DECRETO DEL PRESIDENTE DELLA REPUBBLICA 7 aprile 2016, n. 87

Entrata in vigore del provvedimento: 10/06/2016

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 87 e 117 della Costituzione;

Visto l'articolo 17, comma 2, della legge 23 agosto 1988, n. 400;

Vista la legge 30 giugno 2009, n. 85, e, in particolare, l'articolo 16 in base al quale sono disciplinati, con uno o piu' regolamenti, l'organizzazione, il funzionamento, le modalita' di accesso alla banca dati nazionale del DNA e al laboratorio centrale per la banca dati nazionale del DNA, nonche' i criteri e le modalita' tecniche e procedurali per il prelievo e la conservazione dei campioni biologici, nonche' l'articolo 13, comma 4, della medesima legge n. 85 del 2009 in base al quale, con i predetti regolamenti, sono definiti, d'intesa con il Garante per la protezione dei dati personali, i tempi di conservazione dei campioni biologici e dei profili del DNA inseriti nella banca dati nazionale del DNA;

Vista la decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI sul potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalita' transfrontaliera;

Vista la decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI relativa all'attuazione della decisione 2008/615/GAI sul potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalita' transfrontaliera;

Visto il regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/1993;

Vista la decisione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/905/GAI sull'accreditamento dei fornitori di servizi forensi che effettuano attivita' di laboratorio a norma EN ISO/IEC 17025;

Vista la risoluzione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/C 296/01 sullo scambio dei risultati delle analisi del DNA;

Ritenuto opportuno disciplinare con un unico regolamento i predetti aspetti riguardanti la banca dati nazionale del DNA e il laboratorio centrale per la banca dati nazionale del DNA;

Acquisito in data 31 luglio 2014 il parere del Garante per la protezione dei dati personali, d'intesa con il quale sono stati definiti i tempi di conservazione dei campioni biologici e dei profili del DNA inseriti nella banca dati nazionale del DNA;

Acquisito in data 5 agosto 2014 il parere del Comitato nazionale per la biosicurezza, le biotecnologie e le scienze della vita (CNBBSV), ribadito in data 27 gennaio 2016;

Vista la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del 3 luglio 2015;

Udito il parere del Consiglio di Stato, espresso dalla Sezione consultiva per gli atti normativi nell'Adunanza del 27 agosto 2015;

Acquisito il parere reso dalle competenti Commissioni parlamentari della Camera dei deputati e del Senato della Repubblica;

Vista la deliberazione del Consiglio dei ministri, adottata nella riunione del 25 marzo 2016;

Sulla proposta del Presidente del Consiglio dei ministri, del Ministro della giustizia, del Ministro dell'interno, del Ministro della salute e del Ministro del lavoro e delle politiche sociali, di concerto con i Ministri della difesa, dell'economia e delle finanze e delle politiche agricole alimentari e forestali;

Emana

il seguente regolamento:

Capo I Disposizioni generali

Art. 1

O g g e t t o

1.Il presente regolamento disciplina le modalita' di funzionamento ed organizzazione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA, di cui all'articolo 5 della legge 30 giugno 2009, n. 85.

2.Il presente regolamento disciplina altresi' lo scambio di dati sul DNA per le finalita' di cooperazione transfrontaliera di cui alle decisioni del Consiglio dell'Unione europea n. 2008/615/GAI e n. 2008/616/GAI del 23 giugno 2008, concernenti il potenziamento della cooperazione transfrontaliera soprattutto nella lotta al terrorismo e alla criminalita' transfrontaliera, nonche' per finalita' di collaborazione internazionale di polizia ai sensi dell'articolo 12 della legge n. 85 del 2009.

3.Il trattamento dei dati personali in applicazione del presente regolamento e' effettuato nel rispetto della disciplina in materia di protezione dei dati personali, in conformita' al Codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni.

N O T E Avvertenza: - Il testo delle note qui pubblicato e' stato redatto dall'amministrazione competente per materia, ai sensi dell'art. 10, comma 3, del testo unico delle disposizioni sulla promulgazione delle leggi, sull'emanazione dei decreti del Presidente della Repubblica e sulle pubblicazioni ufficiali della Repubblica italiana, approvato con decreto del Presidente della Repubblica 28 dicembre 1985, n. 1092, al solo fine di facilitare la lettura delle disposizioni di legge alle quali e' operato il rinvio. Restano invariati il valore e l'efficacia degli atti legislativi qui trascritti. Nota al titolo: - Si riporta il testo dell'art. 16 della legge 30 giugno 2009, n. 85 (Adesione della Repubblica italiana al Trattato concluso il 27 maggio 2005 tra il Regno del Belgio, la Repubblica federale di Germania, il Regno di Spagna, la Repubblica francese, il Granducato di Lussemburgo, il Regno dei Paesi Bassi e la Repubblica d'Austria, relativo all'approfondimento della cooperazione transfrontaliera, in particolare allo scopo di contrastare il terrorismo, la criminalita' transfrontaliera e la migrazione illegale (Trattato di Prum). Istituzione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA. Delega al Governo per l'istituzione dei ruoli tecnici del Corpo di polizia penitenziaria. Modifiche al codice di procedura penale in materia di accertamenti tecnici idonei ad incidere sulla liberta' personale), pubblicata nella Gazzetta Ufficiale 13 luglio 2009, n. 160, S.O.: «Art. 16 (Regolamenti di attuazione). - 1. Con uno o piu' regolamenti adottati, entro quattro mesi dalla data di entrata in vigore della presente legge, ai sensi dell'art. 17, comma 2, della legge 23 agosto 1988, n. 400, su proposta del Ministro della giustizia, del Ministro dell'interno e del Ministro del lavoro, della salute e delle politiche sociali, di concerto con il Ministro della difesa, con il Ministro dell'economia e delle finanze e con il Ministro delle politiche agricole alimentari e forestali, sentiti il Garante per la protezione dei dati personali e il CNBBSV, sono disciplinati, in conformita' ai principi e ai criteri direttivi della presente legge: a) il funzionamento e l'organizzazione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA, le modalita' di trattamento e di accesso per via informatica e telematica ai dati in essi raccolti, nonche' le modalita' di comunicazione dei dati e delle informazioni richieste; b) le tecniche e le modalita' di analisi e conservazione dei campioni biologici, nonche', nel rispetto delle disposizioni di cui all'art. 13, comma 4, i tempi di conservazione dei campioni biologici e dei profili del DNA; c) le attribuzioni del responsabile della banca dati nazionale del DNA e del responsabile del laboratorio centrale per la banca dati nazionale del DNA, nonche' le competenze tecnico-professionali del personale ad essa addetto; d) le modalita' e i termini di esercizio dei poteri conferiti dall'art. 15 al CNBBSV; e) le modalita' di cancellazione dei profili del DNA e di distruzione dei relativi campioni biologici nei casi previsti dall'art. 13; f) i criteri e le procedure da seguire per la cancellazione dei profili del DNA e la distruzione dei relativi campioni biologici, anche a seguito di riscontro positivo tra i profili del DNA oggetto di verifica, al fine di evitare la conservazione, nella banca dati e nel laboratorio centrale, di piu' profili del DNA e piu' campioni biologici relativi al medesimo soggetto. 2. Gli schemi dei regolamenti di cui al comma 1 sono trasmessi alle Camere, ai fini dell'espressione dei pareri da parte delle Commissioni competenti per materia. I pareri sono resi entro il termine di quindici giorni dalla data di trasmissione, decorso il quale i regolamenti sono adottati anche in mancanza dei pareri. Qualora detto termine venga a scadere nei quindici giorni antecedenti allo spirare del termine previsto dall'alinea del comma 1 o successivamente, la scadenza di quest'ultimo e' prorogata di trenta giorni.". Note alle premesse: - L'art. 87 della Costituzione conferisce, tra l'altro, il potere di promulgare le leggi ed emanare i decreti aventi valore di legge ed i regolamenti. - L'art. 117 della Costituzione dispone, tra l'altro, che la potesta' legislativa e' esercitata dallo Stato e dalle Regioni nel rispetto della Costituzione, nonche' dei vincoli derivanti dall'ordinamento comunitario e dagli obblighi internazionali. - Si riporta il testo dell'art. 17, comma 2, della legge 23 agosto 1988, n. 400 (Disciplina dell'attivita' di Governo e ordinamento della Presidenza del Consiglio dei ministri): «Art. 17 (Regolamenti). - (Omissis). 2. Con decreto del Presidente della Repubblica, previa deliberazione del Consiglio dei ministri, sentito il Consiglio di Stato e previo parere delle Commissioni parlamentari competenti in materia, che si pronunciano entro trenta giorni dalla richiesta, sono emanati i regolamenti per la disciplina delle materie, non coperte da riserva assoluta di legge prevista dalla Costituzione, per le quali le leggi della Repubblica, autorizzando l'esercizio della potesta' regolamentare del Governo, determinano le norme generali regolatrici della materia e dispongono l'abrogazione delle norme vigenti, con effetto dall'entrata in vigore delle norme regolamentari. (Omissis).». - Per l'art. 16 della citata legge 30 giugno 2009, n. 85 si veda nella nota al titolo. - Si riporta il testo dell'art. 13, comma 4, della citata 30 giugno 2009, n. 85: «Art. 13 (Cancellazione dei dati e distruzione dei campioni biologici). - (Omissis). 4. In ogni altro caso, il profilo del DNA resta inserito nella banca dati nazionale del DNA per i tempi stabiliti nel regolamento d'attuazione, d'intesa con il Garante per la protezione dei dati personali, e comunque non oltre quaranta anni dall'ultima circostanza che ne ha determinato l'inserimento, e il campione biologico e' conservato per i tempi stabiliti nel regolamento di attuazione, d'intesa con il Garante per la protezione dei dati personali, e comunque non oltre venti anni dall'ultima circostanza che ne ha determinato il prelievo.». - La decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI (Decisione del Consiglio sul potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalita' transfrontaliera) e' pubblicata nella G.U.U.E. 6 agosto 2008, n. L 210. - La decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI (Decisione del Consiglio relativa all'attuazione della Decisione 2008/615/GAI sul potenziamento della cooperazione transfrontaliera, soprattutto nella lotta al terrorismo e alla criminalita' transfrontaliera) e' pubblicata nella G.U.U.E. 6 agosto 2008, n. L 210. - Il Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339/1993, e' pubblicato nella G.U.U.E. 13 agosto 2008, n. L 218. - La decisione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/905/GAI (Decisione Quadro del Consiglio sull'accreditamento dei fornitori di servizi forensi che effettuano attivita' di laboratorio) e' pubblicata nella G.U.U.E. 9 dicembre 2009, n. L 322. - La risoluzione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/C 296/01 (Progetto di Risoluzione del Consiglio del 30 novembre 2009 sullo scambio dei risultati delle analisi del DNA) e' pubblicata nella G.U.U.E. 5 dicembre 2009. Note all'art. 1: - Si riporta il testo degli articoli 5 e 12 della citata legge 30 giugno 2009, n. 85: «Art. 5 (Istituzione della banca dati nazionale del DNA e del laboratorio centrale per la banca dati nazionale del DNA). - 1. Al fine di facilitare l'identificazione degli autori dei delitti, presso il Ministero dell'interno, Dipartimento della pubblica sicurezza, e' istituita la banca dati nazionale del DNA. 2. Presso il Ministero della giustizia, Dipartimento dell'amministrazione penitenziaria, e' istituito il laboratorio centrale per la banca dati nazionale del DNA.»; «Art. 12 (Trattamento e accesso ai dati; tracciabilita' dei campioni). - 1. I profili del DNA e i relativi campioni non contengono le informazioni che consentono l'identificazione diretta del soggetto cui sono riferiti. 2. L'accesso ai dati contenuti nella banca dati nazionale del DNA e' consentito alla polizia giudiziaria e all'autorita' giudiziaria esclusivamente per fini di identificazione personale, nonche' per le finalita' di collaborazione internazionale di polizia. L'accesso ai dati contenuti nel laboratorio centrale per la banca dati nazionale del DNA e' consentito ai medesimi soggetti e per le medesime finalita', previa autorizzazione dell'autorita' giudiziaria. 3. Il trattamento e l'accesso ai dati contenuti nella banca dati nazionale del DNA e nel laboratorio centrale per la banca dati nazionale del DNA sono effettuati con modalita' tali da assicurare l'identificazione dell'operatore e la registrazione di ogni attivita'. E' altresi' assicurata la registrazione di ogni attivita' concernente i campioni. 4. Il trattamento e l'accesso ai dati contenuti nella banca dati nazionale del DNA e nel laboratorio centrale per la banca dati nazionale del DNA sono riservati al personale espressamente autorizzato. 5. Il personale addetto alla banca dati nazionale del DNA e al laboratorio centrale per la banca dati nazionale del DNA e' tenuto al segreto per gli atti, i dati e le informazioni di cui sia venuto a conoscenza a causa o nell'esercizio delle proprie funzioni.». - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI si veda nelle note alle premesse. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI si veda nelle note alle premesse. - Il decreto legislativo 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali) e' pubblicato nella Gazzetta Ufficiale 29 luglio 2003, n. 174, S.O.

