RISERVATEZZA E TRASPARENZA

RISERVATEZZA E TRASPARENZA NEGLI ENTI LOCALI

Amministratori di sistema: occorre massima trasparenza sul loro operato. Il Garante fissa i criteri, per mettersi in regola (entro il 15.12.2009)

Gli "amministratori di sistema" sono figure essenziali per la sicurezza delle banche dati e la corretta gestione delle reti telematiche. Sono esperti chiamati a svolgere delicate funzioni che comportano la concreta capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad essi viene affidato spesso anche il compito di vigilare sul corretto utilizzo dei sistemi informatici di un'azienda o di una pubblica amministrazione.

Per questo il Garante ha deciso di richiamare l'attenzione di enti, amministrazioni, società private sulla figura professionale dell' amministratore di sistema e ha prescritto l'adozione di specifiche misure tecniche ed organizzative che agevolino la verifica sulla sua attività da parte di chi ha la titolarità delle banche dati e dei sistemi informatici.

Le ispezioni effettuate in questi anni dall'Autorità hanno permesso di mettere in luce in diversi casi una scarsa consapevolezza da parte di organizzazioni grandi e piccole del ruolo svolto dagli amministratori di sistema. I gravi casi verificatisi negli ultimi anni hanno evidenziato una preoccupante sottovalutazione dei rischi che possono derivare quando l'attività di questi esperti sia svolta senza il necessario controllo.

Le misure e le cautele dovranno essere messe in atto entro quattro mesi da parte di tutte le aziende private e da tutti i soggetti pubblici, compresi gli uffici giudiziari, le forze di polizia, i servizi di sicurezza. Sono esclusi invece i trattamenti di dati, sia in ambito pubblico che privato, effettuati a fini amministrativo contabile, che pongono minori rischi per gli interessati.

Registrazione degli accessi
Adozione di sistemi di controllo che consentano la registrazione degli accessi effettuate dagli amministratori di sistema ai sistemi di elaborazione e agli archivi elettronici.

Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

Verifica della attività
Verifica almeno annuale da parte dei titolari del trattamento sulla rispondenza dell'operato degli amministratori di sistema alle misure organizzative, tecniche e di sicurezza previste dalla legge per i trattamenti di dati personali.

Elenco degli amministratori di sistema e loro caratteristiche
Ciascuna azienda o soggetto pubblico dovrà inserire nel documento programmatico della sicurezza o in un documento interno (disponibile in caso di accertamenti da parte del Garante) gli estremi identificativi degli amministratori di sistema e l'elenco delle funzioni loro attribuite.

Dovranno infine essere valutate con attenzione esperienza, capacità, e affidabilità della persona chiamata a ricoprire il ruolo di amministratore di sistema, che deve essere in grado di garantire il pieno rispetto della normativa in materia di protezione dei dati personali, compreso il profilo della sicurezza.

Roma, 14 gennaio 2008

per maggiori informazioni: http://www.garanteprivacy.it/garante/doc.jsp?ID=1580831

RISERVATEZZA DEI DATI NELLE ISTITUZIONI SCOLASTICHE

AVVISO PUBBLICO PER LA SELEZIONE DELL’AMMINISTRATORE DI SISTEMA

NELLA SCUOLA (nel caso di esperto esterno)

REQUISITI RICHIESTI

COMPITI DELL’AMMINISTRATORE DI SISTEMA

CRITERI DI AGGIUDICAZIONE

PRESENTAZIONE DELLE DOMANDE

PUBBLICITA'
FACSIMILE MODELLO PER L'AVVISO PUBBLICO DELL'AMMINISTRAZIONE DI SISTEMA NELLA SCUOLA download con password (2)

CONTRATTO DI PRESTAZIONE D’OPERA OCCASIONALE PER L’INCARICO AMMINISTRATORE DI SISTEMA ESTERNO NELLA SCUOLA

FACSIMILE MODELLO PER IL CONTRATTO DI PRESTAZIONE D'OPERA OCCASIONALE PER L'INCARICO DI AMMINISTRAZIONE DI SISTEMA NELLA SCUOLA download con password (2)

INTERVENTI FORMATIVI DEGLI INCARICATI

Disciplinare Tecnico, allegato B al Codice della Privacy

Gli interventi formativi nella scuola, previsti al punto 19.6 dell'allegato B (1) sono destinati:

Personale Amministrativo ( Direttore dei Servizi Generali Amministrativi (DSGA) - Assistenti Amministrativi);
Docenti;
Assistenti Tecnici e Collaboratori scolastici che svolgono attività di supporto all'amministrazione scolastica.

Nella Scuola la formazione deve essere programmata:

al momento dell’ingresso in servizio del personale incaricato,
in occasione di cambiamenti di mansioni,
in occasione di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.

ORGANIGRAMMA DELLE RESPONSABILITA'


Comunicato stampa - 03 dicembre 2004

"Molte falsità sulla privacy a scuola". Il Garante: una leggenda metropolitana

Non è vero che i voti scolastici devono restare segreti, non è vero che gli studenti devono 'nascondere' la propria fede religiosa, non è vero che i risultati degli scrutini devono rimanere clandestini. Secca smentita del Garante alle notizie del tutto infondate riguardanti la privacy nelle scuole.

