Riservatezza e protezione dei dati personali negli enti locali in relazione al codice Privacy: l esperienza del Comune di Treviglio

Transcript

1 Riservatezza e protezione dei dati personali negli enti locali in relazione al codice Privacy: l esperienza del Comune di Treviglio

2 Ambito di applicazione e finalità Art. 1 (Diritto alla protezione dei dati personali) Chiunque ha diritto alla protezione dei dati personali che lo riguardano Il diritto alla protezione dei dati personali, quale prerogativa fondamentale della persona, è stato introdotto nell ordinamento in attuazione dell art. 8 della Carta dei diritti fondamentali dell Unione Europea del e deve considerarsi quale diritto autonomo e distinto rispetto al diritto alla riservatezza sostanziandosi nel diritto del suo titolare di conoscere e controllare la circolazione delle informazioni che lo riguardano.

3 Ambito di applicazione e finalità Art. 2 (Finalità) diritto alla riservatezza diritto all identità personale diritto alla protezione dei dati personali

4 Gestione delle informazioni - Il contesto organizzativo - Dati Gestiti Sistemi informativi Definizione delle logiche organizzative (tempi, ruoli, responsabilità) per la gestione delle informazioni cartacee Organizzazione Definizione delle logiche organizzative (tempi, ruoli, responsabilità) per la gestione delle informazioni elettroniche Trasparenza Efficienza Efficacia Obiettivo Finale Ottimizzare il rapporto con l utenza Rispetto della privacy

5 Principi generali art. 3 principio di necessità art. 11 principi di: - finalità - liceità - proporzionalità: pertinenza e non eccedenza - correttezza e completezza

6 Definizioni e soggetti - Art. 4 Dato personale - DATI PERSONALI DATI SENSIBILI DATI GIUDIZIARI

7 Definizioni e soggetti - Art. 4 Dato personale - Qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Esempio: nome e cognome o denominazione; indirizzo o sede; codice fiscale; ma anche una foto, la registrazione della voce di una persona, la sua impronta digitale o vocale.

8 - Art. 4 Dato sensibile - Quei particolari dati personali idonei a rivelare: UFFICI COINVOLTI (esempi) origine: razziale ed etnica convinzioni: religiose, filosofiche o di altro genere opinioni: politiche, adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale stato di salute e vita sessuale anagrafe servizi alla persona, cultura, educazione, commercio, suap anagrafe, personale, servizi alla persona, cultura, polizia locale, commercio, suap polizia locale, personale, servizi alla persona, educazione

9 - Art. 4 Dato giudiziario - Quei particolari dati personali idonei a rivelare: UFFICI COINVOLTI (esempi) provvedimenti relativi a: condanne penali, procedimenti penali in corso, sanzioni amministrative derivanti da reati penali polizia locale, commercio, suap, anagrafe, contratti la qualità di imputato o di polizia locale, commercio, suap, indagato ai sensi degli artt. 60 e 61 del Codice di Procedura Penale

10 - Art. 4 Trattamento dati personali - Qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti: raccolta registrazione organizzazione conservazione consultazione elaborazione modificazione selezione estrazione raffronto utilizzo interconnessione blocco comunicazione diffusione cancellazione distruzione di dati, anche se non registrati in una banca di dati

11 Definizioni e soggetti - Art. 4 Comunicazione - Il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall Interessato, dal rappresentante del Titolare nel territorio dello Stato, dal Responsabile e dagli Incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.

12 Definizioni e soggetti - Art. 4 Diffusione - Il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione Esempio: pubblicazione albo pretorio; pubblicazione su sito internet

13 Definizioni e soggetti - I soggetti coinvolti nel trattamento - Titolare Comune di.. Cittadino; Dipendente; Fornitore Responsabile Amministratore di rete / sistema / database (fac.) Responsabile in outsourcing (fac.) Interessato Incaricato

