DOCUMENTO PROGRAMMATICO

-

PIANO OPERATIVO PER LE MISURE DI SICUREZZA PER IL TRATTAMENTO DEI DATI PERSONALI NELL’AMBITO DELLE ATTIVITA’ DEL COMUNE DI ____________________ (Fe)

SOMMARIO

SEZIONE 1 - INTRODUZIONE E CONTESTO DI RIFERIMENTO	2
1.1	PRINCIPI ISPIRATORI	2
1.2	QUADRO NORMATIVO	2
SEZIONE 2 - MISURE ORGANIZZATIVE	3
2.1	GRUPPO DI LAVORO – COINVOLGIMENTO DELLE FUNZIONI INTERESSATE	3
SEZIONE 3 - PRINCIPALI NODI OPERATIVI – FASI DEL PROGETTO	3
3.1	FASI OPERATIVE	4
3.2	INTERVENTI MINIMI DA ASSICURARE	5
SEZIONE 4 – INDIVIDUAZIONE DEI RESPONSABILI E DEGLI INCARICATI	6
SEZIONE 5 – DISPOSIZIONI FINALI	7

SEZIONE 1 - INTRODUZIONE E CONTESTO DI RIFERIMENTO

1.1	PRINCIPI ISPIRATORI

Il presente documento programmatico - piano operativo per le misure di sicurezza per il trattamento dei dati personali nell’ambito delle attività del Comune di ______________________ viene predisposto secondo quanto previsto dal Decreto Presidente della Repubblica 28/7/1999 n. 318 e recepisce in linea generale le indicazioni contenute nel Provvedimento del Garante per la protezione dei dati personali 29 febbraio 2000.

1.2	QUADRO NORMATIVO

•	LEGGE n. 675 del 31/12/1996 
"Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali"

•	LEGGE n. 676 del 31/12/1996
“Delega al Governo in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali”

•	DECRETO LEGISLATIVO 9 MAGGIO 1997 n. 123 
"Disposizioni correttive ed interpretative della legge 31 dicembre 1996, n. 675, in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali"

•	DECRETO LEGISLATIVO 6 NOVEMBRE 1998 n. 389 
"Disposizioni in materia di trattamento di dati particolari da parte di soggetti pubblici"

•	DECRETO del PRESIDENTE  della REPUBBLICA 28 LUGLIO 1999, n. 318
"Regolamento recante norme per l’individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell’art. 15, comma 2, della Legge 31 dicembre 1996, n. 675" 

SEZIONE 2 - MISURE ORGANIZZATIVE 

2.1	GRUPPO DI LAVORO – COINVOLGIMENTO DELLE FUNZIONI INTERESSATE

Per l'attuazione, il monitoraggio e la verifica delle iniziative previste dal presente documento programmatico, verrà istituito presso il Comune di ______________ un apposito gruppo di lavoro.

Nell’individuazione e successiva designazione dei componenti del predetto gruppo, sarà data priorità alle funzioni interessate all’attuazione della normativa in discorso, quali ad esempio, e qui elencate in modo non esaustivo: il personale, l’organizzazione, la formazione, gli acquisti, ed ovviamente il sistema informatico.

Ruolo specifico del gruppo di lavoro sarà quello di seguire e coordinare l'attuazione di tutte le operazioni di adeguamento alle misure minime di sicurezza individuate, in accordo con la normativa vigente, all’interno dell’Ente, verificandone inoltre l'impatto e l'efficacia.

 SEZIONE 3 - PRINCIPALI NODI OPERATIVI – FASI DEL PROGETTO

	Il presente documento programmatico ipotizza un piano operativo articolato in fasi ed adempimenti ben individuati.
 
	Ad ogni fase verrà assegnato un Responsabile, che avrà cura di effettuare tutte le operazioni ivi previste, sotto il coordinamento e la supervisione del gruppo di lavoro come sopra costituito, al quale dovrà riferire comunicandone lo stato di attuazione e gli eventuali aggiornamenti. 

3.1	FASI OPERATIVE

	Il Comune di _________________ individua pertanto le seguenti Fasi Operative per la predisposizione e l’attuazione del piano operativo di che trattasi:

FASI OPERATIVE	Descrizione	
1.	Screening dei trattamenti / banche  dati / stato degli archivi	•	Ricognizione delle tipologie di trattamento dei dati
•	Ricognizione della tipologia delle banche dati esistenti
•	Ricognizione dello stato degli archivi	
2.	Individuazione delle misure minime di sicurezza	•	Ricognizione e classificazione degli strumenti tecnici in uso nell’ente (elaboratori stand alone, accessibili da reti non pubbliche, accessibili da reti disponibili al pubblico, strumenti cartacei e supporti non informatici) 
•	Individuazione delle misure minime di sicurezza con riferimento alla tipologia dei dati trattati (dati personali, dati sensibili, ecc.)	
3.	Individuazione degli incaricati del trattamento	•	Individuazione nominativa e per iscritto degli incaricati del trattamento
•	Attribuzione di password e/o codici identificativi personali per l’accesso ai dati conservati in banche dati informatiche
•	Installazione di serrature per la conservazione degli archivi e banche dati conservate su supporto cartaceo o comunque non informatico.	
4.	Predisposizione del piano per le misure di sicurezza	•	Approvazione formale del piano, in relazione a quanto emerso nelle fasi precedenti	
5.	Formazione del personale	•	Coinvolgimento degli incaricati del trattamento dei dati, ed in via generale di tutto il personale, in un processo formativo adeguato alle mansioni e responsabilità assegnate	
6.	Gestione, monitoraggio e aggiornamento	•	Attribuzione degli incarichi di gestione del Piano per le misure di sicurezza
•	Monitoraggio e verifica dell’efficacia delle misure adottate
•	Aggiornamento, in relazione all’evolversi tecnologico degli strumenti informatici, delle misure di sicurezza previste	

