Regolamento sull'uso dei mezzi informatici - Ambito di Applicazione

1. Questo regolamento si applica ai collaboratori dell'amministrazione cantonale (escluse le scuole), ai membri del Consiglio di Stato, ai collaboratori del controllo finanziario, all'autorità di vigilanza sulla protezione dei dati, all'Ombudsman nonché ai tribunali del Cantone di Basilea-Campagna (di seguito «Collaboratori»).

2. Il regolamento deve essere firmato da tutti i collaboratori che utilizzano mezzi informatici. Le autorità superiori disciplinano la procedura per la firma.

3. Le modifiche al regolamento devono essere comunicate ai collaboratori in modo appropriato, ma hanno validità anche senza conferma scritta, a meno che un'altra disposizione non lo richieda.

1. Il Regolamento disciplina l'uso sicuro e legittimo dei mezzi informatici.

2. Ha lo scopo di proteggere le informazioni elettroniche in termini di riservatezza, disponibilità e integrità, di garantire l'uso economico dei mezzi informatici e di tutelare i diritti della personalità dei dipendenti.

1. I collaboratori sono personalmente responsabili per l'utilizzo dei mezzi informatici da loro impiegati nel rispetto dell'ordinamento giuridico vigente e del presente regolamento.

2. I superiori e i responsabili di progetto sono responsabili della comunicazione e dell'applicazione del regolamento.

1. Nell'impiego dei mezzi informatici si applicano in particolare la legge del 10 febbraio 2011 sull'informazione e la protezione dei dati, il regolamento del 4 dicembre 2012 relativo alla legge sull'informazione e la protezione dei dati, nonché il regolamento dell'11 marzo 2008 sulla sicurezza delle informazioni e le normative basate su di esso.

1. Ai sensi del presente regolamento si intende

a. * «Mezzi informatici»: tutti i dispositivi, programmi, strumenti e servizi che consentono l'elaborazione, l'archiviazione, l'interpretazione, la riproduzione e il trasporto dei dati;

b. «Hardware»: tutti i dispositivi tecnici che consentono l'elaborazione, l'archiviazione o la trasmissione dei dati (ad es. computer, notebook, memory stick, telefoni cellulari, smartphone e tablet);

c. «Software»: tutti i sistemi operativi e i programmi forniti sull'hardware;

d. «Dati»: informazioni trattate dal Cantone per adempiere alle proprie funzioni o che emergono in tale processo, indipendentemente dal supporto dati (ad es. hard disk, memory stick, notebook);

e. «Cloud»: infrastruttura virtuale o servizi offerti tramite una rete (ad es. spazio di archiviazione dati, capacità di calcolo, applicazioni);

f. «Social Media»: media digitali e tecnologie che permettono lo scambio di comunicazioni, opinioni e contenuti mediali individualmente o in comunità;

g. * «Accesso remoto»: l'accesso alle reti dell'amministrazione cantonale o ai sistemi a essa collegati dall'esterno dei locali dell'amministrazione cantonale (ad es. postazione di telelavoro/home office, lavoro mobile, dispositivo di terzi/dispositivo privato);

h. * «Dispositivo mobile»: mezzi informatici utilizzati in mobilità, che si distinguono in

1. Smartphone e tablet (sia aziendali che privati) utilizzati dai dipendenti per finalità aziendali; questi dispositivi non sono definiti nel dominio BL;

2. Dispositivi standard BL, definiti nel dominio BL e che possono essere utilizzati mobilmente (ad es. convertibili);

i. * «VDI» (Infrastruttura Desktop Virtuale): tecnologia che consente di gestire la postazione di lavoro dell'utente centralmente su un server; la postazione di lavoro viene raggiunta tramite un'applicazione speciale, che può essere installata e utilizzata su quasi tutti i dispositivi terminali.

1. I dipendenti devono utilizzare i mezzi informatici da essi impiegati con cura e in modo parsimonioso. In particolare, sono responsabili del fatto che l'utilizzo non provochi danni ai mezzi informatici stessi, ai sistemi e alle reti collegati, o ai dati ivi memorizzati.

