Source: http://www.nt-planet.com/italiano/new.php
Timestamp: 2013-05-20 05:06:14+00:00
Document Index: 170339191

Matched Legal Cases: ['art. 33', 'art. 169', 'art. 36', 'art. 180', 'art. 180', 'art. 1', 'art. 6', 'art. 34', 'art. 4', 'art. 4', 'art. 180']

NEWS Obblighi di sicurezza e documento programmatico: al 30 giugno la redazione del "dps"
Il Codice entrato in vigore il 1� gennaio 2004 ha confermato e aggiornato la disciplina in materia di sicurezza dei dati personali e dei sistemi informatici e telematici introdotta nel 1996.
In particolare � stato confermato il principio (evidenziato con maggiore chiarezza dalle nuove disposizioni) secondo cui le "misure minime", di importanza tale da indurre il legislatore a prevedere anche una sanzione penale, sono solo una parte degli accorgimenti obbligatori in materia di sicurezza (art. 33 del Codice).
In materia, come gi� previsto dalla legge n. 675/1996, si distinguono due distinti obblighi:
a) l'obbligo pi� generale di ridurre al minimo determinati rischi.
Occorre custodire e controllare i dati personali oggetto di trattamento per contenere nella misura pi� ampia possibile il rischio che i dati siano distrutti, dispersi anche accidentalmente, conoscibili fuori dei casi consentiti o altrimenti trattati in modo illecito.
Come in passato, l'inosservanza di questo obbligo rende il trattamento illecito anche se non si determina un danno per gli interessati; viola inoltre i loro diritti, compreso il diritto fondamentale alla protezione dei dati personali che pu� essere esercitato nei confronti del titolare del trattamento (artt. 1 e 7, comma 3, del Codice), ed espone a responsabilit� civile per danno anche non patrimoniale qualora, davanti al giudice ordinario, non si dimostri di aver adottato tutte le misure idonee ad evitarlo (artt. 15 e 152 del Codice);
b) nell'ambito del predetto obbligo pi� generale, il dovere di adottare in ogni caso le "misure minime".
Nel quadro degli accorgimenti pi� ampi da adottare per effetto dell'obbligo ora richiamato, occorre assicurare comunque un livello minimo di protezione dei dati personali.
Pertanto, in aggiunta alle conseguenze appena ricordate, il Codice conferma l'impianto secondo il quale l'omessa adozione di alcune misure indispensabili ("minime"), le cui modalit� sono specificate tassativamente nell'Allegato B) del Codice, costituisce anche reato (art. 169 del Codice, che prevede l'arresto sino a due anni o l'ammenda da 10 mila euro a 50 mila euro, e l'eventuale "ravvedimento operoso" di chi adempie puntualmente alle prescrizioni impartite dal Garante una volta accertato il reato ed effettua un pagamento in sede amministrativa, ottenendo cos� l'estinzione del reato).
1.1. Il Codice, come previsto dalla legge n. 675/1996 e come dovr� avvenire periodicamente in base all'evoluzione tecnologica (art. 36 del Codice), ha aggiornato l'elenco delle "misure minime" le cui modalit� di applicazione, sulla base di alcune prescrizioni di ordine generale (artt. 33-35 del Codice), sono indicate analiticamente nelle 29 regole incluse nell'Allegato B) del medesimo Codice.
Per alcune di esse sono previste scadenze periodiche, ma le "misure minime" che erano gi� obbligatorie in passato devono essere adottate ancora oggi senza attendere il decorso di termini transitori.
1.2. Il termine transitorio che permette di adottare le misure entro il 30 giugno 2004 riguarda solo le nuove misure (art. 180, comma 1, d.lg. n. 196/2003; per la precedente disciplina, v. gli artt. 15
, comma 2 e 41 l. n. 675/1996, il d.P.R. n. 318/1999 e la l. n. 325/2000). � previsto un periodo pi� ampio per l'adeguamento (fino al 1� gennaio 2005) solo se, in un caso del tutto particolare, ricorrano obiettive ragioni di natura tecnica.
