SANGRITANA - MISURE DI SICUREZZA PRIVACY

Transcript

1 SANGRITANA - MISURE DI SICUREZZA PRIVACY M.S.P.01. Misura di sicurezza per una corretta informativa Al fine di garantire una corretta informativa sul sito internet della Ferrovia Adriatico Sangritana Spa (di seguito Sangritana Spa) è pubblicata la policy privacy aziendale: la stessa è aggiornata con cadenza semestrale. Misura a carico del Responsabile Coordinamento Privacy M.S.P.02. Misura di sicurezza per una corretta acquisizione di dati personali di terzi in caso di utilizzazione degli stessi per le finalità per cui sono stati raccolti Al fine di garantire una corretta informativa nel rispetto di quanto previsto dall art. 13 del D.Lgs. n. 196/2003, ogni qualvolta Sangritana Spa provvede ad acquisire dati di terzi, ivi compresi quelli connessi alla videosorveglianza, attraverso apposita dicitura rende noto: il sito internet dov è possibile consultare la policy privacy Sangritana; le finalità per le quali vengono trattati i dati; la modalità di raccolta e trattamento; l impegno a non trattare i dati raccolti per finalità diverse da quelle per i quali sono stati raccolti. Misura a carico del singoli responsabili M.S.P.03. Misura di sicurezza per una corretta acquisizione di dati personali di terzi in caso di utilizzazione degli stessi per le finalità diverse da quelle per cui sono stati raccolti Al fine di garantire una corretta informativa nel rispetto di quanto previsto dall art. 13 del D.Lgs. n. 196/2003, ogni qualvolta Sangritana Spa intende utilizzare dati di terzi per finalità diverse da quelle per cui sono stati raccolti, attraverso apposita dicitura rende noto: il sito internet dove è possibile consultare la policy privacy Sangritana; le finalità per le quali vengono trattati i dati; la modalità di raccolta e trattamento; i soggetti e/o le categorie di soggetti a cui i dati verranno dati Per poter diffondere tali dati o utilizzarli per finalità diverse, Sangritana Spa provvede a farsi autorizzare per iscritto e a comunicare le conseguenze di un eventuale rifiuto. In nessun caso Sangritana Spa trasmette a terzi dati sensibili se non per obbligo di legge. Misura a carico del singoli responsabili

2 M.S.P.04. Misura di sicurezza per un corretto comportamento in termini di privacy da parte di tutto il personale Sangritana Spa Al fine di permettere a tutto il personale (stagisti, collaboratori con contratti a progetto, interinali, assunti a tempo indeterminato/determinato) presente in azienda di adeguare i propri comportamenti agli obblighi previsti dalla normativa ed alle misure di sicurezza aziendali, Sangritana Spa, all atto dell inserimento in azienda, provvede a consegnare la lettera di informazioni/istruzioni a firma del titolare del trattamento unitamente alla Policy Privacy aziendale; Misura a carico del PER M.S.P.05. Misura di sicurezza per la comunicazione all esterno di dati personali a titolarità Sangritana Spa In caso di trasmissione all esterno di dati personali a titolarità Sangritana Spa, nella lettera/pagina di accompagnamento del documento contenente i su indicati dati, va apposta la seguente clausola: I dati personali presenti all interno del presente documento vengono forniti esclusivamente per finalità connesse ad obblighi di legge o ad esecuzione contrattuale. Ogni altro uso degli stessi è da considerarsi non in linea con la normativa contenuta nel D.Lgs. n. 196/2003 relativa al trattamento dei dati personali e pertanto non lecito. Nel trattare tale dati, si invita pertanto il destinatario, nel rispetto di quanto su indicato, ad adottare tutte le misure di sicurezza più adeguate. Misura a carico del singoli responsabili M.S.P.06. Misura di sicurezza per il trattamento dei dati personali dei fornitori Su ogni ordine/contratto di Sangritana è apposta la seguente clausola Sul sito è presente l informativa privacy di Sangritana Misura a carico diupa Su ogni ordine/contratto che per sua natura non prevede il trasferimento al fornitore di dati personali a titolarità Sangritana Spa, è apposta altresì la seguente clausola: Nell espletamento dell attività il fornitore potrà venire a conoscenza di dati/informazioni la cui titolarità del trattamento, ai sensi del Decreto Legislativo n. 196/2003 sul trattamento dei dati personali, è in capo a Sangritana Spa. In tal caso dovrà trattare i su indicati dati personali nel rispetto integrale della normativa 196/2003 ed in particolar modo della parte relativa alle misure di sicurezza. E fatto pertanto assoluto divieto di divulgare a terzi le informazioni personali acquisite se non in adempimento di obblighi di legge o a seguito di adempimento contrattuale con Sangritana Spa ed è altresì fatto obbligo di effettuare ogni trattamento nel rispetto dei diritti

