NOMINA DELL AMMINISTRATORE DI SISTEMA RESPONSABILE DEL TRATTAMENTO PER LA GESTIONE DEI DATI E SISTEMI INFORMATICI

Transcript

1 NOMINA DELL AMMINISTRATORE DI SISTEMA RESPONSABILE DEL TRATTAMENTO PER LA GESTIONE DEI DATI E SISTEMI INFORMATICI Il vecchio regolamento sulle misure minime di sicurezza (D.P.R. n. 318/99) aveva enucleato una funzione aziendale che non era prevista dalla legge sulla privacy: l amministratore di sistema. Con l abrogazione del regolamento era venuto formalmente meno l amministratore di sistema : tuttavia, nell organigramma dell Istituto Commerciale Statale Germano Sommeiller il ruolo di un responsabile del trattamento preposto alla gestione informatica dei dati e dei sistemi aziendali è, di fatto, essenziale. Pertanto può essere opportuno, nell ambito delle nomine dei responsabili del trattamento (nomine sempre meramente facoltative), individuare ancora la figura di un soggetto delegato a gestire la sicurezza informatica dei dati e dei sistemi aziendali. Va, tuttavia, sottolineato che il Garante è intervenuto sulla materia, prescrivendo (ai sensi dell art. 154, lett.c del Codice) con proprio provvedimento generale ( ) la designazione della figura dell amministratore di sistema che, in ogni caso, anche se considerato dall'azienda stessa quale semplice incaricato del trattamento, deve essere obbligatoriamente individuato e scelto, comunque, in base ai medesimi criteri professionali disposti dall art. 29 del codice per i responsabili del trattamento. Lo stesso provvedimento generale, che ha introdotto questa nuova figura, da cui sono tuttavia esentate le realtà ove si svolgono esclusivamente trattamenti per fini amministrativi-contabili, impone, inoltre, alcune specifiche prescrizioni obbligatorie: che tale designazione venga riportata in un documento interno (non necessariamente nell eventuale DPS, ma ad esempio in un regolamento interno quale quello sulla navigazione internet e gestione posta elettronica), che di tale designazione sia data informazione ai dipendenti, nonché sia tenuta registrazione almeno semestrale degli accessi al sistema che lo stesso amministratore effettua nello svolgimento della sua attività, e che il suo operato sia sottoposto a controllo periodico da parte dell'azienda titolare del trattamento o del responsabile del trattamento, cui venga conferito nell'atto di nomina tale compito. La designazione deve contenere gli ambiti analitici di operatività dell'amministratore. L azienda, salvo i casi di esenzione, deve quindi creare questa posizione che deve essere ricoperta da soggetto idoneo, in base alle proprie competenze professionali e conoscenze nel settore dei sistemi informativi, a dare attuazione pratica nel sistema informatico aziendale alle misure di sicurezza, ed in generale a gestirlo tecnicamente. Come per qualsiasi altro responsabile del trattamento od incaricato, l azienda può nominarne uno o più, sia interni all impresa, sia esterni (consulenti). La designazione,comunque, deve essere sempre individuale e riguardare solo persone fisiche ( a differenza di quanto prescritto dal codice per i responsabili dle trattamento); inoltre, nel caso di affidamento all'esterno del ruolo di amministratore di sistema, il titolare del trattamento o il responsabile (in tal caso specificamente incaricato di questo particolare compito) devono conservare l elenco aggornato degli estremi identificativi delle persone fisiche preposte quali amministratori di sistema. I ruoli di amministratore di sistema e quello di custode delle credenziali possono coincidere nello stesso soggetto. La nomina di un amministratore di sistema che abbia il ruolo anche di responsabile del trattamento informatico con compiti, responsabilità e poteri in materia di sicurezza deve essere deliberata dal soggetto titolare del relativo potere in base alle norme statutarie (ad es.: consiglio di amministrazione, presidente o amministratore delegato, amministratore unico, socio amministratore ). L azienda, titolare dei trattamenti, è tenuta ad effettuare verifiche periodiche (almeno annuali) sull attività svolta dall amministratore di sistema, (conformemente anche a quanto prescritto dall art comma del codice per l obbligo di vigilanza generale sui responsabili del trattamento). E opportuno, quindi, indicare questo onere di vigilanza anche nell atto di nomina. Il controllo deve riferirsi alla verifica della conformità dell'attività svolta alle mansioni attribuite, ed al rispetto del sistema di misure di sicurezza. Il modello sotto riportato inquadra sostanzialmente l amministratore di sistema a livello di responsabile del trattamento quale nomina con deleghe,e cumulando, di conseguenza, funzioni, adempimenti e responsabilità legate alla duplice funzione.e comunque possibile prevedere anche amministratori di sistema inquadrati quali semplici incaricati del trattamento.