14 - Art.7 - Diritti dell interessato - L'interessato ha diritto di: ottenere informazioni e trattamenti specifici sui dati personali che lo riguardano (cfr. art. 13 Informativa) opporsi al trattamento, per motivi legittimi, dei dati che lo riguardano ottenere cancellazione, trasformazione in forma anonima o blocco dei dati trattati in violazione di legge Cfr. Deliberazione del n. 14 Contributo spese in caso di esercizio dei diritti dell'interessato (G.U. 55 del )

15 Regole generali per il trattamento dei dati - Art Informativa - le finalità e le modalità del trattamento cui sono destinati i dati la natura obbligatoria o facoltativa del conferimento dei dati le conseguenze di un eventuale rifiuto di rispondere i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi

16 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - I soggetti pubblici devono richiedere il consenso? NO

17 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - ai soggetti pubblici (esclusi gli enti pubblici economici ) NON serve il consenso qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali il trattamento di dati personali diversi da quelli sensibili e giudiziari è consentito per lo svolgimento delle funzioni istituzionali, anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente

18 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Art DATI COMUNI comunicazione ad altri soggetti pubblici in assenza di norma di legge e di regolamento, è ammessa solo se: è necessaria allo svolgimento di funzioni istituzionali si effettua comunicazione al Garante e sono decorsi 45 gg. dal ricevimento (da parte del Garante) della comunicazione, salvo diversa determinazione anche successiva del Garante

19 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Art DATI COMUNI comunicazione a privati o enti pubblici economici; diffusione sono ammesse solo se previste da norme di legge o regolamento

20 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Artt. 20, 21 - DATI SENSIBILI / GIUDIZIARI Il trattamento è consentito solo se autorizzato da espressa disposizione di legge (o provvedimento del Garante) in cui sono specificati: i tipi di dati trattabili le operazioni eseguibili le finalità di rilevante interesse pubblico perseguite Esempio. Provvedimento del Garante per dati giudiziari: Autorizzazione n. 7 capo IV p.to 2 per trattamenti necessari ad accertare requisiti morali di soggetti che partecipano a gare, in adempimento a Codice Appalti

21 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Artt. 20, 21 - DATI SENSIBILI / GIUDIZIARI In assenza di individuazione dei dati sensibili / giudiziari e delle operazioni eseguibili nella disposizione di legge, il trattamento è consentito solo adottando un apposito Regolamento

22 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Art. 20, 21 - DATI SENSIBILI / GIUDIZIARI Se il trattamento non è previsto da una disposizione di legge, è consentito solo: se viene richiesta al Garante l'individuazione delle attività, tra quelle demandate dalla legge, che perseguono finalità di rilevante interesse pubblico e per le quali è conseguentemente autorizzato (ai sensi dell art. 26, c. 2) il trattamento dei dati sensibili

23 Regole per i soggetti pubblici - Artt. 18 a 22 - Principi per i trattamenti effettuati da soggetti pubblici - Art STATO DI SALUTE / VITA SESSUALE I dati sono conservati separatamente da altri dati personali trattati per finalità che non richiedono il loro utilizzo. Anche quando sono tenuti in elenchi, registri o banche di dati non in formato elettronico valgono le modalità di trattamento previste precedentemente per il trattamento di dati sensibili/giudiziari.

24 Misure di sicurezza DISPONIBILITÀ (dei dati) Garanzia che i dati siano accessibili quando necessario INTEGRITÀ Gestione accurata e completa delle informazioni, salvaguardia dell esattezza dei dati, difesa da manomissioni o modifiche RISERVATEZZA Garanzia che i dati siano accessibili solo alle persone autorizzate e preventivamente identificate, che gli accessi siano controllati SICUREZZA DEI DATI

25 Misure di sicurezza Minime Idonee Previste per i trattamenti elettronici e non; il Codice individua le Misure minime, il Disciplinare tecnico (all. B del Codice, aggiornato dal legislatore) ne definisce le modalità di attuazione Definite in relazione a: natura dei dati progresso tecnico caratteristiche del trattamento per custodire e controllare i dati riducendo i principali rischi individuati La violazione delle misure minime => sanzioni penali La violazione delle misure idonee => sanzioni civili

