%%
%% Copyright (C) 2004 Truelite Srl & Simone Piccardi.
%%    Permission is granted to copy, distribute and/or modify this document
%%    under the terms of the GNU Free Documentation License, Version 1.1
%%    or any later version published by the Free Software Foundation;
%%    with no  Invariant Sections,  with no Front-Cover Texts, and with
%%    no Back-Cover Texts.
%%    A copy of the license is included in the file fdl.txt.
%%
%\PassOptionsToPackage{coloremph,colormath,colorhighlight,lightbackground}{texpower}

%\documentclass[landscape,smallheadings,display]{powersem}
\documentclass[landscape]{foils}

%\usepackage[display,coloremph,colormath,colorhighlight,lightbackground]{texpower}
\usepackage{fixseminar}
\usepackage[display]{texpower}
\usepackage{url}

\usepackage[T1]{fontenc}
\usepackage[latin1]{inputenc}
%\usepackage[screen,nopanel]{pdfscreen}
\usepackage[bookmarksopen,colorlinks,urlcolor=red,pdfpagemode=FullScreen]{hyperref}


\usepackage{eso-pic}
\usepackage{graphicx}
\usepackage{soul}

\def\tild{\char'176}

%\slidesmag{5}
%\slideframe{none}
\setcounter{tocdepth}{2}

%
% Setting images
%
\newcommand\BackgroundPicture{%
  \put(0,0){%
    \parbox[b][\paperheight]{\paperwidth}{%
%      \vspace{3cm}
      \centering
      \vfill
      \includegraphics[width=12cm,keepaspectratio]{../images/sfoglino}%
      \vfill
    }
  }
}
\AddToShipoutPicture{\BackgroundPicture}

\begin{document}

\MyLogo{Truelite Srl \hfill www.truelite.it  }

\title{
  \vspace{-3.5cm} 
  \begin{figure}[h]
    \centering
    \includegraphics[height=2cm]{../images/logo}%  
  \end{figure}
  \vspace{3cm} Il testo unico sulla privacy }
\author{Simone Piccardi: \\
  \url{piccardi@truelite.it}}


\maketitle

\foilhead{Una visione d'insieme}
\MyLogo{\includegraphics[height=.5cm]{../images/logo}}
\rightfooter{http://www.truelite.it}

\noindent La nuova normativa è stata introdotta dal decreto legislativo
196/2003:
\begin{itemize}
\item In vigore dal 1 gennaio 2004, applicazione rimandata più volte.

\item riunisce in un Testo Unico la legislazione sulla privacy
  (precedentemente dispersa in altre normative)

\item indica dei requisiti minimi di sicurezza, semplificando e rendendo più
  stringenti le richieste.

\item Impone vincoli e controlli con precise sanzioni (sia civili che penali)
  
\end{itemize}


\foilhead{Un po' di nomenclatura}

\noindent Il Testo Unico introduce alcune definizioni:

\begin{itemize}
\item \textsl{Dato personale}: qualsiasi dato (telefono, indirizzo, ecc.)
  associabile ad una persona (fisica o giuridica)
  
\item \textsl{Dato sensibile}: un dato personale che indichi stato di salute,
  abitudini sessuali, preferenze politiche, sindacali, filosofiche, religiose

\item \textsl{Dato Giudiziario}: un dato personale che indichi stati
  giudiziari: è equiparato a un dato sensibile

\item \textsl{Trattamento}: qualsiasi modalità di utilizzo dei precedenti dati
  (consultazione, raccolta, trasmissione, ecc.)
\end{itemize}



\foilhead{Un po' di nomenclatura}

\noindent Il Testo Unico introduce alcune figure:

\begin{itemize}
\item \textsl{Interessato}: la persona a cui si riferiscono i dati (personali o
  sensibili)
  
\item \textsl{Titolare}: la persona (fisica o giuridica) cui competono le
  decisioni in ordine alle finalità e alle modalità del trattamento 
 
