DELIBERAZIONE DELLA GIUNTA COMUNALE

Transcript

1 DELIBERAZIONE DELLA GIUNTA COMUNALE Numero 71 Del Oggetto: DECRETO LEGGE 9 FEBBRAIO 2012 N. 5 PUBBLICATO SUL SUPPLEMENTO N. 27 ALLA GAZZETTA UFFICIALE DEL 9 FEBBRAIO 2012 N. 33. TRATTAMENTO DEI DATI CON STRUMENTI ELETTRONICI: DETERMINAZIONI. L'anno duemiladodici addì ventinove del mese di marzo alle ore 09:00 nella Sede Comunale convocata nei modi di legge si è riunita la Giunta Comunale, All appello risultano : CARULLO MASSIMILIANO Sindaco P SOZIO RAFFAELE Vice Sindaco P MATARAZZO ANNA Assessore A EVANGELISTA FABIO Assessore A GESUALDO MODESTINO Assessore P CORRADO GAETANO Assessore P DELLO RUSSO GIACOMO Assessore P presenti n. 5 e assenti n. 2. Partecipa il Segretario DR. FESTA GEMMA. Il Sindaco, PROF. CARULLO MASSIMILIANO, assunta la Presidenza e constatata la legalità dell adunanza dichiara aperta la seduta e pone in discussione la proposta di deliberazione relativa all'oggetto:

2 LA GIUNTA COMUNALE Premesso che: - il D.Lgs n. 196 "Codice in materia di protezione dei dati personali", prevede: 1. all'art. 31 che "i dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta"; 2. all'art. 34 che "il trattamento dei dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato b) le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari"; Dato atto che: - l'allegato b) - disciplinare tecnico in materia di misure minime di sicurezza - del D.Lgs n. 196/2003 stabiliva che entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redigeva un documento programmatico sulla sicurezza contenente idonee informazioni riguardo: a) l'elenco dei trattamenti di dati personali; b) la distribuzione di compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati; c) l'analisi dei rischi che incombono sui dati; d) le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; e) la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; f) la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; g) la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare; il Decreto Legge 9 febbraio 2012 n. 5 pubblicato sul Supplemento n. 27 alla Gazzetta Ufficiale del 9 febbraio 2012 n. 33, ha eliminato l obbligo di redazione del DPS e del relativo aggiornamento annuale entro il 31 marzo, termine ultimo per la predisposizione del DPS quando lo stesso era previsto come obbligo; Questa importante innovazione prevista nel D.L. stabilisce che ad essere eliminato è un obbligo

3 di redazione, ma non esiste certo un divieto di predisposizione del DPS o di altro documento similare che in ogni caso, anche se non più con riferimento alle varie disposizioni del disciplinare, potrà sempre essere considerato un utile documento di sintesi sullo stato di sicurezza dell Ente; Nel dettaglio sono stati abrogati gli obblighi derivanti dall articolo 34 del Codice privacy che imponevano la redazione del Documento. In soffitta è andata anche la regola 19 che riguardava il contenuto del DPS, la regola 26 che stabiliva l'obbligo di menzione dell'avvenuta adozione nella relazione di accompagnamento al bilancio di esercizio e il comma 1 bis che prevedeva la possibilità di sostituire l'obbligo di adozione del DPS con un'autocertificazione; La conferma dell abolizione è arrivata anche dal sito del garante della Privacy. La decisione arriva dopo che altri provvedimenti avevano ridotto i soggetti che dovevano produrre il Documento. In origine, infatti, il DPS era obbligatorio per tutti coloro che trattavano i dati sensibili o giudiziari mediante l'impiego di strumenti elettronici (indipendentemente dalla natura e dal tipo di ragione sociale). L eliminazione del Documento comporta comunque l obbligo di rivedere alcuni adempimenti relativi alla privacy che erano realizzati al momento della redazione del DPS: 1. eseguire periodicamente un aggiornamento degli ambiti dei trattamenti sia cartacei che elettronici che normalmente confluivano nei cosiddetti elenchi dei trattamenti costituenti anche l'occasione per l'aggiornamento delle nomine ad incaricato al trattamento; 2. indicare il personale che esegue le attività di controllo circa l'uso degli strumenti elettronici aziendali; 3. seguire gli obblighi per la nomina degli amministratori di sistema, 4. tenere l elenco dei soggetti nominati responsabili 5. preparare per i soggetti pubblici un piano di disaster recovery. Ai fini della predisposizione di un efficace piano di disaster recovery un simile documento può essere sostituito da disposizioni ed indirizzi al fine di attuare un efficace politica di sicurezza, partendo proprio dal DPS, disponibile presso l Ente; L eliminazione del comma 1 bis dell'art 34 del Codice privacy non comporta l abolizione delle misure di sicurezza semplificate. Di queste misure infatti potranno continuare ad avvalersi i soggetti che trattano come soli dati sensibili quelli relativi alla malattia di dipendenti e collaboratori e quelli sindacali; Appare opportuno e conveniente tenere un documento che raccolga le misure di sicurezza adottate negli anni dall Ente in caso di eventuali contestazioni; Ai fini della predisposizione di un efficace piano di disaster recovery un simile documento potrebbe essere sostituito da disposizioni ed indirizzi al fine di attuare un efficace politica di sicurezza; Accertato che: - il DPS esistente presso l Ente, conformemente a quanto previsto dal Codice, non va più aggiornato entro il 31 marzo di ogni anno; Dato atto che: - presso l Ente verranno attuati, periodicamente,vari interventi formativi sul personale dipendente, sui contenuti e sulle disposizioni previste dal D.Lgs. 196/2003; Visto il parere favorevole espresso in merito alla proposta di deliberazione ai sensi e per gli effetti dell'art. 49 del D.Lgs n. 267/2000 dai Responsabili dei settori dell ente; Con votazione unanime palese; DELIBERA - Di approvare, per le ragioni espresse, la premessa che forma parte integrante del presente dispositivo per sostanziarne il contenuto. - Di dare atto che tutti i soggetti interni ed esterni al Comune che intervengono nel trattamento dei dati, al fine di trattare gli stessi nel rispetto delle vigenti disposizioni legislative, devono attenersi alle seguenti disposizioni, che saranno coordinate DELIBERA DI GIUNTA n.71 del COMUNE DI MERCOGLIANO Pag. 3

