La tutela della Privacy ed il trattamento dei dati sensibili negli Uffici Giudiziari”. Corso di formazione in materia di “ La tutela della Privacy ed il trattamento dei dati sensibili negli Uffici Giudiziari”. a cura di Renata Pennucci Ministero della Giustizia Ispettorato Generale

“ Il monitoraggio del rispetto della normativa sui dati personali Monitoraggio nasce dalla nota del Capo dell’Ispettorato che ha individuato fra obiettivi specifici la disciplina della privacy. Compito dell’Ispettore è quello di verificare nel rispetto delle norme che regolano la materia :  prima le leggi nn. 675 e 676/96;  successivamente, la più ampia ed articolata normazione, del d.lgvo n. 196 del 2003;  da ultimo D.M. 12\12\2006, integrativo degli art. 20 e 21 del d.l.gvo 196\03, che indica le ulteriori misure regolamentari sulla disciplina del trattamento dei dati sensibili e giudiziari. se l’ufficio ha attuato le misure necessarie per assicurare che il trattamento dei dati venga svolto nel rispetto privacy.

“ Il monitoraggio del rispetto della normativa sui dati personali E’ necessario appurare: per la disciplina e l’organizzazione interna per la tutela dei dati sensibili e giudiziari. Documento obbligatorio da adottare entro il termine finale (più volte differito) del  se l’ufficio ha redatto il prescritto documento programmatico per la disciplina e l’organizzazione interna per la tutela dei dati sensibili e giudiziari. Documento obbligatorio da adottare entro il termine finale (più volte differito) del  se il personale rispetta le disposizioni impartite dal titolare e\o dal responsabile del trattamento;  modalità di gestione:  a) dei dati relativi al personale;  b) del protocollo informatico  c) degli archivi.

“ Il monitoraggio del rispetto della normativa sui dati personali  caratteristiche del trattamento:  organizzazione;  flusso dei dati;  qualità dei dati  sicurezza   controllo generale delle misure applicate;  dati;  accessi.  assicurazione della privacy in concreto:  rispetto delle disposizioni impartite con il d.p.s. o con appositi ordini di servizio.  Rilevazione:  oggetto;  metodologie.

Principi generali: trattamento e dato

trattamento (1\2) è l’operazione atta a divulgare (raccolta, trasmissione, custodia) dati che possono essere: nome, indirizzo, anagrafe ecc. Trattamento: è l’operazione atta a divulgare (raccolta, trasmissione, custodia) dati che possono essere: nome, indirizzo, anagrafe ecc. In caso di trattamento l’interessato ha diritto alla protezione dei dati personali che lo riguardano In caso di trattamento l’interessato ha diritto alla protezione dei dati personali che lo riguardano (art. 1 d.l.gvo 196\03). Il trattamento deve svolgersi nel rispetto dei diritti, delle libertà fondamentali, della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale ed al diritto alla protezione dei dati personali” Il trattamento deve svolgersi nel rispetto dei diritti, delle libertà fondamentali, della dignità dell’interessato, con particolare riferimento alla riservatezza, all’identità personale ed al diritto alla protezione dei dati personali” (art. 2 d.l.gvo 196\03).

dato personale (2\3) Dato personale: qualsiasi informazione (linguaggio, suono o immagine); su qualunque supporto (carta, floppy, nastro, etere); idonea individuare idonea ad individuare direttamente o indirettamente (cifrature, codici, aggregazioni elementari incluse) persone fisiche o enti.

tassatività (2\3) interessati: soggetti cui si riferiscono i dati personali trattati interessati : soggetti cui si riferiscono i dati personali trattati dati dati possono essere:  Sensibili;  Giudiziari; Comuni.  Comuni. Sono dati sensibili e giudiziari quelli tassativamente indicati Sono dati sensibili e giudiziari quelli tassativamente indicati : Razza ed etnia;  Razza ed etnia; Fede religiosa;  Fede religiosa; Credo politico, sindacale e filosofico;  Credo politico, sindacale e filosofico;   Stato di salute; Vita sessuale;   Casellario giudiziale;   Condizione di indagato;   Condizione di imputato;