\item \textsl{Responsabili}: le persone (fisiche o giuridiche) preposte dal
  titolare a gestire il trattamento

\item \textsl{Incaricati}: le persone fisiche che eseguono il trattamento
  (secondo le indicazioni di titolare e responsabili)

\end{itemize}


\foilhead{I diritti}

\noindent Il Testo Unico sancisce una serie di diritti in capo all'interessato
che:

\begin{itemize}
\item deve essere informato sui suoi diritti e dare consenso al trattamento

\item può effettuare una richiesta orale su alcuni argomenti al quale è
  obbligatorio dare risposta

\item su altri argomenti è necessaria una richiesta scritta, alla quale
  bisogna comunque dare compimento
  
\end{itemize}


\foilhead{I diritti: consenso ed informativa}

\noindent Per la trattazione dei dati sono necessari informativa e consenso da
parte dell'interessato:

\begin{itemize}
\item prima del trattamento dei dati deve essere stata data una informativa
  (anche orale)
  
\item l'informativa deve spiegare i diritti dell'interessato e le finalità del
  trattamento
        
\item i dati possono essere trattati solo con il consenso dell'interessato

\end{itemize}

\foilhead{I diritti: il consenso}

\noindent Per il consenso sono previste alcune modalità operative:

\begin{itemize}
\item non è richiesto consenso esplicito se questo deriva da un obbligo
  contrattuale (ma è comunque necessaria l'informativa)
  
\item non è necessariamente scritto (ma se orale deve esserci una procedura
  documentata che lo dimostri)
        
\item se i dati sono sensibili il consenso \textit{deve} essere scritto
\end{itemize}


\foilhead{I diritti}
\noindent In forma \textsl{orale} possono essere richiesti dall'interessato:

\begin{itemize}
\item la conferma o la smentita dell'esistenza di dati che lo riguardano
          
\item il contenuto dei dati che lo riguardano, da fornire in una forma ad egli
  comprensibile
  
\item una serie di informazioni relative agli stessi e a come sono trattati

\end{itemize}



\foilhead{I diritti}

\noindent Le informazioni relative alla gestione dai dati personali che
possono essere richieste oralmente sono:

\begin{itemize}
\item l'origine dei dati personali

\item le finalità e le modalità del trattamento
 
\item l'identità del titolare e dei responsabili del trattamento

\item i soggetti a cui i dati possono essere comunicati

\item la logica del trattamento se eseguito con strumenti elettronici

\end{itemize}



\foilhead{I diritti}

\noindent A seguito di una richiesta scritta l'interessato ha il diritto di:

\begin{itemize}
\item ottenere aggiornamenti, rettifiche o integrazioni dei dati

\item esigere la cancellazione, il blocco del trattamento o il trattamento in
  forma anonima dei dati
 
\item ottenere il riconoscimento che le precedenti operazioni siano inoltrate
  ad altri soggetti cui siano stati comunicati i dati

\end{itemize}


\foilhead{I diritti}

\noindent L'interessato ha sempre il diritto di opporsi, in tutto o in parte:

\begin{itemize}

\item per motivi legittimi al trattamento dei dati personali che lo
  riguardano, ancorché pertinenti allo scopo della raccolta

\item al trattamento di dati personali che lo riguardano a fini di invio di
  materiale pubblicitario o di vendita diretta o per il compimento di ricerche
  di mercato o di comunicazione commerciale


\end{itemize}


\foilhead{I diritti}

\noindent Il Testo Unico pone inoltre delle regole generali sul trattamento, i
dati devono essere:

\begin{itemize}

\item trattati in modo lecito e secondo correttezza

\item raccolti e registrati per scopi determinati, espliciti e
  legittimi, ed utilizzati in termini compatibili con tali scopi

\item aggiornati, pertinenti, completi e non eccedenti rispetto alle finalità
  per le quali sono raccolti o successivamente trattati;

\item conservati per un periodo di tempo non superiore a quello necessario
  agli scopi per i quali sono stati raccolti o trattati.