4 dall Amministratore di Sistema: 1. Comunicare con immediatezza all amministratore di sistema, eventuali rischi che incombono sui dati; 2. Osservare le misure ed adottare tutti gli accorgimenti utili per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; 3. Osservare le disposizioni recanti i criteri e le modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; 4. Partecipare agli interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; 5. Fare osservare l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno dell Ente; Di dare atto che permane l integrale applicazione dell art. 34 del d.lgs. 196/03, nell ipotesi di trattamento dei dati con strumenti elettronici, con il conseguente onere per i titolari / responsabili del trattamento di predisporre: 1. l autenticazione informatica; 2. l adozione di procedure di gestione delle credenziali di autenticazione; 3. l utilizzazione di un sistema di autorizzazione; 4. l aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici provvedendo anche alla formazione degli stessi al fine di garantire l effettiva protezione dei dati, nonché l efficacia delle misure minime adottate; 5. la protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; 6. l adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; 7. l adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. 8. Ciò posto, si evidenzia come sarà ancora necessario, - Di stabilire che ciascun responsabile di Settore, provvederà a definire con l Amministratore di Sistema, soluzioni operative per l'applicazione delle misure minime di sicurezza atte ad osservare le disposizioni cui agli artt. 28 e 29 del d.lgs.196/03, per garantire il corretto adempimento delle misure minime previste dall art. 34 e dall Allegato B. - Di trasmettere la presente deliberazione ai responsabili dei settori dell Ente e al Responsabile CED per gli adempimenti di competenza; - I responsabili dei settori assicureranno che i servizi interessati collaborino, ciascuno per gli adempimenti di rispettiva competenza, all esecuzione della presente deliberazione; - Di disporre che il presente atto venga pubblicato nell Albo Pretorio on-line di questo Comune ai sensi dell art. 32, comma 1, della legge , n 69. Di dichiarare il presente provvedimento immediatamente eseguibile ai sensi dell art comma del D.Lgs. n. 267/2000, dando atto del voto favorevole unanime dei componenti della Giunta Comunale.

5 =================================================================== REGOLARITA TECNICA Si dichiara che le norme e gli atti richiamati nelle premesse sono stati debitamente esaminati ai sensi del 1 comma Art. 49 D.lvo 267/00 si esprime PARERE Favorevole Data: Il Responsabile del Servizio DI GREZIA FLAVIANO Il Responsabile del Settore =================================================================== DELIBERA DI GIUNTA n.71 del COMUNE DI MERCOGLIANO Pag. 5

6 Il presente verbale viene letto, approvato e sottoscritto IL SINDACO PRESIDENTE F.TO PROF. CARULLO MASSIMILIANO CERTIFICATO DI PUBBLICAZIONE Il sottoscritto Segretario Generale certifica che su attestazione del messo comunale copia della presente deliberazione è stata pubblicata all'albo Pretorio di questo Comune il giorno per la prescritta pubblicazione di 15 giorni consecutivi e vi rimarrà fino al Mercogliano lì, Il sottoscritto Segretario Generale, visti gli atti d'ufficio ATTESTA Che la presente deliberazione è divenuta esecutiva il giorno A) Perchè dichiarata immediatamente eseguibile (Art.134, comma 4 D.L.vo 267/00); B) Decorsi 10 giorni dalla pubblicazione (Art.134, comma 3 D.L.vo 267/00); Dal Municipio lì, Copia conforme all originale, per uso amministrativo e di ufficio. Dal Municipio lì, DR. FESTA GEMMA

7 DELIBERA DI GIUNTA n.71 del COMUNE DI MERCOGLIANO Pag. 7