2. Le misure di sicurezza adottate dal Cantone non possono essere manomesse o rimosse.

3. Se un dipendente non sta usando immediatamente un mezzo informatico, l'accesso a esso deve essere bloccato in modo tale che possa essere sbloccato solo con le proprie credenziali di accesso personali.

4. I dipendenti devono garantire che, nell'uso dei mezzi informatici e nella stampa di documenti, dati personali particolari e altre informazioni di contenuto protetto non possano essere visualizzati o gestiti da persone non autorizzate.

5. La stampa di documenti aziendali e dati di contenuto non pubblico è vietata al di fuori dell'ambiente lavorativo/telelavoro. Nell'ambiente lavorativo deve essere garantito che i dati non pubblici non possano essere visualizzati da persone non autorizzate.

6. Al termine del lavoro, il computer deve essere completamente spento. Ciò garantisce che gli aggiornamenti tecnici e di sicurezza vengano installati e attivati.

1. I collaboratori sono responsabili dell'uso appropriato dei dispositivi e delle misure di controllo accessi disponibili (ad es. scelta e custodia delle password, certificati, SmartCard).

2. Le password relative a mezzi di identificazione personale come, ad esempio, gli identificativi utente o le SmartCard, devono essere trattate con riservatezza e non possono essere divulgate.

1. Gli strumenti informatici vengono acquisiti dall'ufficio acquisti competente secondo le linee guida e gli standard vigenti.

1bis. Tutti gli strumenti informatici messi a disposizione rimangono di proprietà del Cantone.

1ter. Per il telelavoro non viene fornito supporto in loco. Sono disponibili i consueti strumenti e processi per la segnalazione di guasti e difetti.

2. L'installazione di software su hardware fornito dal Cantone (incluso VDI) e l'installazione e l'uso di hardware non fornito dal Cantone sul luogo di lavoro aziendale sono generalmente vietati. Le eccezioni richiedono una decisione del gruppo di lavoro di informatica, del consiglio ITO o del consiglio del governo.

3. I dipendenti sono obbligati a restituire gli strumenti informatici senza esserne richiesti in caso di cambio di posto di lavoro o di cessazione delle motivazioni che hanno portato alla loro assegnazione.

4. Prima dell'uscita, i dipendenti trasferiscono i dati rilevanti per l'attività dalla loro cartella personale (non privata) al punto designato dalla persona superiore. Dopo l'uscita, gli account utente e l'account e-mail (come tutte le altre cartelle personali e private) vengono disattivati e successivamente cancellati. Le e-mail e i dati privati possono essere portati via dai dipendenti.

1. Per motivi operativi o aziendali, la persona superiore può concedere, su richiesta, un'autorizzazione per l'accesso remoto. L'autorizzazione al telelavoro viene concessa secondo la direttiva dell'Ufficio del personale riguardante il telelavoro.

2. Se l'accesso remoto è autorizzato tramite un dispositivo di terze parti, il dipendente è responsabile di garantire una protezione malware funzionante e aggiornata su tale dispositivo.

3. Per l'accesso remoto, l'Informatica Centrale fornisce accessi sicuri.

3bis I dipendenti che dispongono di un dispositivo di lavoro mobile (ad es. convertibile) o che utilizzano un dispositivo finale privato, con software client VDI installato, devono accedere da remoto alla rete cantonale e ai sistemi connessi. I dispositivi stabiliscono automaticamente una connessione crittografata alla rete cantonale, tramite gli accessi forniti dall'Informatica Centrale. Questa connessione non può essere modificata o alterata in alcuna forma.

3ter Per il telelavoro, i dipendenti devono fornire una connessione Internet adeguata.

4. In caso di accesso remoto, ai dipendenti non vengono rimborsate le spese di installazione o di esercizio (elettricità, telefono, ecc.).

1. Le telefonate riservate devono avvenire senza ascoltatori non autorizzati. Gli assistenti vocali intelligenti (Alexa, Siri, ecc.) non devono essere a portata di orecchio.

2. Non devono essere effettuati screenshot di dati aziendali quando questi non sono archiviati nella memoria protetta (BL-Addon) sugli smartphone/tablet o nelle memorie di archiviazione dei Servizi Centrali di Informatica (Convertibles).

