REGOLAMENTO PER LA TUTELA DELLA RISERVATEZZA E DISPOSIZIONI IN MATERIA DI TRATTAMENTO DEI DATI PERSONALI 1
SOMMARIO PARTE I - FINALITA' E DEFINIZIONI Art. 1 - Oggetto Art. 2 - Definizioni Art. 3 Soggetti PARTE II - TRATTAMENTO DEI DATI PERSONALI Art. 4 - Individuazione delle banche dati Art. 5 - Trattamento dei dati personali Art- 6 - Comunicazione e diffusione dei dati Art. 7 - Informativa Art. 8 - Diritti dell'interessato Art. 9 - Misure di sicurezza PARTE III - TRATTAMENTO DEI DATI SENSIBILI Art. 10 - Finalità e modalità di trattamento PARTE IV - NORME FINALI Art. 11 - Sanzioni Art. 12 - Norme di rinvio Art. 13 - Diritto di accesso Art. 14 - Abrogazione atti precedenti Art. 15 -Entrata in vigore 2
PARTE I FINALITA' E DEFINIZIONI Art 1 Oggetto 1 II presente regolamento disciplina il trattamento dei dati personali contenuti nelle banche dati organizzate, gestite o utilizzate dal Comune di Putignano in attuazione del D.Lgs. del 30 giugno 2003 n. 196 ("Codice in materia di protezione dei dati personali" in seguito denominato "Codice per la tutela della riservatezza"). 2. Il Comune di Putignano garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti alla riservatezza, all'identità personale ed alla protezione dei dati personali delle persone fisiche e giuridiche e favorisce la trasmissione dei dati e documenti tra le banche dati e gli archivi del Comune, degli Enti territoriali, degli Enti pubblici, dei gestori, degli esercenti e degli incaricati di pubblico servizio, operanti nell'ambito dell'unione Europea. Ciò anche al fine di adempiere l'obbligo di comunicazione interna ed esterna e di semplificazione dell'azione amministrativa, nonché di favorire il raggiungimento delle finalità istituzionali del Comune nel rispetto dei principi di trasparenza, efficacia, efficienza ed economicità sanciti dalla legislazione vigente. 3. La trasmissione dei dati può avvenire anche attraverso l'utilizzo di sistemi informatici e telematici, reti civiche e reti di trasmissione di dati ad alta velocità. 4. Il Comune di Putignano tratta i dati personali, senza necessità di acquisire il consenso dell'interessato, unicamente nell'ambito delle proprie finalità e attività istituzionali. 5. Ai fini del presente regolamento, per finalità e attività istituzionali si intendono: a) le funzioni previste dalla legge, dagli Statuti, dai Regolamenti e dalla normativa comunitaria; b) le funzioni svolte per mezzo di intese, accordi di programma e convenzioni nelle materie attribuite alla competenza del Comune; c) le funzioni collegate all'accesso e all'erogazione di servizi resi alla cittadinanza; d) le funzioni svolte in attuazione di contratti collettivi di lavoro in materia di pubblico impiego; e) le funzioni svolte in relazione all'esercizio dell'autonomia organizzativa e amministrativa; f) le funzioni comunque previste o prevedibili negli strumenti programmatici comunali. Art. 2 Definizioni 1) Ai fini del presente regolamento si intendono: 3
per "dato personale", qualsiasi informazione, acquisita dall'ente o ad essa conferita dall'interessato, riguardante persone fisiche, giuridiche, gruppi, imprese, enti o associazioni identificati o identificabili anche indirettamente mediante riferimento a qualsiasi altra informazione ivi compreso un numero di identificazione personale; per "dato identifìcativo", i dati personali che permettono l'identificazione diretta dell'interessato; per "dato sensibile", ogni dato personale idoneo a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati idonei a rivelare lo stato di salute e la vita sessuale della persona; per "dato giudiziario", i dati personali idonei a rivelare i provvedimenti di cui all art, 3, comma 1, dalla lettera a) alla lettera o) e dalla lettera r) alla lettera u) del DPR 14.11.2002 n. 313, in materia di casellario giudiziale, anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti o la qualità di imputato o di indagato ai sensi degli artt. 60 del c.p.p.; per "dato anonimo", qualunque dato che in origine o a seguito di trattamento non può essere associato ad un interesse identificato o identificabile; per "banca dati", un qualsiasi complesso di dati personali organizzati in modo da rendere possibile o agevole la consultazione e il trattamento; per "interessato", qualsiasi persona fisica, giuridica, ente, gruppo, associazione o impresa cui si riferiscono i dati personali; per "trattamento", qualunque operazione o complesso di operazioni svolte con o senza l'ausilio di mezzi elettronici o comunque automatizzati concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati; per "comunicazione", il dare conoscenza di dati personali ad uno o più soggetti determinati diversi dall'interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; per "diffusione", il dare conoscenza di dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; per "blocco", la conservazione di dati personali con sospensione temporanea di ogni altra operazione di trattamento. 2) Per tutte le altre definizioni si rinvia all'art 4 del codice per la tutela della riservatezza. Art. 3 Soggetti 1 "Titolare" del trattamento dei dati personali è l'amministrazione comunale di Putignano nel suo complesso (art. 28 codice per la tutela della riservatezza). Nell'esercizio delle funzioni di titolare del trattamento, il Comune opererà in concreto, come sempre avviene, attraverso gli 4
organi ed i soggetti di volta in volta competenti in base alle vigenti disposizioni legislative, statutarie e regolamentari. In particolare spetta: Al Sindaco in carica il potere di rappresentanza del Comune di Putignano anche con riferimento agli adempimenti delle notificazioni e delle comunicazioni al Garante, la nomina dei Responsabili del trattamento, nelle persone dei Dirigenti delle singole Ripartizioni e dei Responsabili dei servizi/uffici vari con attribuzione di competenze e responsabilità già previste e disciplinate dal regolamento degli uffici e servizi nonché la verifica anche a campione del rispetto della normativa sulla tutela della riservatezza. Al Consiglio comunale la definizione dell'impianto organizzativo comunale in materia di riservatezza e l'adozione delle decisioni sulle finalità e modalità di trattamento dei dati acquisiti per l'espletamento delle proprie finalità istituzionali. Alla Giunta comunale il compito di dare attuazione agli indirizzi generali del Consiglio in materia di riservatezza, con specifiche disposizioni organizzative anche in materia di sicurezza e di approvare annualmente il documento programmatico per la sicurezza dei dati ai sensi dell art. 34, primo comma lettera g), del D.Lgs. 196/2003 su proposta dei singoli Settori e sulla base di un unico documento redatto dal Settore Affari Generali di concerto con il Responsabile del servizio informatico. Al Segretario Generale il compito di sovrintendere allo svolgimento delle funzioni dei Dirigenti in materia di tutela della riservatezza, coordinandone l'attività. Ai Dirigenti le decisioni e le scelte relative alla gestione amministrativa finanziaria e tecnica necessaria per l'attuazione della tutela della riservatezza. 2) "Responsabili" del trattamento dei dati personali (art. 29 codice per la tutela della riservatezza) sono i Dirigenti delle Ripartizioni e i funzionari Responsabili dei servizi/uffici nominati dal sindaco. Gli stessi provvedono alla nomina di un sostituto in caso di assenza o impedimento. In particolare: I Responsabili dei servizi e/o uffici provvedono al censimento dei trattamenti e delle banche dati delle proprie strutture, alla nomina, fra il personale attribuito al proprio servizio, sentito il Dirigente della Ripartizione, degli incaricati al trattamento dei dati personali, con specifica autorizzazione al trattamento dei dati sensibili e giudiziari fornendo loro le istruzioni per la corretta elaborazione delle informazioni, assumono la Responsabilità del procedimento di cui all'art. 8 del D.Lgs 196/2003; sono