Source: http://docplayer.it/3671307-Documento-programmatico-sulla-sicurezza.html
Timestamp: 2018-03-21 23:37:22+00:00
Document Index: 29914061

Matched Legal Cases: ['art. 4', 'art. 4', 'art. 4', 'art. 112', 'art. 68', 'art. 62', 'art. 62', 'art. 65', 'art. 65', 'art. 70', 'art. 73', 'art. 73', 'art. 86', 'art. 73', 'art. 73', 'art. 73', 'art. 73', 'art. 86', 'art. 73', 'art. 86', 'art. 73', 'art. 73', 'art. 73', 'art. 66', 'art. 68', 'art. 73', 'art. 73', 'art. 95', 'art. 4', 'art. 73', 'art. 73', 'art. 71', 'art. 73', 'art. 73', 'art. 73', 'art. 68', 'art. 71', 'art. 4', 'art. 4', 'art. 4', 'art. 73', 'art. 65', 'art. 69', 'art. 73', 'art. 65', 'art. 4', 'art. 11', 'art. 13', 'art. 13', 'art. 7', 'art. 7', 'art. 7', 'art. 9', 'art. 146', 'art. 10', 'art. 7', 'art. 20', 'art. 28', 'art. 29', 'art. 12', 'art. 13', 'art. 615']

1 DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Redatto ai sensi e per gli effetti dell articolo 34, comma 1, lettera g del D. Lgs. 196/2003 e del disciplinare tecnico allegato sub B al medesimo decreto Finalità del presente documento Il presente documento individua e descrive i trattamenti di dati posti in essere dal Comune di TRIGGIANO nonché la distribuzione dei compiti e delle responsabilità nell ambito delle strutture dell amministrazione preposte al trattamento e delinea il quadro delle misure di sicurezza, organizzative, fisiche e logiche adottate e da adottare per il trattamento dei dati personali, inclusi quelli di natura sensibile e giudiziaria. Definizioni Ai fini del presente documento si riportano le definizioni dettate dall art. 4, comma 1, del Codice: a) "trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; b) "dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; c) "dati identificativi", i dati personali che permettono l identificazione diretta dell interessato; d) dati sensibili, i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e) dati giudiziari, i dati personali idonei a rivelare provvedimenti di cui all articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 213, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli60 e 61 del codice di procedura penale; f) "titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; g) "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; h) incaricati, le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; i) "interessato", la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali; l) "comunicazione", il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a 1
2 disposizione o consultazione; m) "diffusione", il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; n) "dato anonimo", il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile; o) "blocco", la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; p) banca di dati, qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti; q)"garante", l'autorità di cui all articolo 153, istituita dalla legge 31 dicembre 1996, n Si riportano, inoltre, le ulteriori definizioni di cui all art. 4, comma 2, del predetto Decreto Legislativo: a) comunicazione elettronica, ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico. Sono escluse le informazioni trasmesse al pubblico tramite una rete di comunicazione elettronica, come parte di un servizio di radiodiffusione, salvo che le stesse informazioni siano collegate ad un abbonato o utente ricevente, identificato o identificabile; b) chiamata, la connessione istituita da un servizio telefonico accessibile al pubblico, che consente la comunicazione bidirezionale in tempo reale; c) reti di comunicazione elettronica, i sistemi di trasmissione, le apparecchiature di commutazione o di instradamento e altre risorse che consentono di trasmettere segnali via cavo, via radio, a mezzo di fibre ottiche o con altri mezzi elettromagnetici, incluse le reti satellitari, le reti terrestri mobili e fisse a commutazione di circuito e a commutazione di pacchetto, compresa Internet, le reti utilizzate per la diffusione circolare dei programmi sonori e televisivi, i sistemi per il trasporto della corrente elettrica, nella misura in cui sono utilizzati per trasmettere i segnali, le reti televisive via cavo, indipendentemente dal tipo di informazione trasportato; d) rete pubblica di comunicazioni, una rete di comunicazioni elettroniche utilizzata interamente o prevalentemente per fornire servizi di comunicazione elettronica accessibili al pubblico; e) servizio di comunicazione elettronica, i servizi consistenti esclusivamente o prevalentemente nella trasmissione di segnali su reti di comunicazioni elettroniche, compresi i servizi di telecomunicazioni e i servizi di trasmissione nelle reti utilizzateper la diffusione circolare radiotelevisiva, nei limiti previsti dall articolo 2, lettera c), della direttiva 2002/21/CE del Parlamento europeo e del Consiglio, del 7 marzo 2002; m) posta elettronica, messaggi contenenti testi, voci, suoni o immagini trasmessi attraverso una rete pubblica di comunicazione, che possono essere archiviati in rete o nell apparecchiatura terminale ricevente, fino a che il ricevente non ne ha preso conoscenza. Si riportano infine le ulteriori definizioni di cui all art. 4, comma 3, del predetto Decreto Legislativo: a) misure minime, il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell articolo 31; b) strumenti elettronici, gli elaboratori, i programmi per elaboratori e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento; c) autenticazione informatica, l insieme degli strumenti elettronici e delle procedure per la verifica anche indiretta dell identità; d) credenziali di autenticazione, i dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l autenticazione informatica; 2
