DOCUMENTO PROGRAMMATICO PER LA SICUREZZA = PRIVACY CHIARIMENTI
Come gia’ anticipato nell’informativa pubblicata sul sito Antlo, viste le numerose richieste di delucidazioni in merito all’argomento “dps e aggiornamento annuo” si chiarisce che:
l’articolo 45 del d.l. n.5/12, c.d. decreto “semplificazioni”, ha abrogato l’art.34 ( trattamento con strumenti elettronici ) , comma 1, lett. g) e il comma 1-bis del d.lgs. n.196/03, eliminando l’obbligo di redazione/aggiornamento del documento programmatico sulla sicurezza, a decorrere già dalla prossima scadenza del 31 marzo 2012, ed inoltre è stata eliminata anche la necessità di indicare nella relazione accompagnatoria al bilancio d’esercizio l’adozione o l’aggiornamento del citato dps (per chi ne ha obbligo).
Quindi, di fatto, per noi che trattiamo dati sensibili e personali non e’ stato modificato a nel modo di operare, ma non siamo più sottoposti all’onere di dover ogni anno redigere un documento ufficiale con data certa. Si porta altresì a conoscenza che entro la fine di aprile del 2012 il governo si deve pronunciare definitivamente in materia, quindi per evitare di incorrere in eventuali sanzioni si consiglia in questo momento di transizione di provvedere con l’autocertificazione entro il 31 marzo previo verifica ed eventuale di quanto scritto nel dps senza apposizione di data certa. Sara’ nostra cura tenervi informati dei risvolti che prendera’ la questione.
art. 34. trattamenti con strumenti elettronici
1. il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell’allegato b), le seguenti misure minime:
g) tenuta di un aggiornato documento programmatico sulla sicurezza
1-bis. per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall’adesione ad organizzazioni sindacali o a carattere sindacale, la tenuta di un aggiornato documento programmatico sulla sicurezza è sostituita dall’obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell’articolo 47 del testo unico di cui al decreto del presidente della repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle altre misure di sicurezza prescritte. in relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il garante, sentito il ministro per la semplificazione normativa, individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico di cui all’allegato b) in ordine all’adozione delle misure minime di cui al comma 1.
Questa semplificazione/abolizione non elimina l’obbligo di adottare le misure minime di sicurezza previste dal codice della privacy che rimangono in vigore, ma solo sull’obbligo di verifica e resoconto annuale dell’adozione delle misure di sicurezza quindi tutte quelle entita’ che trattano dati di qualsiasi natura devono comunque rispettare le misure minime di sicurezza previste dall’art.34, co.1 del d.lgs. n.196/03 e predisporre controlli come previsto dall’allegato B del decreto 196/03
In sostanza cosa si deve fare:
– la nomina del titolare del trattamento dei dati,
– la nomina dei responsabili del trattamento dei dati;
– la nomina degli incaricati al trattamento dei dati sia su supporto cartaceo che informatico;
– adozione di password da modificare ogni tre mesi per i dati sensibili e 6 mesi per i dati personali
– preventiva richiesta del consenso al trattamento dei dati e il rilascio di apposita informativa agli interessati ( clienti ) ;
– acquisizione impegno di riservatezza ( terzisti, dipendenti, commercialista )
– l’adozione di idonee misure di sicurezza, per garantire che i dati personali vengano custoditi e controllati in modo da ridurre ad un ragionevole margine, il rischio di: sottrazione, alterazione, perdita dei dati, di accesso non autorizzato da parte di terzi, trattamento di dati non consentito e non conforme a quanto normativamente previsto, ed infine l’elaborazione di un documento dove vengono riassunti tutti questi passaggi ( leggi documento dps ).
SANZIONI
art. 161. omessa o inidonea informativa all’interessato 1. la violazione delle disposizioni di cui all’articolo 13 è punita con la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro.
art. 169. misure di sicurezza 1. chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’articolo 33 (attenzione che e’ stato abolito l’articolo 34 non il 33 ) è punito con l’arresto sino a due anni.