Source: http://docplayer.it/3851647-Quadro-di-riferimento.html
Timestamp: 2018-02-20 04:37:56+00:00
Document Index: 110125461

Matched Legal Cases: ['art. 11', 'art.3', 'art. 13', 'art. 3', 'art. 13', 'art. 22', 'art. 7', 'art. 10', 'art. 18', 'art. 19', 'art. 22', 'art. 25', 'art. 31', 'art. 33', 'art. 34', 'art. 35', 'art. 34', 'art. 30', 'art. 7', 'art. 29']

1 ENEA Frascati sala Bruno Brunelli 14 e 17 ottobre 2005 ore 9,30 formazione in materia di Protezione dei dati personali punto 19.6 del Discplinare tecnico in materia di misure minime di sicurezza del d.lg. n.196 del 30 giugno 2003 Quadro di riferimento Roberto Abbondanza G.d.L. Privacy
2 Stefano Rodotà: Siamo sempre più conosciuti da soggetti pubblici e privati attraverso i nostri dati personali che possono incidere sul principio di uguaglianza, sulla libertà di comunicazione, di espressione o di circolazione, sul diritto alla salute, sulla condizione di lavoratore, sull accesso al credito e alle assicurazioni la protezione dei dati personali diviene una componente essenziale della nuova cittadinanza ed una ineliminabile garanzia contro ogni forma di potere pubblico o privato 2
3 Carta dei Diritti fondamentali dell UE (Nizza 18 dicembre 2000) Articolo 8 Protezione dei dati di carattere personale Ogni individuo ha diritto alla protezione dei dati di carattere personale che lo riguardano. Tali dati devono essere trattati secondo il principio di lealtà,, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni individuo ha il diritto di accedere ai dati raccolti che lo riguardano e di ottenerne la rettifica. Il rispetto di tali regole è soggetto al controllo di un'autorità indipendente. 3
4 Norme di riferimento di interesse Decreto Legislativo del 30 maggio 2003, n. 196 Codice in materia di protezione dei dati personali. Codici deontologici (in particolare A3 e A4 riferiti al settore scientifico) Disciplinare tecnico (misure minime di sicurezza da adottare) ; Autorizzazioni annuali del Garante che abilitano al trattamento di dati personali sensibili e giudiziari (in particolare le num: 1,2,7). Direttiva della Funzione Pubblica dell 11 febbraio 2005 Misure finalizzate all attuazione nelle P.A. delle disposizioni contenute nel D.Lgs 196/03 ; Norme e regolamenti interni: mansionari, Circolari ecc. 4
5 in sintesi occorre ottemperare agli obblighi adottare azioni conformi ai principi di: liceità e correttezza pertinenza e non eccedenza rispetto alle finalità necessità 5
6 Art. 3 (Principio di necessità nel trattamento dei dati) I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. i sistemi informativi ed i software devono essere predisposti, sin dalla loro configurazione,, in modo tale da assicurare che i dati personali o identificativi siano utilizzati solo se indispensabili per il raggiungimento delle finalità consentite. Pertanto, quando i medesimi obiettivi possono essere raggiunti utilizzando dati anonimi o mediante una più circoscritta identificazione degli interessati, tutti gli altri dati non devono essere utilizzati.. Il principio di necessità integra pertanto un altro importante principio, quello di pertinenza enza e di non eccedenza, di cui all art. art. 11, lettera d, del Codice. 6
7 Definizioni d interessed natura dei dati
8 Il trattamento qualunque operazione o complesso di operazioni, effettuati anche senza l ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, la cosultazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati 8
9 I dati personali dato personale: qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale è pertanto da escludere il dato anonimo: il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile G.d.L. Privacy - Roberto Abbondanza 9
10 I soggetti della privacy titolare, la persona fisica, la persona giuridica, la P.A. e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza responsabile, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento dei dati personali incaricati, le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile interessato, la persona fisica, la persona giuridica, l ente o l associazione cui si riferiscono i dati personali; 10
11 (1) Natura dei dati - personali COMUNI Codice fiscale ed altri numeri di identificazione personale (carte sanitarie) Nominativo, indirizzo o altri elementi di identificazione personale (nome, cognome, età, sesso, luogo e data di nascita, indirizzo privato, indirizzo di lavoro, n. di telefono, di telefax o di posta elettronica, posizione rispetto agli obblighi militari, n. carta di identità, passaporto, patente di guida, n. di posizione previdenziale o assistenziale, targa automobilistica, dati fisici (altezza, peso, ecc.) Dati relativi alla famiglia e a situazioni personali (stato civile, minori, figli, soggetti a carico, consanguinei, altri appartenenti al nucleo familiare) Lavoro(occupazione attuale e precedente, informazioni sul reclutamento, sul tirocinio o sulla formazione professionale, informazioni sulla sospensione o interruzione del rapporto di lavoro o sul passaggio ad altra occupazione, curriculum vitae o lavorativo, competenze professionali, retribuzioni, assegni, integrazioni salariali e trattenute, beni aziendali in possesso del dipendente (benefit e altro), dati sulla gestione e sulla valutazione delle attività lavorative, cariche pubbliche rivestite) 11 Cont.