3 dell interessato e quindi permettere a cura del titolare del trattamento, la cancellazione, il blocco, l aggiornamento, la rettifica o la modifica dei dati. Misura a carico di UPA M.S.P.07. Misura di sicurezza a protezione della comunicazione a fornitori dei dati personali a titolarità Sangritana Spa Su ogni ordine/contratto di Sangritana Spa che prevede per sua natura il trasferimento al fornitore di dati personali a titolarità Sangritana Spa è apposto, in luogo della clausola semplice prevista dalla misura di sicurezza M.S.P. 06, la seguente clausola: Il fornitore nell espletamento delle sue attività tratterà dati/informazioni la cui titolarità del trattamento, ai sensi del Decreto Legislativo n. 196/2003 sul trattamento dei dati personali, è in capo a Sangritana Spa. Tali dati personali dovranno essere trattati nel rispetto integrale della normativa 196/03 ed in particolar modo della parte relativa alle misure minime di sicurezza. E fatto pertanto assoluto divieto di divulgare a terzi le informazioni personali acquisite se non in adempimento ad un obbligo di legge o a seguito di adempimento contrattuale con Sangritana Spa ed è altresì fatto obbligo di effettuare ogni trattamento nel rispetto dei diritti dell interessato e quindi permettere, a cura del titolare del trattamento, la cancellazione, il blocco, l aggiornamento, la rettifica o la modifica dei dati. A salvaguardia della propria posizione, la funzione Coordinamento privacy di Sangritana SpA si riserva il diritto di attivare nei confronti del fornitore un attività di audit per la verifica del rispetto integrale della normativa 196/2003 ed in particolare della presenza di adeguate misure di sicurezza a protezione dei dati e della modalità di trattamento dei propri dati. Qualora in ottemperanza agli obblighi contrattuali, Vostro personale/ella dovesse svolgere l attività presso gli uffici Sangritana Spa ed avere accesso a banche dati contenenti dati personali, al Vostro personale/ella è fatto obbligo di documentarsi preventivamente sui contenuti del D.Lgs. n. 196/2003, seguire le indicazioni ed istruzioni contenute nelle ISTRUZIONI che sarà tenuto a procurarsi presso l ufficio coordinamento privacy prima di iniziare l attività lavorativa, di seguire le indicazioni impartite dal Responsabile al trattamento dati cui i dati fanno riferimento e di riferirsi a lui in merito alle misure di sicurezza da adottare. Il fornitore dovrà altresì, per il tramite dell ufficio approvvigionamenti, comunicare al Coordimanento privacy di Sangritana Spa il nome del Responsabile del trattamento, se presente, ed indicare la propria policy privacy con particolare riferimento alle modalità di trattamento ed alle politiche di sicurezza attuate. Al fine di garantire un pieno rispetto dell art. 11, comma 1, lettera e), D.Lgs. n.. 196/2003, il fornitore, trascorsi 6 mesi dal termine della propria attività, dovrà provvedere a cancellare tutti i dati a titolarità Sangritana Spa presenti presso di lui. Misura a carico di UPA

4 M.S.P.08. Misura di sicurezza per la corretta gestione delle banche dati personali aziendali cartacee Al fine di garantirne una corretta gestione, le banche dati personali aziendali cartacee sono mappate e codificate. Nel caso in cui nuovi processi aziendali e/o nuove procedure richiedano la creazione di nuove banche dati aziendali ne dovrà essere data comunicazione al Coordinamento Privacy. Con cadenza semestrale, in occasione dell audit privacy, i singoli responsabili rilasciano un autocertificazione attestante la rispondenza tra le banche dati presenti nella propria area e quelle mappate e codificate Misura a carico del Coordinamento Privacy M.S.P.09. Misure di sicurezza a protezione dei dati personali cartacei Ogni incaricato al trattamento nel trattare documenti cartacei contenenti dati personali non facenti parte delle banche dati aziendali: non riproduce mediante fotocopia o ristampa se non quando previsto da procedure aziendali- i documenti; custodisce i documenti in luoghi ad accesso selezionato e comunque non permette la visone degli stessi a terzi; distrugge i documenti a valle dell utilizzo a meno che gli stessi non debbano concorrere ad implementare una banca dati già esistente e codificata. M.S.P.010. Misure di sicurezza a protezione fisica delle banche dati personali cartacee A protezione delle banche dati cartacee le stesse vanno archiviate in armadi con serratura. Qualora uno dei documenti in essi contenuti dovesse essere trattato da un incaricato, il Responsabile a cui tale banca dati fa riferimento ha cura, anche attraverso controlli a campione, di verificare che lo stesso, a valle del trattamento, venga nuovamente archiviato nella banca dati di appartenenza. M.S.P.011. Misure di sicurezza a protezione fisica contro il rischio di intrusione nei luoghi dove sono custodite banche dati e dati cartacei. A protezione dei luoghi dove sono custodite banche dati personali e/o dati personali, l accesso a tali luoghi, durante l orario di lavoro, è garantito attraverso un sistema di controllo accessi. Misura a carico di SEG/PROT M.S.P.012. Misure di sicurezza per una corretta informativa ai dipendenti Al fine di garantire una corretta divulgativa ai dipendenti, con cadenza annuale, viene consegnata un informativa contenente l elenco dettagliato dei trattamenti

