PRIVACY. Riassunto delle novità degli ultimi anni e scadenze imminenti

Transcript

1 PRIVACY Riassunto delle novità degli ultimi anni e scadenze imminenti DPS o autocertificazione Come consueto l avvicinarsi della scadenza del 31/03 impone ai professionisti ed alle imprese una attenta analisi delle disposizioni in tema di trattamento dei dati del cosiddetto Codice della Privacy (D.Lgs. n.196/03). Ricordo che l articolo 31 del D.Lgs n.196/03 stabilisce che i dati personali trattati devono essere custoditi in modo da ridurre al minimo i rischi di distruzione o perdita e/o trattamenti non consentiti. Qualora vengano trattati dati sensibili o bisogna adottare una serie di misure minime di sicurezza, di cui al disciplinare tecnico e redigere annualmente entro il 31 marzo il DPS Documento Programmatico sulla sicurezza dei dati. Gli obblighi principali da rispettare per la maggior parte degli addetti sono i seguenti: 1) Consegna dell informativa ai clienti, fornitori, dipendenti e terzi; 2) Nomina del responsabile del trattamento dei dati; 3) Nomina degli incaricati ed assegnazione dei compiti; 4) Adozione, se necessario, delle misure minime di sicurezza, che riducano al massimo i rischi di perdita, furto, danneggiamento, manomissione dei dati trattati. Pertanto, per ciò che attiene l imminente scadenza di marzo relativa alla redazione del DPS, la prima verifica da porre in essere è verificare se si trattato dati sensibili e/o con sistemi elettronici. In caso negativo non scatta automaticamente l obbligo di redigere il DPS. Inoltre è bene ricordare che nel 2008 sono state previste dal Garante una serie di semplificazioni, volte a diminuire le incombenze burocratiche e gestionali a carico delle piccole imprese, artigiani e liberi professionisti. In pratica detti soggetti sono esonerati dall obbligo di redazione del Documento Programmatico sulla Sicurezza, qualora gli unici dati sensibili trattati siano relativi al rapporto di lavoro con i propri dipendenti e collaboratori (malattie, stato di salute, appartenenza ad organizzazioni sindacali) e che le diagnosi dei medici non siano indicate. Riepilogando è possibile non redigere il DPS quando: 1) Vengono trattati solo dati non sensibili ne ; 2) Gli unici dati sensibili o trattati sono relativi ai lavoratori dipendenti e collaboratori a progetto (stato di salute o malattia senza la relativa diagnosi del medico, adesione ad organizzazioni sindacali).

2 Coloro che optano per la non redazione del documento programmatico devono rilasciare una autocertificazione (di cui all art.47 del T.U. di cui al DPR n.445/00), come quella di seguito allegata. AUTOCERTIFICAZIONE SOSTITUTIVA DPS Obbligo di cui alla lett.g) del co.1 e al punto 19 dell'allegato B Ai sensi degli artt.34 co.1-bis D.Lgs. n.196/03 e 47 DPR n.445/00 Il sottoscritto., nato a.., in data.., C.F...., in qualità di Legale rappresentante società. con sede in.., C.F... P. Iva, consapevole che il rilascio di false dichiarazioni ad un pubblico ufficiale o la presentazione di false documentazioni sono punibili a termine degli artt. 495 e 496 del Codice penale, DICHIARA Ai sensi dell art.34, co.1-bis del D.Lgs. n.196/03 di effettuare il trattamento di dati personali non sensibili; che gli unici dati sensibili trattati sono quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale; che i dati di cui sopra sono trattati in osservanza delle misure di sicurezza prescritte dal D.Lgs. n.196/03 e dall Allegato B) allo stesso., lì Il Titolare del trattamento. Per tutti gli altri, ovvero chi si trova a dover supportare aziende, studi medici ed enti strutturati che trattano dati sensibili e con strumenti elettronici, gli obblighi in materia di misure minime di sicurezza sono stati ridotti drasticamente. Riepiloghiamo le misure minime di sicurezza per chi utilizza strumenti elettronici: a) possono utilizzare per l'accesso ai sistemi informatici un qualsiasi sistema di autenticazione basato su un username e una password; lo username deve essere disattivato quando viene meno il diritto di accesso ai dati (es. non si opera più all'interno dell'organizzazione); b) devono aggiornare i programmi di sicurezza (antivirus); c) possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente; d) in caso di assenze prolungate o di impedimenti del dipendente possono mettere in atto procedure o modalità che consentano comunque l'operatività e la sicurezza del sistema ( ad es. l'invio automatico delle mail ad un altro recapito accessibile); e) devono effettuare backup dei dati almeno una volta al mese; f) DPS (documento programmatico sulla sicurezza) entro il di ogni anno a meno che non ci si trovi nei casi ove è possibile produrre una autocertificazione; g) informativa da inserire nel bilancio di esercizio delle società di capitali dove si informa che l azienda ha aggiornato il DPS.