Art. 2

Definizioni

Note all'art. 2: - Si riporta il testo dell'art. 9 della citata legge 30 giugno 2009, n. 85: «Art. 9 (Prelievo di campione biologico e tipizzazione del profilo del DNA). - 1. Ai fini dell'inserimento del profilo del DNA nella banca dati nazionale del DNA, sono sottoposti a prelievo di campioni biologici: a) i soggetti ai quali sia applicata la misura della custodia cautelare in carcere o quella degli arresti domiciliari; b) i soggetti arrestati in flagranza di reato o sottoposti a fermo di indiziato di delitto; c) i soggetti detenuti o internati a seguito di sentenza irrevocabile, per un delitto non colposo; d) i soggetti nei confronti dei quali sia applicata una misura alternativa alla detenzione a seguito di sentenza irrevocabile, per un delitto non colposo; e) i soggetti ai quali sia applicata, in via provvisoria o definitiva, una misura di sicurezza detentiva. 2. Il prelievo di cui al comma 1 puo' essere effettuato esclusivamente se si procede nei confronti dei soggetti di cui al comma 1 per delitti, non colposi, per i quali e' consentito l'arresto facoltativo in flagranza. Il prelievo non puo' essere effettuato se si procede per i seguenti reati: a) reati di cui al libro II, titolo III, capo I, tranne quelli di cui agli articoli 368, 371-bis, 371-ter, 372, 374 aggravato ai sensi dell'art. 375, 378 e 379, e capo II, tranne quello di cuiall'art. 390, del codice penale; b) reati di cui al libro II, titolo VII, capo I, tranne quelli di cui all'art. 453, e capo II, del codice penale; c) reati di cui al libro II, titolo VIII, capo I, tranne quelli di cui all'art. 499, e capo II, tranne quello di cui all'art. 513-bis, del codice penale; d) reati di cui al libro II, titolo XI, capo I, del codice penale; e) reati di cui al regio decreto 16 marzo 1942, n. 267; f) reati previsti dal codice civile; g) reati in materia tributaria; h) reati previsti dal testo unico delle disposizioni in materia di intermediazione finanziaria, di cui aldecreto legislativo 24 febbraio 1998, n. 58. 3. Nel caso di arresto in flagranza di reato o di fermo di indiziato di delitto, il prelievo e' effettuato dopo la convalida da parte del giudice. 4. I soggetti indicati al comma 1 sono sottoposti a prelievo di campioni di mucosa del cavo orale a cura del personale specificamente addestrato delle Forze di polizia o di personale sanitario ausiliario di polizia giudiziaria. 5. Le operazioni sono eseguite nel rispetto della dignita', del decoro e della riservatezza di chi vi e' sottoposto. Delle operazioni di prelievo e' redatto verbale. 6. Il campione prelevato e' immediatamente inviato, a cura del personale procedente, al laboratorio centrale di cui all'art. 5, comma 2, per la tipizzazione del relativo profilo e la successiva trasmissione alla banca dati del DNA.». - Per il testo dell'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI si veda nelle note alle premesse. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI si veda nelle note alle premesse.

Capo II Organizzazione e funzionamento della banca dati e del laboratorio centrale, modalità di acquisizione di campioni biologici, di gestione e tipizzazione dei profili del DNA, di trattamento e di accesso ai dati Sezione I Organizzazione e funzionamento della banca dati e del laboratorio centrale

Art. 3

Organizzazione e funzionamento della banca dati e misure di sicurezza

1.La banca dati e' collocata presso il Ministero dell'interno, Dipartimento della pubblica sicurezza, Servizio per il sistema informativo interforze della Direzione centrale della Polizia criminale.

2.La banca dati e' organizzata secondo criteri di separazione logica e fisica dagli altri sistemi informatici gestiti dal Centro elaborazione dati di cui all'articolo 8 della legge 1° aprile 1981, n. 121, al fine di garantirne la piena autonomia rispetto a questi ultimi.

3.La banca dati e' predisposta per la raccolta ed il raffronto dei profili del DNA, secondo quanto previsto dalla legge. Per la gestione dei profili del DNA il software della banca dati e' organizzato su due livelli.

4.Il primo livello e' impiegato ai fini investigativi in ambito nazionale. Il secondo livello e' impiegato anche per le finalita' di collaborazione internazionale di polizia in conformita' alle decisioni del Consiglio dell'Unione europea n. 2008/615/GAI e n. 2008/616/GAI, e successive modificazioni, nonche' per finalita' di collaborazione internazionale di polizia ai sensi dell'articolo 12 della legge, secondo le modalita' di cui all'articolo 10 ed al Capo III.

5.La continuita' di funzionamento della banca dati e' assicurata da uno specifico sistema secondario remoto, attivato in caso di disastro o di altro evento di eccezionale gravita' dichiarato dal responsabile di cui all'articolo 26, e adottato in conformita' a quanto previsto dall'articolo 50-bis del decreto legislativo 7 marzo 2005, n. 82.

6.Per il sistema secondario di cui al comma 5 sono adottate le stesse misure di sicurezza, anche fisiche e logiche, relative al trattamento dei dati, previste per la banca dati.

7.Gli accessi alla banca dati e le operazioni di trattamento dei dati sono riservati ai soli operatori abilitati e designati incaricati del trattamento dei dati personali ai sensi dell'articolo 28 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, secondo predefiniti profili di autorizzazione, in possesso di credenziali di autenticazione previo superamento di una procedura informatica di autenticazione forte.

8.Per le esclusive finalita' di verifica della liceita' dei trattamenti, gli accessi e le operazioni di cui al comma 7 sono registrati in appositi file di log non modificabili che sono conservati per venti anni.

9.Con decreto del Ministro dell'interno di concerto con il Ministro della giustizia, sentito il Garante per la protezione dei dati personali, da adottare entro trenta giorni dalla data di entrata in vigore del presente regolamento, sono definiti i profili di autorizzazione, le procedure di autenticazione, di registrazione e di analisi dei log.