3. Gli utenti di un dispositivo mobile devono assicurarsi che le applicazioni e i programmi privati non accedano ai dati di contatto aziendali e che questi non vengano sincronizzati.

4. I dispositivi mobili non devono essere utilizzati da terzi; ciò include anche i familiari.

1. L'inoltro automatico da un account e-mail cantonale personale a indirizzi e-mail interni o esterni non è consentito.

2. In caso di assenza, nella risposta automatica del messaggio di assenza dall'account e-mail cantonale deve essere indicato un contatto alternativo.

3. Per le attività lavorative è consentito utilizzare esclusivamente l'account e-mail cantonale.

4. L'invio di e-mail contenenti informazioni aziendali al proprio account e-mail privato (ad es. per ulteriore elaborazione) non è consentito.

1. Le email riservate devono essere contrassegnate e inviate con l'opzione di riservatezza «Riservato».

2. I dati riservati, in particolare i dati personali, possono essere inviati a indirizzi email al di fuori dell'amministrazione solo in forma criptata o protetta da password. Devono essere utilizzate le tecniche offerte dal Cantone a tal fine.

1. Le e-mail private devono essere contrassegnate con l'opzione di riservatezza «Privato» e inviate senza firma cantonale alle condizioni del § 17.

2. La conservazione delle e-mail private deve avvenire nella cartella «Privato».

3. L'indirizzo e-mail cantonale non deve essere utilizzato per newsletter private, ordini, concorsi, social network o simili.

1. Ogni invio massivo a tutti i collaboratori dell'amministrazione cantonale richiede l'autorizzazione della segretaria generale o del segretario generale responsabile per il contenuto, della cancelliera o del cancelliere, delle direzioni del controllo finanziario e dell'ente di sorveglianza sulla protezione dei dati, del difensore civico o dell'amministrazione giudiziaria.

2. La Conferenza delle segretarie generali stabilisce chi ottiene l'autorizzazione tecnica per un tale invio.

1. I termini del calendario privati e confidenziali devono essere contrassegnati con l'opzione di riservatezza «Privato».

2. Documenti confidenziali possono essere allegati solo a termini del calendario contrassegnati come «Privato».

1. Tutti i dispositivi collegati alle reti dell'amministrazione cantonale utilizzano esclusivamente l'accesso a Internet offerto centralmente.

2. Non esiste un diritto legale di accesso a Internet.

3. Il Consiglio di Stato si riserva il diritto di bloccare o filtrare informazioni/pubblicazioni con contenuti inappropriati (ad esempio, pornografici, razzisticamente discriminatori, non etici, immorali).

4. I blocchi definitivi dovuti a esigenze di sicurezza o tecniche richiedono l'approvazione degli organi IT competenti.

1. L'utilizzo dei mezzi informatici deve avvenire nel rispetto dell'ordinamento giuridico vigente e tenendo conto degli interessi del cantone.

2. È particolarmente vietato accedere a dati con contenuti illeciti, che violano i diritti d'autore, razzisti, offensivi, pornografici o denigratori o diffonderli.

1. L'uso privato dei mezzi informatici è consentito, purché le risorse utilizzate (tempo di lavoro, capacità di rete, spazio di memoria, tempo e volume di connessione) siano trascurabili.

2. L'uso privato durante l'orario di lavoro non deve compromettere l'esecuzione dei compiti assegnati ed è da limitare al necessario assoluto.

3. ...

4. I costi per l'uso privato all'estero sono a carico dei dipendenti e devono essere contabilizzati secondo le istruzioni della Direzione Finanziaria e della Chiesa.

1. I dati che non sono pubblici o destinati alla pubblicazione devono essere archiviati nei depositi di dati dell'Informatica Centrale. In particolare, è vietato memorizzare tali dati su supporti privati (disco rigido nel PC o esterno, su dispositivi mobili o altri supporti di massa, USB, ecc.) o su internet (ad esempio, su un sito web, una piattaforma di social media o attraverso un account cloud aperto personalmente o messo a disposizione da terzi, come Dropbox, iCloud, ecc.).