Si tratta dell'ipotesi specifica (che riguarda solo i trattamenti effettuati con strumenti elettronici) in cui il titolare del trattamento, alla data del 1� gennaio scorso, disponeva di strumenti elettronici che, per le predette obiettive ragioni esclusivamente tecniche, documentate in un atto a data certa da redigere al pi� tardi entro il 30 giugno 2004, non consentono di applicare immediatamente, in tutto o in parte, le nuove misure minime. Sempre in questo circoscritto caso, nel quale si � obbligati a prevenire comunque un incremento dei rischi (art. 180, comma 3, del Codice), occorre conservare il documento a data certa il quale non va trasmesso al Garante, che pu� per� richiederne l'esibizione in sede di accertamento anche ispettivo (artt. 157 ss. del Codice).
Per quanto riguarda le modalit� per far risultare una "data certa" si dovr� applicare la disciplina civilistica in materia di prova documentale (v. in particolare, gli artt. 2702-2704 del codice civile) e si potranno tenere presenti i suggerimenti formulati dal Garante in un parere del 2000 qui allegato, e redatto a proposito di un analogo documento previsto in tema di sicurezza (art. 1 l. n. 325/2000).
In materia di "misure minime", anche quando si rediga il documento a data certa, non va pertanto effettuata alcuna comunicazione al Garante; dalla circostanza che l'Autorit� abbia ricevuto eventuali note in proposito, spesso peraltro succinte, il titolare del trattamento non potr� inoltre desumere, anche in caso di mancato riscontro, alcun assenso o autorizzazione del Garante a proseguire il trattamento dei dati con le modalit� dichiarate.
2.1 Anche la redazione del DPS � una "misura minima", prevista dall'Allegato B).
Infatti, la precedente disciplina prevedeva gi� l'obbligo di predisporre e aggiornare il DPS, almeno annualmente, in caso di trattamento di dati sensibili o relativi a determinati provvedimenti giudiziari effettuato mediante elaboratori accessibili mediante una rete di telecomunicazioni disponibili al pubblico (artt. 22 e 24 l. n. 675/1996; art. 6 d. P.R. n. 318/1999).
I soggetti tenuti a predisporre il DPS hanno potuto redigerlo per la prima volta entro il 29 marzo 2000 o, al pi� tardi, entro il 31 dicembre 2000 (artt. 15, comma 2 e 41, comma 3 l. n. 675/1996; l. n. 325/2000); dovendo rispettare l'obbligo di revisione almeno annuale, hanno dovuto aggiornare il DPS negli anni successivi, anche nel 2003.
2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora adottata dal titolare di un trattamento di dati sensibili o giudiziari effettuato con strumenti elettronici, attraverso l'organo, ufficio o persona fisica a ci� legittimata in base all'ordinamento aziendale o della pubblica amministrazione interessata (art. 34, comma 1, lett. g), del Codice; regola 19 dell'Allegato B)).
Inoltre, a differenza del passato, la categoria dei dati giudiziari � oggi rappresentata anche da altri dati personali, riferiti ad esempio a provvedimenti giudiziari non definitivi o alla semplice qualit� di imputato o indagato (v. art. 4 del Codice).
Infine, il contenuto stesso del DPS � arricchito da nuovi elementi che si aggiungono a quelli necessari in base alla precedente disciplina o ne specificano alcuni aspetti. Ad esempio, nel DPS occorre descrivere ora i criteri e le modalit� per ripristinare la disponibilit� dei dati in caso di distruzione o danneggiamento delle informazioni o degli strumenti elettronici; occorre individuare poi i criteri da adottare per cifrare o per separare i dati idonei a rivelare lo stato di salute e la vita sessuale trattati da organismi sanitari ed esercenti le professioni sanitarie (regole 19.8 e 24 dell'Allegato B)).
2.3. Bench� non si tratti a rigore di una misura "nuova", � quindi legittimamente sostenibile che il DPS da redigere quest'anno per la prima volta, o da aggiornare, possa essere predisposto al pi� tardi entro il 30 giugno 2004, anzich� necessariamente entro il 31 marzo, data che � invece prevista a regime per i prossimi anni, a partire dal 2005 (cfr. regola 19).
b) sia per chi, gi� dotato di un DPS redatto o aggiornato nel 2003, ritenga necessario utilizzare un trimestre in pi�, rispetto al prossimo 31 marzo, per curare la stesura di un testo significativo e pi� impegnativo nella ricognizione dei rischi e degli interventi previsti.
