Source: http://docplayer.it/25684217-Studio-dott-bonvicini-circolare-n-3-del-4-gennaio-2006-rif-ns-circ-n-5-del-15-5-2004.html
Timestamp: 2018-09-23 05:49:01+00:00

Document:
STUDIO DOTT. BONVICINI Circolare n. 3 del 4 gennaio 2006 Rif. Ns. Circ. n. 5 del 15/5/ PDF
Download "STUDIO DOTT. BONVICINI Circolare n. 3 del 4 gennaio 2006 Rif. Ns. Circ. n. 5 del 15/5/2004"
1 STUDIO DOTT. BONVICINI Circolare n. 3 del 4 gennaio 2006 Rif. Ns. Circ. n. 5 del 15/5/2004 PROROGA PRIVACY AL 31 MARZO 2006 Art. 10 del D.L N. 273 su G.U. 303 del Le notizie frammentarie e spesso confuse che circolano in materia di privacy e Documento Programmatico di Sicurezza (DPS) consigliano un riepilogo delle disposizioni in materia con l obiettivo di riassumere ed esemplificarne i concetti e gli adempimenti obbligatori. Le disposizioni sulla proroga al 31 marzo 2006 L art. 180 (Misure di sicurezza) così recita 1. Le misure minime di sicurezza di cui agli articoli da 33 a 35 e all allegato B) che non erano previste dal decreto del Presidente della Repubblica 28 luglio 1999, n. 318, sono adottate entro il 31 marzo Il titolare che alla data di entrata in vigore del presente codice dispone di strumenti elettronici che, per obiettive ragioni tecniche, non consentono in tutto o in parte l immediata applicazione delle misure minime di cui all articolo 34 e delle corrispondenti modalità tecniche di cui all allegato B), descrive le medesime ragioni in un documento a data certa da conservare presso la propria struttura. 3. Nel caso di cui al comma 2, il titolare adotta ogni possibile misura di sicurezza in relazione agli strumenti elettronici detenuti in modo da evitare, anche sulla base di idonee misure organizzative, logistiche o procedurali, un incremento dei rischi di cui all articolo 31, adeguando i medesimi strumenti al più tardi entro un anno dall entrata in vigore del codice 30 giugno 2006 (termine oggetto dell ennesima proroga). La proroga delle misure di sicurezza L abitudine è definire misure di sicurezza quelle tecniche e quelle relative alle procedure di salvataggio dei dati etc., ma occorre osservare che l articolo 34 del Codice, inserito nel capo II misure minime di sicurezza, definisce misura minima - comma 1 lettera e la tenuta di un aggiornato documento programmatico sulla sicurezza. Nel caso di elaboratori in rete con trattamento di dati sensibili già l articolo 6 del D.P.R. 318/99 prevedeva l obbligo di redigere il DPS e di aggiornarlo annualmente (si veda in proposito il parere del Garante del 22 marzo 2004 che definisce il DPS una misura non nuova ), così come lo stesso DPR prevedeva l obbligo di dotazione di un sistema antivirus, così come l articolo 8 dell abrogata Legge 675/1996 prevedeva l obbligo di individuare per iscritto gli obblighi dell eventuale nominato responsabile per il trattamento, così come l articolo 19 della Legge 675/1996 prevedeva l obbligo di designazione scritta degli incaricati del trattamento. La proroga per l attuazione delle misure minime di sicurezza A seguito dei vari provvedimenti di proroga il termine per adempiere alle disposizioni di cui al terzo comma dell articolo 180 del Dlgs. 196/2003 è ora fissato al 30 giugno 2006; detto comma prevede il termine per l adeguamento degli strumenti informatici che non consentono
2 l attuazione delle misure di sicurezza, si ribadisce, al 30 giugno Si tratta, ad esempio, dei sistemi operativi Windows 95 relativamente ai quali la casa produttrice non rilascia le patches di aggiornamento (punto 17 del disciplinare tecnico allegato B che prevede l aggiornamento annuale, semestrale nel caso di trattamento di dati sensibili). Per le altre misure di sicurezza si richiama quanto espresso dal Garante nel parere 22 marzo 2004 le misure minime che erano già obbligatorie in passato devono essere adottate ancora oggi senza attendere il decorso di termini transitori. ESEMPLIFICAZIONE SU COS E PROROGATO E COSA NON E PROROGATO Dopo l emanazione della Legge 675/1996 e del D.P.R. 318/1999 abbiamo assistito ad un periodo di rilassamento da parte di imprese e professionisti in tema di assolvimento degli obblighi di cui alle citate disposizioni. Con i provvedimenti di proroga si ritiene erroneamente - che l intera questione degli adempimenti privacy sia oggetto di proroga: ciò è fondamentalmente errato, come cercheremo di illustrare negli appunti che seguono. ESEMPLIFICAZIONE studio di consulente del lavoro: trattamento di dati sensibili dei dipendenti dei clienti (malattia, infortunio, etc. sottolineando