Documento Programmatico sulla sicurezza

(modello descrittivo)
Art. 34 D.Lgs. 196/03

Ai sensi e per gli effetti dell’art. 34, comma 1, lettera g) del D.Lgs. n. 196 del 30/06/2003, e del Disciplinare Tecnico allegato al medesimo decreto, all.B, si redige il seguente Documento Programmatico sulla sicurezza dei dati, in modo da approntare misure minime di sicurezza.

1-TITOLARE DEL TRATTAMENTO

Associazione …………………………..

Sede del trattamento: Comune di ……………………… (……)

Via ………………….n………..

Codice Fiscale ………………………

Attività esercitata: soccorso sanitario, protezione civile, …….., ………; …….., …………………………………………………………..…………….,………………….,


2-NOMINA DEL RESPONSABILE AL TRATTAMENTO

Il Titolare del Trattamento, ha individuato nella persona di ……… il Responsabile del Trattamento (nominato con lettera del……….), il quale avrà il compito di vigilare sul corretto comportamento degli associati, volontari e personale dell’Associazione e di affiancare il Titolare del trattamento o sostituirlo in caso di temporanea assenza.

3-ELENCO DEI TRATTAMENTI DI DATI PERSONALI. (regola 19.1. all.B "Codice")

3.1 trattamenti effettuati e tipi di dati

Il titolare tratta i dati personali per le finalità statutarie e più in generale per tutte le fasi necessarie per la gestione organizzativa dell' associazione.

Esso detiene i seguenti dati, per i seguenti trattamenti ( se ritenuto utile alla descrizione del trattamento associare un codice facoltativo- un numero - per favorire una identificazione univoca di ciascun tipo di trattamento da richiamare poi nelle altre parte del Documento):

COD 1: nominativi dei soci e dei volontari, relativi alla reperibilità ed alla corrispondenza con gli stesi, o comunque connessi alla gestione del rapporto associativo;

COD2: del personale dipendente, dei fornitori abituali e occasionali, per la reperibilità e la corrispondenza con gli stessi o richiesto a fini fiscali o previdenziali,….

…..
- dei destinatari dei servizi offerti dall'associazione, per….;
- dati inerenti convenzioni con enti locali e ASL, ….;
- dati fiscali, amministrativi e contabili,….;
-…..
3.2.struttura
Il trattamento viene svolto da personale interno/esterno (cancellare la dicitura che non interessa ) all'associazione da soggetti allo scopo designati.

3.3 strumenti elettronici impiegati
( indicare il numero e il tipo di strumenti)

- personal computer n.____ di cui server _ ( indicare zero se non c'è il server)
- portatili______
loro collegamento in rete locale: si/no
collegamento a internet: si/no
-…..
-…..

3.4.natura dei dati trattati

Presenza di dati sensibili nei dati personali trattati : si / no

3.5 struttura di riferimento

Sede associazione - uffici amministrativi – altro……..

3.6 altre strutture che concorrono al trattamento:_____________
(nel caso in cui il trattamento per essere completato richieda l'attività di strutture diverse. Altrimenti scrivere :nessuna )

3.7 luogo di custodia dei supposti di memorizzazione

La documentazione descritta viene conservata presso l'associazione con modalità cartacea e mediante archiviazione in cartelle contenute in armadi e classificatori dotati di chiusura a chiave.
I dati sono anche contenuti in supporti informatici e magnetici e sono conservati in contenitori dotati di chiave.

4-DISTRIBUZIONE DEI COMPITI (regola 19.2. del "codice" )

4.1. contenuti :
Ai soci, volontari e personale dell’Associazione ed eventuali collaboratori, vengono assegnati compiti specifici attinenti il trattamento dei dati e della documentazione. Agli stessi sono impartite le disposizioni riguardanti:
- le modalità di raccolta e di conservazione della documentazione;
- la riservatezza dei dati e delle notizie di cui vengono a conoscenza;
- i metodi di archiviazione della documentazione in maniera da tutelare e preservare la privacy dei soggetti sopramenzionati;
- le modalità d’intervento telefonico verso i terzi, volte alla riservatezza;
- la metodologia di consegna dei documenti al fine di preservarli dalla diffusione a terzi di notizie riservate.
I nuovi soci, volontari e personale assunto, vengono istruiti dal Titolare del trattamento o dal Responsabile del Trattamento sui comportamenti da adottare all’interno dell’Associazione secondo quanto sopra esposto.
4.2.struttura. è la sede dell'associazione, e ___________(eventuale)


4.3.trattamenti effettuati dalla struttura: i trattamenti vengono effettuati :

a- da una struttura unica preso la sede associativa

b- dalla struttura sub a e_____________(eventuale: indicare, se ci sono, le strutture esterne alla sede dove è svolto il trattamento o anche solo la raccolta dei dati, es. lo studio del commercialista)

4.4.compiti e responsabilità della struttura : ( descrivere i compiti e le responsabilità della struttura in relazione i trattamenti di competenza se differenziati tra le varie strutture organizzative altrimenti si scrive come di seguito.)

