1 dps · title: microsoft word - 1_dps.doc created date: 6/6/2018 11:15:51 am

ALBAALBASASSASDIDIGIANLUCAGIANLUCAALBAALBA&&C.C.

ViaViaDalmaziaDalmazia,,2727

7210072100BrindisiBrindisi((BRBR))

LUGLIO 2016

DOCUMENTO PROGRAMMATICO

SULLA SICUREZZA

Ai sensi del Codice in Materia di Protezione dei Dati Personali

DECRETO LEGISLATIVO 196/2003

ALBAALBASASSASDIDIGIANLUCAGIANLUCAALBAALBA&&CC.. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA


72100Brindisi(BR72100Brindisi(BR))

Luglio 2016 Pagina 3 di 40

DOCUMENTO PROGRAMMATICO SULLA SICUREZZA AI SENSI DEL DLGS 196/2003 E DEL DISCIPLINARE TECNICO

ALLEGATO AL MEDESIMO DECRETO SUB B)

Scopo di questo documento è di delineare il quadro delle misure di sicurezza, organizzative, fisiche e

logiche, adottate e/o da adottare per il trattamento dei dati personali, in conformità con quanto disposto dalla

normativa vigente in materia di privacy, effettuato da ALBA SAS DI GIANLUCA ALBA & C., con sede in Via

Dalmazia, 27 - 72100 Brindisi (BR) – C.F. e P. IVA 02363150745, nel seguito del documento indicata come

Titolare.

Nel presente documento si forniscono idonee informazioni riguardanti la sede di Agenzia ovvero riguardanti

le unità locali periferiche (subagenzie) ivi di seguito indicate:

§ subagenzia (meccanizzata) di Brindisi c/o stabilimento ENI (BR)

§ sedi di subagenzia (meccanizzate)

Si premette che:

Ø il presente documento costituisce la prima redazione del Documento Programmatico sulla Sicurezza

====================

Le novità introdotte dall’art. 45 del Decreto Legge 9 febbraio 2012 n. 5 recante disposizioni urgenti in materia

di semplificazione e di sviluppo, convertito in Legge 4 aprile 2012 n. 35, prevedono l’abolizione dell’obbligo di

redazione ed aggiornamento annuale del Documento Programmatico sulla Sicurezza: restano comunque

ferme le misure di sicurezza previste dalla normativa vigente, come evidenziato dal legislatore, ovvero tutti

gli obblighi operativi e documentali previsti dalla legge privacy, le cosiddette misure minime di sicurezza

(protezione dei locali e degli archivi fisici, autorizzazione, autenticazione informatica, backup, informative e

nomine degli incaricati, etc) nonché quegli obblighi legati ai vari provvedimenti generali del Garante (siti web,

videosorveglianza e telemarketing su tutti) ed alle prescrizioni particolari per settore finalizzate alla gestione

delle informative e dei consensi nelle attività di raccolta dati. Nell’attuale scenario politico, la Commissione

Europea ha peraltro stabilito che intende far entrare in vigore le nuove regole sulla privacy attraverso un

Regolamento Europeo che segnerà un passaggio storico per il mondo della “data protection”. Il

Regolamento Europeo sulla Privacy avrà un’impronta europeista e sarà contemporaneamente vigente in tutti

gli stati membri dell’UE: le nuove regole porranno in capo alle aziende adempimenti che richiederanno

risorse e competenze specifiche (ad esempio, l'obbligo della redazione ed aggiornamento al 31 marzo di

ogni anno del DPS sarà sostituito con l'obbligo di redazione e conservazione degli "statement", documenti

assolutamente in linea con il documento programmatico sulla sicurezza dei dati personali).






Fermo restando l’obbligo di gestione della privacy, in conformità con il Codice in materia di protezione dei

dati personali (di seguito denominato “Codice”), il presente Documento Programmatico sulla Sicurezza ha lo

scopo di presentare sinteticamente il modello organizzativo, il macroprocesso di trattamento dei dati, i livelli

attuali della sicurezza nel trattamento dei dati e, ai sensi del D.Lgs 196/2003, di dichiarare le procedure e i

dispositivi di protezione dell’informazione in essere, in corso di realizzazione ed a venire: contiene i criteri e

le procedure operative di base da seguire per la protezione al trattamento dei dati personali di cui è Titolare

ALBASASDIGIANLUCAALBA&C., al fine di garantire il rispetto dei diritti, delle libertà fondamentali, della dignità

dei soggetti interessati, con particolare riferimento alla riservatezza e all’identità personale.

Per giungere ad una efficace ed esaustiva compilazione del documento programmatico sulla sicurezza è

stata predisposta una ricognizione generale di tutti i sistemi sui quali transitano e vengono trattati i dati

personali gestiti in azienda od affidati ad enti esterni. Il concetto di dati personali, in modo particolare dei dati

di natura sensibile, è stato interpretato in modo estensivo, in quanto l’attività della ALBASASDIGIANLUCAALBA

& C. (nel seguito l’Azienda, la Società o il Titolare) vede un numero importante di processi e di dati

interconnessi: gestione della clientela, gestione del personale, gestione di processi logistici e commerciali.

Le novità introdotte dalla normativa oggi vigente non colgono quindi impreparata l’Azienda che da ormai

alcuni anni dedica sforzi ed investimenti per la tutela e la sicurezza del proprio patrimonio informativo.

====================

Conformemente a quanto prescrive il Disciplinare tecnico, allegato sub b) al Dlgs 196/2003, nel presente

documento si forniscono idonee informazioni riguardanti:

1. l’elenco dei trattamenti di dati personali mediante:

§ la individuazione dei tipi di dati personali trattati

§ la descrizione delle aree, dei locali e degli strumenti con i quali si effettuano i trattamenti

§ la elaborazione della mappa dei trattamenti effettuati, che si ottiene incrociando le coordinate

dei due punti precedenti

2. la distribuzione dei compiti e delle responsabilità, nell’ambito delle strutture preposte al trattamento dei

dati (analisi del mansionario privacy) e previsione di interventi formativi degli incaricati del trattamento

3. l’analisi dei rischi che incombono sui dati

4. le misure, già adottate e da adottare, per garantire l’integrità e la disponibilità dei dati

5. i criteri e le modalità di ripristino dei dati, in seguito a distruzione o danneggiamento

6. i criteri da adottare, per garantire l’adozione delle misure minime di sicurezza, in caso di trattamenti di

dati personali affidati all’esterno

7. le procedure da seguire per il controllo sullo stato della sicurezza

8. dichiarazioni d’impegno e firma.






Indice

1 L’elenco dei trattamenti dei dati personali Pag. 6

1.1 Tipologie di dati trattati

1.2 Caratteristiche di aree, locali e strumenti con cui si effettuano i trattamenti

1.3 La mappa dei trattamenti effettuati

2 Mansionario privacy ed interventi formativi degli incaricati Pag. 18

3 Analisi dei rischi che incombono sui dati Pag. 24

4 Misure atte a garantire l’integrità e la disponibilità dei dati Pag. 29

4.1 La protezione di aree e locali

4.2 La custodia e l’archiviazione di atti, documenti e supporti

4.3 Le misure logiche di sicurezza

5 Criteri e modalità di ripristino dei dati Pag. 36

6 L’affidamento di dati personali all’esterno Pag. 37

7 Controllo generale sullo stato della sicurezza Pag. 39

8 Dichiarazioni d’impegno e firma Pag. 40

Allegati

Relazione tecnica infrastruttura informatica

Gestione delle credenziali di autenticazione

Regolamento videosorveglianza

Regolamento aziendale in materia di tutela dei dati personali

Regolamento attività commerciale aziendale

Lettere di nomina

Informative






1 L’elenco dei trattamenti dei dati personali

Il presente Documento Programmatico sulla Sicurezza ha lo scopo di presentare sinteticamente il modello

organizzativo, il macroprocesso di trattamento dei dati, i livelli attuali della sicurezza nel trattamento dei dati

personali e, ai sensi del D.Lgs. 196/2003, di dichiarare le procedure e i dispositivi di protezione

dell’informazione attuali, in corso di realizzazione ed a venire.

Al fine di elaborare l’elenco dei trattamenti dei dati, posti in essere dal Titolare, si procede come segue:

§ si individuano i tipi di dati personali trattati, in base alla loro natura (comuni, giudiziari o sensibili,

distinguendo nell’ambito di questi ultimi quelli idonei a rivelare lo stato di salute e la vita sessuale) ed

alla categoria di soggetti cui essi si riferiscono (clienti, fornitori, utenti, personale…..)

§ si descrivono le aree, i locali e gli strumenti con i quali si effettuano i trattamenti

§ si elabora la mappa dei trattamenti effettuati, che si ottiene incrociando le coordinate dei due punti

precedenti.

1.1 Tipologie di dati trattati

I dati trattati dal Titolare si possono suddividere come segue:

1 - Dati relativi a clienti, di natura anche sensibile

2 - Dati relativi a fornitori, di natura comune

3 - Dati relativi ad altri soggetti (prospect1), di natura comune

4 - Dati relativi al personale, nonché ai candidati per diventarlo, di natura comune

5 - Dati relativi al personale, nonché ai candidati per diventarlo, di natura anche sensibile e/o giudiziaria

6 - Dati relativi a collaboratori e/o subagenti, di natura comune

7 - Dati relativi a collaboratori e/o subagenti, di natura anche giudiziaria

8 - Dati (inclusi suoni ed immagini) idonei a rilevare la posizione di persone ed oggetti

I trattamenti indicati nel presente documento riguardano esclusivamente dati personali la cui titolarità spetta

alla ALBASASDIGIANLUCAALBA&C. I dati di natura anche sensibile, relativi a clienti, ai fini dello svolgimento

dell’attività assicurativa, sono conservati o, comunque, oggetto di trattamento da parte dell’Agenzia anche in

qualità di Responsabile del trattamento, nominata secondo formale designazione ai sensi e agli effetti

dell’art. 29 del Codice Privacy, dalla Compagnia quale Titolare del trattamento: tale argomento esula,

dunque, dalla specificità del presente Documento Programmatico sulla Sicurezza.

1 Prospect: potenziali clienti






La specificità di talune tipologie di dati trattati in funzione delle specifiche strutture di riferimento (unità

organizzative) è individuata in base ai trattamenti che sono eseguiti all’interno della struttura:

§ L'espressione "dati di natura comune" si riferisce a tutte le informazioni che riguardano una persona

fisica identificata o identificabile: se una persona non è identificabile, i dati sono dichiarati anonimi.

§ L'espressione "dati di natura particolare" si riferisce a tutti i dati personali che non appartengono ai dati

sensibili o alle informazioni di carattere giudiziario, ma presentano nel loro trattamento “rischi specifici”

(ad esempio, le coordinate bancarie).

§ L'espressione "dati di natura sensibile" si riferisce a tutti i dati personali idonei a rivelare l’origine

razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione

a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale,

nonché ai dati personali idonei a rivelare lo stato di salute e la vita sessuale.

§ L'espressione "dati di natura giudiziaria" si riferisce a tutti i dati personali idonei a rivelare

provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre

2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti

da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e

61 del codice di procedura penale ovvero ai dati personali che attengono le sentenze di condanna, le

infrazioni (anche riferite a sanzioni amministrative, ma solo quelle che prevedano reati) e l’essere, da

parte del soggetto interessato, “Imputato” o “Indagato”.

