Le semplificazioni privacy per le aziende nel decreto sviluppo

Alcune novità sono state introdotte con il recente decreto per lo sviluppo per la semplificazione di alcuni aspetti concernenti gli adempimenti connessi con il rispetto della normativa sulla privacy, tra cui ricordiamo:

• il trattamento dei dati tra imprese ed altre persone giuridiche per le sole finalità amministrativo-contabili, non è più soggetto agli obblighi del T.U privacy;
• l'informativa sul trattamento non è più necessaria nel caso di curricula inviati spontaneamente dai candidati ed il trattamento dei relativi dati può avvenire anche senza consenso;
• l'obbligo del documento programmatico sulla sicurezza è sostituito con l'obbligo di una autocertificazione per i titolari che trattano soltanto dati personali non sensibili e, come unici dati sensibili e giudiziari, quelli relativi ai propri dipendenti e collaboratori, al lori coniuge o parenti;
• l'utilizzo della posta cartacea per finalità di marketing e promozionali è consentito solo nei confronti di chi non vi si opponga mediante l'iscrizione in un registro pubblico di opposizione;
  

 

View more presentations from Stefano Bendandi

Privacy ed amministratori di sistema: misure ed accorgimenti da rispettare

Gli amministratori di sistema svolgono, sempre più spesso, un ruolo specifico nella gestione delle varie componenti del patrimonio informativo e risultano destinatari di livelli privilegiati di accesso alle risorse ed ai dati, compresi quelli di natura personale, essendo coinvolti in molte attività, anche critiche, di trattamento.

Da ciò deriva la necessità di inquadrare la loro nomina come un atto di fondamentale importanza, idoneo ad influire sui livelli di sicurezza complessivi di una infrastruttura informatica, così come del resto accade per altre decisioni analoghe, espressione per lo più di una scelta in campo tecnologico.

E' questa la convinzione cui è giunta, anche all'esito delle numerose attività ispettive svolte, l'autorità garante della privacy, preoccupandosi di definire con un apposito provvedimento di carattere generale, emanato in data 27 novembre 2008, le misure e gli accorgimenti ritenuti idonei a garantire che la nomina, le attività ed i controlli sull'operato degli amministratori di sistema siano in linea con la specificità del loro ruolo e con le prescrizioni vigenti in materia di protezione dei dati personali.

L'ambito di applicazione del provvedimento è circoscritto ai titolari di dati personali che effettuano, anche in parte, il trattamento mediante l'ausilio di strumenti elettronici, con l'esclusione, comunque, dei titolari di dati trattati per le sole finalità amministrative e contabili oggetto dei recenti interventi di semplificazione.

Le misure riguardano gli amministratori di sistema e le figure ad essi equiparabili dal punto di vista dei rischi relativi alla protezione dei dati personali (amministratori di database, di rete, di sicurezza e di sistemi software).

Valutazioni soggettive

L'attribuzione dei compiti e delle responsabilità tipiche di un amministratore di sistema presuppone una valutazione preventiva dell'esperienza, delle capacità e dell'affidabilità del soggetto che si intende designare il quale deve, a sua volta, fornire idonea garanzia del rispetto delle disposizioni di legge vigenti anche sotto il profilo della sicurezza.

Questo accorgimento non vale soltanto nel caso in cui l'amministratore debba essere designato, contestualmente, come responsabile di uno o più trattamenti, ma anche nell'ambito di una designazione come puro incaricato.

Pertanto, vista la specificità e la natura dell'incarico da svolgere, è necessario attenersi sempre a criteri di valutazione analoghi a quelli richiesti per la nomina del responsabile dall'art. 29 del d.lgs. 196/03.

In difetto di una idoneità nella valutazione o nei criteri sui quali quest'ultima si basa il titolare può, infatti, incorrere in una responsabilità per incauta designazione (culpa in eligendo).

Designazione individuale

La nomina deve avvenire su base individuale ed essere accompagnata dalla indicazione analitica degli ambiti di operatività consentiti dal possesso di un determinato profilo di autorizzazione.

Elenchi

La lista delle persone fisiche designate come amministratori di sistema deve essere riportata nel documento programmatico della sicurezza oppure, in mancanza di quest'ultimo, in un apposito documento interno mantenuto aggiornato e disponibile in caso di accertamento.

Inoltre, salvo diverse e contrarie disposizioni di legge, l'identità di queste persone deve essere resa conoscibile dal titolare, nell'ambito della propria organizzazione, quando la loro attività riguardi, anche indirettamente, sistemi o servizi con i quali si trattano dati personali dei lavoratori.

