esplicita autorizzazione e sempre per finalità istituzionali. Non è consentito simulare l identità di un altro utente, ovvero utilizzare credenziali di posta, non proprie, per l invio di messaggi (c.d. mailspoofing). Azienda Ospedaliera S.Maria di Terni - Policy e Codice Etico Pagina 20 di 31 Vedere altro
Linee guida per il TRATTAMENTO E GESTIONE DEI DATI PERSONALI Articolo 1 Oggetto e ambito di applicazione e principi di carattere generale 1. Il presente documento disciplina le modalità di trattamento Dettagli U.O.C. FACILITY MANAGEMENT UFFICIO PRIVACY OGGETTO: Vademecum per gli Incaricati dei Trattamenti.
Servizio Sanitario Nazionale Regione Siciliana VIA MAZZINI, 1 91100 TRAPANI TEL.(0923) 805111 - FAX (0923) 873745 Codice Fiscale P. IVA 02363280815 U.O.C. FACILITY MANAGEMENT UFFICIO PRIVACY OGGETTO: Vademecum Dettagli COMUNE DI MANERBIO (Provincia di Brescia) REGOLAMENTO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO
COMUNE DI MANERBIO (Provincia di Brescia) REGOLAMENTO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO Approvato con deliberazione C.C. n. 17 del 07.06.2007 Comune Dettagli COMUNE DI ROBASSOMERO
COMUNE DI ROBASSOMERO PROVINCIA DI TORINO tel. 011 9234400 - Fax 011 9234422 E-mail: comune@comune.robassomero.to.it - www.comune.robassomero.to.it REGOLAMENTO PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI Dettagli Azienda Sanitaria di Cagliari
Azienda Sanitaria di Cagliari Regolamento per la protezione dei dati personali in attuazione del D.lgs. n. 196/2003 e ss. mm. ed ii. Codice in materia di protezione dei dati personali INDICE TITOLO I Articolo Dettagli La tutela della Privacy. Annoiatore: Stefano Pelacchi
La tutela della Privacy Annoiatore: Stefano Pelacchi 1 Appunti Le organizzazioni del volontariato possono assumere qualsiasi forma giuridica prevista dal Libro I del Codice Civile compatibile con il proprio Dettagli REGOLAMENTO DI VIDEOSORVEGLIANZA AMBIENTALE PER IL CONTRASTO DELL ABBANDONO E LO SMALTIMENTO DEI RIFIUTI NEL TERRITORIO COMUNALE
REGOLAMENTO DI VIDEOSORVEGLIANZA AMBIENTALE PER IL CONTRASTO DELL ABBANDONO E LO SMALTIMENTO DEI RIFIUTI NEL TERRITORIO COMUNALE INDICE Approvato con deliberazione C.C. n. 17 del 30 aprile 2015 CAPO I Dettagli La nuova disciplina in materia di tutela della privacy (D.Lgs. 30.6.2003 n. 196) Principali novità
La nuova disciplina in materia di tutela della privacy (D.Lgs. 30.6.2003 n. 196) Principali novità INDICE 1 Il nuovo Codice sulla privacy... 2 2 Ambito di applicazione... 2 3 Soggetti coinvolti dal trattamento Dettagli La protezione dei dati personali
La protezione dei dati personali PER GLI ENTI NO-PROFIT Comitato di Gestione per il Fondo Speciale per il Volontariato Provincia Autonoma di Bolzano Alto Adige Presidenza Ufficio Affari di Gabinetto I Dettagli Regolamento per l installazione e l utilizzo degli impianti di videosorveglianza del Comune di Lavis
Comune di PROVINCIA DI TRENTO REGOLAMENTI COMUNALI Regolamento per l installazione e l utilizzo degli impianti di videosorveglianza del Comune di Approvato con deliberazione del Consiglio comunale n. 13 Dettagli Provincia di Lucca ****************** REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE
COMUNE FOSCIANDORA Provincia di Lucca ****************** REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE Approvato dal Consiglio Comunale con deliberazione n. 25 in data 13/07/2010 Dettagli MODULO DI ISCRIZIONE CORSO PER ASCENSORISTA (SOGGETTO A NORMATIVA)