3 e) parola chiave, componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica; f) profilo di autorizzazione, l insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti; g) sistema di autorizzazione, l insieme degli strumenti e delle procedure che abilitano l accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente. DENOMINAZIONE DEL TRATTAMENTO Personale - Gestione del rapporto di lavoro del personale impiegato a vario titolo presso il Comune Personale - Gestione del rapporto di lavoro del personale impiegato a vario titolo presso il Comune - attività relativa al riconoscimento di benefici connessi all'invalidità civile e all'invalidità derivante da cause di servizio, nonché da riconoscimento di inabilità a svolgere attività lavorativa Servizi demografici / Anagrafe - Gestione dell'anagrafe della popolazione residente e dell'anagrafe della popolazione residente all'estero (AIRE) Elenco dei Trattamenti (19.1 Allegato B D.Lgs. 196/03) FINALITÀ DEL TRATTAMENTO Instaurazione e gestione dei rapporti di lavoro dipendente di qualunque tipo, anche a tempo parziale o temporaneo, e di altre forme di impiego che non comportano la costituzione di un rapporto di lavoro subordinato (art. 112, d.lg. n. Concessione, liquidazione modifica e revoca di benefici economici, agevolazioni, elargizioni, emolumenti (art. 68 d.lg. n. Servizi demografici / Anagrafe - Gestione dell'anagrafe della popolazione residente e dell'anagrafe della popolazione residente all'estero (AIRE) TIPI DI DATI SENSIBILI E GIUDIZIARI TRATTATI Convinzioni: religiose, filosofiche, d'altro genere, politiche, sindacali corso relativi ai familiari del dipendente Vita sessuale: (soltanto in caso di eventuale rettificazione di attribuzione di sesso) corso Origine:razziale (iscrizioni avvenute negli anni ) Convinzioni religiose (iscrizioni avvenute negli anni ) Stato di salute: patologie pregresse Vita sessuale: (soltanto in caso di rettificazione di attribuzione di sesso) Servizi demografici / Stato Tenuta degli atti e dei registri Origine razziale (iscrizioni 3
4 civile - Attività di gestione dei registri di stato civile Servizi demografici / Elettorale - Attività relativa all'elettorato attivo e passivo Servizi demografici / Elettorale - Attività relativa alla tenuta degli albi degli scrutatori e dei presidenti di seggio Servizi demografici / Elettorale - Attività relativa alla tenuta dell'elenco dei giudici popolari Servizi demografici / Leva - Attività relativa alla tenuta del registro degli obiettori di coscienza Servizi demografici / Leva - Attività relativa alla tenuta delle liste di leva e dei registri matricolari Servizi sociali - Attività relativa all'assistenza domiciliare dello stato civile (art. 62, d.lg. n. Tenuta delle liste elettorali e gestione delle consultazioni elettorali (art. 62, d.lg. n. Svolgimento delle consultazioni elettorali; richieste di referendum, relative consultazioni e verifica della regolarità (art. 65, comma 1, d.lg. n. Attività dirette alla tenuta degli elenchi dei giudici popolari (art. 65, comma 1, lett. a), d.lg. n. Volontariato ed obiezione di coscienza (art. 70, comma 2, d.lg. n. 196/2003 Attività relative alla leva militare (art. 73, comma 2, lett. e), d.lg. n. Interventi di carattere socioassistenziale, anche di rilievo sanitario, in favore di soggetti bisognosi o non autosufficienti o incapaci, ivi compresi i servizi di assistenza economica o domiciliare, di telesoccorso, accompagnamento e trasporto (art. 73, comma 1, lett. b), d.lg. n. avvenute negli anni ) Convinzioni religiose (iscrizioni avvenute negli anni ) patologie pregresse Vita sessuale (soltanto in caso di eventuale rettificazione di attribuzione di sesso) Convinzioni religiose, politiche Stato di salute: patologie attuali (per permettere ai soggetti disabili di esercitare il proprio diritto di voto) Stato di salute:patologie attuali Convinzioni religiose, filosofiche, d'altro genere patologie pregresse corso corso relativi ai familiari dell'interessato 4
5 Servizi sociali - Attività relativa all'assistenza scolastica ai portatori di handicap o con disagio psico-sociale Servizi sociali - Attività relativa alle richieste di ricovero o inserimento in Istituti, Case di cura, Case di riposo, ecc. Servizi sociali - Attività ricreative per la promozione del benessere della persona e della comunità, per il sostegno dei progetti di vita delle persone e delle famiglie e per la rimozione del disagio sociale Servizi sociali - Attività relativa alla valutazione dei requisiti necessari per la concessione di contributi, ricoveri in istituti convenzionati o soggiorno estivo (per soggetti audiolesi, non vedenti, pluriminorati o gravi disabili o con disagi psico-sociali) Servizi sociali - Attività relativa all'integrazione sociale ed all'istruzione del portatore di handicap e di altri soggetti che versano in condizioni di disagio sociale (centro diurno, centro socio educativo, ludoteca, ecc.) Servizi sociali - Attività di sostegno