…………..

Il trattamento dei dati avviene in tutti i suoi aspetti presso la sede associativa, negli uffici dell'amministrazione ad eccezione ……(ad esempio: della raccolta dei dati in sede di servizio di trasporto sanitario che avviene a cura del responsabile della squadra che cura il trasporto).


5.ANALISI DEI RISCHI CHE INCOMBONO SUI DATI (regola 19.3."Codice")

(Nell'elenco esemplificativo che segue indicare i rischi a cui si ritiene siano esposti i dati personali, in relazione al concreto contesto fisico e ambientale, e agli strumenti elettronici utilizzati.

Accanto ad ogni evento indicare il grado di probabilità stimato del verificarsi dell' evento descritto indicando : a = alto; m = medio, b = basso)


RISCHI SI/NO Descrizione dell’impatto sulla Sicurezza
(gravità: alta/media/bassa)
Comportamenti degli operatori Sottrazioni di credenziali di autenticazione

Carenza di consapevolezza, disattenzione o incuria

Comportamenti sleali o fraudolenti

Errore materiale

Altro evento

Eventi relativi agli strumenti Azione di virus informatici o di programmi suscettibili di recare danno
Spamming o tecniche di sabotaggio
Malfunzionamento, indisponibilità o degrado degli strumenti
Accessi esterni non autorizzati
Intercettazione di informazioni in rete
Altro evento
Eventi relativi al contesto Accessi non autorizzati a locali/reparti ad accesso ristretto
Sottrazione di strumenti contenenti dati
Eventi distruttivi, naturali o artificiali (movimenti tellurici, scariche atmosferiche, incendi, allagamenti, condizioni ambientali, ecc.), nonché dolosi, accidentali o dovuti ad incuria
Guasto ai sistemi complementari (impianto elettrico, climatizzazione, ecc.)
Errori umani nella gestione della sicurezza fisica
Altro evento




6-MISURE DA ADOTTARE PER GARANTIRE L'INTEGRITA’ E LA DISPONIBILITÀ DEI DATI, LA PROTEZIONE DELLE AREE E DEI LOCALI RILEVANTI AI FINI DELLA LORO CUSTODIA ED ACCESSIBILITÀ (REGOLA 19.4 DEL CODICE)


6.1.misure
(si descrivono le misure adottate e da adottare. Quelle di sotto indicate devono essere in atto, per evitare sanzioni penali)

6.1.1.sistema di autenticazione informatica

trattamento di dati personali ad incaricati dotati di credenziale di autenticazione per specifici trattamenti o insieme di trattamenti ( codice di identificazione e parola chiave riservata);
misure di disattivazione delle credenziali in caso di non uso semestrale, o di perdita della qualità di incaricato del trattamento
misure che assicurino al titolare la disponibilità dei dati in caso di prolungata assenza o impedimento dell'incaricato

6.1.2.sistema di autorizzazione

- Per l'ipotesi in cui gli incaricati debbano operare in ambito diverso si adotta un sistema di autorizzazione per singoli profili di trattamento individuati preventivamente, in modo da consentire l' accesso solo ai dati autorizzati.
- Controllo annuale per la verifica della sussistenza delle condizioni per il mantenimento dell'autorizzazione.

6.1.3.altre misure di sicurezza

- Nell'ambito delle revisioni periodiche dove si verificano degli ambiti consentiti di trattamento dei dati da parte dei singoli incaricati , eventuale redazione della lista di incaricati per classi omogenee di incarico e dei profili di autorizzazione.

- Protezione dei dati personali contro il rischio di intrusione e dell'azione di programmi contraffatti mediante idonei strumenti elettronici da aggiornare ogni sei mesi

- Aggiornamento annuale dei programmi volti a prevenire la vulnerabilità e correggere i difetti degli strumenti elettronici. Aggiornamento semestrale se si trattano dati sensibili

- Istruzioni organizzative per il salvataggio settimanale dei dati.

6.1.4.Ulteriori misure in caso di trattamento di dati sensibili

- Protezione dei dati sensibili da accessi abusivi con idonei strumenti elettronici
istruzioni organizzative per custodia ed uso di supporti rimovibili su cui sono memorizzati i dati per evitare accessi e trattamenti non autorizzati.

