Regolamento di attuazione della Legge 675/96 "Tutela delle persone e di altri soggetti rispetto al trattamento di dati personali" e successive modificazioni e integrazioni. 
(approvato dal Consiglio di Amministrazione del 28 gennaio 1998 ed emanato con decreto rettorale n. 771 del 4 febbraio 1998)

Articolo 1 - Ambito di applicazione
Il presente regolamento è adottato in attuazione della Legge 675/96 e disciplina il trattamento, la comunicazione e la diffusione da parte dell'Università dei dati personali, anche raccolti in banche dati.
L'Università provvede al trattamento, alla diffusione e alla comunicazione dei dati nell'ambito del perseguimento dei propri fini istituzionali.

Articolo 2 - Definizioni
Ai sensi dell'articolo. 1 della legge citata in premessa, per "banca dati" si intende "qualsiasi compromesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento".
Per "dato personale" si intende "qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale".
Per "dato sensibile" si intende un dato personale idoneo a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.
Per "trattamento" dei dati si intende "qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati".
Per "titolare" si intende "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità e alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza".
Per "responsabile" si intende "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento dei dati personali".

Articolo 3 - Circolazione dei dati
Ogni esigenza di trattamento locale di dati personali da parte delle strutture amministrative, di servizio, didattiche e scientifiche e dei dipendenti dell'Università, dev'essere soddisfatta nella misura necessaria al perseguimento dei predetti fini istituzionali.
Le disposizioni contenute negli articoli che seguono s'intendono riferite al trattamento locale, alla diffusione e alla comunicazione dei dati all'esterno.
L'accesso ai dati personali da parte delle strutture e dei dipendenti dell'Università, comunque limitato ai casi in cui sia finalizzato al perseguimento dei fini istituzionali, è ispirato al principio della circolazione delle informazioni, secondo il quale l'Università provvede alla organizzazione delle informazioni e dei dati a sua disposizione mediante strumenti, anche di carattere informatico, atti a facilitarne l'accesso e la fruizione, anche presso le strutture didattiche e di ricerca.
Ai fini dell'accesso ai dati sono equiparati alle strutture dell'Università gli organismi di controllo e di valutazione quali il Collegio dei Revisori, il Nucleo di Valutazione ed ogni altro organo interno ed esterno a cui espresse disposizioni normative affidino tali compiti.
Ai sensi del presente regolamento per "trattamento locale" si intende "qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione,  la diffusione, la cancellazione e la distruzione dei dati", svolta all'interno dell'Università e tra le strutture che operano sui dati personali per il conseguimento dei propri fini istituzionali.

Articolo 4 - Tipologie dei dati trattati dall'Università
      In applicazione del vigente Statuto le principali finalità dell'Università di Torino sono le seguenti:
•	l'Università di Torino è un'istituzione pubblica le cui finalità sono l'istruzione superiore e la ricerca scientifica e tecnologica;
•	l'Università adotta i provvedimenti necessari per assicurare la piena realizzazione del diritto allo studio. S'impegna specificatamente a favorire quanto consenta di migliorare le condizioni degli studenti dell'Ateneo, la loro formazione culturale ed il loro inserimento nel mondo del lavoro, avvalendosi di tutte le possibilità offerte dalla normativa vigente;
•	l'Università, nell'ambito delle proprie finalità, sviluppa rapporti con altre istituzioni ed organismi nazionali, stranieri, comunitari ed internazionali operanti nel campo della didattica e della ricerca e con enti pubblici e privati. Realizza intese programmatiche con le istituzioni del sistema educativo e della formazione professionale.
 Per il perseguimento dei propri fini istituzionali l'Università tratta principalmente le seguenti tipologie di dati personali:
1)	dati relativi al personale dipendente, cessato e a contratto;
2)	dati relativi a studenti, ivi compresi coloro che hanno già terminato gli studi, e categorie assimilate;
3)	personale operante a vario titolo nell'Università quali borsisti, tirocinanti, visitatori, ecc.;
4)	dati raccolti per fini amministrativi e contabili;
5)	dati raccolti per fini di ricerca.

