seminario privacy - Ispettorato Generale

Ministero della Giustizia
Ispettorato Generale
Corso di formazione in materia di “La tutela della
Privacy ed il trattamento dei dati sensibili negli Uffici
Giudiziari”.
a cura di Renata Pennucci
“Il monitoraggio del rispetto della normativa sui dati
personali
Monitoraggio nasce dalla nota del Capo dell’Ispettorato che ha
individuato fra obiettivi specifici la disciplina della privacy.
Compito dell’Ispettore è quello di verificare
nel rispetto delle norme
che regolano la materia :
 prima le leggi nn. 675 e 676/96;
 successivamente, la più ampia ed articolata normazione, del d.lgvo n.
196 del 2003;
 da ultimo D.M. 12\12\2006, integrativo degli art. 20 e 21 del d.l.gvo
196\03, che indica le ulteriori misure regolamentari sulla disciplina del
trattamento dei dati sensibili e giudiziari.
se l’ufficio ha attuato le misure necessarie per assicurare che il trattamento dei
dati venga svolto nel rispetto privacy.
“Il monitoraggio del rispetto della normativa sui dati
personali
E’ necessario appurare:
 se l’ufficio ha redatto il prescritto documento
programmatico per la disciplina e l’organizzazione interna per
la tutela dei dati sensibili e giudiziari. Documento obbligatorio
da adottare entro il termine finale (più volte differito) del
31.3.2006.
 se il personale rispetta le disposizioni impartite dal titolare e\o
dal responsabile del trattamento;
modalità di gestione:
 a) dei dati relativi al personale;
 b) del protocollo informatico
 c) degli archivi.
“Il monitoraggio del rispetto della normativa sui dati
personali
 caratteristiche del trattamento:
 organizzazione;
 flusso dei dati;
 qualità dei dati
 sicurezza
 controllo generale delle misure applicate;
 dati;
 accessi.
 assicurazione della privacy in concreto:
 rispetto delle disposizioni impartite con il d.p.s. o con appositi ordini di
servizio.
Rilevazione:
 oggetto;
 metodologie.
Principi generali: trattamento e dato
trattamento (1\2)
Trattamento: è l’operazione atta a divulgare (raccolta,
trasmissione, custodia) dati che possono essere: nome,
indirizzo, anagrafe ecc.
In caso di trattamento l’interessato ha diritto alla protezione
dei dati personali che lo riguardano (art. 1 d.l.gvo 196\03).
Il trattamento deve svolgersi nel rispetto dei diritti, delle
libertà fondamentali, della dignità dell’interessato, con
particolare riferimento alla riservatezza, all’identità
personale ed al diritto alla protezione dei dati personali” (art.
2 d.l.gvo 196\03).
dato personale (2\3)
Dato personale:
qualsiasi informazione (linguaggio, suono o immagine);
su qualunque supporto (carta, floppy, nastro, etere);
idonea ad individuare direttamente o indirettamente (cifrature,
codici, aggregazioni elementari incluse)
persone fisiche o enti.
tassatività (2\3)
interessati : soggetti cui si riferiscono i dati personali trattati
dati possono essere:
 Sensibili;
 Giudiziari;
Comuni.
Sono dati sensibili e giudiziari quelli tassativamente indicati :
Razza ed etnia;
 Fede religiosa;
 Credo politico, sindacale e filosofico;
  Stato di salute;
Vita sessuale;
Casellario giudiziale;
  Condizione di indagato;
 Condizione di imputato;
S
A
F
UV
G RVO
Il documento programmatico per la sicurezza
documento programmatico sulla sicurezza (1\5)

Caratteristiche:
a) obbligatorio;
b) deve essere redatto dal titolare del
trattamento;
c) dati trattati sensibili o giudiziari.
  Redazione:
  mediante elaboratori elettronici
 predisposto entro il 31 marzo di
ogni anno;
 Modificato in caso di necessità;
 Allegato alla relazione di
accompagnamento al bilancio di
esercizio.
documento programmatico sulla sicurezza (1\5)
deve contenere:
Titolare del trattamento;
 Responsabile del trattamento;
 Incaricati del trattamento;
 amministratore di sistema;
preposti alla custodia della parola chiave
 dati trattati;
Misure di sicurezza informatiche;
Misure di sicurezza per i dati cartacei.
documento programmatico sulla sicurezza (1\5)
allegati al documento:
a) individuazione dei locali; ;
b) inventario dei server; ;
c) documento\inventario dei software;
d) elenco delle workstation;
e) manuale degli utenti per la sicurezza;
f) regolamento (documento\elenco trattamenti dei dati
personali);
g) nomina dei responsabili del trattamento; ;
h) nomina degli incaricati del trattamento
denominato;
i) elenco utenti, relativa autorizzazione ed
individuazione del profilo di accesso.
