Source: http://docplayer.it/4934500-Dati-e-informazioni-in-azienda-sicurezza-vincoli-legali-e-novita-legislative-gabriele-faggioli.html
Timestamp: 2017-09-26 20:30:35+00:00

Document:
Dati e informazioni in azienda: sicurezza, vincoli legali e novità legislative. Gabriele Faggioli - PDF
Download "Dati e informazioni in azienda: sicurezza, vincoli legali e novità legislative. Gabriele Faggioli"
1 Dati e informazioni in azienda: sicurezza, vincoli legali e novità legislative Gabriele Faggioli
2 La Tutela dei dati personali: il D.lgs 196 del 2003 Concetti fondamentali: - Dati personali: Dati comuni Dati sensibili Dati anonimi Dati giudiziari - Trattamento trattamento che presenta rischi specifici - Comunicazione diffusione - Titolare, responsabile, incaricato - Interessato - Garante per la protezione dei dati personali - Misure minime di sicurezza 2
3 La Tutela dei dati personali: il D.lgs 196 del 2003 Principi fondamentali: - Il Principio di necessità - Il Principio del buon trattamento - Il Principio della durata limitata nel tempo del trattamento - Il Principio della trasparenza nel trattamento (l obbligo dell informativa) - Il Principio del consenso al trattamento - Il Principio della supervisione amministrativa - Il Principio della sicurezza - Il Principio dell esercizio attivo del diritto alla riservatezza - Il Principio della circolazione controllata dei dati personali. 3
4 La Tutela dei dati personali: il D.lgs 196 del 2003 Le misure di sicurezza Art. 31 D.lgs 196 del 2003: Misure idonee: in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento Art. 33 D.lgs 196 del 2003: Misure minime: i titolari del trattamento sono comunque tenuti ad adottare le misure minime Art. 34 D.lgs 196 del 2003: Trattamenti con strumenti elettronici Art. 35 D.lgs 196 del 2003: Trattamenti senza l ausilio di strumenti elettronici: Allegato B 4
5 La Tutela dei dati personali: il D.lgs 196 del 2003 Scadenze Oggi le previsioni normative, per i privati, sono completamente in vigore (tranne il caso in cui abbiano effettuato la dichiarazione di cui all art comma d.lgs 196/03 per cui Il titolare che alla data di entrata in vigore del presente codice dispone di strumenti elettronici che, per obiettive ragioni tecniche, non consentono in tutto o in parte l'immediata applicazione delle misure minime di cui all'articolo 34 e delle corrispondenti modalità tecniche di cui all'allegato B), descrive le medesime ragioni in un documento a data certa da conservare presso la propria struttura. In questo caso le misure di sicurezza in oggetto devono essere adottate entro il 30 giugno). Per le aziende pubbliche invece il termine per il DPS è stato prorogato al 30 giugno
6 La Tutela dei dati personali: il D.lgs 196 del 2003 Comunicato stampa del 03/02/2006 Il Garante ha stabilito il programma di accertamenti per il primo semestre 2006 Gli accertamenti riguarderanno i trattamenti effettuati: - dalle società che svolgono attività di vendita a distanza, - dai siti internet, - dalle società farmaceutiche - -da banche o finanziarie relativi alle segnalazioni nei sistemi di informazioni creditizie. - Ulteriori ispezioni riguarderanno soggetti privati. - Le ispezioni verranno effettuate anche in collaborazione con il Nucleo speciale funzione pubblica e privacy della Guardia di Finanza. 6
7 La Tutela dei dati personali: il D.lgs 196 del 2003 Provvedimento del Garante Internet: proporzionalità nei controlli effettuati dal datore di lavoro - 2 febbraio 2006 Sono state confermate le tesi esposte da parte della dottrina e della giurisprudenza, e cioè che il datore di lavoro può fare controlli purché adottando le maggiori precauzioni possibili: - i lavoratori siano stati informati della possibilità che vengano effettuati controlli - i controlli siano necessari - i controlli siano proporzionati - i controlli vengano effettuati su dati necessari in relazione alle finalità perseguite. 7
8 Data retention e norme antiterrorismo Le norme antiterrorismo Con il decreto legge 27 luglio 2005 n. 144 (noto come decreto Pisanu) convertito in legge 31 luglio 2005, n. 155 sono state adottate nel nostro ordinamento alcune misure urgenti per il contrasto del terrorismo internazionale che hanno un incidenza diretta sulla fornitura di servizi di comune In particolare sono stati previsti in capo ai fornitori di servizi comunicazione elettronica precisi obblighi di conservazione dei dati del traffico telematico effettuato 8
9 Data retention e norme antiterrorismo Gli obblighi di conservazione (1) Prima dell adozione delle misure urgenti antiterrorismo dovevano essere conservati obbligatoriamente dai fornitori per finalità di accertamento e repressione dei reati solo i dati del traffico telefonico Ai fornitori di servizi di comunicazione elettronica era comunque lasciata la possibilità di conservare per un periodo non superiore a sei mesi i dati strettamente necessari alla fatturazione dei servizi erogati ai clienti, a fini di documentazione in caso di contestazione della fattura o per la pretesa del pagamento e salva l ulteriore specifica conservazione necessaria per effetto di contestazione anche in sede giudiziale (art 123 d.lgs 196/03) 9
