Legge 31 Dicembre 1996, n 675

Transcript

1 COLLEGIO DEI PERITI INDUSTRIALI della provincia di Siracusa Legge 31 Dicembre 1996, n 675 Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali REGOLAMENTO

2 1 Archivi Gli archivi del Collegio dei Periti Industriali della provincia di Siracusa trattano numerose informazioni personali, per tali intendendosi ai sensi di legge tutti i dati riferibili a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Sotto il profilo, qualitativo, oltre ai dati comuni, si rinvengono informazioni di carattere sensibile (ossia, ai sensi degli art. 22 e 24 della Legge 675/96, dati personali idonei a rilevare l origine razziale ed etnica, le convinzione religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rilevare lo stato di salute e la vita sessuale nonché dati personali idonei a rilevare provvedimenti di cui all articolo 686, commi 1, lettere a), art. 2 e 3, del codice di procedura penale (dati del casellario giudiziale), con specifico riferimento ai dati trattati dalla Segreteria. Il Consiglio del Collegio utilizza sia strumenti informatici (elaboratori) sia supporti cartacei sia infine floppies od altri supporti di memorizzazione. 2 Organizzazione Le norme sulla tutela dei dati personali individuano le seguenti figure organizzative: - Titolare del trattamento nella persona del Presidente pro tempore; - Responsabile del trattamento dati nella persona del Segretario pro tempore; - Amministratore del Sistema nella persona del Segretario pro tempore; - Incaricati al trattamento nelle persone dei Consiglieri e Collaboratori pro tempore. 3 Titolare del trattamento E Titolare di trattamento la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro Ente, Associazione od Organismo cui competono le decisioni in ordine alle finalità ed alle modalità di trattamento di dati personali, ivi compreso il profilo della sicurezza. Nel caso di specie, dunque, titolare del trattamento è il Collegio dei Periti Industriali della Provincia di Siracusa nella persona del Presidente Pro tempore. 4 Responsabili del trattamento La legge consente di nominare uno o più responsabili del trattamento, tali essendo la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro Ente, Associazione od Organismo preposti dal titolare al trattamento di dati personali.

3 La nomina deve avvenire per atto scritto e deve contenere l indicazione dei compiti assegnati a ciascun responsabile. Nel caso del Collegio dei Periti Industriali della Provincia di Siracusa il Responsabile del trattamento è il Consigliere Segretario Pro tempore. 5 Incaricati del trattamento Tutti gli operatori che possono avere accesso, anche se per fine istituzionale, ai dati del Collegio saranno designati, con atto scritto, quali incaricati del trattamento. Ogni incaricato dovrà rispettare l articolato di cui al presente Regolamento ed attenersi rigorosamente ad ogni altra istruzione ricevuta dal titolare. 6 Amministratore di sistema L Amministratore di sistema è il soggetto cui è conferito il compito di sovrintendere alle risorse del sistema operativo di un elaboratore o di un sistema di basi di dati e di consentirne l attuazione. Attualmente amministra il sistema il Consigliere Segretario Pro tempore. 7 Preposti alla custodia della parola chiave I preposti devono custodire con cura le parole chiave, di cui si dirà, e coordinarne le eventuali modifiche. E designato quale preposto il Consigliere Segretario Pro tempore. 8 Regole per la gestione degli archivi informatici Elaboratori in rete Negli archivi informatici del Collegio vengono conservati dati personali sia comuni che sensibili. In applicazione del già citato DPR n 318/99, il Titolare del trattamento fornisce ad ogni incaricato, che ne debba avere i privilegi, uno specifico codice identificativo ed una parola chiave ( o password ) per l accesso ai dati personali. Ad ogni codice identificativo/password corrisponde un profilo che consente a ciascun incaricato di accedere ai soli dati strettamente necessari allo svolgimento dei propri compiti. Per garantire il corretto funzionamento, occorre evitare il salvataggio di documenti contenenti dati personali sul disco rigido locale, anziché in rete.

