Il nuovo Codice della privacy (D.Lgs. 196/2003)

Il nuovo Codice della privacy, approvato alla fine di giugno 2003, rappresenta una vera e propria rivoluzione in questo settore. E' un Codice "voluminoso" con i suoi 186 articoli e 3 allegati; è entrato in vigore nel primo gennaio 2004 ed è un aggiornamento sostanziale del precedente D.P.R. 318/99.

L'obiettivo fondamentale del nuovo Codice è quello di accorpare e semplificare i numerosi provvedimenti legislativi che hanno integrato la legge 675/96 in materia di protezione dei dati personali.

Le norme che tutti devono rispettare

Adozione obbligatoria delle misure di sicurezza
Tutti coloro che trattano dati personali comuni, sensibili o giudiziari sono obbligati ad applicare misure minime di sicurezza.

Responsabilità
Il titolare è tenuto a garantire che le misure minime di sicurezza siano adottate sia all'interno dell'azienda, sia dai terzi a cui abbia ceduto, in tutto o in parte, l'attività di elaborazione dati (esempio: Studi professionali).

I dati personali
I dati personali oggetto di trattamento devono essere custoditi e controllati anche in relazione alle conoscenze acquisite, al progresso tecnico, alla natura dei dati ed alle specifiche caratteristiche di trattamento.

La sicurezza e l'accesso ai dati
I dati debbono essere trattati in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi, anche accidentali, di distruzioni e perdite.
Si deve ridurre al minimo il rischio di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

Sanzioni
In caso di violazione accertata, sono previste sanzioni amministrative fino a 124.000 € e la reclusione fino a 3 anni, esclusione dalle gare di appalto e risarcimento di danni ai sensi dell'art. 2050 C.C.

Ispezioni
E' stato siglato un protocollo d'intesa tra la Guardia di Finanza ed il Garante della Privacy per una sempre più intensa ed efficace attività di controllo sulla raccolta dei dati.
La Guardia di Finanza collaborerà alle attività ispettive attraverso la partecipazione del proprio personale ai controlli sulle banche dati, alle verifiche e alle altre rilevazioni nei luoghi ove si svolge il trattamento.
Le ispezioni serviranno per cancellare sacche di non applicazione della legge e per evitare disparità di trattamento tra i privati che hanno sopportato spese per adeguarsi e chi non lo ha fatto.

Risarcimento danni
E' tenuto al risarcimento chi non prova di avere adottato tutte le misure idonee al trattamento della sicurezza dei dati. Chiunque cagiona danno è tenuto al risarcimento ai sensi dell'art. 2050 C.C.

Chi deve adeguarsi
Tutti coloro che trattano dati personali: aziende, professionisti, cooperative, associazioni, pubbliche amministrazioni, scuole, comuni, ospedali, enti pubblici; ovvero chiunque tratti dati personali di clienti, cittadini, dipendenti, fornitori, utenti, pazienti, colleghi, soci associati, etc.

Come ci si mette in regola
E' necessario:

• compilare e stampare la documentazione per le figure previste dalla normativa (lettere d'incarico per il Responsabile della Sicurezza Dati Personali, Incaricati per i trattamenti, etc);
• proteggere tutte le banche dati (di qualsiasi tipologia) da intrusioni o utilizzi non autorizzati;
• adottare le misure minime di sicurezza previste dalla normativa (password, sistemi anti-intrusione, antivirus, copie di backup, etc.);
• compilare e stampare il DPSS (documento programmatico sulla sicurezza) con cadenza annuale apportando di anno in anno le opportune modifiche (solo il DPSS fa prova dell'avvenuto adeguamento alla norma);
• adottare le misure fisiche di protezione (allarmi, stabilizzatori di corrente, armadi chiusi a chiave ed ignifughi, accesso selezionato ai locali)
• inventariare i dati personali, adottare le misure obbligatorie (fisiche, logiche, organizzative), adeguandosi agli obblighi di informativa, consenso, nomina figure.

Gli strumenti
Tra gli strumenti necessari per la corretta applicazione di quanto previsto dal nuovo Codice citiamo:

• corsi di formazione per i responsabili e gli operatori
• società di consulenza
• software per la gestione delle problematiche sulla sicurezza
  

E' sempre bene ricordare che:

• Le misure minime di sicurezza non sono sufficienti per garantire realmente la privacy dei dati.
• La sicurezza non si ottiene solo acquistando prodotti hardware o software.
• E' necessario adottare una cultura della sicurezza che non si limiti agli ambiti tecnici ma anche a quelli gestionali ed operativi in qualsiasi settore.
• Il nuovo Codice della privacy è solo un punto di partenza e non un punto di arrivo.
• Il DPSS non deve essere considerato solo un adempimento ma uno strumento per identificare le problematiche legate alla gestione globale dei dati sensibili.
• "La sicurezza in un sistema informatico non è un prodotto ma un processo" (Bruce Schneier)

Data di pubblicazione: Luglio 2004
Le informazioni contenute in questo documento rappresentano l'attuale stato della normativa sul tema della privacy al momento della pubblicazione del documento. Per la necessità da parte di 888SP di rispondere alle mutevoli condizioni del mercato, le informazioni fornite non impegnano in alcun modo 888SP, che non garantisce l'accuratezza delle informazioni presentate dopo la data di pubblicazione.
Questo documento è esclusivamente per scopi informativi.
888SP ESCLUDE OGNI GARANZIA ESPRESSA O IMPLICITA IN QUESTO DOCUMENTO.
Il rispetto di tutte le leggi applicabili in materia di copyright è esclusivamente a carico dell'utente.

I testi degli atti ufficiali dello stato e delle pubbliche amministrazioni, sia italiane che straniere, non sono coperte da copyright (art. 5 legge 633 del 22 aprile 1941). Il copyright deve intendersi per le forme grafiche, i disegni, l'impaginazione, i commenti e la rappresentazione grafica dei testi.

Fermi restando tutti i diritti coperti da copyright, nessuna parte di questo documento potrà comunque essere riprodotta o inserita in un sistema di riproduzione o trasmessa in qualsiasi forma e con qualsiasi mezzo (in formato elettronico, meccanico, su fotocopia, come registrazione o altro) per qualsiasi scopo, senza il consenso scritto di 888SP.

888SP può essere titolare di brevetti, domande di brevetto, marchi, copyright o altri diritti di proprietà intellettuale relativi all'oggetto del presente documento. Salvo quanto espressamente previsto in un contratto scritto di licenza 888SP, la consegna del presente documento non implica la concessione di alcuna licenza su tali brevetti, marchi, copyright o altra proprietà intellettuale.
© 2004 888 Software Products. Tutti i diritti riservati.