Trattamento dei dati effettuato in attuazione della Convenzione di applicazione dell'Accordo di Schengen presso le Divisioni N-S.i.s. e S.i.re.n.e. del Dipartimento della pubblica sicurezza del Ministero dell'interno - Differimento per l'adempimento alle prescrizioni del Garante

Trattamento dei dati effettuato inattuazione della Convenzione di applicazione dell'Accordo di Schengen presso leDivisioni N-S.i.s. e S.i.re.n.e. del Dipartimento della pubblica sicurezza delMinistero dell'interno - Differimento per l'adempimento alle prescrizioni delGarante

PROVVEDIMENTO DEL 31 MARZO 2011

Registro dei provvedimenti n. 126 del 31 marzo 2011

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti e del dott. Daniele De Paoli, segretariogenerale;

VISTAla legge 30 settembre 1993, n. 388 di ratifica ed esecuzione dei protocolli edegli accordi di adesione all'Accordo di Schengen e alla relativa Convenzionedi applicazione e, in particolare, l'articolo 11, come modificato dall'articolo173 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno2003, n. 196);

VISTOil Codice in materia di protezione dei dati personali e, in particolare, gliartt. 31, 33, 34, 35 e il disciplinare tecnico, allegato B);

VISTOil provvedimento del 12 novembre 2009, adottato dal Garante aseguito di accertamenti effettuati presso le Divisioni N-S.i.s. e S.i.re.n.e.del Dipartimento della pubblica sicurezza del Ministero dell'interno volti averificare l'idoneità delle misure di sicurezza dei dati e dei sistemi adottatepresso dette strutture nel trattamento dei dati effettuato in attuazione dellaConvenzione di applicazione dell'Accordo di Schengen;

RILEVATOche con detto provvedimento l'Autorità ha prescritto, ai sensi degli artt. 154,comma 1, lett. c) e 160 del Codice, al Ministero dell'interno-Dipartimentodella pubblica sicurezza di adottare alcune misure, attinenti al profilo dellasicurezza dei dati personali e dei sistemi, volte ad assicurare unrafforzamento del livello di protezione delle informazioni trattate commisuratoalle finalità della banca di dati N-S.i.s. e al rilievo dei sistemi informativiin esame, con riferimento, in particolare, a:

- 6.1 auditing di sicurezza della banca di dati N-S.i.s.;

- 6.2 produzione periodica di rapporti statistici;

- 6.3 sicurezza e integrità dei dati di log e di auditing della banca di datiN-S.i.s.;

- 6.4 sicurezza dei flussi informativi della Divisione S.i.re.n.e.;

- 6.5 accesso ai dati di log del sistema di archiviazione "Teseo";

- 6.6 protezione fisica della sala server delle Divisioni N-S.i.s. e S.i.re.n.e.;

- 6.7 disponibilità dei dati e continuità di esercizio della banca di datiN-S.i.s.;

CONSIDERATOche il Garante, ai sensi degli artt. 154, comma 1, lett. c) e 160 del Codice,ha prescritto al Dipartimento di adottare le misure di cui ai punti da 6.1 a6.6 entro il termine di sei mesi, decorrente dalla data di ricezione delprovvedimento, fornendo riscontro all'Autorità al decorso del medesimo terminecirca la loro attuazione;

RITENUTOche il Garante, in relazione agli obblighi di controllo ad esso affidati dalCodice, deve verificare l'adozione delle misure prescritte (art. 160, comma 2);

VISTAla nota del 3 giugno 2010 con la quale il Ministero dell'interno-Dipartimentodella pubblica sicurezza ha fornito riscontro, illustrando le iniziativeintraprese al fine di attuare le prescrizioni impartite dal Garante;

RILEVATOche da tale riscontro risulta che sono state attuate in parte le misureprescritte al punto 6.4 del provvedimento (con riferimento all'accesso ai datidi log del sistema di gestione della corrispondenza denominato"Arianna"), e le misure di cui al punto 6.5; rilevato che, relativamentealle altre misure prescritte, il Dipartimento ha riferito che i tempi diattuazione sono legati ad attività che "saranno oggetto di appositobando di gara la cui predisposizione è ancora in corso", e che "lastima dei tempi di realizzazione, pertanto, dovrà tenere conto dei tempitecnici per la finalizzazione del necessario iterburocratico-amministrativo";