delle persone bisognose o non autosufficienti in materia di servizio pubblico di trasporto Integrazione sociale ed istruzione del portatore di handicap (art. 86, comma 1, lett. c), d.lg. n. Interventi, anche di carattere sanitario, in favore di soggetti bisognosi o non autosufficienti o incapaci (art. 73, comma 1, d.lg. n. Attività ricreative per la promozione del benessere della persona e della comunità, per il sostegno dei progetti di vita delle persone e delle famiglie e per la rimozione del disagio sociale; promozione della cultura e dello sport; iniziative di vigilanza e di sostegno in riferimento al soggiorno dei nomadi (art. 73, comma 1, lett. f) del d.lg. n. 169/2003) Attività socio-assistenziali (art. 73 del d. lg. n. Interventi di sostegno psicosociale e di formazione in favore di giovani o altri soggetti che versano in condizioni di disagio sociale, economico o familiare (art. 73, comma 1, lett. a), d.lg. n. ; integrazione sociale e istruzione del portatore di handicap (art. 86, comma 1, lett. c), d. lg. n. Interventi anche di rilievo sanitario in favore di soggetti bisognosi o non autosufficienti o incapaci, ivi compresi i servizi di assistenza economica o domiciliare, di telesoccorso, corso relativi ai familiari dell'interessato Origine: razziale etnica Convinzioni: religiose, filosofiche, d'altro genere corso, anamnesi familiare Origine: razziale etnica Convinzioni: religiose corso Convinzioni: religiose, filosofiche corso, anamnesi familiare Origine: razziale etnica corso corso 5
6 Servizi sociali - Attività relativa alla prevenzione ed al sostegno alle persone tossicodipendenti ed alle loro famiglie tramite centri di ascolto (per sostegno) e centri documentali (per prevenzione) Servizi sociali - Attività relativa ai servizi di sostegno e sostituzione al nucleo familiare e alle pratiche di affido e di adozione dei minori Servizi sociali - Attività relativa ai trattamenti sanitari obbligatori (T.S.O.) ed all'assistenza sanitaria obbligatoria (A.S.O.) Servizi sociali - Attività relative alla concessione di benefici economici, ivi comprese le assegnazioni di alloggi di edilizia residenziale pubblica e le esenzioni di carattere tributario Istruzione e cultura - Attività relativa alla gestione degli asili nido comunali e dei servizi per l'infanzia e delle scuole materne elementari e medie Istruzione e cultura - Attività di formazione ed in favore del diritto allo studio accompagnamento e trasporto (art. 73, comma 1, lett. b), d.lg. n. Prevenzione, cura e riabilitazione degli stati di tossicodipendenza (art. 86, comma 1, lett. b), d.lg. n. Assistenza nei confronti di minori, anche in relazione a vicende giudiziarie (art. 73, comma 1, lett. c), d.lg. n. ; vigilanza per affidamenti temporanei e indagini psicosociali relative a provvedimenti di adozione anche internazionale (art. 73, comma 1, lett. e) e d), d.lg. n. Interventi di rilievo sanitario (art. 73, comma 1, lett. b), d.lg. n. Attività dirette all'applicazione, anche tramite concessionari, delle disposizioni in materia di tributi (art. 66 d.lg. n. ; concessione, liquidazione, modifica e revoca di benefici economici, agevolazioni, elargizioni, altri emolumenti ed abilitazioni (art. 68, d.lg. n. ; assegnazione di alloggi di edilizia residenziale pubblica (art. 73, comma 2, lett. d), d.lg. n. Gestione di asili nido e delle scuole per l'infanzia (art. 73, comma 2, lett. a), d.lg. n. Istruzione e formazione in ambito scolastico, superiore o universitario (art. 95 del d.lg. n. corso, anamnesi familiare Vita sessuale Convinzioni religiose corso, anamnesi familiare corso, anamnesi familiare corso relativi ai familiari dell'interessato Convinzioni: religiose, filosofiche, d'altro genere corso Convinzioni: religiose Stato di salute: patologie attuali (art. 4, comma 1, lett. e) d.lg. n. 6
7 Istruzione e cultura - Gestione delle biblioteche e dei centri di documentazione Polizia municipale - Attività relativa all'infortunistica stradale Polizia municipale - Gestione delle procedure sanzionatorie Polizia municipale - Attività di polizia annonaria, commerciale ed amministrativa Polizia municipale - Attività di vigilanza edilizia, in materia di ambiente e sanità, nonché di polizia mortuaria Polizia municipale - Attività relativa al rilascio di permessi per invalidi Rilascio delle licenze per il commercio, il pubblico esercizio, l'artigianato e la pubblica sicurezza Avvocatura - Attività relative alla consulenza giuridica, al patrocinio, alla difesa in giudizio dell'amministrazione, nonché alla consulenza e copertura assicurativa in caso di responsabilità civile verso dell'amministrazione terzi Attività di promozione della cultura (art. 73, comma 2, lett. c), d.lg. n. Attività di polizia amministrativa (art. 73, comma 2, lett. f), d.lg. n. Applicazione delle norme in materia di sanzioni amministrative e ricorsi (art. 71, comma 1, d.lg. n. Attività di polizia amministrativa locale, con particolare riferimento ai servizi di igiene (art. 73, comma 2, lett. f), d.lg. n. 196/2003 Attività di polizia amministrativa locale, con particolare riferimento ai servizi di igiene, di polizia mortuaria e ai controlli in materia di ambiente, tutela delle risorse idriche e difesa del suolo (art. 73, comma 2, lett. f), d.lg. n. Attività di polizia amministrativa locale (art. 73, comma 