Città di Avezzano. Regolamento attuativo della legge 675/96 e del D.Lgs. 135/99. Deliberazione G.M. n. 601 del privacy.

Transcript

1 Città di Avezzano Regolamento attuativo della legge 675/96 e del D.Lgs. 135/99 Deliberazione G.M. n. 601 del privacy.doc 1

2 Art. 1 Oggetto 1. Il presente regolamento disciplina l'ordinamento degli uffici e dei servizi del Comune di Avezzano con riferimento alle seguenti specifiche modalità di: * Trasmissione a privati di dati personali contenuti nelle singole banche dati presenti presso gli uffici comunali; * Attuazione delle disposizioni definite dall'art. 22, comma 3 e 3 bis della legge n. 675/96, e successive modificazioni e integrazioni nonché di quelle del D. lgs. 135/99; * Individuazione e compiti dei responsabili delle banche dati esistenti presso gli uffici; * Utilizzo dei dati in possesso di un ufficio comunale da parte di altri uffici comunali. 2. Le disposizioni del presente regolamento garantiscono il trattamento di informazioni a carattere sensibile, acquisite dall'amministrazione o a essa rese, riguardanti persone fisiche o giuridiche, secondo criteri coerenti con la normativa in materia di tutela dei dati personali. Art. 2 Definizioni 1. Ai fini del presente Regolamento si intendono: (a) (b) (c) Per "dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimenti a qualsiasi altra informazione, ivi compreso un numero di identificazione personale, acquisita dall'ente o ad esso conferita dall'interessato in relazione allo svolgimento di attività istituzionale e trattata secondo quanto previsto dalla legge 675/96; Per "dato sensibile", ogni dato idoneo a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; Per "banca dati", un qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento; (d) Per "interessato", la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali, (e) (f) Per "tipo di dati", la specificazione del dato in relazione all'attività svolta e definita dalla legge o, in via transitoria, dal Garante di rilevante interesse pubblico; Per "operazioni eseguibili" le differenti forme e soluzioni di trattamento realizzabili sulle tipologie di dati individuati dall'ente; privacy.doc 2

3 (g) (h) (i) (j) Per "comunicazione", il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; Per "diffusione", il dare conoscenza dei dati personali a soggetti indeterminati, in qualsiasi forma, anche mediante la loro messa a disposizione o consultazione; Per "titolare", il Sindaco cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento dei dati personali, ivi compreso il profilo della sicurezza; Per "responsabile", il Dirigente del Settore preposto dal titolare al trattamento dei dati personali; (k) Per "incaricato" le persone fisiche incaricate per iscritto di compiere le operazioni del trattamento dal responsabile, e che operano sotto la loro diretta autorità attenendosi alle istruzioni dagli stessi impartite. La loro nomina è obbligatoria. Art. 3 Titolare, Responsabili, incaricati 1. Il Comune di Avezzano, nella persona del Sindaco suo legale rappresentante è il titolare dei dati personali gestiti dalle proprie articolazioni organizzative e delle relative banche dati ed è rappresentato, ai fini previsti dalla legge 675/96 e successive modifiche ed integrazioni dal Sindaco stesso, il quale provvede alla nomina dei Responsabili del trattamento individuati nella figura dei Dirigenti dell'ente, che a loro volta nominano per iscritto gli incaricati. 2. Ai sensi della legge 675/96 e successive modifiche e integrazioni e del presente regolamento il titolare, provvede a: * comunicare al Garante per la protezione dei dati personali le attività individuate per le quali non è determinata dalla legge una corrispondente rilevante finalità di interesse pubblico; * formulare, per iscritto, le istruzioni e le direttive di massima rivolte ai responsabili ed agli incaricati; * controllare la corretta applicazione della legge, delle istruzioni e delle direttive impartite; * costituire ed aggiornare l'archivio delle banche dati, personali e sensibili, esistenti ed i nominativi dei rispettivi responsabili e incaricati. 3. Dalla data di entrata in vigore del presente regolamento, i Dirigenti sono responsabili di tutte le banche dati, personali e sensibili, esistenti nelle articolazioni organizzative di loro competenza nonché dei relativi trattamenti. Il titolare può designare altri Responsabili, ai sensi dell'art. 8, comma 3 della legge 675/96 e successive modifiche e integrazioni. I Dirigenti comunicano al Titolare (Sindaco) i nominativi degli incaricati del trattamento designati all'interno della propria struttura organizzativa. 4. I Dirigenti Responsabili per il trattamento dei dati che, ai fini della responsabilità attribuita sono tutti domiciliati presso la sede del Comune di Avezzano, provvedono, per i rispettivi ambiti di competenza, a tutte le attività previste dalla legge ed in particolare a: privacy.doc 3

