PRIVACY. Federica Savio M2 Informatica

Transcript

1 PRIVACY Federica Savio M2 Informatica

2 Adempimenti tecnici obbligatori e corretta salvaguardia dei dati e dei sistemi

3 Normativa di riferimento - oggi D.LGS 196/2003 Codice in materia di protezione dei dati personali successive modifiche (p.e. Decreto Semplificazioni del 9 febbraio 2012 e Provvedimenti del Garante) e relativi allegati ( n.b. Allegato B - Disciplinare Tecnico in materia di misure minime di sicurezza)

4 Normativa di riferimento - domani 2016/2017 Regolamento Europeo

5 Cosa sono i dati personali Qualunque informazione relativa a persona fisica o giuridica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale (p.e. codice cliente, codice fiscale ) Può essere anche una valutazione soggettiva (descrizioni, giudizi, analisi, ricostruzioni ecc.) -

6 Come si suddividono DATI COMUNI, ANAGRAFICI - IDENTIFICATIVI DATI SENSIBILI E GIUDIZIARI

7 Dati sensibili lo stato di salute (certificati medici, permessi L104, pratiche infortuni ) la vita sessuale (8*1000 associazione arcobaleno, certificati coppie di fatto ) l origine razziale o etnica (permesso di soggiorno, stato di rifugiato ) le convinzioni religiose, filosofiche o di altro genere (8*1000 chiesa cattolica/valdesi, acquisto certe tipologie di prodotti ) le opinioni politiche, l adesione a partiti, sindacati, associazioni (adesione a un sindacato, permesso in busta paga per assemblea sindacale ) l adesione a organizzazioni di carattere religioso, filosofico, politico o sindacale (5*1000 amici di Fido, visualizzazione tessere sindacati per diritto a sconti)

8 Il trattamento Operazione o complesso di operazioni, effettuate anche senza l ausilio di strumenti elettronici, riguardanti: Raccolta, Registrazione, Organizzazione, Conservazione, Consultazione, Elaborazione, Modificazione, Selezione, Estrazione, Raffronto, Utilizzo, Interconnessione, Blocco, Comunicazione, Diffusione, Cancellazione, Distruzione dei dati, anche se non registrati in una banca dati COMUNICAZIONE: soggetti definiti e identificati (p.e. riunione aziendale, invio dati a commercialista ) DIFFUSIONE: soggetti indeterminati (p.e. pubblicazione su internet, comunicazione durante comizio pubblico.)

9 L interessato La persona fisica o giuridica cui si riferiscono i dati

10 I soggetti coinvolti

11 I Soggetti coinvolti

12 I Soggetti coinvolti TITOLARE persona fisica, giuridica, P.A., ente o associazione cui compete la decisione circa le modalità e gli strumenti per il trattamento. È il responsabile amministrativo e penale RESPONSABILE - persona fisica, giuridica, P.A., ente o associazione preposta dal titolare al trattamento dei dati. Concorre con il titolare nella responsabilità verso il Garante e l interessato INCARICATO persona fisica autorizzata a compiere operazioni di trattamento dei dati dal titolare o dal responsabile. Non risponde direttamente all interessato o al Garante, responsabilità ricade su Titolare/Responsabile

13 Sicurezza del sistema informatico Adempimenti tecnici Rif. Allegato B -Disciplinare tecnico in materia di misure minime di sicurezza -

14 Sistema di autenticazione informatica Ad ogni incaricato viene assegnato un codice per l identificazione (utente), attivato da una password conosciuta esclusivamente dall incaricato o da una caratteristica biometrica (es. impronta digitale) La password, composta da almeno 8 caratteri, non deve contenere riferimenti riconducibili all incaricato e non può avere validità superiore ai 6 mesi (ai 3 mesi in caso di trattamento di dati sensibili)

15 Gestione delle credenziali Utente e password devono essere consegnate in busta chiusa, recante la data di assegnazione al responsabile della custodia delle credenziali questa misura può essere abolita se sistema chiede automaticamente il cambio password in caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile utilizzare (o forzare) le credenziali di autenticazione, il responsabile dovrà darne immediata comunicazione allo stesso affinché provveda a sostituirle

16 Protezione degli strumenti elettronici e dei dati Adozione di un apparato firewall e anti-spam che limiti al massimo il rischio di accesso indesiderato, soprattutto quando si utilizza una connessione internet condivisa (ADSL, HDSL, Fibra ) o quando è presente anche un solo indirizzo IP pubblico sulla rete Adozione di un sistema antivirus, costantemente aggiornato, in grado di controllare ogni passaggio di dati all interno della rete, inclusi mail e accessi ad internet

17 Protezione degli strumenti elettronici e dei dati Aggiornamento periodico dei sistemi operativi presenti nella struttura, in modo tale da limitare eventuali debolezze intrinseche che potrebbero accrescerne la vulnerabilità Adozione del software Access Log finalizzato alla registrazione e il controllo degli accessi degli Amministratori di Sistema

18 Protezione degli strumenti elettronici e dei dati Adozione di procedure di blocco della stazione di lavoro in caso di assenza prolungata dell incaricato. Per esempio, salvaschermo protetti da password Adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

19 Custodia e ripristino dei dati Esecuzione, con cadenza minima settimanale, del backup dei dati su supporti (almeno 2 diversi) che possano essere custoditi in luogo sicuro Adozione di procedure finalizzate al ripristino della disponibilità dei dati e dei sistemi

20 Misure di sicurezza Minime (quelle sopra descritte) Adeguate (a ciascun sistema) backup giornaliero + settimanale + mensile Sistema firewall «intelligente»: blocco siti pericolosi o navigazione internet e funzioni di antivirus e antispam sulla posta in arrivo Gruppi di continuità

21 Sistema informatico - Obblighi annuali Controlli: stato e conformità apparecchiature hardware stato aggiornamento Antivirus e sistema operativo aggiornamento password (trimestrale o semestrale) stato aggiornamento sicurezza rete verifica applicazione di tutte le misure minime e di quelle idonee

22 La documentazione

23 Uno sguardo rapido DPS si o no? Informativa e consenso Nomine Report

24 GRAZIE