3.2	INTERVENTI MINIMI DA ASSICURARE

Nell’attuazione di tutte le fasi previste per la concretizzazione del piano operativo per le misure di sicurezza di cui al punto precedente, il gruppo di lavoro, i responsabili e gli incaricati del trattamento dei dati, avranno, in ogni caso, cura di rispettare, a seconda delle diverse tipologie riscontrate, le seguenti note operative riferite agli interventi minimi da predisporre ed assicurare: 

STRUMENTI TECNICI
	MISURE MINIME	
•	Elaboratori “Stand alone”	•	Password
•	Individuazione per iscritto del responsabile delle parole chiave	
•	Elaboratori accessibili da reti non pubbliche	Per il trattamento dei dati personali:
•	Codice identificativo strettamente personale per utenti e incaricati
•	Disattivazione del codice in caso di perdita della qualità di incaricato al trattamento dei dati
•	Installazione di programmi antiintrusione degli elaboratori
Per il trattamento dei dati sensibili:
•	Autorizzazione agli incaricati del trattamento e della manutenzione
•	Non ammissibilità dell’utilizzazione contemporanea di uno stesso codice per accedere da diverse postazioni di lavoro alla medesima applicazione
•	Controllo periodico delle autorizzazioni (almeno annuale)
•	Verifica preventiva della validità delle richieste di accesso
•	Supporti di memorizzazione riutilizzabili solo se i dati contenuti in precedenza siano assolutamente non recuperabili (o, in alternativa, distruzione dei supporti stessi)	
•	Elaboratori accessibili mediante reti disponibili al pubblico	Per il trattamento dei dati personali:
•	Codice identificativo strettamente personale per utenti e incaricati
•	Disattivazione del codice in caso di perdita della qualità di incaricato al trattamento dei dati
•	Installazione di programmi antiintrusione degli elaboratori
Per il trattamento dei dati sensibili:
•	Autorizzazione agli incaricati del trattamento e della manutenzione
•	Non ammissibilità dell’utilizzazione contemporanea di uno stesso codice per accedere da diverse postazioni di lavoro alla medesima applicazione
•	Autorizzazione degli strumenti utilizzati per l’interconnessione, con individuazione dei singoli elaboratori
•	Controllo periodico delle autorizzazione (almeno annuale)
•	Verifica preventiva della validità delle richieste di accesso
•	Supporti di memorizzazione riutilizzabili solo se i dati contenuti in precedenza siano assolutamente non recuperabili (o, in alternativa, distruzione dei supporti stessi)	
•	Strumenti cartacei e supporti non informatici contenenti riproduzione di dati sensibili	•	Individuazione scritta degli incaricati
•	Accesso ai soli dati strettamente necessari allo svolgimento delle proprie mansioni
•	Archivi ad accesso selezionato
•	Restituzione di atti e documenti al termine delle operazioni di utilizzo e/o consultazione
•	Contenitori muniti di sicurezza
•	Controllo degli accessi agli archivi
•	Identificazione e registrazione dei soggetti eventualmente ammessi agli archivi dopo l’orario di chiusura	

SEZIONE 4 – INDIVIDUAZIONE DEI RESPONSABILI E DEGLI INCARICATI

	Fermo restando che, in accordo a quanto contenuto nella notifica al Garante già effettuata ai sensi delle disposizioni di cui alla Legge n. 675/96, il Titolare del trattamento dei dati è individuato nella persona del Sindaco, per ciò che attiene la successiva individuazione dei responsabili e degli incaricati in riferimento al piano operativo per le misure minime di sicurezza, appare opportuno considerare quanto segue:

–	L’individuazione dei soggetti tenuti ad adottare le singole misure di sicurezza dipende dalle attribuzioni effettuate dal Titolare del trattamento dei dati, nonché dai ruoli e dagli incarichi conferiti in concreto all’interno della struttura dell’ente;
–	Ogni attribuzione sarà perciò correlata e posta in relazione all’organigramma dell’ente, alla sua struttura gestionale e referenziale, alle disposizioni regolamentari organizzative interne, nonché alla posizione funzionale occupata dai singoli responsabili / incaricati.

SEZIONE 5 – DISPOSIZIONI FINALI

	Al Segretario Generale dell’Ente compete, in prima attuazione, il controllo e coordinamento di tutte le operazioni previste dal presente documento programmatico, compresa l’individuazione del gruppo di lavoro previsto al precedente punto 2.