MODULO DI ISCRIZIONE CORSO PER ASCENSORISTA (SOGGETTO A NORMATIVA) DATI ALLIEVO La/il sottoscritta/o Sesso F M Codice Fiscale Nata/o a Provincia il Nazionalità Residente a CAP Provincia Via/C.so/P.zza Dettagli REGOLAMENTO PER L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA
C O M U N E D I R O M AN O D E Z Z E L I N O D E C O R A T O A L V A L O R M I L I T A R E Via G. Giardino, 1-36060 Romano d Ezzelino (VI) Part. IVA e Cod. Fisc. 00258950245 REGOLAMENTO PER L UTILIZZO Dettagli REGOLAMENTO PER L UTILIZZO DEGLI IMPIANTI DI VIDEOSORVEGLIANZA DEL COMUNE
REGOLAMENTO PER L UTILIZZO DEGLI IMPIANTI DI VIDEOSORVEGLIANZA DEL COMUNE APPROVATO CON DELIBERAZIONE DEL CONSIGLIO COMUNALE NR. 23 DD. 23.08.2011 Allegato alla delibera consigliare n. 23 dd.23.08.2011 Dettagli Informativa ex art. 13 del Codice in materia di Protezione dei Dati Personali (Decreto Legislativo 30 Giugno 2003, n. 196)
Informativa ex art. 13 del Codice in materia di Protezione dei Dati Personali (Decreto Legislativo 30 Giugno 2003, n. 196) Desideriamo informarla, ai sensi dell articolo 13 del Decreto Legislativo 30 Giugno Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NELLE AREE DI COMPETENZA DELLA COMUNITA VALSUGANA E TESINO
REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NELLE AREE DI COMPETENZA DELLA COMUNITA VALSUGANA E TESINO Approvato con deliberazione dell Assemblea della Comunità n. 5 del 10.02.2014 1 REGOLAMENTO Dettagli COMUNE DI PERCILE (Provincia di ROMA) REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE
COMUNE DI PERCILE (Provincia di ROMA) REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE Approvato con Delibera di Consiglio Comunale n del 2013 Art. 1 Art. 2 Art. 3 Art. 4 INDICE Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL MUSEO CIVICO
REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL MUSEO CIVICO INDICE CAPO I - PRINCIPI GENERALI Art. 1 - Oggetto Art. 2 - Definizioni Art. 3 - Finalità del trattamento dei dati personali Art. Dettagli L'anno il giorno del mese di, nella sede municipale del Comune di Nome_Ente
CONVENZIONE FRA IL COMUNE DI NOME_ENTE E PUBBLICHE AMMINISTRAZIONI O GESTORI DI PUBBLICO SERVIZIO, PER L'ACCESSO IN CONSULTAZIONE DELLA BANCA DATI DELL ANAGRAFE DELLA POPOLAZIONE L'anno il giorno del mese Dettagli Regolamento per l utilizzo degli impianti di videosorveglianza del Comune di Molveno
Regolamento per l utilizzo degli impianti di videosorveglianza del Comune di Molveno Approvato con deliberazione di Consiglio Comunale n. 34 dd. 05.06.2013 Indice Art. 1 - Premessa Art. 2 - Principi generali Dettagli ISTRUZIONI PER IL TRATTAMENTO DEI DATI PERSONALI
ALLEGATO 2 ISTRUZIONI PER IL TRATTAMENTO DEI DATI PERSONALI Con questo documento si intende offrire: - una precisazione in ordine ai termini ed ai concetti più frequentemente richiamati dalla normativa Dettagli REGOLAMENTO DI ATTUAZIONE DELLE NORME SULLA TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DI DATI PERSONALI E PER L'ADOZIONE DI
REGOLAMENTO DI ATTUAZIONE DELLE NORME SULLA TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DI DATI PERSONALI E PER L'ADOZIONE DI MISURE MINIME DI SICUREZZA INDICE Articolo 1 - Ambito Dettagli Manuale Informativo. Decreto Legislativo 30 giugno 2003, n. 196 Codice in materia di protezione dei dati personali
Manuale Informativo Decreto Legislativo 30 giugno 2003, n. 196 Codice in materia di protezione dei dati personali INDEX Il D.Lgs. 196/2003 Termini e Fondamenti Gli attori Organizzazione e Responsabilità Dettagli REGOLAMENTO PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO
REGOLAMENTO PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO SOMMARIO: CAPO I PRINCIPI GENERALI Art. 1 - Finalità e definizioni Art. 2 - Ambito di applicazione Art. 3 - Dettagli Approvato con deliberazione della Giunta comunale n. / in data / /
COMUNE DI SOAVE PROVINCIA DI VERONA REGOLAMENTO PER VIDEO SORVEGLIANZA DEL TERRITORIO COMUNALE Approvato con deliberazione del Consiglio Comunale n. 50 del 30.11.05 1 CAPO I PRINCIPI GENERALI ART. 1 Finalità Dettagli Disclaimer Privacy Portale Convegno Genova 6 Novembre 2015
Disclaimer Privacy Portale Convegno Genova 6 Novembre 2015 L accesso, la consultazione e l utilizzo delle pagine del presente sito web di WEB-X comportano l accettazione, da parte dell utente (di seguito Dettagli COMUNE DI RIVELLO. Provincia di Potenza REGOLAMENTO PER L UTILIZZO DEGLI IMPIANTI DI VIDEOSORVEGLIANZA DEL COMUNE DI RIVELLO.
COMUNE DI RIVELLO Provincia di Potenza REGOLAMENTO PER L UTILIZZO DEGLI IMPIANTI DI VIDEOSORVEGLIANZA DEL COMUNE DI RIVELLO. Approvato con deliberazione di C.C. n. 24/2013 INDICE CAPO I PRINCIPI GENERALI Dettagli La Privacy nelle Associazioni di Promozione Sociale
La Privacy nelle Associazioni di Promozione Sociale Forlì, 25 gennaio 2007 1 Adempimenti previsti dal Codice della Privacy per le APS 2 Codice della Privacy Nel 1996 la legge n. 675 regolamentò la tutela Dettagli Procedura automatizzata per la gestione del prestito - FLUXUS
Procedura automatizzata per la gestione del prestito - FLUXUS corso di formazione per il personale dell Università e degli Enti convenzionati con il Servizio Catalogo Unico TRATTAMENTO DEI DATI PERSONALI Dettagli 1. Conoscenza dei dati trattati. 2. Conoscenza degli strumenti utilizzati. 3. Conoscenza del proprio ruolo all interno della struttura
Corso 196/03 per i Responsabili e gli Incaricati del Trattamento Dati Percorso Formativo per l Incaricato del Trattamento Dati: Pre-requisiti: 1. Conoscenza dei dati trattati 2. Conoscenza degli strumenti Dettagli Art.1 (Oggetto) Art.2 (Definizioni)
REGOLAMENTO SULLA TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DEI DATI PERSONALI emanato con decreto direttoriale n.220 dell'8 giugno 2000 pubblicato all'albo Ufficiale della Scuola Dettagli Regolamento al trattamento dati per la piattaforma "Sofia" e Misure di Sicurezza adottate
Regolamento al trattamento dati per la piattaforma "Sofia" e Pagina 1 di 10 INDICE 1. Definizioni 3 2. Individuazione dei tipi di dati e di operazioni eseguibili 4 3. Titolare del trattamento, oneri informativi Dettagli Comune di Lastra a Signa
Comune di Lastra a Signa (Provincia di Firenze) REGOLAMENTO SULLA VIDEOSORVEGLIANZA COMUNALE Approvato con deliberazione C.C. n. 29 del 03/05/2011 CAPO I PRINCIPI GENERALI I N D I C E Art. 1 - Art. 2 - Dettagli COMUNE DI FLORIDIA REGOLAMENTO COMUNALE. Provincia di Siracusa APPROVATO DAL CONSIGLIO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DEI SISTEMI DI
COMUNE DI FLORIDIA Provincia di Siracusa REGOLAMENTO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DEI SISTEMI DI VIDEOSORVEGLIANZA SUL TERRITORIO DI FLORIDIA APPROVATO DAL CONSIGLIO COMUNALE CON VERBALE N.4 Dettagli COMUNE DI CERRO AL LAMBRO
COMUNE DI CERRO AL LAMBRO REGOLAMENTO PER L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO Approvato con delibera del Consiglio Comunale nr. del 1 INDICE TITOLO I PRINCIPI GENERALI Articolo 1 Dettagli Riservatezza e protezione dei dati personali negli enti locali in relazione al codice Privacy: l esperienza del Comune di Treviglio
