Delibera ANAC 27.07.2022, n. 464

1. L'Autorità tratta i dati acquisiti nell'ambito della BDNCP per le finalità di cui all'art. 81 del codice e nel rispetto dei criteri di pertinenza e non eccedenza. L'Autorità è titolare del trattamento ai sensi dell'art. 24 del GDPR 2016/679 e adempie ai relativi obblighi ivi comprese la nomina degli incaricati del trattamento e l'adozione delle misure di sicurezza.

2. L'Autorità conserva i dati in una forma che consente l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a fini di archiviazione nel pubblico interesse, o a fini statistici, fatta salva l'attuazione di misure tecniche e organizzative adeguate a tutela dei diritti e delle libertà dell'interessato; il trattamento dei dati sarà effettuato nei limiti necessari al perseguimento delle sopracitate finalità, con modalità e strumenti idonei a garantire la sicurezza e la riservatezza dei dati.

3. I dati sono portati a conoscenza o comunicati ai terzi autorizzati per le finalità di cui all'art. 81, comma 1, del codice dei contratti pubblici.

4. La stazione appaltante/ente aggiudicatore, per i trattamenti di propria competenza, è titolare del trattamento ai sensi dell'art. 24 del GDPR 2016/679 e adempie ai relativi obblighi, ivi comprese la nomina del responsabile del trattamento e l'adozione delle misure di sicurezza.

5. L'OE è tenuto a inserire nel FVOE esclusivamente la documentazione pertinente alle finalità di cui all'oggetto della seguente delibera. L'OE assume la piena responsabilità della natura e della qualità della documentazione prodotta e solleva l'Autorità da ogni responsabilità relativamente ai dati inseriti ed alla documentazione caricata. In qualunque momento l'interessato potrà esercitare i diritti di cui all'art. 7 del decreto legislativo 30 giugno 2003, n. 196, e i diritti di cui all'art. 15 del GDPR 2016/679 in particolare, il diritto di accedere ai propri dati personali, di chiederne la rettifica, l'aggiornamento e la cancellazione, se incompleti, erronei o raccolti in violazione della legge, nonché di opporsi al loro trattamento per motivi legittimi. Le richieste vanno rivolte al titolare del trattamento tramite PEC, all'indirizzo protocollo@pec.anticorruzione.it

6. Il Responsabile della protezione dei dati (RPD o DPO - Data Protection Officer) è contattabile ai seguenti recapiti: rpd@anticorruzione.it

7. Il FVOE è stato progettato nel rispetto delle vigenti norme in materia di protezione dei dati personali, compresi gli obblighi di sicurezza di cui all'art. 32 del GDPR. Sono state disposte, in particolare, le seguenti misure volte ad assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento, nonché la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico:

a) il sistema garantisce l'identificazione, l'autenticazione e l'autorizzazione dell'utenza secondo i profili assegnati;

b) il sistema è dotato di una procedura per la verifica delle identità e dei relativi ruoli dichiarati a sistema;

c) l'accesso al FVOE avviene solo a seguito del superamento di una procedura di autenticazione che verifica le credenziali di autenticazione composte dall'identificativo utente e dalla relativa parola chiave e sono adottati idonei criteri di robustezza per la costruzione della password;

d) le credenziali di autenticazione sono assegnate individualmente ad ogni incaricato e nelle istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della Il sistema dispone di misure di sicurezza informatica finalizzate a ridurre al minimo il rischio di violazioni dell'integrità della riservatezza e della disponibilità dei dati trattati. In particolare sono disposte idonee procedure di audit sugli accessi, i cui esiti sono documentati. Tali procedure prevedono attività di audit basate sul monitoraggio statistico degli accessi e su meccanismi di alert che individuino comportamenti anomali o a rischio dal punto di vista della sicurezza informatica;

e) FVOE adotta modalità sicure per l'interazione con gli enti certificanti ed è in grado di fornire su richiesta agli enti certificanti evidenza dell'utenza che attraverso il sistema ha generato la singola richiesta di documentazione;

f) è fatto obbligo agli OE e alle stazioni appaltanti di segnalare tempestivamente all'Autorità ogni variazione dei ruoli dei soggetti che sono stati preventivamente autorizzati ad operare secondo i profili dichiarati a sistema, nonché di eventuali utilizzi impropri ed irregolari del sistema;

g) l'OE, la stazione appaltante/ente aggiudicatore, l'organismo di attestazione si impegnano a comunicare tempestivamente incidenti sulla sicurezza qualora tali incidenti abbiano impatto direttamente o indirettamente sul FVOE, nonché ogni eventuale esigenza di aggiornamento di stato degli utenti gestiti (nuovi inserimenti, disabilitazioni, cancellazioni);

h) l'Autorità informa l'utenza del corretto utilizzo del sistema;

i) il tempo di conservazione dei dati relativi agli accessi e alle operazioni compiute nel sistema è fissato nel termine di centottanta giorni.