INDICE. Art.1. Ambito di applicazione

Transcript

1 Regolamento di attuazione delle norme sulla tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali (L. 675/96 e (emanato con D.R. n del 12 marzo 2001) INDICE Art. 1 - Ambito di applicazione Art. 2 - Circolazione dei dati Art. 3 - Definizioni Art. 4 - Titolare, responsabili e incaricati del trattamento dei dati Art. 5 - Modalità di raccolta e requisiti dei dati personali Art. 6 - Misure di sicurezza Art. 7 - Diritti dell'interessato Art. 8 - Richieste di trattamento Art. 9 - Comunicazione o diffusione dei dati personali Art Notificazioni Art Responsabilità penale Art Disposizioni finali Art.1 Ambito di applicazione Il presente regolamento viene adottato in attuazione della legge 31 dicembre 1996, n.675 e successive modificazioni ed integrazioni, al fine di garantire che il trattamento dei dati personali da parte dell'università degli Studi di Bari avvenga con modalità atte ad assicurare il rispetto dei diritti, delle libertà fondamentali e della dignità delle persone fisiche e nel rispetto dei diritti delle persone fisiche e nel rispetto dei diritti delle persone giuridiche o di ogni altro ente o associazione. Le disposizioni contenute negli articoli che seguono si intendono riferite al trattamento, alla diffusione ed alla comunicazione dei dati all'esterno, di cui al successivo art.2. Art.2 Circolazione dei dati L'Università degli Studi di Bari provvede al trattamento, alla comunicazione ed alla diffusione dei dati personali di cui sia in possesso, anche raccolti in banche dati, nell'ambito del perseguimento dei propri fini istituzionali e nei limiti stabiliti dallo Statuto, dalla legge e dai regolamenti vigenti nei relativi settori di riferimento.

2 Art. 3 Definizioni Nel presente regolamento, secondo quanto previsto dall'art. 1 della Legge n.675/96 si intende: a) per banca dati, qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento; b) per dato personale, qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; c) per trattamento, qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la modificazione, l'elaborazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati; d) per comunicazione dei dati, il dare conoscenza dei dati personali ad uno o più soggetti determinati diversi dall'interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; e) per diffusione dei dati, il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; f) per interessato, la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali; g) per titolare, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza; h) per responsabile, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento dei dati personali; i) per Garante, l'autorità preposta al controllo dell'applicazione delle norme sulla riservatezza e degli altri aspetti previsti dalla citata L.675/96; j) per notificazione, si intende la comunicazione al Garante, fatta sulla base degli appositi moduli predisposti dallo stesso Garante; k) per dati sensibili, si intendono quei dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale (art.22 L.675/96). Art.4 Titolare, responsabili e incaricati del trattamento dei dati Ai fini dell'applicazione della L.675/96, l'università degli studi di Bari è titolare dei dati personali, ivi compresi i dati contenuti nelle banche di dati, automatizzate o cartacee, detenuti dalla stessa. Ai sensi dell'art.8 della L.675/96, nell'ambito dell'università, articolata in strutture amministrative, di servizio, didattiche e di ricerca, i Responsabili per il trattamento dei dati personali sono individuati nei responsabili delle strutture stesse. Il Titolare, nella persona del Rettore pro tempore, può comunque designare, con proprio provvedimento, un Responsabile del trattamento dei dati diverso rispetto a quelli di cui al

3 precedente comma. Il Responsabile è un soggetto che, per esperienza, capacità ed affidabilità, fornisce idonea garanzia del pieno rispetto delle disposizioni vigenti in materia di trattamento. Il Responsabile opera con autonomia gestionale nell'ambito delle competenze affidategli dal titolare. I Responsabili procedono con propri atti all'individuazione degli Incaricati del trattamento dei dati personali, all'interno delle singole strutture. L'Incaricato del trattamento è colui al quale il Responsabile assegna, sotto la sua responsabilità, il compito di svolgere le operazioni materiali inerenti al trattamento. Art.5 Modalità di raccolta e requisiti dei dati personali I Responsabili devono verificare che i dati personali oggetto di trattamento siano: - trattati in modo lecito e secondo correttezza; - raccolti e registrati per scopi determinati, espliciti e legittimi; - esatti e, se necessario, aggiornati; - pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti e successivamente trattati; - conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario per gli scopi per i quali sono stati raccolti e successivamente trattati. Art.6 Misure di sicurezza Per quanto riguarda il profilo della sicurezza, il Titolare ed il Responsabile provvedono alla custodia dei dati adottando tutte le misure idonee ad evitare i rischi di distruzione o perdita, anche accidentale, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Nell'ambito delle misure organizzative poste in essere per ragioni di sicurezza, il titolare può individuare le figure dell'amministratore di sistema e dell'incaricato della custodia delle parole chiave. Art. 7 Diritti dell'interessato Ai soggetti i cui dati siano contenuti in una banca dati dell'università, sono attribuiti i diritti di cui all'art. 13 della L.675/96 e cioè: 1. conoscere mediante accesso gratuito a registro di cui all'art. 31, comma1, lett.a) della L. 675/96,