2, lett. f), d.lg. n. Attività relativa al rilascio di licenze, autorizzazioni ed altri titoli abilitativi previsti dalla legge, da un regolamento o dalla normativa comunitaria (art. 68, comma 2, lett. g), d.lg. n. Finalità volte a fare valere il diritto di difesa in sede amministrativa o giudiziaria (art. 71 del d.lg. n. Convinzioni: religiose, filosofiche, d'altro genere, politiche, sindacali Stato di salute: patologie attuali terapie in corso corso relativi ai familiari dell'interessato (art. 4 comma 1, lett. e) d. lg. Stato di salute: patologie attuali Stato di salute: patologie attuali Convinzioni: religiose Stato di salute: patologie attuali Dati di carattere giudiziario (art. 4, comma 1, lett. e), d.lg. n. Convinzioni: religiose, filosofiche, d'altro genere, politiche, sindacali corso relativi ai familiari del dipendente Vita sessuale (art. 4 comma 1, lett. e) d. lg. Politiche del lavoro - Supporto al collocamento e 7
8 Gestione delle attività relative all'incontro domanda/offerta di lavoro, comprese quelle relative alla formazione professionale Gestione dei dati relativi agli organi istituzionali dell'ente, dei difensori civici, nonché dei rappresentanti dell'ente presso enti, aziende e istituzioni Attività politica, di indirizzo e di controllo, sindacato ispettivo e documentazione dell'attività istituzionale degli organi comunali Attività del difensore civico comunale Attività riguardante gli istituti di democrazia diretta all'avviamento al lavoro, in particolare a cura di centro di iniziativa locale per l'occupazione e di sportelli-lavoro (art. 73, comma 2, lett. i) del d.lg. n. Applicazione della disciplina in materia di elettorato attivo e passivo, esercizio del mandato degli organi rappresentativi e di affidamento di incarichi di rappresentanza in enti, aziende e istituzioni (art. 65, comma 1, lett. a), 2, lett. c) ed e), d.lg. n. nonché accertamento dei requisiti di onorabilità e di professionalità per le nomine a cariche direttive di persone giuridiche (art. 69 d.lg. n. Attività di controllo, di indirizzo politico e di sindacato ispettivo e documentazione dell'attività istituzionale di organi pubblici (artt. 65, comma 1, lett. b) e 4, e 67, comma 1, lett. b), d.lg. n. Attività dei difensori civici locali (art. 73, comma 2, lett. l), d.lg. n. Esercizio dell'iniziativa popolare, richieste di referendum e presentazione di petizioni, verifica della relativa regolarità (art. 65, comma 2, lett. b), e d), d.lg. n. patologie pregresse (art. 4 comma 1, lett. e) d.lg. Convinzioni: religiose, d'altro genere, politiche, sindacali terapie in corso Vita sessuale (soltanto in caso di eventuale rettificazione di attribuzione di sesso) Convinzioni: religiose, filosofiche, d'altro genere politiche, sindacali corso, anamnesi familiare Vita sessuale Convinzioni: religiose, filosofiche, d'altro genere politiche, sindacali corso, anamnesi familiare Vita sessuale Convinzioni: religiose, filosofiche, d'altro genere, politiche, sindacali Modalità di trattamento dei dati I dati personali sono trattati secondo le modalità stabilite dall'art. 11, D.Lgs. 30 giugno 2003, n I dati in possesso del Comune di TRIGGIANO sono per lo più trattati in forma elettronica o mediante l ausilio di sistemi automatizzati. Le disposizioni del presente documento si applicano, in quanto compatibili, al trattamento 8
9 dei dati con o senza l ausilio di strumenti elettronici. Informativa Il responsabile del trattamento dati deve dare informativa all interessato, oralmente o per iscritto, delle indicazioni di cui all art. 13, comma 1, del Codice e dei suoi diritti. Tutti i responsabili devono garantire la massima diffusione degli obblighi informativi di cui all art. 13 del Codice predisponendo una apposita modulistica da inserire in internet o in cartelli da esporre nei locali dei singoli servizi. Nell'informativa resa ai sensi dell'art. 7 del D.Lgs. 30 Giugno 2003, n. 196, ai soggetti che conferiscono dati all Amministrazione per lo svolgimento di un'attività istituzionale, sono fornite tutte le indicazioni inerenti alla corrispondente rilevante finalità di interesse pubblico perseguita, i tipi di dati personali e sensibili per i quali risulta necessario attivare un trattamento e le operazioni eseguibili sui medesimi dati. Diritti dell interessato ai sensi dell art. 7 del Codice. Le richieste per l esercizio dei diritti di cui all art. 7 del D.Lgs. 30 giugno 2003, n. 196 sono presentate all'ufficio relazione con il Pubblico del Comune di TRIGGIANO o al responsabile competente, secondo le modalità stabilite all'art. 9 dello stesso Decreto Legislativo, che provvederà a darne idoneo riscontro all interessato entro 15 giorni dal suo ricevimento, ovvero entro 30 giorni se le operazioni necessarie per un integrale riscontro sono di particolare complessità o se ricorre altro giustificato motivo ai sensi dell art. 146, commi 2 e 3. Per tali richieste si potrà utilizzare la modulistica appositamente predisposta e scaricabile dal sito internet del Comune. La Giunta Comunale determina con apposito atto il contributo spese a carico del richiedente, se dovuto, ai sensi dell art. 10 del Codice. Nelle ipotesi in cui, per il trattamento dei dati, sia necessario il consenso dell interessato, il medesimo consenso è prestato in forma scritta, anche mediante l utilizzo di strumenti informatici e telematici. Modalità di trattamento dati sensibili Definizione delle attività che perseguono rilevanti finalità di interesse pubblico Il Comune di TRIGGIANO esegue il trattamento dei dati sensibili e giudiziari nel rispetto degli artt. 20, 21 e 22 del Codice e solo in presenza dei i seguenti presupposti: 1. se il trattamento è autorizzato da espressa disposizione di legge statale o regionale nella quale sono espressamente specificati: a) i tipi di dati che possono essere trattati; b) le operazioni eseguibili; c) le finalità di rilevante interesse pubblico perseguite ; 2. se una disposizione di legge specifichi solo le finalità di interesse pubblico; 3. se vi è l autorizzazione del Garante per la protezione dei dati personali che riconosca tra i trattamenti demandati dalla legge ad un soggetto pubblico, le attività aventi rilevante finalità pubblica. Nelle tre citate ipotesi il trattamento dei dati sensibili sarà lecito ove: 1. sia rispettata la finalità di trattamento prevista dalla norma di legge, si trattino solo i dati sensibili precisati dalla legge e con le modalità espressamente previste; 2. sia rispettata la finalità di trattamento prevista dalla norma di legge e si trattino i dati sensibili espressamente indicati e si svolgano le operazioni previste nel regolamento dei dati sensibili e giudiziari adottato dal Comune di TRIGGIANO con deliberazione del Commissario Straordinario adottata con i poteri del Consiglio Comunale n. 5 del 28/12/2005; 9
10 3. vi sia il provvedimento del garante ed nel regolamento comunale siano precisati i dati sensibili trattabili e le relative operazioni eseguibili. Nell ultima casistica, in cui attività istituzionali, procedimentali ed operativo-gestionali svolte dall Ente non siano riconducibili a rilevanti finalità di interesse pubblico, indicate nel Codice o in altre leggi, si potrà chiedere al Garante, nelle modalità di cui al seguente art. 7, di individuare l attività come di rilevante interesse pubblico e di conseguenza autorizzarne il trattamento dei dati sensibili. Le attività che perseguono rilevanti finalità di interesse pubblico sono individuate, per il trattamento dei dati sensibili, dal D.Lgs. 30 Giugno 2003, n. 196, da altre leggi e dal Garante, in base a quanto previsto al Capo IV, Titolo IV dello stesso Decreto Legislativo. Modalità di individuazione delle attività che perseguono finalità di interesse pubblico non espressamente rapportabili alle disposizioni del codice. Per favorire l'individuazione da parte del Garante delle attività istituzionali che perseguono finalità di interesse pubblico e conseguentemente autorizzare il trattamento dei dati sensibili ai sensi dell'art. 20 dello stesso Codice, l'amministrazione comunale, dietro indicazione del responsabile del trattamento dei dati ai quali l attività fa riferimento: 1. verifica la rilevanza delle attività istituzionali comportanti il trattamento di dati sensibili in relazione al buon andamento dell'attività amministrativa; 2. verifica quali di queste attività non possono essere ricondotte al quadro di riferimento dettato dal codice; 3. individua e configura la rilevanza dell'interesse pubblico perseguito con la particolare attività istituzionale. L'Amministrazione comunica tempestivamente al Garante i trattamenti di dati sensibili individuati per i quali non è determinata dalla legge una corrispondente rilevante finalità di interesse pubblico. Distribuzione compiti e responsabilità (19.2 Allegato B del D.lgs. 196/03) Il Titolare dei dati, ai sensi dell art. 28 del Codice, è il Comune di TRIGGIANO nella persona del legale rappresentante, ovvero del Sindaco pro-tempore. Il Titolare dei dati nomina il Responsabile del trattamento dei dati con provvedimento motivato, sulla base di quanto previsto dall art. 29 del D.Lgs. 30 Giugno 2003, n Il Comune di TRIGGIANO, dotato di una struttura organizzativa articolata e complessa, per esigenze organizzative ha deciso di individuare più Responsabili del trattamento dati, nelle persone: 1. Dott.ssa Anna Maria Guglielmi, nella qualità di dirigente f.f., quale Responsabile dei trattamenti di dati svolti dall'unità organizzativa settore affari generali istituzionali ; 2. Rag. Michele Signorile quale Responsabile dei trattamenti di dati svolti dall'unità organizzativa settore finanziario ; 3. Ing. Felice Rubino quale Responsabile dei trattamenti di dati svolti dall'unità organizzativa settore assetto del territorio ; 4. Rag. Michele Signorile, nella qualità di dirigente f.f., quale Responsabile dei trattamenti di dati svolti dall'unità organizzativa settore socio culturale ; 5. Ing. Felice Rubino, nella qualità di dirigente f.f. quale Responsabile dei trattamenti di dati svolti dall'unità organizzativa settore polizia municipale e ambiente. ai sensi del Regolamento di organizzazione della Dirigenza attualmente in vigore. Il Responsabile del trattamento dei dati: 1. designa per iscritto gli Incaricati che effettuano operazioni di trattamento; 2. cura il coordinamento di tutte le operazioni di trattamento di dati affidate agli Incaricati del trattamento appartenenti alla struttura organizzativa che sovrintende; 10
