Source: https://www.agendadigitale.eu/cittadinanza-digitale/la-formazione-privacy-obbligatoria-nelle-pa-ed-imprese-come-pietra-angolare-del-sistema/
Timestamp: 2020-07-12 00:50:35+00:00
Document Index: 164472902

Matched Legal Cases: ['art. 83', 'art. 32', 'art. 83', 'art. 3', 'art. 83', 'art. 3', 'art. 83', 'art. 83', 'art 47', 'art. 38', 'art. 5', 'art. 5', 'art 13', 'art. 9', 'art. 8']

Formazione privacy obbligatoria, col Gdpr: che c'è da sapere | Agenda Digitale
avvocato, esperto data protection
La formazione privacy restava e resta obbligatoria nel settore sanitario v. art. 83 del Codice della Privacy che prevede l’obbligo delle strutture di attivare “ la messa in atto di procedure, anche di formazione del personale, dirette a prevenire nei confronti di estranei un’esplicita correlazione tra l’interessato e reparti o strutture, indicativa dell’esistenza di un particolare stato di salute”[1] e di prevedere “la sottoposizione degli incaricati che non sono tenuti per legge al segreto professionale a regole di condotta analoghe al segreto professionale[2].
La centralità della formazione[3] è confermata anche dall’art. 32 “Sicurezza del trattamento” paragrafo 4 che prevede che “il titolare del trattamento ed il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.
– prevedere prove finali[4] nel percorso formativo, e sessioni di aggiornamento alla luce delle modifiche normative, organizzative e tecniche;
Nelle previsioni di budget è necessario considerare anche risorse specifiche per la formazione de Data protection Officer[5] e dei componenti del team.
La formazione costituisce essa stessa una misura essenziale al fine di garantire un livello di sicurezza adeguato a garanzia del Titolare del trattamento[6], la pietra angolare del trattamento e sul quale ricade ogni responsabilità.
Ed invero, il titolare deve dimostrare[8] che il trattamento dei dati sia lecito, corretto, trasparente, pertinente, adeguato, legittimo e che vengano, inoltre, rispettati i principi di minimizzazione, di conservazione dei dati e siano previste misure di sicurezza adeguate.
In ambito pubblico la formazione sulla protezione dei dati non potrà non integrarsi con la digitalizzazione dei processi, con la riforma del Codice di Amministrazione digitale[9], con i codici di comportamento degli enti e con le ultime recenti novità normative in materia di trasparenza, prevenzione della corruzione, Foia e whistleblowing.
Nell’ottica di un miglioramento continuo e di una gestione in qualità del sistema privacy, sarebbe consigliabile, come alcuni enti stanno progettando, prevedere sessioni informative on line per sensibilizzare anche gli utenti sul valore della protezione dei dati personali, come diritto collettivo e sull’utilizzo consapevole e responsabile di Internet.[10]
[1] art. 83 del Codice privacy” Altre misure per il rispetto dei diritti degli interessati, secondo comma, lett. h); per approfondimenti v Garante Privacy. Strutture sanitarie: rispetto della dignità – 9 novembre 2005 (web n. 1191411) dove si prevede all’art. 3, comma h “regole di condotta per gli incaricati (art. 83, comma 2, lett. i) che: “A tal fine, anche avvalendosi di iniziative di formazione del personale designato, occorre mettere in luce gli obblighi previsti dalla disciplina in materia di protezione dei dati personali con particolare riferimento all’adozione delle predette misure organizzative (artt. 30 e 35 del Codice e punto 19.6 del disciplinare tecnico allegato B) al Codice), evidenziando i rischi, soprattutto di accesso non autorizzato, che incombono sui dati idonei a rivelare lo stato di salute e le misure disponibili per prevenire effetti dannosi”.art. 3 comma g), “correlazione fra paziente e reparto o struttura” (art. 83, comma 2, lett. h)) dove si prevede che “ Gli organismi sanitari devono mettere in atto specifiche procedure, anche di formazione del personale, per prevenire che soggetti estranei possano evincere in modo esplicito l’esistenza di uno stato di salute del paziente attraverso la semplice correlazione tra la sua identità e l’indicazione della struttura o del reparto presso cui si è recato o è stato ricoverato”.
[2] art. 83 del Codice privacy ”Altre misure per il rispetto dei diritti degli interessati”, secondo comma, lett. h);
[3] L’importanza della formazione è ribadita, nell’ambito aziendale dall’art 47 rubricato “Norme vincolanti d’impresa” che prevede che le norme, che verranno applicate a gruppi d’impresa che trattano dati in più Stati, dovranno specificare “l’appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali”.
[4] Le prove finali consentono di dimostrare il grado di conoscenza della normativa, delle istruzioni privacy all’interno dell’organizzazione.
[5] V. art. 38 del Regolamento privacy ad oggetto: “Posizione del responsabile della protezione dei dati “ che prevede che “ Il titolare e del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 39 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica”.
[6] Per approfondimenti v. il considerando n. 74 che prevede che “è opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto…”.
[7] v. art. 5, paragrafo 2 del regolamento privacy europeo
[8] v.art. 5 paragrafi 1 e 2 del regolamento privacy europeo
[9] Per approfondimenti v. art 13 del Decreto Legislativo 7 marzo 2005, n. 82 ad oggetto: “Formazione informatica dei dipendenti pubblici “che prevede che: 1. Le pubbliche amministrazioni nella predisposizione dei piani di cui all’articolo 7-bis, del decreto legislativo 30 marzo 2001, n. 165, e nell’àmbito delle risorse finanziarie previste dai piani medesimi, attuano anche politiche di formazione del personale finalizzate alla conoscenza e all’uso delle tecnologie dell’informazione e della comunicazione, nonché dei temi relativi all’accessibilità e alle tecnologie assistive, ai sensi dell’articolo 8 della legge 9 gennaio 2004, n. 4. (comma così modificato dall’art. 9, comma 6, lettera b), legge n. 221 del 2012)
[10] Per approfondimenti v. art. 8 Decreto Legislativo 7 marzo 2005, n. 82 ad oggetto; “ Alfabetizzazione informatica dei cittadini “ che prevede che: 1. Lo Stato e i soggetti di cui all’articolo 2, comma 2, promuovono iniziative volte a favorire la diffusione della cultura digitale tra i cittadini con particolare riguardo ai minori e alle categorie a rischio di esclusione, anche al fine di favorire lo sviluppo di competenze di informatica giuridica e l’utilizzo dei servizi digitali delle pubbliche amministrazioni con azioni specifiche e concrete, avvalendosi di un insieme di mezzi diversi fra i quali il servizio radiotelevisivo.