Newsletter - 11 aprile 2005 N. 252 del 11 - 24 aprile 2005

Questionari a scuola e garanzie per alunni e genitori

Bloccati dal Garante per trattamento illecito di dati personali alcuni risultati di una ricerca universitaria, svolta in una scuola elementare e riportati in una tesi di laurea in via di pubblicazione. Gli alunni, e di conseguenza i genitori, non erano stati informati né degli scopi dell'iniziativa, né del fatto che la loro partecipazione era facoltativa e non obbligatoria.

Il provvedimento di blocco adottato alcune settimane or sono dall'Autorità (della quale è stato di recente nominato presidente Francesco Pizzetti) riguarda le informazioni personali, in alcuni casi anche sensibili, raccolte tramite questionari sottoposti ad alcuni alunni delle elementari o elaborate nelle varie fasi della ricerca, con esclusione dei dati aggregati e anonimi. A seguito del provvedimento l'Università, titolare della ricerca, non ha potuto utilizzare più queste informazioni dovendo limitarsi alla sola conservazione.

Provvedimento del 23 dicembre 2004

Newsletter - N. 276 del 12 maggio 2006

Scuola: chiarezza sui dati degli studenti
Via libera del Garante al regolamento del Ministero dell'istruzione sull'uso dei dati sensibili nelle scuole

Chiarezza e massima cura nell'uso dei dati personali degli studenti. Il Garante ha dato il via libera allo schema di regolamento sui dati sensibili e giudiziari predisposto dal Ministero dell'istruzione, dell'università e della ricerca.

Ministero dell’Istruzione, dell’Università e della Ricerca

Dipartimento per lo sviluppo dell'istruzione

Direzione generale per gli ordinamenti scolastici - Ufficio VIII

Emanata dal MIUR la Nota prot. n. 10642 del 16 giugno 2004

Pubblicazione mediante affissione all'albo dell'istituto dei giudizio relativo agli alunni che si sono avvalsi dell'insegnamento della religione cattolica.

Direttiva n. 104 del 30 novembre 2007 Linee di indirizzo e chiarimenti interpretativi ed applicativi in ordine alla normativa vigente posta a tutela della privacy con riferimento all’utilizzo di telefoni cellulari o di altri dispositivi elettronici nelle comunità scolastiche

Circolare interna informativa destinata al personale della scuola sulla Direttiva 104 del 30.11.2007 del MPI - download con password (2)

ADEMPIMENTI ANNUALI

All'inizio dell'anno scolastico aggiornare le nomine degli incaricati
Entro il 31 marzo aggiornare il DOCUMENTO PROGRAMMATICO SICUREZZA.
In fase di approvazione del bilancio di esercizio, dichiarare l’avvenuto aggiornamento.
Pianificare gli interventi di formazione per gli incaricati.
Verificare l’esistenza dei requisiti per Incaricati e Responsabili.
Aggiornare le procedure per una corretta custodia di atti e documenti affidati agli incaricati e per la conservazione degli atti in archivi ad accesso selezionato e disciplinare le modalità di accesso finalizzate all’identificazione degli incaricati.
Effettuare l’analisi d’efficacia delle misure adottate

ADEMPIMENTI SEMESTRALI (trimestrali in caso di dati sensibili)

Aggiornare gli antivirus
Aggiornare le password
Disattivare le password in disuso

ADEMPIMENTI SETTIMANALI (o GIORNALIERI)

Conservare i dati (Back up)

Registro dei verbali per le copie di Back up - download con password (2)

Registro dei verbali per la modifica delle password - download con password (2)

RIFERIMENTI NORMATIVI

Decreto legislativo 30 giugno 2003, n. 196 Codice in materia di protezione dei dati personali (Pubblicato nella Gazzetta Ufficiale n. 174 del 29 luglio 2003 - Supplemento Ordinario n. 123L) Testo coordinato con le modifiche di cui alla L. 23 febbraio 2006, n. 51 di conversione del DL 30 dicembre 2005, n. 273, pubblicata in GU 28 febbraio 2006

ALLEGATO B DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA (Artt. da 33 a 36 del codice)

MINISTERO DELLA PUBBLICA ISTRUZIONE - DECRETO MINISTERIALE 7 dicembre 2006, n.305 Regolamento recante identificazione dei dati sensibili e giudiziari trattati e delle relative operazioni effettuate dal Ministero della pubblica istruzione, in attuazione degli articoli 20 e 21 del decreto legislativo 30 giugno 2003, n. 196, recante «Codice in materia di protezione dei dati personali». (pubblicato in G.U. n. 11 del 15 Gennaio 2007)

Legge 7 agosto 1990, n. 241 Nuove norme in materia di procedimento amministrativo e di diritto di accesso ai documenti amministrativi

(Il testo è coordinato con le modifiche apportate dalla L. 11/02/2005 n. 15, in vigore dall'8/03/2005, e dal D.L. 14/03/2005 n. 35, convertito con L. 14/05/2005 n. 80, in vigore dal 17/03/2005)

Decreto del Presidente della Repubblica 12 aprile 2006, n.184 Regolamento recante disciplina in materia di accesso ai documenti Amministrativi (pubblicato in G.U. n. 114 del 18 maggio 2006)

(1) Il punto 19 del Disciplinare Tecnico, allegato B al Codice della Privacy

19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:

19.1. l’elenco dei trattamenti di dati personali;

19.2. la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati;

19.3. l’analisi dei rischi che incombono sui dati;

19.4. le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;

19.5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento di cui al successivo punto 23;

19.6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;

19.7. la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all’esterno della struttura del titolare;

19.8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato