Lo scorso 1° Gennaio 2004 è entrato in vigore il Decreto Legislativo n. 196/2003 "Codice in materia di protezione dei dati personali".

A partire da quest'anno tutte le aziende che dispongono di archivi in formato elettronico e cartaceo devono dotarsi di misure di sicurezza atte a garantire la "sicurezza reale" dei dati trattenuti e detenuti. Ogni soggetto è tenuto all'adozione di misure di sicurezza, chi ne ometta l'adozione può incorrere in pesanti ammende a partire da 10.000,00 a 50.000,00 euro fino all'ipotesi più pesante dell'arresto fino a 2 anni.

Chi sono i soggetti obbligati dalla legge
Sono obbligati ad adeguarsi tutti i soggetti che a vario titolo trattano dati personali, come le aziende, i professionisti, le associazioni, gli enti pubblici etc...

Sono tenuti ad adeguarsi tutti i soggetti che a vario titolo trattano dati personali

Cosa è necessario fare
Coloro che trattano dati personali comuni, sensibili o giudiziari sono obbligati ad applicare le misure minime di sicurezza previste dalla legge.
Il Titolare ( Titolare: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione o organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi, compreso il profilo della sicurezza) è tenuto a garantire che le misure minime di sicurezza siano adottate sia all' interno dell'azienda, sia da tutti gli ulteriori soggetti a cui abbia ceduto o richiesto un supporto per il trattamento dei dati (esempio: studi - Società di postazione - Società di TeleMKTG - etc..). Tutti i dati personali oggetto di un trattamento devono essere controllati e custoditi tenendo conto anche delle innovazioni tecnologiche e del miglioramento delle conoscenze generate dal progresso tecnico.

La gestione e la custodia dei dati deve tendere a ridurre al minimo, con l'adozione di misure di sicurezza idonee e preventive, i rischi, anche accidentali, di distribuzione o perdita dei dati. Per chi non si adegua sono previste pesanti sanzioni sia amministrative che penali.

Chi tratta dati personali comuni, sensibili o giudiziari è obbligato ad applicare delle misure minime di sicurezza.

Chi fa i controlli
In base ad un accordo di collaborazione il Garante della Privacy potrà avvalersi, per i controlli, della competenza della Guardia di Finanza e della Polizia Postale.

In base ad un accordo di collaborazione i controlli saranno eseguiti dalla Guardia di Finanza e dalla Polizia Postale.

Documento Programmatico della Sicurezza
Le aziende che trattano dati personali sensibili e/o giudiziari con l'impiego di elaboratori elettronici hanno l'obbligo di predisporre il Documento Programmatico della Sicurezza (art. 34 del Testo Unico e il punto 19 del Disciplinare tecnico All. B al Decreto Legislativo. Chi tratta i dati solo manualmente su supporto cartaceo, non è tenuto ad avere il DPS. Il Documento deve obbligatoriamente contenere una analisi dei rischi in tema di trattamento e protezione dei dati detenuti. Il documento programmatico della sicurezza è redatto entro il 31 Marzo di ogni anno dal titolare di un trattamento di dati sensibili, o di dati giudiziari, che lo redige anche attraverso il responsabile, se designato.

Chi tratta dati personali sensibili e/o giudiziari con l'impiego di elaboratori elettronici deve redigere il Documento Programmatico della Sicurezza (DPS) che deve contenere idonee informazioni riguardo:

l'elenco dei trattamenti di dati personali

la distribuzione dei compiti e delle responsabilità

l'analisi dei rischi che incombono sui dati

le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità

la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati

la previsione di interventi formativi - la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti...affidati... all'esterno ...

La Informativa
L'interessato (Interessato: la persona fisica, la persona giuridica, l'Ente o l'Associazione cui si riferiscono i dati personali; Banca di dati: qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti) o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:

L’interessato del trattamento dei dati deve essere preventivamente informato oralmente o per iscritto

a)le finalità e le modalità del trattamento cui sono destinati i dati
b) la natura obbligatoria o facoltativa del conferimento dei dati
c) le conseguenze di un eventuale rifiuto di rispondere
d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi
e) i diritti di cui all'articolo 7
f) gli estremi identificativi del titolare e del responsabile se designato(Responsabile: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro Ente, Associazione od organismo preposti dal titolare al trattamento di dati personali)

Il consenso
Il trattamento di dati personali da parte di privati o di Enti Pubblici economici è ammesso solo con il consenso espresso dell'interessato e può riguardare l'intero trattamento ovvero una o più operazioni dello stesso.
Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili.

Il consenso al trattamento di dati personali è ammesso solo con il consenso espresso dell'interessato e può riguardare l'intero trattamento ovvero una o più operazioni dello stesso. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili

Il consenso non è richiesto, oltre che nei casi previsti nella Parte II, quando il trattamento:
a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria
b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati
d) riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale
A questi casi se ne aggiungono degli altri particolari.

Sono previste delle misure minime di sicurezza da garantire nel trattamento di dati

Misure di sicurezza
Le finalità degli obblighi imposti, per i trattamenti “con” o “senza” l’ausilio di mezzi elettronici, consistono nella custodia e nel controllo dei dati (mediante l’adozione di preventive misure di sicurezza) così da ridurre al minimo i rischi:
- di una loro distruzione o perdita anche accidentale
- di accesso non autorizzato
- di trattamento non consentito o difforme dalle finalità della raccolta. (art. 31)

Nel disciplinare tecnico (All. B) ci sono ben 29 prescrizioni dettagliate definite MISURE MINIME DI SICUREZZA che dovranno essere soddisfatte per adempiere agli obblighi minimi della Legge.
Le prescrizioni definite nel disciplinare tecnico potranno essere periodicamente aggiornate con decreto ministeriale, senza toccare il Codice, in base all’esperienza maturata e all’evoluzione tecnologica

La Notifica
La NOTIFICAZIONE è obbligatoria solo per i titolati che effettuano i trattamenti espressamente indicati all'art 37 del Decreto.

L’obbligo di provvedere alla notificazione telematica entro il 30.4.2004 (art. 181, c. 1, lett. c) è previsto per i titolari di trattamenti antecedenti all’1.1.2004, che rientrano nell’elencazione dell’art. 37 (indipendentemente dal fatto che ci sia stata o meno la notificazione a norma dell’art. 7 della legge n. 675/96), invece, per i titolari di trattamenti successivi all’ 1.1.2004, sempre rientranti nell’elencazione dell’art. 37, vige già l’obbligo della notificazione “prima dell’inizio del trattamento”.

Le piccole e medie imprese che intendono adempiere al Decreto ed adeguare la propria struttura alle prescrizioni della norma sia dal punto di vista documentale che tecnico possono contattare la sede provinciale della CNA di Vicenza per un primo esame della situazione e per poi definire il percorso di adeguamento.

-------------------------------------------
Per contatti e informazioni
CNA Vicenza
Servizio PRIVACY
Fax 0444 961628
e-mail: privacy@cnavicenza.it
www.cnavicenza.it
----------------------------------------------