4 (a) (b) (c) Individuare e comunicare i nominativi al titolare del trattamento (Sindaco) dei soggetti incaricati del trattamento dei dati; fornire agli incaricati, per iscritto, sulla base delle direttive di massima impartite dal Titolare, le istruzioni per il corretto trattamento dei dati personali, eseguendo gli opportuni controlli; adottare le misure e disporre gli interventi necessari per la sicurezza della conservazione di dati e per la correttezza dell'accesso sulla base delle direttive a tale scopo impartite dal Responsabile del CED; (d) curare, ai sensi dell'art. 10 della legge 675/96 e successive modifiche ed integrazioni, l'informazione agli interessati predisponendo, in particolare, la modulistica, o altre forme idonee di informazione, inerenti i propri uffici facendo, in caso di dati sensibili, espresso riferimento alla normativa che prevede gli obblighi o i compiti in base alla quale è effettuato il trattamento; (e) (f) (g) (h) adottare le misure occorrenti per facilitare l'esercizio dei diritti dell'interessato ai sensi dell'art. 13 della legge 675/96 e successive modifiche e integrazioni; inviare al garante, attraverso il titolare le comunicazione e le notificazioni previste dalla legge 675/96 e successive modifiche e integrazioni; stabilire le modalità di gestione e le forme di responsabilità relative a banche dati condivise da più articolazioni organizzative, d'intesa con gli altri responsabili. In caso di mancato accordo, sentito i responsabili decide il Titolare; individuare le tipologie di dati sensibili assoggettabili a trattamento secondo le garanzie degli articoli 2, 3 e 4 del D. lgs. n. 135/99 e le operazioni su di essi eseguibili. 5. Nella situazione di affidamento all'esterno della gestione di una banca dati, il Titolare provvede alla nomina del concessionario a responsabile, mediante l'inserimento di una clausola in tal senso nel contratto con lo stesso stipulato, ai sensi della legge 675/96 e successive modifiche e integrazioni, del trattamento dei dati delle banche dati per tutta la durata del rapporto convenzionale. In tal caso, le suindicate attività, relativamente alle banche dati gestite, sono svolte prioritariamente dal concessionario conservando peraltro il Titolare il dovere di eventuale attivazione o di vigilanza. 6. Ai fini della definizione delle direttive da impartire agli incaricati, la struttura responsabile dei sistemi informativi provvede, in relazione alle conoscenze acquisite in base al progresso tecnologico, ad assicurare lo sviluppo delle misure di sicurezza degli archivi informatici previste dall'art. 15 della legge 675/96 e successive modifiche e integrazioni al fine di: * ridurre al minimo il rischio di distruzione o perdita, anche accidentale dei dati memorizzati su supporto magnetici o ottici gestiti, nonché delle banche dati e dei locali ove sono collocate; * evitare l'accesso non autorizzato alle banche dati, alla rete e, in generale, ai servizi informatici del Comune; * prevenire trattamenti dei dati non conformi alla legge o ai regolamenti e la cessione o distribuzione dei dati in caso di cessazione del trattamento. 7. Gli incaricati effettuano tutte le operazioni di trattamento dei dati con le modalità di cui agli privacy.doc 4