10 Data retention e norme antiterrorismo Gli obblighi di conservazione (2) L articolo 132 del d.lgs 196/2003 come recentemente modificato dal decreto Pisanu prevede nuove regole in materia di conservazione dei dati per il traffico telefonico e telematico. In particolare: i dati relativi al traffico telefonico inclusi quelli concernenti le chiamate senza risposta sono conservati dal fornitore per ventiquattro mesi, per finalità di accertamento e repressione dei reati, mentre, per le medesime finalità, i dati relativi al traffico telematico, esclusi comunque i contenuti delle comunicazioni, sono conservati dal fornitore per sei mesi decorso il termine di cui al punto precedente, i dati relativi al traffico telefonico, inclusi quelli concernenti le chiamate senza risposta, sono conservati dal fornitore per ulteriori ventiquattro mesi e quelli relativi al traffico telematico, esclusi comunque i contenuti delle comunicazioni, sono conservati per ulteriori sei mesi in riferimento a particolari tipologie di reato 10
11 Data retention e norme antiterrorismo Gli obblighi di conservazione (3) L articolo 6 del decreto Pisanu tuttavia prescrive che fino al 31 dicembre 2007, è sospesa l'applicazione delle disposizioni di legge, di regolamento o dell'autorità amministrativa che prescrivono o consentono la cancellazione dei dati del traffico telefonico o telematico, anche se non soggetti a fatturazione, e gli stessi, esclusi comunque i contenuti delle comunicazioni e limitatamente alle informazioni che consentono la tracciabilità degli accessi, nonche', qualora disponibili, dei servizi, debbono essere conservati fino al 31 dicembre 2007 dai fornitori di una rete pubblica di comunicazioni o di un servizio di comunicazione elettronica accessibile al pubblico, fatte salve le disposizioni vigenti che prevedono un periodo di conservazione ulteriore. I dati del traffico conservati oltre i limiti previsti dall'articolo 132 del decreto legislativo 30 giugno 2003, n. 196, possono essere utilizzati esclusivamente per le finalità del decreto Pisanu, salvo l'esercizio dell'azione penale per i reati comunque perseguibili 11
12 Data retention e norme antiterrorismo Le misure ulteriori (1) L articolo 7 primo comma del decreto Pisanu convertito in legge prevede la necessità di richiedere una licenza al questore per coloro che intendono aprire un pubblico esercizio o un circolo privato nel quale sono posti a disposizione del pubblico, dei clienti o dei soci apparecchi terminali utilizzabili per le comunicazioni anche telematiche con esclusione dei telefoni pubblici a pagamento abilitati esclusivamente alla telefonia vocale. 12
13 Data retention e norme antiterrorismo Le misure ulteriori (2) In aggiunta alla licenza il decreto ministeriale del 16 agosto 2005 adottato dal Ministero dell interno di concerto con il Ministero delle comunicazioni ed il Ministero per l innovazione e le tecnologie prescrive agli stessi soggetti ulteriori adempimenti quali: a) adottare le misure fisiche o tecnologiche occorrenti per impedire l'accesso agli apparecchi terminali a persone che non siano preventivamente identificate (vedi lettera b); b) identificare chi accede ai servizi telefonici e telematici offerti, prima dell'accesso stesso o dell'offerta di credenziali di accesso, acquisendo i dati anagrafici riportati su un documento di identità, nonché il tipo, il numero e la riproduzione del documento presentato dall'utente; 13
14 Data retention e norme antiterrorismo Le misure ulteriori (3) c) adottare le misure di occorrenti per il monitoraggio delle attività ovvero; adottare le misure necessarie a memorizzare e mantenere i dati relativi alla data ed ora della comunicazione e alla tipologia del servizio utilizzato, abbinabili univocamente al terminale utilizzato dall'utente, esclusi comunque i contenuti delle comunicazioni adottare le misure necessarie affinché i dati registrati siano mantenuti, con modalità che ne garantiscano l'inalterabilità' e la non accessibilità da parte di persone non autorizzate per il tempo stabilito (fino al 31 dicembre 2007) d) informare, anche in lingue straniere, il pubblico delle condizioni d'uso dei terminali messi a disposizione, comprese quelle di cui alle lettere a) e b); 14
15 Data retention e norme antiterrorismo Le misure ulteriori (4) e) rendere disponibili, a richiesta, anche per via telematica, i dati acquisiti a norma delle lettere b) e c), esclusi comunque i contenuti delle comunicazioni, al Servizio polizia postale e delle comunicazioni, quale organo del Ministero dell'interno preposto ai servizi di polizia postale e delle comunicazioni, nonché, in conformità al codice di procedura penale, all'autorità' giudiziaria e alla polizia giudiziaria; f) assicurare il corretto trattamento dei dati acquisiti e la loro conservazione fino al 31 dicembre