tenuti a garantire che il trattamento, la comunicazione e la diffusione dei dati avvenga nel rispetto delle vigenti disposizioni ivi comprese quelle relative alle misure di sicurezza; dispongono il blocco dei dati qualora sia necessaria una sospensione del trattamento. I Dirigenti delle Ripartizioni coordinano le attività di trattamento dei dati svolte nell'ambito del Settore che sovrintendono, fornendo al personale le necessarie direttive e disposizioni operative per garantire la sicurezza delle banche dati; verificano periodicamente le modalità di inserimento, gestione e trattamento dei dati personali da parte dei propri servizi; adottano e attuano, all'interno della propria Ripartizione, tutte le misure di sicurezza previste nel documento programmatico per la sicurezza dei dati. II Responsabile del Servizio Informatico è il Responsabile della sicurezza relativamente agli strumenti elettronici gestiti per conto dei Settori e Unità di Staff; predispone, ad 5
integrazione di quelle già individuate e dettate dai Dirigenti delle Ripartizioni, regole di comportamento uniformi in materia di gestione sicura dei dati personali trattati con strumenti informatici e vigila sulla loro osservanza; predispone il documento programmatico sulla sicurezza dei trattamenti dei dati sensibili e giudiziari relativamente agli strumenti elettronici gestiti per conto dei Settori/Unità di staff; adotta, relativamente agli strumenti elettronici utilizzati dai Settori/Unità di Staff, di concerto con i titolari, tutte le misure di sicurezza al fine di: ridurre al minimo il rischio di distruzione o perdita anche accidentale dei dati memorizzati su supporti magnetici e/o ottici gestiti da e per conto dei Settori e delle Unità di Staff ; evitare l'accesso non autorizzato alle banche dati, alle reti e in generale agli strumenti elettronici del Comune. 3. "Incaricati del trattamento" (art. 30 codice per la tutela della riservatezza) sono i soggetti che materialmente trattano i dati personali nell'ambito delle proprie funzioni e nel rispetto delle direttive impartite dal proprio Responsabile e delle modalità di cui agli artt. da 11 a 13 del codice per la tutela della riservatezza. 4. "Unità di riferimento per la riservatezza", è composta dal Dirigente della Ripartizione Affari Generali e dal Responsabile del servizio informatico con possibilità per entrambi di delega ad un proprio funzionario o dipendente individuato in base a competenze e capacità specifiche, detta Unità fornisce ai Settori la propria consulenza nell'interpretazione della casistica che possa presentarsi a ciascun Responsabile, cura tutti gli adempimenti e le comunicazioni al Garante ivi comprese le richieste di parere che dovessero rendersi necessarie nello svolgimento delle attività da parte di ciascun servizio, garantisce l uniformità di applicazione del Codice per la tutela della riservatezza e del presente regolamento e predispone gli atti amministrativi necessari per gli adempimenti previsti dal presente regolamento. PARTE II TRATTAMENTO DEI DATI PERSONALI Art. 4 Individuazione delle banche dati 1. Le banche dati e le loro variazioni o cessazioni, gestite dall'amministrazione comunale sono individuate con provvedimento della Giunta, su proposta dei Responsabili dei Settori e/o Unità di Staff, ciascuno per la propria area di competenza e preventivamente comunicate all'unità di riferimento per la riservatezza. 2. L'elenco delle banche dati di cui al primo comma è aggiornato sulla base delle relative comunicazioni dei Responsabili dei Settori comunali ed è affisso all'albo pretorio, inserito nella banca dati dell'ufficio Relazioni con il pubblico (URP) e diffuso sul sito internet del Comune di Putignano. 6