3 Riepiloghiamo le misure minime di sicurezza per chi utilizza strumenti diversi da quelli elettronici: 1. identificazione dei soggetti che accedono agli archivi dopo l orario di lavoro; 2. custodia dei dati; 3. identificazione degli incaricati e distribuzione dei compiti ai medesimi Anche i predetti soggetti (come quelli che predispongono l autocertificazione) sono esonerati dalla nomina dell Amministratore di sistema. A differenza del DPS ordinario, l aggiornamento di quello semplificato è richiesto solo in presenza di modifiche. Pertanto in caso non siano intervenute variazioni da un anno all altro, è opportuno redigere una breve dichiarazione dove si esplichi che nulla è variato rispetto al periodo precedente e quindi si conferma il DPS già redatto. Come già indicato in precedenti circolari a mio avviso le semplificazioni intervenute, pur limitando al minimo gli obblighi relativi agli adempimenti in materia di privacy per i nostri clienti, non esulano dalla redazione del DPS per la maggior parte dei consulenti tributari. Infatti i medesimi trattano numerosi dati sensibili ed a volte anche. Basti pensare alle spese mediche raccolte per la dichiarazione dei redditi, con allegate spesso, ricette, diagnosi, ecc Inoltre sovente vengono trattati documenti relativi a portatori di handicap, alla adesione a partiti o sindacati. Detti documenti poi il più delle volte non sono riferiti solo ai clienti dei nostri studi, bensì anche ai propri familiari e pertanto è obbligo gestire le informazioni ricevute con estrema prudenza onde garantirne al massimo la sicurezza. Scadenza del 31/03/2010 Ricordo ai colleghi che la revisione del DPS e la formazione eventuale degli incaricati, per chi è obbligato, va monitorata ed aggiornata minimo una volta all anno entro il 31/03. Informazione nel bilancio di esercizio Rammento anche di indicare nella nota integrativa dei prossimi bilanci di esercizio o, per chi ne è prescritto l obbligo, nella relazione sulla gestione una dicitura analoga a quella che segue: DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Come previsto dal D.Lgs 196/2003, cosiddetto testo unico della Privacy, l azienda ha già provveduto a redigere ed aggiornare il documento programmatico per la sicurezza dei dati trattati, nonché alla nomina degli incaricati e dei responsabili. Nella documentazione presente in azienda sono individuati i possibili rischi, la politica di sicurezza adottata e le migliorie da attuare, per garantire la tutela delle informazioni trattate.

4 Novità in tema di Videosorveglianza: sistemi integrati e telecamere intelligenti a prova di privacy Il Garante ha fissato lo scorso anno 2010 le nuove regole per l'uso dei sistemi di videosorveglianza Sistemi integrati di videosorveglianza solo nel rispetto di specifiche garanzie per la libertà delle persone. Appositi cartelli per segnalare la presenza di telecamere collegate con le sale operative delle forze di polizia. Obbligo di sottoporre alla verifica del Garante privacy, prima della loro attivazione, i sistemi che presentino rischi per i diritti e le libertà fondamentali delle persone, come i sistemi tecnologicamente avanzati o "intelligenti". Conservazione a tempo delle immagini registrate. Rigorose misure di sicurezza a protezione delle immagini e contro accessi non autorizzati. L'Autorità Garante per la protezione dei dati personali ha varato le nuove regole alle quali soggetti pubblici e privati dovranno conformarsi per installare telecamere e sistemi di videosorveglianza. Il periodo per adeguarsi è stato fissato, a seconda degli adempimenti, da un minimo di sei mesi ad un massimo di un anno. Il provvedimento generale, che sostituisce quello del 2004 e introduce importanti novità, si è reso necessario non solo alla luce dell'aumento massiccio di sistemi di videosorveglianza per diverse finalità (prevenzione, accertamento e repressione dei reati, sicurezza pubblica, tutela della proprietà privata, controllo stradale, etc.), ma anche in considerazione dei numerosi interventi legislativi adottati in materia: tra questi, quelli più recenti che hanno attribuito ai sindaci e ai comuni specifiche competenze in materia di incolumità pubblica e di sicurezza urbana, così come le norme, anche regionali, che hanno incentivato l'uso di telecamere. Ecco in sintesi le regole fissate dal Garante. Principi generali Informativa: i cittadini che transitano nelle aree sorvegliate devono essere informati con cartelli della presenza delle telecamere, i cartelli devono essere resi visibili anche quando il sistema di videosorveglianza è attivo in orario notturno. Nel caso in cui i sistemi di videosorveglianza installati da soggetti pubblici e privati (esercizi commerciali, banche, aziende etc.) siano collegati alle forze di polizia è necessario apporre uno specifico cartello (allegato), sulla base del modello elaborato dal Garante. Le telecamere installate a fini di tutela dell'ordine e della sicurezza pubblica non devono essere segnalate, ma il Garante auspica comunque l'utilizzo di cartelli che informino i cittadini. Conservazione: le immagini registrate possono essere conservate per periodo limitato e fino ad un massimo di 24 ore, fatte salve speciali esigenze di ulteriore conservazione in relazione a indagini. Per attività particolarmente rischiose (es. banche) è ammesso un tempo più ampio, che non può superare comunque la settimana. Eventuali esigenze di allungamento dovranno essere sottoposte a verifica preliminare del Garante. Settori di particolare interesse Sicurezza urbana: i Comuni che installano telecamere per fini di sicurezza urbana hanno l'obbligo di mettere cartelli che ne segnalino la presenza, salvo che le attività di videosorveglianza siano riconducibili a quelle di tutela specifica della sicurezza pubblica, prevenzione, accertamento o repressione dei reati. La conservazione dei dati non può superare i 7 giorni, fatte salve speciali esigenze.