Questa forma di pubblicità può essere realizzata in vario modo ed, in particolare, attraverso:

• l'informativa di cui all'art. 13 del d.lgs. 196/03
• il disciplinare tecnico adottato in osservanza del provvedimento del garante del 1° marzo 2007 (uso di Internet e della posta elettronica in azienda)
• gli strumenti di comunicazione interna come la intranet o la bacheca aziendale, gli ordini di servizio, ecc...

Se le funzioni di amministrazione dei sistemi sono devolute all'esterno (cd. outsourcing) il titolare deve conservare gli estremi identificativi delle persone fisiche preposte.

Verifiche

Con cadenza almeno annuale il titolare deve verificare l'operato dell'amministratore di sistema con la finalità di valutarne la rispondenza alle misure tecniche, organizzative e di sicurezza adottate nel campo della protezione dei dati personali.

Log

Gli accessi ai sistemi di elaborazione ed agli archivi elettronici da parte degli amministratori devono essere tracciati in appositi log elettronici che, in relazione alle finalità di supporto delle verifiche, devono essere dotati di adeguate caratteristiche di completezza, inalterabilità ed integrità.

Le registrazioni devono comprendere un riferimento temporale, accompagnato dalla descrizione degli eventi che le hanno generate, ed essere conservate per un congruo periodo non inferiore a sei mesi.

Tempistiche

I tempi per l'adozione delle misure sono differenti:

• i titolari dei trattamenti già iniziati o che avranno inizio entro il termine di 30 giorni dalla pubblicazione del provvedimento nella Gazzetta Ufficiale (avvenuta in data 24/12/2008) dovranno adottare gli accorgimenti prescritti al più presto e, comunque, non oltre il termine di centoventi giorni decorrenti dalla pubblicazione stessa del 30 giugno 2009;
• i titolari dei trattamenti iniziati dopo il termine di 30 giorni dalla pubblicazione del provvedimento nella Gazzetta Ufficiale dovranno invece adottare gli accorgimenti prescritti anteriormente al trattamento dei dati;

Fonte: Misure ed accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema

Semplificazione privacy e misure di sicurezza: quali sono le novità ?

Dopo aver avviato nei mesi scorsi un iter di  semplificazione di certi aspetti della normativa a tutela della privacy, relativi soprattutto all'informativa ed alla raccolta del consenso, il Garante è nuovamente intervenuto, questa volta con riferimento alla portata delle misure minime di sicurezza.

Campo di applicazione

Il nuovo intervento di semplificazione, applicabile automaticamente senza bisogno di particolari comunicazioni o richieste, riguarda i soggetti pubblici e privati che:

• utilizzano dati personali non sensibili o che trattano come unici dati sensibili riferiti ai propri dipendenti e collaboratori anche a progetto  quelli costituiti dallo stato di salute o malattia senza indicazione della relativa diagnosi, ovvero dall'adesione a organizzazioni sindacali o a carattere sindacale;
• trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (cfr. art. 2083 cod. civ. e d.m. 18 aprile 2005, recante adeguamento alla disciplina comunitaria dei criteri di individuazione di piccole e medie imprese, pubblicato nella Gazzetta Ufficiale 12 ottobre 2005, n. 238);

Trattamenti effettuati con strumenti elettronici

Dal contenuto del provvedimento risulta che i soggetti interessati:

• possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente;
• possono utilizzare per l'accesso ai sistemi informatici qualsiasi sistema di autenticazione basato su username e password, provvedendo però a disattivare lo username nei casi in cui venga meno il diritto di accesso ai dati (es. fine del rapporto di lavoro per qualsiasi causa);
• possono assegnare agli incaricati, singolarmente o per categorie, profili di autorizzazione utilizzando meccanismi o funzioni insite negli applicativi software o nei sistemi operativi;
• possono adottare procedure o modalità che consentano l'operatività e la sicurezza del sistema (ad es. l'invio automatico delle mail ad un altro recapito accessibile) in caso di assenze prolungate o di impedimenti del dipendente;
• devono aggiornare i programmi diretti a prevenire le vulnerabilità dei sistemi (antivirus, personal firewall, ecc..) o a correggerne i difetti (patch, hotfix) almeno una volta l'anno, oppure con cadenza biennale nel caso in cui i sistemi stessi non siano connessi con reti di comunicazione elettronica accessibili al pubblico (Internet);
• devono effettuare il backup dei dati almeno una volta al mese; 

Trattamenti senza l'impiego di strumenti elettronici

In relazione ai trattamenti cd. cartacei si prevede che:

• i soggetti interessati possano impartire agli incaricati, anche oralmente, istruzioni per il controllo e la custodia degli atti e dei documenti contenenti dati personali durante l'intero ciclo delle operazioni di trattamento;
• gli incaricati, ai quali siano stati affidati atti e documenti contenenti dati personali sensibili o giudiziari, devono controllarli e custodirli, per evitare che ad essi accedano persone prive di autorizzazione, e restituirli al termine delle operazioni;

Con lo stesso provvedimento state inoltre fornite indicazioni per la redazione semplificata del documento programmatico sulla sicurezza mentre una ulteriore semplificazione è stata introdotta in relazione al modello utilizzato per le notificazioni.