3 Le banche dati di cui al presente regolamento sono gestite sia in forma cartacea che in forma elettronica. Art. 5 Trattamento dei dati personali 1. I dati personali, oggetto di tutela da parte del presente regolamento, in conformità con quanto dispone l'art. 11 del codice per la tutela della riservatezza, sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti, legittimi e utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi; c) esatti e aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali è consentito il trattamento; e) conservati in forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario per gli scopi per i quali i dati sono stati raccolti e successivamente trattati. 2. I dati in possesso di questa Amministrazione sono trattati, di norma, in forma elettronica o mediante l'ausilio di strumenti automatizzati. Le disposizioni di cui al presente regolamento si applicano, comunque, anche al trattamento dei dati in forma cartacea o non informatizzata. 3. La comunicazione di dati personali a soggetti diversi dal Comune avviene nel rispetto delle norme del Codice per la tutela della riservatezza e del presente regolamento, e previa sottoscrizione, da parte del titolare o del Responsabile esterno del trattamento, di un protocollo d'intesa che contiene la normativa di riferimento, le finalità per le quali la comunicazione è effettuata, l'identificazione del Responsabile, degli incaricati e dell'ambito del trattamento, l'indicazione dei tipi di dati e delle operazioni eseguibili, nonché le modalità del trattamento e le misure minime di sicurezza adottate. 4. Nell'ipotesi di affidamento a terzi di servizi che implichino il trattamento di dati personali di cui è titolare il Comune di Putignano, il relativo contratto deve essere integrato con norme specifiche che obblighino i terzi all'osservanza delle prescrizioni dettate dal Codice per la tutela della riservatezza e dal presente regolamento soprattutto relativamente all'adozione delle misure minime di sicurezza, con individuazione e nomina del Responsabile del trattamento. Art. 6 Comunicazione e diffusione dei dati 1. La comunicazione e la diffusione dei dati diversi da quelli sensibili e giudiziari da parte del Comune di Putignano ad altri soggetti pubblici sono ammesse nei seguenti casi: a. sulla base di previsioni di legge o regolamento; b. quando risultino necessarie per lo svolgimento di funzioni istituzionali; in questo caso, 7
mancando una disposizione normativa o regolamentare, va data previa comunicazione al Garante. 2. La comunicazione e la diffusione dei dati suddetti a privati ed enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento. 3. I dati sensibili e giudiziari possono essere comunicati o diffusi nei limiti di quanto previsto da disposizioni di legge o dai provvedimenti di natura regolamentare finalizzati, ai sensi dell art. 20 del codice per la tutela della riservatezza, ad identificare e rendere pubblici i tipi di dati e di operazioni consentiti. 4. Tra i dati sensibili quelli relativi alla salute non possono essere oggetto di diffusione. 5. E fatta salva, comunque, la comunicazione o diffusione di dati richiesta, in conformità alla legge, da forze di polizia, dall'autorità giudiziaria, da organismi di informazione e sicurezza o da altri soggetti pubblici (art. 58, comma 2 del Codice per la tutela della riservatezza), per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati (art. 25 stesso codice). Art. 7 Informativa 1. A cura del Responsabile è data ampia diffusione ed attuazione agli obblighi informativi di cui all'art. 13 del Codice per la tutela della riservatezza anche a mezzo di apposita, idonea modulistica. Art. 8 Diritti dell'interessato 1. Ai sensi dell'art. 7 del D.Lgs, 196/2003, e salvo quanto previsto dal secondo comma del successivo art. 8 del medesimo decreto, l'interessato ha il diritto di ottenere: a. la conferma che l'amministrazione comunale è in possesso di dati personali a lui riferibili, anche se non ancora registrati, di conoscere la loro provenienza, la finalità e le modalità di trattamento; b. le categorie di soggetti ai quali i dati possono essere comunicati; c. la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione del D.Lgs. 196/2003 o del presente regolamento; d. l'aggiornamento o la rettifica dei dati non più attuali o errati ovvero la loro integrazione; e. l'attestazione che le variazioni di cui al precedente punto siano state portate a conoscenza dei terzi ai quali l'amministrazione abbia trasmesso i dati e nel caso in cui corrisponda ad un suo interesse ancora attuale. 2. L'interessato ha diritto di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati 8