26 Sicurezza Informatica: l esperienza del Comune di Treviglio Ambito privacy

27 Il comune di Treviglio: Popolazione abitanti circa

28 Lo scenario di partenza: 6 sedi sul territorio 15 server 150 Personal Computer PC diversi, portatili, blackberry Diverse esigenze: biblioteca, uffici tecnici Utenti non dipendenti: volontari, consulenti, etc

29 La differenza tra ieri e oggi : evoluzione delle minacce Ieri: Fatto per scherzo Semplici Molto tempo per diffondersi Scelta dell obiettivo casuale Oggi: Fatto per guadagnare Sempre più sofisticati Diffusione immediata Scelta dell obiettivo mirata 29

30 Il Comune di Treviglio Manuale con regole di buon comportmento Formazione: Spiegare il manuale Istruire gli utenti Condividere regole, problemi e soluzioni Individuazione dei vincoli

31 Tecnologia Presente in Comune mix di prodotti riconosciuti ed affidabili (open source) Nessun costo di licenze Possibilità di espandere e personalizzare il sistema Flessibilità Nessun supporto Necessità di competenze (consulenze)

32 Come li utilizziamo? ESIGENZE: Inventario Hardware/Software.. Ticket System. Gestione Contratti. Monitoraggio logico e fisico.

33 INVENTARIO COSA SI PUO INVENTARIARE: Hardware. Software. Licenze. Apparati. Monitor. Telefonia su IP. Ecc.

34 TICKET SYSTEM I ticket possono essere inseriti: Tramite . Dall utente. Manualmente.

35 GESTIONE CONTRATTI Correlazione di dati per la registrazione di contratti per: Fornitore. Assets. Costi. Rinnovi. SLA.

36 Monitoraggio ESIGENZE: Funzionamento server Accesso Basi Dati Salvataggio log file

37 Necessità del Comune Unica interfaccia (open source) anche per: Archivio dei log file (2 copie) Profilo diverso per amministratore e auditor Profilo auditor solo in visualizzazione Rapido accesso anche per non tecnici

38 Sicurezza Problema Soluzione Business e rischi in forte aumento Utilizzo non sicuro o non conforme dei computer aziendali Accesso di guest non rilevato, non autorizzato o non sicuro Non verificata la sicurezza e la conformità alle policies Garantire la conformità delle policy sui computer Policy basate su CHI, COSA e COME Rilevare, autorizzare e controllare i guest Report sulle attività e sulla conformità alle policy

39 Desktop Problema Soluzione Perdita di sicurezza, controllo e produttività Check continui sulle conformità dei computer Protezione anti-malware out-of-date, firewall disabilitati o patch non applicate Utilizzo di applicazioni proibite Riconfigurazione non autorizzata dei computer Risoluzione automatica delle non conformità Rilevamento automatico delle patch e signatures Rilevamento dei computer sconosciuti

40 Network Problema Soluzione Accessi non controllati al network aziendale Accesso alla rete aziendale non autorizzato Performance e disponibilità della rete compromessa Accesso alle risorse dell azienda non segnalato in alcun modo Controllo degli accessi senza modifiche alla rete Reti remote e locali, connesse via cavo o wifi Nessun impatto sulle performance della rete Report sullo stato degli accessi alla rete

41 La soluzione adottata 1. L utente accende la macchina 41

42 L utente si logga con 1. Windows username & password 2. PIN & token / smartcard 42

43 Regole di utilizzo L'incaricato deve ricevere istruzioni e responsabilità prima che inizi ad usare i sistemi I sistemi devono essere preparati prima di essere usati Si devono fare i backup Almeno ogni settimana Conservare in modo sicuro le password indispensabili P.e. in cassaforte 43

44 Il codice identificativo univoco Non riutilizzare username! Gestione delle password Lunghezza minima Modifica almeno ogni sei mesi (ogni 3 per dati sensibili e giudiziari) Custodia degli strumenti Per esempio: sul PC potrebbe anche bastare lo screen-saver automatico con password (purché il timeout sia congruo con l'analisi dei rischi) Gestione incaricati per classi omogenee d'autorizzazione 44