Riservatezza e protezione dei dati personali negli enti locali in relazione al codice Privacy: l esperienza del Comune di Treviglio Ambito di applicazione e finalità Art. 1 (Diritto alla protezione dei Dettagli Comune di San Martino Buon Albergo Provincia di Verona
Comune di San Martino Buon Albergo Provincia di Verona REGOLAMENTO IN MATERIA DI PROTEZIONE DEI DATI PERSONALI (Approvato con deliberazione di Consiglio Comunale n. 32 del 12/05/2009) Sommario Art. 1. Dettagli ALLEGATO N. 4. Premessa
1 ALLEGATO N. 4 PIANO DI SICUREZZA RELATIVO ALLA FORMAZIONE, ALLA GESTIONE, ALLA TRASMISSIONE, ALL INTERSCAMBIO, ALL ACCESSO, ALLA CONSERVAZIONE DEI DOCUMENTI INFORMATICI Premessa Il presente piano di Dettagli REGOLAMENTO DI VIDEOSORVEGLIANZA AMBIENTALE
COMUNE DI SCARPERIA E SAN PIERO Provincia di Firenze REGOLAMENTO DI VIDEOSORVEGLIANZA AMBIENTALE PER IL CONTRASTO DELL ABBANDONO E LO SMALTIMENTO DEI RIFIUTI NEL TERRITORIO COMUNALE INDICE CAPO I - PRINCIPI Dettagli Le informazioni contenute nel sito sono prodotte da WEB-X, se non diversamente indicato.
Disclaimer L accesso, la consultazione e l utilizzo delle pagine del presente sito web di WEB-X comportano l accettazione, da parte dell utente (di seguito l Utente ), del contenuto del presente Disclaimer. Dettagli INFORMATIVA GENERALE
UNIMEC S.R.L. Via Palazzo, 36 Albano S. Alessandro Bg Informazioni rese ai sensi dell art. 13 del D. Lgs.vo 196/03 Codice in materia di protezione dei dati personali e successive modifiche ed integrazioni. Dettagli Consorzio Polizia Locale Valle Agno
REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA MOBILE EFFETTUATA DAL CONSORZIO DI POLIZIA LOCALE VALLE AGNO NEI TERRITORI COMUNALI DI VALDAGNO, RECOARO TERME, CORNEDO VICENTINO E CASTELGOMBERTO Dettagli REGOLAMENTO COMUNALE IMPIANTO DI VIDEOSORVEGLIANZA
COMUNE DI VEDANO OLONA (Provincia di Varese) REGOLAMENTO COMUNALE IMPIANTO DI VIDEOSORVEGLIANZA (Approvato con delibera di C.C. n. 14 del 31/03/2008) INDICE CAPO I - PRINCIPI GENERALI Art. 1 Oggetto Art. Dettagli CITTA di PONTIDA. REGOLAMENTO per la DISCIPLINA della VIDEOSORVEGLIANZA
CITTA di PONTIDA REGOLAMENTO per la DISCIPLINA della VIDEOSORVEGLIANZA Approvato con deliberazione di Consiglio Comunale n. 43 del 22.12.2008 Esecutivo dal CAPO I PRINCIPI GENERALI Art. 1 - Finalità e Dettagli Trattamento dei dati personali
Trattamento dei dati personali CODICE DELLA PRIVACY II 1 GENNAIO 2004 E ENTRATO IN VIGORE IL D.Lgs. N.196 DEL 30 GIUGNO 2003. TALE DECRETO E IL NUOVO TESTO UNICO PER LA PRIVACY. IL NUOVO CODICE IN MATERIA Dettagli REGOLAMENTO PER LA TUTELA DELLA RISERVATEZZA RISPETTO AL TRATTAMENTO DEI DATI PERSONALI
COMUNE DI BRESCIA REGOLAMENTO PER LA TUTELA DELLA RISERVATEZZA RISPETTO AL TRATTAMENTO DEI DATI PERSONALI Adottato dalla Giunta Comunale nella seduta del 26.3.2003 con provvedimento n. 330/11512 P.G. Modificato Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE
REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE (approvato con Delibera C.C. 55 del 10/11/2008) INDICE CAPO I -PRINCIPI GENERALI Art. 1 Oggetto Art. 2 - Definizioni Art. 3 Dettagli DICHIARA. Sii carta intestata del Gestore
ALLEGATO C Sii carta intestata del Gestore DICHIARAZIONE SOSTITUTIVA DELL ATTO DI NOTORIETA (Art.47 D.P.R. 28 dicembre 2000, n. 445) La/il sottoscritta/o nata/o a (_) il gg/mm/aaaa residente a () in Via Dettagli Allo stesso modo il Decreto citato garantisce i diritti delle persone giuridiche e d ogni altro ente o associazione.
