DIRETTIVA PER  L’ATTUAZIONE DELLA LEGGE 31 DICEMBRE 1996 N.675 “TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DEI DATI PERSONALI”.

1.	TRATTAMENTO DI DATI PERSONALI

La legge 31 dicembre 1996 n.675, “Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali”, definisce “trattamento” qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati.

Per “dato personale” si intende qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili anche indirettamente mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

Nell’ambito delle varie fasi del trattamento, particolare attenzione viene riservata dalla legge a quelle relative alla comunicazione e alla diffusione.
Si ricorda che si intende
a) 	per comunicazione: il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
b) 	per diffusione: il dare conoscenza dei dati personali  a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.
Tale conoscenza si intende ovviamente riferita ai dati personali e non al risultato di eventuali elaborazioni, che non ricadono nel campo di applicazione della legge.

2. TITOLARE DEL TRATTAMENTO DI DATI PERSONALI

La legge 675/96 definisce “titolare del trattamento di dati  personali”: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza.
Con deliberazione della Giunta Regionale n. 208 del 9.3.1998 è stato individuato l’ente “Regione Toscana - Giunta Regionale” quale titolare dei trattamenti di dati personali effettuati nei dipartimenti e uffici della Regione Toscana, con esclusione dell’ambito di competenza del Consiglio regionale.  
I Coordinatori dei Dipartimenti del Centro Direzionale e dell’Avvocatura, nonché i Dirigenti responsabili delle Aree Extra-Dipartimentali e delle Posizioni Individuali ad esse equiparate, provvedono, in base alle normali attribuzioni loro proprie ai sensi della L.R. 81/94, all’adozione dei provvedimenti di applicazione della L. 675/96 nell’ambito delle strutture dirette, con particolare riguardo alla nomina dei responsabili dei trattamenti e alla vigilanza sul rispetto della normativa.
I coordinatori dispongono controlli periodici, anche a campione, e pongono in essere ogni altra azione ritenuta necessaria a verificare il rispetto della normativa. Inoltre, sulla base delle relazioni annuali dei singoli responsabili, predispongono e trasmettono annualmente (entro il 31marzo) alla Giunta regionale una relazione di sintesi sullo stato di applicazione della normativa nei rispettivi Dipartimenti.

3. RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI.

Per “responsabile del trattamento dei dati personali” si intende la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali.
In base alla deliberazione G.R. n. 208/1998, i responsabili dei trattamenti di dati personali sono nominati dal Titolare (Regione Toscana/Giunta regionale) per il tramite dei suddetti Coordinatori e Responsabili delle aree extra-dipartimentali, che vi provvedono con proprio decreto, indicando analiticamente le funzioni ad essi assegnate (v. successivo punto 5.).

I responsabili possono essere sia interni che esterni all’Amministrazione regionale, in relazione alle materie oggetto del trattamento.
Per ciascun trattamento deve essere preferibilmente nominato un unico responsabile interno all'Amministrazione, in modo da evitare una eccessiva frammentazione di responsabilità. 
Salvo particolari eccezioni, i responsabili dei trattamenti di dati personali devono essere individuati nei dirigenti responsabili delle strutture presso le quali si svolgono i trattamenti, al fine di mantenere coerenza con le responsabilità derivanti dalla L.R. 81/94 e, dove possibile, con la responsabilità del procedimento amministrativo. La  nomina deve comunque essere fatta esplicitamente.

La funzione di responsabile non può essere delegata, tranne che - parzialmente - quando l’affidamento all’esterno di un determinato servizio comporta come prestazione principale o accessoria un trattamento di dati  (ad es. il servizio di stampa, confezionamento e spedizione di una pubblicazione comprende la gestione da parte della tipografia affidataria di una mailing list fornita dall'Amministrazione ). 
In questa ipotesi, poiché il trattamento consta di più fasi, interne ed esterne, il dirigente regionale responsabile del trattamento provvede a designare e nominare uno o più responsabili esterni per le fasi affidate all’esterno.
I relativi contratti di affidamento dei servizi devono stabilire in dettaglio le modalità di gestione del trattamento e le misure di sicurezza da adottare e devono recare la formale nomina a “responsabile” della ditta commissionaria o della persona fisica da questa indicata, facendo esplicito riferimento al punto 3 della presente Direttiva.

4. INCARICATI DEL TRATTAMENTO DEI DATI PERSONALI.  

Gli incaricati del trattamento dei dati personali sono, a norma della L.675/96, i soggetti che effettuano materialmente le operazioni di trattamento. Essi sono individuati formalmente dal responsabile, che fornisce loro istruzioni scritte per il trattamento dei dati, ed operano sotto la sua diretta autorità.

Gli incaricati devono effettuare i trattamenti dei dati attenendosi alle istruzioni ricevute e nel rispetto delle indicazioni relative alle norme di sicurezza.

Nell’impartire le istruzioni, il responsabile deve prescrivere che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti loro assegnati (art. 9, comma 1, D.Lgs. 318/99).

Quando gli incaricati del trattamento sono individuati nell’ambito dei collaboratori assegnati alla struttura organizzativa che fa capo al responsabile del trattamento dei dati, la nomina avviene con disposizione del dirigente.

Nei casi in cui il trattamento dei dati è effettuato, per alcune fasi, da strutture organizzative regionali diverse da quella che fa capo al responsabile, l’individuazione degli incaricati avviene con nota del responsabile del trattamento dei dati, d'intesa con il  dirigente della struttura coinvolta. Quest’ultimo può indicare a tale fine propri collaboratori o sé stesso. 

