Art. 8
Protezione dei dati personali e misure di sicurezza
1. L'Autorita' tratta i dati acquisiti nell'ambito della BDNCP per
le finalita' di cui all'art. 81 del codice e nel rispetto dei criteri
di pertinenza e non eccedenza. L'Autorita' e' titolare del
trattamento ai sensi dell'art. 24 del GDPR 2016/679 e adempie ai
relativi obblighi ivi comprese la nomina degli incaricati del
trattamento e l'adozione delle misure di sicurezza.
2. L'Autorita' conserva i dati in una forma che consente
l'identificazione degli interessati per un arco di tempo non
superiore al conseguimento delle finalita' per le quali sono
trattati; i dati personali possono essere conservati per periodi piu'
lunghi a fini di archiviazione nel pubblico interesse, o a fini
statistici, fatta salva l'attuazione di misure tecniche e
organizzative adeguate a tutela dei diritti e delle liberta'
dell'interessato; il trattamento dei dati sara' effettuato nei limiti
necessari al perseguimento delle sopracitate finalita', con modalita'
e strumenti idonei a garantire la sicurezza e la riservatezza dei
dati.
3. I dati sono portati a conoscenza o comunicati ai terzi
autorizzati per le finalita' di cui all'art. 81, comma 1, del codice
dei contratti pubblici.
4. La stazione appaltante/ente aggiudicatore, per i trattamenti di
propria competenza, e' titolare del trattamento ai sensi dell'art. 24
del GDPR 2016/679 e adempie ai relativi obblighi, ivi comprese la
nomina del responsabile del trattamento e l'adozione delle misure di
sicurezza.
5. L'OE e' tenuto a inserire nel FVOE esclusivamente la
documentazione pertinente alle finalita' di cui all'oggetto della
seguente delibera. L'OE assume la piena responsabilita' della natura
e della qualita' della documentazione prodotta e solleva l'Autorita'
da ogni responsabilita' relativamente ai dati inseriti ed alla
documentazione caricata. In qualunque momento l'interessato potra'
esercitare i diritti di cui all'art. 7 del decreto legislativo 30
giugno 2003, n. 196, e i diritti di cui all'art. 15 del GDPR 2016/679
in particolare, il diritto di accedere ai propri dati personali, di
chiederne la rettifica, l'aggiornamento e la cancellazione, se
incompleti, erronei o raccolti in violazione della legge, nonche' di
opporsi al loro trattamento per motivi legittimi. Le richieste vanno
rivolte al titolare del trattamento tramite PEC, all'indirizzo
protocollo@pec.anticorruzione.it
6. Il Responsabile della protezione dei dati (RPD o DPO - Data
Protection Officer) e' contattabile ai seguenti recapiti:
rpd@anticorruzione.it
7. Il FVOE e' stato progettato nel rispetto delle vigenti norme in
materia di protezione dei dati personali, compresi gli obblighi di
sicurezza di cui all'art. 32 del GDPR. Sono state disposte, in
particolare, le seguenti misure volte ad assicurare su base
permanente la riservatezza, l'integrita', la disponibilita' e la
resilienza dei sistemi e dei servizi di trattamento, nonche' la
capacita' di ripristinare tempestivamente la disponibilita' e
l'accesso dei dati personali in caso di incidente fisico o tecnico:
a) il sistema garantisce l'identificazione, l'autenticazione e
l'autorizzazione dell'utenza secondo i profili assegnati;
b) il sistema e' dotato di una procedura per la verifica delle
identita' e dei relativi ruoli dichiarati a sistema;
c) l'accesso al FVOE avviene solo a seguito del superamento di
una procedura di autenticazione che verifica le credenziali di
autenticazione composte dall'identificativo utente e dalla relativa
parola chiave e sono adottati idonei criteri di robustezza per la
costruzione della password;
d) le credenziali di autenticazione sono assegnate
individualmente ad ogni incaricato e nelle istruzioni impartite agli
incaricati e' prescritto di adottare le necessarie cautele per
assicurare la segretezza della Il sistema dispone di misure di
sicurezza informatica finalizzate a ridurre al minimo il rischio di
violazioni dell'integrita' della riservatezza e della disponibilita'
dei dati trattati. In particolare sono disposte idonee procedure di
audit sugli accessi, i cui esiti sono documentati. Tali procedure
prevedono attivita' di audit basate sul monitoraggio statistico degli
accessi e su meccanismi di alert che individuino comportamenti
anomali o a rischio dal punto di vista della sicurezza informatica;
e) FVOE adotta modalita' sicure per l'interazione con gli enti
certificanti ed e' in grado di fornire su richiesta agli enti
certificanti evidenza dell'utenza che attraverso il sistema ha
generato la singola richiesta di documentazione;
f) e' fatto obbligo agli OE e alle stazioni appaltanti di
segnalare tempestivamente all'Autorita' ogni variazione dei ruoli dei
soggetti che sono stati preventivamente autorizzati ad operare
secondo i profili dichiarati a sistema, nonche' di eventuali utilizzi
impropri ed irregolari del sistema;
g) l'OE, la stazione appaltante/ente aggiudicatore, l'organismo
di attestazione si impegnano a comunicare tempestivamente incidenti
sulla sicurezza qualora tali incidenti abbiano impatto direttamente o
indirettamente sul FVOE, nonche' ogni eventuale esigenza di
aggiornamento di stato degli utenti gestiti (nuovi inserimenti,
disabilitazioni, cancellazioni);
h) l'Autorita' informa l'utenza del corretto utilizzo del
sistema;
i) il tempo di conservazione dei dati relativi agli accessi e
alle operazioni compiute nel sistema e' fissato nel termine di
centottanta giorni.