Source: http://www.privacy.it/archivio/scadenz.html
Timestamp: 2019-02-20 23:13:31+00:00
Document Index: 143843343

Matched Legal Cases: ['art.11', 'art.11', 'art.11', 'art.4', 'art. 26', 'art.1', 'art. 15', 'art. 169', 'art. 180', 'art.19', 'art. 16', 'art. 17', 'art. 39', 'art.20', 'art. 37', 'art.7', 'art. 17', 'art. 16', 'art. 17', 'art. 13', 'art. 11', 'art.11']

D.Lgs. 196/2003: Scadenzario
Trattare i dati personali secondo i principi indicati dalla legge;
Controllare la pertinenza e non eccedenza dei dati trattati rispetto alle finalità della raccolta (art.11);
Controllare l'esattezza dei dati ed eventualmente, qualora si renda necessario, provvedere al loro aggiornamento (art.11);
Conservare i dati in una forma che consenta l'identificazione dell'interessato per un periodo non superiore a quello necessario agli scopi della raccolta (art.11); superato tale termine, provvedere alla cancellazione del dato, ovvero alla sua trasformazione in forma anonima;
Individuare le figure attive del trattamento: il Titolare, l'incaricato, il Responsabile (figura facoltativa), l'amministratore di sistema, il soggetto preposto alla custodia delle parole-chiave.
Nominare tali soggetti in forma scritta, fornendo le relative istruzioni.
Solo la figura del Titolare non necessita di alcuna nomina, essendo egli, per espressa previsione di legge, "la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza" (art.4 comma 1 lett.f).
Rendere ai soggetti interessati l'informativa di cui all'articolo 13, anche in forma orale;
Per i soggetti privati e gli enti pubblici economici, acquisire il consenso per il trattamento dei dati comuni dell'interessato, ove richiesto (artt. 23 e 24);
Per i soggetti privati e gli enti pubblici economici, acquisire il consenso scritto per il trattamento dei dati sensibili dell'interessato (art. 26);
Già dal 29/03/2000 (31/12/2000, per quanti hanno usufruito della proroga ex art.1 L.325/2000), devono essere state adottate le misure a suo tempo previste dall'abrogato D.P.R. 318/1999 (Regolamento recante norme per l'individuazione delle misure minime di sicurezza per il trattamento dei dati personali, a norma dell'art. 15, c. 2, dell'abrogata Legge 675/1996).
Con l'entrata in vigore del Codice in materia di protezione dei dati personali, le misure minime di sicurezza sono, almeno in parte, cambiate. Le misure minime sono descritte nell'Allegato B del D.lgs.196/2003 "Disciplinare tecnico in materia di misure minime di sicurezza"; la loro mancata adozione implica un illecito penale e comporta le sanzioni di cui all'art. 169 del Codice stesso.
Tuttavia, ai sensi dell'art. 180, le nuove misure minime di sicurezza, non previste dall'abrogato d.P.R. 318/1999, dovranno essere adottate entro il 31 marzo 2006.
Principali scadenze in materia di misure minime di sicurezza
Annualmente, aggiornare l'individuazione dell'ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
Annualmente, e precisamente entro il 31 marzo di ogni anno, redigere il Documento programmatico sulla sicurezza di cui all'art.19, Allegato B (in caso di trattamento di dati sensibili con strumenti elettronici);
Aggiornare con cadenza almeno semestrale gli strumenti elettronici utilizzati al fine di proteggere i dati dal rischio di intrusione e dal rischio derivante da virus informatici (art. 16, Allegato B);
Aggiornare con cadenza almeno annuale (semestrale per il trattamento di dati sensibili) i programmi per computer volti a prevenire la vulnerabilità di strumenti elettronici ed a prevenirne i difetti (art. 17, Allegato B);
Annualmente, programmare interventi di formazione per gli incaricati del trattamento.
Emanazione del Regolamento per il trattamento dei dati sensibili entro il 31 luglio 2006.
Dare comunicazione al Garante circa la necessità di diffondere dati personali o comunicarli ad altri soggetti pubblici, quando ciò non sia previsto dalla legge o da un regolamento, qualora ciò risulti comunque necessario per lo svolgimento delle funzioni istituzionali (Art. 19, D.Lgs. 196/2003); nei casi previsti dall'art. 39, le comunicazioni al Garante devono essere state effettuate entro il 30 giugno 2004.
Controllare l'esistenza di norme di legge o di regolamento prima di effettuare comunicazione o diffusione di dati a soggetti privati o ad enti pubblici economici.
Identificare e rendere pubblici i tipi di dati e le operazioni effettuabili sui dati sensibili, nel caso in cui una norma di legge specifichi solo le rilevanti finalità di interesse pubblico da seguire (art.20).
Per i Ministeri e la Presidenza del Consiglio: consultare il Garante per la protezione dei dati personali all'atto della predisposizione delle norme regolamentari e degli atti amministrativi suscettibili di incidere nelle materie disciplinate dal Codice.