Note all'art. 3: - Si riporta il testo dell'art. 8 della legge 1° aprile 1981, n. 121 (Nuovo ordinamento dell'Amministrazione della pubblica sicurezza): «Art. 8 (Istituzione del Centro elaborazione dati). - E' istituito presso il Ministero dell'interno, nell'ambito dell'ufficio di cui alla lettera c) del primo comma dell'art. 5, il Centro elaborazione dati, per la raccolta delle informazioni e dei dati di cui all'art. 6, lettera a), e all'art. 7. Il Centro provvede alla raccolta, elaborazione, classificazione e conservazione negli archivi magnetici delle informazioni e dei dati nonche' alla loro comunicazione ai soggetti autorizzati, indicati nell'art. 9, secondo i criteri e le norme tecniche fissati ai sensi del comma seguente. Con decreto del Ministro dell'interno e' costituita una commissione tecnica, presieduta dal funzionario preposto all'ufficio di cui alla lettera c) del primo comma dell'art. 5, per la fissazione dei criteri e delle norme tecniche per l'espletamento da parte del Centro delle operazioni di cui al comma precedente e per il controllo tecnico sull'osservanza di tali criteri e norme da parte del personale operante presso il Centro stesso. I criteri e le norme tecniche predetti divengono esecutivi con l'approvazione del Ministro dell'interno.». - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI si veda nelle note alle premesse. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI si veda nelle note alle premesse. - Per l'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1. - Si riporta il testo dell'art. 50-bis del decreto legislativo 7 marzo 2005, n. 82 (Codice dell'amministrazione digitale) pubblicato nella Gazzetta Ufficiale 16 maggio 2005, n. 112, S.O.: «Art. 50-bis (Continuita' operativa). - 1. In relazione ai nuovi scenari di rischio, alla crescente complessita' dell'attivita' istituzionale caratterizzata da un intenso utilizzo della tecnologia dell'informazione, le pubbliche amministrazioni predispongono i piani di emergenza in grado di assicurare la continuita' delle operazioni indispensabili per il servizio e il ritorno alla normale operativita'. 2. Il Ministro per la pubblica amministrazione e l'innovazione assicura l'omogeneita' delle soluzioni di continuita' operativa definite dalle diverse Amministrazioni e ne informa con cadenza almeno annuale il Parlamento. 3. A tali fini, le pubbliche amministrazioni definiscono: a) il piano di continuita' operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuita' operativa, anche affidate a soggetti esterni. Il piano tiene conto delle potenziali criticita' relative a risorse umane, strutturali, tecnologiche e contiene idonee misure preventive. Le amministrazioni pubbliche verificano la funzionalita' del piano di continuita' operativa con cadenza biennale; b) il piano di disaster recovery, che costituisce parte integrante di quello di continuita' operativa di cui alla lettera a) e stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri di elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione. DigitPA, sentito il Garante per la protezione dei dati personali, definisce le linee guida per le soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche, verifica annualmente il costante aggiornamento dei piani di disaster recovery delle amministrazioni interessate e ne informa annualmente il Ministro per la pubblica amministrazione e l'innovazione. 4. I piani di cui al comma 3 sono adottati da ciascuna amministrazione sulla base di appositi e dettagliati studi di fattibilita' tecnica; su tali studi e' obbligatoriamente acquisito il parere di DigitPA.». - Si riporta il testo dell'art. 28 del decreto legislativo 30 giugno 2003, n. 196: «Art. 28 (Titolare del trattamento). - 1. Quando il trattamento e' effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento e' l'entita' nel suo complesso o l'unita' od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalita' e sulle modalita' del trattamento, ivi compreso il profilo della sicurezza.».

Art. 4

Organizzazione e funzionamento del laboratorio centrale e misure di sicurezza

1.Il laboratorio centrale e' collocato presso il Ministero della giustizia, Dipartimento dell'amministrazione penitenziaria - ((Direzione generale delle specialita' del Corpo di polizia penitenziaria)).

3.Il laboratorio centrale per la gestione complessiva del flusso del lavoro e dei dati di laboratorio si avvale di un LIMS che assicura la tracciabilita' del campione biologico, delle varie fasi della tipizzazione del DNA e delle operazioni effettuate dal personale addetto, ivi inclusi gli amministratori di sistema, e la registrazione non modificabile di tutte le variazioni apportate ai dati.

4.La continuita' del funzionamento di un LIMS del laboratorio centrale e' assicurata da uno specifico sistema di misure tecnologiche di back-up del LIMS il cui accesso e' riservato ai soli operatori autorizzati mediante una procedura di autenticazione e autorizzazione.

5.Gli accessi al sistema LIMS del laboratorio centrale sono riservati ai soli operatori abilitati, secondo predefiniti profili di autorizzazione, previo superamento di una procedura di autenticazione. Gli accessi e le operazioni effettuate sul sistema LIMS sono registrati in appositi file di log non modificabili. Le registrazioni degli accessi sono conservate per venti anni. Le registrazioni delle operazioni sono conservate per dieci anni. I profili di autorizzazione, le procedure di autenticazione, di registrazione e di analisi dei log, sono specificati nel decreto di cui all'articolo 3, comma 9.

6.Gli accessi ai locali e agli armadi adibiti alla conservazione dei campioni biologici e degli elettroferogrammi sono riservati ai soli operatori abilitati e in possesso di apposite chiavi di accesso e sono registrati, secondo le regole indicate dal decreto di cui all'articolo 3, comma 9.

Sezione II Modalità di acquisizione dei campioni biologici e di gestione e tipizzazione dei profili del DNA

Art. 5

Acquisizione del campione biologico dei soggetti di cui all'articolo 9 della legge

1.I soggetti di cui all'articolo 9 della legge sono sottoposti al prelievo di due campioni di mucosa orale, allo scopo di consentire l'eventuale ripetizione della tipizzazione del DNA, previa identificazione degli stessi tramite accesso telematico all'AFIS e registrazione delle operazioni di identificazione e prelievo, a cura dell'organo procedente, nel sistema AFIS. Il prelievo e' effettuato soltanto se il soggetto non e' stato gia' sottoposto in precedenza ad analoga operazione, salvi i casi in cui sia stata gia' disposta la distruzione del campione ai sensi dell'articolo 24 e ricorrano nuovamente i presupposti di cui all'articolo 9 della legge, ferma restando la registrazione nel sistema AFIS ai fini dell'aggiornamento del dato.

2.Salvo quanto previsto al comma 3, al prelievo provvede, sia per i soggetti minorenni che per gli adulti, il personale di Polizia penitenziaria, specificamente formato e addestrato.

7.Il flusso del campione biologico, dal momento del prelievo fino all'arrivo al laboratorio centrale e' gestito attraverso una procedura informatizzata, raggiungibile dal portale della banca dati, riservata ai soli operatori autorizzati mediante una procedura di autenticazione e autorizzazione.

Note all'art. 5: - Per il testo dell'art. 9 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 2.

Art. 6

Prelievo, gestione e tipizzazione del profilo del DNA del reperto biologico acquisito nel corso di procedimenti penali, nel caso di denuncia di persone scomparse e nel caso di rinvenimento di cadaveri e resti cadaverici non identificati

1.Nei casi di denuncia di scomparsa di una persona, la polizia giudiziaria acquisisce, ove ritenuto necessario, gli elementi informativi della persona scomparsa e gli oggetti ad uso esclusivo della stessa, al fine di ottenerne il profilo del DNA. Per la denuncia di scomparsa, formulata ai sensi della legge 14 novembre 2012, n. 203, gli organi di polizia danno, altresi', contestuale comunicazione della predetta attivita' al prefetto competente per il tempestivo e diretto coinvolgimento del Commissario straordinario del Governo per le persone scomparse, nominato ai sensi dell'articolo 11 della legge 23 agosto 1988, n. 400. Per incrementare il potere identificativo del profilo di DNA, puo' essere richiesto ai consanguinei di sottoporsi volontariamente al prelievo biologico. In questo caso il soggetto e' sottoposto ad una procedura di identificazione mediante acquisizione dei suoi dati anagrafici e degli estremi del documento di identificazione.

2.I dati anagrafici dei soggetti consanguinei di cui al comma 1 sono inseriti in un sottoinsieme dell'AFIS ed i profili del DNA conservati in un sottoinsieme della banca dati consultabili solo ai fini dell'identificazione della persona scomparsa.

3.L'operatore che accede al sottoinsieme di AFIS, prima di effettuare il prelievo di campione di mucosa orale del consanguineo, verifica l'eventuale presenza di un precedente prelievo. In caso di esito negativo effettua il prelievo di due campioni della mucosa orale e l'operazione di prelievo viene registrata dall'organo procedente nel sottoinsieme di AFIS secondo le modalita' di cui all'articolo 5.

4.Per la gestione complessiva del flusso dei dati di laboratorio, i laboratori delle Forze di polizia o i laboratori degli istituti di elevata specializzazione si avvalgono di un sistema LIMS secondo le modalita' di cui all'articolo 4, comma 3, che assicura la tracciabilita' del reperto biologico, delle varie fasi della tipizzazione del DNA e delle operazioni effettuate dal personale addetto al laboratorio, ivi compresi gli amministratori di sistema, e la registrazione non modificabile di tutte le variazioni apportate ai dati.