Il documento programmatico per la sicurezza

documento programmatico sulla sicurezza (1\5)   Caratteristiche: a) obbligatorio; b) deve essere redatto dal titolare del trattamento; c) dati trattati sensibili o giudiziari.   Redazione:   mediante elaboratori elettronici  predisposto entro il 31 marzo di ogni anno;  Modificato in caso di necessità;  Allegato alla relazione di accompagnamento al bilancio di esercizio.

documento programmatico sulla sicurezza (1\5) deve contenere:  Titolare del trattamento;  Responsabile del trattamento;  Incaricati del trattamento;  amministratore di sistema;  preposti alla custodia della parola chiave   dati trattati;  Misure di sicurezza informatiche;  Misure di sicurezza per i dati cartacei.

documento programmatico sulla sicurezza (1\5) allegati al documento : a) individuazione dei locali; ; b) inventario dei server; ; c) documento\inventario dei software; d) elenco delle workstation; e) manuale degli utenti per la sicurezza; f) regolamento (documento\elenco trattamenti dei dati personali); g) nomina dei responsabili del trattamento; ; h) nomina degli incaricati del trattamento denominato; i) elenco utenti, relativa autorizzazione ed individuazione del profilo di accesso.

I soggetti

Titolare del trattamento (art. 28) E’ colui che decide le modalità e le finalità del trattamento, compreso il profilo della sicurezza (art. 4 co. 1 lett. f) T.U.); Per gli uffici giudiziari tale figura coincide con il Capo Ufficio e\o il Dirigente Amministrativo; L’esercizio della titolarità per le persone giuridiche può essere delegato ad una persona fisica.

Responsabile del trattamento (art. 29 TU) E’ colui che custodisce i dati per trattarli. E’ nominato dal Titolare può coincidere con persone fisiche, persone giuridiche (pubbliche o private) e pubbliche amministrazioni; E’ nominato dal Titolare può coincidere con persone fisiche, persone giuridiche (pubbliche o private) e pubbliche amministrazioni; Per gli uffici giudiziari tale figura coincide con i funzionari responsabili dei servizi; Deve rispettare la legge e le norme sulla sicurezza; Deve essere designato con uno specifico atto di nomina (per cui non coincidere automaticamente con le altre figure manageriali); Può essere nominato anche un soggetto esterno Può essere nominato anche un soggetto esterno.

Incaricato del trattamento (art. 30 TU) E’la persona fisica che compie operazioni sui dati; E’ nominato, con atto formale, dal Titolare e\o dal Responsabile e opera sotto la loro diretta responsabilità; Per gli uffici giudiziari tale figura coincide con tutti i dipendenti che accedono agli affari dell’ufficio Per gli uffici giudiziari tale figura coincide con tutti i dipendenti che accedono agli affari dell’ufficio; E’ individuato l’ambito di trattamento a cui è abilitato; Deve rispettare le disposizioni contenute nel Manuale per la Sicurezza. La tipologia del rapporto di lavoro non è elemento determinante.

Amministratore di sistema gestore della rete ed ha il compito di effettuare operazioni di manutenzione, salvataggio e conservazione dei dati informatici; E’ il gestore della rete ed ha il compito di effettuare operazioni di manutenzione, salvataggio e conservazione dei dati informatici; Deve rispettare le disposizioni del d.l.gvo 196\03; Deve eseguire i compiti demandati dal titolare, rispettare e fare rispettare le misure di sicurezza.

Custode della parola chiave E’ la persona fisica incaricata di custodire, in luogo sicuro ed in busta chiusa la parola chiave degli utenti; Attiva le nuove utenze; Comunica nome utente e password; Consegna ai nuovi utenti il Manuale per la Sicurezza; Verifica l’elenco delle persone autorizzate ad accedere agli archivi (almeno una volta al mese); (almeno una volta al mese); Mette in atto tutte le indicazioni del Documento programmatico sulla sicurezza dei dati relative alla gestione delle parole chiave.

