Source: http://www.scint.it/appr_new.php?id=109
Timestamp: 2018-06-19 16:12:58+00:00
Document Index: 66639407

Matched Legal Cases: ['art. 34', 'art. 19', 'art. 5', 'art. 31', 'art. 15', 'art. 5', 'art. 180']

<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />Il Documento Programmatico sulla Sicurezza serve un po' a tutti coloro che trattano elettronicamente dati personali ...e non solo a loro!
di Andrea Lisi (www.scint.it / www.scint.it/altaformazione)*
Con la nuova normativa può dirsi pertanto che il DPS vada redatto obbligatoriamente solo nell’ipotesi di trattamento di qualsiasi tipo di dati effettuato con strumenti elettronici: la norma dell’art. 34 segnerebbe, quindi, il venir meno della precedente distinzione tra tipi di dati (comuni da un lato e sensibili/giudiziari dall’altro) e finalità di trattamento (personale/non personale)(1). In questa disposizione il legislatore non si preoccupa di indicare un termine entro il quale redigere, ovvero aggiornare, il DPS limitandosi ad affermare che lo stesso debba essere tenuto aggiornato.
Ma non è tutto. Occorre anche analizzare il contenuto del richiamato allegato B al Codice che, all’art. 19, rubricato “Documento programmatico sulla sicurezza”, tra l’altro recita “Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo: (…)”(2).
Probabilmente non era nelle intenzioni del legislatore far adottare il DPS anche in caso di trattamento cartaceo di dati sensibili e/o giudiziari e, infatti, la prima parte dell’allegato B) sembrerebbe far riferimento al solo trattamento elettronico di dati personali…ma, ahimè, poiché l’allegato è pieno di imprecisioni e le norme si leggono e si devono poi interpretare e qualcuno deve pure farle applicare, allora è meglio stare tranquilli e fare anche di più rispetto a quanto è apparentemente dovuto!
(1) In verità, l’art. 5 (oggetto e ambito di applicazione) recita al comma 3°: “Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto all'applicazione del presente codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione. Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza dei dati di cui agli articoli 15 e 31”. Quindi, chi - anche per scopi personali - opera un trattamento di dati finalizzato alla comunicazione sistematica o diffusione è certamente tenuto a rispettare tutte le regole di sicurezza pensate nel Codice (ad esempio tutti coloro che hanno un sito web personale). Ma il rinvio all’art. 31 del Codice comporta comunque un adeguamento alle misure di sicurezza idonee se si vogliono in qualche modo evitare le conseguenze di cui all’art. 15 (anch’esso richiamato dall’art. 5)…e il DPS, inserito tra le misure “minime”, può non essere considerato una misura “idonea”?
(2) Appare utile in proposito riportare il contenuto dell’art. 180 del Codice (misure di sicurezza) “1. Le misure minime di sicurezza di cui agli articoli da 33 a 35 e all'allegato B) che non erano previste dal decreto del Presidente della Repubblica 28 luglio 1999, n. 318, sono adottate entro il 30 giugno 2004.