4 l'esistenza di trattamenti che possono riguardarlo; 2. essere informato su quanto indicato all'art.7, comma4, lett.a), b) e h) della L.675/96; 3. ottenere, a cura del Titolare o del Responsabile, senza ritardo: la conferma dell'esistenza o meno di trattamenti di dati personali che lo riguardano anche se non ancora registrati, e la comunicazione in forma intelligibile dei medesimi dati e della loro origine, nonché della logica e delle finalità del trattamento; la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge; l'aggiornamento, la rettificazione, ovvero, qualora vi abbia interesse, l'integrazione dei dati; l'attestazione che le operazioni su citate sono state portate a conoscenza di coloro ai quali i dati sono stati comunicati o diffusi, salvi i casi in cui ciò risulti impossibile o richieda adempimenti manifestamente sproporzionati rispetto al diritto tutelato; 4. di opporsi, per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta. L'interessato può esercitare tali diritti con una richiesta scritta al Responsabile della banca dati. Ai fini dell'esercizio dei diritti di cui al presente articolo, l'interessato può conferire per iscritto, delega o procura a persone fisiche o ad associazioni. Art.8 Richieste di trattamento Ogni richiesta rivolta dai privati all'università, finalizzata ad ottenere il trattamento, la comunicazione o la diffusione dei dati personali, anche contenute in banche dati, affinché possa essere presa in esame, deve essere scritta e motivata. In essa devono essere specificati gli estremi del richiedente, i dati ai quali la domanda si riferisce e le finalità e modalità di utilizzo dei dati stessi, l'eventuale ambito di comunicazione e diffusione dei dati richiesti, nonché la dichiarazione di impegno ad utilizzare i dati ricevuti esclusivamente per le finalità e nell'ambito delle modalità per cui i dati stessi sono stati richiesti. Il Responsabile del trattamento, dopo aver valutato che il trattamento, la comunicazione e la diffusione dei dati sono compatibili con i fini istituzionali dell'università, provvede alla trasmissione dei dati stessi nella misura e secondo le modalità strettamente necessarie a soddisfare la richiesta secondo i criteri di pertinenza e non eccedenza dei dati. Le richieste provenienti da enti pubblici, finalizzata ad ottenere il trattamento, la comunicazione o la diffusione dei dati dell'università, sono soddisfatte quando risultino necessarie per lo svolgimento delle funzioni istituzionali dell'ente.

5 Art.9 Comunicazione o diffusione dei dati personali L'Università consente la comunicazione e diffusione di dati ed elenchi riguardanti studenti, diplomati, laureandi e laureati, specializzati, borsisti, dottorandi ecc., su richiesta di soggetti privati e pubblici al fine di favorirne le esperienze formative e professionali (incontri, congressi, stage ecc.) e l'eventuale collocazione nel mondo del lavoro; tale finalità deve essere dichiarata nella richiesta, onde essere utilizzati per le sole modalità per le quali sono state comunicati e diffusi. La comunicazione e diffusione dei dati da parte dell'università sono comunque permesse allorquando: siano previste da norme di legge, di regolamento o dalla normativa comunitaria; siano necessarie per finalità di ricerca scientifica o di statistica e si tratti di dati anonimi e/o aggregati; siano richieste dai soggetti di cui all'art. 4, comma 1, lettere b), d), ed e), dalla L.675/96, per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati con l'osservanza delle norme che regolano la materia; siano necessarie per il soddisfacimento di richieste e di accesso ai documenti amministrativi ai sensi dell'art.22 della L.241/90. Art.10 Notificazioni Per consentire al Titolare la notificazione delle banche dati prevista dall'art.7 della legge 675/96, chi intraprende una nuova tipologia di trattamento di dati o cessa un trattamento già esistente, nell'ambito delle strutture universitarie, è tenuto a comunicarlo al Titolare stesso. La comunicazione deve contenere: - le finalità e le modalità del trattamento; - la natura dei dati, il luogo ove sono custoditi e le categorie di interessati cui i dati si riferiscono; - l'ambito di comunicazione e di diffusione dei dati; - gli eventuali trasferimenti di dati previsti verso paesi non appartenenti all'unione europea o, qualora si tratti di dati sensibili e di dati relativi ai provvedimenti di cui all'art.686 c.p., fuori dal territorio nazionale; - una descrizione delle misure di sicurezza adottate; - l'eventuale connessione con altri trattamenti o banche dati.

6 Art.11 Responsabilità penale Chi richiede i dati, chi li riceve, chi li tratta e chi ne ha notizia è vincolato al rispetto del segreto d'ufficio. La responsabilità, anche penale, prevista dalla L.675/96 per l'uso non corretto dei dati personali conosciuti resta a carico della persona cui l'uso illegittimo si riferisca. Art.12 Disposizioni finali Il presente regolamento è emanato con decreto rettorale ed entra in vigore il quindicesimo giorno successivo alla sua pubblicazione nel Bollettino Ufficiale dell'ateneo di Bari, da divulgarsi anche attraverso Internet. Dalla data di entrata in vigore del presente regolamento devono intendersi abrogate e pertanto vengono disapplicate tutte quelle norme, regolamentari e statutarie incompatibili in relazione ai soggetti ed alle materie interessate dal trattamento. N. B.: Regolamento aggiornato al 26 aprile 2004