Privacy - Ordinamento degli uffici e dei servizi comunali: indirizzi in materia di trattamento dei dati personali esistenti nelle banche dati del Comune.
(Delibera G.C. n. 919 del 28.12.2006)

Disposizioni in materia di trattamento dei dati personali.

ART. 1
Oggetto.

1. Il presente atto regolamenta l’ordinamento degli uffici e dei servizi comunali con riferimento alle specifiche modalità di attuazione delle disposizioni dettate dal “Codice in materia di protezione dei dati personali” approvato con D. Lgs. 30 giugno 2003, n.196, di seguito denominato “Codice” ed in particolare:

• individua i compiti del Titolare e dei Responsabili, nonché degli Incaricati del trattamento dei dati personali esistenti presso gli uffici comunali;
• disciplina il trattamento dei dati personali effettuato dall’Amministrazione comunale nello svolgimento dei propri compiti istituzionali .

ART. 2
Titolare del trattamento.

1. Il Comune di Firenze è il Titolare del trattamento dei dati personali gestiti dalle proprie articolazioni organizzative per lo svolgimento delle relative funzioni istituzionali, ed è rappresentato, ai fini previsti dal Codice e successive modifiche ed integrazioni, dal Sindaco pro tempore.
   Con Ordinanza n.3596 del 21/05/2001, il Sindaco ha delegato le relative funzioni al Direttore dell’Ufficio Segreteria Generale ed Affari Istituzionali, che provvede ad adottare le misure organizzative e a garantire l’uniformità di applicazione del Codice, avvalendosi di un ufficio amministrativo in materia di privacy, individuato nella posizione organizzativa “ Atti di Giunta, Consiglio, Privacy e Accesso” che fornisce adeguato supporto ai Responsabili. L’ ufficio sopracitato attua i compiti di cui al precedente comma, anche predisponendo l’opportuna modulistica.
2. Il Titolare del trattamento, al quale competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza, provvede in particolare a:

• designare i Responsabili del trattamento privacy, ai sensi dell’art. 29 del Codice, nelle persone dei Direttori e/o Dirigenti e dei Funzionari delle singole strutture in cui si articola l’organizzazione comunale, che sono preposti al trattamento dei dati contenuti nelle banche dati esistenti nelle articolazioni organizzative di loro competenza;
• nominare il Responsabile della sicurezza dei dati a livello informatico;
• nella situazione di affidamento all’esterno della gestione di una banca dati, provvede a nominare Responsabile del trattamento i soggetti pubblici o privati affidatari di attività e servizi per conto dell’Amministrazione comunale, in virtù di convenzioni, di contratti, o di incarichi professionali o altri strumenti giuridici consentiti dalla legge, per la realizzazione di attività connesse alle attività istituzionali;
• predisporre periodicamente apposito elenco aggiornato, concernente l’individuazione dei Responsabili del trattamento delle strutture in cui si articola l’organizzazione dell’Ente, ai sensi dell’art. 13 comma 1 lettera f) del Codice;
• predisporre le istruzioni operative e le direttive rivolte ai Responsabili del trattamento di cui all’art. 3 del presente atto;
• effettuare le notificazioni e le comunicazioni al Garante ai sensi degli artt. 36 e 37 del Codice;
• attivare verifiche periodiche al fine di garantire la puntuale osservanza delle disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza (art.29 comma 5 del Codice)

ART. 3
Responsabile del trattamento.