PRIVACY POLICY PRIVACY POLICY GENERALE RIVOLTA AI NAVIGATORI DEL SITO WWW.ITALIANCONVERTER.IT RESA AI SENSI DELl ART. 13 DEL D.LGS. 196/2003 Il D. Lgs 196/2003, denominato Codice in materia di protezione Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA
COMUNE DI CASARGO PROVINCIA DI LECCO Via Roma N.1/A 23831 Casargo (LC) Tel. 0341/840.123 Fax 0341/840.673 REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA Approvato con deliberazione del Consiglio Dettagli Regolamento in materia di videosorveglianza
Regolamento in materia di videosorveglianza 1 Art. 1 Finalità L Azienda Ospedaliera di Desenzano del Garda (di seguito denominata Azienda) attua un sistema di videosorveglianza esclusivamente per lo svolgimento Dettagli COMUNE DI ALBISOLA SUPERIORE REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA
CITTA DI ALBISOLA SUPERIORE Provincia di SAVONA COMUNE DI ALBISOLA SUPERIORE REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA Approvato con deliberazione del Consiglio Comunale n. 6 del 25/3/2013 Dettagli COMUNE D I CALASCIBETTA
COMUNE D I CALASCIBETTA PROVINCIA DI ENNA REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL COMUNE DI CALASCIBETTA Approvato con Delibera del Consiglio Comunale n. 20 del 29/07/2013 INDICE CAPO Dettagli Comune di Medicina Provincia di Bologna REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA
Comune di Medicina Provincia di Bologna REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA Approvato con Delibera del Consiglio Comunale n.125 del 28/09/2015 1 INDICE Articolo 1 Oggetto pag. 3 Articolo Dettagli Regione Calabria Azienda Sanitaria Provinciale Cosenza UOC AFFARI GENERALI
REGOLAMENTO CONCERNENTE LA NOMINA E LE FUNZIONI DELL AMMINISTRATORE DI SISTEMA E GLI ADEMPIMENTI IN MATERIA DI OSSERVANZA DELLE MISURE DI SICUREZZA PRIVACY 1 ARTICOLO 1 - SCOPO DEL REGOLAMENTO Il presente Dettagli Comune di Nibionno Provincia di Lecco. Regolamento comunale per l installazione e l utilizzo di impianti di videosorveglianza del territorio
Comune di Nibionno Provincia di Lecco Regolamento comunale per l installazione e l utilizzo di impianti di videosorveglianza del territorio INDICE Articolo 1 Finalità e definizioni Articolo 2 Ambito di Dettagli Informativa sulla politica per la tutela della privacy attuata da Occhioviterbese
Informativa sulla politica per la tutela della privacy attuata da Occhioviterbese (Informativa ex articolo 13 del D.Lgs. 196/2003 - Codice in materia di protezione dei dati personali) Nella presente informativa Dettagli COMUNE DI RONCO SCRIVIA Provincia di Genova UFFICIO DEL SINDACO
Prot. N. 6768 COMUNE DI RONCO SCRIVIA Provincia di Genova UFFICIO DEL SINDACO Oggetto: Sistema di Videosorveglianza del territorio comunale AVVISO AI SENSI DEL CODICE IN MATERIA DI PROTEZIONE DEI DATI Dettagli REGOLAMENTO COMUNALE RETE CIVICA COMUNALE
REGOLAMENTO COMUNALE PER LA GESTIONE ED IL FUNZIONAMENTO DELLA RETE CIVICA COMUNALE Approvato con delibera di C.C. n. 93 del 4.11.2009 Modificato con delibera di C.C. n. 90 del 18.12.2014 ART.1 OGGETTO Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA
