Source: http://docplayer.it/4418513-Documento-programmatico-sulla-sicurezza.html
Timestamp: 2017-10-18 13:31:46+00:00
Document Index: 184681096

Matched Legal Cases: ['art. 34', 'art. 26', 'art. 24', 'art. 28', 'art. 4', 'art. 29', 'art. 30']

1 (Unione degli Avvocati Europei) Studio Legale Avv..... Documento Programmatico sulla Sicurezza Ex art. 34, lett. g) e punto 19 allegato B del D.Lgs. 30 giugno 2003, n. 196, Codice in materia di protezione dei dati personali Roma, 31 marzo 200
2 2 Sommario Sommario Introduzione Informazioni sullo Studio Soggetti che operano nello Studio Legale Analisi dei rischi Misure adottate a protezione dei dati Il sistema informatico Accesso ai locali Impianti complementari Misure per il salvataggio e il recupero dei dati Formazione Affidamento dati all esterno Glossario Appendice normativa Estratto del Decreto legislativo 30 giugno 2003, n Codice in materia di protezione dei dati personali...19
3 3 1. Introduzione In ossequio ai principi di semplificazione ed efficacia, il Garante, in un articolato parere indirizzato al Consiglio nazionale forense, ha fornito alcuni chiarimenti per una corretta applicazione della disciplina sulla protezione dei dati nell esercizio dell attività forense che, per alcuni aspetti, possono valere anche per altri liberi professionisti (Nota 3 giugno 2004). In relazione alla titolarità del trattamento è stato chiarito che, quando l attività è svolta individualmente, titolare del trattamento è lo stesso avvocato, cui spettano quindi le decisioni sull uso dei dati, sugli strumenti impiegati e sul profilo della sicurezza, mentre sono contitolari del medesimo trattamento due professionisti che operino congiuntamente. Se l attività è invece svolta in forma societaria o associata, il titolare è l entità nel suo complesso e gli adempimenti previsti dal Codice devono essere attuati unitariamente per evitare frammentazioni o ripetizioni da parte dei singoli professionisti. La designazione del responsabile del trattamento è facoltativa e nelle grandi organizzazioni ne possono essere designati anche diversi. Chiunque abbia accesso interno ai dati (praticanti, personale amministrativo ecc.), deve essere designato quale incaricato del trattamento, indicando per iscritto i compiti affidatigli. Per quanto riguarda gli adempimenti, la maggior parte dei trattamenti effettuati dagli avvocati non sono soggetti a notificazione, mentre resta fermo l obbligo di informativa all interessato, che può essere resa anche oralmente e in forma sintetica, purché completa. Il titolare deve inoltre adottare le misure di sicurezza idonee e preventive per ridurre al minimo i rischi di distruzione o perdita, anche accidentale, di accesso non autorizzato o trattamento non consentito o non conforme alle finalità della raccolta. Contrariamente a quanto ipotizzato in alcuni quesiti formulati da singoli professionisti, il Garante ha precisato che, per quanto riguarda l organizzazione del lavoro quotidiano di studio, non si deve affatto eliminare il nome delle parti dalla copertina dei fascicoli cartacei. È invece sufficiente seguire adeguate modalità per rendere i fascicoli e la relativa documentazione accessibili agli incaricati del trattamento nei casi e per le finalità previsti.
