Indici della Rassegna

Nuovo Codice sulla Privacy: adempimenti per le pubbliche amministrazioni

Privacy

Con la pubblicazione di questo primo elaborato, inizia un momento di aggiornamento ed approfondimento dedicato al tema della Privacy. Il Settore Avvocatura, prendendo spunto anche dalle sempre più frequenti richieste degli Enti convenzionati di aggiornamento sul tema, si propone l’obiettivo di chiarire i punti maggiormente controversi ed importanti della materia.

PROROGA ADEMPIMENTI PRIVACY
LE MISURE MINIME DI SICUREZZA

Con l’entrata in vigore del Codice sulla Privacy e la sempre maggiore attenzione verso le problematiche della riservatezza, le Pubbliche Amministrazioni sono chiamate ad un globale adeguamento dei loro contegni e/o modalità di organizzazione dei servizi ai principi enunciati in materia.
Dei numerosi adempimenti previsti non tutti riguardano gli Enti pubblici. Nell’odierna trattazione si prendono in considerazione in particolare le misure minime di sicurezza.
Come è noto il 30 giugno c.a. sarebbe dovuto scadere il termine per l’adozione delle misure minime di sicurezza, tra le quali compare anche la realizzazione del Dps, ovvero del Documento Programmatico della Sicurezza.
Il Decreto Legge 22 giugno 2004, nel modificare l’art. 180 del codice (D.lgs 196/2003), ha invece prorogato al 31 dicembre 2004 i termini per provvedere all’adempimento dei sopra indicati obblighi, ovvero l’adozione delle misure minime indicate negli artt. 33, 34 e 35.

LE MISURE MINIME DI SICUREZZA

Una delle regole principali della privacy è rappresentata dalla sicurezza dei dati e dei sistemi. Si tutela la privacy adeguando i propri archivi ed i propri elaboratori a misure di sicurezza, che impediscono la perdita accidentale del dato e l’accesso abusivo agli stessi.
Il testo unico della privacy riprende le disposizioni sulla sicurezza presenti nella legge 675/1996 (art. 15) e ne fornisce una disciplina più analitica.
I dati personali oggetto del trattamento devono essere sempre custoditi e controllati in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31). La realizzazione di quanto richiesto deve essere adeguato al progresso tecnico, alla natura dei dati ed alle specifiche caratteristiche del trattamento.
L’importanza per l’Ente di adottare le misure idonee deve essere visto anche alla luce delle potenziali conseguenze civili che potrebbero sorgere in caso di danni derivanti ai privati dalla mancata e/o carente adozione delle misure richieste.
L’adozione delle misure minime consente di evitare le conseguenze penali specificamente previste.

Gli adempimenti
Gli obblighi imposti dalla normativa possono essere riassunti in due tipologie.
1) Riduzione al minimo del rischio di distruzione, dispersione accidentale, diffusione non consentita e trattamento illecito. L’inosservanza di questo obbligo rende il trattamento illecito anche se non si determina un danno per gli interessati ed espone pertanto alla responsabilità per danni. A tal fine necessita adottare idonee e preventive misure di sicurezza.
2) Adozione in ogni caso di misure minime di sicurezza, ovvero quel complesso di misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell’art. 31.
Le misure minime sono diverse a seconda che il trattamento sia effettuato o meno con strumenti elettronici, oppure riguardi dati sensibili o giudiziari.
Le misure minime previste dal precedente DPR 318/1999 devono essere adottate, oggi, senza attendere il decorso di termini transitori, le nuove di cui si darà di seguito conto, vanno attivate entro il 30 dicembre 2004.

In sintesi, qualora il trattamento avvenga con strumenti elettronici, il soggetto interessato dovrà provvedere a:
- dotare il pc e/o l’hardware ove sono contenuti i dati di una password e/o di procedure di gestione delle credenziali di autenticazione;
- realizzare un periodico aggiornamento dell’ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti informatici;
- realizzare idonee procedure per la custodia di copie di sicurezza, di ripristino della disponibilità dei dati e dei sistemi;
- aggiornare il proprio documento programmatico sulla sicurezza;
- acquisire tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale dei soggetti.
Qualora il trattamento avvenga senza l’ausilio di strumenti elettronici, dovrà essere previsto:
- un aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati;
- l’adozione di procedure finalizzate alla custodia degli atti e dei documenti affidati agli incaricati per lo svolgimento dei relativi compiti;
- la custodia di determinati atti in archivi ad accesso selezionato, con disciplina delle modalità di accesso finalizzata all’identificazione degli incaricati.

Dott. F. A. Corrias

venerdì 25 giugno 2004