\end{itemize}



\foilhead{Requisiti adeguati}

\noindent Vengono richieste all'articolo 31, misure adeguate per protezione
dei dati:

\begin{itemize}

\item i dati devono essere custoditi mediante l'adozione di ``idonee e
  preventive misure di sicurezza''

\item si devono ridurre al minimo i rischi di distruzione, perdita, accesso
  non autorizzato e trattamento non consentito

\item se non si dimostrano le misure adeguate si è tenuti al risarcimento dei
  danni (vige l'inversione dell'onere della prova art. 15, e art. 2050 CC)

\end{itemize}


\foilhead{Requisiti minimi}

\noindent Nel quadro delle misure di sicurezza sono identificati dei requisiti minimi:

\begin{itemize}

\item il Testo Unico richiede i requisiti adeguati, non quelli minimi!

\item il mancato rispetto dei requisiti minimi costituisce un reato
  \textbf{penale}: si rischia l'arresto fino 2 anni e una multa fra 10000 e
  50000 euro

\item è previsto un ravvedimento operoso, con estinzione del reato e pagamento
  di un quarto della multa

\item sono descritti in dettaglio dall'allegato B del Testo Unico

\end{itemize}



\foilhead{Misure minime}

\noindent I requisiti di autenticazione (punti 1--11, all. B):

\begin{itemize}

\item gli incaricati devono essere dotati di credenziali di autenticazione e
  deve essere disposta una procedura di autenticazione

\item la procedura può riguardare un singolo trattamento o un insieme di più
  trattamenti
    
\item sono previsti tre metodi: password (ciò che si sa), token (ciò che si
  ha), biometria (ciò che si è).


\end{itemize}

\foilhead{Misure minime}

\noindent Vengono richieste specifiche politiche di gestione degli utenti:

\begin{itemize}
\item le credenziali di autenticazione non utilizzate da almeno sei mesi
  devono essere disattivate 

\item le credenziali devono essere disattivate in caso di perdita della
  qualifica relativa al trattamento dei dati 

\item un identificativo di un utente può essere usato solo da un incaricato e
  non può essere riutilizzato

\item si possono assegnare identificativi diversi per mansioni diverse

\end{itemize}


\foilhead{Misure minime}

\noindent Vengono definite una serie di regole precise per le password:

\begin{itemize}

\item devono essere lunghe almeno 8 caratteri e non riconducibili a dati noti
  dell'incaricato (niente nome di figli o data di nascita)

\item deve essere nota soltanto all'incaricato che ne deve assicurare la
  riservatezza (niente postit sotto la tastiera)
  
\item deve essere modificata al primo utilizzo ed ogni tre mesi se si trattano
  dati sensibili o sei se dati personali

\end{itemize}


\foilhead{Misure minime}

\noindent Devono essere inoltre garantite delle politiche di sicurezza nella
gestione degli accessi al trattamento:

\begin{itemize}

\item il computer non deve essere lasciato aperto ed incustodito durante le
  procedure (sistemi per il logoff, educazione degli utenti)

\item devono essere indicati per scritto sostituti e modalità che consentono
  al titolare l'accesso di emergenza in caso di assenza dell'incaricato di un
  trattamento
 
\item qualora si predisponga un accesso di emergenza che ne prevede una copia,
  deve essere individuato un responsabile della custodia delle credenziali

\end{itemize}


\foilhead{Misure minime}

\noindent Quando esistono diversi profili trattamento dei dati deve essere
predisposto un sistema di autorizzazione:

\begin{itemize}

\item deve essere definito un profilo di autorizzazione (personale o per
  classi omogenee) che indica a quali dati si può accedere

\item i profili devono essere definiti \textsl{prima} dell'inizio del
  trattamento dei dati

\item il sistema si autorizzazione deve, sulla base dei profili definiti,
  consentire l'accesso ai soli dati necessari al trattamento

\item i profili devono essere verificati almeno una volta l'anno per
  controllare la sussistenza delle condizioni di autorizzazione

\end{itemize}



\foilhead{Misure minime}

\noindent Per i profili di autorizzazione è necessaria una buona
infrastruttura della gestione degli utenti:

\begin{itemize}

\item i profili devono riguardare tutti gli accessi: quindi non solo a livello
  di sistema (file e documenti), ma anche a livello applicativo (database,
  archivi, ecc.)

