DOCUMENTO PROGRAMMATICO SULLA SICUREZZA. Ai sensi e per gli affetti del D.Lgs. 30 giugno 2003, n. 196, Allegato B punto 19

Transcript

1 Per trattamento di dati deve intendersi: qualunque operazione o complesso di operazioni, svolte con o senza l ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, l elaborazione, la modifica, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati. Sono dati personali tutte le informazioni che permettano l identificazione del soggetto cui si riferiscono, ad esempio dati anagrafici, recapiti telefonici, fotografie, ecc. Al fine di una corretta applicazione della legge citata, nonché di una adeguata tutela dei diritti degli Interessati è fatto assoluto divieto di comunicare, diffondere, utilizzare i dati personali provenienti dalle banche dati dell azienda, in assenza dell autorizzazione del responsabile. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Ai sensi e per gli affetti del D.Lgs. 30 giugno 2003, n. 196, Allegato B punto 19 Il sottoscritto responsabile della sicurezza dei dati trattati dall impresa _NEW STYLE S.R.L. secondo quanto previsto dall allegato B, punto 19, del D.Lgs. 30 giugno 2003, n. 196, redige il presente Documento Programmatico sulla Sicurezza, impegnandosi a procedere ad una sua revisione nel termine di legge del 31 marzo di ogni anno. Informazioni richieste. Elenco trattamento dati: Nella struttura sono trattati dati comuni e/o sensibili di clienti dell impresa o di dipendenti dei clienti stessi. Detto trattamento viene effettuato per obblighi di legge di tipo contrattuale, contabile, retributivo, dichiarativo, fiscale, ecc. Compiti e responsabilità: Il titolare dei dati trattati nell impresa è la Sig. _GABRIELLI MARIA. Il responsabile del trattamento è la Sig. _FONTANINI STEFANIA_. L incaricato della custodia delle parole chiave è la Sig. _FONTANINI STEFANIA. Il soggetto incaricato alla manutenzione del sistema è la società _S.I.T. _. Gli incaricati al trattamento dei dati, sono i Sigg.ri: _FONTANINI STEFANIA e GABRIELLI GIORGIO Ognuno di tali soggetti, per preso incarico, ha avuto notizia delle cautele con cui è necessario trattare i dati di terzi, delle proprie responsabilità in merito e delle limitazioni cui sottostare nel trattamento stesso. Analisi dei rischi sui dati: Essendo i dati trattati reperibili sia su supporto cartaceo che su supporto informatico, essi sono esposti a diverso genere di rischio.

2 Supporto cartaceo: il documento cartaceo contenente i dati da trattare è esposto al rischio di smarrimento; distruzione; trafugamento. Supporto informatico: il documento informatico contenente i dati da trattare è esposto al rischio di distruzione, trafugamento. Misure adottate per garantire l integrità e la disponibilità dei dati e la protezione dei locali: Vista l analisi dei potenziali rischi sopra esposti, si è operato e si opererà nel seguente modo per ovviare ai possibili accadimenti negativi sui dati trattati. Protezione dei locali: i locali dello Stabile sono protetti da due cancelli esterni che di notte e nell orario di pausa pranzo vengono regolarmente chiusi. L accesso ai locali è, inoltre, chiuso nel periodo di riposo, da una porta con accesso controllato tramite tessera con codice personale. Le tessere di accesso sono in dotazione limitata ai titolari e dipendenti della struttura e dei clienti in base alle necessità di accesso risultanti da contratto. I vetri in dotazione alle finestre sono di tipo antisfondamento. Il locale, al suo interno, è protetto da un sistema di allarme collegato via telefono con il locale istituto di vigilanza privata. Detto sistema di allarme è dotato di una centralina e di rilevatori di movimento con infrarossi ubicati in più punti nevralgici, di accesso e interni alla palazzina. Protezione degli strumenti e dei dati informatici: gli strumenti informatici sono mantenuti in buona efficienza a mezzo di un contratto di assistenza continua, hardware e software, stipulato con azienda specializzata ed incaricata in tal senso. In caso di mal funzionamento, con possibile perdita dei dati contenuti nel disco fisso, la responsabile della manutenzione provvede al provvisorio cambio dell hardware ed al ripristino del software. Vi sarà poi il caricamento degli archivi tramite copia esterna. Viene infatti operata, con cadenza settimanale una copia degli interi archivi informatici relativi ai dati trattati in contabilità. Un secondo disco esterno, risulta essere una seconda identica copia della banca dati, effettuata con cadenza giornaliera. La data delle dette copie manuali risulterà invece da un apposito registro interno. In tal modo si ovvierà al rischio di distruzione dei dati. Per il rischio connesso al trafugamento dei dati informatici si agisce in due modi: 1) ogni incaricato al trattamento sarà dotato di un suo codice identificativo e di una propria password (di almeno 8 caratteri) per accedere al server dalla propria postazione. Ciò garantirà l accesso alle banche dati solo da parte dei soggetti autorizzati. Anche per accedere direttamente al server sarà stabilito un codice ed una specifica password direttamente dall azienda di manutenzione. Dette password saranno custodite da soggetto appositamente incaricato. 2) La connessione internet in Adsl sarà effettuata solo dal computer centrale che riguarda il server dove vengono trattati i dati. Al fine di evitare ogni possibile intrusione esterna nei dati presenti nel server è stato installato, tra il rooter di accesso al web e la rete interna un apposito firewall, hardware e software. Vi è inoltre la presenza di apposito software antivirus. Protezione supporti cartacei: la protezione di detti supporti viene innanzitutto effettata a mezzo archiviazione in appositi armadietti dotati di chiusura a chiave. Vi è poi una stanza archivio con scaffali, che sarà protetta da una porta con sua chiusura di sicurezza