Dati trattati

Dato (1\3) Il dato deve essere:Pertinente;Completo; Non eccedere le finalità per cui è stato raccolto; Non eccedere le finalità per cui è trattato.

Dato (2\3) Verificare che siano rispettati i criteri di qualità dei dati trattati cioè: Esattezza (cioè siano ; pertinenza (cioè siano trattati solo quelli necessari per raggiungere il risultato); pertinenza (cioè siano trattati solo quelli necessari per raggiungere il risultato); temporaneità (cioè conservati per il tempo necessario) temporaneità (cioè conservati per il tempo necessario). Verificare che siano rispettati i principi per il trattamento: dei dati sensibili; dei dati sensibili; la qualità di indagato; la qualità di indagato; la qualità d’imputato;

Dato (3\3) dei dati inerenti allo stato di salute del personale dell’Ufficio; dei dati personali nell’ambito delle attività amministrative gestionali del personale dipendente; dei dati personali nell’ambito delle attività amministrative gestionali e del personale che fornisce beni e servizi. Verificare che siano state impartite e che siano applicate le misure organizzative per assicurare il diritto di accesso agli atti ( circolare del 8 marzo 2006 del Ministero della Giustizia)

Obblighi del Personale

Personale amministrativo (1\7) Obbligodi: Obbligo di: Conservare la documentazione cartacea in appositi armadi\schedari muniti di serratura e in ogni caso non accessibili al pubblico; Gestiregli atti cartacei in modo che il pubblico (utente interno ed esterno) non individui il nominativo del soggetto a cui il dato si riferisce; Gestire gli atti cartacei in modo che il pubblico (utente interno ed esterno) non individui il nominativo del soggetto a cui il dato si riferisce; Trattarei dati sensibili utilizzando forme di comunicazione individualizzata con gli interessati (es. utilizzo di plico chiuso o invito a ritirare personalmente la documentazione presso l’ufficio competente); Trattare i dati sensibili utilizzando forme di comunicazione individualizzata con gli interessati (es. utilizzo di plico chiuso o invito a ritirare personalmente la documentazione presso l’ufficio competente);

Personale amministrativo (2\7) Trattare i dati relativi all’assenza dal servizio per ragioni di salute senza trascrivere nei documenti la diagnosi contenuta nel certificato prodotto dall’interessato; Informare, il dipendente, che il certificato medico deve contenere solo la prognosi e non la diagnosi; Proteggere da accessi estranei la workstation utilizzando una password di accensione;

Personale amministrativo (3\7) obbligo di sostituire la password di accensione se viene comunicata, per ragioni di assistenza agli incaricati; sostituire periodicamente (almeno semestralmente) la parola chiave; comunicare, ad ogni cambio, la parola chiave al soggetto preposto alla custodia della parola chiave; accedere alla rete utilizzando la password utente che deve essere costituita da almeno otto caratteri;

Personale amministrativo (4\7) sostituire la password di accesso ad ogni scadenza; non scegliere parole che contengono riferimenti agevolmente riconducibile all’utilizzatore; non scegliere parole che contengono riferimenti agevolmente riconducibile all’utilizzatore; non divulgare o comunicare a terzi la parola chiave; non trascrivere la parola chiave in foglietti appesi al monitor e\o conservati nel cassetto della propria scrivania;

Personale amministrativo (5\7) trattare i dati personali esclusivamente per lo svolgimento delle funzioni istituzionali; comunicare i dati personali solo previo accertamento dell’identità del richiedente (interessato e\o delegato); ricevere le richieste dell’interessato dirette ad ottenere la correzione, l’aggiornamento, l’integrazione, la cancellazione dei dati; comunicare, al richiedente, i dati estratti anche oralmente; attestare che le variazioni effettuate su richiesta dall’interessato sono state trasmesse a coloro ai quali i dati erano stati comunicati;