che il punto 4 dell autorizzazione generale n. 1/2004 del del Garante prevede espressamente che siano da considerarsi dati sensibili quelli comunque relativi anche all`indicazione della malattia come specifica causa di assenza del lavoratore ) anche in questo caso gestiti con una rete di personal computers oppure azienda paghe (commerciale od industriale) che elaborava le buste paga dei propri dipendenti all interno con una rete di personal computers (con trattamento quindi di dati sensibili) oppure azienda no paghe (commerciale od industriale) che riceveva i documenti anche sensibili dei propri dipendenti in forma cartacea e che si avvaleva di un soggetto esterno per l elaborazione delle buste paga in forma elettronica cosa doveva intendersi per una rete di computers il segretario del Garante vedasi Il Sole 24 Ore del pag aveva precisato per rete accessibile si intendeva anche quella dedicata che però viaggia con modalità pubbliche, per esempio una rete aziendale accessibile solo ai dipendenti che per i collegamenti utilizza le normali reti telefoniche e che, quindi, è potenzialmente accessibile al pubblico. Quali obblighi avevano le tre casistiche di cui sopra antecedentemente al Dlgs. 196/2003? L articolo 6 del DPR 318 prevedeva la redazione obbligatoria del documento programmatico sulla sicurezza nel caso ricorressero entrambe le seguenti condizioni: Fosse impiegato un elaboratore accessibile mediante una rete di telecomunicazioni disponibile al pubblico (per la definizione di rete vedasi quanto prima detto) Il trattamento doveva riguardare dati di cui all articolo 22 e 24 della Legge e cioè dati sensibili o giudiziari. Quindi i soggetti nell esemplificazione di cui sopra dovevano aver attuato le seguenti misure
3 ed i seguenti adempimenti: relativamente ai dati dei dipendenti informativa all interessato e richiesta di consenso per il trattamento di dati sensibili obbligatorio in vigenza della legge 675/1996 articolo 22 comma 1 quindi il consulente del lavoro poteva trattare i dati dei propri dipendenti - che comportano il l azienda paghe poteva trattare i dati dei propri dipendenti - che comportano il l azienda no paghe poteva trattare i dati dei propri dipendenti - che comportano il l azienda no paghe doveva nominare quale responsabile del trattamento il soggetto esterno che elabora le buste paga I SOGGETTI DI CUI SOPRA NON HANNO ADEMPIUTO ANTE o A QUANTO SOPRA? QUESTI ADEMPIMENTI NON FORMANO OGGETTO DI PROROGHE, LE SANZIONI SONO PER QUALSIASI TRATTAMENTO DI DATI La legge 675/1996 all articolo 19 comma 1 prevedeva che non si considera comunicazione la conoscenza dei dati personali da parte delle persone incaricate per iscritto di compiere le operazioni del trattamento dal titolare o dal responsabile, e che operano sotto la loro diretta autorità. LA DESIGNAZIONE DEGLI INCARICATI DEL TRATTAMENTO ERA GIA QUINDI OBBLIGATORIA IN FORZA DELLA LEGGE 675/1996 QUESTO ADEMPIMENTO NON FORMA OGGETTO DI PROROGA, LE SANZIONI SONO IL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA il redigere il DPS era obbligatorio nel caso di trattamento con una rete di personal computers di dati sensibili, ai sensi di quanto indicato nel comma 1 dell articolo 6 del DPR 318/99. Nel caso dell esemplificazione oggetto della presente: 1. il consulente del lavoro era tenuto alla redazione del DPS 2. l azienda paghe era tenuta alla redazione del DPS 3. l azienda no paghe non trattando in forma elettronica dati sensibili non era tenuta alla redazione del DPS NEI CASI SOPRA RIPORTATI IL vecchio DPS aggiornato l ultima volta nel 2004 deve esistere : NON ESISTE? LE SANZIONI SONO - redigere il DPS con urgenza non esistono provvedimenti di proroga - Nel caso n. 3 (azienda no paghe ) la redazione del DPS è ora opportuna, con funzioni di riepilogo delle misure di sicurezza, di distribuzione dei
