Corso base privacy(Varese,02.2006)
CNA Interpreta 2
DEFINIZIONI ESSENZIALI
TRATTAMENTO DATI
Qualunque operazione o complesso di operazioni effettuato anche senza l’ausilio di strumenti elettronici (es.: manualmente) concernente:
consultazione
raccolta registrazione organizzazione conservazione elaborazione
modificazione selezione estrazione raffronto utilizzo interconnessione
blocco comunicazione diffusione cancellazione distruzione
CNA Interpreta 3
Dato personale
Qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale
Le disposizioni del Codice non riguardano il trattamento di dati effettuato per fini esclusivamente personali sempre che non si abbia diffusione o comunicazione sistematica
Dati esclusivamente personali (art. 5.3)
Rimane la responsabilità per danni cagionati (15) e il dovere di rispettare gli obblighi generali di sicurezzaobblighi generali di sicurezza (31)
CNA Interpreta 4
Dati sensibili
Dati idonei a rivelare
L’origine razziale ed etnica
Le convinzioni religiose, filosofiche e di altro genereLe opinioni politiche
L’adesione a partiti, sindacati, associazioni od organizzazioni a carattere filosofico, politico o sindacale
Lo stato di salute e la vita sessuale
CNA Interpreta 5
Interessato e suoi diritti (art. 7)
Persona fisica o giuridica, ente o associazione cui si riferiscono i dati personali
Gli spettano i diritti previsti dall’art. 7 del Codice:
Diritto di ottenere l’indicazione:
h dell’origine dei dati
h delle finalità e modalità del trattamento
h della logica applicata nel trattamento effettuato con l’ausilio di strumenti elettronici
hdegli estremi identificativi: - titolare
- responsabile se designato
hdei soggetti o delle categorie ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati
Diritto di sapere se esistono o meno suoi dati presso il titolare
CNA Interpreta 6
h l’aggiornamento, la rettifica, ovvero l’integrazione dei dati (quando via ha interesse)
Diritto di ottenere:
h la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati
h l’attestazione che le operazioni dei due punti precedenti sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi (se questo risulta possibile o non sproporzionato)
Diritto di opporsi in tutto o in parte
h per motivi legittimi al trattamento dei dati che lo riguardano ancorché pertinenti allo scopo della raccolta
h al trattamento dei dati personali che lo riguardano ai fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale
I diritti dell’interessato sono esercitati con richiesta rivolta senza formalitàsenza formalità al titolare o al responsabile alla quale è fornito idoneo riscontro senza ritardo (entro 15 giorni dal ricevimento! Art. 146.2entro 15 giorni dal ricevimento! Art. 146.2)
CNA Interpreta 7
Titolare del trattamento (art. 28)
È la personapersona fisica, giuridica, ente, associazione, P.A. cui compete la compete la decisione sulle finalitdecisione sulle finalitàà, modalit, modalitàà e mezzi del trattamento e sugli e mezzi del trattamento e sugli strumenti utilizzatistrumenti utilizzati (ivi compreso il profilo della sicurezza)
Se il trattamento è effettuato da una persona giuridica, da una P.A. o da un qualsiasi altro ente, associazione od organismo, titolare del titolare del trattamento trattamento èè ll’’entitentitàà nel suo complessonel suo complesso o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo
Sotto il profilo civilistico
Sotto il profilo penale
del risarcimento danni ne risponde l’impresa
La responsabilità è sempre “personale”: ne risponde chi ha la rappresentanza legale … a meno che non vi sia stata specifica attribuzione di compiti/responsabilità
CNA Interpreta 8
CONTITOLARI (ex art. 4.1 lett. f)