5.Il personale in servizio presso i laboratori procede al trattamento del reperto biologico utilizzando un LIMS che genera automaticamente il codice reperto biologico. Il suddetto codice, utilizzato nel laboratorio durante le varie fasi della tipizzazione del profilo del DNA, non consente l'identificazione diretta del reperto biologico.

6.Il personale in servizio presso i laboratori delle Forze di polizia, dopo aver proceduto alla tipizzazione del reperto biologico, su disposizione dell'Autorita' giudiziaria provvede all'inserimento per via telematica nella banca dati del profilo del DNA, del relativo numero di riferimento, del codice ente e del codice laboratorio.

7.L'inserimento per via telematica dei profili del DNA e dei dati di cui al comma 6 ottenuti dai reperti biologici nel corso di procedimenti penali la cui tipizzazione non sia stata effettuata dai laboratori delle Forze di polizia viene effettuato dal personale del laboratorio della Forza di polizia indicata dall'Autorita' giudiziaria. La trasmissione del profilo del DNA da parte dell'istituto di elevata specializzazione, per via telematica, verso il laboratorio della Forza di polizia individuato dall'Autorita' giudiziaria, avviene secondo le regole indicate dal decreto di cui all'articolo 3, comma 9.

8.L'elettroferogramma utilizzato da laboratori accreditati appartenenti ad istituzioni di elevata specializzazione, di cui all'articolo 10, comma 1, della legge, diversi da quelli delle Forze di polizia e dal laboratorio centrale, per estrapolare il profilo del DNA viene conservato, a fini di verifica e qualita' del dato, agli atti del medesimo laboratorio che ha proceduto alla tipizzazione del profilo del DNA in forma non consultabile con modalita' di ricerche automatizzate e trasmesso alla banca dati in formato elettronico ai fini di cui all'articolo 13, comma 4, attraverso un'applicazione del medesimo portale riservata ai soli operatori specificatamente abilitati mediante una procedura di autenticazione e autorizzazione.

9.Le disposizioni del presente articolo, in quanto compatibili, si applicano anche nel caso di rinvenimento di cadaveri e resti cadaverici non identificati.

Note all'art. 6: - La legge 14 novembre 2012, n. 203 (Disposizioni per la ricerca delle persone scomparse) e' pubblicata nella Gazzetta Ufficiale 28 novembre 2012, n. 278. - Si riporta il testo dell'art. 11 della citata legge 23 agosto 1988, n. 400: «Art. 11 (Commissari straordinari del Governo). - 1. Al fine di realizzare specifici obiettivi determinati in relazione a programmi o indirizzi deliberati dal Parlamento o dal Consiglio dei ministri o per particolari e temporanee esigenze di coordinamento operativo tra amministrazioni statali, puo' procedersi alla nomina di commissari straordinari del Governo, ferme restando le attribuzioni dei Ministeri, fissate per legge. 2. La nomina e' disposta con decreto del Presidente della Repubblica, su proposta del Presidente del Consiglio dei ministri, previa deliberazione del Consiglio dei ministri. Con il medesimo decreto sono determinati i compiti del commissario e le dotazioni di mezzi e di personale. L'incarico e' conferito per il tempo indicato nel decreto di nomina, salvo proroga o revoca. Del conferimento dell'incarico e' data immediata comunicazione al Parlamento e notizia nella Gazzetta Ufficiale. 3. Sull'attivita' del commissario straordinario riferisce al Parlamento il Presidente del Consiglio dei ministri o un ministro da lui delegato.». - Si riporta il testo dell'art. 10 della citata legge 30 giugno 2009, n. 85: «Art. 10 (Profili del DNA tipizzati da reperti biologici acquisiti nel corso di procedimenti penali). - 1. Se, nel corso del procedimento penale, a cura dei laboratori delle Forze di polizia o di altre istituzioni di elevata specializzazione, sono tipizzati profili del DNA da reperti biologici a mezzo di accertamento tecnico, consulenza tecnica o perizia, l'autorita' giudiziaria procedente dispone la trasmissione degli stessi alla banca dati nazionale del DNA, per la raccolta e i confronti. 2. Se non sono state effettuate le analisi di cui al comma 1, dopo il passaggio in giudicato della sentenza, ovvero in seguito all'emanazione del decreto di archiviazione, il pubblico ministero competente ai sensi dell'art. 655, comma 1, del codice di procedura penale puo' chiedere al giudice dell'esecuzione di ordinare la trasmissione dei reperti ad un laboratorio delle Forze di polizia ovvero di altre istituzioni di elevata specializzazione per la tipizzazione dei profili e la successiva trasmissione degli stessi alla banca dati nazionale del DNA.».

Sezione III Modalità di trattamento e di accesso per via informatica e telematica ai dati raccolti nella banca dati e nel laboratorio centrale

Art. 7

Alimentazione della banca dati

1.La banca dati e' alimentata dagli operatori di polizia giudiziaria incaricati del trattamento dei dati personali specificamente abilitati, in servizio presso i laboratori delle Forze di polizia e il laboratorio centrale, mediante inserimento per via telematica del profilo del DNA e del relativo numero di riferimento, del codice ente e del codice laboratorio. Fatto salvo quanto disposto dagli articoli 25, comma 4, 29, comma 4, 30, comma 1, lettera a), e 31, comma 2, l'ulteriore trattamento dei dati e' consentito al predetto personale esclusivamente per finalita' di verifica della corrispondenza con la sequenza numerica dell'elettroferogramma fornita dal laboratorio. Al predetto personale e al personale in servizio presso la banca dati e' vietato l'accesso al sistema AFIS.

2.La decodifica del codice prelievo e' effettuata da personale abilitato all'utilizzo del sistema AFIS, specificamente abilitato alla predetta operazione, con modalita' che consentano la tracciatura delle operazioni effettuate. Al personale abilitato all'utilizzo del sistema AFIS e' vietato l'accesso ai LIMS dei laboratori, nonche' alla banca dati.

3.La decodifica del codice reperto biologico e' effettuata esclusivamente da personale, in servizio presso i laboratori delle Forze di polizia, che ha inserito il profilo del DNA in banca dati. Al predetto personale e' vietato l'accesso al sistema AFIS. Qualora si tratti di cadaveri, resti cadaverici, consanguinei della persona scomparsa l'attivita' di decodifica puo' essere svolta per la riconducibilita' dei predetti cadaveri e resti cadaverici a persona scomparsa solo a fini identificativi.

Art. 8

Laboratorio centrale

1.Il trattamento dei dati raccolti nel Laboratorio centrale e' consentito agli operatori di polizia giudiziaria in servizio presso il Laboratorio centrale stesso, specificatamente abilitati e designati incaricati del trattamento dei dati personali ai sensi dell'articolo 28 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, esclusivamente per finalita' di applicazione del presente regolamento, previa autorizzazione dell'Autorita' giudiziaria ai sensi dell'articolo 12, comma 2, delle legge. Al predetto personale e' vietato l'accesso al sistema AFIS.

Note all'art. 8: - Per il testo dell'art. 28 del citato decreto legislativo 30 giugno 2003, n. 196, si veda nelle note all'art. 3. - Per il testo dell'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1.

Sezione IV Modalità di consultazione dei dati richiesti in ambito nazionale

Art. 9

Consultazione dei dati richiesti, raffronto dei profili del DNA e contenuto delle richieste e delle risposte alla banca dati

1.Il personale in servizio presso i laboratori delle Forze di polizia e la banca dati ha la facolta' di procedere ad una consultazione tramite la ricerca ed il raffronto dei profili del DNA.

2.La consultazione puo' essere effettuata a livello nazionale, solo caso per caso ai sensi dell'articolo 2, lettera k), della decisione del Consiglio dell'Unione europea n. 2008/616/GAI, e l'esito del raffronto comunicato per via automatizzata ai laboratori delle Forze di polizia che hanno inserito il profilo del DNA, tramite il portale della banca dati. Dell'esito del raffronto, per i casi di denuncia di scomparsa formulata ai sensi della legge n. 203 del 2012, sentita l'autorita' giudiziaria, e' data comunicazione al prefetto competente per l'informazione del Commissario straordinario del Governo per le persone scomparse.

3.In caso di una concordanza tra un profilo del DNA trasmesso ed i profili del DNA registrati nella banca dati, si applicano le disposizioni dell'articolo 10, commi 6, 7, 8 e 9.