11 3. provvede a dare istruzioni agli Incaricati al fine della corretta elaborazione dei dati personali normali e sensibili; 4. procede alle verifiche sulla metodologia di introduzione e di gestione dei dati, anche attraverso controlli a campione da eseguirsi periodicamente; 5. è responsabile dei procedimenti di rettifica dei dati; 6. applica tutte le disposizioni operative per la sicurezza della banca dati e l'adozione delle misure di sicurezza di cui all art. 12 del presente documento; 7. gestisce le banche dati utilizzate per conservare i dati necessari al trattamento; 8. cura la comunicazione agli interessati del trattamento dei dati e la loro diffusione; 9. dà ampia diffusione degli obblighi informativi di cui all art. 13 del D.Lgs. 30 Giugno 2003, n. 196; 10. dispone il blocco dei dati, qualora sia necessaria una sospensione temporanea delle operazioni di trattamento. Analisi dei rischi e caratteristiche degli strumenti elettronici (19.3 Allegato B del D.lgs. 196/03) Le fonti di rischio relative alle operazioni di trattamento dati sono state suddivise in: 6. comportamento degli operatori: sottrazione di credenziali di autenticazione; comportamenti imperiti, imprudenti o negligenti dei soggetti legittimati al trattamento dei dati; comportamenti dolosi; errori materiali; 7. eventi relativi agli strumenti: danni arrecati da virus informatici e/o da hackers, spamming o tecniche di sabotaggio; accessi informatici abusivi agli strumenti elettronici; intercettazione dei dati trasmessi in rete; malfunzionamento, indisponibilità o usura fisica degli strumenti; 8. eventi relativi al contesto fisico-ambientale: distruzione o perdita dei dati in conseguenza di eventi imprevedibili e incontrollabili (ese. terremoto) ovvero, seppur astrattamente preventivabili (ese. incendi o allagamenti), di origine fortuita, dolosa o colposa; guasti ai sistemi complementari (ese. mancata erogazione di energia elettrica per lunghi periodi di tempo); furto o danneggiamento degli strumenti elettronici e, più in generale, degli archivi anche in orario diverso da quello di lavoro; accesso non autorizzato da parte di terzi interni o esterni all istituzione scolastica durante l orario di lavoro. Nella tabella seguente è sinteticamente rappresentata la stima del livello di gravità del rischio e sono indicate le misure di sicurezza adottate: B = bassa M = media A = alta E = elevata RISCHI COMPORTAMEN TO DEGLI OPERATORI sottrazione credenziali di autenticazione comportamenti colposi (imperiti, imprudenti o negligenti) GRA- VITÀ M M MISURA DI CONTRASTO formazione permanente degli operatori / vigilanza sul rispetto delle istruzioni impartite /sostituzione trimestrale delle password / nomina dell amministratore di sistema e custode delle password formazione permanente degli operatori e vigilanza sul rispetto delle istruzioni impartite 11
12 EVENTI RELATIVI AGLI STRUMENTI EVENTI RELATIVI AL CONTESTO comportamenti dolosi (sleali o fraudolenti) errore materiale azione di virus informatici o di programmi suscettibili di arrecar danno spamming o tecniche di sabotaggio B M E E credenziali di autenticazione / distribuzione delle chiavi di accesso agli archivi ai soli incaricati autorizzati / formazione permanente degli operatori/ vigilanza sul rispetto delle istruzioni impartite formazione permanente degli operatori e vigilanza sul rispetto delle istruzioni impartite misure di sicurezza logico-informatiche misure di sicurezza logico-informatiche accessi esterni non autorizzati A misure di sicurezza logico-informatiche intercettazioni di informazioni in A rete malfunzionamento, indisponibilità o degrado degli M strumenti eventi imprevedibili e incontrollabili o solo B astrattamente preventivabili (ese. incendi, allagamenti) guasto ai sistemi A complementari furto o danneggiamento degli strumenti elettronici o degli archivi accesso non autorizzato durante l orario di lavoro M/A B misure di sicurezza logico-informatiche manutenzione ordinaria delle macchine cassaforte manutenzione ordinaria degli impianti videosorveglianza solo esterna / vigilanza privata / distribuzione delle chiavi di accesso agli archivi ai soli incaricati autorizzati sistema di controllo degli accessi Di seguito sono sinteticamente descritte le principali caratteristiche degli strumenti elettronici a mezzo dei quali il Comune effettua operazioni di trattamento dati: Numero e ubicazione di Server/Workstation presenti in rete e ruolo (Domain Controller, Proxy, Sharing Server, Proxy/Firewall, ecc): 1. Ubicati in Stanza CED (chiuso al pubblico in locali climatizzati e linea elettrica diretta con gruppo di continuità adeguato a supportare il tutto) in Rack 19: - n. 2 Server per il Domain Controller Active Directory e DHCP; - n. 2 Server e N.1 Storage in cluster per Applicativi e risorse di rete; - n. 1 Server per servizi via web; - Firewall; al Rack su indicato sono collegati circa 75PC FUORI dal RACK n. 1 Printer Server 2. Ubicati presso Settore P.M.- Ambiente: 12
