L’obbligo di redazione del DPS ricorre in caso di trattamento di dati personali, “sensibili” o giudiziari, con strumenti elettronici (ad esempio, mediante computer).
Dati sensibili: dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale.
Si elencano brevemente alcuni dei principali adempimenti previsti dalla normativa sulla privacy. Non adeguarsi alla normativa sulla privacy significa rischiare pesanti sanzioni.
Notificazione al Garante (se dovuta): Prima di iniziare il trattamento e valutare le relative autorizzazioni (D. Lgs. n. 196/03 art. 37).
DPS (Documento Programmatico sulla Sicurezza): all’interno del DPS deve essere previsto un “Piano di formazione per gli incaricati” che dovrà essere rivisto annualmente.
Adempimenti a cadenza almeno annuale:
- aggiornare l’individuazione dell’ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente;
- verificare la sussistenza delle condizioni per la conservazione delle autorizzazioni per l’acceso ai dati particolari per gli incaricati;
- fornire istruzioni organizzative e tecniche affinché il salvataggio dei dati sia effettuato settimanalmente;
- programmare interventi di formazione per gli incaricati del trattamento;
- provvedere all’aggiornamento delle patch dei programmi per computer, nel caso di trattamento dei dati comuni (regola 17, Allegato B del D. Lgs n. 196/03).
- Aggiornare i software antivirus, per tutti i tipi di dati (regola 16, Allegato B del D. Lgs n. 196/03);
- Aggiornamento dei software, nel caso di trattamento di dati sensibili (regola 17, Allegato B del D. Lgs n. 196/03)
- Salvataggio dei dati (regola 18, Allegato B del D. Lgs n. 196/03)
- Aggiornare le password assegnate agli incaricati (regola 5, Allegato B del D. Lgs n. 196/03)
- elenco dei trattamenti di dati personali;
- distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati;
- analisi dei rischi che incombono sui dati;
- misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché alla protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
- descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
- previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare; la formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;
- descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al Codice della privacy, all’esterno della struttura del titolare;
- per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, all’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato.
Per i soggetti che trattano con strumenti elettronici soltanto dati personali “non sensibili” e come unici dati “sensibili” quelli costituiti dallo stato di salute o di malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall’adesione ad organizzazioni sindacali o a carattere sindacale, l’obbligo di redigere e aggiornare il DPS è sostituito da un’autocertificazione in cui si attesta di trattare solo tali dati in osservanza delle altre misure di sicurezza prescritte.
Modalità semplificate sono previste anche per i soggetti pubblici e privati che trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008).
Link: Per restare aggiornato iscriviti alla nostra Newsletter!
