Consulenza Documento Programmatico Privacy

Il 1 gennaio 2004 è entrato in vigore il decreto legislativo n. 196 del 30 giugno 2003, denominato “Codice in materia di protezione dei dati personali”.

Il Codice riunisce in un unico contesto la legge 675/1996 e gli altri decreti legislativi, regolamenti e codici deontologici che si sono succeduti in questi anni e contiene anche importanti innovazioni tenendo conto della “giurisprudenza” del Garante e della direttiva UE 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

SCOPO: Il Testo unico è ispirato all’introduzione di nuove garanzie per i cittadini, alla razionalizzazione delle norme esistenti, alla semplificazione degli adempimenti e sostituisce la legge “madre” sulla protezione dei dati, la n. 675 del 1996.

CAMPO DI APPLICAZIONE: La normativa è la tutela dei dati personali, intendendosi per questi qualunque informazione, relativa a persona fisica o giuridica, che ne consenta, direttamente o indirettamente l’identificazione. E’ un dato personale non solo nome o cognome di una persona, ma anche il suo codice fiscale, piuttosto che il suo soprannome.

CHI: Per questo motivo sono tenuti al rispetto della normativa tutti i soggetti, sia persone fisiche che giuridiche, che trattano dati personali e dunque il 99% delle aziende.

COSA FARE: Al Titolare del trattamento, definito dalla normativa come “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza” (art.4 comma 1 lett.f), ossia colui che ha potere decisionale sulle finalità e modalità del trattamento, cioè chi decide cosa fare e come farlo, competono molti degli adempimenti previsti dalla legge.

GLI ADEMPIMENTI:
Di seguito sono descritti alcuni degli adempimenti previsti dalla normativa. Per correttezza dell’informazione si precisa che alcuni di essi (es. notifica al Garante), sono dovuti solo in presenza di specifici requisiti richiesti dalla normativa stessa.

• la notifica al Garante, se necessaria;
• la formulazione dell’informativa;
• la raccolta del consenso;
• la nomina degli eventuali responsabili;
• nomina degli incaricati e definizione del loro ambito di competenza;
• il controllo sul loro operato;
• La predisposizione delle misure minime di sicurezza.

SICUREZZA DEI DATI:
Con l’entrata in vigore del Codice in materia di protezione dei dati personali, le misure minime di sicurezza sono, almeno in parte, cambiate. Le misure minime sono descritte nell’Allegato B del D.lgs.196/2003 “Disciplinare tecnico in materia di misure minime di sicurezza”; la loro mancata adozione implica un illecito penale e comporta le sanzioni di cui all’art. 169 del Codice stesso.

Principali attività e scadenze in materia di misure minime di sicurezza

• Annualmente, e precisamente entro il 31 marzo di ogni anno, redigere il Documento Programmatico sulla Sicurezza di cui all’art.19, Allegato B (in caso di trattamento di dati sensibili con strumenti elettronici);
• Annualmente, aggiornare l’individuazione dell’ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
• Aggiornare con cadenza almeno semestrale gli strumenti elettronici utilizzati al fine di proteggere i dati dal rischio di intrusione e dal rischio derivante da virus informatici (art. 16, Allegato B);
• Aggiornare con cadenza almeno annuale (semestrale per il trattamento di dati sensibili) i programmi per computer volti a prevenire la vulnerabilità di strumenti elettronici ed a prevenirne i difetti (art. 17, Allegato B);
• Fornire istruzioni organizzative e tecniche affinché il salvataggio dei dati sia effettuato almeno settimanalmente;
• Programmare interventi di formazione per gli incaricati del trattamento.

Oltre ai principi generali appena enunciati, il D.Lgs. 196/2003 impone una serie di verifiche e controlli da effettuare con cadenza periodica, o per espressa previsione normativa, o perché necessario procedere ad alcune modifiche ogniqualvolta muti uno degli elementi essenziali dell’organizzazione aziendale.

SANZIONI:

Il Codice della privacy ha riformulato il quadro sanzionatorio previsto fin dal 1996 dalla legge 675. Il sistema delle sanzioni ha una sua autonoma definizione e si articola sia con riferimento al comparto penale che civile ed amministrativo.

Alcune sanzioni:

• omessa adozione delle misure minime di sicurezza art. 169 arresto sino a due anni o ammenda da 10 mila euro a 50 mila euro
• omessa o infedele notificazione art 163, pagamento di una somma da 10 mila euro a 60 mila euro
• omessa o non idonea informativa: sanzione amministrativa del pagamento di una somma da 3 mila euro a 18 mila euro