Articolo 5 - Titolare e responsabile dei dati
Ai fini dell'applicazione della normativa di cui all'intestazione, l'Università degli Studi di Torino è titolare dei dati personali, ivi compresi i dati contenuti nelle banche dati, automatizzate o cartacee, detenuti dall'Università.
Ai fini dell'attuazione delle disposizioni di legge, nell'ambito dell'Università, articolata in strutture amministrative, di servizio, didattiche e scientifiche. I responsabili dei dati sono responsabili delle strutture stesse. Per ciò che attiene alle strutture afferenti alla sede centrale, il Direttore Amministrativo è individuato quale responsabile dei dati. A sua volta il Direttore Amministrativo individuerà  all'interno di ogni struttura in cui risulta funzionalmente suddivisa la sede centrale, il proprio incaricato del trattamento, i cui compiti verranno precisati per iscritto.
Il Titolare, nella persona del rappresentante legale dell'Università, può comunque designare, con proprio provvedimento, un responsabile del trattamento dei dati diverso dai soggetti sopra indicati, previa verifica di idonea garanzia del pieno rispetto delle disposizioni vigenti in materia.
Ai fini dell'attuazione della Legge 675/96, verrà altresì individuato quale "Responsabile esterno" ogni Ente di cui l'Università deciderà di avvalersi per trattamenti di dati di cui essa stessa sia titolare. In sede di prima applicazione gli Enti sopracitati sono quelli elencati nell'allegato 1) del presente regolamento.
Per una completa attuazione della citata legge, con successivo provvedimento rettorale, verrà inoltre dato mandato alla Commissione paritetica Università-Regione di verificare le problematiche relative alla titolarità dei dati personali trattati dalle strutture convenzionate con le ASSL e le USSL, nonché di inserire nelle apposite convenzioni ogni disposizione necessaria.

Articolo 6 - Modalità di raccolta e requisiti di dati personali
        Ai sensi della normativa vigente i dati personali oggetto di trattamento sono:
•	trattati in modo lecito e secondo correttezza;
•	raccolti e registrati per scopi determinati, espliciti e legittimi e utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
•	esatti e, se necessario, aggiornati;
•	pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti e successivamente trattati;
•	conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario per gli scopi per i quali sono stati raccolti e successivamente trattati.

Articolo 7 - Misure di sicurezza
Il Titolare ed il Responsabile custodiranno i dati adottando tutte le misure idonee ad evitare i rischi di distruzione o perdita, anche accidentale, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
Con successivo provvedimento verranno individuati standard di sicurezza minimi di Ateneo a cui ogni struttura sarà chiamata ad adeguarsi, nonché un servizio con compito di supporto e di verifica per tutto ciò che riguarda la sicurezza dei dati e gli adempimenti connessi alla legge di cui all'intestazione.

Articolo 8 - Notificazione delle banche di dati
Per consentire al Titolare la notificazione delle banche di dati ivi comprese quelle gestite presso Enti esterni prevista dalla normativa, chi intraprende o cessa il trattamento di dati, nell'ambito delle funzioni universitarie, è tenuto a comunicarlo al Rettore - per il tramite dell'Ufficio Relazioni con il Pubblico ed al Responsabile di struttura.
La comunicazione dovrà contenere:
•	le finalità e le modalità del trattamento;
•	la natura dei dati, il luogo ove sono custoditi e le categorie di interessati cui i dati si riferiscono;
•	l'ambito di trattamento e di diffusione dei dati;
•	gli eventuali trasferimenti di dati previsti verso Paesi non appartenenti all'Unione europea o qualora si tratti di dati sensibili e di dati relativi ai provvedimenti di cui all'articolo 686 c.p.p., fuori dal territorio nazionale;
•	una descrizione delle misure di sicurezza adottate;
•	l'eventuale connessione con altri trattamenti o banche di dati.
In sede di prima applicazione il censimento delle banche di dati esistenti presso le diverse strutture Universitarie sarà effettuato a cura dell'Ufficio Relazioni con il Pubblico.