4 4 I dati comuni e sensibili possono essere trattati senza il consenso degli interessati solo se il loro uso è necessario per svolgere indagini difensive o far valere un diritto in sede giudiziaria. Se tra i dati sensibili vi sono anche informazioni relative a salute e vita sessuale, è necessario seguire il cd. principio del pari rango, in ragione al quale il diritto difeso o fatto valere in giudizio deve essere un diritto della personalità o un altro diritto o libertà fondamentale o inviolabile (art. 26, comma 4, lett. c), del Codice). Per quanto riguarda il trattamento dei dati giudiziari, purché esso avvenga nel rispetto dell autorizzazione generale n. 4/2007, non è richiesto il consenso dell interessato. L esercizio dell attività stragiudiziale (arbitrati, conciliazioni, ricorsi amministrativi) è soggetto, invece, a regole differenti, in base alle quali il trattamento dei dati comuni di soggetti diversi dal cliente deve generalmente avvenire con il consenso dell interessato, a meno che sia applicabile uno dei presupposti indicati dall art. 24 del Codice (ad esempio, nel caso di trattamento di dati pubblici ). Nel caso di dati sensibili, il consenso, sempre necessario, deve essere scritto. [estratto dalla relazione annuale dell Autorità Garante per la protezione dei dati personali] Il punto 19 dell allegato B del decreto legislativo n 196 del 2003 impone che entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari rediga anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza. In conformità a quanto previsto dal Decreto Legislativo n 196 del 2003 (di seguito denominato Codice Privacy) e dai suoi allegati, lo Studio Legale.. ha provveduto alla redazione del Documento Programmatico sulla Sicurezza (di seguito, DPS o Manuale della Sicurezza) entro i termini di legge. Questo Documento Programmatico rappresenta la sintesi degli interventi a carattere organizzativo, logico e fisico intrapresi dallo Studio e in fase di implementazione per quanto concerne l anno di vigenza dello stesso. Il Disciplinare tecnico in materia di misure minime di sicurezza, emesso ai sensi degli art del D.lgs. n. 196/2003 (Codice in materia di protezione dei dati personali), è parte integrante del medesimo come allegato (Allegato B).
5 5 La redazione del DPS, in osservanza pedissequa del punto 19 dell allegato B, dovrebbe articolarsi secondo i seguenti sette capitoli: 19.1 Elenco dei trattamenti di dati personali Distribuzione dei compiti e delle responsabilità nell ambito delle strutture preposte al trattamento dei dati, secondo le disposizioni vigenti all interno dello Studio in termini di nomine, organizzazione e istruzioni di lavoro Analisi dei rischi che incombono sui dati al fine di: a) rilevare la tipologia dei dati trattati e gli strumenti utilizzati per il trattamento dei dati; b) valutare sia i rischi sia i possibili attacchi; c) definire i criteri di protezione del proprio patrimonio informativo Misure da adottare per garantire l integrità e la disponibilità dei dati, nonché per la protezione dei locali e delle aree rilevanti ai fini della loro custodia e accessibilità Descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento Previsione di interventi formativi a favore degli incaricati del trattamento Descrizione dei criteri da adottare per garantire la sicurezza in caso di trattamenti affidati a terzi esterni alla struttura del Titolare. Tuttavia in virtù delle indicazioni del Consiglio Nazionale Forense e dei pronunciamenti del Garante questo documento, per coloro che svolgono l attività forense, ha una forma meno rigorosa benché contenga al Suo interno tutte le informazioni utili, assolvendo agli obblighi di Legge appena ricordati e rappresentando il documento necessario, in caso di verifica ispettiva da parte del Garante, ad illustrare le misure in atto o in programmazione con riferimento alla sicurezza delle informazioni. Le misure di sicurezza realizzate e quelle di aggiornamento saranno sottoposte a verifica periodica, al fine di valutarne l efficacia e la conformità alle norme vigenti.
6 6 2. Informazioni sullo Studio Il sottoscritto Avv.., nato a il / /, residente in Roma, Via.., n., avvocato iscritto all Ordine degli Avvocati di.. con sede in.; dichiara che Nell ambito dello Studio, vengono trattati i dati personali di seguito indicati. Censimento dati personali Descrizione dati Natura dei dati (C, S, G) Interessato al trattamento Dati trattati per la gestione del fascicolo C, S, G Clienti, Parti in causa, Domiciliatari Dati trattati per acquisto materiale di cancelleria/hardware, manutenzione computer, acquisto licenze software, Dati trattati per gestione del personale dipendente C = dati personali comuni S = dati personali sensibili G = dati personali giudiziari [il TESTO che segue è MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO] Il trattamento dei dati svolto nell ambito dello Studio Legale è prevalentemente cartaceo (fascicoli delle pratiche), il trattamento informatizzato attiene alle operazioni di redazione degli atti e all invio di tramite posta certificata (alle società). La conservazione degli atti in forma elettronica è, comunque, necessaria solamente per il tempo intercorrente tra la redazione e la stampa in quanto una volta stampato (e, successivamente, depositato), l atto in formato elettronico viene mantenuto nel fascicolo virtuale insieme a tutti gli altri atti redatti per la stessa pratica, una volta
7 7 chiusa, a titolo definitivo, la pratica, il fascicolo viene cancellato dai PC (oppure le informazioni vengono anonimizzate oppure ). [TESTO MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO].
8 8 3. Soggetti che operano nello Studio Legale Titolare del trattamento Ai sensi dell Art. 4, comma 1, lettera f), il Titolare del trattamento è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro Titolare, le decisioni in ordine alle finalità alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. In questo caso titolare del trattamento è l Avv... Ai sensi dell art. 28 del D.lgs 196/2003 al Titolare del trattamento competono i poteri e i doveri di carattere generale relativi all'adozione delle scelte necessarie, strategiche e organizzative, in ordine ai dati da trattare e alle misure di sicurezza. Nello Studio Legale. il Titolare ha facoltà di nominare i Responsabili del trattamento scegliendoli tra i soggetti che per esperienza, capacità e affidabilità forniscono idonea garanzia del pieno rispetto: delle vigenti disposizioni in materia di trattamento dei dati personali e delle istruzioni interne. Ruolo del Responsabile del trattamento dei dati personali I Responsabili del trattamento, sono, secondo la definizione dell art. 4, comma 1, lettera g), le persone fisiche, le persone giuridiche, la pubbliche amministrazioni e qualsiasi altro ente, associazione od organismo preposti dal Titolare al trattamento di dati personali. Ai sensi dell art. 29, ogni Responsabile, attenendosi alle disposizioni impartite dal Titolare, ha il controllo e la responsabilità sui trattamenti svolti nella propria area di competenza.
9 9 Nell'ambito dell'autonomia e dei mezzi che gli sono conferiti, ciascun Responsabile viene coadiuvato da uno o più Incaricati preposti al trattamento per quanto concerne l'operatività delle proprie competenze. L Avv., anche in virtù dell estrema essenzialità dell organizzazione non ha ritenuto necessario procedere alla nomina di un Responsabile. [TESTO MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO]. Ruolo e responsabilità degli Incaricati Gli Incaricati del trattamento sono le persone fisiche incaricate per iscritto del trattamento dei dati stessi. In particolare, ai sensi dell art. 30, gli Incaricati vengono indicati dal Titolare o dai Responsabili e ricevono una formale lettera di incarico. Hanno il dovere di svolgere le loro mansioni nel rispetto delle modalità indicate e hanno l'obbligo di attenersi alle disposizioni loro impartite per garantire la sicurezza dei dati ai quali hanno accesso. L Avv... sta valutando l opportunità di nominare il Sig... incaricato del trattamento. Opp. L Avv... ha nominato, incaricati del trattamento, i seguenti soggetti:. Opp.
10 10 4. Analisi dei rischi All interno di questo documento viene utilizzato il termine Analisi dei Rischi, in quanto la valutazione dei livelli di rischio, a cui sono esposte le risorse del servizio, viene effettuata considerando un numero definito di eventi. Il focus dell analisi di sicurezza, descritta in questo documento, è l individuazione dei livelli di rischio in ottica di legislazione cogente a cui sono sottoposti i dati personali e personali sensibili coinvolti nei trattamenti effettuati da parte dello Studio Legale. In materia di protezione dei dati occorre seguire un processo metodologicamente rigoroso che si articoli come segue: Sopralluogo dell ambito del trattamento Analisi degli eventi che possono minacciare il bene protetto (il dato personale) Ponderazione del livello di rischio che ciascun evento può arrecare al bene protetto (il dato personale) Adozione delle misure idonee a ridurre ad un livello accettabile il rischio di perdita/modifica/distruzione del bene protetto (il dato personale) In rosso vengono evidenziati gli elementi soddisfatti con l analisi dei rischi Sopralluogo dell ambito del trattamento Analisi degli eventi che possono minacciare il bene protetto (il dato personale) Ponderazione del livello di rischio che ciascun evento può arrecare al bene protetto (il dato personale) Adozione delle misure idonee a ridurre ad un livello accettabile il rischio di perdita/modifica/distruzione del bene protetto (il dato personale) Questi eventi possono consistere in Evento Rischio Alto Medio - Basso Note
11 11 Comportamenti degli operatori Evento Sottrazione credenziali autenticazione (nome utente + password) Disattenzione / incuria Comportamenti sleali o fraudolenti Rischio Alto Medio - Basso Medio Basso Note Il rapporto di fiducia con il personale rende remoto il rischio che accadano eventi analoghi. Tuttavia la mancanza di dimestichezza con gli strumenti informatici può rendere le persone particolarmente soggette al c.d. social enginering. Errore materiale Strumenti Azione di virus Contesto fisicoambientale Ingresso non autorizzato ai locali dello Studio Altro (specificare) [TABELLA INSERITA A TITOLO ESEMPLIFICATIVO E, SOPRATUTTO, DA COMPLETARE].
12 12 5. Misure adottate a protezione dei dati 1.1 Il sistema informatico [descrivere il sistema o inserire una descrizione suggerita dal fornitore che si occupa della manutenzione dei PC e della rete di Studio] Il sistema informatico si compone di n personal computer in rete tra loro. I computer in rete si connettono ad Internet con l, atraverso un router/firewall/altro fornito dal carrier, sono dotati di sistema operativo. e applicativi., come software di gestione dello Studio viene utilizzato:.. I computer sono protetti con antivirus modello (regolarmente licenziato e aggiornato con il live update) e le patch del sistema operativo vengono installate ogniqualvolta il produttore le metta a disposizione dei clienti. 1.2 Accesso ai locali [descrivere le modalità di accesso ai locali dello Studio, in particolare: con quali strumenti si può accedere, quali soggetti sono posti nelle condizioni di accedere autonomamente ai locali dello Studio, esiste un registro degli accessi,, quali sono le misure adottate per impedire l accesso indesiderato, ] L ingresso allo Studio è protetto con. 1.3 Impianti complementari L impianto elettrico è a norma CE. I locali sono dotati di aria condizionata. Attualmente non esiste/esiste sistema anti-incendio. 1.4 Misure per il salvataggio e il recupero dei dati I dati vengono salvati. Solitamente il salvataggio avviene di venerdì o di lunedì ad opera della segretaria. Il cd/dvd contenente il back-up viene custodito dal titolare in un luogo esterno allo Studio.
13 13 In caso di perdita dei dati contenuti nei PC le informazioni sono ricostruibili ricorrendo alle copie di back-up oppure ai fascicoli cartacei. La procedura è strettamente connessa con l evento che ha causato la perdita/smarrimento/furto dei dati. 1. In caso di furto/danneggiamento dei personal computer si procede secondo i seguenti step: 1.1. acquisto/sostituzione/riparazione dei PC; 1.2. installazione applicativi necessari e configurazione; trasferimento dei dati 2. In caso di cancellazione delle informazioni dai personal computer (ad esempio per un errore umano) si procederebbe al ripristino secondo le modalità. 3. In caso di guasto degli strumenti di memorizzazione (tipicamente gli hard-disk) si procederebbe, alternativamente: [TESTO MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO].
14 14 Formazione Il Titolare ha fornito e continuerà a fornire, nel corso dell anno, agli incaricati del proprio Studio la necessaria formazione sul corretto comportamento per il rispetto della legge sulla tutela dei dati personali; oltre a controllare e vigilare sul rispetto delle misure di sicurezza. Ulteriori interventi formativi in materia, si terranno sia in caso di ingresso in servizio di nuovo personale, sia in caso di introduzione di nuovi strumenti di lavoro, anche di tipo informatico, il cui utilizzo richieda conoscenza di nuove particolari procedure. La formazione verterà oltrechè sugli elementi di base della tutela dei dati, anche su quegli elementi strettamente correlati all attività dello Studio. [TESTO MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO].