\item i profili devono avere un livello di dettaglio sufficiente a consentire
  una selezione nell'accesso ai dati
  
\item i profili devono poter essere aggiornati con facilità (per cambio
  mansioni, uscita, nuove entrate, ecc.)

\end{itemize}


\foilhead{Misure minime}

\noindent I profili devono essere definiti all'interno di un \textsl{ambito di
  trattamento dei dati}:

\begin{itemize}

\item vanno definite finalità, modalità ed ambiti di comunicazione e
  diffusione nel trattamento dei dati

\item gli ambiti possono essere definiti a livello personale o per classi
  omogenee (reparti, uffici, ecc.)

\item gli ambiti devono essere documentati in forma scritta ed aggiornati
  almeno annualmente

\end{itemize}


\foilhead{Misure minime}

\noindent Vengono definite delle misure di salvaguardia dei sistemi:

\begin{itemize}

\item Tutti i sistemi devono essere protetti da intrusione e virus usando
  ``idonei strumenti elettronici da aggiornare almeno ogni 6 mesi''

\item la protezione deve essere presente anche se le macchine non sono in rete
  e non deve poter essere rimossa dagli utenti
  
\item è richiesto l'aggiornamento almeno annuale di programmi e sistemi, reso
  semestrale se si tratta di dati sensibili

\item è obbligatorio il backup, almeno con cadenza settimanale (anche se una
  misura adeguata richiederebbe un periodo giornaliero, almeno sui sistemi
  essenziali). 

\end{itemize}



\foilhead{Misure minime}

\noindent È richiesta la stesura di un \textsl{Documento Programmatico sulla
  Sicurezza}:

\begin{itemize}

\item è quasi sempre necessario se il trattamento dei dati è effettuato con
  strumenti elettronici (eccetto esezioni art. 34 - 1bis) 

\item è necessario sempre se il trattamento riguarda dati sensibili o
  giudiziari (per questi ultimi è definita pure la sua struttura)
  
\item anche quando non è necessario è bene farlo per dimostrare la buona
  fede nell'implementare delle misure adeguate

\item deve essere redatto ed aggiornato annualmente (entro il 31/3) e citato
  nella relazione sul bilancio

\end{itemize}


\foilhead{Considerazioni tecniche}

\noindent Le misure minime richiedono dei meccanismi di protezione aggiornati
almeno semestralmente:

\begin{itemize}

\item devono essere protetti tutti i sistemi di elaborazione (quindi sia
  client che server) da virus e affini

\item nel caso di antivirus un tempo un aggiornamento ogni sei mesi è
  semplicemente ridicolo

\item nel caso di dati sensibili o giudiziari è richiesta la protezione contro
  le intrusioni:  firewall e IDS sono praticamente scelte obbligate

\item per firewall e IDS gli aggiornamenti sono tutt'altro che banali da
  realizzare

\end{itemize}

\foilhead{Considerazioni tecniche}

\noindent Le misure minime richiedono un aggiornamento annuale (semestrale per
i dati sensibili) dei sistemi usati per il trattamento dei dati:

\begin{itemize}

\item gli aggiornamenti sono mirati a rimuovere le vulnerabilità e a
  correggere difetti funzionali

\item si pone il problema se debba essere aggiornato solo il sistema operativo
  o anche gli applicativi

\item nel caso di software proprietario si potrebbe essere costretti
  all'acquisto di nuove versioni

\item e l'aggiornamento dell'hardware?