1. I Direttori e/o Dirigenti delle strutture di massima dimensione in cui si articola l’organizzazione dell’Ente, sono responsabili del trattamento di tutte le banche dati personali, esistenti nelle articolazioni organizzative di loro competenza.
2. I Responsabili del trattamento dei dati che, ai fini della responsabilità attribuita sono tutti domiciliati presso la sede del Comune di Firenze, provvedono, per i rispettivi ambiti di competenza, a tutte le attività previste dalla legge e a tutti i compiti affidati dal Titolare analiticamente specificati per iscritto (art. 29 comma 4 del Codice) ed in particolare a:

• osservare il Codice, il Regolamento sul trattamento dei dati sensibili e giudiziari del Comune di Firenze, i Provvedimenti del Garante per la protezione dei dati personali, nonché il presente disciplinare;
• custodire e controllare i dati personali, oggetto di trattamento, in osservanza dell’art. 11 del Codice, catalogarli analiticamente e aggiornarli periodicamente, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta, ed in particolare dare ampia e completa applicazione alle misure minime di sicurezza identificate dal disciplinare tecnico (Allegato B del Codice);
• assicurare che i dati verranno utilizzati esclusivamente per il perseguimento dei fini istituzionali del Titolare/Comune di Firenze e che i medesimi non devono essere comunicati o resi accessibili a terzi, se non secondo le modalità concordate con il Titolare, nel rispetto del Codice;
• distruggere i dati personali alla cessazione del trattamento degli stessi, provvedendo alle formalità di legge, dandone comunicazione preventiva al Titolare;
• individuare con atto scritto gli Incaricati del trattamento, ai sensi dell’art.30 del Codice, e impartire loro, le istruzioni necessarie per il corretto, lecito e sicuro trattamento dei dati personali. Si considera nomina anche la documentata preposizione della persona fisica ad una unità per la quale è individuato, per iscritto, l’ambito del trattamento consentito agli addetti all’unità medesima.
• vigilare e controllare il trattamento svolto dagli Incaricati medesimi;
• osservare il dettato dell’art. 13 “Informativa” del Codice;
• garantire l’esercizio dei diritti degli interessati ai sensi degli articoli 7-10 del Codice ed evadere tempestivamente i reclami dei medesimi;
• informare prontamente il Titolare, di ogni questione rilevante ai sensi del Codice (es.: richieste del Garante, esiti di ispezioni delle Autorità, richieste degli interessati etc.);

3. Nell’ipotesi di affidamento a terzi di servizi che implichino il trattamento dei dati personali, il trattamento dei dati personali acquisiti nell’ambito dell’attività del Comune o forniti dagli interessati, può essere effettuato da:

• società, enti o consorzi, che per conto del Comune forniscono specifici servizi, o che svolgono attività connesse, strumentali o di supporto a quelle del Comune, ovvero attività necessarie all’esecuzione delle prestazioni e dei servizi imposti da leggi, regolamenti, norme comunitarie o che vengono attivati al fine di soddisfare bisogni e richieste dei cittadini;
• soggetti ai quali la comunicazione dei dati personali risulti necessaria per lo svolgimento delle attività loro affidate dal Comune;
• soggetti a cui la facoltà di accedere ai dati personali sia riconosciuta da disposizioni di legge o di regolamento.

4. Nell’ambito delle funzioni istituzionali del Comune, rientrano anche le funzioni svolte, per delega governativa, per legge regionale o per convenzione, da soggetti pubblici o privati, nonché i servizi erogati da istituti di credito che operano come tesoriere ed esattore comunale;
5. Nei casi di cui al comma precedente, e nella situazione di affidamento esterno della gestione del trattamento dei dati, il concessionario o affidatario del servizio per conto dell’Amministrazione comunale, (mediante convenzione, protocollo d’intesa, contratto o incarico professionale o altri strumenti giuridici consentiti dalla legge), Responsabile ai sensi del Codice, assume la veste di Responsabile del trattamento dei dati delle banche per tutta la durata del rapporto convenzionale ed è assoggettato a tutti i compiti previsti dal presente articolo. Il concessionario o affidatario si obbliga ad accettare la nomina di un proprio referente da parte del Comune, come Responsabile del trattamento dei dati personali, in esecuzione della convenzione/contratto/incarico. In mancanza dell’indicazione di tale nominativo in sede di stipula dell’atto, si intende Responsabile Privacy il legale rappresentante del concessionario/affidatario.