4 compiti e responsabilità, di nomine e designazioni. E utile rammentare che il Garante nel documento prot del indirizzato al Consiglio Nazionale Forense, al punto 3 ha indicato espressamente: in particolare, se sono trattati con strumenti elettronici dati sensibili o dati giudiziari, occorre redigere un documento programmatico sulla sicurezza... ribadendo così che tale documento è obbligatorio nel caso di trattamento di detti dati in forma elettronica Il redigere il DPS non era invece obbligatorio nel caso di utilizzo di personal computer non in rete (per la definizione di rete vedasi quanto detto in precedenza) mentre il Dlgs. 196/2003 obbliga alla redazione del DPS anche in questo caso, cosicché il solo DPS potrà essere redatto entro il MISURE ELETTRONICHE Per qualsiasi trattamento di dati con personal computer in rete (per miglior definizione vedasi l art. 3 comma 1 del DPR 318/1999) il DPR attuativo prevedeva che i computers fossero protetti da un sistema antivirus L antivirus non è stato installato? LE SANZIONI SONO Il trattamento dei dati avveniva con un personal computer NON in rete L antivirus non era installato e non era obbligatorio ora è obbligatorio - adozione nel maggior termine di proroga del 31 marzo 2006 il Firewall le passwords di otto caratteri aggiornamento delle patches
5 Non era previsto uno specifico obbligo nella legge 675/1996 e nel DPR 318/1999 rientrava, si reputa, nei criteri di cui alla lettera b del comma 1 art. 6 DPR 318/99 aggiornamento annuale delle patches nel caso di trattamento di dati non sensibili aggiornamento semestrale nel caso di trattamento di dati sensibili obbligo previsto dal punto 17 del disciplinare tecnico allegato B Salvataggio dei dati Non era previsto uno specifico obbligo nella legge 675/1996 e nel DPR 318/1999 rientrava, si reputa, nei criteri di cui alla lettera b del comma 1 art. 6 DPR 318/99 salvataggio dei dati almeno settimanale - punto 18 dell allegato B al Dlgs. 196/2003 Si verifica inoltre in questi mesi un invio massiccio di lettere tra fornitori e clienti dove si richiede un consenso al trattamento dei dati. Tale procedura risulta quasi sempre inutile e costosa. Infatti Vi ricordo che i dati sensibili sono definiti come i dati personali idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, le opinioni politiche, l adesione a partiti, sindacati nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale o lo stato giudiziario a carico di una persona. Ai sensi dell articolo 23 del codice della privacy, il trattamento di tali dati è ammesso solo con il consenso espresso dell interessato, tuttavia, il consenso non è richiesto, quando vengono trattati dati diversi da quelli sensibili. L utilizzo di dati sensibili deve essere sempre effettuato previo consenso dell interessato. Se ne quindi deduce chiaramente che non risulta necessario spedire e/o ricevere le comunicazioni di consenso al trattamento dei dati nel caso si utilizzino tali dati solo a fini contabili e di fatturazione e quindi in totale assenza di dati sensibili. Si invitano infine i clienti interessati a contattare i propri tecnici ed il proprio consulente del lavoro per verificare la regolarità delle procedure e degli adempimenti. Dr. Bonvicini
DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEMPLIFICATO (ART. 34 COMMA 1-BIS E REGOLA 19 DELL ALLEGATO B DEL CODICE IN MATERIA DI PROTEZIONE DEI DATI PERSONALI) Studio Mazzolari Privacy Consulting and Training
1.2 Responsabile del progetto preposto a responsabile del trattamento
Progetto di ricerca ai sensi dell art. 3 Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici e scientifici (Allegato 4 Codice Privacy) 1. PRESENTAZIONE DEL
IL FALSO DILEMMA DELLA DATA CERTA DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA I DECRETO LEGGE 273/05: LE MISURE MINIME DI SICUREZZA PROROGATE
IL FALSO DILEMMA DELLA DATA CERTA DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA INDICE : INTRODUZIONE I DECRETO LEGGE 273/05: LE MISURE MINIME DI SICUREZZA PROROGATE II DECRETO LEGGE 273/05: I NUOVI TERMINI
Il trattamento dei dati per i professionisti
Approfondimenti Privacy Il trattamento dei dati per i professionisti di Elena Clarke La nuova disciplina sulla privacy, entrata in vigore dal 1 gennaio 2004, oltre a raccogliere in un unico contesto semplificato
Nomina e istruzioni incaricati. Allegato 6
Pag 1 di 17 Lettera di nomina dell incaricato del trattamento dei dati personali Alla/Al docente IL DIRIGENTE SCOLASTICO In qualità di Il Titolare del trattamento dei dati personali dell istituzione scolastica
DELIBERAZIONE DEL DIRETTORE GENERALE N 260 DEL 29/07/2005 A D O T T A PROVVEDIMENTI ATTUATIVI DEL D.LGS. N. 196 DEL 30 GIUGNO 2003 (CODICE PRIVACY).
DELIBERAZIONE DEL DIRETTORE GENERALE N 260 DEL 29/07/2005 Il DIRETTORE GENERALE acquisiti i pareri preventivi, favorevoli, del Direttore Amministrativo, del Direttore Sanitario e, ove previsto per competenza,

References: Art. 10
 art. 180
 articolo 34
 articolo 31
 articolo 34
 articolo 6
 articolo 8
 articolo 19
 articolo 180
 articolo 6
 articolo 22
 articolo 22
 articolo 19
 articolo 6
 art. 3
 art. 6
 art. 6
 articolo 23
 art. 3