5. FUNZIONI DEI RESPONSABILI DEI TRATTAMENTI DEI DATI.

I Responsabili devono provvedere al trattamento dei dati personali nel rispetto delle vigenti norme e delle ulteriori disposizioni impartite dal titolare. 
In particolare devono:
1.	individuare formalmente, secondo quanto specificato al precedente punto 4., gli incaricati del trattamento dei dati, fornendo loro per iscritto istruzioni  circa le modalità del trattamento nel rispetto della legge e di quanto stabilito dal titolare,
2.	adottare le misure per assicurare la qualità dei dati, le modalità di raccolta e conservazione dei dati, secondo quanto disposto dall’art.9 della legge e al successivo punto10 della presente direttiva, e vigilare sulla corretta osservanza delle istruzioni impartite,
3.	adottare misure di sicurezza idonee ad evitare rischi di distruzione o perdita anche accidentale dei dati, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta, secondo quanto indicato al successivo punto 13 della presente direttiva,
4. 	rispettare le misure di sicurezza per le banche dati informatizzate contenenti dati personali, di cui al punto 13  della presente direttiva,
5.	informare per iscritto o oralmente l’interessato o la persona, diversa dall’interessato, presso la quale sono raccolti i dati personali  - anche attraverso formule prestampate nel relativo bando pubblicato sul BURT o sulle schede che devono essere compilate dagli interessati -  degli elementi previsti dall’art. 10 della legge (vedi il successivo punto 11 e allegato n. 1).
6. 	fornire all’interessato, su richiesta,  le informazioni previste dall’art. 13 della legge 675/96.
7. 	verificare, con riferimento al trattamento di dati sensibili (art. 22) e di dati giudiziari (art. 24), se il trattamento stesso è autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati,  le operazioni eseguibili  e le rilevanti finalità di interesse pubblico perseguite. Qualora  il responsabile del trattamento accerti in sede di verifica  che   -pur essendo le rilevanti finalità di interesse pubblico specificate dal D.Lgs.135/99 o da altra espressa disposizione di legge,  manchi un’espressa disposizione di legge che specifichi anche i tipi di dati e le operazioni eseguibili -  deve provvedere: a)  a identificare i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite;  b) a comunicare tali informazioni, per il tramite del Coordinatore del Dipartimento di appartenenza, al Servizio Statistica, ai fini degli adempimenti di cui all’art.5, comma 2, del D.Lgs.135/99.      Nel caso il responsabile accerti, sempre in sede della  verifica suddetta, che le finalità del trattamento non sono previste tra quelle specificate dal D.Lgs. 135/99  né da espressa disposizione di legge, deve tempestivamente darne comunicazione al Responsabile del Servizio Statistica ai fini della richiesta al Garante per il riconoscimento del rilevante interesse pubblico delle attività in oggetto (v. anche successivo punto 9.).
8. 	comunicare tempestivamente al Servizio Statistica l’intenzione di avviare nuovi trattamenti non compresi nell’elenco regionale dei trattamenti di dati personali, nonché l’eventuale cessazione di trattamenti in atto, ai fini dell’istruttoria per l’eventuale notificazione al Garante,
9. 	comunicare, in occasione dell’aggiornamento annuale dell’elenco regionale dei trattamenti, eventuali variazioni rispetto alle informazioni in esso contenute, 
10. 	trasmettere annualmente al Coordinatore del Dipartimento o al Dirigente della Struttura extra-dipartimentale una relazione sull’attività svolta.

6. 	ADEMPIMENTI DI LEGGE E RAPPORTI CON IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI.

Le notificazioni dei trattamenti effettuati nell’ambito dell’Ente, e le eventuali ulteriori comunicazioni relative ad altri adempimenti di legge sono inoltrate al Garante per la protezione dei dati personali a firma del Coordinatore del Dipartimento dell’Organizzazione e delle Risorse, come stabilito con deliberazione G.R. n. 208/1998.
La relativa attività istruttoria è svolta dal Servizio Statistica, struttura preposta a coordinare l’attuazione della L. 675/96.
La stessa struttura cura i rapporti con l’ufficio del Garante per gli aspetti tecnico-operativi  (richieste di chiarimenti, etc....) e assicura supporto e consulenza agli uffici regionali per le problematiche connesse all’attuazione della legge 675/96 e delle disposizioni regionali.

7.  ELENCO REGIONALE DEI TRATTAMENTI DI DATI PERSONALI.

I trattamenti di dati personali effettuati in ambito regionale sono elencati in un apposito archivio, organizzato con riferimento ai dipartimenti e alle strutture extra-dipartimentali.
Tale elenco contiene, per ciascun trattamento:  l’indicazione del/dei responsabile/i, le finalità e modalità del trattamento, la eventuale normativa di riferimento, la natura dei dati trattati (comuni o sensibili), il luogo in cui sono custoditi, le categorie di interessati cui i dati si riferiscono, l’ambito di comunicazione o diffusione dei dati, le misure di sicurezza adottate, l’indicazione della banca dati cui il trattamento si riferisce, nonché le altre informazioni utili per l’istruttoria ai fini dell’eventuale notificazione /comunicazione al Garante.
La gestione dell’archivio è curata dal Servizio Statistica, che provvede annualmente al suo aggiornamento. 
A tal fine, all’atto della predisposizione dei piani di lavoro annuali da parte delle strutture, il Servizio Statistica trasmette a ciascun coordinatore (e dirigente di struttura extra-dipartimentale) l’elenco dei trattamenti di competenza, ai fini della verifica (conferma o variazione) delle relative informazioni e della segnalazione di nuovi trattamenti di cui si prevede l’attivazione.

Nel caso si renda necessario attivare nel corso dell’anno nuovi trattamenti non precedentemente segnalati, il dirigente della struttura di riferimento deve prendere tempestivamente contatto con il Servizio Statistica, ai fini dell’istruttoria per l’eventuale notificazione preventiva al Garante.

8. 	TRATTAMENTO DI DATI PERSONALI COMUNI  DA PARTE DELLA REGIONE TOSCANA.

Il trattamento di dati personali comuni da parte della Regione è consentito per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti dalla legge e dai regolamenti (art. 27, comma 1, L.675/96).
Il trattamento di dati personali comuni da parte di soggetti pubblici è effettuato senza il consenso dell’interessato. 
E’ invece obbligatoria l’informativa di cui all’art.10 della legge (cfr. successivo punto 11).

8.1 Comunicazione e diffusione dei dati personali comuni

Per quanto concerne le operazioni relative alla comunicazione e diffusione il legislatore ha prefigurato una specifica disciplina (art. 27, commi 2 e 3, L. 675/96), finalizzata ad una più rigorosa tutela della privacy. Infatti:
a)	la comunicazione e la diffusione a soggetti privati dei dati personali trattati dalla Regione sono ammesse solo se previste da norme di legge o regolamento;
b)	 la comunicazione e la diffusione a soggetti pubblici dei dati personali trattati dalla Regione sono ammesse:
•	quando siano previste da norme di legge o di regolamento
•	quando, pur mancando una espressa previsione normativa, risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In tal caso l’Amministrazione Regionale deve darne comunicazione preventiva al Garante.

8.2  Diffusione di dati personali comuni tramite pubblicazione sul B.U.R.T.

La pubblicazione sul B.U.R.T. di provvedimenti amministrativi contenenti dati personali comuni concreta un’ipotesi di diffusione degli stessi sia a soggetti pubblici che privati. 
Tale pubblicazione è in linea con quanto disposto dell’art.27 L.675/96, essendo espressamente prevista  dalla legge regionale.

Particolare attenzione deve essere comunque prestata dalle strutture redigenti nell’applicare correttamente le disposizioni che stabiliscono le forme e le modalità di pubblicazione sul Bollettino Ufficiale, quali:
- L.R. 20 gennaio 1995 n.9 “Disposizioni in materia di procedimento amministrativo ed accesso agli atti”;
- L.R.15 marzo 1996 n.18 “Ordinamento del Bollettino Ufficiale della Regione Toscana e norme per la pubblicazione degli atti”;
- Direttiva sulla pubblicità degli provvedimenti amministrativi regionali e  loro pubblicazione sul B.U.R.T.,  approvata con deliberazione GR n. 262/98.