Il termine pi� ampio del 30 giugno 2004 permetter� di utilizzare facoltativamente il modello-base e semplificato di DPS che il Garante � in procinto di porre a disposizione dei titolari del trattamento interessati, soprattutto per le realt� medio-piccole che non si attiveranno entro il 31 marzo.
Non sussistono infine margini per sostenere che il DPS possa essere redatto per la prima volta o aggiornato solo nel 2005. Il DPS � peraltro una misura da adottare con un documento, anzich� un accorgimento da applicare direttamente a strumenti elettronici, per cui non � possibile invocare un differimento al 2005 neppure in applicazione dello speciale meccanismo gi� descritto a proposito delle obiettive ragioni tecniche relative a strumenti elettronici.
3.1 Le scelte di fondo sulle modalit� di trattamento sotto il profilo della sicurezza competono alle persone e agli organi legittimati ad adottare decisioni ed esprimere a vari livelli, in base al proprio ordinamento interno, la volont� della societ�, ente o altro organismo titolare del trattamento (art. 4, comma 1, lett. f), del Codice).
In questo quadro, il Codice ha introdotto una nuova regola per rendere meglio edotti gli organi di vertice del titolare del trattamento e responsabilizzarli in materia di sicurezza, attraverso l'obbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circa l'avvenuta redazione o aggiornamento del DPS che sia obbligatorio come misura "minima" o che sia stato comunque adottato (regola 26 Allegato B).
3.2 I soggetti pubblici e privati tenuti in passato a predisporre o aggiornare il DPS, e che per il 2004 possono come detto aggiornarlo entro il 30 giugno del presente anno, dovranno riferire secondo la regola 26 gi� a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS gi� eventualmente aggiornato per il 2004, oppure menzionando l'adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiorner� il DPS entro il 30 giugno 2004.
I soggetti pubblici e privati tenuti invece per la prima volta a redigere il DPS nel 2004 (come si � detto entro il 30 giugno), non devono indicare nella relazione alcunch� se il DPS 2003 o il DPS 2004 non sono stati adottati. I medesimi soggetti, qualora alla data in cui predispongono la predetta relazione abbiano redatto gi� il DPS 2004, indicheranno invece tale circostanza; potranno infine indicare facoltativamente quanto eventualmente gi� fatto nel 2003 e, sempre facoltativamente, l'aggiornamento 2004 in itinere.
Adempimenti 30 giugno 2004
Adozione per il 2004 di tutte le "misure minime" non previste dalla precedente disciplinaTermine ultimo per predisporre il documento a data certa per descrivere le obiettive ragioni tecniche che non consentono di applicare immediatamente alcune nuove misure minime (documento utilizzabile unicamente nel caso del tutto particolare previsto dall'art. 180, comma 2, del Codice per i soli strumenti elettronici).
Adozione nuove misure minime su strumenti elettronici non previste in base alla precedente disciplina (solo per i soggetti legittimati a predisporre il predetto documento a data certa).
Relazione accompagnatoria al bilancio d'esercizio
Soggetti gi� tenuti a redigere o aggiornare il DPS (1)
Soggetti non obbligati a redigere o aggiornare il DPS
in base alla previgente disciplina
Aggiornamento DPS entro il 30 giugno 2004.
Redazione DPS entro il 30 giugno 2004.
Relazione accompagnatoria del bilancio esercizio 2003
Riferimento al DPS redatto o aggiornato nel 2003 (con facolt� di indicazione aggiuntiva dell'aggiornamento 2004 in itinere), oppure menzione dell'aggiornamento eventualmente gi� effettuato nel 2004.
Nessun riferimento se il DPS 2003 o il DPS 2004 non sono stati adottati, oppure riferimento al DPS eventualmente gi� adottato nel 2004. Facolt� di indicazione del DPS eventualmente predisposto nel 2003 e facolt� di indicazione dell'aggiornamento 2004 in itinere.
(1) titolari di un trattamento di dati sensibili o relativi a provvedimenti giudiziari di cui agli artt. 22 e 24 della legge n. 675/1996, effettuato mediante elaboratori accessibili mediante una rete di telecomunicazione disponibili al pubblico