COMUNE DI CALLIANO Provincia Autonoma di Trento REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA Approvato con deliberazione di Consiglio Comunale n. 32 di data 28 novembre 2013 CAPO I Principi Generali Dettagli Diritti di cui all art. 7 del D.lgs.196 del 30 giugno 2003. Informativa resa ai sensi dell art 13 del D.Lgs. 196/2003
Diritti di cui all art. 7 del D.lgs.196 del 30 giugno 2003 Informativa resa ai sensi dell art 13 del D.Lgs. 196/2003 Vi informiamo che l art. 7 del d.lgs.196/03 conferisce agli interessati l esercizio Dettagli ISTRUZIONI PER IL TRATTAMENTO DI DATI PERSONALI
ISTRUZIONI PER IL TRATTAMENTO DI DATI PERSONALI (a norma dell art. 29, comma 4, del Codice in materia di protezione dei dati personali, emanato con decreto legislativo 30 giugno 2003, n. 196, più oltre Dettagli REGOLAMENTO SULLA VIDEOSORVEGLIANZA
Allegato A alla deliberazione C.C. n. 38 del 3.8.2010. COMUNE DI BORGIO VEREZZI (Prov. di Savona) REGOLAMENTO SULLA VIDEOSORVEGLIANZA CAPO I PRINCIPI GENERALI ART. 1 OGGETTO. Il presente Regolamento disciplina Dettagli Codice della Privacy
Codice della Privacy Come ripetutamente anticipato dagli organi di stampa, nel corso del Consiglio de Ministri n. 161 del 22 giugno 2004 è stato approvato, su proposta del Ministro della Giustizia, un Dettagli COMUNE DI GAETA (Provincia di Latina) REGOLAMENTO
COMUNE DI SERDIANA PROVINCIA DI CAGLIARI REGOLAMENTO PER L UTILIZZO DEL SISTEMA DI VIDEOSORVEGLIANZA ARTICOLO 1 OGGETTO DEL REGOLAMENTO. Il presente Regolamento disciplina l esercizio del sistema di videosorveglianza Dettagli Sistemi informativi aziendali
Andrea Marin Università Ca Foscari Venezia SVILUPPO INTERCULTURALE DEI SISTEMI TURISTICI SISTEMI INFORMATIVI E TECNOLOGIE WEB PER IL TURISMO - 1 a.a. 2012/2013 Section 1 Introduzione Introduzione ai sistemi Dettagli [approvato con deliberazione di C.C. n.142 del 21.12.2010]
POLIZIA LOCALE REGOLAMENTO DISCIPLINA DELLA VIDEOSORVEGLIANZA DEL TERRITORIO COMUNALE INDICE CAPO I - PRINCIPI GENERALI Art. 1 - Finalità e definizioni Art. 2 - Ambito di applicazione Art. 3 - Trattamento Dettagli COMUNE DI FANO PROVINCIA DI PESARO URBINO. Regolamento comunale per la disciplina della videosorveglianza
COMUNE DI FANO PROVINCIA DI PESARO URBINO Regolamento comunale per la disciplina della videosorveglianza Indice generale Art. 1 Oggetto e norme di riferimento...2 Art. 2 Definizioni...2 Art. 3 Finalità, Dettagli PROCEDURA PRIVACY PER RESPONSABILI DEL TRATTAMENTO DEI DATI PERSONALI
Pag. 1 di 11 PROCEDURA PRIVACY PER RESPONSABILI DEL TRATTAMENTO DEI DATI PERSONALI REV. DATA REDATTO APPROVATO Rev. 2 aprile 2014 Dr. Egidio Sesti Referente Aziendale Privacy Dr. Vitaliano De Salazar Direttore Dettagli Istruzioni operative per gli Incaricati del trattamento dei dati personali
Istruzioni operative per gli Incaricati del trattamento dei dati personali Pagina 1 di 5 Introduzione Il presente documento costituisce un manuale con istruzioni operative per il corretto utilizzo dei Dettagli ) FINALITÀ DEL TRATTAMENTO CUI SONO DESTINATI I DATI
Informativa sul trattamento dei dati personali ex ar t. 13 D. Lgs. 30 giugno 2003 n. 196 Il D.Lgs. 30 giugno 2003 n. 196, Codice in materia di protezione dei dati personali (di seguito più brevemente il Dettagli REGOLAMENTO COMUNALE SULLA VIDEOSORVEGLIANZA