I soggetti
Titolare del trattamento (art. 28)
E’ colui che decide le modalità e le finalità del trattamento,
compreso il profilo della sicurezza (art. 4 co. 1 lett. f) T.U.);
Per gli uffici giudiziari tale figura coincide con il Capo Ufficio
e\o il Dirigente Amministrativo;
L’esercizio della titolarità per le persone giuridiche può
essere delegato ad una persona fisica.
Responsabile del trattamento (art. 29 TU)
E’ colui che custodisce i dati per trattarli.
E’ nominato dal Titolare può coincidere con persone fisiche,
persone giuridiche (pubbliche o private) e pubbliche amministrazioni;
Per gli uffici giudiziari tale figura coincide con i funzionari
responsabili dei servizi;
Deve rispettare la legge e le norme sulla sicurezza;
Deve essere designato con uno specifico atto di nomina (per cui non
coincidere automaticamente con le altre figure manageriali);
Può essere nominato anche un soggetto esterno.
Incaricato del trattamento (art. 30 TU)
E’la persona fisica che compie operazioni sui dati;
E’ nominato, con atto formale, dal Titolare e\o dal Responsabile e
opera sotto la loro diretta responsabilità;
Per gli uffici giudiziari tale figura coincide con tutti i dipendenti che
accedono agli affari dell’ufficio;
E’ individuato l’ambito di trattamento a cui è abilitato;
Deve rispettare le disposizioni contenute nel Manuale per la
Sicurezza.
La tipologia del rapporto di lavoro non è elemento determinante.
Amministratore di sistema
E’ il gestore della rete ed ha il compito di effettuare operazioni
di manutenzione, salvataggio e conservazione dei dati
informatici;
Deve rispettare le disposizioni del d.l.gvo 196\03;
Deve eseguire i compiti demandati dal titolare, rispettare e fare
rispettare le misure di sicurezza.
Custode della parola chiave
E’ la persona fisica incaricata di custodire, in luogo sicuro ed in
busta chiusa la parola chiave degli utenti;
Attiva le nuove utenze;
Comunica nome utente e password;
Consegna ai nuovi utenti il Manuale per la Sicurezza;
Verifica l’elenco delle persone autorizzate ad accedere agli archivi
(almeno una volta al mese);
Mette in atto tutte le indicazioni del Documento programmatico
sulla sicurezza dei dati relative alla gestione delle parole chiave.
Dati trattati
Dato (1\3)
Il dato deve essere:
Pertinente;
Completo;
Non eccedere le finalità per cui è stato raccolto;
Non eccedere le finalità per cui è trattato.
Dato (2\3)
Verificare che siano rispettati i criteri di qualità dei dati
trattati cioè:
Esattezza (cioè siano ;
pertinenza (cioè siano trattati solo quelli necessari per
raggiungere il risultato);
temporaneità (cioè conservati per il tempo necessario).
Verificare che siano rispettati i principi per il trattamento:
dei dati sensibili;
la qualità di indagato;
la qualità d’imputato;
Dato (3\3)
dei dati inerenti allo stato di salute del personale dell’Ufficio;
dei dati personali nell’ambito delle attività amministrative
gestionali del personale dipendente;
dei dati personali nell’ambito delle attività amministrative
gestionali e del personale che fornisce beni e servizi.