13 - n. 1 Server (per gestione multe) a cui sono collegati 2 PC 3. Ubicati presso Settore Finanziario Servizio Cantabilità: - n. 1 Server (per gestione contabilità) a cui sono collegati 2 PC 4. Ubicati presso Settore Finanziario Servizio Tributi - n. 1 Server (per gestione Tributi) a cui sono collegati 5 PC NON GESTITI DAL COMUNE 5. Ubicati presso Settore Assetto del Territorio: - n. 1 Server per gestione cartografia - n. 1 Server per gestione servizi di glabal service Tali servers sono nattati in rete per l accesso dall esterno. 6. Ubicati presso Servizio URP: - n. 1 Server per gestione Informa giovani erogati dal PIT 3 a cui sono collegati 8 PC 7. Ubicati presso Settore P.M.- Ambiente: - n. 1 Server per gestione Videosorveglianza erogati dal PIT 3 a cui sono collegati 3 PC In rete sono collegati circa 75 PC con sistema operativo Windows XP Professional SP3 e antivirus NOD32, precisamente: Palazzo Comunale I Piano Segreteria 11 Personale 6 Ragioneria-Economato 6 Palazzo Comunale Piano Terra Tributi 6 Demografici 8 URP 2 URP-PIT 3 8 Settore Assetto del Territorio 10 Servizio Cultura 5 Polizia Municipale - Ambiente 10 Polizia Municipale Ambiente PIT 3 3 Servizi Sociali 9 Il sistema di Identity & Access management (autenticazione ed autorizzazione utente, assegnazione permessi e diritti sulle risorse condivise, assegnazione policy di sicurezza, durata-scadenza-disabilitazione account, durata-scadenzaaggiornamento-disabilitazione password) avviene tramite Active Directory Attualmente è disponibile solo l EVENT LOG. Attualmente la rete è protetta da firewall Sonicwall serie TZ; Su tutti i PC è installato NOD32 come sistema antivirus, mentre sui server è installato McAfee VirusScan Enterprise 8.7.0i Misure di sicurezza (19.4, 19.7 e 19.8 Allegato B del D.lgs. 196/03) Le misure di sicurezza relative al trattamento dei dati personali effettuate con strumenti elettronici per garantire l'integrità e la disponibilità dei dati stessi sono le seguenti: 13
14 A) Sistema di autenticazione informatica: Il sistema informativo del Comune di TRIGGIANO consente solo agli incaricati dotati di appropriate credenziali il superamento di una procedura di autenticazione per accedere ad uno specifico trattamento o ad un insieme di trattamenti a seconda dei diritti assegnati agli incaricati stessi. Le credenziali di autenticazione consistono in un codice univoco composto da un nome utente (username) ed una parola chiave riservata e conosciuta solamente dal medesimo (password). Le credenziali degli utenti non più in servizio sono disabilitate e non più utilizzabili. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica. Le credenziali di autenticazione verranno disattivate anche nel caso in cui l utente cambi mansioni e quindi non abbia più titolarità ad accedere a trattamenti per i quali era stato precedentemente incaricato. Al personale sono date istruzioni volte a non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento e ad assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema: in particolare gli amministratori di sistema, su richiesta del dirigente di struttura dell utente assente o impedito, procederanno alla reinizializzazione della parola chiave che dovrà essere nuovamente impostata dall utente al suo ritorno. B) Sistema di autorizzazione Il sistema di autorizzazione utilizzato dal Comune di TRIGGIANO consente la creazione di profili di autorizzazione per ciascun incaricato. Attualmente i profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all inizio del trattamento, in modo da limitare l accesso ai soli dati necessari per effettuare le operazioni di trattamento. I dirigenti di servizio e/o l ufficio personale, verificheranno annualmente sulla sussistenza delle condizioni per la conservazione dei profili di autorizzazione. C) Altre misure per trattamento con elaboratori elettronici Viene utilizzato un sistema antivirus che permette un controllo ed una scansione centralizzata della presenza di programmi di cui all art. 615-quinquies del codice penale; l aggiornamento delle firme virali avviene in tempo reale non appena le suddette firme sono rese disponibili dalla casa produttrice del software antivirus e, in ogni caso, con cadenza almeno semestrale. Il Sistema informatico è dotato di un sistema in grado di installare automaticamente gli aggiornamenti dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne i difetti; l aggiornamento avviene in ogni caso almeno con cadenza annuale o semestrale in caso di dati sensibili o giudiziari. Al personale sono date istruzioni e vengono forniti gli strumenti per archiviare i file contenenti dati personali all interno di cartelle di rete fisicamente presenti sui server sui quali viene eseguito il salvataggio descritto sopra. D) Ulteriori misure in caso di trattamento di dati sensibili o giudiziari I dati sensibili e giudiziari sono custoditi nelle cartelle condivise sui file server ai soggetti gestiti all interno di specifici gruppi omogenei che ne hanno l accesso; le politiche di condivisione di questi dati sono realizzate su richiesta del dirigente. I supporti magnetici utilizzati per il salvataggio dei dati presenti sui server sono custoditi in un locale diverso dalla sala server con accesso controllato. E) Misure di tutela e garanzia Il Comune di TRIGGIANO richiede ai soggetti esterni che effettuano interventi che possono incidere sulle misure minime di sicurezza una dichiarazione di conformità alle disposizioni 14