Articolo 9 - Diritti dell'interessato
       Il soggetto i cui dati sono contenuti in una banca di dati ha il diritto di ottenere, entro i termini previsti dalla normativa:
1)	la conferma dell'esistenza o meno di trattamenti di dati che lo riguardano, anche se non ancora registrati e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonché della logica e delle finalità del trattamento;	                             
2)	la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge;
3)	l'aggiornamento, la rettificazione, ovvero, qualora vi abbia interesse, l'integrazione dei dati;
4)	l'attestazione che le operazioni di cui ai numeri 2) e 3) sono state portate a conoscenza dei terzi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.
L'interessato ha il diritto di opporsi, per motivi legittimi, al trattamento dei dati che lo riguardano, ancorché pertinenti allo scopo della raccolta.
L'interessato può esercitare tali diritti con una richiesta scritta al Responsabile della struttura cui afferisce la banca dei dati.
L'interessato può conferire, per iscritto, delega o procura a persone fisiche o ad associazioni.

Articolo 10 - Richiesta di trattamento, diffusione e comunicazione dei dati personali
Ogni richiesta rivolta da privati all'Università e finalizzata ad ottenere il trattamento, la diffusione e la comunicazione dei dati personali anche contenuti in banche di dati deve essere scritta e motivata. In essa devono essere specificati gli estremi del richiedente e devono essere indicati i dati ai quali la domanda si riferisce e lo scopo per il quale sono richiesti.
L'Università, dopo aver valutato che il trattamento, la diffusione e la comunicazione dei dati sono compatibili con i propri fini istituzionali, provvede alla trasmissione dei dati stessi nella misura e secondo le modalità strettamente necessarie a soddisfare la richiesta.
Le richieste provenienti da enti pubblici finalizzate al trattamento, alla diffusione e alla comunicazione dei dati sono soddisfatte quando necessarie al perseguimento dei fini istituzionali dell'ente richiedente.
La diffusione di dati tra le diverse strutture di questo Ateneo, non è soggetta a richiesta scritta e motivata, purché la conoscenza e il trattamento dei dati diffusi siano necessari allo svolgimento delle funzioni e dei compiti istituzionali della struttura richiedente e nel trasferimento vengano osservate le normali misure di sicurezza.

Articolo 11 - Modalità di comunicazione e diffusione dei dati
Al fine di ottenere la comunicazione dei dati, i soggetti privati presentano una richiesta scritta al Responsabile della struttura cui afferisce la banca di dati, indicando:
•	il nome, la denominazione o la ragione sociale;
•	le finalità e le modalità di utilizzo dei dati richiesti;
•	l'eventuale ambito di comunicazione dei dati richiesti;
ed impegnandosi ad utilizzare i dati esclusivamente per le finalità e nell'ambito delle modalità indicate.
La comunicazione e la diffusione dei dati sono comunque permesse quando:
•	siano necessarie per finalità di ricerca scientifica o di statistica e si tratti di dati anonimi;
•	siano richieste dai soggetti di cui all'articolo 4, comma 1, lettere b), d) ed e), della Legge 675/96, per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati, con l'osservanza delle norme che regolano la materia.

Articolo 12 - Disposizione transitorie e finali
Le presenti disposizioni non sono in contrasto con il diritto di accesso ai documenti amministrativi di cui alla Legge 241/90 e verranno recepite dal relativo regolamento, attualmente in fase di studio.
Gli adempimenti di cui al II comma dell'articolo 7 del presente regolamento verranno attuati attraverso apposite delibere del Consiglio di Amministrazione che provvederà ad individuare i fondi per la copertura dei costi.