2 nomina ad amministratore di sistema (provvedimento del Garante ) Con la presente l'istituto Tecnico Commerciale Statale "Germano SOMMEILLER" rappresentato legalmente dal Prof. Giovanni PACIARIELLO Dirigente Scolastico, nato a Torino il 04/01/1958 e domiciliato per la sua carica presso l'istituto "G. SOMMEILLER" - codice fiscale in qualità di Titolare del Trattamento dei dati Visto il Decreto del Presidente della Repubblica 8 marzo 1999, n. 275, concernente il Regolamento recante norme in materia di autonomia delle Istituzioni Scolastiche, ai sensi della legge15 marzo 1997, n. 59 Visto il D.Lgs. 196/2003 legge sulla Privacy; Vista la situazione d urgenza per l affidamento dell incarico di Responsabile del trattamento informatico e Amministratore di sistema; Vista l offerta prot. 1185/C14 del 14 marzo 2016 e la collaborazione del sig. Musolino con l ITC Sommeiller per l assistenza attrezzature e reti informatiche; Visto che la ditta Bruno affida l incarico di Responsabile del trattamento informatico e Amministratore di sistema presso l ITCS Sommeiller al proprio dipendente esperto informatico, Sig. MUSOLINO Antonino; Visti i titoli culturali e professionali posseduti dal sig. MUSOLINO Antonino e debitamente documentati; Che questa istituzione scolastica non dispone di professionisti e/o esperti qualificati per poter assumere l incarico di Responsabile del trattamento informatico e Amministratore di sistema; Che la C.M. n. 119 del 29/4/1999 testualmente recita In assenza di risorse interne idonee e disponibili è possibile il ricorso alternativo all esterno ; Visto il D.I. 44/2001; Vista la disponibilità di bilancio; Nomina L impresa BRUNO SISTEMI PER L UFFICIO con Sede Legale in Corso Francia Torino C.F P.I n il cui legale rappresentante è il Sig. BRUNO FRANCESCO nato a ( ) il residente a in Via, che fornisce all ITCS Sommeiller assistenza informatica per le attrezzature e reti fornite all ITC Sommeiller Responsabile del trattamento informatico e Amministratore di sistema nell ambito dell organizzazione stessa dell ITC Sommeiller, affidandogli con le specificazioni espressamente previste nel presente atto le seguenti incombenze e responsabilità la cui inosservanza può determinare, anche a carico dello stesso Amministratore di sistema e Responsabile del trattamento, responsabilità risarcitorie, sanzionatorie e penali: a) gestire il sistema informatico, nel quale risiedono le banche dati personali, in osservanza al disciplinare tecnico allegato al Codice della privacy (D.lgs. 30 giugno 2003 n. 196) e sue successive modifiche ed aggiornamenti, attenendosi anche alle disposizioni del Titolare in tema di sicurezza;

3 b) predisporre ed aggiornare un sistema di sicurezza informatico idoneo a rispettare le prescrizioni dell art. 31 e seguenti del D.lgs. n. 196/2003, adeguandolo anche alle eventuali future norme in materia di sicurezza. Più specificatamente, in base al sopra citato vigente disciplinare tecnico, fatte salve le successive integrazioni dello stesso, l Amministratore di sistema dovrà: assegnare e gestire il sistema di autenticazione informatica secondo le modalità indicate nel Disciplinare tecnico e quindi, fra le altre, generare, sostituire ed invalidare, in relazione agli strumenti ed alle applicazioni informatiche utilizzate, le credenziali d accesso personali da assegnare agli incaricati del trattamento dati, svolgendo anche la funzione di custode delle copie delle credenziali 1 ; procedere, più in particolare, alla disattivazione delle credenziali d accesso personali, in caso di perdita della qualità che consentiva all utente o incaricato l accesso all elaboratore, oppure nel caso di mancato utilizzo delle credenziali d accesso personali per oltre 6 (sei) mesi; adottare adeguati programmi antivirus, firewall ed altri strumenti software o hardware atti a garantire la massima misura di sicurezza nel rispetto di quanto dettato dal Dlgs.196/2003 ed utilizzando le conoscenze acquisite in base al progresso tecnico software e hardware, verificandone l installazione, l aggiornamento ed il funzionamento degli stessi in conformità allo stesso Disciplinare tecnico; adottare tutti i provvedimenti necessari ad evitare la perdita o la distruzione, anche solo accidentale, dei dati personali e provvedere al ricovero periodico degli stessi con copie di back-up, vigilando sulle procedure attivate in struttura. L Amministratore di sistema dovrà anche assicurarsi della qualità delle copie di back-up dei dati e della loro conservazione in luogo adatto e sicuro; indicare al personale competente o provvedere direttamente alla distruzione e smaltimento dei supporti