Premesso che, in ogni caso, la struttura redigente  deve effettuare  una verifica  sulla pertinenza e sulla non eccedenza dei dati personali da inserire nell’atto (cfr. successivo punto 10.1) si ricorda che la pubblicazione sul BURT è prevista per le seguenti categorie  di atti, con le modalità sottoriportate:

A) 	Atti amministrativi generali (art.41 lett.b LR 9/95)
     Atti soggetti a pubblicità per espressa disposizione di legge o regolamento (art.41 lett.d LR 9/95)
     Atti che per il loro contenuto devono essere portati a conoscenza della generalità dei cittadini
     (art.2 comma 3 LR 18/96).
Tali atti sono pubblicati per intero secondo le disposizioni di cui ai punti 2.3, 2.4, e 2.5 della citata Direttiva n.262/98 (codice PI).

 B)  Provvedimenti conclusivi di procedimento amministrativo (art.41 lett.a  LR 9/95).
Tali provvedimenti sono pubblicati per estratto secondo le disposizioni di cui al punto 2.2 della Direttiva n.262/98 (codice PE).
In questo caso l’estensore deve aver cura di inserire i dati personali non strettamente pertinenti il provvedimento, ma necessari per adempimenti successivi  (quali, ad es., codice fiscale, coordinate bancarie, conto corrente postale del beneficiario e simili), nella parte narrativa dello stesso (che non viene pubblicata)  oppure in un documento allegato (che non viene pubblicato). 
Ciò consente di evitare la diffusione di dati personali non necessari alla finalità di trasparenza dell’azione amministrativa sottesa alla pubblicazione. 
Inoltre, al fine di evitare che tale tipologia di atti - provvedimenti conclusivi di procedimento che contengono dati personali comuni - venga diffusa in versione integrale tramite il sito INTERNET della Regione, viene introdotto il codice di identificazione PEDP (che sarà riportato sul frontespizio delle cartelline dipartimentali).

Le disposizioni del presente punto 8.2 non si applicano:

- agli atti regionali che contengono dati personali particolari (cfr. successivi punto 9);

- agli atti regionali che contengono dati o informazioni che - pur costituendo dato comune ai sensi della L.675/96 - sono compresi nelle  fattispecie indicate dall’art.44 LR 9/95 e non possono quindi essere divulgati per motivi di tutela della riservatezza dei terzi. 
Tali atti  sono  esclusi da pubblicità, come specificato al punto 4. della Direttiva n.265/98. In questa ipotesi la struttura redigente dispone la pubblicazione per estremi, salvo non ritenga motivatamente che la pubblicazione del provvedimento per  estratto è compatibile con le suindicate esigenze di riservatezza (codici  RE o RT).

9. TRATTAMENTO DI DATI PERSONALI PARTICOLARI

9.1  Dati personali sensibili
La legge 675/96 definisce “dati sensibili” i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.

9.1.1 Trattamenti
Il trattamento di tali dati da parte delle strutture regionali, compresa la loro comunicazione, è consentito solo se autorizzato da espressa disposizione di legge nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite.

9.1.2 	Le disposizioni integrative  introdotte con D.Lgs. 135/99 .
Nei casi in cui  le rilevanti finalità di interesse pubblico non sono individuate da espressa disposizione di legge, occorre fare riferimento al D.Lgs. 135/99 e successive modifiche, che introduce disposizioni  integrative in materia di trattamento di dati particolari da parte delle Pubbliche Amministrazioni. Tale decreto individua all’art.6 e segg. alcune rilevanti finalità di interesse pubblico per il cui perseguimento è consentito il trattamento di dati sensibili nell’ambito delle relative attività pubbliche (anagrafe, cittadinanza, immigrazione, esercizio diritti politici,  rapporti di lavoro, istruzione, benefici economici, tutela della salute, tossicodipendenze, ecc.).

Al di fuori delle ipotesi sopraindicate, la Regione può richiedere al Garante, nelle more della specificazione legislativa, l’individuazione delle attività, tra quelle demandate all’ente Regione, che perseguono rilevanti finalità di interesse pubblico;  per tali attività è conseguentemente autorizzato il trattamento dei dati sensibili, ai sensi del comma 2 dell’art. 22 della L. 675/96 (art. 22, comma 3, come sostituito dall’art.5, comma 2, del D.Lgs.135/99). 
Per le richieste presentate entro il 31 dicembre 1999 il termine per la decisione del Garante è di 90 giorni, durante i quali il trattamento dei dati già in atto può essere proseguito sino alla decisione.

9.1.3. 	Adeguamento dell’ordinamento regionale.
Nei casi in cui, a norma del precedente punto 9.1.2, risultino specificate le finalità di rilevante interesse pubblico, ma non  i tipi di dati e le operazioni eseguibili, l’Amministrazione Regionale deve identificare e rendere pubblici con deliberazione della Giunta i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente .

  L’adeguamento dell’ordinamento regionale, deve essere avviato entro il 31 dicembre 1999, ai sensi dell’art. 5, comma 4, del D.Lgs. 135/99.
L’identificazione dei dati e delle operazioni deve essere effettuata dai responsabili dei trattamenti (cfr. punto 5, n.7) sulla base dei principi di cui agli artt.1-4 del citato D.Lgs.135/99,  riportati in dettaglio al successivo punto 10.
I risultati di tale verifica saranno comunicati dai responsabili, tramite i rispettivi Coordinatori, al Coordinatore del Dipartimento Organizzazione e Risorse per la predisposizione degli atti necessari. 
 
9.1.4 Esclusione del consenso. 
Il trattamento da parte della Regione avviene senza il consenso dell’interessato sia per i trattamenti di dati personali sensibili previsti da espressa disposizione di legge, sia per i trattamenti non previsti da espressa disposizione di legge, ma autorizzati sulla base delle disposizioni del D.Lgs. 135/99 per le finalità di interesse pubblico da questo individuate, con esclusione di quelle relative alla tutela della salute (vedi successivo punto9.2).

9.1.5  Diffusione di dati personali sensibili tramite pubblicazione sul B.U.R.T.
La diffusione dei dati personali sensibili è ammessa solo se prevista da espressa e specifica disposizione di legge (art.4, comma 3, D.Lgs.135/99).
Pertanto, in mancanza di una simile previsione normativa, non è consentita la diffusione tramite pubblicazione sul BURT degli atti amministrativi che contengono dati sensibili; tali atti sono qualificati riservati e pubblicati solo per estremi (codice RE).

9.2  Dati idonei a rivelare lo stato di salute
All’interno della categoria dei dati sensibili, la legge dedica alcune particolari disposizioni al trattamento dei dati idonei a rivelare lo stato di salute. 