Pur condividendo l'esigenza avvertita dal garante di rendere più snella l'applicazione della normativa da parte delle organizzazioni di dimensioni più piccole, mi pare però che la finalità di "mantenere un adeguato livello per le misure minime di sicurezza" non sia stata soddisfatta in pieno a causa di una eccessiva semplificazione di alcune misure.

Mi riferisco, in particolare, alla frequenza di aggiornamento dei programmi per la sicurezza e la correzione della vulnerabilità dei sistemi e di esecuzione del backup che rischia di rendere tali misure alquanto inefficaci in considerazione di fattori quali:

• il numero crescente delle vulnerabilità che vengono quotidianamente scoperte nel software applicativo e nei sistemi operativi
• l'incremento del grado di sofisticazione degli attacchi nei confronti dei sistemi informatici anche per mezzo di codice nocivo (malware)
• gli altri rischi legati all'obsolescenza dell'hardware, agli errori umani imputabili a disattenzione, scarsa formazione del personale, ecc...

E' quindi opportuno valutare sempre l'efficacia di tali misure semplificate alla luce dell'effettiva situazione di rischio che si riscontra in un determinato ambiente operativo.

Del resto non dimentichiamo che la semplificazione non appare idonea ad escludere la responsabilità per danni connessi al trattamento di dati personali, quando tali danni siano imputabili alla mancata adozione di misure preventive, diverse da quelle minime, che, in base al progresso tecnico, alla natura dei dati ed alle caratteristiche del trattamento, siano idonee a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 d.lgs. 196/03).

Il consiglio perciò è di semplificare ma con attenzione.

Fonte: Semplificazione delle misure di sicurezza contenute nel dispciplinare tecnico di cui all'Allegato B) al Codice in materia di protezione dei dati personali

Semplificazione privacy: vantaggi e svantaggi di autocertificazione e dps

Ancora sul tema della semplificazione in materia di privacy per evidenziare alcuni aspetti, relativi alla sostituzione dell'obbligo del dps con l'autocertificazione, che possono essere fonte di perplessità o di pericolosa sottovalutazione nell'applicazione della normativa.

L'autocertificazione, innanzitutto, non è un obbligo ma una facoltà la cui applicazione è rimessa alla discrezionalità del soggetto, persona fisica o giuridica, titolare dei dati.

L'esercizio di questa facoltà implica, tuttavia, una attività di accertamento diretta a verificare che:

1. la tipologia dei dati sensibili trattati sia soltanto quella prevista dalla legge
2. i dati sensibili trattati siano riferibili esclusivamente ai soggetti indicati
3. i dati sensibili trattati siano protetti da misure di sicurezza

Per quanto riguarda le prime due verifiche, l'accertamento deve condurre, in sostanza, alle seguenti conclusioni:

• non esiste alcuna documentazione concernente dati sensibili diversi da quelli relativi allo stato di salute o malattia oppure all'adesione ad organizzazioni sindacali
• nessun documento concernente lo stato di malattia o salute deve riportare informazioni di natura diagnostica
• i dati sensibili devono essere riferiti o riferibili ai soli dipendenti e collaboratori, anche a progetto, del titolare

La casistica documentale da esaminare può essere molto ampia, a seconda del contesto di riferimento, ma è comunque consigliabile un impegno particolare nella identificazione di tutti i possibili trattamenti.

A questo proposito alcuni dei documenti nei quali possono "nascondersi", più spesso, dati di natura sensibile non ammessi al beneficio della semplificazione sono i curriculum vitae (informazioni su attività politica o adesione a particolari fedi religiose, ecc...) e gli altri atti concernenti la gestione del personale (permessi per attività politica o manifestazioni religiose, aspettativa per cariche politiche, documentazione sanitaria recante l'indicazione di una diagnosi, particolari accorgimenti alimentari nella fruizione del servizio mensa, ecc... ).

Se supportata da una adeguata fase di verifica dei presupposti, la semplificazione può comportare una riduzione delle spese, mentre, in caso contrario, questa riduzione rischia di essere vanificata dall'assunzione di responsabilità, anche di tipo penale, connesse con l'autocertificazione stessa.

