La sicurezza del sistema informativo dello studio professionale e la normativa sulla privacy

Transcript

1 La sicurezza del sistema informativo dello studio professionale e la normativa sulla privacy A cura del Dott.: Giuseppe Mantese g.mantese@onlineconsulenza.com

2 Quadro normativo Il 1 gennaio 2004 è entrato in vigore il decreto legislativo n.196 del 30 giugno 2003, denominato Codice in materia di protezione dei dati personali. Tale Codice raggruppa e razionalizza in un unico testo, la legge 675/1996, gli altri decreti legislativi, regolamenti e codici deontologici correlati e contiene importanti innovazioni che tengono anche conto della giurisprudenza e della prassi emanata dal Garante e della direttiva Ue 2000/58 sulla riservatezza nelle comunicazioni elettroniche.

3 La normativa sulla privacy: CHI e COSA Soggetti interessati: tutti coloro che trattano dati personali (in pratica ogni azienda ed ogni professionista ) Principali adempimenti: - gestione del trattamento delle varie tipologie di dati personali - gestione comunicazioni, richieste di consenso, informative ai soggetti interessati - gestione notifiche e rapporti con il garante - adozione di misure di sicurezza

4 Le misure di sicurezza e la privacy Art. 31 e articoli seguenti dlgs 196 /2003 Allegato B al dlgs 196/2003 denominato disciplinare tecnico in materia di misure minime di sicurezza

5 # +!! " #! $ %# &'( )#!* ) #

6 Art. 31 enunciazione di un principio generale: I dati personali oggetto di trattamento sono custoditi e controllati, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi: - di distruzione o perdita, anche accidentale, dei dati stessi, - di accesso non autorizzato - di trattamento non consentito o non conforme alle finalità della raccolta. Tali misure sono graduate : - in relazione alle conoscenze acquisite in base al progresso tecnico, - alla natura dei dati - alle specifiche caratteristiche del trattamento

7 Art 33 standard minimo obbligatorio misure di sicurezza da adottare. I titolari del trattamento sono comunque tenuti ad adottare una serie di misure minime individuate in dettaglio al disciplinare tecnico allegato B, volte ad assicurare un livello minimo di protezione dei dati personali. Conseguenze mancata adozione misure minime: Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall articolo 33 è punito con l'arresto sino a due anni o con l'ammenda da euro a euro. (ex Art 169 comma 1 dlgs 196/2003)

8 IMPORTANTE!! Ai fini penali, l'adeguamento della parte del sistema informativo che tratta dati personali a quanto previsto dall allegato B sara' necessario e sufficiente per evitare la commissione del reato, previsto dall' Art 169 comma 1 del dlgs 196/2003, di " omessa adozione di misure necessarie alla sicurezza dei dati". Ai fini civilistici, puo' invece non essere sufficiente tale adeguamento L'art. 15 del dlgs 196/2003 prevede espressamente che "chiunque cagiona danno ad altri per effetto del trattamento dei dati personali e' tenuto al risarcimento ai sensi dell'art del codice civile". Il puntuale riferimento all'articolo 2050 del codice civile evidenzia come ci si potrà sottrarre alla responsabilità per danni provocati a terzi per effetto del trattamento dei dati personali solo se si dimostra non tanto di aver osservato le prescrizioni minime previste dall allegato B quanto se si prova di aver adottato tutte le misure idonee a prevenire ed evitare il danno.

9 Le nuove misure minime di sicurezza dell allegato B del dlgs 196/2003 una comparazione con le previsioni del D.P.R. 318 del 1999 Considerazioni generali: - vi è un ampliamento delle misure minime di sicurezza - Le nuove misure minime di sicurezza che non erano previste dal dpr 318/1999 vanno adottate entro il 31 marzo Nelle nuove norme non viene piu prevista una graduazione delle misure minime in funzione della tipologia di elaboratori classificati per gradi di accessibilità in rete - È rimasta la distinzione fra trattamenti con strumenti elettronici e quelli senza l ausilio di strumenti elettronici

10 Il contenuto in sintesi dell Allegato B Trattamenti con strumenti elettronici Sistema autenticazione (da comma 1 a 11) Sistema di autorizzazione (da comma 12 a 14) Altre misure di sicurezza (da comma 15 a 18) Il D. P. S. (comma 19) Misure per dati sensibili e giudiziari (da comma 20 a 24) Misure di tutela e garanzia (da comma 25 e 26) Trattamenti senza ausilio strumenti elettronici (da comma 27 a 29)

11 Poteri ispettivi del garante Al fine di dare concreta attuazione al diritto alla protezione dei dati personali, la legge ha dotato il Garante di veri e propri poteri ispettivi, tramite i quali è possibile richiedere informazioni e documenti al titolare, ai responsabili ed incaricati del trattamento, agli interessati ed a terzi (art. 157 codice privacy), anche inviando personale per rilevare le informazioni e i documenti, acquisendole in loco. L'Autorità può, inoltre, accedere a banche dati e archivi ed effettuare ispezioni e verifiche nei luoghi in cui si svolge il trattamento o dove occorre effettuare rilevazioni comunque utili al controllo del rispetto della disciplina in materia di trattamento di dati personali (art.158 codice privacy). Nell'ambito degli accertamenti ispettivi, il personale del Garante riveste la qualifica di ufficiale o di agente di polizia giudiziaria

12 Attività generale di controllo del garante nel 2004: Centinaia di procedimenti di controllo di cui: 93 mediante accertamenti ispettivi in loco 7 mediante accessi a banche dati autorizzati dal Presidente del Tribunale. Le attività ispettive sono state avviate sulla base di: - accertamenti d ufficio (43%); - accertamenti conseguenti a segnalazioni pervenute all Ufficio (38%); - autonomi accertamenti a seguito di ricorsi presentati al Garante (19%). Fonte: relazione Garante 2004

13 Oggetto dei controlli del Garante: Gli accertamenti eseguiti hanno riguardato in prevalenza verifiche concernenti: -l accertamento dell origine dei dati oggetto di trattamento -le modalità di acquisizione del consenso, in molti casi connesse ad attività effettuate sulla rete Internet mediante l invio di sollecitazioni commerciali non richieste via ; -il rispetto delle disposizioni di legge in relazione al trattamento di dati mediante sistemi di videosorveglianza; -il rispetto dell obbligo di notificazione al Garante; -le misure di sicurezza.

14 Risultati ispezioni le ispezioni hanno in generale consentito di rilevare che: nel settore privato: le aziende più grandi iniziano ad adottare la legge anche attraverso la costituzione di unità organizzative con deleghe specifiche, veri e propri "uffici privacy", le aziende medio-piccole evidenziano a volte un livello inferiore di adeguamento alla normativa e agli indirizzi del Garante. Non sempre, però, c'è perfetta corrispondenza tra osservanza formale delle disposizioni e reale e diffusa "cultura" del trattamento di dati secondo i principi stabiliti dal Codice. nel settore pubblico: la cultura della protezione dei dati personali stenta ad affermarsi compiutamente

15 Probabilità controlli ed ispezioni: Finora le ispezioni e i controlli del Garante riguardo l accertamento di violazioni in materia di privacy sono stati limitati. A fine novembre 2005 è stato firmato il nuovo protocollo d'intesa tra la Guardia di Finanza e il Garante Tale protocollo prevede che la Guardia di finanza (in particolare con l operatività del Nucleo Speciale funzione pubblica e privacy ) collabori alle attività ispettive del Garante, in particolare attraverso: - la partecipazione di proprio personale agli accessi alle banche dati, ispezioni, verifiche e alle altre rilevazioni nei luoghi ove si svolge il trattamento; - lo sviluppo di attività delegate o sub-delegate per l accertamento delle violazioni di natura penale e amministrativa;

16 Alcune indicazioni operative per gestire le verifiche sugli adempimenti privacy Controlli mirati (non qualunque adempimento privacy genericamente previsto) Comportamenti seguiti durante ispezioni adempimenti privacy simili a quelli seguiti per le accessi e ispezioni tributarie In particolare: - Verbalizzazione attività svolte -Possibilità assistenza soggetti indicati dal titolare o dal responsabile (collaboratori interni, consulenti o legali)

17 piano delle ispezioni Garante per il primo semestre 2006 Gli accertamenti ispettivi punteranno in particolare alla verifica del rispetto delle normativa privacy da parte: di quanti trattano dati personali per la fornitura di beni e servizi mediante varie forme di vendita a distanza e da parte dei siti web. di società farmaceutiche di banche o finanziarie (relativamente alle segnalazioni nei sistemi di informazioni creditizie)

18 Ravvedimento operoso in caso di mancata adozione delle misure minime di sicurezza All autore del reato al momento dell accertamento con atto successivo del Garante, nei casi complessi Viene impartita una prescrizione che fissa un termine per la regolarizzazione non eccedente il tempo tecnicamente necessario alla regolarizzazione eventualmente prorogabile per particolare complessità od oggettiva difficoltà in ogni caso non superiore a sei mesi Nei 60gg. successivi alla scadenza del termine originario o prorogato, se le misure sono state adottate, il Garante ammette l autore del reato al pagamento di un ammenda pari al 25% del massimo previsto per la contravvenzione

19 Riepilogo principali scadenze previste dal dlgs 196/2003 Decorrenza/termine Dal 1 gennaio 2004 prima dell'inizio del trattamento (manuale o automatizzato) 31 marzo marzo di ogni anno Adempimento Entrata in vigore del codice della privacy Notificazione (se si rientra in una delle ipotesi previste dall'art. 37 del Codice privacy) Adozione delle nuove misure minime di sicurezza che non erano previste dal d.p.r. n. 318/1999 Aggiornamento del documento programmatico sulla sicurezza (dps) Riferimento normativo Art 186 Art. 37, Art. 38 e Art. 181 Art.180 Punto 19 allegato B

20 Grazie per l attenzione Giuseppe Mantese g.mantese@onlineconsulenza.com