4 Ogni incaricato deve comunque astenersi dall accesso e dal trattamento dei dati, specie se sensibili, che non siano strettamente necessari per il proprio lavoro. La password può essere sostituita da ogni incaricato, concordandone la modifica con il preposto alla custodia delle parole - chiave, il quale procederà all operazione richiesta. In ogni caso, al preposto devono sempre e comunque essere comunicate le password in uso, anche se autonomamente modificate. Uno stesso codice identificativo non può, neppure in tempi diversi, essere assegnato a persone diverse. I codici identificativi personali devono essere assegnati e gestiti in modo che ne sia prevista la disattivazione in caso di perdita della qualità che consentiva l accesso all elaboratore o di mancato utilizzo dei medesimi per un periodo superiore ai sei mesi. A tal fine occorre che il Responsabile della Segreteria segnali all Amministratore di sistema ogni cambiamento nelle compagine del Collegio ( ad esempio, le dimissioni di un consigliere, ovvero il cambiamento di mansione etc. ), sì da eliminare il relativo codice identificativo dal sistema. Non è consentito utilizzare uno stesso codice identificativo per accedere contemporaneamente alla stessa applicazione da diverse stazioni di lavoro: occorre cioè sempre disconnettersi dalla stazione di lavoro precedente e solo dopo riconnettersi da quella successivamente prescelta. Si consiglia di disconnettersi dalla rete in tutti i casi di significativo allontanamento dalla postazione di lavoro, e di svuotare quotidianamente il cestino di Windows (o analoghi). Non è consentito l uso di software non autorizzato dal Consiglio del Collegio (D.L.518/99). Gli elaboratori sono protetti da antivirus, che verrà aggiornato periodicamente (almeno ogni sei mesi) sarà altresì necessario segnalare all amministratore di sistema ogni eventuale disfunzione. Elaboratori non in rete Con riferimento agli elaboratori non in rete, in applicazione del già citato DPR 318/99, il Collegio fornisce ad ogni incaricato una password per l accesso ai dati personali. La password può essere sostituita ad ogni incaricato, concordandone la modifica con il preposto alla custodia delle parole chiave, il quale procederà all operazione richiesta. In ogni caso, al preposto devono sempre e comunque essere comunicate le password in uso, anche se autonomamente modificate.

5 Si consiglia di disconnetersi in tutti i casi di significativo allontanamento dalla postazione di lavoro. Gli elaboratori sono protetti da antivirus, che verrà aggiornato periodicamente: è necessario segnalare all Amministratore di Sistema ogni eventuale disfunzione. 9 Regole per la gestione degli archivi cartacei Negli archivi cartacei del Collegio vengono conservati sia dati comuni che sensibili in considerazione di ciò, ai fini del rispetto delle misure minime di sicurezza imposte dal DPR n. 318/99, è obbligatorio conservare tutte le pratiche solo nei predetti archivi, evitando dunque di collocare i documenti che contengono dati in luoghi diversi, o di lasciarli fuori dagli archivi stessi. In particolare non è consentito lasciare le pratiche contenenti dati personali, specie se sensibili, sulla scrivania o comunque a portata di mano se non per il tempo necessario all effettivo utilizzo, al termine del quale i documenti devono essere riposti. Ogni incaricato deve riporre i documenti contenenti i dati personali negli archivi, al termine delle operazioni affidate (ad esempio al termine della giornata); allo stesso tempo, nel corso della giornata, i documenti devono essere riposti o negli armadi o nei cassetti, purchè chiusi, in ogni caso di allontanamento dall incaricato dal proprio posto di lavoro. I soggetti ammessi agli archivi cartacei non automatizzati contenenti dati sensibili dopo l orario di chiusura degli archivi stessi devono essere identificati e registrati. Le regole sopra descritte per la custodia del materiale cartaceo vengono applicate anche per la conservazione dei floppies, cd-rom, etc. che contengono, ovviamente, dati personali. 10 Regole di sicurezza Tutto il materiale cartaceo relativo ai dati personali dovrà essere custodito con diligenza non lasciandolo incustodito sulle scrivanie. Durante le normali operazioni di lavorazione gli incartamenti non dovranno risultare visibili a persone terze, come utenti iscritti o visitatori occasionali e comunque a persone estranee non incaricate al trattamento dei dati. A tal fine gli utenti iscritti verranno ricevuti e fatti accomodare in sala riunione in attesa che il preposto abbia provvisoriamente riposto la documentazione in lavorazione nella cassettiera personale; potrà tuttavia ricevere l utente iscritto in altro ufficio qualora riscontrasse difficoltà nel riporre la documentazione cartacea della pratica in corso di lavorazione.

6 11 Scarti di archivio L invio del materiale cartaceo a macerazione, o a rifiuti, in qualunque forma dovrà essere preventivamente autorizzata dal Responsabile del trattamento. Gli scarti di archivio, ossia il periodico smaltimento di materiale cartaceo o di floppy disk o di altri supporti precedentemente conservati, se riferito anche a dati personali, deve essere effettuato con alcune cautele. Occorre evitare che le informazioni personali possano essere ed utilizzate da persone non legittimate. A tal fine è assolutamente vietato smaltire documenti o copie degli stessi contenenti dati personali nel cestino della carta straccia, nei contenitori della raccolta differenziata o nei contenitori di rifiuti ordinari. La distruzione dovrà avvenire mediante incenerimento o con l uso di appositi distruggi documenti che riducono la carta in strisce inutilizzabili alla fine della ricomposizione del documento distrutto. 12 Riutilizzo dei supporti di memorizzazione I floppy disk sui quali vengano anche occasionalmente salvati dati sensibili possono essere riutilizzati (ad esempio, cedendo il floppy disk ad altri) solo dopo aver effettuato sul floppy disk una operazione di formattazione completa (non basta eliminare il file). In caso contrario, una volta terminato l utilizzo, devono essere distrutti. 13 Regole generali di trattamento dei dati personali Oltre alle regole destinate a garantire, in senso stretto, la sicurezza minima dei dati personali, occorre rispettare anche alcuni profili di legittimità del trattamento. La consegna di elenchi, indirizzari o di dati personali, in qualunque forma (cartacea o magnetica o mediante posta elettronica) all'esterno dovrà essere preventivamente autorizzata dal Responsabile del trattamento. 14 Le informative e i consensi Una delle principali innovazioni della Legge 675/96 è quella che prevede che il trattamento dei dati personali sia reso noto all interessato nei suoi elementi essenziali, e si svolga entro gli stessi limiti.

7 In altri termini, una volta che l interessato venga informato delle modalità del trattamento dei suoi dati personali, detta informativa costituisce uno dei limiti del trattamento stesso. Ciascun incaricato deve pertanto conoscere le informative che il Collegio fornisce in relazione ai trattamenti che effettua. E chiaro che ogni incaricato avrà cura di valutare con maggiore attenzione le informative che riguardano la propria attività. 15 Ipotesi di comunicazione e diffusione dei dati Una specifica attenzione va dedicata alle ipotesi di comunicazione o diffusione dei dati. In altri termini, ogni qualvolta si prospetti l eventualità di divulgare dati personali, è necessario procedere alle seguenti verifiche, specie se a riguardo di dati sensibili: - verifica della legittimità della divulgazione alla luce della informativa fornita all interessato; - verifica di eventuali normative che consentano e/o rendano obbligatoria la divulgazione; - l avvenuta acquisizione del documento Consenso compilato dal professionista. 16 Le sanzioni L omessa adozione delle misure minime necessarie alla sicurezza dei dati, meglio descritte sopra, è punita penalmente dall art. 36 della Legge 675/96 il quale punisce chiunque e dunque anche ogni incaricato, essendovi tenuto omette di adottare, anche solo a titolo colposo, le misure necessarie a garantire la sicurezza dei dati personali, con pena fino a due anni di reclusione. Sanzioni penali colpiscono poi anche il trattamento illecito di dati personali, con particolare riferimento alla violazione delle regole sulla informativa e sul relativo consenso. I danni causati dal trattamento di dati personali originano una responsabilità civile aggravata ai sensi dell art del codice civile. Si informa che ai sensi dell art. 8 comma 2) della Legge 675/96, il Titolare del trattamento può disporre di verifiche periodiche sull osservanza delle presenti disposizioni. Il presente regolamento ha decorrenza immediata.