Art. 3 — Organizzazione e funzionamento della banca dati e misure di sicurezza

La banca dati e' collocata presso il Ministero dell'interno, Dipartimento della pubblica sicurezza, Servizio per il sistema informativo interforze della Direzione centrale della Polizia criminale. La banca dati e' organizzata secondo criteri di separazione logica e fisica dagli altri sistemi informatici gestiti dal Centro elaborazione dati di cui all'articolo 8 della legge 1° aprile 1981, n. 121, al fine di garantirne la piena autonomia rispetto a questi ultimi. La banca dati e' predisposta per la raccolta ed il raffronto dei profili del DNA, secondo quanto previsto dalla legge. Per la gestione dei profili del DNA il software della banca dati e' organizzato su due livelli. Il primo livello e' impiegato ai fini investigativi in ambito nazionale. Il secondo livello e' impiegato anche per le finalita' di collaborazione internazionale di polizia in conformita' alle decisioni del Consiglio dell'Unione europea n. 2008/615/GAI e n. 2008/616/GAI, e successive modificazioni, nonche' per finalita' di collaborazione internazionale di polizia ai sensi dell'articolo 12 della legge, secondo le modalita' di cui all'articolo 10 ed al Capo III. La continuita' di funzionamento della banca dati e' assicurata da uno specifico sistema secondario remoto, attivato in caso di disastro o di altro evento di eccezionale gravita' dichiarato dal responsabile di cui all'articolo 26, e adottato in conformita' a quanto previsto dall'articolo 50-bis del decreto legislativo 7 marzo 2005, n. 82. Per il sistema secondario di cui al comma 5 sono adottate le stesse misure di sicurezza, anche fisiche e logiche, relative al trattamento dei dati, previste per la banca dati. Gli accessi alla banca dati e le operazioni di trattamento dei dati sono riservati ai soli operatori abilitati e designati incaricati del trattamento dei dati personali ai sensi dell'articolo 28 del decreto legislativo 30 giugno 2003, n. 196, e successive modificazioni, secondo predefiniti profili di autorizzazione, in possesso di credenziali di autenticazione previo superamento di una procedura informatica di autenticazione forte. Per le esclusive finalita' di verifica della liceita' dei trattamenti, gli accessi e le operazioni di cui al comma 7 sono registrati in appositi file di log non modificabili che sono conservati per venti anni. Con decreto del Ministro dell'interno di concerto con il Ministro della giustizia, sentito il Garante per la protezione dei dati personali, da adottare entro trenta giorni dalla data di entrata in vigore del presente regolamento, sono definiti i profili di autorizzazione, le procedure di autenticazione, di registrazione e di analisi dei log.