Premesso:
- che in data 24/05/2016 è entrato in vigore il Regolamento UE 2016/679 sulla protezione dei dati personali (di seguito, Regolamento UE);
- che l'art. 32, comma 1, lett. D del Regolamento UE dispone che deve essere approntata una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento dei dati personali;
- che gli artt. 33 e 34 del Regolamento UE prescrivono l'obbligo di notificare e comunicare le violazioni dei dati personali all'Autorità Garante;

Dato atto:
- che con deliberazione della Giunta comunale PG. n. 191745/2018 Prog. n. 118/2018 del 15/05/2018, sono state definite le modalità per l'affidamento del servizio di supporto e della funzione di responsabile per la protezione dei dati, in attuazione del Regolamento UE;
- che con determinazione del Direttore del Settore Agenda digitale e Tecnologie informatiche PG. n. 207472/2018, esecutiva dal 22/05/2018, è stato affidato a Lepida Sp.A. il servizio di supporto e la funzione di responsabile per la protezione dei dati (RPD), per il periodo 1/06/2018-31/12/2021;
- che con determinazione del Direttore del Settore Agenda digitale e Tecnologie informatiche PG. n. 245724/2018, esecutiva dal 11/06/2018, è stato approvato il modello organizzativo del Comune di Bologna in materia di protezione dei dati personali, in esecuzione della deliberazione di Giunta comunale PG. n. 191745/2018 sopra citata;

Considerato:
- che per "incidente di sicurezza" deve intendersi la violazione o la minaccia imminente di violazione di una politica di sicurezza informatica, di politiche di utilizzo accettabili o di prassi standard di sicurezza, correlato ad una violazione di dati o informazioni;
- che occorre predisporre una metodologia che consenta di individuare, indirizzare e segnalare tempestivamente l'evento di rischio, in quanto la corretta gestione degli incidenti di sicurezza permette di evitare o minimizzare la compromissione dei dati dell'organizzazione in caso di incidente e di migliorare continuamente la capacità di risposta, attraverso l'analisi e la comprensione dei meccanismi di attacco e delle modalità utilizzate per la gestione dell'incidente;
- che è necessario, per dare attuazione agli obblighi previsti dal Regolamento UE, provvedere alla definizione di un modello che individui quali sono le violazioni che ricadono nell'ambito della suddetta normativa, i casi in cui l'Ente deve notificare la violazione dei dati personali all'Autorità Garante e agli interessati, le misure atte a trattare il rischio, il ruolo e le responsabilità della struttura operativa competente all'interno dell'Ente, in esecuzione della deliberazione della Giunta comunale PG. N. 191745/2018 sopra citata, e la documentazione da produrre;

Ritenuto pertanto:
- di approvare il modello di gestione "incidenti di sicurezza" del Comune di Bologna, nel testo allegato alla presente determinazione;
- di individuare come Responsabile per la gestione della sicurezza ICT il dott. Stefano Mineo (Responsabile della U.I. Sistemi Informativi);
- di individuare come Referenti per la gestione della sicurezza informatica e per il coordinamento del gruppo per la Gestione della Sicurezza ICT Marco Neri (Responsabile dell'U.O. Tecnologie per Applicativi) e l'ing Sauro Speranza (Responsabile dell'U.O. Esercizio e Tecnologie Infrastrutturali);

Dato atto che della presente determinazione è stata data preventiva informazione all'Assessore Matteo Lepore;

Visto l'art. 107 del D.Lgs. 18 agosto 2000 n. 267;

Visto l'art. 44 dello Statuto del Comune di Bologna;


1. di adottare, per le ragioni esposte in premessa, il modello di gestione incidenti di sicurezza del Comune di Bologna, di cui al documento allegato, inteso a regolare la gestione degli incidenti di sicurezza informatica che possono occorrere ai servizi ed ai dati gestiti, con annesso schema del rapporto incidente di sicurezza;
2. di individuare come Responsabile per la gestione della sicurezza ICT il dott. Stefano Mineo (Responsabile della U.I. Sistemi Informativi);
3. di individuare come Referenti per la gestione della sicurezza informatica e per il coordinamento del gruppo per la Gestione della Sicurezza ICT Marco Neri (Responsabile dell'U.O. Tecnologie per Applicativi) e l'ing Sauro Speranza (Responsabile dell'U.O. Esercizio e Tecnologie Infrastrutturali);
4. di dare atto che della presente determinazione sarà data informazione mediante pubblicazione sulla Intranet aziendale.