informatici di memorizzazione logica o alla cancellazione dei dati per il loro reimpiego, alla luce del Provvedimento del Garante per la Protezione dei Dati personali del 13 ottobre 2008 in materia di smaltimento strumenti elettronici; cooperare nella predisposizione del documento programmatico sulla sicurezza per la parte concernente il sistema informatico ed il trattamento informatico dei dati; vigilare sugli interventi informatici diretti al sistema informatico dell ITCS Sommeiller e sull impianto di videosorveglianza effettuati da vari operatori esterni. In caso di anomalie sarà sua cura segnalarle direttamente alla direzione; predisporre ed implementare le eventuali ulteriori misure minime di sicurezza imposte dal Disciplinare tecnico per il trattamento informatico dei dati sensibili e giudiziari 2 e per la conseguente tutela degli strumenti elettronici; c) coordinare assieme al Titolare le attività operative degli incaricati del trattamento nello svolgimento delle mansioni loro affidate per garantire un corretto, lecito e sicuro trattamento dei dati personali nell ambito del sistema informatico; d) collaborare con il Titolare per l attuazione delle prescrizioni impartite dal Garante; e) comunicare prontamente al Titolare qualsiasi situazione di cui sia venuta a conoscenza che possa compromettere il corretto trattamento informatico dei dati personali; f) verificare il rispetto delle norme sulla tutela del diritto d autore sui programmi di elaboratore installati nei pc. presenti nell unità produttiva 3. g) adottare e gestire sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte di tutte le persone qualificate amministratori di sistema 4. Le registrazioni (access log) devono avere caratteristiche di 1 La figura dell'amministratore di sistema preposto alla gestione informatica dei dati e dei sistemi aziendali può essere assommata a quella di custode delle copie delle credenziali, riunendole in un unico responsabile in azienda. Oppure, qualora si tengano distinte le due funzioni, sostituire con, coordinando anche l attività del custode delle copie delle credenziali. 2 Qualora si trattino anche dati sensibili o giudiziari, è necessario riportare analiticamente le misure adottate nell ambito delle prescrizioni obbligatorie fissate dai punti da 20 a 24 del disciplinare tecnico. 3 Tale ambito non è strettamente collegato agli obblighi della legge sulla privacy, ma opportuna ai fini del rispetto delle norme sulla tutela legale del software e delle conseguenti responsabilità civili e penali potenzialmente a carico anche dell impresa. 4 Oltre che persone interne all azienda, questa qualifica può essere attribuita anche a tecnici operanti presso società esterne che forniscono servizi di gestione ed assistenza. In tal caso è opportuno integrare il contratto di appalto con tale

4 completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti allo username utilizzato, i riferimenti temporali e la descrizione dell'evento (log in e log out) che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi; h) l incarico di amministratore di rete prevede inoltre: 1. sovrintendere al funzionamento della rete, comprese le apparecchiature di protezione (firewall, filtri per la posta elettronica, antivirus, backup, disaster, recovery, etc.) 2. monitorare lo stato dei sistemi, con particolare attenzione alla sicurezza informatica; 3. effettuare interventi di manutenzioni hardware e software su sistemi operativi e applicativi; 4. gestire, in collaborazione con gli altri responsabili del trattamento dei dati personali (se nominati) il sistema di attribuzione e gestione delle credenziali di accesso agli strumenti informatici; 5. gestire le password di amministratore di sistema e degli utenti designati all utilizzo dei sistemi informatici; 6. collaborare con il Responsabile del trattamento dei dati personali (se nominato) 7. collaborare con il custode delle password (se nominato) 8. informare il responsabile del trattamento o il titolare in caso di mancato rispetto delle norme di sicurezza e in caso di eventuali incidenti. 