Sicurezza ai sensi del Codice in materia di protezione dei dati personali

Il Decreto Legislativo 30.6.2003 n. 196 (recante il Codice in Materia di Protezione dei Dati Personali) e il suo Disciplinare Tecnico (all. B) impongono delle misure di sicurezza di seguire nel trattamento dei dati. Il Decreto garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza e alla identità delle persone.

Ai sensi del "Regolamento di attuazione del Codice di Protezione dei Dati Personali in possesso dell'Università degli Studi di Firenze" (v. Art. 3)

• L'Università è Titolare dei dati personali contenuti negli archivi, automatizzati e cartacei, da essa detenuti. Gli archivi detenuti dagli organismi di controllo e valutazione ricadono sotto la diretta responsabilità del Titolare.
• sono Responsabili del trattamento di dati personali le strutture che li detengono (le unità amministrative nelle persone dei rispettivi responsabili, gli uffici dirigenziali, lo SBA, lo CSIAF e il Museo di Storia Naturale, nelle persone dei rispettivi dirigenti).

Ciascun responsabile di struttura (v. Art. 13) è tenuto ad alcuni adempimenti e ad adottare le necessarie misure di sicurezza per proteggere i dati detenuti.

Il Regolamento per il trattamento dei dati sensibili e giudiziari in attuazione del D.lgs. 196/2003 identifica, ai sensi degli artt. 20 e 21 del Codice in materia di protezione dei dati personali, "i tipi di dati sensibili e giudiziari per i quali è consentito il relativo trattamento da parte degli Uffici e delle Strutture dell’Università, nonché le operazioni eseguibili in riferimento alle specifiche finalità di rilevante interesse pubblico perseguite nei singoli casi".

Successivamente e ad integrazione del Codice in Materia di Protezione dei Dati Personali, il Garante della Privacy ha emesso i Provvedimenti:

• il Provvedimento “Lavoro: le linee guida del Garante per posta elettronica e Internet” del 01.03.2007 fornisce indicazioni sull’utilizzo della rete Internet e del servizio di Posta Elettronica all’interno dell’ambiente di lavoro, su ciò che il datore di lavoro deve assicurare e regolamentare, sulla corretta gestione delle eventuali registrazioni archiviate;
• il Provvedimento “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” del 14.06.2007 fornisce indicazioni e raccomandazioni riguardo al trattamento dei dati di lavoratori alle dipendenze di datori di lavoro pubblici, nel pieno rispetto dei principi del Codice della Privacy;
• il Provvedimento “Sicurezza dei dati di traffico telefonico e telematico” del 24.07.2008 (aggiornamento del precedente provvedimento del 17.01.2008) indica le particolari misure di sicurezza che deve adottare obbligatoriamente chi eroga servizi di telematici (Internet e posta elettronica), per garantire una corretta gestione dei dati del traffico che deve conservare;
• il Provvedimento "Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza dei dati personali" del 13.10.2008 indica gli accorgimenti e le misure da adottare quando si reimpiegano, si riciclano o si smaltiscono apparecchiature contenenti dati personali;
• il Provvedimento "Semplificazione delle misure di sicurezza contenute nel disciplinare tecnico di cui all'Allegato B) al Codice in materia di protezione dei dati personali" del 27.11.2008 indica i soggetti per i quali l'obbligo del DPS è sostituito dall'obbligo di una autocertificazione e i soggetti che possono avvalersi di modalità semplificate nell'adozione delle misure minime di sicurezza;
• il Provvedimento "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema" del 27.11.2008 identifica, per i trattamenti effettuati con strumenti elettronici, le figure professionali di 'amministratore di sistema' indicando le misure da adottare data la criticità del loro ruolo.

Adempimenti sulla Sicurezza delle Unità Amministrative (UA) e degli Uffici Dirigenziali (UD)

• trattamenti di dati
• bozza di elenco dei trattamenti
• bozze di lettere di nomina a Responsabile
• bozze di lettere di nomina a Incaricato
• misure minime di sicurezza per dati cartacei
• informazioni da inserire nel Documento Programmatico sulla Sicurezza (DPS)
• bozza di DPS
• bozza di schema di analisi dei rischi
• bozza di tabelle allegate
• misure minime di sicurezza per dati informatizzati
• misura minima di sicurezza per soggetti esterni
• bozze di dichiarazioni di conformità per soggetti esterni
• misure minime di sicurezza per il trattamento di dati sensibili e/o giudiziari

N.B. le parti evidenziate nelle bozze presentate sono da personalizzare

ATTENZIONE: Il Decreto Legislativo comprende alcuni Allegati contenenti Codici di deontologia; fra questi particolare interesse per l'Università ha il "Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici" (Allegato A.4) sottoscritto, fra gli altri, dalla Conferenza dei Rettori e da varie associazioni e società di ricerca.
Il Preambolo contiene le premesse sulle quali si basa il Codice di deontologia stesso.
Altro Codice di deontologia di interesse è il "Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi storici" (Allegato A.2).

Adempimenti sulla Sicurezza dello CSIAF

• Documento Prescrittivo per i dati trattati dallo CSIAF
• Elenco dei Responsabili e Incaricati del trattamento dati CSIAF
• Elenco dei Responsabili del trattamento dati nominati dallo CSIAF
  • Rettorato
  • Poli
  • Museo di Storia naturale
  • Sistema Bibliotecario di Ateneo
• Diffusione dei dati personali

Informativa

• Comunicazioni ai fornitori e ai clienti

FAQ sulla applicazione del codice sulla privacy

Selezione di link utili per saperne di più sulla attuazione delle misure di sicurezza per la protezione della privacy

Corso "Applicazione del Codice della Privacy per Incaricati del trattamento dei dati"