3 tramite porta blindata. L accesso agli archivi sarà consentito solo agli incaricati al trattamento. La struttura è dotata di estintori da utilizzare in caso di emergenza. Contro le possibilità di smarrimento viene prevista una specifica archiviazione dei supporti cartacei distinti per oggetto (dati contabili, dati clienti uffici, box, autolavaggio ecc..) ed all interno dell oggetto per soggetto cliente con apposite cartelline. All interno di ciascuna cartellina è poi prevista l archiviazione con altre sottocartelle che evidenziano particolari atti e/o situazioni e che contengono i supporti ad esse riferibili. Modalità di ripristino dati: In caso di distruzione dei dati si farà ricorso alle copie effettuate come meglio specificato in precedenza. Grazie a tali supporti esterni, che saranno conservati in appositi armadietti con chiusura a chiave, sarà possibile ripristinare i dati trattati evitando la perdita o il danneggiamento degli stessi. Si potrà inoltre ricorrere al secondo disco fisso, installato nel server, quale copia del primo. Formazione incaricati: Gli incaricati al trattamento saranno inizialmente resi edotti circa i metodi del trattamento dei dati da parte del responsabile del trattamento. Si distingue tra: trattamento dati su supporti cartacei e trattamento dati su supporti informatici. Con la cadenza necessaria ed in seguito ad eventuali mutamenti nel software, nell hardware o nel sistema di archiviazione cartaceo, saranno tenute apposite riunioni tra il responsabile e gli incaricati dove saranno stabiliti i sistemi ritenuti più idonei al trattamento. Ciò nell ambito della formazione interna mirata a mantenere aggiornati gli incaricati circa i rischi, le responsabilità e le metodologie di trattamento dei dati. Trattamento minimo dati all esterno: Per quanto riguarda la residuale ipotesi di trattamento dati da fornire all esterno dello Stabile, si fa presente che per ogni singola situazione di questo tipo dovrà essere richiesto il consenso specifico al responsabile del trattamento, il quale l autorizzerà o meno. Ogni incaricato al trattamento è stato reso consapevole di tale limite alla sua facoltà di agire sui dati trattati.