- Distruzione di supporto contenenti dati sensibili quando non più utilizzabili.

- Misure per il ripristino di accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici in tempi non superiori a sette giorni.

- Attestazione scritta della conformità a legge dell' intervento per le misure minime di sicurezza se effettuati da soggetto esterno.

- Menzione nella relazione di accompagnamento al bilancio dell'aggiornamento del documento programmatico sulla sicurezza.

6.1.5.Trattamento senza ausilio di strumenti elettronici

- Istruzioni scritte agli incaricati per l'intero ciclo del trattamento per il controllo e custodia degli atti e documenti contenenti dati personali.
- Aggiornamento annuale della individuazione dell'ambito di trattamento consentito ai singoli incaricati, e redazione della lista degli incaricati anche per classi omogenee di incarico e di autorizzazione.
- Istruzioni agli incaricati che vengano in possesso di dati sensibili del loro controllo e custodia esclusiva fino al termine delle operazione affidate.
- Accesso controllato agli archivi contenenti dati sensibili. Identificazione e registrazione delle persone ivi ammesse dopo l'orario di lavoro.
- Previa autorizzazione all'accesso in caso di archivi con strumenti elettronici per l'accesso.

6.2. descrizione dei rischi
(Per ciascuna misura si indicano i rischi che si intendono contrastare. )
…….
…..
…..
(Se non si è in grado di farne una descrizione analitica si propone di scrivere: )
I rischi che si intendono contrastare sono quelli correlati alle misure che si adottano e a quelli evidenziati nel paragrafo relativo alla analisi del rischio.


6.3.Struttura o persone addette alla adozione.

Sono preposte alla adozione delle misure indicate il/la sig./ra ……………………..


7.CRITERI E MODALITÀ DI RIPRISTINO DEI DATI IN CASO DI DISTRUZIONE O DANNEGGIAMENTO (REGOLA 19.5 CODICE )

Per garantire la conservazione dei dati inseriti su supporti informatici, i personal computers / il server è dotato di sistema di salvataggio degli archivi tramite …………….. Detto salvataggio viene effettuato con periodicità ………………. (giornaliera, settimanale) e avviene su supporti diversi in corrispondenza a giorni differenti.
I supporti informatici di salvataggio vengono conservati in luoghi diversi:
- uno nella cassaforte dell’Associazione;
- un’altra copia in luogo esterno conosciuto dal Titolare del trattamento.
Per il ripristino dei dati saranno al massimo necessari sette giorni per renderli disponibili sull’unità centrale.

8-PIANIFICAZIONE DEGLI INTERVENTI FORMATIVI PREVISTI (REGOLA 19.6 CODICE)
- Vengono previsti interventi formativi degli Incaricati del trattamento per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, della disciplina sui dati personali rilevante per l'attività svolta dagli incaricati, delle responsabilità che ne derivano e sulle modalità di aggiornamento delle misure minime di sicurezza.
La formazione si programma al momento dell'ingresso in servizio e in caso di cambio di mansioni o di introduzione di nuovi metodi o strumenti di trattamento.
- Non si prevedono tipologie differenziate di incarico in relazione ai trattamenti (se invece si prevede di differenziare gli incarichi indicare in che modo)…………………………………………………………..

9- TRATTAMENTI AFFIDATI ALL' ESTERNO (PER LE ASSOCIAZIONI CHE ABBIANO SOGGETTI ESTERNI CHE TRATTANO IN TUTTO O IN PARTE I DATI ) (REGOLA 19.7 CODICE)

- tipo di attività affidata a terzi che comporta il trattamento di dati ( descrivere l'attività e il tipo di trattamento):

- attività___________________________________

-tipo di trattamento___________________________


-soggetto esterno___________________________( indicare la società nominativamente e il ruolo (es. Incaricato )

- descrivere i criteri di affidamento (trattamento dati ai soli fini dell'incarico; adempimento obblighi del Codice, rispetto istruzioni specifiche, impegno a relazionare periodicamente sulle misure di sicurezza adottate etc..).



Il presente documento di rilevazione del rischio, redatto ai sensi del D.Lgs. 196 del 30/06/2003 e del relativo disciplinare tecnico, è aggiornato al ____________________________________.

Gli incaricati del trattamento sono stati debitamente informati circa il contenuto del presente documento e sono obbligati ad uniformarsi allo stesso mentre il responsabile del trattamento è obbligato a vigilare sull’osservanza delle disposizioni stesse da parte degli incaricati.

___________, lì _________ (entro 31.03 di ogni anno) (per il 2005 entro il 30/12/2005)



Il Titolare del trattamento