Note all'art. 9: - Si riporta il testo dell'art. 2, lettera k) della citata decisione del Consiglio dell'Unione europea n. 2008/616/GAI: «Art. 2 (Definizioni). - Ai fini della presente decisione, si intende per: a) «consultazione» e «raffronto», di cui agli articoli 3, 4 e 9 della decisione 2008/615/GAI, le procedure mediante cui si stabilisce se vi sia concordanza tra, rispettivamente, i dati sul DNA o i dati dattiloscopici comunicati da uno Stato membro e i dati sul DNA o i dati dattiloscopici memorizzati nella banche dati di uno, di alcuni o di tutti gli Stati membri; b) «consultazione automatizzata», di cui all'art. 12 della decisione 2008/615/GAI, la procedura di accesso on line per consultare le basi di dati di uno, di alcuni o di tutti gli Stati membri; c) «profilo DNA» un codice alfanumerico che rappresenta una serie di caratteristiche identificative della parte non codificante di un campione di DNA umano analizzato, vale a dire la struttura molecolare particolare dei vari loci del DNA; d) «parte non codificante del DNA» regioni cromosomiche che non contengono alcuna espressione genetica, vale a dire che notoriamente non forniscono alcuna proprieta' funzionale di un organismo; e) «dati indicizzati sul DNA» profilo DNA e numero di riferimento; f) «profilo DNA indicizzato» il profilo DNA di una persona identificata; g) «profilo DNA non identificato» profilo DNA ottenuto da tracce rilevate nel corso delle indagini sui reati e appartenente ad una persona non ancora identificata; h) «annotazione» contrassegno apposto da uno Stato membro su un profilo DNA contenuto nella banca dati nazionale, indicante il fatto che e' gia' stata evidenziata una concordanza su tale profilo DNA in seguito a una consultazione o a un raffronto realizzati da un altro Stato membro; i) «dati dattiloscopici» immagini delle impronte digitali, immagini delle impronte digitali latenti, impronte palmari, impronte palmari latenti e modelli di tali immagini (minutiae codificate), quando sono memorizzati e trattati in una banca dati automatizzata; j) «dati di immatricolazione dei veicoli» l'insieme dei dati di cui al capo 3 dell'allegato della presente decisione; k) «caso per caso», espressione di cui all'art. 3, paragrafo 1, seconda frase, all'art. 9, paragrafo 1, seconda frase, e all'art. 12, paragrafo 1, della decisione 2008/615/GAI, un singolo fascicolo d'indagine o fascicolo penale. Se tale fascicolo contiene piu' di un profilo DNA, dato dattiloscopico o dato di immatricolazione di un veicolo, questi possono essere trasmessi insieme come singola domanda.». - Per l'argomento della citata legge 14 novembre 2012, n. 203, si veda nelle note all'art. 6.

Art. 10

Criteri di inserimento e raffronto tra profili di DNA e norme di concordanza

1.I profili del DNA sono trasmessi alla banca dati a norma degli articoli 9 e 10 della legge tramite il portale della banca dati per la raccolta ed i raffronti.

2.Al laboratorio centrale, ai laboratori delle Forze di polizia ed ai laboratori delle istituzioni di elevata specializzazione che alimentano la banca dati e' fatto obbligo di trasmettere alla medesima banca dati idonea documentazione, anche per via telematica, riguardo i metodi di prova accreditati ed i tempi di validita' del certificato emesso dall'organismo nazionale italiano di accreditamento, di cui agli articoli 2.11 e 4.1 del regolamento (CE) n. 765/2008 del 9 luglio 2008. La banca dati puo' fornire la predetta documentazione, a richiesta, al Comitato nazionale per la biosicurezza, le biotecnologie e le scienze della vita di cui all'articolo 28 per le attivita' di propria competenza.

3.Nel caso in cui, in un procedimento penale, si proceda alla tipizzazione del DNA di piu' profili dello stesso soggetto, si trasmette alla banca dati solo il profilo del DNA che condivide gli stessi loci.

4.Il personale autorizzato ai sensi dell'articolo 12, comma 2, della legge inserisce i profili del DNA nella banca dati solo se ottenuti con metodi accreditati a norma ISO/IEC 17025, e successive modificazioni. I profili del DNA sono inseriti al primo livello a partire da un numero di loci pari a sette. Solo i profili del DNA che hanno un numero di loci uguale o superiore a dieci sono inseriti al secondo livello.

5.E' vietata la trasmissione al secondo livello della banca dati dei profili del DNA costituiti da una commistione di piu' profili. Nel caso di commistioni di piu' profili del DNA dove e' distinguibile, in modo quantitativo a partire dall'altezza dei picchi degli alleli, una componente maggioritaria da una componente minoritaria, e' trasmessa al secondo livello della banca dati la sola componente maggioritaria. Il profilo del DNA di quest'ultima componente deve essere riconducibile ad un individuo, quantitativamente la componente maggioritaria deve essere superiore di almeno 3 volte alla componente minoritaria e il risultato deve essere confermato da un doppio esperimento con due kit commerciali in cui si devono sovrapporre un numero non inferiore a dieci loci.

6.Il raffronto tra profili di DNA e' effettuato nella banca dati in base ai loci per i quali in entrambi i profili e' disponibile la stessa coppia di valori dell'allele. Al fine di dare una risposta di concordanza positiva fra profili del DNA, deve esserci una concordanza di almeno dieci loci.

7.Per concordanza totale si intende il caso in cui tutti i valori identificativi degli alleli dei loci raffrontati sono identici.

8.Per quasi concordanza si intende il caso in cui tra due profili del DNA un solo allele fra tutti quelli raffrontati e' di valore diverso.

9.Una quasi concordanza e' ammessa solo in caso di concordanza totale di almeno sette loci dei due profili del DNA raffrontati.

Note all'art. 10: - Per il testo dell'art. 9 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 2. - Per il testo dell'art. 10 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 6. - Si riporta il testo degli articoli 2 e 4 del citato Regolamento (CE) n. 765/2008: «Art. 2 (Definizioni). - Ai fini del presente regolamento si intende per: 1) «messa a disposizione sul mercato» la fornitura di un prodotto per la distribuzione, il consumo o l'uso sul mercato comunitario nel corso di un'attivita' commerciale, a titolo oneroso o gratuito; 2) «immissione sul mercato» la prima messa a disposizione di un prodotto sul mercato comunitario; 3) «fabbricante» una persona fisica o giuridica che fabbrica un prodotto oppure lo fa progettare o fabbricare e lo commercializza apponendovi il suo nome o marchio; 4) «mandatario» una persona fisica o giuridica la quale sia stabilita nella Comunita' e abbia ricevuto dal fabbricante un mandato scritto che la autorizza ad agire per suo conto in relazione a determinate attivita' con riferimento agli obblighi del fabbricante ai sensi della pertinente normativa comunitaria; 5) «importatore» una persona fisica o giuridica la quale sia stabilita nella Comunita' e immetta sul mercato comunitario un prodotto originario di un paese terzo; 6) «distributore» una persona fisica o giuridica nella catena di fornitura, diversa dal fabbricante o dall'importatore, che mette a disposizione sul mercato un prodotto; 7) «operatori economici» il fabbricante, il mandatario, l'importatore e il distributore; 8) «specificazione tecnica» un documento che prescrive i requisiti tecnici che un prodotto, un processo o un servizio devono soddisfare; 9) «norma armonizzata» una norma adottata da uno degli organismi europei di normalizzazione indicati nell'allegato I della direttiva 98/34/CE del Parlamento europeo e del Consiglio, del 22 giugno 1998, che prevede una procedura d'informazione nel settore delle norme e delle regolamentazioni tecniche e delle regole relative ai servizi della societa' dell'informazione , sulla base di una richiesta presentata dalla Commissione conformemente all'art. 6 di tale direttiva; 10) «accreditamento» attestazione da parte di un organismo nazionale di accreditamento che certifica che un determinato organismo di valutazione della conformita' soddisfa i criteri stabiliti da norme armonizzate e, ove appropriato, ogni altro requisito supplementare, compresi quelli definiti nei rilevanti programmi settoriali, per svolgere una specifica attivita' di valutazione della conformita'; 11) «organismo nazionale di accreditamento» l'unico organismo che in uno Stato membro e' stato autorizzato da tale Stato a svolgere attivita' di accreditamento; 12) «valutazione della conformita'» la procedura atta a dimostrare se le prescrizioni specifiche relative a un prodotto, a un processo, a un servizio, a un sistema, a una persona o a un organismo siano state rispettate; 13) «organismo di valutazione della conformita'» un organismo che svolge attivita' di valutazione della conformita', fra cui tarature, prove, certificazioni e ispezioni; 14) «richiamo» qualsiasi provvedimento volto ad ottenere la restituzione di un prodotto che e' gia' stato reso disponibile all'utilizzatore finale; 15) «ritiro» qualsiasi provvedimento volto ad impedire la messa a disposizione sul mercato di un prodotto nella catena della fornitura; 16) «valutazione inter pares» un processo di valutazione di un organismo nazionale di accreditamento eseguito da altri organismi nazionali di accreditamento conformemente ai requisiti del presente regolamento e, ove applicabili, ad altre specificazioni tecniche settoriali; 17) «vigilanza del mercato» le attivita' svolte e i provvedimenti adottati dalle autorita' pubbliche per garantire che i prodotti siano conformi ai requisiti stabiliti nella pertinente normativa comunitaria di armonizzazione e non pregiudicano la salute, la sicurezza o qualsiasi altro aspetto della protezione del pubblico interesse; 18) «autorita' di vigilanza del mercato» un'autorita' di uno Stato membro preposta alla vigilanza del mercato nel territorio di tale Stato; 19) «immissione in libera pratica» la procedura di cui all'art. 79 del regolamento (CEE) n. 2913/92 del Consiglio, del 12 ottobre 1992, che istituisce un codice doganale comunitario ; 20) «marcatura CE» una marcatura mediante cui il fabbricante indica che il prodotto e' conforme ai requisiti applicabili stabiliti nella normativa comunitaria di armonizzazione che ne prevede l'apposizione; 21) «normativa comunitaria di armonizzazione» la normativa comunitaria che armonizza le condizioni di commercializzazione dei prodotti.»; «Art. 4 (Principi generali). - 1. Ciascuno Stato membro designa un unico organismo nazionale di accreditamento. 2. Lo Stato membro che ritenga che, dal punto di vista economico, non abbia senso o non sia sostenibile avere un organismo nazionale di accreditamento o fornire certi servizi di accreditamento ricorre, quanto piu' possibile, all'organismo nazionale di accreditamento di un altro Stato membro. 3. Ciascuno Stato membro comunica alla Commissione e agli altri Stati membri dell'eventuale ricorso, a norma del paragrafo 2, all'organismo nazionale di accreditamento di un altro Stato membro. 4. Sulla base delle informazioni menzionate al paragrafo 3 e all'art. 12, la Commissione elabora e aggiorna un elenco degli organismi nazionali di accreditamento che rende pubblico. 5. Qualora l'accreditamento non sia effettuato direttamente dalle stesse autorita' pubbliche, gli Stati membri incaricano il proprio organismo nazionale di accreditamento di effettuare l'accreditamento quale attivita' di autorita' pubblica e gli conferiscono un riconoscimento formale. 6. Le responsabilita' e i compiti dell'organismo nazionale di accreditamento sono chiaramente distinti da quelli di altre autorita' nazionali. 7. L'organismo nazionale di accreditamento opera senza scopo di lucro. 8. L'organismo nazionale di accreditamento non offre o fornisce attivita' o servizi forniti dagli organismi di valutazione della conformita', non fornisce servizi di consulenza ne' possiede azioni o ha un interesse finanziario o gestionale in un organismo di valutazione di conformita'. 9. Ogni Stato membro garantisce che il proprio organismo nazionale di accreditamento abbia le idonee risorse finanziarie e umane per il corretto svolgimento dei suoi compiti, tra cui l'espletamento di compiti speciali, come le attivita' per la cooperazione europea e internazionale in materia di accreditamento e le attivita' necessarie a sostegno della politica statale e che non si finanziano da sole. 10. L'organismo nazionale di accreditamento e' membro dell'organismo riconosciuto ai sensi dell'art. 14. 11. Gli organismi nazionali di accreditamento istituiscono e gestiscono strutture atte a garantire la partecipazione effettiva ed equilibrata di tutte le parti interessate, sia in seno alle loro organizzazioni sia nell'ambito dell'organismo riconosciuto ai sensi dell'art. 14.». - Per il testo dell'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1.

Capo III Disposizioni per la consultazione automatizzata della banca dati per finalità di cooperazione transfrontaliera Sezione I Scambio di informazioni per finalità di cooperazione transfrontaliera

Art. 11

Punto di contatto nazionale

1.Il punto di contatto nazionale per lo scambio dati per le finalita' di collaborazione internazionale di polizia e' individuato nel Servizio per la cooperazione internazionale di polizia della Direzione centrale della polizia criminale del Dipartimento della pubblica sicurezza.

2.Ai fini di quanto previsto dall'articolo 13, comma 4, il punto di contatto nazionale si avvale della collaborazione della banca dati.

Art. 12

Trasmissione dei profili del DNA da parte dell'Italia verso gli Stati esteri, a seguito di consultazione e raffronto

1.La consultazione dei profili del DNA contenuti nella banca dati, per le finalita' di cooperazione transfrontaliera di cui all'articolo 1, comma 2, e' consentita ai punti di contatto esteri, in possesso delle credenziali di autenticazione ed autorizzazione, anche per il raffronto con i profili del DNA contenuti al secondo livello della banca dati secondo quanto previsto dalle decisioni del Consiglio dell'Unione europea n. 2008/615/GAI e n. 2008/616/GAI, e successive modificazioni, in modalita' automatizzata, nonche' per finalita' di collaborazione internazionale di polizia ai sensi dell'articolo 12 della legge secondo i protocolli e i canali di comunicazione codificati a livello internazionale.

2.La trasmissione dei profili del DNA tra i punti di contatto nazionali puo' essere effettuata in modalita' automatizzata o secondo i canali di comunicazione codificati a livello internazionale, assicurando anche l'adozione di misure appropriate, compresa la cifratura, per garantire la riservatezza e l'integrita' dei dati trasmessi.

3.L'esito del raffronto e' notificato, con il relativo numero di riferimento, codice ente e codice laboratorio, per via automatizzata, tramite un'applicazione del portale della banca dati, al punto di contatto estero.

4.La notifica automatizzata di cui al comma 3 e' fornita solo se il raffronto ha evidenziato una concordanza di un numero di loci pari o superiore a quanto indicato agli articoli 7 e 8, comma 2, della decisione del Consiglio dell'Unione europea n. 2008/616/GAI ed al Capo I del relativo allegato e dalla risoluzione del Consiglio dell'Unione europea n. 2009/C 296/01 sullo scambio dei risultati delle analisi del DNA.

5.In caso di esito positivo, la banca dati inoltra con modalita' telematica automatizzata analoga comunicazione al punto di contatto nazionale e al laboratorio che ha inserito il profilo del DNA in banca dati, e svolge le attivita' di cui all'articolo 13, comma 4, e quelle necessarie per la predisposizione ad accogliere le successive richieste di ulteriori informazioni provenienti dal corrispondente punto di contatto estero.

Note all'art. 12: - Per l'argomento della citata decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI si veda nelle note alle premesse. - Per il testo dell'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1. - Si riporta il testo degli articoli 7 e 8 della citata decisione del Consiglio dell'Unione europea del 23 giugno 2008 n. 2008/616/GAI: «Art. 7 (Principi applicabili allo scambio di dati sul DNA). - 1. Gli Stati membri utilizzano le norme esistenti in materia di scambio di dati sul DNA, quali la «serie europea standard» (European Standard Set - ESS) o la serie di loci standard dell'Interpol (Interpol Standard Set of Loci - ISSOL). 2. Per la consultazione e il raffronto automatizzati di profili DNA, la procedura di trasmissione avviene nell'ambito di una struttura decentrata. 3. Sono adottate misure appropriate, compresa la cifratura, per garantire la riservatezza e l'integrita' dei dati trasmessi agli altri Stati membri. 4. Gli Stati membri adottano le misure necessarie atte a garantire l'integrita' dei profili DNA messi a disposizione degli altri Stati membri o ad essi inviati per raffronto e ad assicurare che tali misure siano conformi alle norme internazionali quali la norma ISO 17025. 5. Gli Stati membri utilizzano i codici di Stato membro conformemente alla norma ISO 3166-1 alpha-2.»; «Art. 8 (Norme per le domande e le risposte in relazione ai dati sul DNA). - 1. La domanda di consultazione o di raffronto automatizzati di cui agli articoli 3 o 4 della decisione 2008/615/GAI contiene unicamente le seguenti informazioni: a) il codice di Stato membro dello Stato membro richiedente; b) la data, l'ora e il numero di riferimento della domanda; c) i profili DNA e i relativi numeri di riferimento; d) i tipi di profili DNA trasmessi (profili DNA non identificati o profili DNA indicizzati); e e) le informazioni necessarie per controllare i sistemi di banche dati e per il controllo di qualita' delle procedure di consultazione automatizzata. 2. La risposta (relazione sulla concordanza) alla domanda di cui al paragrafo 1 contiene unicamente le seguenti informazioni: a) un'indicazione della presenza o meno di concordanze (hits/no hits); b) la data, l'ora e il numero di riferimento della domanda; c) la data, l'ora e il numero di riferimento della risposta; d) i codici di Stato membro dello Stato membro richiedente e dello Stato membro richiesto; e) i numeri di riferimento dello Stato membro richiedente e dello Stato membro richiesto; f) i tipi di profili DNA trasmessi (profili DNA non identificati o profili DNA indicizzati); g) i profili DNA richiesti e quelli per cui e' riscontrata una concordanza; e h) le informazioni necessarie per controllare i sistemi di banche dati e per il controllo di qualita' delle procedure di consultazione automatizzata. 3. La notifica automatizzata di una concordanza e' fornita solo se la consultazione o il raffronto automatizzati abbiano evidenziato una concordanza di un numero minimo di loci. Detto numero minimo e' indicato nel capo 1 dell'allegato della presente decisione. 4. Gli Stati membri provvedono affinche' le domande siano conformi a dichiarazioni formulate ai sensi dell'art. 2, paragrafo 3, della decisione 2008/615/GAI. Tali dichiarazioni figurano nel manuale di cui all'art. 18, paragrafo 2, della presente decisione.». - Il Capo 1 dell'allegato della sopra citata decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI tratta dello "Scambio di dati sul DNA". - Per l'argomento della risoluzione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/C 296/01, si veda nelle note alle premesse.

Art. 13

Trasmissione dei profili del DNA da parte degli Stati esteri verso l'Italia, a seguito di consultazione e raffronto

1.La polizia giudiziaria che deve ricercare un profilo del DNA in ambito internazionale formula specifica richiesta al punto di contatto nazionale. Le banche dati estere vengono consultate tramite un'applicazione del portale della banca dati, tramite il punto di contatto nazionale, caso per caso ai sensi dell'articolo 2, lettera k) della Decisione del Consiglio dell'Unione europea n. 2008/616/GAI, secondo una codifica tecnica stabilita dal responsabile della banca dati in conformita' agli articoli 7, 8, 9, 10 e 11 della decisione del Consiglio dell'Unione europea n. 2008/616/GAI, nonche' in base ai protocolli e ai canali di comunicazione internazionali e successive modificazioni.

2.L'esito del raffronto e' notificato, con il relativo numero di riferimento, codice ente e codice laboratorio, per via automatizzata, tramite un'applicazione del portale della banca dati, al punto di contatto nazionale e alla polizia giudiziaria richiedente, nonche' al laboratorio che ha inserito il profilo del DNA in banca dati.

3.La notifica automatizzata di cui al comma 2 e' fornita solo se il raffronto ha evidenziato una concordanza di un numero di loci pari o superiore a quanto indicato agli articoli 7 e 8, comma 2, della decisione del Consiglio dell'Unione europea n. 2008/616/GAI ed al Capo I del relativo allegato e dalla risoluzione del Consiglio dell'Unione europea n. 2009/C 296/01 sullo scambio dei risultati delle analisi del DNA.

4.In caso di esito positivo, la banca dati effettua la verifica della correttezza del profilo del DNA confrontando il dato inserito nella banca dati con la sequenza numerica dell'elettroferogramma fornita dal laboratorio, comunicando gli esiti al punto di contatto nazionale, per consentirgli di valutare la tipologia ed il numero delle successive richieste di altri dati personali disponibili e di altre informazioni connesse con il profilo DNA corrispondente alla risposta positiva, secondo quanto indicato all'articolo 5 della decisione del Consiglio dell'Unione europea n. 2008/615/GAI.

Note all'art. 13: - Per il testo dell'art. 2, lettera k) della citata decisione del Consiglio dell'Unione europea n. 2008/616/GAI si veda nelle note all'art. 9. - Per il testo degli articoli 7 e 8 della citata decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI (per l'argomento si veda nelle note alle premesse) si veda nelle note all'art. 12. - Si riporta il testo degli articoli 9, 10 e 11 della citata decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI (per l'argomento si veda nelle note alle premesse): «Art. 9 (Procedura di trasmissione per la consultazione automatizzata dei profili DNA non identificati in conformita' dell'art. 3 della decisione 2008/615/GAI). - 1. Se nella consultazione a partire da un profilo DNA non identificato non e' stata riscontrata alcuna concordanza nella banca dati nazionale o se e' stata riscontrata una concordanza con un profilo DNA non identificato, il profilo DNA non identificato puo' essere trasmesso a tutte le banche dati degli altri Stati membri e, se nella consultazione a partire da un profilo DNA non identificato sono riscontrate concordanze con profili DNA indicizzati e/o profili DNA non identificati nelle banche dati degli altri Stati membri, tali concordanze sono comunicate automaticamente e i dati indicizzati sul DNA sono trasmessi allo Stato membro richiedente; se non possono essere riscontrate concordanze nelle banche dati degli altri Stati membri, cio' e' comunicato automaticamente allo Stato membro richiedente. 2. Se nella consultazione con un profilo DNA non identificato e' riscontrata una concordanza nelle banche dati degli altri Stati membri, ciascuno Stato membro interessato puo' inserire una annotazione al riguardo nella propria banca dati nazionale.»; «Art. 10 (Procedura di trasmissione per la consultazione automatizzata dei profili DNA indicizzati in conformita' dell'art. 3 della decisione 2008/615/GAI). - Se nella consultazione a partire da un profilo DNA indicizzato non e' stata riscontrata nella banca dati nazionale alcuna corrispondenza con un profilo DNA indicizzato o e' stata riscontrata una concordanza con un profilo DNA non identificato, tale profilo DNA indicizzato puo' allora essere trasmesso a tutte le banche dati degli altri Stati membri e, se nella consultazione a partire da tale profilo DNA indicizzato sono riscontrate nelle banche dati degli altri Stati membri concordanze con profili DNA indicizzati e/o profili DNA non identificati, tali concordanze sono comunicate automaticamente e i dati indicizzati sul DNA sono trasmessi allo Stato membro richiedente; se non possono essere riscontrate concordanze nelle banche dati degli altri Stati membri, cio' e' comunicato automaticamente allo Stato membro richiedente.»; «Art. 11 (Procedura di trasmissione per il raffronto automatizzato dei profili DNA in conformita' dell'art. 4 della decisione 2008/615/GAI). - 1. Se nel raffronto con un profilo DNA non identificato sono riscontrate nelle banche dati degli altri Stati membri concordanze con profili DNA indicizzati e/o profili DNA non identificati, tali concordanze sono comunicate automaticamente e i dati indicizzati sul DNA sono trasmessi allo Stato membro richiedente. 2. Se nel raffronto con profili DNA non identificati sono riscontrate nelle banche dati degli altri Stati membri concordanze con profili DNA non identificati o profili DNA indicizzati, ciascuno Stato membro interessato puo' inserire una annotazione al riguardo nella propria banca dati nazionale.». - Per l'argomento del Capo 1 dell'allegato della sopra citata decisione del Consiglio dell'Unione europea del 23 giugno 2008 si veda nelle note all'art. 12. - Per l'argomento della risoluzione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/C 296/01 si veda nelle note alle premesse. - Si riporta il testo dell'art. 5 della citata decisione 2008/615/GAI: «Art. 5 (Trasmissione di altri dati personali e di altre informazioni). - Qualora si constati la concordanza di profili DNA nell'ambito delle procedure di cui agli articoli 3 e 4, la trasmissione di altri dati personali concernenti i dati indicizzati, nonche' di altre informazioni avviene in base alla legislazione nazionale dello Stato membro richiesto, comprese le disposizioni relative all'assistenza giudiziaria.».

Sezione II Disposizioni in materia di protezione dei dati personali

Art. 14

Ambito di applicazione

1.Le disposizioni di cui alla presente sezione si applicano ai dati personali trasmessi o ricevuti per finalita' di cooperazione transfrontaliera ai sensi delle disposizioni di cui alla sezione I.

Art. 15

Finalita' del trattamento

1.I dati personali trasmessi o ricevuti sono trattati per le finalita' di cui all'articolo 1, comma 2.

3.Il trattamento dei dati ricevuti e' altresi' ammesso per scopi compatibili con quelli per i quali sono stati trasmessi e previa autorizzazione dello Stato membro che li ha trasmessi, nel rispetto della legislazione nazionale italiana.

4.Il punto di contatto nazionale tratta i dati che gli vengono trasmessi dal punto di contatto di un altro Stato membro per le finalita' di cui all'articolo 1, comma 2, solo se tale trattamento e' necessario per realizzare un raffronto, rispondere per via automatizzata alle consultazioni o effettuare le registrazioni di cui all'articolo 17. Al termine del raffronto o della risposta automatizzata alle consultazioni, i dati trasmessi sono immediatamente cancellati a meno che non sia necessario un ulteriore trattamento per le finalita' di cui al comma 2, lettere b) e c).

Art. 16

Verifica della qualita' dei dati trasmessi o ricevuti

1.Il punto di contatto nazionale dell'altro Stato membro e' informato dell'esistenza dell'eventuale istanza di cui all'articolo 33, comma 1, secondo periodo.

2.Qualora risulti che siano stati forniti dati inesatti o che non avrebbero dovuto essere trasmessi, il punto di contatto nazionale dell'altro Stato membro ne e' informato quanto prima. Inoltre, i dati personali forniti sono rettificati se risultano inesatti.

3.Se si ha motivo di ritenere che i dati ricevuti in risposta ad una richiesta di consultazione siano inesatti o che debbano essere cancellati, il punto di contatto nazionale ne da' immediata comunicazione al punto di contatto nazionale dello Stato membro che li ha inviati.

4.I dati personali che non avrebbero dovuto essere ricevuti sono cancellati.

6.Si procede al blocco dei dati, ai sensi dell'articolo 4, comma 1, lettera o), del decreto legislativo 30 giugno 2003, n. 196, quando vi siano motivi per ritenere che la cancellazione degli stessi pregiudicherebbe un legittimo interesse della persona, nel rispetto della legislazione nazionale. I dati bloccati possono essere, comunque, utilizzati o trasmessi solo per le finalita' che ne hanno impedito la cancellazione.

Note all'art. 16: - Si riporta il testo dell'art. 4, comma 1, lettera o) del citato decreto legislativo 30 giugno 2003, n. 196: «Art. 4 (Definizioni). - 1. Ai fini del presente codice si intende per: a-n) (Omissis).; o) "blocco", la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; (Omissis).».

Art. 17

Log delle operazioni

1.Nell'ambito delle misure di sicurezza adottate in conformita' agli articoli da 31 a 36 e all'allegato B del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, tutte le operazioni effettuate in applicazione del presente capo sono registrate in appositi file di log ai fini della verifica della liceita' del trattamento dei dati.

2.La consultazione automatizzata puo' essere effettuata solo da personale del punto di contatto nazionale debitamente abilitato. Su richiesta, l'elenco del personale e' messo a disposizione del Garante per la protezione dei dati personali, nonche' delle autorita' preposte alla protezione dei dati degli altri Stati membri.

4.Sono registrati inoltre il motivo della consultazione o della trasmissione, e i riferimenti del personale che ha effettuato la consultazione e di quello che l'ha richiesta.

5.Entro quattro settimane dalla ricezione di un'eventuale richiesta, il punto di contatto nazionale fornisce le registrazioni alle autorita' preposte alla protezione dei dati dello Stato membro interessato. I log possono essere utilizzati esclusivamente per finalita' di controllo della protezione dei dati, ivi compreso il profilo della sicurezza.

6.I log sono protetti con idonee misure contro ogni uso improprio o non conforme alle finalita' per cui sono registrati. Sono conservati per due anni e cancellati alla scadenza.