\end{itemize}


\foilhead{Considerazioni tecniche}

\noindent Le misure minime rendono obbligatoria una politica di backup, devono
essere definiti:

\begin{itemize}

\item gli archivi da proteggere ed i dispositivi da utilizzare per farlo

\item la frequenza e le modalità del backup (completo, incrementale,
  differenziale) 
  
\item le politiche di riutilizzo ed archiviazione dei supporti su cui esso
  viene eseguito

\item le procedure per il controllo e la verifica del backup e della
  correttezza dei dati salvati

\end{itemize}



\foilhead{La stesura del DPS}

\noindent Il Testo Unico sulla privacy da un grande rilievo alla definizione
scritta delle procedure utilizzate nel trattamento dei dati:

\begin{itemize}

\item definizione delle responsabilità del trattamento

\item definizione delle modalità di aggiornamento delle procedure 
  
\item definizione delle procedure in caso di emergenze

\end{itemize}

\noindent per questo il DPS è praticamente una scelta obbligata.



\foilhead{La stesura del DPS}

\noindent I contenuti sono illustrati nel punto 19 dell'allegato B:

\begin{itemize}

\item elenco dei trattamenti dei dati e la distribuzione di compiti e
  responsabilità nelle strutture preposte

\item analisi dei rischi per i dati, e misure di protezione per garantire la
  protezione degli stessi nonché delle aree in cui vengono custoditi

\item criteri e modalità per il ripristino dei dati, per la separazione o la
  cifratura dei dati relativi a salute e abitudini sessuali

\item descrizione della formazione degli incaricati e dei criteri per
  garantire l'adozione di misure adeguate per i dati affidati all'esterno

\end{itemize}

\foilhead{La stesura del DPS}

\noindent L'elenco dei trattamenti di dati personali (punto 19.1), devono
essere descritte:

\begin{itemize}

\item le finalità del trattamento (quali dati per quale scopo)

\item le modalità di trattamento (quali archivi e quali applicazioni)

\item i profili di autorizzazione (chi tratta cosa)

\item gli ambiti di comunicazione (a chi e come)

\end{itemize}



\foilhead{La stesura del DPS}

\noindent La distribuzione dei compiti e delle responsabilità (punto 19.2);
devono essere descritte:

\begin{itemize}

\item La gestione dei sistemi di autenticazione e autorizzazione

\item La gestione dei sistemi antivirus e anti-intrusione

\item La gestione del sistema di ripristino e degli interventi di emergenza

\end{itemize}


\foilhead{La stesura del DPS}

\noindent Nella descrizione della distribuzione dei compiti e delle
responsabilità occorrerà:

\begin{itemize}

\item elencare i responsabili, gli incaricati e le loro competenze

\item allegare le istruzioni per gli incaricati

\item definire le modalità di accesso in caso di assenza dell'incaricato

\item indicare l'eventuale custode delle parole chiave

\end{itemize}




\foilhead{La stesura del DPS}

\noindent L'analisi dei rischi (punto 19.3); devono essere elencati i rischi
individuati, le possibili conseguenze e le relative contromisure per:

\begin{itemize}

\item accesso non autorizzato a informazioni 

\item esecuzione di trattamenti non autorizzati

\item indisponibilità dei sistemi per il trattamento

\item perdita o distruzione dei dati 

\item presenza di informazioni sbagliate o falsificate

\end{itemize}


\foilhead{La stesura del DPS}

\noindent Le misure per l'integrità e la disponibilità (punto 19.4); devono
essere descritti:

\begin{itemize}

\item i sistemi di autenticazione e di controllo degli accessi

\item i sistemi antivirus e anti intrusione

\item la gestione degli aggiornamenti

\item l'organizzazione degli archivi dei dati

\item le procedure di sviluppo e dispiegamento di nuove applicazioni

\item le protezioni fisiche di aree e locali

\end{itemize}


\foilhead{La stesura del DPS}

\noindent I criteri e delle modalità per il ripristino e la salvaguardia
(punto 19.5) dovranno essere descritti:

\begin{itemize}

\item il sistema di backup (dispositivi, gestione di archivi protetti,
  modalità di esecuzione, verifica e segnalazione di errori)

\item i sistemi per assicurare la continuità dell'erogazione elettrica

\item eventuali sistemi ridondati o ad alta affidabilità

\item le eventuali procedure di disaster recovery

\end{itemize}



\foilhead{La stesura del DPS}

\noindent Gli interventi formativi (punto 19.6), questi dovranno coprire:

\begin{itemize}

\item la conoscenza dei rischi

\item la conoscenza delle misure di sicurezza adottate

\item la conoscenza delle procedure e dei comportamenti

\item la conoscenza delle responsabilità assegnate

\end{itemize}


\foilhead{La stesura del DPS}

\noindent Riguardo gli interventi formativi (punto 19.6), dovranno essere
elencate le modalità di erogazione:

\begin{itemize}

\item all'entrata in servizio

\item in caso di cambiamento di mansioni

\item in caso di introduzione di nuove metodologie di trattamento

\item in caso di cambiamento degli strumenti usati per il trattamento

\end{itemize}



\foilhead{La stesura del DPS}

\noindent I criteri per i dati trattati all'esterno (punto 19.7), è opportuno
allegare:

\begin{itemize}

\item documento che specifica modalità, finalità e ambiti del trattamento
  affidato all'esterno

\item dichiarazione di adozione di adeguate misure di sicurezza del soggetto
  cui viene affidato il trattamento esterno

\item copia del DPS del soggetto cui viene affidato il trattamento esterno

\item piani di controllo del soggetto cui viene affidato il trattamento
  esterno (se presenti)

\end{itemize}



\foilhead{La stesura del DPS}

\noindent La separazione dei dati su stato di salute e vita sessuale (punto
19.8):

\begin{itemize}

\item devono essere distinti dagli altri dati personali

\item devono essere specificati i criteri con cui viene eseguita questa
  distinzione 

\item possono essere cifrati in modo da non essere leggibili da chi non è
  autorizzato al trattamento

\item possono essere mantenuti su archivi separati cui acceda soltanto chi è
  autorizzato al trattamento

\end{itemize}


\foilhead{La protezione dei dati sensibili}

\noindent La protezione dei dati sensibili richiede misure molto più rigide:

\begin{itemize}

\item è necessaria una protezione contro le intrusioni (IDS e firewall sono
  praticamente obbligatori)

\item con l'uso di supporti rimuovibili devono esserci istruzioni sull'uso e
  la custodia, e quando non più usati essi devono essere distrutti o i dati
  resi inintelligibili

\item sono necessarie procedure per garantire il ripristino dell'accesso ai
  dati in caso di incidenti, devono prevedere tempi certi e non superiori ad
  una settimana (è necessario un piano di disaster recovery)

\item la comunicazione per via elettronica deve essere cifrata

\end{itemize}



\foilhead{La protezione dei dati sensibili}

\noindent La protezione dei dati sensibili richiede anche procedure più
rigide nel caso di trattamento non elettronico:

\begin{itemize}

\item agli incaricati devono essere impartite istruzioni scritte per il
  controllo e la custodia per tutto l'arco delle operazioni necessarie al
  trattamento 

\item atti e documenti devono essere custoditi dagli incaricati durante il
  trattamento assicurando che non vi sia accesso da persone non autorizzate e
  restituiti alla fine del trattamento

\item gli archivi dei dati devono essere ad accesso controllato, le persone
  ammesse dopo l'orario di chiusura identificate e registrate

\end{itemize}

\foilhead{Altre misure}

\noindent Sono previste ulteriori misure di tutela e garanzia:

\begin{itemize}

\item se ci si affida a esterni per realizzare le proprie misure di sicurezza
  è necessario avere da essi una descrizione scritta degli interventi ed una
  dichiarazione di conformità

\item nella relazione al bilancio di esercizio il titolare deve fare
  riferimento all'avvenuta stesura o aggiornamento del DPS

\end{itemize}






\end{document}

%%% Local Variables: 
%%% mode: latex
%%% TeX-master: t
%%% End: 