Altra questione di una certa importanza è poi quella connessa alla scomparsa del documento programmatico sulla sicurezza ed ai conseguenti vantaggi che esso offre.

Al di là delle inevitabili tendenze a fare di tale adempimento un atto puramente burocratico o uno sterile esercizio di copia ed incolla, il dps costituisce, infatti, una evidenza documentale dell'approccio adottato dal titolare per garantire la sicurezza dei dati trattati, sia in termini di analisi dei rischi che di identificazione, pianificazione ed attuazione delle misure di protezione.

Esso svolge una funzione utilissima, non soltanto a livello organizzativo, ma anche in caso di controlli ed in un contesto difensivo derivante da eventuali controversie.

Ovviamente l'adozione dell'autocertificazione determina una rinuncia a tali vantaggi che va ponderata attentamente, anche perchè la mancata redazione ed aggiornamento del documento non implica, altresì, una esenzione dall'obbligo di protezione dei dati, essendo il titolare tenuto a proteggerli in modo specifico mediante idonee e preventive misure di sicurezza di cui deve dichiarare l'attuazione in fase di autocertificazione.

Privacy: niente più obbligo del DPS in presenza di certi requisiti

Con l'art. 29 del decreto legge n. 112 del 25/06/2008, convertito in legge 6 agosto 2008 n. 133, sono state introdotte ulteriori misure di semplificazione destinate ai soggetti che trattano esclusivamente dati personali non sensibili, quando gli unici dati sensibili di cui sono in possesso sono quelli relativi allo stato di salute o di malattia dei propri dipendenti o collaboratori, senza indicazione della relativa diagnosi, oppure all'adesione ad organizzazioni sindacali o a carattere sindacale.

Queste misure, che in pratica interessano una larga fetta di piccole e medie imprese e datori di lavoro, sono inserite in un nuovo comma (1-bis) dell'articolo 34 del codice della privacy (D.Lgs. 196/2003).

La principale novità è data dall'abolizione dell'obbligo di tenere un aggiornato documento programmatico della sicurezza e dalla sua sostituzione con una autocertificazione, resa ai sensi dell'art. 47 del D.P.R 445/2000, con la quale il titolare dovrà dichiarare di:

1. trattare generalmente solo dati personali non sensibili
   
2. essere in possesso dei soli dati sensibili previsti
   
3. trattare, comunque, questi ultimi nell'osservanza delle misure di sicurezza previste dal codice e dall'allegato B.
   

A scanso di equivoci e di pericolose sottovalutazioni è bene ribadire che:

1. l'obbligo del DPS decade soltanto se risultano trattati dati sensibili della stessa specie di quella prevista , mentre in presenza anche di un solo altro dato sensibile di natura differente (ad es. quelli relativi all'adesione a partiti politici, organizzazioni di carattere religioso, ecc...) tutto rimane come prima;
   
2. non viene meno l'obbligo di applicare le altre misure di sicurezza previste;
   
3. l'autocertificazione non è un semplice adempimento burocratico, poichè in caso di false attestazioni (ad es. sulla natura dei dati trattati e/o sull'osservanza delle misure di sicurezza) comporta una responsabilità da parte del titolare dei dati;
   

Lo stesso decreto prevede che, entro due mesi dall'entrata in vigore della legge di conversione, sarà aggiornato il disciplinare tecnico del codice della privacy in modo da prevedere delle misure semplificate per la redazione del DPS, in favore di coloro che trattano dati personali per le sole finalità amministrative e contabili.

Nel caso in cui tali ulteriore misure non verranno adottate nei termine previsti, tutti coloro che trattano dati personali per le sole finalità amministrative e contabili potranno beneficiare dell'esenzione dall'obbligo di redazione del DPS.

Complessivamente queste ulteriore misure si possono quindi già ricollegare alle semplificazioni per i trattamenti con finalità amministrative e contabili definite recentemente dal garante.

Infine, per concludere, il decreto contiene anche la seguente modifica del comma 2° dell'art. 38 del codice della privacy (Modalità di notifica):

La notificazione e' validamente effettuata solo se e' trasmessa attraverso il sito del Garante, utilizzando l'apposito modello, che contiene la richiesta di fornire tutte e soltanto le seguenti informazioni:

1) le coordinate identificative del titolare del trattamento e, eventualmente, del suo rappresentante, nonche' di un responsabile del trattamento se designato
2) la o le finalita' del trattamento
3) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime
4) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
5) i trasferimenti di dati previsti verso Paesi terzi
6) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento