COMUNE DI MONTEPULCIANO PROVINCIA DI SIENA

Transcript

1 ALLEGATI N. ORIGINALE COMUNE DI MONTEPULCIANO PROVINCIA DI SIENA Verbale di deliberazione della GIUNTA COMUNALE N. 10 Adunanza del giorno OGGETTO: D. LGS N. 196 CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI - INTEGRAZIONE A DOCUMENTO PROGRAMMATICO SULLA SICUREZZA - NOMINA AMMINISTRATORI DI SISTEMA L anno Duemiladieci, addì Ventisei del mese di Gennaio alle ore 9:00 in una sala del Palazzo Comunale, si è riunita la Giunta Comunale. Sono presenti i Sigg.ri: PRESENTI ASSENTI ROSSI ANDREA (Sindaco) GAROSI LUCIANO (Assessore) ANGIOLINI ALESSANDRO (Assessore esterno) BIAGIANTI ANDREA (Assessore) RASPANTI ALICE (Assessore esterno) ROSSI FRANCO (Assessore esterno) TERROSI TIZIANA (Assessore) 7 Presiede il Sig. Andrea Rossi Sindaco Partecipa il Segretario Generale Sig. Domenico Smilari incaricato della redazione del processo verbale. Accertata la legalità dell adunanza, si passa alla trattativa degli affari che appresso.

2 LA GIUNTA COMUNALE RICHIAMATA la Delibera della Giunta Comunale n. 64 del con la quale veniva approvato, in prima istanza, il Documento Programmatico sulla Sicurezza; VISTA la vigente normativa in materia di protezione dei dati personali ed in particolare: il D. Lgs n. 196 Codice in materia di protezione dei dati personali ; il D.L. 30/12/2008 n. 207, convertito con modifiche con Legge 27 febbraio 2009, n. 14, che ha, tra l altro, integrato e modificato il suddetto Decreto Legislativo, anche in relazione alle figure previste dalla deliberazione di giunta sopra richiamata; la Circolare del Garante della Privacy datata (pubblicata in G.U. n. 300 del ) per come modificata ed integrata con provvedimento del , con la quale vengono indicati i criteri di individuazione, le caratteristiche soggettive e le funzioni del Responsabile Amministratore di Sistema della rete informatica, e dei relativi profili di amministratore di sistema, amministratore di base di dati e di amministratore di rete; VISTI i seguenti atti, con i quali è stata completamente riorganizzata la struttura di questa Amministrazione: Deliberazione del Consiglio Comunale n. 100 del con la quale sono stati dati i nuovi indirizzi per l organizzazione degli uffici e dei servizi; Deliberazione della Giunta Comunale n. 292 del con la quale sono stati individuati i responsabili di Area per l anno 2010; Deliberazione della Giunta Comunale n. 296 del con la quale è stata prevista la nuova organizzazione degli uffici e dei servizi; RILEVATA, quindi, la necessità di provvedere ad una revisione completa del Documento Programmatico sulla Sicurezza, ridefinendo le figure rilevanti ai fini della tutela e della sicurezza dei dati, tenendo conto della suddetta normativa, del nuovo assetto organizzativo dell Ente per come previsto dalle suddette deliberazioni e delle necessità attuali di questa Amministrazione, in ragione della sua organizzazione tecnico-giuridica e della dotazione informatica disponibile; ACCERTATA la necessità di procedere con detta revisione entro marzo 2010, così da recepire, nei termini previsti dalla vigente normativa, sia le modifiche intervenute nel frattempo all interno della architettura Informatica dell Ente, sia tutte le indicazioni del Garante; DATO ATTO che il Garante per la protezione dei dati personali con la Circolare sopra richiamata ha segnalato a tutti i titolari di trattamenti di dati personali soggetti all'ambito applicativo del Codice ed effettuati con strumenti elettronici, la particolare criticità del ruolo degli amministratori di sistema, richiamando l'attenzione dei medesimi titolari sull'esigenza di valutare con particolare attenzione l'attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di: amministratore di sistema (system administrator); amministratore di base di dati (database administrator); amministratore di rete (network administrator); CONSIDERATO che attualmente le funzioni ed i servizi che il Garante pone a carico dell amministratore di sistema sono svolti dalla struttura del Servizio Ced Associato dell Unione dei Comuni Valdichiana Senese, in virtù di apposita convenzione rinnovata

3 nell anno 2008, e che lo svolgimento di dette attività avviene in un contesto che rende possibile a detta struttura l'accesso a dati personali che sono sotto la responsabilità di questa Amministrazione Comunale quale titolare del trattamento degli stessi; DATO ATTO che il Garante prescrive al titolare del trattamento dei dati l adozione delle seguenti misure: predisporre un sistema di monitoraggio e raccolta dati automaticamente prodotti dall architettura informatica dell Ente attraverso la conservazione dei così detti File di LOGS. Tale sistema dovrà principalmente descrivere: 1) Il codice identificativo dell utilizzatore 2) il riferimento temporale, 3) i dettagli sul servizio richiesto; garantire negli anni la conservazione e la cifratura delle informazioni in esso contenute; garantire la facile lettura e utilizzazione da parte delle autorità competenti (finanza, polizia etc) che ne potrebbero fare richiesta. Individuare un amministratore di sistema in base alla valutazione delle caratteristiche soggettive, previa valutazione dell esperienza, della capacità e dell affidabilità del soggetto designato a ricoprire detto ruolo, il quale deve fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza (valutazione di qualità tecniche, professionali e di condotta); nominare l amministratore di sistema, con individuazione della persona fisica che assume l incarico, ed elencando analiticamente gli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato; predisporre ed approvare un elenco di amministratori di sistema con le loro caratteristiche. Tale elenco sarà contenuto in un documento interno (disponibile in caso di accertamento da parte del Garante) e dovrà contenere gli estremi identificativi degli amministratori di sistema e l elenco delle funzioni loro attribuite (nome, cognome, funzione, area organizzativa di appartenenza). Nel caso in cui le funzioni di amministratore siano svolte anche da personale esterno (personale delle software house con le quali si hanno in essere contratti di manutenzione che si collegano alle banche dati per risoluzione di problemi/aggiornamenti), il titolare (o il responsabile per conto del titolare) deve nominare l azienda come responsabile esterno del trattamento dei dati. Sarà compito dell azienda tenere aggiornato l elenco dei propri dipendenti che agiscono in qualità di amministratori di basi di dati e fornirlo al titolare su sua richiesta. CONSIDERATO che le suddette attività sono riconducibili alle indicazioni del Garante sopra richiamate per cui, considerata la situazione di questo Ente e vista la Convenzione che lo lega all Unione dei Comuni e ad altre Amministrazioni per la gestione delle procedure e delle attività informatiche, è auspicabile che all interno del Servizio Ced Associato, venga appositamente creato un gruppo di lavoro (con diverse professionalità legali e tecniche) in grado di dare attuazione al dettato normativo e di predisporre e coordinare una adeguata revisione del DPS attualmente in essere; TENUTO CONTO, infine, che gli adempimenti di cui in premessa dovranno essere compiuti nel pieno rispetto sia delle vigenti normative in materia di tutela della privacy e sia di quelle poste a tutela dei lavoratori; VISTI i pareri ai sensi dell art. 49 del D.lvo n. 267 Testo Unico delle leggi sull ordinamento degli EE.LL. ;

4 DELIBERA 1. di nominare responsabile della sicurezza informatica del COMUNE di MONTEPULCIANO, ai sensi del Punto 9.2 Allegato 2 del vigente Documento Programmatico sulla Sicurezza, ed amministratore di sistema e di rete la persona individuata dal Presidente dell'unione dei Comuni della Valdichiana Senese quale responsabile del servizio Ced Associato, tenendo conto di quanto indicato dal Garante della privacy circa l esperienza, la capacità e l affidabilità del soggetto designato; 2. di individuare nel Servizio Ced Associato dell Unione dei Comuni della Valdichiana Senese la struttura ottimale per la gestione ed attuazione delle fasi ed attività sopra richiamate, anche attraverso la costituzione di apposito gruppo di lavoro, ed in particolare per la redazione di un documento tecnico programmatico, contenente le misure da implementare e le attività da svolgere nei singoli Enti per ottemperare a quanto previsto dal provvedimento del Garante; 3. di individuare all'interno dell'ente i seguenti amministratori, responsabili ciascuno delle basi dati da trattare per l espletamento delle attività, dei servizi e delle procedure di competenza, per come assegnate dagli atti organizzativi vigenti: AREA AMMINISTRATIVA SMILARI Domenico AREA AFFARI GENERALI ED ATTIVITA PRODUTTIVE CALZINI Giuliana del trattamento dei dati, in relazione al personale AREA SERVIZI ALLA PERSONA, CULTURA, SPORT E ASSOCIAZIONI GALLORINI Gabriella AREA FINANZIARIA GAMBINI Simonetta