Note all'art. 17: - Si riporta il testo degli articoli da 31 a 36 del citato decreto legislativo 30 giugno 2003, n. 196: «Art. 31 (Obblighi di sicurezza). - 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalita' della raccolta.»; «Art. 32 (Obblighi relativi ai fornitori di servizi di comunicazione elettronica accessibili al pubblico). - 1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta, ai sensi dell'art. 31, anche attraverso altri soggetti a cui sia affidata l'erogazione del predetto servizio, misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei suoi servizi e per gli adempimenti di cui all'art. 32-bis. 1-bis. Ferma restando l'osservanza degli obblighi di cui agli articoli 30 e 31, i soggetti che operano sulle reti di comunicazione elettronica garantiscono che i dati personali siano accessibili soltanto al personale autorizzato per fini legalmente autorizzati. 1-ter. Le misure di cui al commi 1 e 1-bis garantiscono la protezione dei dati relativi al traffico ed all'ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti, nonche' assicurano l'attuazione di una politica di sicurezza. 2. Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia e' definita dall'Autorita' per le garanzie nelle comunicazioni secondo le modalita' previste dalla normativa vigente. 3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico informa i contraenti e, ove possibile, gli utenti, se sussiste un particolare rischio di violazione della sicurezza della rete, indicando, quando il rischio e' al di fuori dell'ambito di applicazione delle misure che il fornitore stesso e' tenuto ad adottare ai sensi dei commi 1, 1-bis e 2, tutti i possibili rimedi e i relativi costi presumibili. Analoga informativa e' resa al Garante e all'Autorita' per le garanzie nelle comunicazioni.»; «Art. 32-bis (Adempimenti conseguenti ad una violazione di dati personali). - 1. In caso di violazione di dati personali, il fornitore di servizi di comunicazione elettronica accessibili al pubblico comunica senza indebiti ritardi detta violazione al Garante. 2. Quando la violazione di dati personali rischia di arrecare pregiudizio ai dati personali o alla riservatezza di contraente o di altra persona, il fornitore comunica anche agli stessi senza ritardo l'avvenuta violazione. 3. La comunicazione di cui al comma 2 non e' dovuta se il fornitore ha dimostrato al Garante di aver utilizzato misure tecnologiche di protezione che rendono i dati inintelligibili a chiunque non sia autorizzato ad accedervi e che tali misure erano state applicate ai dati oggetto della violazione. 4. Ove il fornitore non vi abbia gia' provveduto, il Garante puo', considerate le presumibili ripercussioni negative della violazione, obbligare lo stesso a comunicare al contraente o ad altra persona l'avvenuta violazione. 5. La comunicazione al contraente o ad altra persona contiene almeno una descrizione della natura della violazione di dati personali e i punti di contatto presso cui si possono ottenere maggiori informazioni ed elenca le misure raccomandate per attenuare i possibili effetti pregiudizievoli della violazione di dati personali. La comunicazione al Garante descrive, inoltre, le conseguenze della violazione di dati personali e le misure proposte o adottate dal fornitore per porvi rimedio. 6. Il Garante puo' emanare, con proprio provvedimento, orientamenti e istruzioni in relazione alle circostanze in cui il fornitore ha l'obbligo di comunicare le violazioni di dati personali, al formato applicabile a tale comunicazione, nonche' alle relative modalita' di effettuazione, tenuto conto delle eventuali misure tecniche di attuazione adottate dalla Commissione europea ai sensi dell'art. 4, paragrafo 5, della direttiva 2002/58/CE, come modificata dalla direttiva 2009/136/CE. 7. I fornitori tengono un aggiornato inventario delle violazioni di dati personali, ivi incluse le circostanze in cui si sono verificate, le loro conseguenze e i provvedimenti adottati per porvi rimedio, in modo da consentire al Garante di verificare il rispetto delle disposizioni del presente articolo. Nell'inventario figurano unicamente le informazioni necessarie a tal fine. 8. Nel caso in cui il fornitore di un servizio di comunicazione elettronica accessibile al pubblico affidi l'erogazione del predetto servizio ad altri soggetti, gli stessi sono tenuti a comunicare al fornitore senza indebito ritardo tutti gli eventi e le informazioni necessarie a consentire a quest'ultimo di effettuare gli adempimenti di cui al presente articolo.»; «Art. 33 (Misure minime). - 1. Nel quadro dei piu' generali obblighi di sicurezza di cui all'art. 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'art. 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.»; «Art. 34 (Trattamenti con strumenti elettronici). - 1. Il trattamento di dati personali effettuato con strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilita' dei dati e dei sistemi; g); h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. 1-bis; 1-ter. Ai fini dell'applicazione delle disposizioni in materia di protezione dei dati personali, i trattamenti effettuati per finalita' amministrativo-contabili sono quelli connessi allo svolgimento delle attivita' di natura organizzativa, amministrativa, finanziaria e contabile, a prescindere dalla natura dei dati trattati. In particolare, perseguono tali finalita' le attivita' organizzative interne, quelle funzionali all'adempimento di obblighi contrattuali e precontrattuali, alla gestione del rapporto di lavoro in tutte le sue fasi, alla tenuta della contabilita' e all'applicazione delle norme in materia fiscale, sindacale, previdenziale-assistenziale, di salute, igiene e sicurezza sul lavoro.»; «Art. 35 (Trattamenti senza l'ausilio di strumenti elettronici). - 1. Il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unita' organizzative; b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalita' di accesso finalizzata all'identificazione degli incaricati.»; «Art. 36 (Adeguamento). - 1. Il disciplinare tecnico di cui all'allegato B), relativo alle misure minime di cui al presente capo, e' aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie e il Ministro per la semplificazione normativa, in relazione all'evoluzione tecnica e all'esperienza maturata nel settore.». L'Allegato B del sopra citato decreto legislativo 30 giugno 2003, n. 196 tratta del "Disciplinare tecnico in materia di misure minime di sicurezza.".

Art. 18

Vigilanza e controllo

1.Il controllo sulla trasmissione e sulla ricezione di dati personali di cui al presente capo e' esercitato dal Garante per la protezione dei dati personali, nei modi previsti dal decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, anche su segnalazione dell'interessato. Le risultanze dell'attivita' di controllo sono conservate per diciotto mesi e cancellate alla scadenza.

2.Le autorita' responsabili delle registrazioni di cui all'articolo 17 effettuano controlli per verificare la legittimita' delle operazioni.

Note all'art. 18: - Per l'argomento del sopra citato decreto legislativo 30 giugno 2003, n. 196, si veda nelle note alle premesse.

Capo IV Tecniche, modalità di analisi e conservazione dei campioni biologici e tempi di conservazione dei campioni biologici e dei profili del DNA Sezione I Tecniche e modalità di analisi dei campioni biologici

Art. 19

Estrazione del DNA

1.Per l'eventuale fase di estrazione del DNA dai campioni biologici sono utilizzati kit commerciali nell'ambito dei parametri riconosciuti a livello internazionale in termini di resa quantitativa e qualitativa del DNA estratto.

Art. 20

Preparazione del campione con sistemi robotizzati

1.La preparazione del campione per la fase di quantificazione, amplificazione e caricamento su sequenziatore automatico puo' essere automatizzata, al fine di ridurre al minimo l'errore umano e di avere un'alta riproducibilita' del dato. Il sistema automatizzato deve avere idonea documentazione IQ/OQ o equivalente o superiore che dimostri la corretta installazione e la corretta funzionalita' dello strumento secondo i requisiti richiesti.

Art. 21

Quantificazione del DNA

1.Per l'eventuale fase di quantificazione del DNA sono utilizzati kit commerciali che consentono di verificare la quantita' del DNA presente nell'estratto e la presenza di eventuali inibitori della PCR.

Art. 22

Amplificazione del DNA

1.L'amplificazione del DNA avviene mediante un termociclatore munito di certificazione sull'affidabilita' dei cicli delle temperature utilizzate dal kit commerciale di amplificazione del DNA.

2.L'indicazione dei nomi dei marcatori impiegati sono quelli riportati nelle raccomandazioni dell'European Network of Forensic Science Institutes (ENFSI), utilizzati dall'Interpol e contenuti nella Risoluzione del Consiglio dell'Unione europea n. 2009/C 296/01, e successive modificazioni.

3.Le tipologie di marcatori che possono essere utilizzate nella tipizzazione del profilo del DNA per essere inseriti nella banca dati sono STR, Y-STR, X-STR e mtDNA secondo una codifica tecnica stabilita dal responsabile della banca dati in conformita' alle decisioni del Consiglio dell'Unione europea n. 2008/615/GAI e n. 2008/616/GAI e successive modificazioni, nonche' per finalita' di collaborazione internazionale di polizia ai sensi dell'articolo 12 della legge.

5.L'amplificazione di ogni singolo campione biologico deve essere effettuata attraverso l'uso di due kit commerciali che hanno per il medesimo locus una diversa sequenza dei primers, al fine di evitare una non corretta assegnazione allelica.

6.I loci amplificati dai due kit commerciali si devono sovrapporre per almeno dieci loci.

7.L'amplificazione del DNA deve sempre essere allestita con il controllo positivo presente nel kit commerciale e con un controllo negativo.

Note all'art. 22: - Per l'argomento della risoluzione del Consiglio dell'Unione europea del 30 novembre 2009, n. 2009/C 296/01, si veda nelle note alle premesse. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/615/GAI, si veda nelle note alle premesse. - Per l'argomento della decisione del Consiglio dell'Unione europea del 23 giugno 2008, n. 2008/616/GAI, si veda nelle note alle premesse. - Per il testo dell'art. 12 della citata legge 30 giugno 2009, n. 85, si veda nelle note all'art. 1.

Art. 23

Lettura ed interpretazione del profilo di DNA

1.La determinazione del profilo genetico deve avvenire utilizzando un sequenziatore automatico di acidi nucleici per la corsa elettroforetica dei frammenti di DNA e dotato di software dedicati alla successiva lettura ed interpretazione del profilo del DNA.

Sezione II Tempi di conservazione dei campioni biologici e dei profili del DNA

Art. 24