Verificare che siano state impartite e che siano applicate le misure
organizzative per assicurare il diritto di accesso agli atti (circolare del
8 marzo 2006 del Ministero della Giustizia)
Obblighi del Personale
Personale amministrativo (1\7)
Obbligo di:
Conservare la documentazione cartacea in appositi
armadi\schedari muniti di serratura e in ogni caso non accessibili
al pubblico;
Gestire gli atti cartacei in modo che il pubblico (utente interno ed
esterno) non individui il nominativo del soggetto a cui il dato si
riferisce;
Trattare i dati sensibili utilizzando forme di comunicazione
individualizzata con gli interessati (es. utilizzo di plico chiuso o invito a
ritirare personalmente la documentazione presso l’ufficio competente);
Personale amministrativo (2\7)
Trattare i dati relativi all’assenza dal servizio per ragioni di salute
senza trascrivere nei documenti la diagnosi contenuta nel
certificato prodotto dall’interessato;
Informare, il dipendente, che il certificato medico deve
contenere solo la prognosi e non la diagnosi;
Proteggere da accessi estranei la workstation utilizzando una
password di accensione;
Personale amministrativo (3\7)
obbligo di sostituire la password di accensione se viene
comunicata, per ragioni di assistenza agli incaricati;
sostituire periodicamente (almeno semestralmente) la parola
chiave;
comunicare, ad ogni cambio, la parola chiave al soggetto
preposto alla custodia della parola chiave;
accedere alla rete utilizzando la password utente che deve
essere costituita da almeno otto caratteri;
Personale amministrativo (4\7)
sostituire la password di accesso ad ogni scadenza;
non scegliere parole che contengono riferimenti
agevolmente riconducibile all’utilizzatore;
non divulgare o comunicare a terzi la parola chiave;
non trascrivere la parola chiave in foglietti appesi al
monitor e\o conservati nel cassetto della propria
scrivania;
Personale amministrativo (5\7)
trattare i dati personali esclusivamente per lo svolgimento delle
funzioni istituzionali;
comunicare i dati personali solo previo accertamento dell’identità del
richiedente (interessato e\o delegato);
ricevere le richieste dell’interessato dirette ad ottenere la correzione,
l’aggiornamento, l’integrazione, la cancellazione dei dati;
comunicare, al richiedente, i dati estratti anche oralmente;
attestare che le variazioni effettuate su richiesta dall’interessato sono
state trasmesse a coloro ai quali i dati erano stati comunicati;
Personale amministrativo (6\7)
non comunicare dati idonei a rivelare lo stato di salute o la vita
sessuale salvo sia necessario tutelare una situazione giuridicamente
rilevante di rango almeno pari ai diritti dell’interessato;
assicurarsi che non siano pubblicati o divulgati dati identificativi e
immagini di minori coinvolti in procedimento giudiziario, civile o
penale;
omettere di trascrivere, in sentenza, i dati relativi a minori;
rendere accessibile a chiunque vi abbia interesse i dati
identificativi dei procedimenti giudiziari, inserendoli nel sito
Internet;
Personale amministrativo (7\7)
omettere di trascrivere, in sentenza, i dati relativi ai soggetti che
hanno richiesto ed ottenuto la non trascrizione delle generalità;
eseguire le notifiche e\o le comunicazioni (nel processo civile e in quello
penale) di atti processuali senza rendere noto il nominativo della
persona coinvolta nel procedimento;
Consentire l’accesso agli atti d’archivio solo previa identificazione
del richiedente;
Conservare i fascicoli e restituirli al termine delle operazioni di
trattamento;
Le Misure di Sicurezza
Profili generali di sicurezza
MINIMA
PROTEZIONE
ADEGUATA
Tassativa;
Valutazione:
Natura dei dati;
Progresso tecnico;
Dati trattati con strumenti
elettronici
Natura dei dati;
Dati trattati senza strumenti
elettronici
Caratteristiche del trattamento
Misure minime (1/3)
Sono quelle:
Tecniche;
Informatiche;
Organizzative;
Logistiche;
Procedurali di sicurezza che configurano il livello minimo di protezione
per proteggere i dati.
Misure minime
Rischio:
Distruzione;
perdita dei dati, anche accidentale;
accesso non autorizzato;
trattamento non consentito;
trattamento non conforme a finalità
(2/3)
Misure minime (3\3)
Titolare è obbligato ad adottare le misure minime previste dal
codice;
Attuare le misure secondo le modalità indicate nel
Disciplinare Tecnico.
Il Disciplinare tecnico deve essere:
aggiornato periodicamente con Decreto del Ministro della
Giustizia di concerto con il Ministro per le innovazioni
tecnologiche tenendo presente l’evoluzione tecnica ed
l’esperienza maturata nel settore
Misure adeguate (1\2)
Sono quelle:
Tecniche;
Informatiche;
Organizzative;
logistiche e procedurali di sicurezza che garantiscono un
idoneo livello di protezione dei dati dai rischi.
Misure adeguate (1\2)
I dati personali devono essere:
custoditi ;
controllati anche in relazione:
alle conoscenze acquisite in base al progresso tecnico,
alla natura dei dati;
alle specifiche caratteristiche del trattamento.