2. Eventuali eccezioni richiedono l'autorizzazione del Consiglio ITO sulla base di un'analisi del rischio.

3. Il trasporto di dati riservati, in particolare dei dati personali, su supporti di dati deve avvenire solo in forma crittografata. Questi supporti di dati devono essere acquistati presso l'ufficio competente per gli approvvigionamenti.

4. I dati privati devono essere archiviati (sotto le condizioni di cui al § 17) in una cartella denominata "Privato".

1. Qualora si verifichi un'assenza imprevista di un* dipendente e si debba accedere ai suoi dati aziendali durante tale periodo, tale accesso ai dati deve essere approvato dalla Segretaria Generale o dal Segretario Generale, dalla Cancelliera o dal Cancelliere, dalle direzioni del Controllo Finanziario e dell'Autorità di Vigilanza sulla Protezione dei Dati, dall'Ombudspersona o dall'Amministrazione Giudiziaria caso per caso.

2. L'accesso avviene da parte della persona superiore gerarchica e di un'altra persona secondo il principio delle quattro occhi.

3. L'operazione viene documentata. Il verbale viene consegnato alla persona assente al suo rientro.

4. Se possibile, la persona assente deve essere informata anticipatamente dell'accesso.

1. Constatazioni su difetti tecnici e incidenti rilevanti per la sicurezza relativi a mezzi informatici (ad es. comportamento inspiegabile del sistema, perdita o modifica di dati e programmi, sospetto di abuso delle proprie credenziali utente, ecc.) devono essere segnalate immediatamente al Servizio di Assistenza.

2. Qualora l'informazione al Servizio di Assistenza possa dar luogo a un conflitto di interessi o se quest'ultimo non è raggiungibile, è necessario informare il/la superiore.

1. In caso di smarrimento di un dispositivo è obbligatorio informare l'helpdesk e sporgere denuncia di furto o smarrimento presso l'autorità di polizia competente.

2. La scheda SIM deve essere immediatamente bloccata dal dipendente presso il fornitore di servizi mobili.

3. Un'eventuale partecipazione ai danni da parte del dipendente è disciplinata dalla legge del 24 aprile 2008 sulla responsabilità del cantone e dei comuni.

1. I dati di protocollo servono esclusivamente alla sicurezza dei dati e per garantire un funzionamento regolare, a fini di controllo della protezione dei dati e di revisione IT. Non vengono utilizzati per una valutazione preventiva del comportamento o delle prestazioni.

2. La registrazione tiene conto delle disposizioni cantonali in materia di protezione dei dati e sicurezza delle informazioni e di ulteriori normative sulla conservazione dei documenti.

1. Le strutture designate dalla Segretaria Generale o dal Segretario Generale, dalla Cancelliere o dal Cancelliere, dalle Direzioni del Controllo Finanziario e dell'Ufficio per la Protezione dei Dati, dall'Ombudspersona e dall'Amministrazione Giudiziaria esaminano periodicamente una valutazione sommaria e anonima (senza riferimenti a persone specifiche) dell'utilizzo dei sistemi, delle applicazioni, delle reti, della corrispondenza e-mail, dell'accesso remoto e dell'accesso a Internet nonché dei dati memorizzati sui server.

2. Se dall'esame emergono sospetti di violazione del presente regolamento, rimangono riservati controlli adeguati personalizzati.

3. Un controllo preventivo personalizzato non è consentito.

4. In linea di principio, il personale viene informato in anticipo quando viene effettuato un controllo personalizzato. Si può rinunciare alla comunicazione preventiva, se

a. la sicurezza dei dati, in particolare la disponibilità del sistema, non può più essere garantita, oppure

b. esistono indizi di comportamenti illeciti, in particolare penalmente rilevanti.

5. Se in seguito al controllo personalizzato viene rilevato un abuso, ne viene informato l'ufficio competente o l'autorità di perseguimento penale.

6. La persona superiore può verificare i dati aziendali nella misura in cui ciò sia necessario per la sua attività di sorveglianza. Rimangono riservate disposizioni particolari di riservatezza nonché le disposizioni sul segreto d'ufficio.

1. Il Regolamento d'uso dei mezzi informatici del 17 dicembre 2002 è abrogato.

1. Il presente regolamento entra in vigore il 1º gennaio 2015.