Ai sensi dell’art. 23, comma 1, della L. 675/96 e dell’art. 17, comma 1, del D.Lgs. 135/99, la Regione (come pure gli altri organismi sanitari pubblici), quando agisce nella qualità di autorità sanitaria, può trattare i dati idonei a rivelare lo stato di salute anche in assenza di disposizioni di legge nelle due fattispecie seguenti:
a) per il perseguimento di finalità di tutela dell’incolumità fisica e della salute dell’interessato,  con il consenso dello stesso;
b) 	per il perseguimento di finalità di tutela dell’incolumità fisica e della salute di un terzo o della collettività, con il consenso dell’interessato.
 In mancanza del consenso dell’interessato, il trattamento può avvenire previa autorizzazione del Garante.  Tale autorizzazione è stata rilasciata dal Garante in via generale e recentemente rinnovata (Autorizzazione n. 2/1999)  a valere fino al 30 settembre 2000, salvo ulteriore rinnovo.

Per il trattamento dei dati idonei a rivelare lo stato di salute finalizzato a scopi di ricerca scientifica in campo medico, biomedico o epidemiologico il consenso dell’interessato non è necessario qualora la ricerca sia prevista da un’espressa previsione di legge o rientri nel programma di ricerca biomedica o sanitaria di cui all’art.12 bis del D.Lgs.502/92 e successive modificazioni (art.5 D.Lgs.282/99).
Ai sensi del comma 1 bis dell’art. 23 della L.675/96 (introdotto dal D.Lgs.282/99), il Ministero della Sanità individuerà con proprio decreto modalità semplificate per le informative di cui all’art. 10 e per la prestazione del consenso nei confronti di organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonché per il trattamento dei dati da parte dei soggetti medesimi.
Fino all’emanazione di tale decreto resta in vigore quanto attualmente previsto dalla L.675/96.

9.2.1  Diffusione di dati idonei a rivelare lo stato di salute tramite pubblicazione sul B.U.R.T.
La diffusione dei dati idonei a rivelare lo stato di salute è vietata; gli atti amministrativi regionali che contengono tali dati devono pertanto essere pubblicati per estremi (codice RE), salvo il caso in cui la pubblicazione sul BURT sia necessaria “per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia” (art. 23 comma 4 L. 675/96).

9.3  Dati giudiziari

9.3.1  Definizione
Sono definiti dati giudiziari ai sensi dell’art.24 L.675/96 quelli idonei a rivelare i provvedimenti che a norma dell’art. 686 del codice di procedura penale devono essere iscritti nel casellario giudiziale. 
Trattasi di:
•	sentenze di condanna e decreti penali;
•	provvedimenti emessi dagli organi giurisdizionali dell’esecuzione e concernenti la pena, le misure di sicurezza, gli effetti penali della condanna, l’applicazione dell’amnistia e la dichiarazione di abitualità o professionalità nel reato o di tendenza a delinquere;
•	provvedimenti che riguardano l’applicazione di pene accessorie;
•	sentenze che hanno prosciolto l’imputato o dichiarato non luogo a procedere per difetto di imputabilità o disposto una misura di sicurezza o dichiarato estinto il reato per applicazione di sanzioni sostitutive su richiesta dell’imputato;
•	sentenze che hanno pronunciato l’interdizione o l’inabilitazione e provvedimenti che le revocano;
•	sentenze di dichiarazione del fallimento, di omologazione del concordato fallimentare e di  riabilitazione del fallito; decreti di chiusura del fallimento;
•	provvedimenti amministrativi inerenti la perdita o la revoca della cittadinanza o l’espulsione dello straniero;
•	provvedimenti inerenti l’applicazione di misure di prevenzione, quali la sorveglianza speciale semplice o con obbligo di soggiorno.

9.3.2  Trattamento
Il trattamento dei dati in questione - compresa la loro comunicazione e diffusione - è ammesso soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento stesso, i tipi di dati trattati e le precise operazioni autorizzate.
In relazione alle rilevanti finalità di interesse pubblico individuate al Capo II del D.Lgs.135/99 i soggetti pubblici devono identificare e rendere pubblici, con le stesse modalità già riportate al precedente punto 9.1, anche i tipi di dati e di operazioni oggetto del trattamento concernenti dati giudiziari (art. 5, comma 5 bis, del D.Lgs. 135/99,  introdotto dall’art.15 D. Lgs.281/99).

9.3.3   Diffusione
Per la diffusione dei dati giudiziari tramite B.U.R.T. valgono le stesse indicazioni fornite per i dati personali sensibili al precedente punto 9.1.5.

10. MODALITA’ DI RACCOLTA E REQUISITI DEI DATI PERSONALI.

10.1  Dati personali comuni

L’art.9 della L.675/96 stabilisce le modalità di raccolta e i requisiti dei dati personali.
I dati devono essere:
1.	trattati in modo lecito e secondo correttezza;
2.	raccolti e registrati per scopi determinati, espliciti e legittimi;
3.	esatti e, se necessario, aggiornati;
4.	pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono stati raccolti e successivamente trattati:
5.	conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Con riferimento al punto 2., il D.Lgs.281/99 ha precisato che “Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.” 

Ogni responsabile del trattamento di dati personali deve verificare periodicamente la sussistenza di tali requisiti con riferimento alle diverse fasi del trattamento, rispetto alle finalità perseguite nei singoli casi, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. 

Fra i requisiti suddetti assumono particolare rilevanza quelli della pertinenza e della non eccedenza  delle informazioni rispetto alle finalità per le quali sono raccolti o trattati.

Ad esempio, il trattamento di alcune informazioni può essere necessario per la fase istruttoria del procedimento amministrativo, ma può risultare non motivata la loro conoscenza da parte di soggetti diversi da quelli preposti allo svolgimento di compiti specifici. Tale verifica deve comportare, se necessario, la revisione delle modalità organizzative degli uffici e l’adozione di idonee misure di sicurezza.

10.2 Dati particolari

L’osservanza delle modalità di raccolta e di trattamento sopra indicate, dovuta per tutti i dati personali, anche comuni, assume particolare rilevanza per i trattamenti  di dati personali sensibili o attinenti a provvedimenti giudiziari.

I soggetti pubblici, pur nell’ambito dei trattamenti autorizzati (v. punto 9 della presente direttiva), possono:
- trattare i soli dati essenziali per svolgere attività istituzionali che non possono essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dati personali di natura diversa;
- svolgere unicamente le operazioni di trattamento necessarie al perseguimento delle finalità per le quali il trattamento è consentito.

Tale prescrizione è richiamata anche dall’art.8 DPR 403/98, in base al  quale  - sempre con riferimento ai dati sensibili -  i certificati e i documenti trasmessi dalla Regione Toscana ad altre pubbliche amministrazioni possono contenere soltanto le informazioni relative a stati fatti e qualità personali  previste da legge o da regolamento e strettamente necessarie per il conseguimento delle finalità per le quali vengono acquisite.