I dati relativi al personale, relativamente ai propri dipendenti, possono essere di natura "sensibile" (vedasi

definizione): il trattamento dei dati sensibili di cui all'art. 4, comma 1, lett. d) del Codice, finalizzato alla

gestione dei rapporti di lavoro, può essere effettuato (Autorizzazione n. 1 al trattamento dei dati sensibili nei

rapporti di lavoro) da parte del titolare del trattamento in qualità di datore di lavoro (il trattamento può

riguardare dati attinenti a soggetti che hanno assunto o intendono assumere la qualità di lavoratori

subordinati, anche se parti di un contratto di apprendistato, o di formazione e lavoro, o di inserimento, o di

lavoro ripartito, o di lavoro intermittente o a chiamata, ovvero prestatori di lavoro nell’ambito di un contratto di

somministrazione, o in rapporto di tirocinio, ovvero di associati anche in compartecipazione e, se necessario,

ai relativi familiari e conviventi). Inoltre, per il trattamento dei dati sensibili dei dipendenti (o collaboratori,

ecc.) nell’ambito del rapporto di lavoro, quando le finalità di questi trattamenti sono la gestione del rapporto e

gli altri adempimenti previsti dalla legge, il consenso del lavoratore subordinato o collaboratore non serve

(anche se riferito ai suoi dati sensibili): gli artt. 20, 22, 26 del Codice introducono infatti una novità

fondamentale per il trattamento di questi dati, ovvero quella concernente l’esenzione dal consenso per il

trattamento dei dati sensibili da parte del datore di lavoro, quando il trattamento è necessario per adempiere

a specifici obblighi o compiti previsti da norme di legge per la gestione del rapporto di lavoro (anche in

materia di igiene e sicurezza, previdenza ed assistenza, ferme restando le disposizioni del codice di

deontologia e di buona condotta).






I dati relativi al personale, relativamente ai propri dipendenti e/o collaboratori, possono essere di natura

"giudiziaria" (vedasi definizione): il trattamento dei dati giudiziari di cui all'art. 4, comma 1, lett. e) del Codice,

può essere effettuato (Autorizzazione n. 7 al trattamento dei dati a carattere giudiziario) da parte di persone

fisiche, giuridiche, enti, associazioni ed organismi che sono parte di un rapporto di lavoro, ovvero da parte di

imprese autorizzate all’esercizio dell’attività assicurativa, per adempiere o per esigere l’adempimento di

specifici obblighi o per eseguire specifici compiti previsti da leggi, dalla normativa comunitaria, da

regolamenti o da contratti collettivi, anche aziendali, ed ai soli fini della gestione del rapporto di lavoro, anche

autonomo o non retribuito od onorario (il trattamento può riguardare dati attinenti a soggetti che hanno

assunto o intendono assumere la qualità di lavoratori subordinati, anche se parti di un contratto di

apprendistato, o di formazione e lavoro, o di inserimento, o di lavoro ripartito, o di lavoro intermittente o a

chiamata, ovvero prestatori di lavoro nell’ambito di un contratto di somministrazione, o in rapporto di tirocinio,

ovvero di associati anche in compartecipazione o di titolari di borse di lavoro e di rapporti analoghi).

I dati relativi alla clientela, possono essere di natura "sensibile" (vedasi definizione): il trattamento dei dati

sensibili di cui all'art. 4, comma 1, lett. d) del Codice, fatta eccezione dei dati idonei a rivelare la vita

sessuale, può essere effettuato (Autorizzazione n. 5 al trattamento dei dati sensibili da parte di diverse

categorie di titolari) da parte di imprese autorizzate all'esercizio dell'attività assicurativa ovvero di imprese

che svolgono autonome attività strettamente connesse e strumentali a quella indicata, per adempiere agli

obblighi anche precontrattuali che tali soggetti assumono nel proprio settore di attività, al fine di fornire

specifici beni, prestazioni o servizi richiesti dall'interessato nonché per adempiere o per esigere

l'adempimento di obblighi previsti, anche in materia fiscale e contabile, dalla normativa comunitaria, dalla

legge, dai regolamenti, o dai contratti collettivi, o prescritti da autorità od organi di vigilanza o di controllo nei

casi indicati dalla legge o dai regolamenti, fermo restando che trattamento può riguardare i dati sensibili

attinenti ai soggetti ai quali sono forniti i beni, le prestazioni o i servizi, in misura strettamente pertinente a

quanto specificamente richiesto dall'interessato che, ove necessario, abbia manifestato il proprio consenso

scritto ed informato (nei medesimi limiti, è possibile trattare dati relativi a terzi, allorché non sia altrimenti

possibile procedere alla fornitura al beneficiario dei beni, delle prestazioni o dei servizi). I dati sensibili

possono essere comunicati, nei limiti strettamente pertinenti al perseguimento delle suddette finalità, a

soggetti pubblici o privati, ivi compresi fondi e casse di previdenza ed assistenza o società controllate e

collegate ai sensi dell'art. 2359 del codice civile, nonché, ove necessario, ai familiari dell'interessato, e non

possono essere diffusi. Per quanto concerne inoltre il trattamento dei dati “biometrici” in Agenzia, le tecniche

biometriche basate sul rilevamento della dinamica di apposizione della firma autografa (firma grafometrica)

possono essere utilizzate per la sottoscrizione di documenti informatici anche al fine di dare maggiore

certezza ai rapporti giuridici. L'analisi dei dati biometrici associati all'apposizione a mano libera di una firma

autografa potrà essere utilizzata per la firma elettronica avanzata: tale modalità è però consentita solo con il

consenso degli interessati e, necessariamente, fatta salva la disponibilità di sistemi alternativi (cartacei o

digitali) di sottoscrizione che non comportino l'utilizzo di dati biometrici.






1.2 Caratteristiche di aree, locali e strumenti con cui si effettuano i trattamenti

Il trattamento dei dati personali avviene nei seguenti edifici: Sede degli uffici

Il Titolare dispone di una sede di Agenzia a Brindisi (BR) ovvero di unità locali periferiche (subagenzie) come

da elenco sopra riportato. Le sedi dedicate agli uffici sono ad accesso controllato: l’accesso è consentito ai

soli dipendenti e collaboratori della società, nonché agli ospiti esterni, ma sempre sotto il controllo del

responsabile dell’ufficio di competenza.

Agenzia: all’interno di uno stabile ove l’accesso è consentito attraverso portone dotato di citofono, la Agenzia

(piano primo) dispone di due sedi (Amministrativa + Commerciale) distinte e dotate di ingressi indipendenti.

L’ingresso alla sede amministrativa (non aperta al pubblico) è consentito attraverso porta blindata (sempre

chiusa a chiave negli orari al di fuori dell’attività lavorativa); l’ingresso alla sede commerciale (aperta al

pubblico) è consentito attraverso porta vetri a scorrimento (fotocellula) automatico protetta da cancello

(sempre chiuso a chiave negli orari al di fuori dell’attività lavorativa) e/o attraverso porta blindata (ingressi

secondari: uso interno) sempre chiusa: il solo personale autorizzato possiede le chiavi per accedere ai locali

della sede. La sede dedicata agli uffici, indicando i soli locali significativi ai fini del trattamento di dati

personali, è così suddivisa:

§ piano primo (sede amministrativa): ufficio “Contabilità” + ufficio “Capoufficio” + locale adibito a “Pre-

Archivio” + locale adibito ad “Archivio” + “Sala Riunioni”

§ piano primo (sede commerciale): locale adibito a “Front Office” + ufficio “Agente 1” + ufficio “Agente 2”

“Area Commerciale” + “Sala Server”

§ fuori sede: locale adibito ad “Archivio Storico”

Subagenzie: sede di subagenzia situata presso lo stabilimento ENI (locale dedicato chiuso a chiave) + sedi

di subagenzia di competenza dei collaboratori di Agenzia: il solo personale autorizzato possiede le chiavi per

accedere ai locali della/e sede/i.

====================

Il trattamento dei dati personali avviene con i seguenti strumenti:

A – Schedari ed altri supporti cartacei I supporti cartacei, ivi inclusi quelli contenenti immagini, vengono ordinatamente raccolti in schedari, ovvero

nella pratica cui si riferiscono, per essere archiviati, una volta terminato il ciclo lavorativo, come segue:

Agenzia (sede amministrativa)

§ Ufficio “Contabilità”: locale (chiuso a chiave) ad accesso controllato

ü pratiche e documenti, in armadi sprovvisti di serratura, relativi alla società, contenenti dati di natura

comune, quali:

• atti societari e mandati di direzione

• contratti vari






• comunicazioni di direzione

ü pratiche e documenti, in armadi sprovvisti di serratura, relativi a clienti, fornitori, dipendenti, collaboratori e/o subagenti, contenenti dati di natura comune, in funzione della gestione

amministrativa (Aa), quali:

• pratiche amministrative e contabili

• contabilità fiscale d’agenzia

• fatture, estratti conto e rapporti bancari

• giornali cassa e rendiconti di direzione

ü pratiche e documenti, in armadio sprovvisto di serratura, relativi al personale dipendente, contenenti

dati di natura anche sensibile e/o giudiziaria, in funzione della gestione risorse umane (Ad), quali:

• dossier dipendenti, contenenti atti di assunzione, certificati e documenti

• casellario giudiziale (regolamento IVASS): dati giudiziari ivi presenti solo in caso di evidenze

ü pratiche e documenti, in armadio sprovvisto di serratura, relativi a collaboratori e/o subagenti,

contenenti dati di natura comune e/o dati di natura giudiziaria, in funzione della gestione risorse umane

(Ad), quali:

• dossier collaboratori, contenenti mandati, estratti conto e documenti

• casellario giudiziale (regolamento IVASS): dati giudiziari ivi presenti solo in caso di evidenze

§ Ufficio “Capoufficio”: locale (chiudibile a chiave) ad accesso controllato

ü pratiche e documenti, in armadio provvisto di serratura (chiuso a chiave), relativi alla società,

contenenti dati di natura comune, quali:

• atti societari e mandati di direzione

• contratti vari

• comunicazioni di direzione

ü pratiche e documenti, in armadio provvisto di serratura (chiuso a chiave), relativi a clienti, fornitori, dipendenti, collaboratori e/o subagenti, contenenti dati di natura comune, in funzione della gestione

amministrativa (Aa), quali:

• pratiche amministrative e contabili

• contabilità fiscale d’agenzia

• fatture, estratti conto e rapporti bancari

• giornali cassa e rendiconti di direzione

§ “Pre-Archivio”: locale (chiudibile a chiave) ad accesso controllato

ü pratiche e documenti, relativi a clienti, contenenti dati di natura anche sensibile, in funzione dello

svolgimento dell’attività assicurativa della agenzia (Ac), quali:

• pratiche clienti: transitoriamente, per poi essere consegnate all’archivio all’uopo adibito






§ “Archivio”: locale (chiuso a chiave) ad accesso controllato

ü pratiche e documenti, in schedari (chiusi chiave) e/o armadi sprovvisti di serratura, relativi a clienti,

contenenti dati di natura anche sensibile, in funzione della archiviazione di documentazione inerente la

gestione dell’attività assicurativa della agenzia (Ac), quali:

• archivio vivo: pratiche clienti, contenenti polizze assicurative, in vigore (catalogazione: data)

• polizze rami auto

• polizze rami elementari

§ “Sala Riunioni”: non sono ivi presenti archivi significativi ai fini della custodia di atti e documenti

contenenti dati personali oggetto di trattamento.

Agenzia (sede commerciale)

§ “Front Office”: locale (aperto al pubblico) ad accesso controllato (distanza di cortesia: area di

accesso delimitata)

ü pratiche e documenti, in armadi provvisti di serratura (chiusi chiave), relativi a clienti, contenenti dati

di natura anche sensibile, in funzione dello svolgimento dell’attività assicurativa della agenzia (Ac), quali:


• quietanze in corso: transitoriamente, per poi essere consegnate al soggetto interessato

§ Ufficio “Agente 1” (responsabile del trattamento): locale (chiudibile a chiave) ad accesso controllato




§ Ufficio “Agente 2”: locale (chiudibile a chiave) ad accesso controllato




ü pratiche e documenti, relativi al personale dipendente ovvero relativi a collaboratori e/o subagenti, contenenti dati di natura comune, in funzione della gestione risorse umane (Ad), quali:

• documentazione relativa ai corsi di formazione professionale (regolamento IVASS)

§ “Area Commerciale”: area (accesso controllato)

ü pratiche e documenti, in schedari metallici provvisti di serratura (chiusi chiave), relativi a clienti,

contenenti dati di natura anche sensibile, in funzione della archiviazione di documentazione inerente la

gestione dell’attività assicurativa della agenzia (Ac), quali:






• archivio vivo: pratiche clienti, contenenti polizze assicurative, in vigore (catalogazione: data)

• polizze rami vita

• pratiche clienti, contenenti finanziamenti

• pratiche clienti, contenenti sinistri (aperti e chiusi)

ü pratiche e documenti, in schedari metallici provvisti di serratura (chiusi chiave), relativi a clienti, contenenti dati di natura anche sensibile, in funzione dello svolgimento dell’attività assicurativa della

agenzia (Ac), quali:


• quietanze in corso: transitoriamente, per poi essere consegnate al soggetto interessato

§ “Sala Server”: non sono ivi presenti archivi significativi ai fini della custodia di atti e documenti

contenenti dati personali oggetto di trattamento.

