Il Codice della Privacy

Transcript

1 Il Codice della Privacy Aggiornamenti normativi con particolare riferimento al trattamento elettronico dei dati avv. Valerio Vertua UNI EN ISO 9001: 2000 Cert. N

2 Fonti Principali definizioni Sommario Principi generali per trattamento dati comuni da parte della P.A. Principi generali per trattamento dati sensibili e giudiziari da parte della P.A. Misure di sicurezza Misure idonee Misure minime ed Allegato B Disciplinare Tecnico Responsabilità civile Sanzioni amministrative Sanzioni penali

3 Principali fonti normative Normativa Europea Normativa Italiana Direttiva 24/10/1995 n.95/46/ce l. 31 dicembre 1996 n. 675 d.lgs. 9 maggio 1997 n. 123 d.lgs. 28 luglio 1997 n. 255 d.p.r. 28 luglio 1999 n. 318 (reg. per misure minime di sicurezza) d.lgs. 30 luglio 1999 n. 282 (disp. per riserv. dati in ambito sanitario) l. 3 novembre 2000 n. 325 (disp. per misure minime di sicurezza) d.lgs 28 dicembre 2001 n. 467 Direttiva 15/12/1997 n. 97/66/Ce d.lgs. 13 maggio 1998 n. 171 (tratt. dati nel settore telecomunicazioni) Direttiva 12/07/2002 n. 02/58/Ce d.lgs. 30 giugno 2003 n. 196 (codice della privacy)

4 Principali definizioni (art. 4 d.lgs. n. 196/2003) Termine Definizione trattamento qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati; dato personale qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;

5 Principali definizioni (art. 4 d.lgs. n. 196/2003) dati sensibili dati giudiziari i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale;

6 Principali definizioni (art. 4 d.lgs. n. 196/2003) titolare la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; responsabile la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; incaricato le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; interessato la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali;

7 Principali definizioni (art. 4 d.lgs. n. 196/2003) comunicazione il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; diffusione il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; banca dati qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti; misure minime il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell articolo 31;

8 Principali definizioni (art. 4 d.lgs. n. 196/2003) strumenti elettronici autenticazione informatica credenziali di autenticazione gli elaboratori, i programmi per elaboratori e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento; l insieme degli strumenti elettronici e delle procedure per la verifica anche indiretta dell identità; i dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l autenticazione informatica;

9 Principali definizioni (art. 4 d.lgs. n. 196/2003) parola chiave componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica; profilo di autorizzazione sistema di autorizzazione l insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti; l insieme degli strumenti e delle procedure che abilitano l accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente;

10 Principi generali per il trattamento dei dati comuni da parte della P.A. (1/2) Qualunque trattamento di dati personali da parte di soggetti pubblici è consentito soltanto per lo svolgimento delle funzioni istituzionali e senza necessità di richiedere il consenso degli interessati. Il trattamento dei dati è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente, sempre però nei limiti dello svolgimento delle funzioni istituzionali. Principio dell informativa, scritta od orale, dell interessato.

11 Principi generali per il trattamento dei dati comuni da parte della P.A. (2/2) La comunicazione di dati ad altro soggetto pubblico è ammessa quando è prevista da una norma di legge o di regolamento oppure, in mancanza di tale norma, quando è comunque necessaria per lo svolgimento di funzioni istituzionali. Trascorsi 45 giorni dal ricevimento della comunicazione i dati, comunque necessari per lo svolgimento di funzioni istituzionali, potranno essere comunicati, salva diversa disposizione del Garante. La comunicazione a privati o a enti pubblici economici e la diffusione di dati sono ammesse soltanto quando sono previste da una norma di legge o di regolamento ed indipendentemente dal consenso dell interessato.

12 Trattamento dei dati sensibili e giudiziari nella P.A. 1) Trattamento espressamente autorizzato da noma di legge a. Indicazione dei tipi di dati che devono essere trattati b. Indicazione dei tipi di operazioni eseguibili c. Indicazione delle finalità di rilevante interesse pubblico perseguite 2) Se la norma di legge specifica c. ma non a. e b., necessità di atto di natura regolamentare, in conformità al parere espresso dal Garante (entro 45 gg. dalla richiesta), per specificare e rendere pubblico a. e b. 3) Se il trattamento non è previsto dalla legge: si può richiedere preventivamente il parere del Garante per l individuazione delle attività, tra quelle alla P.A. riservate dalla legge e per le quali è autorizzata dal Garante; necessità per il trattamento di atto di natura regolamentare con il quale vengono resi pubblici a. e b. 4) Nei casi 2) e 3) aggiornamento ed integrazione periodica di a./b.

13 Principali principi per trattamento dei dati sensibili e giudiziari nella P.A. Prevenire violazione diritti, libertà fondamentali e dignità interessato No consenso Si informativa dell interessato Principio di necessità (solo dati indispensabili per attività istituzionali) Inutilizzabilità dei dati eccedenti, non pertinenti o non indispensabili (salvo conservazione per legge documento che li contiene) Trattamento con tecniche di cifratura o con utilizzo di codici identificativi o altre tecniche analoghe se impiegati strumenti elettronici (accesso non immediato e monitorato) Conservazione separata di dati idonei a rivelare stato di salute e vita sessuale e divieto di diffondere tali dati Divieto di trattamento in test psico-attitudinali e/o volti a definire profilo o personalità dell interessato

14 Misure di sicurezza Misure di sicurezza idonee Misure di sicurezza minime Trattamenti con strumenti elettronici Trattamenti senza l'ausilio di strumenti elettronici

15 Misure di sicurezza idonee Misure idonee e preventive da adottare per la custodia e per il controllo del trattamento dei dati sulla base di: conoscenze acquisite in base al progresso tecnico natura dei dati caratteristiche del trattamento La finalità è quella di ridurre al minimo il rischio di: distruzione o perdita anche accidentale accesso non autorizzato trattamento non consentito trattamento non conforme alle finalità di raccolta

16 Misure minime di sicurezza Art. 33 (Misure minime) 1. Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali. Art. 34 (Trattamenti con strumenti elettronici) Art. 35 (Trattamenti senza l'ausilio di strumenti elettronici) Art. 36 (Adeguamento) 1. Il disciplinare tecnico di cui all'allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie, in relazione all'evoluzione tecnica e all'esperienza maturata nel settore.

17 Misure minime di sicurezza (1/2) Art. 34 (Trattamenti con strumenti elettronici) 1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;

18 Misure minime di sicurezza (2/2) e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

19 ALLEGATO B Disciplinare Tecnico in materia di Misure Minime di Sicurezza 1) Trattamenti con strumenti elettronici Modalità tecniche da adottare a cura del titolare, del responsabile ove designato e dell'incaricato, in caso di trattamento con strumenti elettronici: Sistema di autenticazione informatica Sistema di autorizzazione Altre misure di sicurezza Documento programmatico sulla sicurezza Ulteriori misure in caso di trattamento di dati sensibili o giudiziari Misure di tutela e garanzia 2) Trattamenti senza l'ausilio di strumenti elettronici

20 ALL. B D.T. Sistema di autenticazione informatica 1. Credenziali di autenticazione per uno specifico trattamento di dati 2. Credenziali di autenticazione: user ID e una password o dispositivi similari anche biomedici 3. Una o più credenziali per ogni singolo incaricato 4. Istruzioni per opportune cautele per la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi per ogni incarico 5. Password a. di almeno 8 caratteri (o max consentito) b. no facilmente riconducibile all incaricato c. modificata dall incaricato al primo utilizzo d. da modificare ogni 6 mesi o 3 mesi per dati sensibili 6. Unicità, anche nel tempo, del codice di identificazione 7. Disattivare credenziali non usate da 6 mesi (salvo autorizzazione per scopi di gestione tecnica)

21 ALL. B D.T. Sistema di autenticazione informatica 8. Disattivare credenziali per perdita della qualità di incaricato 9. Istruzioni per non lasciare incustodito o accessibile il computer a sessione aperta 10. Previsione scritta di idonee misure per assicurare il trattamento di dati in caso di prolungata assenza o impedimento dell incaricato 11. Questi punti sul sistema di autenticazione di autorizzazione non si applicano ai dati personali destinati alla diffusione

22 ALL. B D.T. Sistema di autorizzazione 12. Trattamento con incaricati con compiti distinti: profili di autorizzazione diversi (r r/w) 13. Preventiva definizione dei profili di autorizzazione per ciascun incarico o classi omogenee di incaricati 14. Verifica periodica (o almeno annuale) dell esistenza delle condizioni per la conservazione dei profili di autorizzazione definiti

23 ALL. B D.T. Altre misure di sicurezza 15. Aggiornamento periodico (almeno annuale) della lista degli incaricati, anche per classi omogenee, degli addetti alla gestione o manutenzione dei sistemi elettronici 16. Adozione di procedure e software contro virus, spyware ed altri malware (agg. almeno semestrale) 17. Aggiornamento almeno annuale (6 mesi per dati sensibili) di sistemi operativi e di programmi (patch, service pack o hotfix) per prevenire vulnerabilità o difetti 18. Adozione di procedure di salvataggio dati (backup) con cadenza almeno settimanale (conservazione ed integrità dei dati)

24 ALL. B D.T. Ulteriori misure in caso di trattamento di dati sensibili o giudiziari 20. Protezione dei dati sensibili o giudiziari con idonei strumenti elettronici (accesso abusivo firewall e Intrusion detection systems) 21. Istruzioni organizzative e tecniche per la custodia e l'uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti (copie di sicurezza dati) 22. Utilizzo supporti rimovibili di backup: a) distruzione o resi inutilizzabili; b) riutilizzo previa distruzione permanente e definitiva dei dati 23. Idonee misure per ripristino backup dati o riparazione computer (tempistica non sup. 7 giorni) 24. Cifratura dati sensibili o separazione con quelli idonei ad identificare l interessato per gli organismi sanitari ed esercenti professioni sanitarie; particolare attenzione per dati genetici (locali protetti, personale specifico, trasporto in contenitori con serratura o dati cifrati)

25 Responsabilità civile Art. 15 (Danni cagionati per effetto del trattamento) 1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. 2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell'articolo 11. L interessato deve provare: il danno il nesso di causalità (danno dipendente dall attività di trattamento dei dati) Il titolare deve provare: di aver adottato le misure idonee per evitare il danno

26 Sanzioni previste dal Codice della Privacy VIOLAZIONI AMMINISTRATIVE Art Omessa o inidonea informativa all'interessato Art Altre fattispecie Art Omessa o incompleta notificazione Art Omessa informazione o esibizione al Garante Art Pubblicazione del provvedimento del Garante Art Procedimento di applicazione

27 Sanzioni previste dal Codice della Privacy ILLECITI PENALI Art Trattamento illecito di dati Art Falsità nelle dichiarazioni e notificazioni al Garante Art Misure di sicurezza Art Inosservanza di provvedimenti del Garante Art Altre fattispecie Art Pene accessorie

28 Conclusioni Il Codice in materia di protezione dei dati personali: è norma a carattere trasversale deve essere integrata con altre disposizioni normative prevede numerosi adempimenti e procedure richiede costante aggiornamento delle procedure e dei dati raccolti richiede costante aggiornamento e formazione degli incaricati può comportare responsabilità civilistiche, amministrative e penali UNI EN ISO 9001: 2000 Cert. N