Le notificazioni devono essere effettuate prima dell'inizio del trattamento (qualunque esso sia, manuale o automatizzato), se si rientra in una delle ipotesi previste dall'art. 37 del Codice.
Per i trattamenti iniziati prima dell'1 gennaio 2004, le notificazioni devono essere state effettuate, in sede di prima applicazione del Codice, entro il 15 maggio 2004.
Rispettare le autorizzazioni emanate dal Garante per il trattamento dei dati sensibili; esse vengono rinnovate periodicamente. Per trattare lecitamente i dati sensibili, infatti, non è sufficiente ottenere il consenso dell'interessato, ma occorre verificare che il trattamento dei dati sia conforme a quanto indicato dal Garante nelle autorizzazioni, speciali o generali che siano.
RICHIESTE DELL'INTERESSATO ex art.7:
In caso di richiesta da parte dell'interessato, il Titolare deve adoperarsi per rispondere tempestivamente alle richieste dello stesso. In caso di mancata risposta entro quindici giorni dal ricevimento della sua richiesta, l'interessato potrà rivolgersi al Garante per ottenere soddisfazione dei propri diritti (artt.145 segg. del Codice).
Oltre ai principi generali appena enunciati, il D.Lgs. 196/2003 impone una serie di verifiche e controlli da effettuare con cadenza periodica, o per espressa previsione normativa, o perché necessario procedere ad alcune modifiche ogniqualvolta muti uno degli elementi essenziali dell'organizzazione aziendale.
Aggiornare l'individuazione dell'ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
Verificare la sussistenza delle condizioni per la conservazione delle autorizzazioni per l'accesso ai dati particolari per gli incaricati;
Provvedere all'aggiornamento delle "patch" dei programmi per computer, nel caso di trattamento di dati comuni (art. 17, Allegato B);
Aggiornare i software antivirus, per tutti i tipi di dati (art. 16, Allegato B);
Provvedere all'aggiornamento delle "patch" dei programmi per computer, nel caso di trattamento di dati sensibili (art. 17, Allegato B);
Aggiornare il Documento programmatico sulla sicurezza.
All'interno del documento programmatico per la sicurezza, deve essere previsto un PIANO DI FORMAZIONE per gli incaricati, che dovrà pertanto essere rivisto annualmente. Il piano impone che siano fatte previsioni effettive sui tempi di formazione e sulle strutture che gestiranno tali attività, nell'arco dell'anno. La formazione è programmata al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o introduzione di nuovi significativi strumenti, rilevanti per il trattamento dei dati personali.
Quanto ai Responsabili, questi devono essere scelti tra persone dotate della necessaria esperienza, capacità, affidabilità: è, quindi, opportuno che la loro formazione sia più specifica rispetto a quella data agli incaricati, onde evitare il rischio di nomine invalide.
Il Documento programmatico sulla sicurezza deve essere effettuato, in sede di prima applicazione del Codice, entro il 31 marzo 2006.
In tutti i casi che seguono è necessario procedere a verifiche costanti (il legislatore non indica un periodo minimo di revisione, ma punisce dichiarazioni eventualmente difformi dalla realtà):
Sarà necessario provvedere alla modifica della notificazione effettuata al Garante tutte le volte in cui cambi uno degli elementi in essa contenuti
E' necessario distribuire nuove informative, o comunicare i mutamenti intervenuti, tutte le volte in cui cambi uno degli elementi descritti dall'art. 13 del Codice:
il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del Titolare.
Non c'è obbligo di modificare l'informativa qualora cambino i Responsabili, che siano stati indicati nell'informativa solo in base alla qualifica rivestita; può anche essere indicato solo il luogo dove è conservato l'elenco completo dei Responsabili del trattamento, ovvero il modo per accedervi. E' comunque necessario indicare nome e dati di almeno un Responsabile, se nominato.
QUALITA' DEI DATI ex art. 11:
Il Titolare deve curare che il trattamento dei dati avvenga sempre nel rispetto dei principi dettati dall'art.11 del Codice; dunque, occorre verificare costantemente:
che i dati siano trattati in modo lecito e secondo correttezza;
che siano raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
che siano esatti e, se necessario, aggiornati;
E' necessario, in generale, procedere alla verifica dell'esistenza del consenso ogniqualvolta il trattamento sia effettuato per scopi diversi da quelli per cui il consenso era stato inizialmente prestato, nonché tutte le volte in cui i dati debbano essere comunicati a soggetti terzi, o diffusi ad un numero di persone indeterminato.
COMUNICAZIONI ALL'INTERESSATO RELATIVE ALLO STATO DI SALUTE:
Le comunicazioni all'interessato riguardanti lo stato di salute devono essere effettuate tramite il medico di medicina generale designato dall'interessato o dal Titolare; verificare dunque che tale regola sia sempre rispettata.