12 (2) Natura dei dati - personali COMUNI Attività economiche, commerciali, finanziarie e assicurative (dati contabili, ordini, buoni di spedizione, fatture, articoli, prodotti, servizi, contratti,accordi, transazioni,identificativi finanziari, redditi, beni patrimoniali, investimenti, passività,solvibilità,prestiti,mutui, ipoteche, crediti, indennità, benefici, concessioni, donazioni, sussidi, contributi, dati assicurativi, dati previdenziali) Istruzione e cultura(curriculum di studi e accademico, pubblicazioniarticoli, monografie, relazioni, materiale audio-visivo, ecc.- titoli di studio) Beni, proprietà, possessi (proprietà, possessi e locazioni; beni e servizi forniti o ottenuti) Dati sul comportamento(creazione di profili di utenti, consumatori, contribuenti, ecc.; profili della personalità e dei tratti caratteriali) Abitudini di vita o di consumo(viaggi, spostamenti, preferenze o esigenze alimentari (eccettuate quelle fondate su convinzioni religiose o filosofiche), dati sull appartenenza ad associazioni diverse da quelle di carattere religioso, filosofico, politico o sindacale, licenze, autorizzazioni (licenze di caccia o pesca, ecc.),dati relativi ad attività sportive o agonistiche) 12
13 (3) Natura dei dati - personali SENSIBILI Dati personali idonei a rivelare: origini razziali o etniche; convinzioni religiose; adesione ad organizzazioni o associazioni a carattere religioso; convinzioni filosofiche o di altro genere; adesioni ad organizzazioni o associazioni a carattere filosofico; opinioni politiche; adesione a partiti o ad organizzazioni o associazioni a carattere politico; adesione a sindacati o ad organizzazioni o associazioni a carattere sindacale; stato di salute; vita sessuale. 13 Cont.
14 (4) Natura dei dati - GIUDIZIARI Dati personali idonei a rivelare provvedimenti di cui all articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale. G.d.L. Privacy - Roberto Abbondanza 14
15 I I soggetti della Privacy all ENEA G.d.L. Privacy - Roberto Abbondanza 15
16 Attuazione in ENEA del Codice d.lg. 196/2003 C.d.A ENEA Individua ENEA - Persona Giuridica TITOLARE del trattamento dei dati personali Istituisce dà mandato Gruppo di Lavoro Privacy nomina componenti Direttore Generale Individua e nomina Compiti del G. d. L. : -approfondire le tematiche relative al trattamento dei dati personali; - elaborare proposte per la Direzione dell Ente predisponendo atti interni necessari alla diffusione del regime speciale riservato agli enti pubblici non economici; - curare l attuazione della normativa vigente e dei futuri aggiornamenti; - informare periodicamente la Direzione dell Ente dello stato d attuazione della normativa in materia. individuano e nominano Incaricato del trattamento Incaricato dei dati del trattamento personali Incaricato dei dati del trattamento personali Incaricati dei dati del personali trattamento dei dati personali Responsabili del trattamento dei dati personali G.d.L. Privacy - Roberto Abbondanza 16
17 Incaricati che possono ricoprire ruoli diversi, ad es. Personale amministrativo che effettua trattamenti di dati personali di proprietà della macrounità di appartenenza o di altre unità; Personale a cui si affida la gestione delle chiavi; Amministratori di sistemi informatici; Personale Ricercatore/tecnologo che, ove necessario dovrà attenersi ai codici deontologici di settore: A3 e A4; Responsabile di unità, che può ricevere indicazioni dal proprio Responsabile di 1 livello circa l implementazione conforme dei trattamenti di competenza coordina attività svolte da altri incaricati (deve gestire o sviluppare procedure che siano conformi con le disposizioni del Codice) Nel caso di procedure informatiche deve tener presente il principio di necessità introdotto dall art.3 del Codice 17
18 Allegato 1 Mansionario del Responsabile del trattamento dei dati personali Versione febbraio 2004 Il Responsabile del trattamento dei dati personali è designato dal Titolare ENEA, per il tramite del Direttore Generale, tra soggetti che per esperienza, capacità, affidabilità e posizione di responsabilità nella struttura organizzativa dell ente, sono in grado di fornire idonea garanzia del pieno rispetto delle disposizioni del decreto legislativo n.196 del 30 giugno 2004, titolato Codice in materia di protezione dei dati personali (di seguito Codice), ivi compreso il profilo relativo alla sicurezza. Ai fini dell attuazione delle disposizioni del Codice, il Responsabile, con riferimento ai trattamenti di dati personali necessari per l espletamento delle attività di propria competenza, deve comunque attenersi ai compiti riportati in questo mansionario. In generale, il Responsabile, ha il compito di assicurare che: i dati personali siano trattati in modo lecito e secondo correttezza. Se i dati personali vengono generati nell ambito della propria Unità, egli ha la responsabilità della loro esattezza e, ove necessario, deve curarne l aggiornamento. Se i dati sono generati da un altro Responsabile del trattamento, deve rispondere della loro integrità nel corso dei successivi trattamenti di cui è il Responsabile; siano rispettati nei diversi trattamenti i principi di pertinenza, necessità e di non eccedenza dei dati personali. Vale a dire, per il principio di pertinenza, non devono essere raccolti e trattati più dati di quelli necessari per perseguire le finalità dichiarate nell informativa del trattamento (art. 13 del Codice); per il principio di necessità applicato a trattamenti con strumenti informatici (cfr. art. 3 del Codice), occorre prevedere che i sistemi informativi ed i programmi informatici dell Unità siano predisposti, sin dalla loro configurazione, in modo da assicurare che i dati personali o identificativi siano utilizzati solo se indispensabili per il raggiungimento delle finalità consentite. Pertanto, non devono essere trattati dati personali in tutti quei casi in cui le finalità perseguite possono essere realizzate mediante dati anonimi e/o modalità che permettono di identificare l interessato solo quando strettamente necessario. In particolare, il Responsabile ha il compito di: identificare e censire i trattamenti di dati personali, le banche dati e gli archivi gestiti con supporti informatici e/o cartacei necessari all espletamento delle attività di propria competenza; pag.1/3
19 Allegato 1 definire, per ciascun trattamento di dati personali, la durata del trattamento e la cancellazione o anonimizzazione dei dati obsoleti nel rispetto della normativa vigente in materia di prescrizione, tenuta archivi, etc.; fornire l'informativa ai soggetti interessati secondo quanto previsto dall art. 13 e dall art. 22, comma 2, del Codice; trasmettere alla F.C. Risorse Umane, entro tre giorni dalla data di ricezione, eventuali richieste di esercizio dei diritti previsti dall art. 7 del Codice, allegando ogni utile elemento per il riscontro all interessato di cui all art. 10 del Codice; curare, per la parte di competenza, le richieste di consenso che pervengono all'ente, previa istruttoria di conformità sulla base dei criteri esplicitati al punto 6 della Circolare n. 625/DG dell ; assicurare che la comunicazione a terzi e la diffusione dei dati personali avvenga nel rispetto dell art. 18, comma 5; dell art. 19; dell art. 22, comma 8, e dell art. 25 del Codice. sugli obblighi di sicurezza garantire la sicurezza e la riservatezza dei dati adottando idonee e preventive misure di sicurezza previste dall art. 31 del Codice, e le misure minime di sicurezza., introdotte dall art. 33 del Codice ed elencate nell art. 34 con riferimento ai trattamenti effettuati con strumenti elettronici 1, e nell art. 35 con riferimento ai trattamenti effettuati senza l ausilio di strumenti elettronici 2 ; predisporre e aggiornare annualmente, nelle ipotesi previste [vedi art. 34, lettera g) del Codice ed il punto 19 dell allegato B del Codice stesso], il Documento programmatico sulla Sicurezza (DPS) e trasmetterlo al Titolare per il tramite del Gruppo di Lavoro Privacy entro il 30 marzo di ogni anno, ai fini dell aggiornamento del DPS annuale di ente; comunicare tempestivamente al Titolare casi di accesso non autorizzato ai dati o di trattamento non consentito o non conforme alle finalità istituzionali dell'ente; sui nuovi trattamenti, o cancellazione di trattamenti, per la parte di competenza comunicare preventivamente al Titolare per il tramite del Gruppo di Lavoro Privacy gli eventuali nuovi trattamenti che si intendessero attivare (ad es. pubblicazione di siti web, banche dati, sistemi informativi ecc.); 1 Le modalità tecniche d attuazione delle misure minime di sicurezza per trattamenti effettuati con l ausilio di strumenti elettronici sono riportate nell allegato B del Codice. Si articolano in 26 punti distribuiti all interno di sei macro obiettivi di sicurezza. 2 le modalità tecniche d attuazione delle misure minime di sicurezza per trattamenti effettuati senza l ausilio di strumenti elettronici sono indicate nell allegato B del Codice ai punti 27, 28 e 29. pag.2/3