5 artt. 9 e 10 della legge 675/96 e successive modifiche e integrazioni e nel rispetto delle istruzioni e direttive impartite dal titolare o dal responsabile. 8. La funzione di coordinamento e di controllo per quanto riguarda gli archivi informatici fanno capo al Dirigente del CED. Art. 4 Sanzioni 1. L'incaricato che cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'art del codice civile: 2. Chiunque, essendovi tenuto, non provvede a notificare al Garante che intende procedere al trattamento di dati personali, nonché del trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, qualora sia diretto verso un paese non appartenente all'unione Europea o riguardi dati sensibili o dati relativi ai provvedimenti di cui all'art. 686 codice di procedura penale, ovvero indica in esse notizie incomplete o non rispondenti al vero sarà punito nei termini di legge. 3. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dall'art 27 della legge 675/96 sarà perseguito penalmente in base a quanto previsto dalle leggi vigenti in materia. 4. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, comunica o diffonde dati personali in violazione di quanto disposto dagli articoli 21, 22, 23 e 24, della L. 675/96 ovvero del divieto di cui all'art. 28, comma 3, sarà punito nei termini di legge. 5. Chiunque, essendovi tenuto, omette di adottare le misure necessarie a garantire la sicurezza dei dati personali, previste nel D.P.R. 318/99 sarà punito nei termini di legge. privacy.doc 5

6 Art. 5 I Diritti dell'interessato 1. In relazione al trattamento di dati personali l'interessato ha diritto: (a) (b) (c) di conoscere, mediante accesso gratuito al registro di cui all'articolo 31, comma 1, lettera a), della L. 675/96 l'esistenza di trattamenti di dati che possono riguardarlo; di essere informato su quanto indicato all'articolo 7, comma 4, lettere a), b), e h); di ottenere, a cura del titolare o del responsabile, senza ritardo: * la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità su cui si basa il trattamento; la richiesta può essere rinnovata, salva l'esistenza di giustificati motivi, con intervallo non minore di novanta giorni; * la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; * l'aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l'integrazione dei dati; * L'attestazione che le operazioni di cui ai punti precedenti sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato; (d) (e) di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazione commerciale o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto. 2. Per ciascuna richiesta di cui al comma 1, lettera c) punto primo, può essere chiesto all'interessato ove non risulti confermata l'esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati. 3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse. 4. Nell'esercizio dei diritti di cui al comma 1 l'interessato può conferire, per iscritto, delega o procura a persone fisiche o ad assicurazioni. privacy.doc 6

7 Art. 6 Modalità di trattamento 1. Dati personali Trattamento dei dati da parte del Comune di Avezzano. I. Salvo quanto previsto dal comma seguente, il trattamento di dati personali da parte dell'ente, è consentito soltanto per lo svolgimento delle funzioni istituzionali nei limiti stabiliti dalla legge e dai regolamenti. II. III La comunicazione e la diffusione a soggetti pubblici, esclusi gli enti pubblici economici, dei dati trattati sono ammesse quando siano previste da norme di legge o di regolamento, o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In tale ultimo caso deve esserne data previa comunicazione al Garante che vieta, con provvedimento motivato, la comunicazione o la diffusione se risultano violate le disposizioni della legge 675/96. La comunicazione e la diffusione dei dati personali da parte di soggetti pubblici a privati o a enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento. 2. Dati sensibili I. Il trattamento dei dati sensibili da parte del Comune è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite. II. III In mancanza di espressa disposizione di legge, l'ente può richiedere al Garante, nelle more della specificazione legislativa, l'individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono rilevanti finalità di interesse pubblico e per le quali è conseguentemente autorizzato il trattamento. Nel caso in cui è specificata con disposizione legislativa la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazione eseguibili, il Comune, in applicazione della legge 675/96 identifica e rende pubblici, mediante deliberazione di Giunta Comunale, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione annualmente. Art. 7 Attività che perseguono rilevanti finalità di interesse pubblico 1. Ai fini del presente regolamento si intendono per attività che perseguono rilevanti finalità i interesse pubblico tutte quelle svolte dal Comune in relazione a funzioni e compiti ad esso attribuiti, delegati o conferiti dalla normativa statale e regionale vigente, nonché quelli inerenti all'organizzazione dell'amministrazione e allo sviluppo dell'attività amministrativa, nei suoi vari profili. 2. In base a quanto previsto dalla legge 675/96 le attività che perseguono rilevanti finalità di interesse pubblico sono individuate, per il trattamento dei dati sensibili, dal D.lgs. 135/99 CAPO II artt. 6-23, da altre leggi e dal Garante. privacy.doc 7