che lo riguardano ancorché pertinenti allo scopo della raccolta. 3. Le richieste per l'esercizio dei diritti di cui al precedente comma sono presentate al Dirigente della Ripartizione competente, oppure, al Segretario generale. 4. La domanda diretta all'esercizio dei diritti sopra indicati deve essere firmata dall'interessato ovvero da altro soggetto, ente o associazione, purché munito di delega o procura scritta. 5. Il Responsabile del procedimento di cui al presente articolo coincide con il Responsabile dei servizio/ufficio competente per materia o con altro soggetto da questi appositamente delegato alla sostituzione. Art. 9 Misure di sicurezza 1. Le misure di sicurezza sono costituite dal complesso delle misure organizzative, tecniche, informatiche, logistiche, procedurali, volte a ridurre al minimo rischi di distruzione o perdita anche accidentale dei dati, accesso non autorizzato, trattamento non consentito o non conforme alle finalità della raccolta, modifica dei dati in conseguenza di interventi non autorizzati o non conformi alle regole artt. 31-34 del codice per la tutela della riservatezza. 2. II Comune di Putignano, a mezzo della Giunta e dei Dirigenti delle Ripartizioni, questi ultimi in qualità di Responsabili del trattamento, nell'ambito delle rispettive competenze, è tenuto non solo a definire e ad adottare tutte le misure minime di sicurezza, individuate dal codice per la tutela della riservatezza, secondo le modalità previste dal Disciplinare tecnico allegato al codice stesso, ma anche ad aggiornarle in relazione al continuo sviluppo tecnologico e ad individuare quelle più idonee ed adeguate per evitare ogni possibile danno sia all'interessato sia all'amministrazione comunale (danno all'immagine o danni per costi gestionali imprevisti, etc); è tenuto, altresì, a predisporre e ad aggiornare annualmente il documento programmatico per la sicurezza dei dati. 3. Detto documento contiene appunto le misure di protezione volte ad evitare il pericolo di involontaria distruzione o danneggiamento della banca dati, l'accesso non consentito alle informazioni in esso contenute, e ad impedire che il trattamento avvenga con modalità non conformi alla legge e ai regolamenti. 4. Ogni Responsabile del trattamento, così come definito dall art. 3 del presente regolamento, attua e sorveglia sull'applicazione delle misure di protezione contenute nel documento programmatico per la sicurezza dei dati e dispone, con la collaborazione dell'unità di riferimento per la riservatezza, di cui al precedente art 3, periodici controlli volti a verificare l'idoneità e l'efficacia delle misure di protezione attuate. 9
PARTE III TRATTAMENTO DEI DATI SENSIBILI Art. 10 Finalità e modalità di trattamento 1. L'Amministrazione comunale di Putignano tratta i dati personali sensibili e giudiziari, come definiti dal presente regolamento, essenziali allo svolgimento delle proprie attività istituzionali, secondo i criteri coerenti con la normativa in materia di tutela dei dati personali ed esegue le sole operazioni strettamente necessarie allo svolgimento ed al perseguimento delle finalità istituzionali per le quali il trattamento è consentito (artt. 21 e 22 del codice per la tutela della riservatezza). 