15 del disciplinare allegato B al Dlgs 196/2003. Ogni anno in occasione della stesura della relazione accompagnatoria del bilancio d esercizio viene inserito il riferimento alla redazione o all aggiornamento del Documento Programmatico di Sicurezza. Salvataggio e ripristino dei dati (19.5 Allegato B del D.lgs. 196/03) Il piano di Disatser Recovery e Backup si articola in questo modo: a) Il backup dei dati, impostato dalla ditta Saga, viene eseguito ogni sera e riguarda le cartelle dei dati degli applicativi utilizzati (Sicra-demografici, Sicraweb, Wince32, Paghe, Presenze) e le cartelle dei documenti condivisi sui server dei vari settori. Il backup è di tipo incrementale. b) Il Sistema Informativo del Comune di TRIGGIANO è progettato e gestito per essere ripristinato, in caso di eventi che ne alterano la normale funzionalità, in max. 6 ore, attraverso procedure di restore e recovery di servizi di rete ed applicazioni, come da piano di backup. Trattamenti senza l ausilio di strumenti elettronici Gli incaricati del trattamento di dati personali devono provvedere ad un adeguato controllo e custodia degli atti e documenti loro affidati per lo svolgimento dei relativi compiti. In tal senso i documenti vanno conservati in idonei locali e/o armadi chiusi a chiave quando non presidiati; non copiati se non necessario e/o non previsto nel trattamento; non lasciati sulla scrivania in caso di assenza dalla propria postazione di lavoro. Nel caso in cui i documenti o gli atti contengano dati sensibili o giudiziari il responsabile del trattamento dovrà impartire ulteriori direttive al fine di prescrivere quanto necessario per una idonea custodia dei documenti e degli atti affidati agli incaricati per l intera durata del trattamento, in modo che non vi possano accedere persone prive di autorizzazione. Al termine delle operazioni, il dipendente ripone il materiale nell apposito archivio. I documenti contenenti dati sensibili e giudiziari vanno archiviati in armadi o contenitori fisicamente separati da quelli che contengono dati comuni, in modo tale che non possano accedervi soggetti non espressamente incaricati. L accesso agli archivi, che contengono dati sensibili o giudiziari, è sorvegliato e consentito solo a persone espressamente autorizzate secondo modalità appositamente disciplinate dal Responsabile del trattamento e finalizzate ad identificare gli incaricati. Dopo l orario di lavoro, invece, per l accesso occorre oltre all autorizzazione di cui sopra anche essere identificati e registrati. Formazione e addestramento (19.6 Allegato B del D.lgs. 196/03) Il Comune di TRIGGIANO prevede di effettuare interventi formativi sia per i Responsabili del Trattamento che per gli Incaricati, al fine di renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal Comune. Trattamenti affidati a terzi esterni alla struttura comunale Per le attività trasferite a terzi che comportano il trattamento di dati personali, a ciascun soggetto esterno è richiesto lo stesso livello di tutela per i dati trattati; perché sia garantito un adeguato trattamento dei dati è necessario che il soggetto esterno a cui viene affidato il trattamento si assuma alcuni impegni su base contrattuale. Il soggetto cui le attività sono affidate dichiara: 1. di essere consapevole che i dati che tratterà nell espletamento dell incarico ricevuto 15
16 sono dati personali e, come tali, sono soggetti all applicazione del codice per la protezione dei dati personali; 2. di ottemperare agli obblighi previsti dal Codice per la protezione dei dati personali; 3. di adottare le istruzioni specifiche eventualmente ricevute per il trattamento dei dati personali o di integrarle nelle procedure già in essere; 4. di impegnarsi a relazionare annualmente sulle misure di sicurezza adottate e di allertare immediatamente il proprio committente in caso di situazioni anomale o di emergenze; 5. di riconoscere il diritto del committente a verificare periodicamente l applicazione delle norme di sicurezza adottate. Il trattamento dei dati nell AmbitoSociale 5 Il Comune di TRIGGIANO fa parte dell AMBITO SOCIALE DI ZONA 5 della Regione Puglia insieme ai Comuni di Valenzano, Capurso, Cellamare e Adelfia. Il comune di Triggiano è comune capofila nell ambito di tale organizzazione e pertanto, in virtù di questo ruolo, possiede anche dati dei dipendenti e dei cittadini degli altri comuni per l'adempimento delle finalità previste in tale progetto oltre ai dati di tutti coloro che si relazione con l' "Ambito di Zona" per il conferimento di incarichi e la stipula di contratti. Tutte le operazioni di trattamento dati relative a tale funzione avvengono nel pieno rispetto delle misure di sicurezza al fine di garantire una corretta gestione di tutti i dati personali anche di natura sensibile e giudiziaria in possesso dal Comune di TRIGGIANO ma riferibili alle altre cittadine. Le operazioni di trattamento che avvengono con strumenti informatici vengono effettuati attraverso gli strumenti sopra indicati con le particolari misure di sicurezza già elencate. L ambito sociale 5 è dotato di un portale web e di una rete intranet a cui anche gli operatori degli altri comuni dell ambito possono accedere. Il portale è in hosting presso i server web di Aruba. L applicazione web relativa alla intranet risiede sui server di proprietà dell Ambito ospitati attualmente presso l I.T.C. De viti de Marco di Triggiano. Disposizioni finali I Responsabili dei trattamenti dati hanno il compito di sorvegliare il corretto rispetto delle modalità di utilizzo degli strumenti informatici in dotazione ai dipendenti, nonché di disporre eventuali ulteriori direttive giudicate necessarie nell ambito di particolari specificità o responsabilità. 16