4 INFORMATIVA PER TRATTAMENTO CON DATI PERSONALI COMUNI E SENSIBILI Documento Informativo ai sensi e per gli effetti di cui all art. 13, D.Lgs. 30 giugno 2003, n. 196 In osservanza a quanto previsto dal D.Lgs. 30 giugno 2003, n. 196, siamo a fornirle le dovute informazioni in ordine alle finalità e modalità del trattamento dei Suoi dati personali, nonché l ambito di comunicazione e diffusione degli stessi, la natura dei dati in nostro possesso e del loro conferimento. Finalità del trattamento: - I Suoi dati personali, comuni e /o sensibili, saranno utilizzati per l assolvimento di specifici obblighi di legge tra i quali: obblighi contrattuali, contabili, retributivi, previdenziali, dichiarativi, fiscali, ecc. Ai fini dell indicato trattamento, il titolare potrà venire a conoscenza di dati definiti sensibili ai sensi del D.Lgs. 30 giugno 2003, n. 196, quali quelli idonei a rivelare l origine razziale od etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, lo stato di salute e la vita sessuale. Modalità del trattamento: Il trattamento sarà effettuato con l ausilio dei moderni sistemi informatici e ad opera di soggetti a ciò appositamente incaricati. Una volta operato il trattamento informatico, i documenti cartacei, se non a Lei restituiti, saranno conservati nel nostro archivio, in appositi armadietti in metallo, in apposite cartelle nominative. All archivio hanno accesso solo i soggetti appositamente incaricati del trattamento. Ambito di comunicazione e diffusione: I Suoi dati, oggetto del trattamento, saranno/potranno in seguito essere comunicati a: - Uffici, Enti, Istituti od Agenzie pubblici ed amministrazioni dello Stato per obblighi di legge di tipo contrattuale, contabile, retributivo, previdenziale, dichiarativo, fiscale, ecc. Ogni ulteriore comunicazione o diffusione avverrà solo previo Suo esplicito consenso. Natura del conferimento: Il conferimento dei dati è per Lei obbligatorio in quanto necessario per l assolvimento di obblighi contrattuali contabili, retributivi, previdenziali, fiscali, ecc.

5 Il titolare rende noto, inoltre, che l eventuale non comunicazione, o comunicazione errata, di una delle informazioni obbligatorie, ha come conseguenze emergenti: - l impossibilità del titolare di garantire la congruità del trattamento stesso ai patti contrattuali per cui esso sia eseguito; - la possibile mancata corrispondenza dei risultati del trattamento stesso agli obblighi imposti dalla normativa fiscale, amministrativa o del lavoro cui esso è indirizzato. Lei potrà far valere i propri diritti come espressi dall art. 7, 8, 9 e 10 del D.Lgs. 30 giugno 2003, n. 196, rivolgendosi al responsabile del trattamento. Titolare del trattamento è la Sig. GABRIELLI MARIA. Il responsabile del trattamento è la Sig. FONTANINI STEFANIA Responsabile del trattamento dei dati Ai sensi e per gli effetti del D.Lgs. 30 giugno 2003, n. 196, in relazione ai seguenti trattamenti: trattamento dati per l assolvimento di specifici obblighi di legge tra i quali, obblighi contrattuali, contabili, retributivi, previdenziali, dichiarativi, fiscali, ecc. Nella sua qualità, il responsabile ha il dovere ed il potere di compiere tutto quanto si renderà necessario ai fini del rispetto e della corretta applicazione della Legge 675/96. Specificatamente il responsabile è tenuto a: - individuare e nominare per scritto gli incaricati del trattamento, impartendo loro le idonee istruzioni; - vigilare sul rispetto delle istruzioni impartite agli incaricati; - adottare e rispettare le misure di sicurezza indicate e predisposte dal titolare del trattamento; - vigilare sul rispetto di dette misure di sicurezza da parte dei soggetti nominati incaricati; - verificare semestralmente lo stato di applicazione del D.Lgs. 30 giugno 2003, n. 196, nonché il buon funzionamento, la corretta applicazione e la conformità alle indicazioni dell Autorità Garante dei sistemi e delle misure di sicurezza adottate; - predisporre, a seguito di ciascuna verifica, una relazione scritta in ordine a tutti gli adempimenti eseguiti ai sensi del D.Lgs. 30 giugno 2003, n. 196, alla documentazione raccolta ed archiviata, ai sensi del medesimo decreto nonché in ordine alle misure di sicurezza. Tale relazione dovrà essere, successivamente, trasmessa al titolare del trattamento; - evadere tempestivamente tutte le richieste e gli eventuali reclami degli interessati; - evadere tempestivamente le richieste di informazioni da parte dell Autorità Garante e dare immediata esecuzione alle indicazioni che perverranno dalla medesima Autorità; - interagire con i soggetti incaricati di eventuali verifiche, controlli o ispezioni;

6 - comunicare immediatamente al titolare gli eventuali nuovi trattamenti da intraprendere nel proprio settore di competenza, provvedendo alle necessarie formalità di legge; - distruggere i dati personali in caso di cessazione del trattamento degli stessi, provvedendo alle necessarie formalità di legge.