§ “Archivio Storico”: locale (fuori sede) chiuso a chiave

ü pratiche e documenti, relativi a clienti, contenenti dati di natura anche sensibile, in funzione della

archiviazione di documentazione avente valenza storica (As), quali:

• archivio morto: polizze morte e/o annullate, aventi valenza storica

ü pratiche e documenti, relativi a clienti, fornitori, dipendenti, collaboratori e/o subagenti, contenenti dati di natura comune, in funzione della archiviazione di documentazione avente valenza

storica (As), quali:

• pratiche amministrative e contabili, aventi valenza storica

Subagenzie

Le pratiche clienti, contenenti dati di natura anche sensibile, organizzate in banche dati cartacee (sedi

meccanizzate) oggetto di trattamento (transitoriamente) presso le sedi di subagenzia (aperte al pubblico solo

in presenza del personale di competenza) vengono sempre consegnate agli archivi all’uopo adibiti presso la

sede di Agenzia: non sono autorizzati né quindi ivi presenti archivi significativi ai fini della custodia di atti e

documenti contenenti tali dati personali oggetto di trattamento.

B – Elaboratori elettronici Per elaboratori in rete privata si intendono quelli accessibili, da altri elaboratori o più in generale da altri

strumenti elettronici, solo attraverso reti proprietarie, sulle quali possono viaggiare unicamente i dati del

titolare del sistema. Per elaboratori in rete pubblica si intendono quelli che utilizzano, anche solo per alcuni

tratti, reti di telecomunicazione disponibili al pubblico, ivi inclusa la rete Internet.

Agenzia

Si dispone di una rete LAN privata (computer client in un sistema client/server) dedicata con server interno

(interfaccia alla extranet di competenza della Compagnia) dotata di collegamento alla rete pubblica

(internet), costituita da:






§ numero 1 server (Compagnia)

§ altri strumenti elettronici (modem, router, scanner, dispositivi di backup…..), dislocati all’interno della

sede dedicata agli uffici:

- router “Cisco” con firewall integrato (connessione: rete di Compagnia)

Si dispone di una rete privata [connessione (sistema di Compagnia): i computer thin client sono computer

(client) in un sistema client/server, che dipendono dal server] priva di collegamento alla rete pubblica


§ postazioni (Bc: thin client) dislocate all’interno della sede dedicata agli uffici

§ tavoletta “wacom” (apposizione firma “grafometrica”) collegata a computer (Bc)

§ dispositivi “tablet” (accesso protetto da password) in dotazione ai soli soggetti autorizzati




La Agenzia è organizzata in una rete LAN privata [intranet aziendale: computer client in un sistema

client/server (connessione: sistema di Compagnia + sistema di Agenzia)] dotata di collegamento alla rete

pubblica (internet), costituita da:

§ numero 1 server di Agenzia [server fisico (ambiente windows)]

§ numero 9 postazioni (Ba: desktop) dislocate all’interno della sede dedicata agli uffici

§ dispositivi “tablet” (accesso protetto da password) in dotazione ai soli soggetti autorizzati



- router con firewall integrato (connessione: rete di Agenzia)

- firewall hardware “ENDIAN”

Subagenzie

Si dispone di una rete privata [connessione (sistema di Compagnia): i computer thin client sono computer

(client) in un sistema client/server, che dipendono dal server] priva di collegamento alla rete pubblica


§ postazioni (Bc: thin client) dislocate presso ciascuna sede di subagenzia




Le Subagenzie sono organizzate in una rete LAN privata [intranet aziendale (connessione: sistema di

Compagnia)] dotata di collegamento alla rete pubblica (internet), costituita da:

§ numero 2 postazioni (Ba: desktop) dislocate presso sede di subagenzia (c/o stabilimento ENI)

§ numero 1 postazione (Ba: desktop) dislocata presso tutte le altre sedi (meccanizzate) di subagenzia








- router con firewall integrato (connessione: rete di Agenzia)

Si rimanda all’allegato “Relazione Tecnica Infrastruttura Informatica”, che fa parte integrante del presente

documento, per una trattazione dettagliata delle scelte implementate dal Titolare.

C – Impianti di videosorveglianza ed altri idonei a rilevare immagini, suoni e posizione di persone ed oggetti

L’installazione di un sistema di videosorveglianza ha finalità di controllo e identificazione dei visitatori che si

accingono ad accedere alla sede ovvero di protezione dell’area dai tentativi di intrusione in relazione

all’esigenza di perseguire fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine,

danneggiamenti, atti di vandalismo, o finalità di sicurezza del lavoro, nonché di misura complementare volta

a migliorare la sicurezza (a tutela tanto del patrimonio aziendale quanto dei lavoratori) dell’edificio ove si

svolge l’attività, oltre che lo scopo di agevolare l’eventuale esercizio, in sede di giudizio civile o penale, del

diritto di difesa del titolare del trattamento o di terzi sulla base di immagini utili in caso di fatti illeciti, sempre

nel rispetto delle norme di garanzia dei diritti e delle libertà fondamentali, nonché della dignità

dell’interessato. Il titolare del trattamento ha valutato, obiettivamente e con approccio selettivo, l’utilizzazione

di un impianto di videosorveglianza come realmente proporzionato agli scopi prefissi e ritenendo altri

accorgimenti ponderatamente inefficaci: per esigenze organizzative e di sicurezza del lavoro, infatti, il

sistema costituisce deterrente ed elemento di prova in caso di azioni criminose.

Agenzia

§ l’impianto di videosorveglianza si compone di 4 apparecchi fissi [1 esterno volto a riprendere l’accesso

alla sede amministrativa + 2 esterni volti a riprendere gli accessi alla sede commerciale + 1 interno

volto a riprendere un’area (Front Office) considerata sensibile (aperta al pubblico)] con modalità tali da

limitare l’angolo visuale all’area da proteggere, evitando la ripresa di luoghi circostanti e di particolari

non rilevanti:

Ø 4 telecamere di rete IP: visualizzazione immagini in tempo reale [1 monitor (disattivato in orari al

di fuori dell’attività lavorativa) presso la sede amministrativa + 1 TV monitor (disattivato in orari al di

fuori dell’attività lavorativa) in ufficio “Agente 1” e/o connessione remota da computer o dispositivo

mobile (device) riservata (accesso protetto da password) al solo responsabile del trattamento +

registrazione immagini [accesso (protetto da password) riservato ai soli soggetti autorizzati] su DVR

(Digital Video Recorder) situato in “Sala Server”.

Si rimanda all’allegato tecnico “Regolamento Videosorveglianza”, che fa parte integrante del presente

documento, per una trattazione dettagliata delle scelte implementate dal Titolare.






1.3 La mappa dei trattamenti effettuati

Incrociando le coordinate di cui ai paragrafi precedenti (1.1 e 1.2), si ottiene la mappa dei trattamenti di dati

personali effettuati dal Titolare. In relazione al diverso grado di rischio, è opportuno distinguere i trattamenti

che vengono posti in essere nelle distinte aree in cui sono dislocati gli strumenti, nei casi in cui la circostanza

è significativa (per gli schedari e gli elaboratori non in rete). Nelle caselle di incrocio si appone un simbolo,

identificativo di ciascun trattamento, che sta tra l’altro a significare che determinati tipi di dati sono trattati con

determinati strumenti:

TIPI DI DATI TRATTATI

1- Dati relativi a clienti, di natura anche sensibile 0 0 0 0 0

2- Dati relativi a fornitori, di natura comune 0 0

3 - Dati relativi ad altri soggetti (prospect), di natura comune 0 0

4- Dati relativi al personale, nonché ai candidati per diventarlo, di natura comune 0 0 0 0 0

5- Dati relativi al personale, nonché ai candidati per diventarlo, di natura anche sensibile e/o giudiziaria 0

6- Dati relativi a collaboratori e/o subagenti, di natura comune 0 0 0 0 0

7- Dati relativi a collaboratori e/o subagenti, di natura anche giudiziaria 0

8- Dati (inclusi suoni ed immagini) idonei a rilevare la posizione di persone ed oggetti 0

Ac Aa Ad As Bc Ba C

STRUMENTI UTILIZZATI

Legenda degli strumenti utilizzati per il trattamento:

A – Schedari ed altri supporti cartacei, nell’ambito dei quali si procede a suddividere:

§ Ac quelli custoditi esclusivamente presso la sede di Agenzia

§ Aa quelli custoditi esclusivamente presso la sede di Agenzia

§ Ad quelli custoditi esclusivamente presso la sede di Agenzia

§ As quelli, aventi valenza storica, custoditi presso la sede di Agenzia

B – Elaboratori in rete, nell’ambito dei quali si procede a suddividere:

§ Bc elaboratori elettronici (rete di Compagnia) dislocati presso la sede di Agenzia e/o presso le

sedi (meccanizzate) di subagenzia

§ Ba elaboratori elettronici (desktop) dislocati presso la sede di Agenzia e/o presso le sedi

(meccanizzate) di subagenzia


presso la sede di Agenzia






Da una prima lettura della mappa, si possono apprezzare gli accorgimenti adottati per ridurre i rischi:

Agenzia

• i dati relativi a clienti, ivi compresi quelli finalizzati alla gestione di preventivi, trattative e contratti

assicurativi in divenire, vengono trattati sia su supporti cartacei (banche dati cartacee) sia con l’ausilio

di elaboratori elettronici (banche dati elettroniche: sistema di Compagnia + sistema di Agenzia) in

funzione della gestione dell’attività assicurativa {piattaforma gestionale “ALPHA” (archiviazione

documentale) su server [accessibile dai soli computer (Ba: client) in rete ove è presente l’applicativo

(accesso protetto da password: profili di autorizzazione)]}. I dati, di natura anche sensibile, relativi a

clienti, trattati su supporti cartacei, sono archiviati in locali e/o armadi, armadietti ed altri dispositivi

equipollenti all’uopo adibiti, situati all’interno della sede dedicata agli uffici ed, ivi, custoditi: l’accesso a

tali archivi è consentito al solo personale autorizzato.

• i dati, di natura comune, relativi a soggetti potenziali clienti (prospect) sono trattati con l’ausilio di

elaboratori elettronici (banche dati elettroniche): ci si riferisce, nella fattispecie, ad anagrafiche estratte

da elenchi e registri pubblici (archiviate per il solo tempo necessario e non eccedente rispetto alle

finalità per le quali raccolte) in conformità con la vigente normativa in materia di privacy, ovvero a

richieste di informazioni da parte di visitatori attraverso contatti on-site e/o on-line (sito web: via e-mail)

per poi essere smistate all’unità organizzativa di competenza.

• i dati di natura amministrativa e contabile, relativi a clienti, fornitori, dipendenti, collaboratori e/o

subagenti, vengono trattati su supporti cartacei (banche dati cartacee) archiviati e custoditi nell’area

ad accesso controllato della sede dedicata agli uffici e senza l’ausilio di elaboratori elettronici:

l’accesso a tali archivi è consentito al solo personale autorizzato.