5 AREA AMBIENTE NERI Claudia AREA URBANISTICA E EDILIZIA BERTONE Massimo AREA MANUTENZIONE E PATRIMONIO ROSATI Roberto AREA LAVORI PUBBLICI FANCIULLI Giorgio POLIZIA MUNICIPALE DUCHINI GIANNETTO AMMINISTRATORI DI BASI DATI ESTERNI PUBLICA TOSCANA S.r.l.. Responsabile esterno del trattamento dei dati GRUPPO MAGGIOLI S.p.a. Responsabile esterno del trattamento dei dati INF. OR. S.r.l. Responsabile esterno del trattamento dei dati 4. di rendere il presente atto immediatamente eseguibile, a norma dell art. 134, comma 4, del d.lgs 267/2000

6 Letto, approvato e sottoscritto IL SINDACO Andrea Rossi IL SEGRETARIO GEN.LE Domenico Smilari

7 CERTIFICATO DI PUBBLICAZIONE Certifico io sottoscritto Segretario che copia della presente deliberazione è affissa all'albo pretorio dal e per 15 giorni consecutivi, ai sensi dell art. 124, comma 1, del D.Lgs n 267. Pubblicata N 10. IL MESSO COM.LE IL SEGRETARIO GENERALE Domenico Smilari Art. 125 del D.lvo N.267: Comunicazione ai Capigruppo il prot. n. ESECUTIVITA - la presente deliberazione è divenuta esecutiva il perché dichiarata immediatamente eseguibile (art.134 C. 4 D.Lgs. 267/00). X decorsi 10 giorni dalla data di inizio della pubblicazione(art.134 C. 3 D.Lgs. 267/00).. lì, IL SEGRETARIO GENERALE

8 ALLEGATI N. COPIA COMUNE DI MONTEPULCIANO PROVINCIA DI SIENA Verbale di deliberazione della GIUNTA COMUNALE N. 10 Adunanza del giorno OGGETTO: D. LGS N. 196 CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI - INTEGRAZIONE A DOCUMENTO PROGRAMMATICO SULLA SICUREZZA - NOMINA AMMINISTRATORI DI SISTEMA L anno Duemiladieci, addì Ventisei del mese di Gennaio alle ore 9:00 in una sala del Palazzo Comunale, si è riunita la Giunta Comunale. Sono presenti i Sigg.ri: PRESENTI ASSENTI ROSSI ANDREA (Sindaco) GAROSI LUCIANO (Assessore) ANGIOLINI ALESSANDRO (Assessore esterno) BIAGIANTI ANDREA (Assessore) RASPANTI ALICE (Assessore esterno) ROSSI FRANCO (Assessore esterno) TERROSI TIZIANA (Assessore) 7 Presiede il Sig. Andrea Rossi Sindaco Partecipa il Segretario Generale Sig. Domenico Smilari incaricato della redazione del processo verbale. Accertata la legalità dell adunanza, si passa alla trattativa degli affari che appresso.