• Soggetti che, unitamente al titolare, esercitano le decisioni in ordine alle finalità, modalità di trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza ( = potere reale)
• Condivisione (col titolare) di prerogative e responsabilità
(es.: associazione professionale tra medici, con trattamento di dati in comune)
(es.: società che operano all’interno di un gruppo societario)
CNA Interpreta 9
Responsabile del trattamento (art. 29)
È la persona fisica, giuridica, ente, P.A. … preposta dal titolare del trattamento (art. 4.1 lett. g)
Discrezionalmente il titolare può decidere se designare un responsabile cui delegare compiti e responsabilità (anche in ordine alla sicurezza)
Se lo designa, deve farlo con atto scritto contenente precise istruzioni analitiche
Responsabile può essere interno o esterno
CNA Interpreta 10
Il soggetto deve avere esperienza, capacità ed affidabilità che forniscano idonea garanzia del pieno rispetto e delle disposizioni di legge e delle istruzioni del titolare in materia di trattamento
Tali qualità presuppongono l'assegnazione a dipendenti di qualifica medio-alta, cui va conferita disponibilità ed autonomia di spesa
La designazione non libera il titolare da tutti gli adempimenti (l'obbligo della notificazione non è delegabile), né da tutte le responsabilità, quanto meno in ordine al controllo periodico ed alla vigilanza sulla puntuale osservanza delle disposizioni di legge e delle istruzioni impartite
CARATTERISTICHE RESPONSABILE
CNA Interpreta 11
Incaricati del trattamento
Sono le persone fisiche che effettuano le operazioni del trattamento, attenendosi alle istruzioni impartite dal titolare o responsabile (art. 30, comma 1), che, per iscritto (comma 2), haloro attribuito questo compito individuando puntualmente l’ambito del trattamento consentito
Inserendo o elaborando i dati a computer o attendendo all'archivio i dipendenti vengono a conoscenza dei dati personali
CNA Interpreta 12
Assume particolare importanza fornire agli incaricati precisi indirizzi e dettagliate norme comportamentali, sia nella fase iniziale di raccolta dei dati, sia nella successiva fase di gestione, così da evitare situazioni lesive imputabili al titolare e/o al responsabile
la Legge tuttavia non considera tale conoscenza come comunicazione; lo si evince dall’art. 4.1, lett. l, che la esclude per l’interessato, per il rappresentate del titolare nel territorio dello Stato, per il responsabile e per gli incaricati
CNA Interpreta 13
Informativa (art. 13)
Prima di effettuare il trattamento dei dati personali il titolare del trattamento ha SEMPRE l’obbligo di fornire succinta ma chiara informazione (ORALE O SCRITTA) circa:
> Le finalità della raccolta
Trattamento giuridico ed economico del personale
Gestione del personale Adempimenti di obblighi fiscali e contabili
Gestione di fornitori Gestione della clientela Gestione del contenzioso
> Le modalità del trattamento
Manuale
Telematica
InformaticaAltri sistemi di telecomunicazione
CNA Interpreta 14
> Natura facoltativa/obbligatoria del trattamento
> Le conseguenze di un rifiuto a rispondere
> I soggetti o le categorie di soggetti a cui i dati potranno essere comunicati (es.: autotrasportatori, spedizionieri) O CHE POSSONO VENIRNE A CONOSCENZA IN QUALITA’ DI RESPONSABILI OD INCARICATI
Circa l’indicazione dei soggetti che potranno “venire a conoscenza dei dati”, si riporta la seguente formula che ha l’unico pregio di provenire dal Garante …
“All’interno della nostra società (o gruppo) possono venire a conoscenza dei suoi dati soltanto i dipendenti ed i collaboratori (anche esterni) da noi incaricati del loro trattamento appartenenti a servizi ed uffici centrali e della rete (agenzie, filiali) nonché a strutture che svolgono anche per nostro conto compiti tecnici disupporto (servizi legali, controlli aziendali, etc.)”