Personale amministrativo (6\7) non comunicaredati idonei a rivelare lo stato di salute o la vita sessuale salvo sia necessario tutelare una situazione giuridicamente rilevante di rango almeno pari ai dirittidell’interessato; non comunicare dati idonei a rivelare lo stato di salute o la vita sessuale salvo sia necessario tutelare una situazione giuridicamente rilevante di rango almeno pari ai diritti dell’interessato; assicurarsi che non siano pubblicati o divulgati dati identificativi e immagini di minori coinvolti in procedimento giudiziario, civile o penale; omettere di trascrivere, in sentenza, i dati relativi a minori; rendere accessibilea chiunque vi abbia interesse i dati identificativi dei procedimenti giudiziari, inserendoli nel sito Internet; rendere accessibile a chiunque vi abbia interesse i dati identificativi dei procedimenti giudiziari, inserendoli nel sito Internet;

Personale amministrativo (7\7) omettere di trascrivere, in sentenza, i dati relativi ai soggetti che hanno richiesto ed ottenuto la non trascrizione delle generalità; eseguire (nel processo civile e in quello penale) di atti processuali senza rendere noto il nominativo della persona coinvolta nel procedimento; eseguire le notifiche e\o le comunicazioni (nel processo civile e in quello penale) di atti processuali senza rendere noto il nominativo della persona coinvolta nel procedimento; Consentire l’accesso agli atti d’archivio solo previa identificazione del richiedente; Conservare i fascicoli e restituirli al termine delle operazioni di trattamento;

Le Misure di Sicurezza

Profili generali di sicurezza Tassativa; Natura dei dati; Dati trattati con strumenti elettronici Dati trattati senza strumenti elettronici Valutazione: Progresso tecnico; Natura dei dati; Caratteristiche del trattamento PROTEZIONE MINIMA ADEGUATA

Misure minime Misure minime (1/3) Sono quelle: Tecniche;Informatiche;Organizzative;Logistiche; livello minimo Procedurali di sicurezza che configurano il livello minimo di protezione per proteggere i dati.

Misure minime Misure minime (2/3) Rischio: Distruzione; perdita dei dati, anche accidentale; accesso non autorizzato; accesso non autorizzato; trattamento non consentito; trattamento non consentito; trattamento non conforme a finalità trattamento non conforme a finalità

Misure minime Misure minime (3\3) Titolare è obbligato ad adottare le misure minime previste dal codice; Attuare le misure secondo le modalità indicate nel Disciplinare Tecnico. Il Disciplinare tecnico deve essere: aggiornato periodicamente aggiornato periodicamente con Decreto del Ministro della Giustizia di concerto con il Ministro per le innovazioni tecnologiche tenendo presente l’evoluzione tecnica ed l’esperienza maturata nel settore

Misure adeguate (1\2) Sono quelle: Tecniche;Informatiche;Organizzative; logistiche e procedurali di sicurezza che garantiscono un idoneo livello di protezione dei dati dai rischi.

Misure adeguate (1\2) I dati personali devono essere: custoditi ; controllati anche in relazione: alle conoscenze acquisite in base al progresso tecnico, alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati; alla natura dei dati; alle specifiche caratteristiche del trattamento. alle specifiche caratteristiche del trattamento.

Misure minime per trattamenti con strumenti elettronici (art. 34) Autenticazione informatica ; Procedure di gestione delle credenziali di autenticazione; Utilizzazione di un sistema di autenticazione; Aggiornamento periodico dell’ambito di trattamento consentito agli incaricati; Protezione degli strumenti;

Misure minime per trattamenti con strumenti elettronici (art. 34) ; Protezione dei dati da trattamenti illeciti; ; Protezione dei dati da accessi non consentiti a programmi informatici; Adozione di procedure per la custodia di copie di backup; Adozione di procedure per il ripristino dei dati e dei sistemi;

Misure minime per trattamenti con strumenti elettronici (art. 34) Tenuta ed aggiornamento del DPS; Adozione di tecniche di cifratura; Adozione di codici identificativi per i dati sanitari.