9 LA GIUNTA COMUNALE RICHIAMATA la Delibera della Giunta Comunale n. 64 del con la quale veniva approvato, in prima istanza, il Documento Programmatico sulla Sicurezza; VISTA la vigente normativa in materia di protezione dei dati personali ed in particolare: il D. Lgs n. 196 Codice in materia di protezione dei dati personali ; il D.L. 30/12/2008 n. 207, convertito con modifiche con Legge 27 febbraio 2009, n. 14, che ha, tra l altro, integrato e modificato il suddetto Decreto Legislativo, anche in relazione alle figure previste dalla deliberazione di giunta sopra richiamata; la Circolare del Garante della Privacy datata (pubblicata in G.U. n. 300 del ) per come modificata ed integrata con provvedimento del , con la quale vengono indicati i criteri di individuazione, le caratteristiche soggettive e le funzioni del Responsabile Amministratore di Sistema della rete informatica, e dei relativi profili di amministratore di sistema, amministratore di base di dati e di amministratore di rete; VISTI i seguenti atti, con i quali è stata completamente riorganizzata la struttura di questa Amministrazione: Deliberazione del Consiglio Comunale n. 100 del con la quale sono stati dati i nuovi indirizzi per l organizzazione degli uffici e dei servizi; Deliberazione della Giunta Comunale n. 292 del con la quale sono stati individuati i responsabili di Area per l anno 2010; Deliberazione della Giunta Comunale n. 296 del con la quale è stata prevista la nuova organizzazione degli uffici e dei servizi; RILEVATA, quindi, la necessità di provvedere ad una revisione completa del Documento Programmatico sulla Sicurezza, ridefinendo le figure rilevanti ai fini della tutela e della sicurezza dei dati, tenendo conto della suddetta normativa, del nuovo assetto organizzativo dell Ente per come previsto dalle suddette deliberazioni e delle necessità attuali di questa Amministrazione, in ragione della sua organizzazione tecnico-giuridica e della dotazione informatica disponibile; ACCERTATA la necessità di procedere con detta revisione entro marzo 2010, così da recepire, nei termini previsti dalla vigente normativa, sia le modifiche intervenute nel frattempo all interno della architettura Informatica dell Ente, sia tutte le indicazioni del Garante; DATO ATTO che il Garante per la protezione dei dati personali con la Circolare sopra richiamata ha segnalato a tutti i titolari di trattamenti di dati personali soggetti all'ambito applicativo del Codice ed effettuati con strumenti elettronici, la particolare criticità del ruolo degli amministratori di sistema, richiamando l'attenzione dei medesimi titolari sull'esigenza di valutare con particolare attenzione l'attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di: amministratore di sistema (system administrator); amministratore di base di dati (database administrator); amministratore di rete (network administrator); CONSIDERATO che attualmente le funzioni ed i servizi che il Garante pone a carico dell amministratore di sistema sono svolti dalla struttura del Servizio Ced Associato dell Unione dei Comuni Valdichiana Senese, in virtù di apposita convenzione rinnovata

10 nell anno 2008, e che lo svolgimento di dette attività avviene in un contesto che rende possibile a detta struttura l'accesso a dati personali che sono sotto la responsabilità di questa Amministrazione Comunale quale titolare del trattamento degli stessi; DATO ATTO che il Garante prescrive al titolare del trattamento dei dati l adozione delle seguenti misure: predisporre un sistema di monitoraggio e raccolta dati automaticamente prodotti dall architettura informatica dell Ente attraverso la conservazione dei così detti File di LOGS. Tale sistema dovrà principalmente descrivere: 1) Il codice identificativo dell utilizzatore 2) il riferimento temporale, 3) i dettagli sul servizio richiesto; garantire negli anni la conservazione e la cifratura delle informazioni in esso contenute; garantire la facile lettura e utilizzazione da parte delle autorità competenti (finanza, polizia etc) che ne potrebbero fare richiesta. Individuare un amministratore di sistema in base alla valutazione delle caratteristiche soggettive, previa valutazione dell esperienza, della capacità e dell affidabilità del soggetto designato a ricoprire detto ruolo, il quale deve fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza (valutazione di qualità tecniche, professionali e di condotta); nominare l amministratore di sistema, con individuazione della persona fisica che assume l incarico, ed elencando analiticamente gli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato; predisporre ed approvare un elenco di amministratori di sistema con le loro caratteristiche. Tale elenco sarà contenuto in un documento interno (disponibile in caso di accertamento da parte del Garante) e dovrà contenere gli estremi identificativi degli amministratori di sistema e l elenco delle funzioni loro attribuite (nome, cognome, funzione, area organizzativa di appartenenza). Nel caso in cui le funzioni di amministratore siano svolte anche da personale esterno (personale delle software house con le quali si hanno in essere contratti di manutenzione che si collegano alle banche dati per risoluzione di problemi/aggiornamenti), il titolare (o il responsabile per conto del titolare) deve nominare l azienda come responsabile esterno del trattamento dei dati. Sarà compito dell azienda tenere aggiornato l elenco dei propri dipendenti che agiscono in qualità di amministratori di basi di dati e fornirlo al titolare su sua richiesta. CONSIDERATO che le suddette attività sono riconducibili alle indicazioni del Garante sopra richiamate per cui, considerata la situazione di questo Ente e vista la Convenzione che lo lega all Unione dei Comuni e ad altre Amministrazioni per la gestione delle procedure e delle attività informatiche, è auspicabile che all interno del Servizio Ced Associato, venga appositamente creato un gruppo di lavoro (con diverse professionalità legali e tecniche) in grado di dare attuazione al dettato normativo e di predisporre e coordinare una adeguata revisione del DPS attualmente in essere; TENUTO CONTO, infine, che gli adempimenti di cui in premessa dovranno essere compiuti nel pieno rispetto sia delle vigenti normative in materia di tutela della privacy e sia di quelle poste a tutela dei lavoratori; VISTI i pareri ai sensi dell art. 49 del D.lvo n. 267 Testo Unico delle leggi sull ordinamento degli EE.LL. ;