Secondo quanto disposto dall’art.3 D.Lgs.135/99, al fine di assicurare che i dati trattati siano strettamente pertinenti e non eccedenti rispetto agli obblighi e ai compiti loro attribuiti, i responsabili dei trattamenti  devono valutare specificamente il rapporto tra i dati e gli adempimenti. 
I dati che  a seguito delle verifiche risultano eccedenti o non pertinenti o non necessari non possono essere utilizzati, salvo che per l'eventuale conservazione, a norma di legge, dell'atto o del documento che li contiene. Specifica attenzione deve essere prestata per la verifica dell'essenzialità dei dati riferiti a soggetti diversi da quelli cui si riferiscono direttamente le prestazioni o gli adempimenti.

I dati sensibili o attinenti a provvedimenti giudiziari contenuti in elenchi, registri o banche di dati, tenuti con l’ausilio di mezzi elettronici o comunque automatizzati, nonché i dati idonei a rivelare lo stato di salute e la vita sessuale indipendentemente dalle modalità di trattamento, devono essere trattati con tecniche di cifratura o mediante l’utilizzazione di codici identificativi o di altri sistemi che, considerato il numero e la natura dei dati trattati, permettono di identificare gli interessati solo in caso di necessità.
I dati idonei a rivelare lo stato di salute e la vita sessuale devono essere conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo.
I dati personali sensibili o attinenti a provvedimenti giudiziari non possono essere trattati nell’ambito di test psico-attitudinali volti a definire il profilo o la personalità dell’interessato.

Le operazioni di raffronto fra dati sensibili e/o dati attinenti a provvedimenti giudiziari possono essere effettuate solo con l’indicazione scritta dei motivi. Se tali operazioni sono effettuate utilizzando banche dati di diversi titolari, sono ammesse solo se previste da espressa disposizione di legge. (art. 4 D.Lgs.135/99).

10.3  Trattamenti di dati personali per scopi statistici e di ricerca scientifica

10.3.1  Trattamento di dati originariamente raccolti per altri scopi
Con riferimento ai criteri generali per il trattamento dei dati personali sopra richiamati, il comma 1 bis dell’art. 9 della L. 675/96 (introdotto dall’art..3 D.lgs.281/99), precisa che il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.
Anche in caso di cessazione del trattamento originario, i dati in oggetto possono essere conservati o ceduti ad altro titolare per scopi storici, di ricerca scientifica e di statistica, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta  sottoscritti ai sensi dell’art. 31 della L. 675/96  (art.6 D.Lgs. 81/99).

10.3.2  Trattamento di dati raccolti per scopi statistici  (capo III D. Lgs.281/99)
Gli scopi statistici e di ricerca scientifica devono essere chiaramente determinati e resi noti all’interessato, nei modi di cui all’art.10 della L. 675/96 (vedi successivo punto 11 della presente direttiva).
I dati personali trattati per scopi statistici e di ricerca scientifica non possono essere utilizzati per prendere decisioni o provvedimenti relativamente all’interessato, né per trattamenti di dati per scopi di altra natura.

10.3.3  Codici di deontologia e di buona condotta
Entro il 1 aprile 2000 il Garante promuoverà la sottoscrizione di uno o più codici di deontologia e di buona condotta per il trattamento di dati personali a scopi statistici e di ricerca scientifica in ambito pubblico e privato, nei quali saranno individuati fra l’altro:
-  i presupposti e i procedimenti per documentare e verificare che i trattamenti, fuori dai casi previsti dal decreto legislativo 322/89 (vedi successivo punto 10.3.4), siano svolti per idonei ed effettivi scopi statistici e di ricerca scientifica;
- le regole di correttezza da osservare nella raccolta dei dati e le istruzioni da impartire al personale incaricato;
- le misure di sicurezza da adottare per favorire il rispetto dei principi di pertinenza e non eccedenza dei dati e delle misure di sicurezza di cui all’art.15 della L. 675/96.

I responsabili del trattamento dei dati personali dovranno rispettare le disposizioni contenute in tali codici e impartire specifiche istruzioni al riguardo al personale incaricato del trattamento.

10.3.4  Trattamento di dati personali per fini statistici nell’ambito del Programma Statistico Regionale.
I soggetti che fanno parte del Sistema Statistico Nazionale possono raccogliere ed ulteriormente trattare i dati personali necessari per perseguire gli scopi statistici previsti dal decreto legislativo 322/89, dalla legge o dalla normativa comunitaria, qualora il trattamento di dati anonimi non permetta di raggiungere i medesimi scopi  (art. 11 D.Lgs.281/99).

Per la Regione Toscana la fattispecie di cui sopra si concretizza nei trattamenti effettuati per fini statistici dal Servizio Statistica, nonché dalle altre strutture regionali limitatamente alle attività previste dal Programma Statistico Regionale.
Ai sensi dell’art. 7, comma 5-ter (introdotto dall’art.2 D.Lgs.281/99), non sono soggetti a notificazione al Garante i trattamenti di dati personali previsti dal Programma Statistico Regionale.
Ogni eventuale altro trattamento  effettuato per scopi statistici, ma non contemplato dal Programma Statistico Regionale, è soggetto all’obbligo di  notificazione al Garante (a meno che non rientri negli altri casi di esonero previsti dall’art.7 L. 675/96). 

I dati personali raccolti per uno specifico scopo statistico (così come quelli raccolti per altri scopi) possono essere trattati dai soggetti sopra indicati per altri scopi statistici di interesse pubblico, se ciò è previsto dal D.Lgs.322/89, dalla legge, dalla normativa comunitaria o da un regolamento. Gli ulteriori scopi statistici devono essere chiaramente determinati e di limitata durata.

Dati identificativi
Per “dati identificativi” si intendono i dati personali che consentono l’identificazione diretta dell’interessato. (art. 10, comma 5, D.Lgs.281/99).
Per quanto riguarda l’ “identificabilità” dell’interessato, si deve invece far riferimento all’insieme dei mezzi che possono essere ragionevolmente utilizzati dal titolare del trattamento o da altri per identificare l’interessato, anche in base alle conoscenze acquisite in base al progresso tecnico. Anche questo aspetto sarà oggetto di individuazione nell’ambito dei citati codici di deontologia e buona condotta.

I dati personali devono essere resi anonimi dopo la raccolta o quando la loro disponibilità non sia più necessaria per i propri trattamenti statistici.
I dati identificativi, qualora possano essere conservati, sono custoditi separatamente da ogni altro dato personale salvo che ciò, in base a un atto motivato per iscritto, risulti impossibile in ragione delle particolari caratteristiche del trattamento o comporti un impiego di mezzi manifestamente sproporzionato. 
I dati personali trattati per scopi statistici sono conservati separatamente da ogni altro dato personale trattato per finalità che non richiedano il loro utilizzo.
I dati identificativi, qualora possano essere conservati, sono abbinabili ad altri dati, sempre che l’abbinamento sia temporaneo ed essenziale per i propri trattamenti statistici

Le disposizioni relative al segreto statistico e alla riservatezza dei dati personali non si applicano ai dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque. (art 9, comma 2 D.Lgs.322/89, come modificato dall’art.12 D.Lgs.281/99).