20 Allegato 1 fornire ogni utile informazione, nei casi in cui si rendesse necessaria la notifica al Garante, per la compilazione della modulistica relativa ai futuri nuovi trattamenti da attivare, affinché il Titolare possa successivamente trasmetterla al Garante; far osservare la normativa vigente in materia in caso di attivazione di nuovi trattamenti (es. inizio effettivo del trattamento dopo la prescritta notifica al Garante, conformità del nuovo trattamento alle finalità istituzionali dell'ente, informativa agli interessati, etc.); segnalare al Titolare l eventuale cessazione di trattamenti; sugli Incaricati del trattamento nominare gli Incaricati del trattamento ai sensi dell art. 30 del Codice; impartire le istruzioni agli Incaricati per iscritto curando in particolare il profilo della riservatezza, della sicurezza di accesso e della integrità dei dati; impartire inoltre le necessarie istruzioni ai fini del riscontro di eventuali richieste di esecuzione dei diritti di cui all art. 7 del Codice; elencare, per ciascun Incaricato, i trattamenti a cui è abilitato, avendo cura di autorizzare l accesso, o di richiedere l autorizzazione all accesso (se per ruoli istituzionali i dati sono di proprietà di un altro Responsabile del trattamento), ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti assegnati; stabilire le modalità di accesso ai dati e l'organizzazione del lavoro degli Incaricati avendo cura di adottare preventivamente misure organizzative ad un livello di sicurezza non inferiore a quello delle misure minime di sicurezza elencate nel D.P.R. 318/99 per le diverse modalità di trattamento dei dati. Allegati: 1. Allegato B del Codice Disciplinare tecnico in materia di misure minime di sicurezza (artt. da 33 a 36 del Codice); 2. Tabelle relative ai trattamenti da notificare al Garante. pag.3/3
21 Allegato 2 Lettera di nomina dell incaricato del trattamento dei dati personali FAC SIMILE a Sig./Sig.ra Unità (dati dell incaricato) OGGE'ITO: Nomina di Incaricato del trattamento dei dati personali. Il sottoscritto..., in qualità di Responsabile del trattamento dei dati personali ai sensi dell art. 29 del d.lgs. n. 196 del 30 giugno 2003, giusta nomina del.. con lett. prot... /D.G., con il presente atto La nomina Incaricato in relazione alle operazioni di trattamento di dati personali ai quali può accedere per l'espletamento della funzione che le è propria, nell'ambito dell'unità di appartenenza, secondo le modalità di seguito riportate. Premesso che ai sensi del d.lgs. 196/03, sono definiti: Trattamento, "qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati" dato personale, "qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; con il presente atto di nomina Ella è incaricato di: trattare i dati personali a cui ha accesso in modo lecito e secondo correttezza, rispettando scrupolosamente le misure di sicurezza, di natura fisica, logica ed organizzativa, all uopo predisposte dal Responsabile per la tutela di tali dati; curare la raccolta e la registrazione di detti dati esclusivamente per gli scopi inerenti l'attività svolta nell'ambito della sua unità; verificare, ove possibile, che i dati siano esatti e se necessario di attivarsi per aggiornarli; verificare che i dati trattati siano pertinenti, completi e non eccedenti le finalità per le quali sono stati raccolti o successivamente trattati secondo le indicazioni ricevute; curare la conservazione dei dati nel rispetto della riservatezza e delle misure di sicurezza al uopo predisposte; pag. 1/2
22 segnalare al Responsabile, ai fini degli adempimenti connessi alla cessazione del trattamento, la conclusione delle operazioni alle quali è stato specificatamente adibito; rispettare scrupolosamente le indicazioni ricevute in ordine alla custodia e all uso riservato delle credenziali di autenticazione all uopo assegnate. In caso di allontanamento, anche temporaneo dal posto di lavoro, Ella dovrà verificare che non vi sia possibilità da parte di terzi anche se dipendenti di accedere ai dati personali. Nessun dato potrà essere comunicato a terzi o diffuso senza la preventiva specifica autorizzazione del Responsabile, nei casi previsti della legge. Ella è inoltre tenuto al rispetto di Linee guida, Codici di comportamento e Regolamenti predisposti dal Titolare e/o da questa (Unità/Direzione) in materia di protezione dei dati personali in ottemperanza di legge. La presente nomina può essere revocata in qualsiasi momento a giudizio insindacabile del Responsabile. Il Responsabile del trattamento pag. 2/2