2. Il trattamento dei dati sensibili e giudiziari da parte del Comune di Putignano è ammesso: a) nei casi autorizzati dalla legge ove la norma indichi il tipo di dati trattabili, le operazioni eseguibili, e le rilevanti finalità di interesse pubblico che consentono il trattamento. Nelle "rilevanti finalità di interesse pubblico" s'intendono comprese tutte quelle attività svolte dal Comune in relazione a funzioni e compiti ad esso attribuiti o delegati dalla normativa statale o regionale vigente, nonché quelle inerenti all'organizzazione dell'amministrazione; b) nei casi autorizzati dalla legge, subordinatamente all'autorizzazione del Garante ove la stessa manchi di specificare uno o più degli elementi di cui al precedente punto; c) negli ulteriori casi in cui il trattamento, seppur in assenza di una specifica disposizione di legge, sia autorizzato dal Garante in relazione, sempre, a "rilevanti finalità di interesse pubblico". 3. In entrambi i casi di cui alle lettere b) e c), il trattamento è consentito solo se il Comune provvede altresì a identificare e rendere pubblici i tipi di dati e di operazioni con atto di natura regolamentare adottato in conformità al parere espresso dal Garante anche su regolamenti tipo. A tal proposito il Consiglio comunale provvederà ad adottare, entro il mese di maggio 2006, lo schema tipo di regolamento già predisposto dall ANCI, e, approvato da parte del Garante della riservatezza. 4. Nell'ipotesi prevista alla lettera c) del comma 2 del presente art., i Responsabili del trattamento riferiscono all'unità di riferimento per la riservatezza una o più attività ritenute di rilevante interesse pubblico non previste da specifiche normative. L'Unità di riferimento per la riservatezza provvede, per il tramite del Sindaco, ad interpellare il Garante in merito alla questione proposta chiedendo l'autorizzazione al trattamento. 5. Nelle ipotesi in cui la legge, gli Statuti o il Regolamento prevedano pubblicazioni obbligatorie, il responsabile del procedimento può adottare opportune misure atte a garantire la riservatezza dei dati sensibili. 10
PARTE IV NORME FINALI Art. 11 Sanzioni 1. I Titolari, i Responsabili e i soggetti incaricati del trattamento dei dati personali, sensibili e giudiziari e chiunque compia atti o tenga comportamenti in violazione del Codice per la tutela della riservatezza e del presente regolamento sono passibili delle sanzioni penali, amministrative e disciplinari previste dal D.Lgs. 196/2003 (artt. 161-179) e dalle altre norme vigenti. Art. 12 Norme di rinvio 1. Per quanto non espressamente previsto nel presente regolamento, si rinvia al D.Lgs. 196/2003 (Codice per la tutela della risevatezza) e successive modifiche ed integrazioni. Art. 13 Diritto di accesso 1. L'accesso agli atti amministrativi di questo Ente, che abbiano ad oggetto ovvero riguardino, direttamente o indirettamente, documenti o banche dati contenenti informazioni qualificabili come "dati personali, sensibili o giudiziari", resta disciplinato dalla legge n. 241/1990 e successive modificazioni ed integrazioni (art. 59 Codice per la tutela della riservatezza). 2. Il diritto di accesso prevale sul diritto alla riservatezza qualora sia finalizzato alla tutela di un interesse giuridico, semplice, collettivo o diffuso, giuridicamente protetto, e nei limiti in cui esso è necessario alla tutela di quell' interesse. 3. Quando trattasi di dati idonei a rivelare lo stato di salute o la vita sessuale, il diritto di accesso prevale sul diritto alla riservatezza se la situazione giuridicamente rilevante che s intende tutelare con l'accesso sia di rango almeno pari ai diritti dell'interessato ovvero consista in un diritto della personalità o in un altro diritto o libertà fondamentale (art. 60 Codice per la tutela della riservatezza). 11
Art. 14 Abrogazione atti precedenti 1. Il presente regolamento abroga tutte le precedenti disposizioni in materia di trattamento dei dati personali e di tutela della riservatezza. Art. 15 Entrata in vigore 1. Il presente Regolamento, composto da n. 15 articoli, entra in vigore a decorrere dal quindicesimo giorno successivo alla data di pubblicazione all'albo pretorio della deliberazione consiliare di approvazione. 12