CNA Interpreta 15
> Gli estremi identificativi:
- del TITOLARE
- del RESPONSABILE se designato
- dell’eventuale RESPONSABILE DESIGNATO PER I RAPPORTI CON CHI ESERCITA I “DIRITTI DELL’INTERESSATO”
Se ci sono più responsabili
basta un solo nominativo
occorre però indicare:sito in rete
altro modo agevole
per reperire l’elenco completo
> I diritti che il Codice attribuisce (art. 7) all’interessato
CNA Interpreta 16
INFORMATIVA RIDOTTA
• Può non contenere
* Elementi già noti alla persona che fornisce i dati
• Può essere data con modalità semplificate per provvedimento del Garante (in particolare: dai servizi telefonici di assistenza/informazione al pubblico/radiotaxi)
INFORMATIVA PER I DATI RACCOLTI PRESSO TERZI
• deve anche indicare “le categorie di dati trattati”
- o (se prevista) non oltre la prima comunicazione
• va data all’interessato
- all’atto di registrazione dei dati
CNA Interpreta 17
Il trattamento dei dati personali da parte di privati/enti pubblici economici è ammesso solo col “consenso espresso” (non presunto, non implicito) dell’interessato, che può prestarlo per una o più operazioni o per l’intero trattamento
Consenso (artt. 23/26)
Il consenso deve essere raccolto per iscritto (sempre, per i dati sensibili) od anche oralmente documentandolo per iscritto
Il consenso è validamente prestato solo se
- espresso liberamente, cioè non in presenza di situazioni di pressione fisica o psicologica
- dato in forma specifica, quindi non riferito a trattamento generico per fini imprecisati
- preceduto da chiara informativa che gli permetta la decisione con nozione di causa
CNA Interpreta 18
Casi di esclusione consenso in generale e salve le disposizioni per settori specifici (art.24)
h riguarda dati raccolti e detenuti in base ad un obbligo di leggeobbligo di legge, regolamentoregolamentoo normativa comunitarianormativa comunitaria
h è necessario per l’esecuzione di obblighi derivanti da un contrattnecessario per l’esecuzione di obblighi derivanti da un contrattoo del quale del quale è parte l’interessato o per adempiereè parte l’interessato o per adempiere – prima della conclusione del contratto –“a specifiche richieste dell’interessatoa specifiche richieste dell’interessato”
h riguarda dati provenienti da pubblici registri, elenchi, atti o documentidati provenienti da pubblici registri, elenchi, atti o documenticonoscibili da chiunqueconoscibili da chiunque, nel rispetto delle norme che regolano la conoscibilità e pubblicità di tali dati (es.: elenco telefonico, liste elettorali non servono all’esercizio del marketing)
h è finalizzato unicamente a scopi di ricerca storica o scientifica o di statisticascopi di ricerca storica o scientifica o di statistica e avviene nel rispetto dei rispettivi codici di deontologia
Quando il trattamento:
CNA Interpreta 19
h riguarda dati relativi allo svolgimento di attività attività economicheeconomiche (dell’interessato) nel rispetto della normativa sul segreto aziendale e industriale
h è necessario per la salvaguardia della vita o dell’incolumità dell’interessato e questi non può prestare il proprio consenso
h è necessario per indagini difensive … o, comunque, per far valere o difendere un diritto in sede giudiziaria
h è necessario, nei casi individuati dal Garante, per perseguire un legittimo interesse del titolare/o terzo destinatario dei dati e non prevalgono diritti, libertà, dignità, interessi legittimi dell’interessato – diffusione esclusa
Le formule utilizzate nei coupon e gli inviti a trasmettere frasi contenenti “generiche autorizzazioni” sono state stigmatizzati dal Garante!
CNA Interpreta 20
LA RICHIESTA DLA RICHIESTA D’’AUTORIZZAZIONEAUTORIZZAZIONE (41.3)- Su apposito modulo del Garante- Inviata per via telematica (come per la notificazione) o telefax, o raccomandata
DATI SENSIBILIDATI SENSIBILI (26.1)Per trattarli occorre (oltre al consenso scritto dell’interessato) la preventiva autorizzazione del Garante
Autorizzazioni
LE AUTORIZZAZIONI GENERALILE AUTORIZZAZIONI GENERALI (40)- Il Garante può rilasciare autorizzazioni per determinate categorie di “titolari” Pubblicate sulla G.U.
AUTORIZZAZIONI GENERALI 2005Il Garante ha provveduto a rilasciare - con validità fino al 30.6.2007 - le 6 autorizzazioni generali per il trattamento dei dati sensibili e l’autorizzazione riguardante il trattamento dei datigiudiziari,poi pubblicate sulla G.U.n°2 del 3.01.2006.
CNA Interpreta 21
Quando il trattamento è effettuato da associazioni, enti, organismi senza scopo di lucro (anche non riconosciuti) a carattere politico, filosofico, religioso, sindacale
1
2 Quando il trattamento è necessario per la salvaguardia della vita, incolumità fisica di un terzo o dell’interessato (v. art. 82.2)
3 Quando il trattamento è necessario per indagini difensive/difesa diritti (solo per queste finalità e per il tempo strettamente necessario)
4Quando il trattamento è necessario per adempiere a specifici
obblighi/compiti per la gestione del rapporto di lavoro (previsti da leggi, regolamenti, norme comunitarie)
Vi rientrano anche gli adempimenti in materia - di igiene e sicurezza del lavoro e della popolazione- di previdenza ed assistenza
Nei limiti dell’autorizzazione Nei rispetto dei codici di condotta
Dati sensibili trattabili con autorizzazione e senza consenso
CNA Interpreta 22
Dati quasi sensibili (artt. 17 e 37.2)
I dati che la Legge 675 definiva “particolari” l’art. 17 del Codice li definisce ora “dati che presentano rischi specifici” (per i diritti e le libertà fondamentali e per la dignità dell’interessato).
Il loro trattamento è condizionato da eventuali misure ed accorgimenti di garanzia, prescritti dal Garante, valutati di volta in volta anche su richiesta del titolare
CNA Interpreta 23
Il trattamento da parte dei privati è consentito solo se autorizzato da
hLe rilevanti finalità d’interesse pubblico del trattamento
hLe operazioni eseguibili
che specifichino
hI tipi di dati trattati
2 – o provvedimento del Garante
1- espressa disposizione di legge
Dati Giudiziari
CNA Interpreta 24
1) Nomina di eventuali responsabili interni del trattamento
2) Nomina di eventuali responsabili esterni del trattamento (es.: attività in outsourcing) e acquisizione di dichiarazione/documenti ai fini della eventuale redazione del DPS
Check List
3) Lettera d’incarico ed istruzioni (ed eventuali autorizzazioni al trattamento di dati sensibili) ai dipendenti e agli eventuali collaboratori
4) Adeguamento a tutte le misure minime di sicurezza previste dall’Allegato B del Codice (es.: individuazione dell’ambito di trattamento consentito agli incaricati e agli addetti alla gestione/manutenzione degli strumenti informatici, assegnazione password di 8 caratteri e codice identificativo, aggiornamento antivirus, documento programmatico, procedure per la custodia di copie di sicurezza e per il ripristino della disponibilità dei dati e dei sistemi, etc. )
5) Nomina di eventuali incaricati alla custodia delle copie delle credenziali
6) Informativa per tutti i dipendenti (es.: per elaborazione paghe) e per eventuali collaboratori
CNA Interpreta 25
7) Informativa e richiesta di consenso (nei casi in cui è richiesto) per soggetti esterni (clienti e fornitori) con particolare attenzione alle attività eventualmente svolte di invio di materiale pubblicitario, vendita diretta, compimento di ricerche di mercato e comunicazione commerciale
8) Informativa agli interessati per i dati raccolti presso terzi
9) Informativa anche per i dati raccolti da Internet o in caso di partecipazione a fiere e mercati
10) Adeguamento dei moduli da compilare da parte dei candidati all’assunzione
11) Predisposizione procedure per dar corso alle istanze degli interessati (art. 7) e del Garante nei tempi previsti dal Codice
12) Notificazione telematica al Garante nell’ipotesi in cui si rientri nelle previsioni dell’articolo 37 del Codice
13) Adeguamento alle prescrizioni previste nelle 7 Autorizzazioni generali per poter trattare dati sensibili/giudiziari
14) Adeguamento alle indicazioni del Garante previste in specifici provvedimenti (video-sorveglianza, radiotaxi)
CNA Interpreta 26
OBBLIGO GENERALE (art. 31)
MISURE DI SICUREZZA
I dati personali oggetto di trattamento sono custoditi e controllati, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di:
hdistruzione o perdita, anche accidentalehaccesso non autorizzato
htrattamento non consentito
Tenendo conto:delle conoscenze acquisite in base al progresso tecnicodella natura dei dati delle specifiche caratteristiche del trattamento
htrattamento non conforme alle finalità della raccolta
CNA Interpreta 27
LE MISURE MINIME DI SICUREZZA
Alle MISURE MINIME DI SICUREZZA (art. 33/35)Misure volte a garantire un “LIVELLO MINIMO DI PROTEZIONE”.Prescrizioni specifiche del Codice, alle quali il titolare e responsabile debbono attenersi (sanzionate penalmente) individuate in un DISCIPLINARE TECNICO, allegate al CODICE
Il disciplinare viene aggiornato periodicamente (decreto del Ministro della giustizia di concerto col Ministro per le innovazioni e le tecnologie) in base all’evoluzione tecnica ed all’esperienza maturata nel settore (art. 36)
Dal PRINCIPIO DI NECESSITÀ (art. 3) - ridurre al minimo l’utilizzo dei dati
All’OBBLIGO GENERALE DI SICUREZZA (art. 31) – derivante dallo svolgimento di un’attività valutata pericolosa, art. 15
art. 2050 C.C. – con responsabilità civile oggettiva, patrimoniale e non patrimoniale
CNA Interpreta 28
Art. 35PER I TRATTAMENTI SENZA AUSILIO DI STRUMENTI ELETTRONICIMisure minime (nei modi previsti dal disciplinare)
PRESCRIZIONI NORMATIVE
Negli articoli 34-35 il trattamento dei dati è consentito “solo sesolo se” sono adottate le misure minime
Art. 34PER I TRATTAMENTI CON STRUMENTI ELETTRONICIMisure minime (nei modi previsti dal disciplinare)
CNA Interpreta 29
DISCIPLINARE TECNICO – ALLEGATO B
TRATTAMENTI SENZA L’AUSILIO DI STRUMENTI ELETTRONICI
Premessa: INCARICATI (art. 30)- Designazione scritta del titolare, contenente anche
le istruzioni cui debbono attenersi;la precisazione dell’ambito del trattamento consentito (a quali
dati possono accedere e quali trattamenti possono effettuare)
MISURE MINIME PRESCRITTE
AGGIORNAMENTOAGGIORNAMENTO ALMENO ANNUALEANNUALE DELL’AMBITOAMBITO DI DI TRATTAMENTO CONSENTITO AGLI INCARICATITRATTAMENTO CONSENTITO AGLI INCARICATI
Si possono fare liste di incaricati per classi omogenee (di incarico e di profilo d’autorizzazione)
ISTRUZIONI SCRITTEISTRUZIONI SCRITTE AGLI INCARICATI SU CONTROLLO E SU CONTROLLO E CUSTODIA DEGLI ATTI/DOCUMENTICUSTODIA DEGLI ATTI/DOCUMENTI CONTENENTI DATI PERSONALI
MODALITA’ TECNICHE
CNA Interpreta 30
Quando gli atti e i documenti contenenti dati sensibili o giudiziaridati sensibili o giudiziarisono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate
L’accesso agli archivi contenenti dati contenenti dati sensibili o giudiziarisensibili o giudiziari è controllato!
- Le persone ammesse, a qualunque titolo, dopo l’orario di chiusura, sono identificate e registrate
- Quando gli archivi non sono controllati, le persone che vi accedono sono preventivamente autorizzatepreventivamente autorizzate
Il controllo può avvenire:-- con strumenti elettronici per il controllo con strumenti elettronici per il controllo degli accessidegli accessi (utilizzo badge, scanner)
-- o da incaricati della vigilanzao da incaricati della vigilanza
CNA Interpreta 31
TRATTAMENTI CON L’AUSILIO DI STRUMENTI ELETTRONICI
Modalità tecniche da adottare a cura del titolare, del responsabile, (ove designato) e dell’incaricato
Sistema di autenticazione informatica
Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazionecredenziali di autenticazioneche consentano il superamento di una procedura di autenticazioneprocedura di autenticazionerelativa a uno specifico trattamento o a un insieme di trattamenti
Superata la distinzione tra strumenti elettronici collegati a reti e non!
Io sono Tizio!
Io sono Tizio! Tizio può accedere alla banca dati
Non ti riconosco
Ti riconosco come Tizio
CNA Interpreta 32
Le credenziali di autenticazione consistono in
- oppure in una caratteristica biometricadell’incaricato, eventualmente associata a un codice identificativo o a una parola chiave (ESSERE)(ESSERE)
- oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato, eventualmente associato a un codice identificativo o a una parola chiave (POSSEDERE)(POSSEDERE)
- un codice per l’identificazionedell’incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo (CONOSCERE)(CONOSCERE)
Ad ogni incaricato sono assegnate o associate individualmente una o più credenziali per l’autenticazione
CNA Interpreta 33
Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell’incaricato
La parola chiaveparola chiave, quando è prevista dal sistema di autenticazione:
In caso di trattamento di dati sensibili e giudiziari la parola chiave è modificata almeno ogni 3 mesialmeno ogni 3 mesi
- essa non contiene riferimenti agevolmente riconducibili all’incaricato ed è modificata da quest’ultimo al primo utilizzoe, successivamente, almeno ogni sei mesi
- oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentitonumero di caratteri pari al massimo consentito
- è composta da almeno 8 caratteri8 caratteri
CNA Interpreta 34
Il codice per l’identificazionecodice per l’identificazione, laddove utilizzato, non può essere assegnato ad altri incaricati, neppure in tempi diversi
Le credenziali di autenticazione non utilizzate da non utilizzate da almeno sei mesi sono disattivatealmeno sei mesi sono disattivate (salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica)
Le credenziali sono disattivate anche in caso di perdita della qualità che consente all’incaricato l’accesso ai dati personali
Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento
CNA Interpreta 35
Quando l’accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso della componente riservata della credenziale per l’autenticazione, sono impartiteidonee e preventive disposizioni scrittedisposizioni scritte volte a individuare chiaramente le modalità con le quali il titolare può assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell’incaricato che renda prolungata assenza o impedimento dell’incaricato che renda indispensabile e indifferibile intervenire per esclusive necessiindispensabile e indifferibile intervenire per esclusive necessità tà di operatività e di sicurezza del sistemadi operatività e di sicurezza del sistema
In tal caso la custodia delle copie delle credenzialicustodia delle copie delle credenziali è organizzata garantendo la relativa segretezza e individuando preventivamenteper iscritto i soggetti incaricati della loro custodiasoggetti incaricati della loro custodia, i quali devono informare tempestivamente l’incaricato dell’intervento effettuato
CNA Interpreta 36
I profili di autorizzazioneprofili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli dati necessari per effettuare le operazioni di trattamento
Sistema di autorizzazione
Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione
Periodicamente (almeno annualmente) è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione
si
si
autenticazioneautenticazione autorizzazioneautorizzazione
no
si Banca dati infortuni
Dip. Paghe
Dip. PagheBanca dati paghe
CNA Interpreta 37
Altre misure di sicurezza
Con cadenza almeno annuale deve essere individuato l’ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici (la lista degli incaricati può essere redatta anche per classi omogenee di incarico)
I dati personali sono protetti contro il rischio di intrusione edell’azione di programmi di cui all’art. 615-quinquies del codice penale, mediante l’attivazione di idonei strumenti elettronici (antivirusantivirus) da aggiornare con cadenza almeno semestralecadenza almeno semestrale
Gli aggiornamenti periodici dei programmi per elaboratore volti a programmi per elaboratore volti a prevenire la vulnerabilitprevenire la vulnerabilitàà di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente annualmente
trattasi delle patch
In caso di trattamento di dati sensibili o giudiziaridati sensibili o giudiziaril’aggiornamento delle patch è almeno semestralesemestrale
Sono impartite istruzioni organizzative e tecniche che prevedono il salvataggio dei dati con frequenza almeno settimanale
CNA Interpreta 38
Documento programmatico sulla sicurezza
Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile (se designato) un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:
- l’elenco dei trattamenti di dati personali
- la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati
- l’analisi dei rischi che incombono sui dati
- le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità
- la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati (in seguito a distruzione o danneggiamento) e per permettere un rapido diritto d’accesso ai suoi dati da parte dell’interessato
CNA Interpreta 39
4) delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare
- la formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali
- la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all’esterno della struttura del titolare
- la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti:
1) dei rischi che incombono sui dati;
2) delle misure disponibili per prevenire eventi dannosi;
3) dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività;
Il Decreto “MILLEPROROGHE” ha fatto slittare l’adozione delle misure minime di sicurezza al 31.03.06.
CNA Interpreta 40
CNA Interpreta 41
CNA Interpreta 42
I soggetti obbligati alla redazione della relazione accompagnatoria (tecnicamente si tratta della relazione sulla gestione di cui all'art. 2428 C.C.) sono esclusivamente:
Normalmente andrebbe predisposta entro il 31 marzo di ogni esercizio
NOVITA’: il titolare riferisce, nella relazione accompagnatoria al bilancio d'esercizio (se dovuta) l’avvenuta redazione/aggiornamento del documento programmatico sulla sicurezza
- le S.r.l. (queste ultime solo se non possono accedere al bilancio in forma abbreviata di cui all'art. 2435 bis C.C.)
- le società di capitali obbligate alla redazione del bilancio in forma estesa, vale a dire le S.p.a. (sempre)
CNA Interpreta 43
SOGGETTI CHE GIÀ ERANO TENUTI A REDIGERE IL DPS IN BASE AL D.P.R N. 318/99
Per tali soggetti l’obbligo del Dps non costituisce una misura di sicurezza innovativa e pertanto avrebbero già dovuto predisporlo/aggiornarlo.
SOGGETTI NON TENUTI A REDIGERE IL DPS IN BASE AL D.P.R N. 318/99 (ORA, INVECE, TENUTI IN BASE AL DISCIPLINARE TECNICO)
Per costoro il Dps costituisce innovativa misura di sicurezza, da approntare entro il 31.03.06.
CNA Interpreta 44
Ulteriori misure in caso di trattamento di dati sensibili o giudiziari
I dati sensibili o giudiziari sono protetti contro l’accesso abusivo, di cui all’ art. 615-ter del codice penale, mediante l’utilizzo di idonei strumenti elettronici (es.: FIREWALL)
Sono impartite istruzioni organizzative e tecniche per la custodia e l’uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti
I supporti rimovibili contenenti dati sensibili/giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili
CNA Interpreta 45
Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni
Misure di tutela e garanzia
Il titolare che adotta misure minime di sicurezza avvalendosi disoggetti esternisoggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall’installatore una descrizione scritta dell’intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico
CNA Interpreta 46
La dichiarazione che, a norma del punto 25.1. del Disciplinare tecnico (allegato B al Codice), l’installatore esterno rilascia al titolare del trattamento che adotta misure minime di sicurezza deve contenere:
Un informatico, per questa dichiarazione, non è tenuto a verificare se quanto dichiaratogli dal Titolare o dal responsabile del trattamento corrisponde al vero!