11 DELIBERA 1. di nominare responsabile della sicurezza informatica del COMUNE di MONTEPULCIANO, ai sensi del Punto 9.2 Allegato 2 del vigente Documento Programmatico sulla Sicurezza, ed amministratore di sistema e di rete la persona individuata dal Presidente dell'unione dei Comuni della Valdichiana Senese quale responsabile del servizio Ced Associato, tenendo conto di quanto indicato dal Garante della privacy circa l esperienza, la capacità e l affidabilità del soggetto designato; 2. di individuare nel Servizio Ced Associato dell Unione dei Comuni della Valdichiana Senese la struttura ottimale per la gestione ed attuazione delle fasi ed attività sopra richiamate, anche attraverso la costituzione di apposito gruppo di lavoro, ed in particolare per la redazione di un documento tecnico programmatico, contenente le misure da implementare e le attività da svolgere nei singoli Enti per ottemperare a quanto previsto dal provvedimento del Garante; 3. di individuare all'interno dell'ente i seguenti amministratori, responsabili ciascuno delle basi dati da trattare per l espletamento delle attività, dei servizi e delle procedure di competenza, per come assegnate dagli atti organizzativi vigenti: AREA AMMINISTRATIVA SMILARI Domenico AREA AFFARI GENERALI ED ATTIVITA PRODUTTIVE CALZINI Giuliana del trattamento dei dati, in relazione al personale AREA SERVIZI ALLA PERSONA, CULTURA, SPORT E ASSOCIAZIONI GALLORINI Gabriella AREA FINANZIARIA GAMBINI Simonetta

12 AREA AMBIENTE NERI Claudia AREA URBANISTICA E EDILIZIA BERTONE Massimo AREA MANUTENZIONE E PATRIMONIO ROSATI Roberto AREA LAVORI PUBBLICI FANCIULLI Giorgio POLIZIA MUNICIPALE DUCHINI GIANNETTO AMMINISTRATORI DI BASI DATI ESTERNI PUBLICA TOSCANA S.r.l.. Responsabile esterno del trattamento dei dati GRUPPO MAGGIOLI S.p.a. Responsabile esterno del trattamento dei dati INF. OR. S.r.l. Responsabile esterno del trattamento dei dati 4. di rendere il presente atto immediatamente eseguibile, a norma dell art. 134, comma 4, del d.lgs 267/2000.

13 Letto, approvato e sottoscritto IL SINDACO Andrea Rossi IL SEGRETARIO GEN.LE Domenico Smilari

14 CERTIFICATO DI PUBBLICAZIONE Certifico io sottoscritto Segretario che copia della presente deliberazione è affissa all'albo pretorio dal e per 15 giorni consecutivi, ai sensi dell art. 124, comma 1, del D.Lgs n 267. Pubblicata N. 10 IL MESSO COM.LE IL SEGRETARIO GENERALE Domenico Smilari Per copia conforme all originale Lì, IL SEGRETARIO GENERALE Domenico Smilari Art. 125 del D.lvo N.267: Comunicazione ai Capigruppo il prot. n. ESECUTIVITA - la presente deliberazione è divenuta esecutiva il perché dichiarata immediatamente eseguibile (art.134 C. 4 D.Lgs. 267/00).. X decorsi 10 giorni dalla data di inizio della pubblicazione (art.134 C. 3 D.Lgs. 267/00).. lì, IL SEGRETARIO GENERALE