9. verifiche ispettive periodiche per quanto riguarda il corretto funzionamento delle seguenti attività: corretto funzionamento backup dei dti aggiornamenti dei sistemi operativi sui client e dei sistemi di protezione antivirus rispetto delle misure minime adottate a protezione dei dati presenti I) servizio di assistenza per l adeguamento alle misure minime di sicurezza dei dati trattati con strumenti elettronici e in forma cartacea: 1. realizzazione e raccolta dati tramite opportuni moduli necessari per la stesura di un documento riepilogativo sulle misure minime di sicurezza adottate a protezione dei dati trattati dell istituto (ex D.P.S.) 2. stesura informative 3. disegno della Pianta organica per l individuazione delle figure previste dalla normativa 4. Stesura lettere di incarico alle figura designate dall istituto per il trattamento dei dati 5. Inventario del software e hardware utilizzati 6. Individuazione di eventuali migliorie per l adeguamento delle misure minime richieste dal D.Lgs 196/ formazione del personale presso la nostra sede sulla normativa relativa alla privacy 8. assistenza sistemistica per la realizzazione della parte relativa alla gestione delle credenziali informatiche 9. supporto assistenza legale annuale 10. revisioni periodiche e aggiornamento documentazione e formazione 11. assistenza annuale per problematiche relative alla privacy Per l espletamento dell incarico, vengono assegnate all Amministratore di sistema le credenziali di autenticazione che gli permettono l accessibilità al sistema per lo svolgimento delle stesse funzioni assegnate. Con il presente atto, vengono inoltre assegnati al Responsabile del trattamento ed Amministratore di sistema i necessari poteri e supporti organizzativi per l adeguamento di tutte le misure minime di sicurezza, come previsto dalle vigenti disposizioni in materia di sicurezza del trattamento dei dati. L ITCS Sommeiller provvederà, con cadenza almeno annuale, a svolgere le dovute verifiche sulle attività compiute dall Amministratore di sistema. È obbligo di quest ultimo prestare all ITCS Sommeiller la sua piena collaborazione per il compimento delle verifiche stesse; in ogni caso, è società, attribuendo con apposite clausole la nomina di responsabile sterno a questa società e gli oneri di individuazione e controllo dei propri amministratori di sistema, nonché di tracciamento degli accessi operati.

5 tenuto a predisporre, con cadenza mensile (trimestrale?), una relazione scritta delle attività svolte in esecuzione delle incombenze affidatigli in forza del presente atto. Della nomina ad Amministratore di sistema, così disposta con il presente atto, verrà data opportuna informazione nell ambito dell organizzazione dell ITCS Sommeiller, ed al personale interessato, con le modalità più opportune; specificatamente mediante indicazione nel cosiddetto regolamento sull uso della posta elettronica e della navigazione internet, sia attraverso l intranet aziendale, che attraverso specifico ordine di servizio, sia attraverso espresso richiamo nell informativa dei dati personali ex art. 13 del D.lgs. n. 196/2003). Con la sottoscrizione della presente, l Amministratore di sistema accetta la nomina, conferma altresì la diretta ed approfondita conoscenza della normativa più volte citata nonché degli obblighi in essa prevista. Il presente incarico ha durata annuale a decorrere dal 15/03/2016 al 14/03/2017. L I.T.C.S. G. Sommeiller a fronte dell attività effettivamente svolta si impegna a corrispondere il compenso complessivo di 1.200,00 al netto dell IVA. Il pagamento sarà effettuato entro 30 giorni dal termine delle attività, previa presentazione di regolare fattura elettronica. Il presente contratto non dà luogo a trattamento previdenziale ed assistenziale salvo quanto previsto dall art. 2 comma 26 della legge 335/95 e successive modificazioni ed integrazioni Ai sensi del D.L.gs 196 del 30/6/2003 i dati e le informazioni fornite dal Sig. MUSOLINO Antonino nonché quelli di cui possa venire a conoscenza per effetto dell attività svolta dovranno essere trattati esclusivamente per le finalità di cui al presente contratto. Quanto non espressamente previsto dal presente contratto è regolato dagli artt e seguenti del Codice Civile. Art. 5 L I.T.C.S. G. Sommeiller fa presente, altresì, ai sensi e per gli effetti della legge 196/2003 e successive modificazioni ed integrazioni, che i dati personali forniti dal Sig. MUSOLINO Antonino o acquisiti dalla Scuola, nel rispetto della normativa sopra richiamata e degli obblighi di sicurezza e riservatezza saranno oggetto di trattamento finalizzato ad adempimenti richiesti dall esecuzione d obblighi di legge o di contratto inerenti il rapporto di lavoro autonomo, o comunque connesso alla gestione dello stesso. Tali dati potranno essere comunicati, per le medesime esclusive finalità, a soggetti cui sia riconosciuta da disposizioni di legge la facoltà di accedervi. Letto, confermato e sottoscritto. Prot /C14g del 15 MARZO 2016 Codice unico ufficio: UF847Q Cig. Z211903B0E Sottoscrive per accettazione L amministratore di sistema Sig. MUSOLINO Antonino IL TITOLARE (Il Legale Rappresentante della Società) Prof. Giovanni Paciariello