11.  INFORMATIVA AGLI INTERESSATI. 

Al momento della raccolta dei dati da parte dell’Amministrazione l’interessato (o la persona presso la quale sono raccolti i dati stessi) deve essere informato, ai sensi dell’art. 10 della L. 675/96, circa:
1.	le finalità e le modalità di trattamento cui sono destinati i dati;
2.	la natura obbligatoria o facoltativa del conferimento dei dati;
3.	le conseguenze di un eventuale rifiuto di rispondere;
4.	i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l’ambito di diffusione dei dati medesimi;
5.	i diritti di cui all’art.13 della L. 675/96;
6.	il titolare e il responsabile del trattamento dei dati.
L’informativa può non comprendere gli elementi già noti alla persona che fornisce i dati.

Qualora i dati non siano raccolti presso l’interessato, l’informativa deve essere data all’interessato al momento della registrazione dei dati o della loro comunicazione ad altri soggetti,se prevista (art. 10, comma 3,  L. 675/96).
In quest’ultima ipotesi, l’informativa non è necessaria quando:
a) 	i dati siano trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; 
b) a giudizio del Garante, l’informativa risulti impossibile o comunque comporti un impiego di mezzi manifestamente sproporzionato.

Con riferimento ai trattamenti di competenza della Regione Toscana, si possono prendere in considerazione le seguenti categorie di soggetti “interessati”:
•	Dipendenti o altri soggetti nell’ambito di un rapporto di lavoro subordinato:
l’informativa deve essere effettuata al momento dell’instaurazione del rapporto di lavoro  (salvo fornire una tantum l’informativa a tutti i dipendenti in servizio);
•	Fornitori di beni, appaltatori di lavori pubblici e di servizi, consulenti, liberi professionisti  (contratti, convenzioni, gare di appalto, incarichi professionali):
 l’informativa può essere inserita nel bando di gara o nello schema di contratto/convenzione;
•	Soggetti iscritti in albi o elenchi regionali:
 l’informativa viene effettuata all’atto dell’iscrizione o dell’aggiornamento degli albi o elenchi,
•	Visitatori:
 l’informativa consiste in una nota di carattere generale (contenente le finalità e le modalità del 
 trattamento, nonché l’indicazione del responsabile) esposta presso le sedi regionali aperte al 
 pubblico dove si effettua il ritiro di un documento di identità e la registrazione dei relativi dati.
•	Cittadini, persone giuridiche, enti o associazioni destinatari di provvedimenti regionali (ad es. procedimenti relativi alla concessione di contributi, finanziamenti, o altre agevolazioni, rilascio di autorizzazioni o concessioni, ecc...): 
 l’informativa sul trattamento dei dati che sono acquisiti dalla Regione con riferimento allo specifico procedimento può essere inserita nel relativo bando pubblicato sul BURT, oppure nei modelli da compilare a cura degli interessati.

L’informativa deve essere redatta sulla base dello schema-tipo allegato alla presente direttiva. (Allegato 2)

12. RAPPORTI TRA LA NORMATIVA SULLA PRIVACY E IL DIRITTO DI ACCESSO.

12.1  Accesso agli atti amministrativi
Secondo quanto disposto dall’art.43, comma 2, della L.675/96, la normativa sul trattamento dei dati personali fa esplicitamente salve le vigenti norme in materia di accesso ai documenti amministrativi. 
Sia la giurisprudenza che il Garante per la tutela dei dati personali hanno anzi più volte affermato che la legge di tutela della privacy non può essere presa a pretesto per negare l’accesso agli atti amministrativi. 

Per la Regione Toscana, oltre alla L. 241/90, deve farsi riferimento ai seguenti atti legislativi e di indirizzo:
•	L.R. 9/1995 “Disposizioni in materia di procedimento amministrativo e di accesso agli atti”;
•	Deliberazione G.R. n. 612 del 2.6.1997 “L.R. 9/1995. Disposizioni in materia di procedimento amministrativo e di accesso agli atti - Art. 51 Limitazione al diritto di accesso”; 
•	Deliberazione G.R. n. 1307 del 2.11.1998  “Direttiva in ordine all’accesso e alla conoscenza dei documenti amministrativi della Regione Toscana” (pubblicata sul supplemento straordinario al BURT n.49/98). 

In caso di provvedimenti che contengono dati sensibili, si raccomanda di valutare con attenzione  la legittimazione del richiedente. In questo caso, infatti, il soggetto richiedente è legittimato all’accesso - peraltro limitato alla sola visione -  solo qualora la conoscenza dell’atto gli sia strettamente necessaria per difendere in giudizio i propri diritti e interessi.

12.2 Diritto di accesso dei consiglieri regionali
I consiglieri regionali hanno diritto di ottenere tutte le notizie e le informazioni in possesso degli uffici che siano utili all’espletamento del proprio mandato. 
La concreta individuazione da parte degli uffici delle notizie e delle informazioni che possono essere comunicate deve quindi tenere conto di tutto ciò che può essere funzionale allo svolgimento del mandato stesso, e quindi consentire ai consiglieri di valutare con piena cognizione di causa l’operato dell’Amministrazione, di esprimere un voto consapevole sulle questioni sottoposte all’organo consiliare e di promuovere le iniziative di competenza.
In ogni caso, i dati acquisiti dai consiglieri devono essere utilizzati per le sole finalità realmente pertinenti il mandato.

13. MISURE DI SICUREZZA

Il regolamento emanato con DPR  28 luglio 1999, n. 318  ha definito le misure minime di sicurezza per il trattamento dei dati personali, a norma dell’art. 15 della legge 675/96. 

Per “misure minime” si intende il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, previste nel suddetto regolamento, che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti dall’art.15 della legge 675/96.
Tali misure minime di sicurezza devono essere adottate dall’Amministrazione Regionale entro sei mesi dalla entrata in vigore del regolamento (29 settembre 1999) e successivamente aggiornate 

Fino al decorso di tale termine, i dati personali devono essere custoditi in maniera tale da evitare un incremento dei rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

13.1 Banche dati informatizzate

Se il trattamento dei dati è effettuato mediante elaboratori non accessibili da altri elaboratori o terminali, deve essere prevista, prima dell’inizio del trattamento, una parola chiave per l’accesso ai dati. Tale parola chiave deve essere fornita agli incaricati del trattamento, i quali devono (se possibile in relazione alle caratteristiche dell’elaboratore) poterla sostituire autonomamente, previa comunicazione al soggetto preposto alla custodia delle parole chiave.
Quando vi è più di un incaricato del trattamento e sono in uso più parole chiave, i soggetti preposti alla loro custodia devono essere individuati per iscritto.

Se il trattamento dei dati è effettuato mediante elaboratori accessibili in rete, oltre a quanto previsto dal punto precedente, a ciascun utente o incaricato del trattamento deve essere attribuito un codice identificativo personale, non attribuibile a nessun altro, per l’utilizzazione dell’elaboratore.
I codici identificativi devono essere gestiti in modo che ne sia prevista la disattivazione nel caso in cui il soggetto non abbia più le qualità per le quali poteva accedere alla banca dati o non si sia più  collegato per un periodo superiore a sei mesi.
Gli elaboratori devono essere protetti contro il rischio di intrusione mediante idonei programmi, la cui efficacia ed aggiornamento sono verificati con cadenza almeno semestrale. (art. 615-quinquies del codice penale).

13.1.1 Accesso ai dati particolari
Per il trattamento di dati sensibili o attinenti ai dati giudiziari, l’accesso ai dati è determinato sulla base di autorizzazioni assegnate dal Responsabile agli incaricati del trattamento o della manutenzione, singolarmente o per gruppi di lavoro. Periodicamente, e comunque almeno una volta l’anno, il Responsabile deve verificare la sussistenza delle condizioni per la loro conservazione.
L’autorizzazione all’accesso deve essere limitata ai soli dati la cui conoscenza è necessaria e sufficiente per lo svolgimento delle operazioni di trattamento o di manutenzione.
Nel caso di trattamenti di dati sensibili o di dati giudiziari effettuato mediante elaboratori accessibili mediante una rete di telecomunicazioni disponibili al pubblico, deve essere predisposto e aggiornato, con cadenza annuale,  un documento programmatico per la sicurezza dei dati, ai sensi dell’art. DPR 318/99. 
Alla data odierna le misure di sicurezza sono state previste nell’ambito delle linee di “Politica di sicurezza informatica” adottate dalla Giunta Regionale con deliberazione n.        del......  . 

13.1.2 Direttive
Oltre a quanto sopra specificato con riferimento all’uso di parole chiave e codici di identificazione, le misure di sicurezza che devono essere osservate da parte dei dipendenti che effettuano trattamenti di dati personali tramite strumenti informatici o telematici (riportate nell’Allegato 1) possono essere sintetizzate come segue: 

Utenti
Per quanto riguarda il singolo utente, sottolineando la diretta e personale responsabilità per la tenuta di archivi e dati sulla propria stazione di lavoro o su file server visti come estensione del proprio disco locale, le prescrizioni sono le seguenti:
•	non condividere il proprio codice identificativo personale con altri utenti (a meno che non sia espressamente previsto);
•	non cedere a terzi la propria parola chiave di autenticazione;
•	non accedere a servizi loro non consentiti;
•	non caricare ed eseguire software di rete o di comunicazione senza previa verifica dello stesso da parte del proprio Referente Informatico che opera in stretto rapporto con il Servizio IITR;
•	non tentare di acquisire privilegi di amministratore di sistema;
•	non collegare modem o comunque dispositivi che consentano un accesso non controllato ad apparati della rete privata di Regione Toscana;
•	effettuare il backup periodico dei propri dati di interesse;
•	utilizzo di password (a livello di macchina, a livello di sistema Operativo, a livello di screen saver) per il proprio pc; nel caso in cui il pc sia utilizzato da più persone, dove possibile, occorre dotare i vari utenti di password e profili diversi.

13.1.3 Organismi per la sicurezza
E’ prevista la costituzione di un Comitato per la sicurezza informatica e telematica e di uno Staff di Gestione Crisi. 
Specifici compiti per la tutela della sicurezza saranno assegnati al Servizio Infrastrutture Informative e Tecnologiche Regionali, all’Unità Operativa Organica “Gestione sicurezza informatica e telematica”, agli amministratori di sistema, ai gestori di servizi e ai referenti informatici. (Vedi Allegato1) .

13.2  Banche dati cartacee     

Ciascun Responsabile, nel designare gli incaricati del trattamento per iscritto e nell’impartire le istruzioni per il trattamento, deve prescrivere che gli incaricati abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti loro assegnati.
Gli atti e i documenti contenenti i dati devono essere conservati in archivi ad accesso selezionato e, se affidati agli incaricati del trattamento, devono essere da questi ultimi conservati e restituiti al termine delle operazioni affidate (art. 9 DPR 318/99)

Nel caso di trattamento di dati sensibili o di dati giudiziari, oltre a quanto previsto al punto precedente, gli atti e i documenti contenenti i dati, se affidati agli incaricati del trattamento, sono conservati fino alla restituzione in contenitori muniti di serratura.
L’accesso agli archivi deve essere controllato e devono essere identificati e registrati i soggetti che vi vengono ammessi dopo l’orario di chiusura degli archivi stessi.
I supporti non informatici contenenti la riproduzione di informazioni relative al trattamento di dati personali sensibili o attinenti a dati giudiziari devono essere conservati e custoditi con le modalità sopra specificate (art. 10 DPR 318/99).

Analogamente, per quanto riguarda i flussi di documenti cartacei all’interno degli uffici regionali, devono essere adottate idonee misure organizzative per salvaguardare la riservatezza dei dati personali (es. trasmissione dei documenti in buste chiuse).

°°°°°°°°°°°°°°°°°°°

                                                                   ALLEGATO n.1 alla Direttiva per
                                       	 l’attuazione della L.31 dicembre 1996 n.675

“Misure di sicurezza relative al trattamento di dati personali, previste nelle linee di “Politica di sicurezza informatica”, adottate dalla Giunta Regionale con deliberazione n. ... del ... .”
Nota di sintesi.

Le misure di sicurezza che devono essere osservate con riferimento ai trattamenti di dati personali  effettuati tramite strumenti informatici o telematici sono state determinate nell’ambito delle linee di “Politica di sicurezza informatica” adottate dalla Giunta Regionale con delibera n..........del.................

Direttive
In conseguenza degli obblighi derivanti dall’attuazione della legge 675/96 circa l’adozione di regole e comportamenti idonei a garantire un adeguato livello di sicurezza nell’accesso alle banche dati, sono state impartite le seguenti direttive ai  vari soggetti coinvolti.

Comitato per la sicurezza informatica e telematica
Tale comitato viene costituito da tre membri individuati tramite apposita nomina del Servizio Statistica, del Servizio IITR e del Dipartimento della Presidenza  e viene presieduto dal Responsabile della sicurezza informatica e telematica.
E’ compito di tale comitato:
•	Definire per ogni tipo di utente la categoria di appartenenza e creare, tramite apposita procedura, il corrispondente codice identificativo personale;
•	Revocare il codice identificativo personale, su segnalazione del Responsabile della sicurezza informatica e telematica, qualora ne venga fatto uso per scopi diversi da quelli dichiarati e comunque in tutti i casi in cui l’utilizzo non sia corretto;
•	predisporre report annuali in relazione alla attuazione delle politiche sulla sicurezza 
•	approvare integrazioni o modifiche al presente documento al fine di un suo continuo aggiornamento rispetto sia alle modificazioni tecnologiche che a nuove necessità di livelli di sicurezza

Servizio IITR ( Infrastrutture Informative e Tecnologiche Regionali )
Il servizio IITR deve:
•	gestire i servizi Internet; 
•	gestire i sistemi centrali;
•	emanare le direttive per quanto riguarda i prodotti software da installare sulle macchine, in particolare per l’adozione di strumenti antivirus validi ed aggiornati;
•	emanare le direttive per quanto riguarda i prodotti hardware da installare sulle macchine;
•	istruire adeguatamente i referenti informatici affinché possano svolgere correttamente il loro lavoro;
•	segnalare al responsabile della sicurezza informatica e telematica eventuali usi non corretti degli account;
•	gestire la Certification Authority.