• i dati relativi al personale dipendente, di natura eventualmente sensibile (dati di natura giudiziaria ivi

non presenti), vengono trattati su supporti cartacei e senza l’ausilio di elaboratori elettronici, nell’area

ad accesso controllato della sede dedicata agli uffici e quindi custoditi in ufficio “Contabilità” (locale

chiuso a chiave): l’accesso a tali archivi è consentito al solo personale autorizzato.

• i dati relativi a collaboratori e/o subagenti, di natura comune (dati di natura giudiziaria ivi non presenti),

vengono trattati su supporti cartacei e senza l’ausilio di elaboratori elettronici, nell’area ad accesso

controllato della sede dedicata agli uffici e quindi custoditi in ufficio “Contabilità” (locale chiuso a

chiave): l’accesso a tali archivi è consentito al solo personale autorizzato.

• i dati relativi al personale dipendente, di natura comune, vengono trattati nell’area ad accesso

controllato della sede dedicata agli uffici sia su supporti cartacei sia con l’ausilio di elaboratori

elettronici (dati anagrafici): l’accesso a tali archivi è consentito al solo personale autorizzato.

• i dati (immagini) acquisiti attraverso sistema di videosorveglianza che si compone di 4 apparecchi fissi

[1 esterno volto a riprendere l’accesso alla sede amministrativa + 2 esterni volti a riprendere gli

accessi alla sede commerciale + 1 interno volto a riprendere un’area (Front Office) considerata

sensibile (aperta al pubblico)] vengono visualizzati in tempo reale su 1 monitor (disattivato in orari al di

fuori dell’attività lavorativa) presso la sede amministrativa + 1 TV monitor (disattivato in orari al di fuori






dell’attività lavorativa) in ufficio “Agente 1” e/o attraverso connessione remota da computer o

dispositivo mobile (device) riservata (accesso protetto da password) al solo responsabile del

trattamento e registrati su DVR [Digital Video Recorder: accesso (protetto da password) riservato ai

soli soggetti autorizzati] dotato di configurazione atta a cancellare periodicamente (massimo

ventiquattro ore successive alla rilevazione) ed automaticamente (sovraregistrazione) i dati registrati.

Subagenzie

• i dati relativi a clienti, ivi compresi quelli finalizzati alla gestione di preventivi, trattative e contratti

assicurativi in divenire, vengono trattati sia su supporti cartacei (banche dati cartacee) sia con l’ausilio

di elaboratori elettronici (banche dati elettroniche: sistema di Compagnia) in funzione della gestione

dell’attività assicurativa. Le pratiche clienti, contenenti dati di natura anche sensibile, organizzate in

banche dati cartacee (sedi meccanizzate), seppur temporaneamente oggetto di trattamento (pratiche

transitorie) presso le stesse sedi di subagenzia, vengono sempre consegnate agli archivi all’uopo

adibiti presso la sede di Agenzia: non sono autorizzati né quindi ivi presenti archivi significativi ai fini

della custodia di atti e documenti contenenti dati personali oggetto di trattamento.

• i dati, di natura comune, relativi a soggetti potenziali clienti (prospect) sono trattati con l’ausilio di

elaboratori elettronici (banche dati elettroniche): ci si riferisce, nella fattispecie, ad anagrafiche estratte

da elenchi e registri pubblici (archiviate per il solo tempo necessario e non eccedente rispetto alle

finalità per le quali raccolte) in conformità con la vigente normativa in materia di privacy, ovvero a

richieste di informazioni da parte di visitatori attraverso contatti on-site e/o on-line (sito web: via e-mail)

per poi essere smistate all’unità organizzativa di competenza.

• i dati di natura amministrativa e contabile ovvero i dati relativi a dipendenti e collaboratori e/o

subagenti, vengono archiviati presso la sola sede di Agenzia ed, ivi, custoditi: non sono quindi ivi

presenti archivi significativi ai fini della custodia di atti e documenti contenenti tali dati personali

oggetto di trattamento.






2 Mansionario privacy ed interventi formativi degli incaricati

Al fine di indicare le responsabilità individuate, in funzione dei trattamenti di dati personali all’interno della

struttura, si ritiene opportuno premettere alcune basilari definizioni:

Ø titolare: persona fisica, persona giuridica, pubblica amministrazione e qualsiasi altro ente,

associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine

alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il

profilo della sicurezza

Ø responsabile: persona fisica, persona giuridica, pubblica amministrazione e qualsiasi altro ente,

associazione od organismo preposti dal titolare al trattamento di dati personali

Ø incaricati: persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal

responsabile

Ø interessato: persona fisica cui si riferiscono i dati personali

Per il trattamento dei dati personali, il Titolare:

§ ha nominato, secondo formale designazione, Gianluca Alba, attribuendogli incarichi di ordine

organizzativo e direttivo, come segue:

- responsabile per il trattamento dei dati personali, cui è conferito il compito di controllare che il

trattamento sia improntato ai principi di correttezza, liceità, trasparenza e tutela della

riservatezza, secondo quanto stabilito dal Codice in materia di protezione dei dati personali.

- responsabile per la sicurezza dei dati personali, il cui compito è di progettare, realizzare e

mantenere in efficienza le misure di sicurezza, conformemente a quanto previsto dagli articoli

31 e 33 D.Lgs. 196/2003.

- responsabile per garantire il soddisfacimento dei diritti esercitabili dai soggetti interessati, ai

sensi degli articoli da 7 a 10 D.Lgs. 196/2003.

- responsabile della gestione delle credenziali di autenticazione per garantire l’accesso agli

elaboratori elettronici e della gestione delle copie di sicurezza per garantire il ripristino dei dati in

tempi ragionevoli in caso di perdita accidentale o danneggiamento.

- responsabile del controllo dell’accesso (ivi compresa la gestione del sistema di

videosorveglianza) alle aree ed ai locali della/e sede/i.

Nell’ambito della propria responsabilità, si avvale della collaborazione di società esterne per la gestione e la

manutenzione del sistema informativo, al fine di sovrintendere alle risorse del sistema informativo e di

consentirne l’utilizzazione. Ai soggetti incaricati della gestione e manutenzione del sistema informativo, siano

essi interni o esterni all’organizzazione del Titolare, viene prescritto di non effettuare alcun trattamento, sui

dati personali contenuti negli strumenti elettronici, fatta unicamente eccezione per i trattamenti di carattere

temporaneo strettamente necessari per effettuare la gestione o manutenzione del sistema.






Riportiamo di seguito, per una visione più completa, l’organigramma privacy, che consente di individuare le

figure designate quali responsabili, in funzione dei trattamenti di dati personali:

Il trattamento dei dati personali viene effettuato solo da soggetti che hanno ricevuto un formale incarico,

mediante designazione per iscritto di ogni singolo incaricato, con la quale si individua puntualmente l’ambito

del trattamento consentito. Oltre alle istruzioni generali su come devono essere trattati i dati personali, agli

incaricati vengono fornite esplicite istruzioni in merito ai seguenti punti, aventi specifica attinenza con la

sicurezza:

§ procedure da seguire per la classificazione dei dati, al fine di distinguere quelli sensibili e giudiziari,

per garantire la sicurezza dei quali occorrono maggiori cautele, rispetto a quanto è previsto per i dati

di natura comune

§ modalità di reperimento dei documenti, contenenti dati personali, e modalità da osservare per la

custodia degli stessi e la loro archiviazione, al termine dello svolgimento del lavoro per il quale è stato

necessario utilizzare i documenti

§ modalità per elaborare e custodire le password, necessarie per accedere agli elaboratori elettronici ed

ai dati in essi contenuti, nonché per fornirne una copia al preposto alla custodia delle parole chiave

§ prescrizione di non lasciare incustoditi e accessibili gli strumenti elettronici, mentre è in corso una

sessione di lavoro

§ procedure e modalità di utilizzo degli strumenti e dei programmi atti a proteggere i sistemi informativi

§ procedure per il salvataggio dei dati nonché modalità di custodia ed utilizzo dei supporti rimuovibili,

contenenti dati personali

§ dovere di aggiornarsi, utilizzando il materiale e gli strumenti forniti dal Titolare, sulle misure di

sicurezza.






Le lettere ed i contratti di nomina dei responsabili, le lettere di incarico o di designazione degli incaricati

vengono raccolte in modo ordinato, in base alla unità organizzativa cui i soggetti appartengono: in tale modo

il Titolare dispone di un quadro chiaro di chi fa cosa (mansionario privacy), nell’ambito del trattamento dei

dati personali. Per ragioni di ordine e di sistematicità, la nostra organizzazione ha provveduto a raccogliere

tutte le lettere di attribuzione di ruoli e compiti, debitamente firmate per accettazione dai destinatari,

all’interno del mansionario privacy. Periodicamente, con cadenza annuale, si procede ad aggiornare la

definizione dei dati cui gli incaricati sono autorizzati ad accedere, e dei trattamenti che sono autorizzati a

porre in essere, al fine di verificare la sussistenza delle condizioni che giustificano tali autorizzazioni. La

stessa operazione viene compiuta per le autorizzazioni rilasciate ai soggetti incaricati della gestione o

manutenzione degli strumenti elettronici. Alla data di redazione del presente Documento Programmatico

sulla Sicurezza è stata e/o verrà effettuata la periodica revisione di ruoli, compiti e procedure per provvedere

alla individuazione e revisione dell’ambito di trattamento dei dati cui i singoli incaricati sono autorizzati ad

accedere e dei trattamenti che sono autorizzati a porre in essere, al fine di verificare la sussistenza delle

condizioni che giustificano tali autorizzazioni, provvedendo quindi alla redazione ed elaborazione delle

lettere di nomina di responsabili ed incaricati del trattamento in essere, da ritenersi in corso di validità.

====================

Nella seguente matrice si riassumono i tratti salienti dell’attuale mansionario privacy, come segue:

§ sull’asse verticale si riportano i dati personali oggetto di trattamento, quali emergono dall’analisi

effettuata nel paragrafo 1. del presente documento mentre sull’asse orizzontale si riportano le unità

organizzative (“strutture di riferimento”) in cui si suddivide l’organizzazione del Titolare

§ l’apposizione del simbolo 0, in corrispondenza della casella di intersezione tra le due coordinate,

significa che una determinata unità organizzativa procede al trattamento dei dati indicati nelle righe:

TIPI DI DATI TRATTATI

1- Dati relativi a clienti, di natura anche sensibile 0 0 0 0 0

2- Dati relativi a fornitori, di natura comune 0 0

3 - Dati relativi ad altri soggetti (prospect), di natura comune 0 0 0 0

4- Dati relativi al personale, nonché ai candidati per diventarlo, di natura comune 0 0

5- Dati relativi al personale, nonché ai candidati per diventarlo, di natura anche sensibile e/o giudiziaria 0

6- Dati relativi a collaboratori e/o subagenti, di natura comune 0 0

7- Dati relativi a collaboratori e/o subagenti, di natura anche giudiziaria 0

8- Dati (inclusi suoni ed immagini) idonei a rilevare la posizione di persone ed oggetti 0 0

A B C D E

UNITA’ ORGANIZZATIVE






La legenda delle unità organizzative (“strutture di riferimento”) è la seguente:

A – “Agenzia”

B – “Amministrazione”

C – “Commerciale”

D – “Direzione”

E – “Subagenzia”

Da una prima lettura della mappa, si può notare che:

A – Agenzia

L’unità organizzativa “Agenzia” tratta dati relativi a clienti, ivi compresi quelli finalizzati alla

gestione di preventivi e contratti assicurativi in divenire, sia su supporti cartacei (banche dati

cartacee) sia con l’ausilio di elaboratori elettronici {banche dati elettroniche: sistema di

Compagnia + sistema di Agenzia [piattaforma gestionale “ALPHA” (archiviazione documentale) su

server (accesso protetto da password: profili di autorizzazione)]} nonché dati relativi ad altri

soggetti (potenziali clienti: banche dati elettroniche), ai fini dello svolgimento dell’attività

assicurativa. Viene altresì effettuato trattamento di dati attraverso il sistema di videosorveglianza

[visualizzazione immagini in tempo reale su 1 monitor (sede amministrativa) dedicato (disattivato

negli orari al di fuori dell’attività lavorativa)].