ART. 4
Responsabile della Direzione Sistemi Informativi.

1. Il Responsabile della Sicurezza dei dati a livello informatico, è individuato nel Direttore pro tempore della Direzione Sistemi Informativi con i seguenti compiti:

• provvedere, in relazione alle conoscenze acquisite in base al processo tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, ad adottare e ad aggiornare le idonee e preventive misure di sicurezza per i dati informatici;

• evadere le richieste in materia di sicurezza dati, avanzate dai Responsabili;

• impartire ai Responsabili del trattamento dati personali le necessarie istruzioni operative per la sicurezza delle banche dati;

• curare il coordinamento di tutte le operazioni relative alla sicurezza dati personali informatizzati;

• provvedere a prevenire i rischi di distruzione o perdita, anche accidentale, nonché l’accesso non autorizzato o il trattamento non consentito o non conforme alla finalità della raccolta, così come previsto dall’art. 31 “Obblighi di sicurezza“ e dall’allegato B del Codice e successive modifiche ed integrazioni;

• aggiornare entro il 31 marzo di ogni anno, con provvedimento amministrativo, il Documento Programmatico sulla Sicurezza (D.P.S.) come evidenziato nell’Allegato B del Codice e successive modifiche ed integrazioni.

ART. 5
Incaricati del trattamento.

1. Il Responsabile del trattamento dei dati procede per iscritto alla individuazione, all’interno della sua struttura operativa, a nominare il personale dipendente “Incaricato” per l’espletamento di tutte le operazioni di trattamento dei dati.
2. Gli Incaricati effettuano tutte le operazioni di trattamento dei dati con le modalità di cui all’art.30 del Codice, e successive modifiche ed integrazioni e nel rispetto delle istruzioni e direttive impartite per iscritto dal Responsabile che prevedono:

• accedere solo ai dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti assegnati;

• trattare i dati personali di cui si viene a conoscenza per l’espletamento delle proprie funzioni, in modo lecito e corretto, nel rispetto delle norme di legge, dello Statuto e dei Regolamenti che disciplinano le attività del Comune;
• verificare costantemente i dati , il loro aggiornamento , la loro completezza e pertinenza;
• conservare con cura atti e documenti, contenenti dati personali ricevuti in consegna per adempiere ai compiti assegnati e restituirli al termine delle operazioni affidate;
• comunicare i dati personali trattati solo previa autorizzazione del Responsabile;
• osservare scrupolosamente le misure di sicurezza predisposte dal Titolare/Responsabile oltre a quelle previste dal Documento Programmatico sulla Sicurezza;
• osservare, anche in seguito a modifica dell’incarico e/o cessazione del rapporto di lavoro gli obblighi relativi alla riservatezza e alla comunicazione.

ART. 6
Consenso dell’interessato.

1. Il Comune, in quanto soggetto pubblico, ai sensi dell’art.18 comma 4 del Codice, non deve chiedere il consenso dell’interessato al trattamento dei dati personali, purché il trattamento medesimo sia conforme ai fini istituzionali dell’Ente.

2. Al di fuori di tale ipotesi non può essere richiesto il consenso per ulteriori trattamenti.

ART. 7
Informativa.

1. L’interessato deve essere preventivamente informato, oralmente o per iscritto, circa:

• le finalità e le modalità della raccolta dei dati personali;
• le conseguenze di un eventuale rifiuto di rispondere;
• i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati e l’eventuale ambito di diffusione dei dati stessi;
• i diritti di cui all’art.7 del Codice ;
• gli estremi identificativi del Titolare e del Responsabile del trattamento.

ART. 8
Trattamento dei dati personali da parte di Amministratori e Difensore Civico, Nucleo di Valutazione

1. I soggetti sopracitati, sono legittimati al trattamento dei dati esclusivamente nell’esercizio delle funzioni istituzionali cui sono preposti.