5 che li riguardano, ovverosia di tutti i trattamenti connessi all esecuzione del contratto di lavoro ed allo svolgimento della mansione lavorativa così com è descritta nei processi aziendali. Misura a carico del Coordinamento Privacy M.S.P.013. Misura di sicurezza per l attuazione della normativa 196/2003 in relazione agli Organi Societari ed Assembleari Al fine di rispettare appieno la normativa privacy nei confronti di tutti gli organi societari ed assembleari, sia in termini di informativa che di istruzioni, Sangritana Spa provvede a consegnare ad ogni titolare di incarico societario o assembleare, all atto della nomina, apposita comunicazione denominata Informativa agli Organi Societari e di Controllo Misura a carico di PRE M.S.P.014. Misura di sicurezza a protezione del sistema privacy aziendale Al fine di garantire un efficace gestione del sistema privacy aziendale, sono state definite le seguenti procedure interne: con cadenza annuale viene rivisitato il sistema di responsabilità al fine di verificarne la rispondenza con l assetto organizzativo; con cadenza semestrale viene effettuato un audit tra i singoli responsabili al fine di verificare il rispetto dell attuazione delle misure di sicurezza; con cadenza annuale viene realizzato il DPS. Misura a carico di Coordinamento Privacy M.S.P.015. Misura di sicurezza a protezione della privacy informatica Al fine di garantire il rispetto della deliberazione n. 13 dell 2007 emanata dal Garante, Sangritana Spa provvede ad aggiornare e rendere noto a tutti i propri dipendenti il Regolamento informatico e si adopera affinché le norme in esso contenute vengano rispettate da tutti gli utilizzatori delle risorse informatiche. Misura garantita a cura di SIA M.S.P.016. Misura di sicurezza a protezione dei dati personali presenti nella posta in ingresso. Al fine di impedire un accesso non regolamentato ai dati personali eventualmente presenti all interno della posta in ingresso, vengono istituite n 20 cassette postali munite di chiave, in cui inserire la documentazione una volta individuato il destinatario e scannerizzata. Misura a carico di SEG/PROT Con cadenza mensile Sia provvederà a verificare gli accessi ad archidoc da parte di Seg/prot per verificare eventuali accessi non giustificati. Misura a carico di SIA

6 MISURE DI SICUREZZA PRIVACY BANCHE DATI INFORMATICHE M.S.P.I.01. Misura di sicurezza a protezione dell accesso da parte di non autorizzati delle banche dati informatizzate. Affinché abbiano accesso alle singole banche dati personale esclusivamente gli incaricati al trattamento specificatamente preposti a ciò ogni incaricato provvede a cambiare la propria password di accesso ogni sei mesi nel caso in cui abbia accesso a dati personali ordinari e ogni tre mesi nel caso in cui abbia accesso a dati personali particolari; ogni incaricato deve provvedere ad attivare sulla propria postazione informatizzata lo screen saver con password. M.S.P.I.02. Misura di sicurezza a protezione di un accesso selezionato e monitorato alle banche dati informatizzate. Affinché il personale Sangritana Spa (Responsabili ed incaricati del trattamento) possa avere accesso alle banche dati aziendali, nel rispetto di quanto previsto dal Disciplinare Tecnico allegato al D.Lgs. n. 196/2003, è previsto un articolato sistema di credenziali di accesso per ciascun incaricato, in modo da limitare l accesso ai soli dati necessari per effettuare le operazioni di trattamento. Misura a carico di SIA Per garantire il rispetto delle regole 7, 8 e 14 del Disciplinare Tecnico, ogni Responsabile del trattamento, nella cui area sono intervenute variazioni organizzative che hanno comportato modifiche al tipo di accesso da parte di un suo incaricato, ne da notizia mediante comunicazione scritta al servizio IT affinché lo stesso possa provvedere ad aggiornare il sistema di credenziali. A carico dei singoli Responsabili M.S.P.I.03. Misura di sicurezza per la corretta gestione delle banche dati personali aziendali informatizzate Per garantire una corretta gestione delle banche dati personali aziendali informatizzate, le stesse sono mappate e codificate. Con cadenza semestrale, in occasione dell audit privacy, i singoli responsabili rilasciano una autocertificazione attestante la rispondenza tra le banche dati presenti nella propria area e quelle mappate e codificate Misura a carico del Coordinamento Privacy