B – Agenzia

L’unità organizzativa “Amministrazione” tratta dati, di natura comune, relativi a clienti, fornitori,

dipendenti, collaboratori e/o subagenti, su supporti cartacei (banche dati cartacee) e senza

l’ausilio di elaboratori elettronici, in funzione delle procedure di contabilità fiscale d’agenzia e della

gestione amministrativa/contabile.

C – Agenzia

L’unità organizzativa “Commerciale” gestisce tutti quei processi che supportano la qualità del

servizio, dalle prime fasi commerciali fino all’attivazione del servizio stesso: tratta dati relativi a

clienti nonché dati relativi ad altri soggetti (potenziali clienti) sia su supporti cartacei (banche dati

cartacee) sia con l’ausilio di elaboratori elettronici (banche dati elettroniche) il cui trattamento ha

finalità commerciali volte a soddisfare le richieste di informazioni pervenute dagli stessi [on site

e/o on line (sito web)], ai fini della gestione dell’attività commerciale.

D – Agenzia

L’unità organizzativa “Direzione” tratta dati relativi a clienti, ivi compresi quelli finalizzati alla

gestione di preventivi, trattative e contratti assicurativi in divenire, sia su supporti cartacei (banche

dati cartacee) sia con l’ausilio di elaboratori elettronici {banche dati elettroniche: sistema di

Compagnia + sistema di Agenzia [piattaforma gestionale “ALPHA” (archiviazione documentale) su






server (accesso protetto da password: profili di autorizzazione)]} nonché dati relativi ad altri

soggetti (potenziali clienti: banche dati elettroniche), ai fini della gestione dell’attività assicurativa.

Tratta inoltre dati, di natura comune, relativi a clienti, fornitori, dipendenti, collaboratori e/o

subagenti, su supporti cartacei (banche dati cartacee) e senza l’ausilio di elaboratori elettronici

(banche dati elettroniche) ai fini della gestione amministrativa e dati, di natura anche sensibile ed

eventualmente giudiziaria (ivi non presenti) relativi al personale dipendente, su supporti cartacei

(banche dati cartacee) ovvero dati, di natura comune ed eventualmente giudiziaria (ivi non

presenti) relativi a collaboratori e/o subagenti, su supporti cartacei (banche dati cartacee), ai fini

della gestione dei rapporti professionali con gli stessi (risorse umane). Viene altresì effettuato

trattamento di dati attraverso il sistema di videosorveglianza {visualizzazione immagini in tempo

reale su 1 TV monitor dedicato (disattivato negli orari al di fuori dell’attività lavorativa) e/o

attraverso connessione remota da computer o dispositivo mobile (device) riservata (accesso

protetto da password) al solo responsabile del trattamento + registrazione su DVR [Digital Video

Recorder: accesso (protetto da password) riservato ai soli soggetti autorizzati]} implementato

presso la sede di Agenzia.

E – Subagenzia

L’unità organizzativa “Subagenzia” tratta dati relativi a clienti, ivi compresi quelli finalizzati alla

gestione di preventivi e contratti assicurativi in divenire, sia su supporti cartacei (banche dati

cartacee) sia con l’ausilio di elaboratori elettronici (banche dati elettroniche: sistema di

Compagnia) nonché dati relativi ad altri soggetti (potenziali clienti: banche dati elettroniche), ai fini

dello svolgimento dell’attività assicurativa.

====================

Preso atto da tempo che l’art. 45 del Decreto Legge 9 febbraio 2012 n. 5 (“Disposizioni urgenti in materia di

semplificazione e sviluppo”, altrimenti noto come “Decreto semplificazioni”) convertito in Legge 4 aprile 2012

n. 35, ha soppresso anche il punto 19.6 dell’Allegato B al Codice Privacy, che prevedeva obbligatoriamente

degli specifici interventi formativi in materia, il Titolare si riserva la facoltà di valutare l’organizzazione di

specifici interventi formativi degli incaricati del trattamento, finalizzati a renderli edotti dei seguenti

aspetti:

§ profili della disciplina sulla protezione dei dati personali, che appaiono più rilevanti per l’attività svolta

dagli incaricati, e delle conseguenti responsabilità che ne derivano

§ rischi che incombono sui dati

§ misure disponibili per prevenire eventi dannosi

§ modalità per aggiornarsi sulle misure di sicurezza, adottate dal titolare.






Qualora questi interventi fossero organizzati, a cura del responsabile per la sicurezza, gli stessi sarebbero

strutturati:

• prevedendo riunioni periodiche per fare il punto sull’evoluzione degli aspetti legati alla sicurezza nel

trattamento dei dati personali

o, in alternativa

• al verificarsi di circostanze quali l’ingresso in servizio di nuovi dipendenti, cambiamenti di mansioni o

l’introduzione di nuovi significativi strumenti, che implichino modifiche rilevanti rispetto al trattamento di

dati personali.

Gli interventi formativi, qualora organizzati, potranno avvenire sia all’interno dell’organizzazione, a cura del

responsabile per la sicurezza o di altri soggetti esperti nella materia, che all’esterno, presso soggetti

specializzati. In ogni caso, dovendo comunque continuare ad ottemperare all’obbligo, previsto dal punto d)

dell’art. 34 del Codice Privacy di “fornire istruzioni chiare e formarli laddove necessario per l’effettiva

protezione dei dati”, il Titolare ha previsto e redatto delle lettere di incarico dettagliate, la cui copia contro

firmata viene custodita in allegato al presente Documento Programmatico sulla Sicurezza.






3 Analisi dei rischi che incombono sui dati

La stima del rischio complessivo, che grava su un determinato trattamento di dati, è il risultato della

combinazione di due tipi di rischi:

§ quelli insiti nella tipologia dei dati trattati, che dipendono dalla loro appetibilità per soggetti estranei

all’organizzazione, nonché dalla loro pericolosità per la privacy dei soggetti cui essi si riferiscono

§ quelli legati alle caratteristiche degli strumenti utilizzati per procedere al trattamento dei dati.

====================

Nella seguente matrice si procede a una stima del grado di rischio, che dipende dalla tipologia dei dati trattati dal Titolare, combinando il fattore della loro appetibilità per i terzi, con quello che esprime la loro

pericolosità per la privacy del soggetto cui i dati si riferiscono:

GRADO DI INTERESSE PER I TERZI

ELEVATISSIMO 7 Dati di natura genetica

ALTO 1 Dati comuni clienti

MEDIO 3 Dati comuni altri soggetti

5 Dati sensibili

clienti 6 Dati stato di salute e/o vita sessuale

BASSO 2 Dati comuni fornitori

4 Dati sensibili

dipendenti

BASSO MEDIO ALTO ELEVATISSIMO

PERICOLOSITA’ PER LA PRIVACY DELL’INTERESSATO

Si nota che un grado di rischio alto, o addirittura elevatissimo, è collegato al trattamento dei seguenti dati,

alla tutela dei quali devono quindi essere dedicate particolari attenzioni:

§ quelli idonei a rivelare informazioni di carattere sensibile o giudiziario dei soggetti interessati, che sono

accomunati dall’aspetto critico di avere un elevato grado di pericolosità per la privacy dei soggetti

interessati

§ quelli che costituiscono una importante risorsa, commerciale e tecnologica, per il Titolare, in relazione

ai danni che conseguirebbero da una eventuale perdita, o trafugamento, dei dati.

====================

Per quanto concerne gli strumenti impiegati per il trattamento, le componenti di rischio possono essere

idealmente suddivise in:

1. rischio di area, che dipende dal luogo dove gli strumenti sono ubicati. Tale rischio è legato

sostanzialmente: § al verificarsi di eventi distruttivi (incendi, allagamenti, corti circuiti) § alla possibilità che terzi malintenzionati accedano nei locali dove si svolge il trattamento (rapine,

furti, danneggiamenti da atti vandalici)






2. rischio di guasti tecnici delle apparecchiature, che interessa in particolare gli strumenti elettronici

(risorse hardware, software e supporti) 3. rischio di penetrazione logica nelle reti di comunicazione 4. rischio legato ad atti di sabotaggio e ad errori umani, da parte del personale appartenente

all’organizzazione del Titolare, o di persone che con essa hanno stretti contatti.

====================

Nella seguente tabella si evidenziano i fattori di rischio cui sono soggetti gli strumenti con cui

l’organizzazione procede al trattamento dei dati personali. Il simbolo b, posto nella casella di intersezione,

significa che l’esposizione al rischio è bassa; il simbolo m significa che l’esposizione al rischio è media; il

simbolo a indica che l’esposizione al rischio è elevata:

FATTORI DI RISCHIO

Rischio d’area, legato al verificarsi di eventi distruttivi m m m m m m m

Rischio d’area, legato all’accesso non autorizzato nei locali b b b b b b b

Rischio di guasti tecnici di hardware, software e supporti b b b

Rischio di penetrazione logica nelle reti di comunicazione b b b

Rischio legato ad atti di sabotaggio e ad errori umani b b b b b b b

Ac Aa Ad As Bc Ba C

STRUMENTI UTILIZZATI

Legenda degli strumenti utilizzati per il trattamento:

A – Schedari ed altri supporti cartacei, nell’ambito dei quali si procede a suddividere:

§ Ac quelli custoditi esclusivamente presso la sede di Agenzia

§ Aa quelli custoditi esclusivamente presso la sede di Agenzia

§ Ad quelli custoditi esclusivamente presso la sede di Agenzia

§ As quelli, aventi valenza storica, custoditi presso la sede di Agenzia

B – Elaboratori in rete, nell’ambito dei quali si procede a suddividere:

§ Bc elaboratori elettronici (rete di Compagnia) dislocati presso la sede di Agenzia e/o presso le

sedi (meccanizzate) di subagenzia

§ Ba elaboratori elettronici (desktop) dislocati presso la sede di Agenzia e/o presso le sedi

(meccanizzate) di subagenzia


presso la sede di Agenzia






Nell’elaborare la tabella, si è tenuto conto anche di alcuni fattori legati alla struttura del Titolare, nei seguenti

termini:

Agenzia

§ il rischio d’area, legato al verificarsi di eventi distruttivi, è giudicato medio data la assenza di un

sistema antincendio (ai sensi del D.Lgs. 626/1994, del D.Lgs. 81/2008 e successive modifiche).

§ il rischio d’area, legato alla eventualità che persone non autorizzate possano accedere nei locali in cui

si svolge il trattamento, è giudicato basso data la presenza di un sistema d’allarme, con conseguente

diminuzione del rischio:

- per gli archivi e per gli elaboratori elettronici esistenti in tale area

L’accesso alla sede (taluni locali e/o uffici all’interno della sede sono chiusi a chiave) è peraltro

controllato (sistema di videosorveglianza), durante l’orario di attività lavorativa, grazie alla vigilanza da

parte del personale stesso.

§ il rischio di guasti tecnici delle apparecchiature interessa i soli strumenti elettronici: in tale contesto, il

rischio è giudicato basso date le adeguate competenze di società e/o operatori esterni di assistenza

informatica di cui ci si avvale per la gestione e la manutenzione del sistema informativo, al fine di

sovrintendere alle risorse del sistema informativo e di consentirne l’utilizzazione, ed in virtù della

presenza di un software antivirus installato sugli elaboratori elettronici, a protezione dei dati personali

dall’azione di programmi aventi per scopo o per effetto il danneggiamento di un sistema informatico e

dei dati e dei programmi in esso contenuti.

§ il rischio di penetrazione logica nelle reti di comunicazione interessa, essenzialmente, i soli strumenti

che sono tra loro collegati tramite una rete di comunicazione accessibile al pubblico: tale rischio è

giudicato basso in funzione della presenza di idonei strumenti elettronici, comunemente conosciuti

come firewall, a protezione dei dati personali dal rischio di intrusione.

§ il rischio legato ad atti di sabotaggio, o ad errori umani delle persone, presente in tutte le tipologie di

strumenti utilizzati, è maggiore per quelli che sono in rete: in tale contesto, il rischio è giudicato basso.

Tutti gli incaricati, inoltre, sono stati istruiti (sessioni periodiche di formazione) sulle misure di sicurezza

da adottare, mediante dettagliate lettere di incarico.

Subagenzie

§ il rischio d’area, legato al verificarsi di eventi distruttivi, è giudicato medio data la assenza di un

sistema antincendio (ai sensi del D.Lgs. 626/1994, del D.Lgs. 81/2008 e successive modifiche)

§ il rischio d’area, legato alla eventualità che persone non autorizzate possano accedere nei locali in cui

si svolge il trattamento, è giudicato basso nonostante la assenza di un sistema d’allarme, date

tipologia e modalità di operazioni del trattamento, con conseguente valutazione del rischio: per gli

archivi (non presenti) e per gli elaboratori elettronici esistenti in tale area.






§ il rischio di guasti tecnici delle apparecchiature interessa i soli strumenti elettronici: in tale contesto, il

rischio è giudicato basso date le adeguate competenze di società e/o operatori esterni di assistenza

informatica di cui ci si avvale per la gestione e la manutenzione del sistema informativo, al fine di

sovrintendere alle risorse del sistema informativo e di consentirne l’utilizzazione, ed in virtù della

presenza di un software antivirus installato sugli elaboratori elettronici, a protezione dei dati personali

dall’azione di programmi aventi per scopo o per effetto il danneggiamento di un sistema informatico e

dei dati e dei programmi in esso contenuti.

§ il rischio di penetrazione logica nelle reti di comunicazione interessa, essenzialmente, i soli strumenti

che sono tra loro collegati tramite una rete di comunicazione accessibile al pubblico: tale rischio è

giudicato basso in funzione della presenza di idonei strumenti elettronici, comunemente conosciuti

come firewall, a protezione dei dati personali dal rischio di intrusione.

§ il rischio legato ad atti di sabotaggio, o ad errori umani delle persone, presente in tutte le tipologie di

strumenti utilizzati, è maggiore per quelli che sono in rete: in tale contesto, il rischio è giudicato basso.

====================

Nella seguente tabella si evidenziano i possibili eventi di rischio cui è soggetta l’organizzazione, e la

valutazione della gravità dell’impatto sulla sicurezza dei dati. In questo modo è possibile formulare un primo

indicatore omogeneo per i diversi rischi da contrastare.

Evento Impatto sulla sicurezza dei dati

Descrizione - Gravità (Bassa / Media / Alta)

Comportamenti degli operatori

Furto di credenziali di autenticazione

Bassa – implementazione e configurazione di un sistema di autenticazione informatica, nel rispetto delle misure minime di sicurezza imposte dal disciplinare tecnico.

Carenza di consapevolezza, disattenzione o incuria

Bassa – il personale dispone di sufficienti conoscenze tecniche; inoltre, a tutto il personale, sono state distribuite lettere con la descrizione dettagliata della politica privacy in azienda.

Eventi relativi agli strumenti

Azione di virus informatici o di programmi malefici

Bassa – installazione di software antivirus sugli elaboratori elettronici, ad aggiornamento automatico giornaliero.

Malfunzionamento, indisponibilità o degrado degli strumenti

Bassa – per la tipologia di attività svolta, l’organizzazione si avvale dell’adeguata competenza di società esterne e/o operatori esterni, atti a garantire un aggiornamento costante della tecnologia disponibile.

Accessi esterni non autorizzati

Bassa – la protezione della rete da possibili intrusioni esterne è garantita dall’implementazione di un sistema di firewalling.






Eventi relativi al contesto

Accessi non autorizzati ai locali e reparti ad accesso ristretto

Bassa – le sedi dedicate agli uffici sono ad accesso controllato: i locali sono sorvegliati dal personale di competenza (il solo personale autorizzato possiede le chiavi per accedere ai locali delle sedi). Agenzia: all’interno di uno stabile ove l’accesso è consentito attraverso portone dotato di citofono, la Agenzia (piano primo) dispone di due sedi (Amministrativa + Commerciale) distinte e dotate di ingressi indipendenti. L’ingresso alla sede amministrativa (non aperta al pubblico) è consentito attraverso porta blindata (sempre chiusa a chiave negli orari al di fuori dell’attività lavorativa); l’ingresso alla sede commerciale (aperta al pubblico) è consentito attraverso porta vetri a scorrimento (fotocellula) automatico protetta da cancello (sempre chiuso a chiave negli orari al di fuori dell’attività lavorativa) e/o attraverso porta blindata (ingressi secondari: uso interno) sempre chiusa.

Subagenzie: sede di subagenzia situata presso lo stabilimento ENI (locale dedicato chiuso a chiave) + sedi di subagenzia di competenza dei collaboratori di Agenzia.

Sottrazione di strumenti contenenti dati

Bassa – la Agenzia è protetta da sistema d’allarme centralizzato (tipo volumetrico): l’accesso alla sede ed ai locali è peraltro controllato, durante l’orario di attività lavorativa, grazie alla vigilanza (sistema di videosorveglianza) da parte del personale stesso.

Bassa – le subagenzie non sono protette da sistema d’allarme: tipologia e modalità di operazioni del trattamento consentono di valutare come basso tale rischio d’area.

Eventi distruttivi, naturali o artificiali, dolosi, accidentali o dovuti a incuria

Media – la Agenzia non dispone di sistema antincendio (ai sensi del D.Lgs. 626/1994, del D.Lgs. 81/2008 e successive modifiche).

Media – le subagenzie non dispongono di sistema antincendio (ai sensi del D.Lgs. 626/1994, del D.Lgs. 81/2008 e successive modifiche).






4 Misure atte a garantire l’integrità e la disponibilità dei dati

Nel presente paragrafo vengono descritte le misure atte a garantire:

§ la protezione delle aree e dei locali, nei quali si svolge il trattamento dei dati personali.

§ la corretta archiviazione e custodia di atti, documenti e supporti contenenti dati personali.

§ la sicurezza logica, nell’ambito dell’utilizzo degli strumenti elettronici.

Si procede alla descrizione delle misure che risultano già adottate dal Titolare, nel momento in cui viene

redatto il presente documento ovvero delle ulteriori misure, finalizzate ad incrementare la sicurezza nel

trattamento dei dati, la cui adozione è stata programmata, anche per adeguarsi alle novità introdotte dal Dlgs

196/2003, e dal disciplinare tecnico in materia di misure minime di sicurezza, allegato a tale decreto sub b).

4.1 La protezione di aree e locali

Per quanto concerne il rischio d’area, legato ad eventi di carattere distruttivo, gli edifici ed i locali della

Agenzia nei quali si svolge il trattamento, non sono protetti da:

§ dispositivi antincendio (ai sensi del Dlgs 626/94, del Dlgs 81/2008 e successive modifiche, NdR)

Per quanto concerne il rischio d’area, legato ad eventi di carattere distruttivo, gli edifici ed i locali delle

subagenzie nei quali si svolge il trattamento, non sono protetti da:

§ dispositivi antincendio (ai sensi del Dlgs 626/94, del Dlgs 81/2008 e successive modifiche, NdR)

Per quanto riguarda le misure atte ad impedire gli accessi non autorizzati, gli edifici ed i locali della Agenzia

nei quali si svolge il trattamento, sono protetti da:

§ portone (accesso stabile) dotato di citofono

§ porta blindata (sede amministrativa) sempre chiusa a chiave negli orari al di fuori dell’attività lavorativa

§ porta vetri (sede commerciale: ingresso principale) a scorrimento (fotocellula) automatico protetta da

cancello (sempre chiuso a chiave negli orari al di fuori dell’attività lavorativa)

§ porta blindata (sede commerciale: ingressi secondari) sempre chiusa

§ sistema di allarme centralizzato (tipo volumetrico: sede amministrativa + sede commerciale)

§ sistema di videosorveglianza (sede amministrativa + sede commerciale)

§ locali dotati di porte con serratura (vigilanza stessa del personale)

Per quanto riguarda le misure atte ad impedire gli accessi non autorizzati, gli edifici ed i locali delle

subagenzie nei quali si svolge il trattamento, sono protetti da:

§ porta (sempre chiusa a chiave negli orari al di fuori dell’attività lavorativa)

§ locali dedicati dotati di porte con serratura (vigilanza stessa del personale)

====================






I sistemi ed i dispositivi di cui è dotata l’organizzazione, nessuno dei quali è esplicitamente imposto dalla

normativa sulle misure minime di sicurezza, appaiono sufficienti al fine di garantire le opportune misure di

sicurezza al trattamento di dati personali da essa svolti: sono, quindi, previsti semplicemente interventi di

manutenzione.

4.2 La custodia e l’archiviazione di atti, documenti e supporti

Per quanto concerne il reperimento, la custodia e l’archiviazione di atti, documenti e supporti diversi (ad

esempio, CD, dischetti, fotografie, pellicole….), si è provveduto ad istruire gli incaricati, affinché adottino

precise procedure atte a salvaguardare la riservatezza dei dati contenuti.

====================

Agli incaricati vengono date disposizioni, per iscritto, di accedere ai soli dati personali, la cui conoscenza sia

strettamente necessaria per adempiere ai compiti loro assegnati: in caso di dubbi, è stato loro prescritto di

rivolgersi ad un superiore, o ad un responsabile del trattamento, o direttamente al titolare. Di conseguenza,

agli incaricati è prescritto di prelevare dagli archivi i soli atti e documenti che vengono loro affidati per lo

svolgimento delle mansioni lavorative, che devono controllare e custodire, durante l’intero ciclo necessario

per lo svolgimento delle operazioni di trattamento, per poi restituirli all’archivio, al termine di tale ciclo: gli

incaricati devono custodire in modo appropriato gli atti, i documenti ed i supporti contenenti dati personali,

loro affidati per lo svolgimento delle mansioni lavorative.

Cautele particolari sono previste per gli atti, documenti e supporti contenenti dati sensibili e/o giudiziari: agli

incaricati viene in questi casi prescritto di provvedere al controllo ed alla custodia in modo tale, che ai dati

non possano accedere persone prive di autorizzazione. A tale fine, gli incaricati sono stati dotati di:

§ locali all’uopo adibiti, chiudibili a chiave

§ schedari, armadi e/o armadietti chiusi a chiave

§ cassetti con serratura

nei quali devono riporre i documenti prima di assentarsi dal posto di lavoro, anche temporaneamente. In tali

dispositivi i documenti possono essere riposti anche al termine della giornata di lavoro, qualora l’incaricato

debba continuare ad utilizzarli, nei giorni successivi. Al termine del trattamento, l’incaricato dovrà invece

restituire all’archivio gli atti, i documenti ed i supporti, non più necessari per lo svolgimento delle proprie

mansioni lavorative. Gli atti e i documenti contenenti dati personali affidati agli incaricati del trattamento per

lo svolgimento dei relativi compiti, devono essere controllati e custoditi da questi ultimi fino alla restituzione,

in modo che ad essi non accedano persone prive di autorizzazione, e devono essere restituiti al termine

delle operazioni affidate: al termine del trattamento, l’incaricato dovrà quindi restituire all’archivio gli atti, i

documenti ed i supporti, non più necessari per lo svolgimento delle proprie mansioni lavorative. L’accesso

agli archivi contenenti dati personali, in particolar modo se sensibili o giudiziari, deve essere controllato.