REGOLAMENTO COMUNALE SULLA VIDEOSORVEGLIANZA Indice CAPO I Art. 1 - Premessa Art. 2 - Principi generali Art. 3 - Ambito di applicazione Art. 4 - Informativa Art. 5 - Accertamenti di illeciti e indagini Dettagli LAVENA PONTE TRESA Provincia Di VARESE Approvato con deliberazione di C.C. N. del.
C O M U N E D I AL B AR E D O P E R S AN M AR C O (Provincia di Sondrio) REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE Approvato con deliberazione C.C. n. 5 del 31.1.2011 Dettagli DOMANDA DI ISCRIZIONE
DOMANDA DI ISCRIZIONE Il sottoscritto/a nato/a il / / 19 a residente a in Via Codice Fiscale E-mail Tel. Cell. Documento Tipo N. Ril. Scad. CHIEDE Di essere iscritto all associazione Professionisti Associati Dettagli C O M U N E DI P O R T O S C U S O REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL TERRITORIO COMUNALE
C O M U N E DI P O R T O S C U S O REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL TERRITORIO COMUNALE Approvato con Delibera del Consiglio Comunale n. del pubblicata all Albo Pretorio in data Dettagli INFORMATIVA AI SENSI DELL'ART. 13 DEL DLGS N. 196/2003 PROTEZIONE DEI DATI PERSONALI (PRIVACY)
INFORMATIVA AI SENSI DELL'ART. 13 DEL DLGS N. 196/2003 PROTEZIONE DEI DATI PERSONALI (PRIVACY) PREMESSA MetesDtn S.r.l. (di seguito denominata MetesDtn), con sede legale a Bologna in Viale Aldo Moro 16, Dettagli DOCUMENTO PROGRAMMATICO SULLA SICUREZZA. Ai sensi e per gli affetti del D.Lgs. 30 giugno 2003, n. 196, Allegato B punto 19
Per trattamento di dati deve intendersi: qualunque operazione o complesso di operazioni, svolte con o senza l ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, Dettagli Regolamento informatico
Regolamento informatico Premessa La progressiva diffusione delle nuove tecnologie informatiche ed, in particolare, il libero accesso alla rete Internet dai Personal Computer, espone Ismea ai rischi di Dettagli REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL TERRITORIO DELL UNIONE DI COMUNI MONTANA LUNIGIANA
REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA NEL TERRITORIO DELL UNIONE DI COMUNI MONTANA LUNIGIANA Approvato con deliberazione di Consiglio N 7 del 2013 INDICE 1 CAPO I PRINCIPI GENERALI Art. Dettagli TRATTAMENTO DEI DATI PERSONALI
TRATTAMENTO DEI DATI PERSONALI Ai sensi e nel rispetto dell art. 13 D.Lgs. n. 196 del 30 giugno 2003 recante il Codice in materia di protezione dei dati personali, ed in relazione ai dati personali di Dettagli Oggetto: Informativa per il sito web
Oggetto: Informativa per il sito web In questa pagina si descrivono le modalità di gestione del sito in riferimento al trattamento dei dati personali degli utenti che lo consultano. Si tratta dell informativa Dettagli Laboratorio di Informatica. Dott. Giovanni Pietro Barbano Cultore della Materia
Laboratorio di Informatica Dott. Giovanni Pietro Barbano Cultore della Materia Il diritto alla tutela della privacy non trova esplicito riferimento nella Costituzione italiana, ma si ricava dal contenuto Dettagli Privacy Policy di questo sito
Privacy Policy di questo sito Con il presente avviso Key Word S.r.l. di seguito KEY WORD Vi informa sulle modalità di gestione del sito web accessibile per via telematica a partire dall indirizzo https://www.energyfeedback.it Dettagli Comune di Corbetta Provincia di Milano. Regolamento comunale per l installazione e l utilizzo di impianti di videosorveglianza del territorio
Comune di Corbetta Provincia di Milano Regolamento comunale per l installazione e l utilizzo di impianti di videosorveglianza del territorio INDICE Articolo 1 Finalità e definizioni Articolo 2 Ambito di Dettagli INFORMATIVA E PRESTAZIONE DEL CONSENSO AI SENSI DEL D. lgs. 30/6/ 2003, n. 196
Privacy INFORMATIVA E PRESTAZIONE DEL CONSENSO AI SENSI DEL D. lgs. 30/6/ 2003, n. 196 A seguito della consultazione di questo sito possono essere trattati dati relativi a persone identificate o identificabili. Dettagli REGOLAMENTO PER LA DISCIPLINA DELL ALBO PRETORIO ON LINE (Integrazione al Regolamento di Organizzazione degli uffici e dei servizi)
REGOLAMENTO PER LA DISCIPLINA DELL ALBO PRETORIO ON LINE (Integrazione al Regolamento di Organizzazione degli uffici e dei servizi) Art. 1 - Oggetto 1. Il presente regolamento disciplina le competenze, Dettagli REGOLAMENTO COMUNALE PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA
REGOLAMENTO COMUNALE PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA Approvato con deliberazione di Consiglio Comunale n. 54 del 26.07.2012 pagina 1.14 Indice CAPO I...4 PRINCIPI GENERALI...4 Art. 1 Oggetto Dettagli Approvato con delibera di Consiglio comunale n.75 del 5 ottobre 2009.
REGOLAMENTO PER LA DISCIPLINA DEL TRATTAMENTO DEI DATI PERSONALI ACQUISITI MEDIANTE L IMPIANTO DI VIDEOSORVEGLIANZA ATTIVATO NEL TERRITORIO URBANO DEL COMUNE DI MACERATA Approvato con delibera di Consiglio Dettagli Strumenti digitali e privacy. Avv. Gloria Galli
Strumenti digitali e privacy Avv. Gloria Galli Codice in materia di protezione dei dati personali: Decreto legislativo n. 196 del 30/06/2003 Art. 4. Definizioni trattamento, qualunque operazione o complesso Dettagli Regolamento per la disciplina della videosorveglianza nel territorio comunale di Longhena_. (Approvato con deliberazione di C.C. n 24 del 04.10.
Regolamento per la disciplina della videosorveglianza nel territorio comunale di Longhena_ (Approvato con deliberazione di C.C. n 24 del 04.10.2013) Art. 1 - Oggetto Art. 2 - Definizioni Art. 3 - Finalità Dettagli COMUNE DI COLLEFERRO Provincia di Roma DISCIPLINARE PER LA GESTIONE DEL SERVIZIO DI VIDEOSORVEGLIANZA
COMUNE DI CASALETTO LODIGIANO (Prov. di Lodi) REGOLAMENTO PER LA DISCIPLINA DELLA VIDEOSORVEGLIANZA SUL TERRITORIO COMUNALE (Approvato con deliberazione di C.C. N 25 del 26.06.2008) INDICE CAPO I - PRINCIPI Dettagli Con la presente scrittura privata di convenzione da valere ad ogni effetto di legge TRA
Convenzione fra il Comune di MONASTIER DI TREVISO e la Sezione di Polizia Giudiziaria della PROCURA DELLA REPUBBLICA PRESSO il TRIBUNALE di Treviso per l accesso in consultazione alla banca dati anagrafica Dettagli 2017 © DocPlayer.it Privacy Policy | Condizioni del servizio | Feed-back