VISTOil provvedimento del 29 settembre 2010 con il quale il Garante, nel confermarele misure prescritte con il provvedimento del 12 novembre 2009, tenuto contoanche della complessità delle procedure amministrative propedeuticheall'attuazione delle diverse misure, ha prescritto al Ministerodell'interno-Dipartimento della pubblica sicurezza di indicare una precisa edefinita tempistica di effettiva e concreta realizzazione di tali misure;

VISTAla nota del 7 febbraio 2011 con la quale il Ministero dell'interno-Dipartimentodella pubblica sicurezza, nel fornire riscontro, ha indicato di poterrealizzare la misura di cui al punto 6.6 entro il mese di marzo 2011 e lamisura di cui al punto 6.4 entro la fine dell'anno 2011 "qualorafossero disponibili i fondi necessari per il completamento del progetto",rappresentando per le altre misure che i relativi progetti sono al vaglio dellecompetenti articolazioni del Dipartimento "per l'esecuzione delleprocedure amministrative previste per l'acquisizione dei beni e dei servizinecessari alla realizzazione" dei progetti medesimi;

RITENUTOche, alla luce delle difficoltà rappresentate nella predetta nota, legate anchealla disponibilità delle risorse finanziarie necessarie per il completamentodei progetti avviati, appare opportuno disporre un differimento del termine diadempimento delle prescrizioni in esame, che appare congruo fissare nel 30aprile 2011 per la misura di cui al punto 6.6, nel 31 dicembre 2011 per lamisura di cui al punto 6.4 e nel 31 dicembre 2012 per le altre misure, tenutoconto, per queste ultime, anche dei tempi necessari al compimento dellerelative procedure amministrative;

RITENUTOaltresì necessario che, con riferimento alle misure il cui termine direalizzazione scade il 31 dicembre 2012, il Dipartimento riferisca all'Autorità,entro le date del 31 dicembre 2011 e del 30 giugno 2012, sullo stato diavanzamento dei vari progetti, trasmettendo la relativa documentazione;

RITENUTOche, allo scadere dei termini del 30 aprile 2011, del 31 dicembre 2011 e del 31dicembre 2012, il Ministero dovrà dare riscontro circa la completa attuazionedelle predette prescrizioni;

CONSIDERATOche le prescrizioni impartite dal Garante ai sensi degli artt. 154, comma 1,lett. c) e 160 del Codice sono assistite da sanzione amministrativa (art. 162,comma 2ter, del Codice);

VISTAla documentazione in atti;

VISTEle osservazioni dell'Ufficio formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREil dott. Giuseppe Fortunato;

TUTTO CIO' PREMESSO IL GARANTE

a)dispone nei confronti del Ministero dell'interno-Dipartimento della pubblicasicurezza il differimento del termine per l'adempimento delle prescrizioniimpartite con il provvedimento del 12 novembre 2009, rispettivamente al 30aprile 2011 relativamente alla prescrizione di cui al punto 6.6, al 31 dicembre2011 relativamente alla prescrizione di cui al punto 6.4 e al 31 dicembre 2012relativamente alle altre prescrizioni;

b) aisensi degli artt. 154, comma 1, lett. c) e 160 del Codice, prescrive, conriferimento alle prescrizioni con termine di adempimento al 31 dicembre 2012,che il Ministero dell'interno-Dipartimento della pubblica sicurezza riferiscaall'Autorità, entro le date del 31 dicembre 2011 e del 30 giugno 2012, sullostato di avanzamento dei vari progetti, trasmettendo la relativadocumentazione;

c) ai sensi degli artt. 154, comma 1, lett. c) e 160 del Codice, prescrive che,allo scadere dei termini del 30 aprile 2011, del 31 dicembre 2011 e del 31dicembre 2012, il Ministero dell'interno-Dipartimento della pubblica sicurezzadia riscontro all'Autorità circa la completa attuazione delle predetteprescrizioni;

d)riserva ogni altro provvedimento all'esito dei riscontri forniti dal Ministerodell'interno-Dipartimento della pubblica sicurezza.

Roma, 31 marzo 2011

Il presidente
Pizzetti

Il relatore
Fortunato

Il segretario generale
De Paoli