Misure minime per trattamenti con
strumenti elettronici (art. 34)
Autenticazione informatica;
Procedure di gestione delle credenziali di autenticazione;
Utilizzazione di un sistema di autenticazione;
Aggiornamento periodico dell’ambito di trattamento consentito
agli incaricati;
Protezione degli strumenti;
Misure minime per trattamenti con
strumenti elettronici (art. 34)
Protezione dei dati da trattamenti illeciti;
Protezione dei dati da accessi non consentiti a programmi
informatici;
Adozione di procedure per la custodia di copie di backup;
Adozione di procedure per il ripristino dei dati e dei sistemi;
Misure minime per trattamenti con
strumenti elettronici (art. 34)
Tenuta ed aggiornamento del DPS;
Adozione di tecniche di cifratura;
Adozione di codici identificativi per i dati sanitari.
Misure minime per trattamenti con
strumenti non elettronici (art. 35)
Procedura per l’idonea custodia di atti;
Aggiornamento periodico dell’ambito di trattamento consentito
agli incaricati;
Procedure per la conservazione degli atti in archivio;
Regole per l’accesso selezionato all’archivio;
Individuazione delle modalità di accesso per l’identificazione
degli incaricati.
Misure specifiche per trattamenti dati
sensibili e giudiziari
Stabilire istruzioni organizzative e tecniche per la custodia e
l’utilizzo dei supporti rimovibili (es. cd rom, floppy);
Stabilire la distruzione o l’inutilizzabilità dei supporti, se non
utilizzati;
Prevedere il riutilizzo dei supporti informatici solo se le
informazioni contenute non sono decifrabili o tecnicamente
ricostruibili;
Prevedere i tempi di ripristino dei dati o degli strumenti
elettronici danneggiati (no oltre i 7 giorni).
Altre misure specifiche per trattamenti
dati sensibili e giudiziari
Cifratura dei dati
sensibili e
giudiziari
automatizzati o
utilizzo di codici
identificativi o
soluzioni analoghe
per non consentire
la identificazione
immediata
Identiche
soluzioni per i
dati sulla
salute e vita
sessuale
anche non
automatizzati.
Conservazion
e separata dei
dati sulla
salute e la vita
sessuale dai
restanti dati
Accertamento Sicurezza
Accertamento sicurezza (1\6)
 accesso alla rete sia gestito da domini utili per la distribuzione
dei diritti necessari;
  server siano conservati in apposita sala protetta, dotata di
impianto di condizionamento e con porta tagliafuoco;
 accesso ai server sia consentito solo alle persone incaricate del
“salvataggio” dei dati;
  salvataggio dei dati sia assicurato, dalla creazione di copia
“speculare” su atro server o in altro modo;
Accertamento sicurezza (2\6)
 identificati i dati (sia di sistema sia utente) da sottoporre a backup;
  identificati i percorsi completi delle aree da sottoporre a
backup (localizzazione) e relative frequenze;
 individuate le modalità, i tempi di esecuzione e verifica delle
operazioni di backup;
  indicate le procedure per ottenere quote di spazio su disco
disponibile per il backup;
Accertamento sicurezza (3\6)
  indicate le procedure da effettuare per i dati che devono
essere sottoposti a backup;
precisate le procedure per il recovery dei dati salvati;
  individuate le procedure per la verifica delle operazioni di
recovery;
  monitorati i “problemi” verificatesi nelle procedure di
recovery;
  stabilite le modalità e le frequenze delle archiviazioni dei log;
Accertamento sicurezza (4\6)
  garantita la distribuzione automatica degli aggiornamenti
relativi al sistema operativo;
 garantita la distribuzione automatica degli aggiornamenti
relativi all’antivirus;
  garantita l’intrusione di terzi sui dati contenuti negli archivi
informatici con l’installazione del firewall (gestito dal Centro firewall di
Napoli);
 conservata “la parola chiave” ;
Accertamento sicurezza (5\6)
 assicurato l’accesso ai registri con l’utilizzo di password
personali, conosciute solo dal singolo dipendente;
  individuato il profilo di accesso (inserimento\ricerca) dei
magistrati e dei dipendenti in servizio;
 individuato l’amministratore del sistema;
  individuato il titolare del trattamento dei dati;
 individuati i responsabili del trattamento dei dati;
  individuati gli incaricati del trattamento.
Accertamento sicurezza (6\6)
  monitoraggio e controllo dell’accesso del pubblico agli uffici;
 installazione di sistemi di defender (tornelli, metal detector ecc.);
  dispositivi per il controllo dei bagagli e\o dei i pacchi;
 sistemi di allarme e di video-sorveglianza;
  modalità di accesso alle sale intercettazioni e agli uffici nelle
ore notturne e nelle giornate festive.