7 M.S.P.I.04. Misura di sicurezza a protezione dei server contro il rischio fisico di intrusione. Al fine di impedire l accesso da parte di estranei ai server dove sono archiviate le banche dati personali, i server sono custoditi in luoghi chiusi a chiave e il cui accesso è permesso esclusivamente a personale autorizzato. Misura garantita a cura di SIA M.S.P.I.05. Misure di sicurezza per l utilizzo di notebook aziendali Per garantire il rispetto della normativa sulla privacy ad ogni possessore di notebook aziendale è fatto obbligo di: non dar vita a nessuna banca dati personale a titolarità aziendale sul notebook affidatole; ogni qual volta sia utilizzato il notebook affidatole per redigere documenti di lavoro contenenti dati personali, al termine della sessione di lavoro provvedere a cancellare i files di riferimento o a trasferire gli stessi sui server aziendali M.S.P.I.06. Misura di sicurezza per l utilizzo della videosorveglianza Al fine di rispettare appieno la normativa privacy in materia di videosorveglianza, Sangritana Spa adotta i seguenti accorgimenti: prima di avviare un nuovo trattamento ne verifica la liceità in base alle norme vigenti e al proprio regolamento; informa le persone soggette a ripresa della presenza di attrezzature di video sorveglianza mediante appositi cartelli; effettua le riprese in maniera congrua rispetto agli obiettivi prefissati, raccogliendo esclusivamente i dati strettamente necessari per il raggiungimento delle finalità perseguite, registrando le sole immagini indispensabili, limitando l'angolo visuale delle riprese, evitando, quando non indispensabili, immagini dettagliate, ingrandite o dettagli non rilevanti; stabilisce con precisione entro quanto tempo le immagini devono essere cancellate e prevede la loro conservazione solo in relazione ad illeciti che si siano verificati o ad indagini giudiziarie o di polizia; individua, con designazione scritta, le persone che possono utilizzare gli impianti e prendere visione delle registrazioni; impedisce l'accesso alle immagini da parte di persone non autorizzate. Misura a carico di GPQ

8 M.S.P.I.07. Misura di sicurezza in applicazione di quanto disposto dal Provvedimento del Garante pubblicato sulla G.U. del 24/12/2008 avente ad oggetto nuovi obblighi a carico degli amministratori di sistema Al fine di garantire una corretta applicazione del provvedimento in oggetto, Sangritana Spa registra, tramite società esterna ad hoc preposta, gli accessi al sistema (access log) con modalità che garantiscano completezza, inalterabilità e possibilità di verifica mediante software specificamente preposto a ciò. Un registro cartaceo, contenente i nominativi di tutti gli amministratori di sistema, descrive puntualmente gli accessi, in termini di data/orario, finalità ed attività. Coordinamento privacy, con cadenza semestrale monitora il report attività presente nel registro ed incrocia i dati in esso riportati con quanto registrato dal software di cui sopra. Per le attività IT affidate in outsourcing, Sangritana Spa, al fine di garantire una corretta applicazione del provvedimento in oggetto, oltre ad acquisire una dichiarazione di responsabilità da parte dei fornitori circa le modalità di applicazione del predetto provvedimento, effettua con cadenza annuale un audit volto alla verifica della congruenza o meno tra quanto indicato nella dichiarazione di responsabilità e quanto realmente posto in essere. In particolare ad ogni fornitore viene espressamente richiesto di predisporre sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione ed agli archivi elettronici (nella qualità di amministratore di sistema ); tali registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di controllo della loro integrità adeguate al raggiungimento dello scopo di verifica per cui sono richieste. Misura garantita a cura di SIA