Per quanto concerne l’archiviazione, il Titolare ha adibito apposite aree, nelle quali conservare

ordinatamente documenti, atti e supporti contenenti dati personali, in modo distinto per le diverse funzioni

organizzative; particolari cautele sono previste per l’archiviazione di documenti, atti e supporti contenenti dati

sensibili: essa deve avvenire in luoghi ovvero uffici e/o locali, armadi, schedari o dispositivi equipollenti, che

possono essere chiusi. Gli archivi contenenti dati sensibili devono essere controllati, mediante l’adozione dei

seguenti accorgimenti:

§ tutti gli archivi fisici contenenti in generale dati sensibili, nonché locali e/o uffici ove gli archivi fisici

sono collocati, devono essere rigorosamente sempre chiusi a chiave (fuori attività lavorativa) ad

accesso controllato ed accessibili al solo personale autorizzato.

§ al personale avente la scrivania prospiciente, viene dato l’incarico di vigilare i locali, nonché gli archivi

all’interno, dettando precise istruzioni in merito al fatto che una persona deve essere sempre

presente, durante l’orario di apertura dei locali ove sono collocati gli archivi, per controllarne l’accesso.

§ le persone possono essere autorizzate preventivamente ad accedere agli archivi fisici ovvero ai locali

e/o agli uffici, previa richiesta della chiave all’incaricato che ha il compito di custodirla.

Si procede inoltre ad identificare e registrare le persone che accedono agli archivi fisici ovvero ai locali e/o

agli uffici, contenenti dati sensibili o giudiziari, dopo l’orario di chiusura, mediante l’adozione dei seguenti

accorgimenti: le chiavi di locali e/o uffici ove risiedono gli archivi contenenti dati sensibili e/o giudiziari, sono

affidate, dopo l’orario di chiusura, al titolare o ai responsabili del trattamento, o in alternativa ad uno o più

soggetti incaricati (personale incaricato, ove occorra, alla custodia delle chiavi), i quali provvederanno ad

annotare in un apposito registro i nominativi di coloro che hanno richiesto di accedere all’archivio.

====================

Gli impianti e le attrezzature, di cui è dotato il Titolare per la custodia e l’archiviazione di atti, documenti e

supporti, con particolare riferimento a quelli contenenti dati sensibili o giudiziari, appaiono soddisfacenti al

fine di garantire la necessaria sicurezza ai dati personali contenuti in tali atti, documenti e supporti: sono,

quindi, previsti semplicemente interventi di manutenzione e di rimpiazzo.

4.3 Le misure logiche di sicurezza

Per i trattamenti effettuati con strumenti elettronici (elaboratori, programmi per elaboratori e qualunque

dispositivo elettronico o comunque automatizzato), si adottano le seguenti misure:

§ realizzazione e gestione di un sistema di autenticazione informatica, che ha il fine di accertare

l’identità delle persone, affinché ad ogni strumento elettronico possa accedere solo chi è autorizzato.

§ realizzazione e gestione di un sistema di autorizzazione, che ha il fine di circoscrivere le tipologie di

dati ai quali gli incaricati possono accedere, ed i trattamenti che possono effettuare, a quelli

strettamente necessari per lo svolgimento delle proprie mansioni lavorative.

§ realizzazione e gestione di un sistema di protezione, di strumenti e dati, da malfunzionamenti, attacchi

informatici e programmi che contengono codici maliziosi (virus).






§ prescrizione delle opportune cautele per la custodia e l’utilizzo dei supporti rimovibili (floppy disk,

dischi ZIP, CD….), nei quali siano contenuti dati personali.

====================

Il sistema di autenticazione informatica viene adottato per disciplinare gli accessi a tutti gli strumenti

elettronici, presenti nell’organizzazione del Titolare, e permette di verificare l’identità della persona, e quindi

di accertare che la stessa è in possesso delle credenziali di autenticazione per accedere ad un

determinato strumento elettronico. Per realizzare le credenziali di autenticazione si associa un codice per

l’identificazione dell’incaricato (username), attribuito da chi amministra il sistema, ad una parola chiave

riservata (password), conosciuta solamente dall’incaricato, che provvederà ad elaborarla, mantenerla

riservata e modificarla periodicamente.

Per l’attribuzione e la gestione delle credenziali per l’autenticazione si utilizzano i seguenti criteri:

§ ad ogni incaricato esse vengono assegnate o associate individualmente, per cui non è ammesso che

due o più incaricati possano accedere agli strumenti elettronici utilizzando la medesima credenziale.

§ nei casi in cui una componente della credenziale di autenticazione è costituita dal codice per

l’identificazione (username), attribuito all’incaricato da chi amministra il sistema, tale codice deve

essere univoco: esso non può essere assegnato ad altri incaricati, neppure in tempi diversi.

§ è invece ammesso, qualora sia necessario o comunque opportuno, che ad una persona venga

assegnata più di una credenziale di autenticazione.

Al verificarsi dei seguenti casi, è prevista la disattivazione delle credenziali di autenticazione:

• immediatamente, nel caso in cui l’incaricato perda la qualità, che gli consentiva di accedere allo

strumento

• in ogni caso, entro sei mesi di mancato utilizzo, con l’unica eccezione delle credenziali che sono state

preventivamente autorizzate per soli scopi di gestione tecnica, il cui utilizzo è quindi sporadico.

Agli incaricati vengono impartite precise istruzioni in merito ai seguenti punti:

• obbligo di non lasciare incustodito e accessibile lo strumento elettronico, durante una sessione di

trattamento, neppure in ipotesi di breve assenza

• dovere di elaborare in modo appropriato la password, e di conservare la segretezza sulla stessa,

nonché sulle altre componenti riservate della credenziale di autenticazione (username), attribuite

dall’amministratore di sistema. Agli incaricati è imposto l’obbligo di provvedere a modificare la

password, con la seguente tempistica:

- immediatamente, non appena viene consegnata loro da chi amministra il sistema

- successivamente, almeno ogni sei mesi. Tale termine scende a tre mesi, se la password dà

accesso ad aree in cui sono contenuti dati sensibili o giudiziari.

Le password sono composte da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non

permetta una tale lunghezza, da un numero di caratteri pari al massimo consentito dallo strumento stesso.

Agli incaricati è prescritto di utilizzare alcuni accorgimenti, nell’elaborazione delle password:






- esse non devono contenere riferimenti agevolmente riconducibili all’interessato (non solo nomi,

cognomi, soprannomi, ma neppure date di nascita proprie, dei figli o degli amici), né consistere

in nomi noti, anche di fantasia (pippo, pluto, paperino, pippobaudo….)

- buona norma è che, dei caratteri che costituiscono la password, da un quarto alla metà siano di

natura numerica.

La password non deve essere comunicata a nessuno (non solo a soggetti esterni, ma neppure a persone

appartenenti all’organizzazione, siano esse colleghi, responsabili del trattamento, amministratore del sistema

o titolare). Nei casi di prolungata assenza o impedimento dell’incaricato, che renda indispensabile e

indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema, potrebbe però

rendersi necessario disporre della password dell’incaricato, per accedere agli strumenti ed ai dati. A tale fine,

agli incaricati sono state fornite istruzioni scritte, affinché essi:

- conservino assoluta segretezza sulla parola chiave individuale (password), adottando gli

opportuni accorgimenti per la sua custodia.

La gestione del sistema di autenticazione informatica implementato dal Titolare (procedura avanzata)

prevede che le password di ingresso alla rete e di accesso ai programmi, siano scelte ed elaborate

personalmente dai singoli utenti: le password utenti non sono detenute dal Responsabile del Trattamento,

pertanto in caso di smarrimento verranno azzerate e l’utente potrà procedere con l’immissione di una nuova

password. Se, per un qualsiasi motivo, il Responsabile del Trattamento dovesse accedere con il profilo di un

utente, lo farebbe con una password speciale. Tale operazione determinerà l’annullamento della password

precedente e la necessità di reinserimento da parte dell’utente stesso: quest’ultimo ha, dunque, il controllo

sulle operazioni effettuate sul proprio profilo, al fine di garantire la segretezza e la riservatezza delle

password stesse, e la possibilità di richiedere al Responsabile chiarimenti sugli interventi effettuati.

====================

Per quanto concerne le tipologie di dati ai quali gli incaricati possono accedere, ed i trattamenti che

possono effettuare, si osserva che:

§ si è impostato un sistema di autorizzazione, al fine di circoscrivere le tipologie di dati ai quali gli

incaricati possono accedere ovvero per consentire l’accesso ai dati da condividere in rete, pertanto gli

utenti che vi devono accedere vengono attribuiti a gruppi, ereditando i diritti di accesso del gruppo.

I trattamenti che gli stessi possono effettuare, sono esclusivamente quelli strettamente necessari per

lo svolgimento delle proprie mansioni lavorative: le autorizzazioni all’accesso vengono rilasciate e

revocate dal titolare o dal responsabile, ovvero da soggetti da questi appositamente incaricati.

L’obiettivo di fondo, in ogni caso, è di limitare preventivamente l’accesso, di ciascun incaricato o di ciascuna

classe omogenea di incaricati, ai soli dati necessari per effettuare le operazioni di trattamento, che sono

indispensabili per svolgere le mansioni lavorative. Periodicamente, e comunque almeno annualmente, viene

verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione: ciò per quanto

riguarda l’ambito di trattamento consentito sia ai singoli incaricati, che agli addetti alla manutenzione e

gestione degli strumenti elettronici.






====================

Per quanto riguarda la protezione, di strumenti e dati, da malfunzionamenti, attacchi informatici e

programmi che contengono codici maliziosi (virus), vengono adottate le misure sotto descritte.

Il primo aspetto riguarda la protezione dei dati personali dal rischio di intrusione e dall’azione di programmi

di cui all’articolo 615-quinquies del codice penale, aventi per scopo o per effetto il danneggiamento di un

sistema informatico o telematico, dei dati o dei programmi in esso contenuti o ad esso pertinenti, ovvero

l’interruzione, totale o parziale, o l’alterazione del suo funzionamento (comunemente conosciuti come virus).

A tale fine, si è dotati di idonei strumenti elettronici e programmi, che il Dlgs 196/2003 imporrebbe di

aggiornare con cadenza almeno semestrale, ma che, in relazione al continuo evolversi dei virus, si è ritenuto

opportuno di sottoporre ad aggiornamento, di regola:

§ giornaliero automatico nel caso degli strumenti elettronici in rete pubblica.

Tutti gli incaricati sono stati istruiti, in merito all’utilizzo dei programmi antivirus e, più in generale, sulle norme

di comportamento da tenere, per minimizzare il rischio di essere contagiati.

Per una descrizione completa ed esaustiva della struttura informatica del Titolare, si rimanda alla Relazione

Tecnica Infrastruttura Informatica (allegato 1)

Il secondo aspetto riguarda la protezione degli elaboratori in rete dall’accesso abusivo, di cui all’articolo

615-ter del codice penale, ai sensi del quale compie tale reato chi si introduce abusivamente in un sistema

informatico o telematico, protetto da misure di sicurezza, ovvero vi si mantiene contro la volontà espressa o

tacita di chi ha il diritto di escluderlo. La protezione da tali accessi avviene mediante l’impiego di idonei

strumenti elettronici, comunemente conosciuti come firewall, che il nuovo codice privacy ha reso obbligatoria

per i casi in cui si trattino dati sensibili o giudiziari. A tale riguardo, la nostra organizzazione, provvista di una

rete LAN operante in virtual private network (VPN) e dotata di collegamento alla rete pubblica (internet), si è

dotata di un sistema hardware di firewalling che preserva la trasmissione dei dati, per la protezione degli

elaboratori elettronici dal rischio di intrusione abusivo.



Il terzo aspetto riguarda l’utilizzo di appositi programmi, la cui funzione è di prevenire la vulnerabilità degli

strumenti elettronici, tramite la verifica di eventuali inconsistenze e inesattezze nella configurazione dei

sistemi operativi e dei servizi di rete, e di correggere di conseguenza i difetti insiti negli strumenti stessi. La

norma prevede che, in tutti i casi, ci si debba dotare di tali programmi, la cui funzione è di:

§ prevenire la vulnerabilità degli strumenti elettronici, non solo e non necessariamente per effetto di

attacchi esterni

§ correggere i difetti insiti negli strumenti stessi.

A tale riguardo, la nostra organizzazione si è da tempo dotata di tali programmi, per la protezione da

malfunzionamenti degli strumenti elettronici, che provvede ad aggiornare con cadenza almeno annuale, che

diviene semestrale per gli strumenti con i quali si trattano dati sensibili.








====================

Per quanto concerne i supporti rimovibili (es. floppy disk, dischi ZIP, chiavette USB, CD….), contenenti

dati personali, la norma impone particolari cautele solo nell’ipotesi in cui essi contengano dati sensibili o

giudiziari. La nostra organizzazione ha ritenuto di estendere tali precetti ai supporti contenenti dati personali

di qualsiasi natura, anche comune, prescrivendo agli incaricati del trattamento quanto segue:

• i supporti devono essere custoditi ed utilizzati in modo tale, da impedire accessi non autorizzati (furti

inclusi) e trattamenti non consentiti: in particolare, essi devono essere conservati in cassetti chiusi a

chiave, durante il loro utilizzo, e successivamente formattati, quando è cessato lo scopo per cui i dati

sono stati memorizzati su di essi.

• una volta cessate le ragioni per la conservazione dei dati, si devono in ogni caso porre in essere gli

opportuni accorgimenti, finalizzati a rendere inintelligibili e non ricostruibili tecnicamente i dati

contenuti nei supporti. Tali dati devono quindi essere cancellati, se possibile, e si deve arrivare

addirittura a distruggere il supporto, se necessario per i fini in esame.



===================

Le misure logiche di sicurezza di cui è dotato il Titolare, per la protezione dei trattamenti che avvengono con

strumenti elettronici, appaiono nel loro complesso soddisfacenti, in conformità a quanto prescritto dal D.Lgs

196/2003, al fine di garantire la necessaria sicurezza ai dati personali trattati: sono, quindi, previsti

semplicemente interventi finalizzati all’aggiornamento, alla manutenzione ed a qualche rimpiazzo, al fine di

migliorare ulteriormente l’efficacia di tali misure.






5 Criteri e modalità di ripristino dei dati

Per fronteggiare le ipotesi in cui i dati siano colpiti da eventi che possano danneggiarli, o addirittura

distruggerli, vengono previsti criteri e modalità tali, da garantire il loro ripristino in termini ragionevoli, e

comunque entro una settimana per i dati sensibili e giudiziari.

I documenti cartacei e gli eventuali supporti diversi da quelli elettronici, contenenti dati personali, vengono,

eventualmente, fotocopiati o scannerizzati: i supporti contenenti le copie vengono archiviati in armadi,

cassetti e schedari, dotati di serratura e chiudibili a chiave, all’interno della sede dedicata agli uffici. I

documenti cartacei e gli eventuali supporti diversi da quelli elettronici, contenenti dati personali, vengono,

eventualmente, fotocopiati o scannerizzati: i supporti contenenti le copie vengono archiviati in armadi,

cassetti e schedari, dotati di serratura e chiudibili a chiave, all’interno della sede dedicata agli uffici. In tutti i

casi, una volta cessate le ragioni per la conservazione dei dati, sono stati posti in essere opportuni

accorgimenti finalizzati a rendere inintelligibili e non ricostruibili tecnicamente i dati contenuti nei supporti.

====================

Per i dati trattati con strumenti elettronici, allo stato attuale, sono previste procedure di backup, attraverso le

quali effettuare periodicamente copia di tutti i dati presenti nel sistema; la normativa in atto prevede l’utilizzo

di opportuni supporti rimovibili (CD, dischi ZIP, chiavette USB, DVD, nastri magnetici), dispositivi che:

§ garantiscano il ripristino dei dati stessi in termini ragionevoli, e comunque entro una settimana per i

dati sensibili e giudiziari.

§ siano custoditi in luoghi protetti della sede (es. cassetta ignifuga, cassaforte) oppure in luoghi diversi

dalla sede (es. abitazione della persona all’uopo designata).

Ogni giorno i dati, contenenti informazioni di tipo personale e/o sensibile, vengono trasmessi in via

telematica alla Compagnia attraverso una procedura di cui è responsabile la Compagnia stessa: allo stato

attuale sono peraltro previste procedure di backup attraverso le quali effettuare periodicamente procedure di

salvataggio centralizzato per i dati memorizzati sugli elaboratori elettronici della rete d’Agenzia.

Agenzia

Il salvataggio centralizzato dei dati trattati viene effettuato, lato server di Agenzia, con le seguenti modalità:

§ la frequenza è giornaliera (automatica)

§ disco NAS esterno

Le copie (supporti di back up) vengono custodite:

§ in luoghi protetti presso la sede di Agenzia.








6 L’affidamento di dati personali all’esterno

Nei casi in cui i trattamenti di dati personali vengano affidati, in conformità a quanto previsto dal Dlgs

196/2003, all’esterno della struttura del Titolare, si adottano i seguenti criteri, atti a garantire che il soggetto

destinatario adotti misure di sicurezza conformi a quelle minime, previste dagli articoli da 33 a 35 Dlgs

196/2003 e dal disciplinare tecnico, allegato sub b) al codice.

Per la generalità dei casi, in cui il trattamento di dati personali, di qualsiasi natura, venga affidato

all’esterno della struttura del titolare, sono impartite istruzioni per iscritto al terzo destinatario, di rispettare

quanto prescritto per il trattamento dei dati personali:

§ dal Dlgs 196/2003, se il terzo destinatario è italiano

§ dalla direttiva 95/46/CE , se il terzo destinatario non è italiano.

In ogni caso, il soggetto cui le attività sono affidate dichiara:

1. di essere consapevole che i dati che tratterà, nell’espletamento dell’incarico ricevuto, sono dati

personali e, come tali, soggetti all’applicazione della normativa per la protezione dei dati personali

2. di ottemperare agli obblighi previsti dalla normativa per la protezione dei dati personali

3. di attenersi alle istruzioni specifiche, eventualmente ricevute per il trattamento dei dati personali,

conformando ad esse anche le procedure eventualmente già in essere

4. di impegnarsi a relazionare annualmente sulle misure di sicurezza adottate, e di avvertire

immediatamente il proprio committente in caso di situazioni anomale o di emergenze

5. di riconoscere il diritto del committente a verificare periodicamente l’applicazione delle norme di

sicurezza adottate.

Il Testo Unico in materia di protezione dei dati personali (D.Lgs. 30 giugno 2003 n. 196) detta al Titolo VII

della Parte Prima (articoli 42 - 45) la disciplina relativa al trasferimento dei dati all'estero.

Con questa disciplina è ora possibile che i dati, di qualsiasi natura, possano essere trasferiti in modo

assolutamente libero all'interno dei paesi dell'Unione Europea. Non c'è quindi di fatto alcuna differenza fra la

circolazione dei dati all'interno del territorio italiano e quella degli stessi all'interno dell'Unione Europea: le

disposizioni del presente codice non possono essere applicate in modo tale da restringere o vietare la libera

circolazione dei dati personali fra gli Stati membri dell'Unione Europea. L'art. 42, nell'introdurre il principio di

questa libera circolazione, fa poi salva la possibilità che il Garante adotti "eventuali provvedimenti in caso di

trasferimenti di dati effettuati al fine di eludere" le disposizioni del Codice (o Testo Unico). Con questa

previsione si anticipa con tutta probabilità l'adozione di provvedimenti restrittivi in concomitanza con

l'allargamento dell'Unione Europea, sul presupposto che alcuni fra i Paesi nuovi entranti non sono in grado di

tutelare adeguatamente gli interessati per carenza di una legislazione in materia di privacy simile (in termini

di livelli di garanzie) a quella nazionale.






Qualora il trasferimento dovesse avvenire verso soggetti residenti in Paesi extra-Ue, che non sono

considerati sicuri per il trattamento di dati personali, si stipulano con il destinatario clausole contrattuali

conformi, per quanto concerne le misure di sicurezza, a quanto previsto dalla decisione 2010/87/UE:

eccezione può essere fatta nei casi, previsti dall’articolo 43 Dlgs 196/2003, in cui il trasferimento può

avvenire senza che vengano stipulate tali clausole. Nei casi in cui il trattamento affidato all’esterno abbia per

oggetto dati sensibili o giudiziari, si procede alla stipula di clausole contrattuali, con il destinatario, che

disciplinano gli aspetti legati alla gestione dei dati personali: se il destinatario è residente in Paesi extra-Ue,

che non sono considerati sicuri per il trattamento di dati personali, tali clausole sono conformi, per quanto

concerne le misure di sicurezza, a quanto previsto dalla decisione 2010/87/UE. Nell’ipotesi in cui il

trattamento, di dati sensibili o giudiziari, avvenga con strumenti elettronici, si esige inoltre che il destinatario

italiano rilasci la dichiarazione di avere redatto il documento programmatico sulla sicurezza, nel quale abbia

attestato di avere adottato le misure minime previste dal disciplinare tecnico o, in alternativa, che consegni

una copia del documento programmatico sulla sicurezza redatto, ovvero consegni una copia del certificato di

conformità rilasciato da chi ha curato la progettazione e l’attuazione delle misure minime di sicurezza, nel

caso in cui il destinatario abbia affidato a soggetti esterni tali compiti. Nei casi in cui ciò si renda opportuno,

per ragioni operative legate anche alla tutela dei dati personali, il destinatario esterno viene nominato dal

Titolare come responsabile del trattamento dei dati, mediante apposita lettera scritta.

Allo stato attuale, risultano regolamentati i rapporti con i seguenti soggetti esterni, attraverso opportune

lettere formali:

§ Studio Commercialista.

§ Studio di Consulenza del Lavoro.

§ Società di Assistenza informatica.

§ Consulenti professionali.






7 Controllo generale sullo stato della sicurezza

Al responsabile per la sicurezza è affidato il compito di aggiornare le misure di sicurezza, al fine di adottare

gli strumenti e le conoscenze, resi disponibili dal progresso tecnico, che consentano di ridurre al minimo i

rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non

consentito.

====================

Al fine di verificare l’efficacia delle misure di sicurezza adottate, il responsabile per la sicurezza e le persone

da questo incaricate, provvedono ad effettuare una o più delle seguenti attività:

§ verificare l’accesso fisico ai locali dove si svolge il trattamento

§ verificare la correttezza delle procedure d’archiviazione e custodia di atti, documenti e supporti

contenenti dati personali

§ monitorare l’efficacia ed il corretto utilizzo delle misure di sicurezza adottate per gli strumenti elettronici

§ verificare l’integrità dei dati e delle loro copie di backup

§ verificare il livello di formazione degli incaricati.

====================

Almeno ogni sei mesi, si procede ad una sistematica verifica del corretto utilizzo delle parole chiave e dei

profili d’autorizzazione che consentono l’accesso agli strumenti elettronici da parte degli incaricati, anche al

fine di disabilitare quelli che non sono stati mai utilizzati in sei mesi.






8 Dichiarazioni d’impegno e firma

Il presente documento, redatto nel LUGLIO 2016, viene firmato in calce da:

§ ………………………………………………………..., in qualità di rappresentante legale del Titolare.

§ ALBA GIANLUCA, in qualità di responsabile per la sicurezza dei dati.

L’originale del presente documento viene custodito presso la sede del Titolare. Una copia potrà essere

consegnata, a seguito di specifica richiesta, a:

• ciascun responsabile interno del trattamento dei dati personali

• responsabili esterni del trattamento dei dati personali

• chiunque ne faccia richiesta, in relazione all’instaurarsi di un rapporto che implichi un trattamento

congiunto di dati personali (ad esempio, nel caso in cui dovessimo essere nominati responsabili per

determinati trattamenti di dati personali).

Luogo e data ………………………………….

Firma del rappresentante legale del Titolare ……………………………………………….

Firma del responsabile per la sicurezza dei dati …………………………………………………….

1 dps · title: microsoft word - 1_dps.doc created date: 6/6/2018 11:15:51 am

Documents