Unita’ Operativa Organica Gestione Sicurezza Informatica e Telematica

Il responsabile della sicurezza informatica e telematica, in collaborazione con i referenti per la sicurezza dei Dipartimenti, cura:
•	la Gestione dell’elenco di tutti gli utenti in possesso di password di root e quindi con diritti di amministratore di sistema;
•	la Verifica ed eventuale segnalazione di uso non corretto dei codici identificativi personali al Comitato per la sicurezza informatica e telematica;
•	il Monitoraggio e verifica del rispetto delle regole per la sicurezza da parte dei diversi centri di responsabilità;
•	la attivazione di filtri per l’accesso a servizi esterni alla Regione Toscana e per limitare l’ingresso di flussi di dati che potrebbero ridurre i livelli di affidabilità e disponibilità della rete e dei suoi servizi;
•	la comunicazione al Comitato per la sicurezza informatica e telematica di richieste di disponibilità di accessi o servizi negati per la valutazione di merito.

•	Inoltre, in caso di attacco dovrà:
•	contattare il sito attaccato o il responsabile della macchina attaccata per valutare i danni;
•	riunire lo staff di Gestione Crisi per definire le azioni da intraprendere;
•	contattare eventualmente l’Avvocatura regionale per le azioni legali del caso.

Staff di gestione Crisi
Lo staff di gestione crisi viene individuato dal responsabile della sicurezza informatica e telematica sulla base delle competenze necessarie, interviene in caso di attacco o di altra situazione anomala ed opera al fine di:
•	ripristinare le corrette funzionalità dei servizi
•	studiare le contromosse per evitare il ripetersi dell’intrusione;
•	cercare di individuare l’intrusore.

Amministratori di sistema e gestori di servizi
Svolgono le seguenti attività:
•	aggiornare il Sistema Operativo o il software applicativo per i server;
•	aggiornare tempestivamente le macchine con le patches che eliminano bugs noti;
•	essere iscritti alle liste che consentono di venire a conoscenza di eventuali bugs che, in assenza di patch possono portare all’interruzione del servizio;
•	eseguire backup periodici dei dati;
•	eseguire backup dei pacchetti applicativi e del sistema operativo quando vengono fatti aggiornamenti o nuove installazioni;
•	adottare particolari misure di sicurezza per i supporti di backup al fine di prevenire eventi di distruzione o di accesso non autorizzato;
•	per i sistemi più critici adottare tecnologie che consentono di mantenere in linea una copia sempre aggiornata dei dati (mirroring o RAID);
•	prevedere l’accesso ai sistemi tramite identificazione (login) ed autenticazione (password); in particolare il login deve essere univoco per ogni utente e la password nota solo all’utente stesso; persone che lavorino sugli stessi dati e/o procedure devono avere login e password diverse;
•	gestire l’accesso ai sistemi con privilegi diversi, su indicazione del Comitato per la sicurezza informatica e telematica,  in modo che i vari utenti accedano solo alle risorse hardware e software che gli competono;
•	svolgere attività di auditing ovvero di monitoraggio, registrazione ed interpretazione degli eventi al fine di individuare anomalie e tentativi di violazione della sicurezza.
•	segnalare al responsabile della sicurezza informatica e telematica eventuali situazioni anomale.

Referenti informatici
Ai referenti informatici sono assegnati i seguenti compiti:
•	controllo periodico dei software presenti sulla macchine;
•	installazione sulle macchine solo di software di rete o di comunicazione espressamente autorizzati dal Servizio IITR;
•	verifica del corretto uso dei codici identificativi personali da parte degli utenti ed eventuale segnalazione al Servizio IITR;
•	backup periodico dei dati di macchine di particolare rilevanza loro affidate;
•	verifica della corretta installazione dei personal computer in rete al fine di evitare la coesistenza di modem/fax (e linea telefonica) e schede di rete locale.

Utenti
Per quanto riguarda il singolo utente, sottolineando la diretta e personale responsabilità per la tenuta di archivi e dati sulla propria stazione di lavoro o su file server visti come estensione del proprio disco locale, le prescrizioni sono le seguenti:
•	non condividere il proprio codice identificativo personale con altri utenti (a meno che non sia espressamente previsto);
•	non cedere a terzi la propria parola chiave di autenticazione;
•	non accedere a servizi loro non consentiti;
•	non caricare ed eseguire software di rete o di comunicazione senza previa verifica dello stesso da parte del proprio Referente Informatico che opera in stretto rapporto con il Servizio IITR;
•	non tentare di acquisire privilegi di amministratore di sistema;
•	non collegare modem o comunque dispositivi che consentano un accesso non controllato ad apparati della rete privata di Regione Toscana;
•	backup periodico dei propri dati di interesse;
•	utilizzo di password (a livello di macchina, a livello di sistema Operativo, a livello di screen saver) per il proprio pc; nel caso in cui il pc sia utilizzato da più persone, dove possibile, occorre dotare i vari utenti di password e profili diversi.

°°°°°°°°°°°°°

	ALLEGATO N.2 alla Direttiva per 			  l’attuazione della L.31 dicembre  1996 n.675

Informativa ex art. 10 legge 675/96 (schema - tipo)
(Da inserire in fondo al modello di raccolta dati o da consegnare separatamente)

La legge n. 675/96 prevede la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali. Secondo la legge tale trattamento sarà improntato ai principi di correttezza, liceità e trasparenza, tutelando la Sua riservatezza e i Suoi diritti.

L’utilizzo dei dati che La riguardano ha come finalità______________________________

La gestione dei dati è informatizzata/manuale. 

I dati non saranno comunicati ad altri soggetti / i dati potranno essere/saranno comunicati a: ... o diffusi attraverso: ... 
Il conferimento dei dati è facoltativo/obbligatorio (se obbligatorio specificare il motivo dell’obbligo) e il loro eventuale mancato conferimento .......... (specificare le conseguenze del mancato conferimento)

Il titolare del trattamento è: Regione Toscana / Giunta Regionale

Il responsabile del trattamento è il responsabile del Servizio /Area/UOC.......... Dipartimento _____ 

Come noto, Le competono tutti i diritti previsti dall'articolo 13 della legge n. 675/96. Lei potrà quindi chiedere al responsabile del trattamento la correzione e l’integrazione dei propri dati e, ricorrendone gli estremi, la cancellazione o il blocco.

°°°°°°°°°°°°°°°°°