huna attestazione di conformità alle disposizioni del Disciplinare
huna descrizione scritta dell’intervento effettuato
CNA Interpreta 47
Notificazione
Il "titolare" che intende procedere al trattamento dei dati personali individuati nell’art. 37 è tenuto alla notificazione preventiva (una sola volta e con un solo atto) al Garante
Col Codice cambia la sistematica: dalla prescrizione generale seguita dalle eccezioni si è passati all’individuazione dei soli casi in cui è prescritta
A prescindere:- dal numero delle operazioni- dal numero dei trattamenti con finalità correlate- dalla durata del trattamento- dal fatto che il trattamento comporti il trasferimento di dati all’estero
La notificazione è una dichiarazione con la quale un soggetto pubblico o privato rende nota al Garante l’esistenza di un’attività di raccolta e di utilizzazione dei dati personali, svolta quale autonomo titolare del trattamento
CNA Interpreta 48
L’art. 37.137.1 limita l’obbligo di notificazione ai casi in cui il trattamento riguarda:
d) dati trattati con l’ausilio di strumenti elettronici volti a definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti
c) dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale
b) dati idonei a rivelare stato di salute e vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti, monitoraggio spesa sanitaria
a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti (ovviamente riferibili a persona!) mediante una rete di comunicazione elettronica
CNA Interpreta 49
f) dati registrati in apposite banche di dati gestite con strumentielettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti
Il Garante può individuare altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell’interessato (in ragione delle relative modalità o della natura dei dati personali) con proprio provvedimento. Con analogo provvedimento pubblicato sulla G.U. il Garante puòanche individuare eventuali trattamenti non suscettibili di recare pregiudizio e pertanto sottratti all’obbligo di notificazione
e) dati sensibili registrati in banche dati a fini di selezione delpersonale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie
- Provvedimento relativo ai casi da sottrarre all'obbligo di notificazionein Gazzetta Ufficiale del 6 aprile 2004, n. 81
- Parere 23.4.2004 Chiarimenti sui trattamenti da notificare al Garante
CNA Interpreta 50
Dal 1° gennaio 2004 non è più utilizzabile il precedente modello di notificazione, ne è possibile la compilazione e l’invio con modelli cartacei o dischetti
Gli imprenditori che iniziano una nuova attività (che comporta trattamento rientrante nelle ipotesi previste dall’art. 37) sono tenuti alla notificazione a partire dal 1° gennaio 2004
Termini/modalità della notificazione
La notificazione va sempre presentata al Garante prima dell’inizio del trattamento
Alla notificazione, eseguibile solo in via telematica, si provvede mediante la compilazione dei campi del nuovo modello, disponibile sul sito Internet ( https://web.garanteprivacy.it/rgt/ )selezionando dapprima il campo “nuova notificazione”, poi “prima notificazione”
CALENDARIO DI ALCUNI ADEMPIMENTICALENDARIO DI ALCUNI ADEMPIMENTIPER LE IMPRESE PER LE IMPRESE
1.1.2004 Entrata in vigore del Codice (informativa/consenso)
31.03.2006 Adozione misure minime di sicurezza (Allegato B) e aggiornamento o prima redazione del DPS da parte di chi tratta dati sensibili/giudiziari con strumenti elettronici
entro il 30.06.06
Adozione misure minime di sicurezza solo da parte di quei titolari che dispongano di strumenti elettronici, i quali, per “obiettive ragioni tecniche” (descritte in un documento con datacerta), non le hanno tempestivamento adottate.
Scadenza delle 7 autorizzazioni generali rilasciate dal Garante per il trattamento dei dati sensibili e giudiziari30.06.2007