Il Progetto per l adeguamento del comune di Crema al nuovo Codice in materia di protezione dei dati personali. Maurizio Redondi.

Transcript

1 Il Progetto per l adeguamento del comune di Crema al nuovo Codice in materia di protezione dei dati personali (D. Lgs. 196/2003) Maurizio Redondi (Responsabile Servizio Informativo Comune di Crema) Lucia Dossena (Responsabile Servizio Legale-Privacy Comune di Crema)

2 INDICE IL COMUNE DI CREMA LE TRE FASI LA FASE A -PROBLEMATICHE -PROBLEMATICHE -RISULTATI LA FASE C I TEMPI

3 IL COMUNE DI CREMA Popolazione residente: ab. (al ) Numero sedi: 9 Numero dipendenti: 296 (compresi i contratti di collaborazione, al ) Numero postazioni Pc: 195 Articolazione organizzativa (livello macro): AFFARI GENERALI (3 SERVIZI) SERVIZI AL CITTADINO (5 SERVIZI) GESTIONE TERRITORIO (2 SETTORI - 5 SERVIZI) RISORSE UMANE ED ECONOMICHE (2 SETTORI - 4 SERVIZI)

4 IL COMUNE DI CREMA Motivi di esternalizzazione del servizio: - costituzione dell ufficio privacy in prossimità delle scadenze di legge - dotazione organica interna insufficiente - necessità di utilizzare un software di gestione degli adempimenti adeguato alla complessità dell ente

5 LE TRE FASI A riunione plenaria B.1 B.2 B.3 formazione operativa rilevazione & audit dei rischi piano di adeguamento & documento programmatico sulla sicurezza (DPsS) B C.1 C.2 C.3 analisi dati/finalità/operazioni eseguibili regolamento per il trattamento dei dati personali formazione diffusa C

6 LA FASE A A.1 riunione plenaria La riunione plenaria ha coinvolto i Dirigenti e i Responsabili di Servizio Durante la riunione sono state presentate le linee generali sul Codice della privacy in vigore dal 1 gennaio 2004, con particolare riferimento alle norme riguardanti la P.A., nonché l articolazione e le finalità dell intero percorso progettuale Al termine dell incontro la dottoressa LUCIA DOSSENA (già individuata come responsabile della privacy) è stata indicata quale coordinatrice interna delle attività progettuali

7 LA FASE A A.1 riunione plenaria IL COORDINAMENTO DEL PROGETTO: PROBLEMATICHE RESPONSABILITÀ nella gestione e rispetto della TEMPISTICA Difficoltà INTERAZIONE tra aree Carico di LAVORO in più DISPONIBILITÀ a rispondere a tutte le richieste e domande specifiche

8 LA FASE A A.1 riunione plenaria SITUAZIONE EMERSA: PROBLEMATICHE DIFFIDENZA rispetto alle nuove incombenze MANCANZA DI TEMPO DELEGA nel completamento della ricognizione attraverso l uso del software

9 B.1 B.2 B.3 B formazione operativa rilevazione & audit dei rischi piano di adeguamento & documento programmatico sulla sicurezza (DPsS) Le attività sono state svolte tramite il supporto del software PrivacyWeb, sviluppato in collaborazione con Tecnologia e Territorio spa. Questo strumento è facile da utilizzare, e assicura all attività di rilevazione i seguenti vantaggi: uniformità nel processo di acquisizione e gestione delle informazioni sulla struttura organizzativa del comune di Crema possibilità di adattare i contenuti all evoluzione della struttura

10 B.1 formazione operativa L avvio della macrofase B ha previsto un intervento di formazione operativa rivolto ai Responsabili di Servizio e ai Capi Ufficio Queste figure sono state determinanti per il successivo coordinamento di tutte le risorse da loro dipendenti nelle attività operative di rilevazione delle informazioni sugli archivi distribuiti presso l intera organizzazione dell Ente (tramite PrivacyWeb)

11 B.1 formazione operativa Le risorse coinvolte sono state rese operativamente autonome al fine di garantire: la corretta compilazione delle sezioni previste dal software PrivacyWeb la divulgazione, a tutti i collaboratori, delle modalità operative necessarie alla corretta compilazione delle sezioni previste dal software

12 B.2 rilevazione & audit dei rischi Gli operatori del comune di Crema hanno compiuto la ricognizione delle banche dati oggetto di trattamento, indicando le modalità di trattamento dei dati, individuando i soggetti preposti e le sedi/locali in cui avviene il trattamento dei dati (per banca dati si intende l archivio gestito sia attraverso strumenti elettronici che supporto cartaceo)

13 B.2 rilevazione & audit dei rischi SITUAZIONE EMERSA: PROBLEMATICHE PASSWORD scordate Deleghe alla COMPILAZIONE del programma DIFFIDENZA altri uffici Rispetto dei TEMPI di completamento delle attività CONDIVISIONE UFFICI