16 Data retention e norme antiterrorismo Le postazioni non vigilate Pur in assenza di un pubblico esercizio o di un circolo privato l articolo 3 del decreto ministeriale del 16 agosto 2005 (che gli adempimenti in esso previsti di cui alle lettere a)-f) sopra esaminate ad esclusione degli obblighi di monitoraggio di cui alla lettera c)) si applicano anche nei confronti dei fornitori di apparecchi terminali utilizzabili per le comunicazioni telematiche collocati in aree non vigilate Lo stesso articolo prevede che in tal caso gli abbonamenti, forniti anche mediante credenziali di accesso prepagate o gratuite, non potranno avere validità superiore a dodici mesi dall ultima operazione di identificazione. Possono però consentirsi tempi di utilizzazione maggiori e comunque non superiori a cinque anni, nel caso di credenziali di accesso ad uso plurimo utilizzabili esclusivamente dai frequentatori di centri di ricerca, università, ed altri istituti di istruzione per i terminali installati all interno delle medesime strutture. 16
17 Archiviazione e conservazione digitale dei documenti Conservazione sostitutiva di documenti informatici La materia è disciplinata dalla delibera del Centro Nazionale per l informatica nella Pubblica Amministrazione del 19 febbraio 2004 Regole tecniche per la riproduzione e conservazione di documenti su supporto ottico idoneo a garantire la conformità dei documenti agli originali Alcune definizioni: Archiviazione: Processo di memorizzazione di un documento su qualsiasi supporto per la sua acquisizione classificazione e attribuzione di un codice univoco per il riconoscimento Conservazione sostitutiva: processo finalizzato a rendere un documento informatico non deteriorabile, disponibile nel tempo nelle sua integrità ed autenticità Documento informatico: la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti Documento analogico: documento formato utilizzando una grandezza fisica che assume valori continui (documenti cartacei nastri magnetici ecc.) Documento analogico originale: documento analogico che può essere unico o non unico, nel caso in cui sia possibile risalire al suo contenuto attraverso altre scritture o documenti di cui sia obbligatoria la conservazione, anche presso terzi 17
18 Archiviazione e conservazione digitale dei documenti Conservazione sostitutiva di documenti informatici Processo di conservazione di documenti informatici, anche sottoscritti e eventualmente delle loro impronte Memorizzazione su un supporto ottico Apposizione del riferimento temporale e della firma digitale sull insieme dei documenti o su una evidenza informatica contenente una o più impronte dei documenti o di insiemi di essi, da parte del responsabile della conservazione che attesta il corretto svolgimento del processo. Il riferimento temporale è l informazione contenente la data e l ora, che viene associata ad uno o più documenti informatici 18
19 Archiviazione e conservazione digitale dei documenti Conservazione sostitutiva di documenti informatici La conservazione sostitutiva dei documenti consente anche di trasferire gli archivi esistenti in formato cartaceo (analogico) in quello digitale. memorizzazione dell immagine, ed eventualmente della relativa impronta, dei documenti analogici direttamente su supporto ottico Apposizione, sull insieme dei documenti, o su una evidenza informatica contenente una o più impronte dei documenti o di insiemi di essi, del riferimento temporale e della firma digitale da parte del responsabile della conservazione. Il riferimento temporale ha in questo caso la funzione di bloccare ad una data certa il contenuto dei documenti memorizzati. Per i documenti analogici originali unici il processo di conservazione si conclude con l ulteriore apposizione del riferimento temporale e della firma digitale da parte di un pubblico ufficiale per attestare la conformità di quanto memorizzato al documento d origine 19
20 Archiviazione e conservazione digitale dei documenti Conservazione sostitutiva di documenti informatici La delibera regolamenta anche i casi nei quali vi sia la necessità di trasferire i documenti digitali conservati da un supporto ad un altro. Vi sono 2 casi: Riversamento diretto il documento conservato viene trasferito da un supporto ad un altro senza che ne venga alterata la rappresentazione digitale. (es. copie di sicurezza). La delibera non prescrive particolari modalità Riversamento sostitutivo il trasferimento comporta la modifica della rappresentazione informatica del contenuto del documento. Può rendersi necessario quando l evoluzione tecnologica rende impossibile o sconveniente mantenere il vecchio formato. 20
21 Archiviazione e conservazione digitale dei documenti Conservazione sostitutiva di documenti informatici Per effettuare il riversamento sostitutivo, dopo la memorizzazione su un altro supporto sono necessari l apposizione sull insieme dei documenti, o su una evidenza informatica contenente una o più impronte dei documenti o di insiemi di essi, del riferimento temporale e della firma digitale da parte del responsabile della conservazione Per i documenti informatici sottoscritti con firma elettronica e nel caso di conservazione sostitutiva di documenti analogici originali unici, il procedimento si conclude con l ulteriore apposizione del riferimento temporale e della firma digitale da parte di un pubblico ufficiale per attestare la conformità di quanto memorizzato al documento d origine 21

References: Art. 31
 Art. 33
 Art. 34
 Art. 35
 articolo 132
 articolo 6
 articolo 7
 articolo 3