ART. 9
Comunicazione e diffusione dei dati personali comuni.

1. La comunicazione dei dati personali comuni, ovvero diversi da quelli sensibili e giudiziari, all’interno del Comune, per lo svolgimento delle funzioni istituzionali e nell’ambito delle specifiche competenze, non è soggetta a limitazioni, salvo quelle espressamente previste da leggi e regolamenti.
2. Il Responsabile, valutato il caso, può decidere di adottare le misure necessarie alla tutela della riservatezza degli interessati.
3. La comunicazione dei dati personali comuni, ovvero diversi da quelli sensibili e giudiziari, ad altri soggetti pubblici, è ammessa qualora sia prevista da norma di legge e di regolamento. In mancanza di tale norma la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di funzioni istituzionali in osservanza dell’art.19 c.2 del Codice e può essere iniziata se è decorso il termine di cui all’art.39, comma 2 del D. lgs. 196/03 (quarantacinque giorni dal ricevimento della comunicazione al Garante dell’intenzione di effettuare l’operazione) e non è stata adottata la determinazione negativa, ivi indicata, da parte del Garante. Se la determinazione negativa del Garante perviene dopo quarantacinque giorni, il Comune interrompe la comunicazione eventualmente iniziata.
4. La comunicazione da parte di un soggetto pubblico a privati o a Enti pubblici economici è ammessa unicamente quando è prevista da una norma di legge o di regolamento (art.19 comma 3 del Codice).
5. La diffusione dei dati personali comuni da parte dell’Amministrazione, cioè il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione, avviene esclusivamente per le finalità perseguite dall’Amministrazione, in osservanza del Codice.

ART. 10
Dati sensibili e giudiziari

1. Per quanto concerne il trattamento dei dati sensibili e giudiziari e delle operazioni eseguibili da parte del Comune di Firenze nello svolgimento delle sue funzioni istituzionali, si rinvia alle disposizioni di cui alla delibera del Consiglio Comunale n. 118 del 19 dicembre 2005 avente ad oggetto: “Regolamento per il trattamento dei dati sensibili e giudiziari del Comune di Firenze” e successive modifiche ed integrazioni.

ART. 11
Accesso ai documenti amministrativi.

1. Per quanto concerne i rapporti tra accesso ai documenti amministrati ed esigenze di tutela della riservatezza, fermo restando il disposto dell’art.59 del Codice Privacy e del D.P.R. 12 aprile 2006 n.184, si rinvia all’apposito regolamento sull’accesso.

ART. 12
Videosorveglianza

1. Il Comune, nel trattare i dati personali raccolti nell’esercizio dell’attività di videosorveglianza, osserva il dettato del Provvedimento generale del Garante per la protezione dei dati personali del 29 aprile 2004.
2. L’installazione degli impianti di videosorveglianza è lecita solo se proporzionata agli scopi istituzionalmente perseguiti dall’Amministrazione ed è fondata su presupposti di proporzionalità, liceità e necessità; le finalità perseguite dall’Amministrazione devono essere determinate e di propria pertinenza.
3. Le finalità di sicurezza pubblica, prevenzione ed accertamento dei reati competono in via esclusiva ad organi giudiziari o a forze armate o di polizia.
4. L’installazione di impianti di videosorveglianza, viene adeguatamente pubblicizzata tramite l’informativa che deve essere chiaramente visibile ed indicare chi effettua la rilevazione delle immagini e per quali scopi.
5. L’eventuale conservazione delle immagini deve essere limitata ad un massimo di 24 ore, fatte salve speciali esigenze di ulteriore conservazione in relazione ad indagini.

ART. 13
Norma finale

1. Il presente disciplinare entra in vigore a far data dal 1° gennaio 2007.

2. Per tutto quanto non espressamente disciplinato con le presenti disposizioni, si applicano le disposizioni di cui al D. lgs.196/03, Codice Privacy e successive modifiche ed integrazioni.