Misure minime per trattamenti con strumenti non elettronici (art. 35) Procedura per l’idonea custodia di atti; Aggiornamento periodico dell’ambito di trattamento consentito agli incaricati; Procedure per la conservazione degli atti in archivio; Regole per l’accesso selezionato all’archivio; Individuazione delle modalità di accesso per l’identificazione degli incaricati.

Misure specifiche per trattamenti dati sensibili e giudiziari Stabilire istruzioni organizzative e tecniche per la custodia e l’utilizzo dei supporti rimovibili (es. cd rom, floppy); Stabilire la distruzione o l’inutilizzabilità dei supporti, se non utilizzati; Prevedere il riutilizzo dei supporti informatici solo se le informazioni contenute non sono decifrabili o tecnicamente ricostruibili; Prevedere i tempi di ripristino dei dati o degli strumenti elettronici danneggiati (no oltre i 7 giorni).

Cifratura dei dati sensibili e giudiziari automatizzati o utilizzo di codici identificativi o soluzioni analoghe per non consentire la identificazione immediata Identiche soluzioni per i dati sulla salute e vita sessuale anche non automatizzati. Conservazion e separata dei dati sulla salute e la vita sessuale dai restanti dati Altre misure specifiche per trattamenti dati sensibili e giudiziari

Accertamento Sicurezza

Accertamento sicurezza (1\6)  accesso alla rete sia gestito da domini utili per la distribuzione dei diritti necessari;   server siano conservati in apposita sala protetta, dotata di impianto di condizionamento e con porta tagliafuoco;  accesso ai server sia consentito solo alle persone incaricate del “salvataggio” dei dati;   salvataggio dei dati sia assicurato, dalla creazione di copia “speculare” su atro server o in altro modo;

Accertamento sicurezza (2\6)  identificati i dati (sia di sistema sia utente) da sottoporre a backup;   identificati i percorsi completi delle aree da sottoporre a backup (localizzazione) e relative frequenze;  individuate le modalità, i tempi di esecuzione e verifica delle operazioni di backup;   indicate le procedure per ottenere quote di spazio su disco disponibile per il backup;

Accertamento sicurezza (3\6)   indicate le procedure da effettuare per i dati che devono essere sottoposti a backup;  precisate le procedure per il recovery dei dati salvati;   per la verifica delle operazioni di recovery;   individuate le procedure per la verifica delle operazioni di recovery;  monitorati i “problemi” verificatesi nelle procedure di recovery;   monitorati i “problemi” verificatesi nelle procedure di recovery;   stabilite le modalità e le frequenze delle archiviazioni dei log;

Accertamento sicurezza (4\6)   garantita la distribuzione automatica degli aggiornamenti relativi al sistema operativo;  garantita la distribuzione automatica degli aggiornamenti relativi all’antivirus;  garantita la distribuzione automatica degli aggiornamenti relativi all’antivirus;   garantita l’intrusione di terzi sui dati contenuti negli archivi informatici con l’installazione del firewall (gestito dal Centro firewall di Napoli);   conservata “la parola chiave” ;

Accertamento sicurezza (5\6)   assicurato l’accesso ai registri con l’utilizzo di password personali, conosciute solo dal singolo dipendente;     individuato il profilo di accesso (inserimento\ricerca) dei magistrati e dei dipendenti in servizio;   individuato l’amministratore del sistema;    individuato il titolare del trattamento dei dati;   individuati i responsabili del trattamento dei dati;    individuati gli incaricati del trattamento.

Accertamento sicurezza (6\6)    monitoraggio e controllo dell’accesso del pubblico agli uffici;  installazione di sistemi di defender (tornelli, metal detector ecc.);  dispositiviper il controllo dei bagagli e\o dei i pacchi;   dispositivi per il controllo dei bagagli e\o dei i pacchi;  sistemi di allarmee di video-sorveglianza;  sistemi di allarme e di video-sorveglianza;  modalità di accesso alle sale intercettazioni e agli uffici nelle ore notturne e nelle giornate festive.   modalità di accesso alle sale intercettazioni e agli uffici nelle ore notturne e nelle giornate festive.