15 15 6. Affidamento dati all esterno Lo studio affida alcuni trattamenti di dati a soggetti esterni alla struttura, i quali, nell ambito della propria attività professionale, sono Titolari autonomi del trattamento ed hanno rilasciato (o si apprestano a farlo) attestati con cui dichiarano di rispettare la normativa in materia di protezione dei dati personali. I trattamenti delegati all esterno Nome / denominazione Vincoli contrattuali / Oggetto prestazione / Recapiti SLA / attestati servizio conformità / altro Società informatica Tecnico Via - S.r.l. manutenzione hardware e software - - [TESTO MERAMENTE ESEMPLIFICATIVO DA ADATTARE ALLA REALE SITUAZIONE DI STUDIO].
16 16 7. Glossario Analisi del rischio Attività che ha l obiettivo di identificare attacchi e vulnerabilità di un sistema, allo scopo di definire gli obiettivi di sicurezza del sistema di protezione e, di conseguenza, le relative contromisure. Attacco Azione o evento che può pregiudicare la sicurezza di un sistema. Accountability Si veda tracciabilità. Dato personale Qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Dati sensibili e giudiziali I dati personali idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico, sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale ed eventuali carichi pendenti presenti nel casellario giudiziale. I dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell Interessato e previa autorizzazione del Garante. Formazione Definisce la categoria delle funzioni di sicurezza organizzative che hanno lo scopo di migliorare i comportamenti organizzativi degli addetti e degli utenti che operano su risorse sensibili al fine di utilizzare al meglio i dispositivi di sicurezza progettati e di far conoscere ed applicare la norma relativa. Incaricato Le persone incaricate per iscritto di compiere le operazioni di trattamento dal Titolare o dal responsabile e che operano sotto la loro diretta autorità. Integrità Protezione da modifiche non autorizzate alle informazioni. Interessato La persona fisica, la persona giuridica, l ente o l associazione cui si riferiscono i dati personali. Non Disclosure Agreement
17 17 In italiano accordo di riservatezza, si tratta di un accordo che interviene tra due o più soggetti per imporre vincoli di riservatezza e regolamentare determinate attività alla luce delle esigenze di tutela delle informazioni scambiate in occasione di una consulenza (es.: interviste, acquisizioni documentali) o di un intervento di manutenzione (riparazione, asportazione di un hard-disk, manutenzione di un applicativo, ), Responsabile La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal Titolare al trattamento di dati personali. Riservatezza Protezione da divulgazione non autorizzata delle informazioni. Ruoli e responsabilità Definisce la categoria delle funzioni di sicurezza organizzative che hanno lo scopo di specificare le figure aziendali operative che pianificano e gestiscono il sistema di protezione evidenziando le responsabilità e le attività di loro competenza. Sensibilizzazione e comunicazione Definisce la categoria delle funzioni di sicurezza organizzative, rivolta a tutti gli utenti, che hanno lo scopo di promuovere la sensibilizzazione alle problematiche generali di sicurezza e alle relative norme. Sistema di protezione dei dati L insieme di: strumenti, attività e risorse preposti alla protezione delle informazioni. Titolare La persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza. Tracciabilità Elemento del sistema di protezione dei dati che consente di risalire al responsabile di una determinata azione. Trattamento Qualunque operazione o complesso di operazioni, svolte con o senza l ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione, la distruzione e la consultazione di dati qualificati come personali. Con il termine macro-trattamento si intende l insieme di trattamenti posti in essere per una finalità comune (gestione del personale, ). Valutazione
18 18 Processo di verifica, secondo criteri predefiniti, della conformità di un sistema di protezione agli obiettivi stabiliti. Vulnerabilità Debolezza del sistema informatico che ne compromette la sicurezza rispetto a quanto specificato negli obiettivi.
19 19 8. Appendice normativa 1. Estratto del Decreto legislativo 30 giugno 2003, n Codice in materia di protezione dei dati personali Avv. Riccardo Abeti