14 B.2 rilevazione & audit dei rischi I consulenti esterni hanno svolto alcune riunioni operative (con i Responsabili di Servizio e anche con il consulente informatico) e hanno analizzato i dati raccolti nella fase di rilevazione per definire i profili di rischio relativi a: ubicazione fisica degli archivi, modalità di conservazione dei dati, applicazione delle misure minime di sicurezza

15 B.2 rilevazione & audit dei rischi RISULTATI COMPLETAMENTO raccolta informazioni e rilevazione Individuazione soggetti in OUTSOURCING Emersione problematiche SICUREZZA LOCALI E DATI

16 B.2 rilevazione & audit dei rischi È stata elaborata una prima relazione contenente i risultati dell analisi svolta in relazione al livello di applicazione degli adempimenti previsti dalle disposizioni normative. Tale documento è stato successivamente discusso in riunioni allargate e opportunamente completato

17 B.2 rilevazione & audit dei rischi RISULTATI Dialogo UFFICIO CED ANALISI rete informatica Attivazione PASSWORD a norma Adeguamento PC altre sedi

18 B.3 piano di adeguamento & documento programmatico sulla sicurezza (DPsS) I consulenti esterni hanno elaborato una bozza del Piano contenente lo sviluppo delle attività (articolate in fasi e tempi) previste per l'implementazione delle soluzioni necessarie al corretto adempimento delle disposizioni previste dal "Codice. Tale documento, discusso in riunioni allargate e completato, è stato successivamente inserito nel DPsS Sono state predisposte le bozze delle lettere d incarico per i soggetti preposti al trattamento: responsabili, responsabili in outsourcing e incaricati

19 B.3 piano di adeguamento & documento programmatico sulla sicurezza (DPsS) RISULTATI INDIVIDUAZIONE RISCHI e punti da correggere SICUREZZA fisica ed informatica ABITUDINI SBAGLIATE FASCICOLI alla rinfusa PASSWORD nominali

20 B.3 piano di adeguamento & documento programmatico sulla sicurezza (DPsS) I consulenti hanno elaborato il DPsS, secondo quanto previsto dall'allegato B-Disciplinare tecnico in materia di misure minime di sicurezza al D. Lgs. 196/2003

21 B.3 piano di adeguamento & documento programmatico sulla sicurezza (DPsS) RISULTATI DPsS sottoposto all approvazione dei Responsabili di Servizio Piano DISASTER RECOVERY Conciliare ESIGENZE AMMINISTRATIVE E NORMATIVE

22 LA FASE C C.1 C.2 C.3 analisi dati/finalità/operazioni eseguibili regolamento per il trattamento dei dati personali formazione diffusa C Questa fase verrà realizzata nel corso dei mesi di febbraio e marzo. In particolare, le prime due attività vedranno impegnati prevalentemente i consulenti con la coordinatrice ed i Responsabili di Servizio del comune di Crema, mentre la terza attività coinvolgerà gli operatori comunali in due incontri di formazione a carattere divulgativo sulle specifiche disposizione normative e sugli strumenti elaborati (DPsS e Regolamento)

23 LA FASE C C.1 analisi dati/finalità/operazioni eseguibili I consulenti condurranno un analisi finalizzata ad individuare i casi in cui disposizioni di legge specifichino la finalità di rilevante interesse pubblico, ma non i tipi di dati sensibili e di operazioni eseguibili; in tali circostanze il trattamento è consentito solo in riferimento ai tipi di dati e di operazioni identificati e resi pubblici con atto di natura regolamentare (art. 20 D. Lgs. 196/2003)

24 LA FASE C C.2 regolamento per il trattamento dei dati personali I consulenti provvederanno ad elaborare il Regolamento per il trattamento dei dati personali, in conformità a quanto previsto dall art. 20 c. 2 D. Lgs. 196/2003

25 LA FASE C C.3 formazione diffusa Verranno svolti due incontri formativi rivolti a tutto il personale del comune di Crema, con l obiettivo di: 1. migliorarne le conoscenze teoriche in relazione agli adempimenti previsti e alle logiche complessive della norma 2. migliorarne le competenze nell utilizzo / aggiornamento degli strumenti 3. renderlo autonomo nel gestire in modo ottimale le informazioni oggetto di trattamento, mettendo in sicurezza i propri archivi e tutelando le informazioni trattate

26 I TEMPI In considerazione del necessario coinvolgimento delle risorse comunali e compatibilmente con gli specifici impegni istituzionali, l articolazione temporale di massima del progetto illustrato può essere definita come illustrato di seguito luglio agosto settembre ottobre novembre dicembre A riunione plenaria B.1 B.2 B.3 formazione operativa rilevazione & audit dei rischi piano di adeguamento & DPsS

27 I TEMPI gennaio febbraio marzo aprle maggio giugno C.1 analisi dati/finalità/operazioni eseguibili C.2 C.3 regolamento per il trattamento dei dati personali Formazione diffusa