8 Art. 8 Rapporti con il Garante per la protezione dei dati personali per l'individuazione delle attività che perseguono rilevanti finalità di interesse pubblico non rapportabili al quadro normativo del D. lgs. 135/ Per favorire l'individuazione delle attività istituzionali non correlabili a rilevanti finalità di interesse pubblico date dal D. lgs. 135/99 e per consentire al Garante per la protezione dei dati personali di adottare specifici provvedimenti ai sensi dell'art. 22, commi 3 e 3-bis della legge 675/96, l'amministrazione: (a) (b) (c) verifica la rilevanza delle attività istituzionali comportanti il trattamento di dati sensibili in relazione al buon andamento dell'attività amministrativa; verifica quali di queste attività non possono essere ricondotte al quadro di riferimento dettato dal suindicato decreto legislativo; individua e configura la rilevanza dell'interesse pubblico perseguito con la particolare attività istituzionale. 2. L'amministrazione comunica al Garante per la protezione dei dati personali le attività individuate per le quali non è determinato dalla legge una corrispondente rilevante finalità di interesse pubblico; 3. Le modalità di comunicazione al Garante degli elementi di cui al comma 2 del presente articolo sono definite dalla Giunta. Art. 9 Individuazione delle tipologie di dati e delle operazioni eseguibili per attività con rilevanti finalità di interesse pubblico individuate dalla legge o dal Garante 1. A fronte delle rilevanti finalità di interesse pubblico individuate dalla legge o dal Garante, in assenza della definizione delle tipologie di dati e delle operazioni eseguibili, per poter garantire il corretto svolgimento delle attività istituzionali il Comune provvede a determinare quali tipi di dati sensibili sono trattabili e quali forme di gestione su di essi possono essere realizzate. 2. Con propria deliberazione, la Giunta indica i tipi di dati sensibili correlati alle rilevanti finalità di interesse pubblico date dalla legge o dal Garante e definisce le relative operazioni eseguibili. 3. Ai contenuti della deliberazione di cui al comma precedente è data massima diffusione presso le varie articolazioni organizzative dell'amministrazione e nelle relazioni della stessa con la comunità locale. 4. Per la diffusione dei contenuti della deliberazione di cui al comma 2 possono essere utilizzate soluzioni differenziate, ivi comprese quelle comportanti l'utilizzo delle reti telematiche e dei mezzi di comunicazione di massa. 5. L'aggiornamento del quadro di riferimento per le tipologie dei dati sensibili assoggettabili a trattamento secondo le garanzie del D. lgs. 135/99 e per le operazioni su di essi eseguibili viene effettuato annualmente dalla Giunta con proprio provvedimento. In tale occasione la Giunta approva altresì il documento programmatico -piano operativo per le misure di sicurezza per il privacy.doc 8

9 trattamento dei dati personali- con gli eventuali aggiornamenti che si rendessero necessari. 6. L'aggiornamento può aversi anche entro termini infrannuali, qualora innovazioni normative, tecnologiche o rilevanti trasformazioni gestionali rendano necessaria l'individuazione di nuove tipologie di dati e operazioni eseguibili. 7. Nell'informativa resa ai sensi dell'art. 10 della legge 675/96 ai soggetti che conferiscono dati al Comune, per lo svolgimento di un'attività istituzionale sono fornite tutte le indicazioni inerenti alla corrispondente rilevante finalità di interesse pubblico perseguita, i tipi di dati sensibili per i quali risulta necessario attivare un trattamento e le operazioni eseguibili sui medesimi dati. Art. 10 Utilizzo interno dei dati 1. La comunicazione dei dati all'interno della struttura organizzativa del Comune, per ragioni d'ufficio, non è soggetta a limitazioni particolari, salvo quelle espressamente previste da leggi e regolamenti. 2. Il Responsabile della banca dati, specie se la comunicazione concerne dati sensibili, può tuttavia disporre con adeguata motivazione, le misure ritenute necessarie alla tutela della riservatezza delle persone. Art. 11 Verifiche e controlli I Dirigenti responsabili del trattamento provvedono con propri atti, a dar corso alle disposizioni organizzative in materia di dati sensibili nelle articolazioni organizzative cui sono preposti. privacy.doc 9