5 Sistemi integrati: per i sistemi che collegano telecamere tra soggetti diversi, sia pubblici che privati, o che consentono la fornitura di servizi di videosorveglianza "in remoto" da parte di società specializzate (es. società di vigilanza, Internet providers) mediante collegamento telematico ad un unico centro, sono obbligatorie specifiche misure di sicurezza (es. contro accessi abusivi alle immagini). Per alcuni sistemi è comunque necessaria la verifica preliminare del Garante. Sistemi intelligenti: per i sistemi di videosorveglianza "intelligenti" dotati di software che permettono l'associazione di immagini a dati biometrici (es. "riconoscimento facciale") o in grado, ad esempio, di riprendere e registrare automaticamente comportamenti o eventi anomali e segnalarli (es. "motion detection") è obbligatoria la verifica preliminare del Garante. Violazioni al codice della strada: obbligatori i cartelli che segnalino i sistemi elettronici di rilevamento delle infrazioni. Le telecamere devono riprendere solo la targa del veicolo (non quindi conducente, passeggeri, eventuali pedoni). Le fotografie o i video che attestano l'infrazione non devono essere inviati al domicilio dell'intestatario del veicolo. Deposito rifiuti: lecito l'utilizzo di telecamere per controllare discariche di sostanze pericolose ed "eco piazzole" per monitorare modalità del loro uso, tipologia dei rifiuti scaricati e orario di deposito. Settori specifici Luoghi di lavoro: le telecamere possono essere installate solo nel rispetto dello norme in materia di lavoro. Vietato comunque il controllo a distanza dei lavoratori, sia all'interno degli edifici, sia in altri luoghi di prestazione del lavoro (es. cantieri, veicoli). Ospedali e luoghi di cura: no alla diffusione di immagini di persone malate mediante monitor quando questi sono collocati in locali accessibili al pubblico. E' ammesso, nei casi indispensabili, il monitoraggio da parte del personale sanitario dei pazienti ricoverati in particolari reparti (es.rianimazione), ma l'accesso alle immagini deve essere consentito solo al personale autorizzato e ai familiari dei ricoverati. Istituti scolastici: ammessa l'installazione di sistemi di videosorveglianza per la tutela contro gli atti vandalici, con riprese delimitate alle sole aree interessate e solo negli orari di chiusura. Taxi: le telecamere non devono riprendere in modo stabile la postazione di guida e la loro presenza deve essere segnalata con appositi contrassegni. Trasporto pubblico: lecita l'installazione su mezzi di trasporto pubblico e presso le fermate, ma rispettando limiti precisi (es.angolo visuale circoscritto, riprese senza l'uso di zoom). Webcam a scopo turistico: la ripresa delle immagini deve avvenire con modalità che non rendano identificabili le persone. Soggetti privati. Tutela delle persone e della proprietà: contro possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, prevenzione incendi, sicurezza del lavoro ecc. si possono installare telecamere senza il consenso dei soggetti ripresi, ma sulla base delle prescrizioni indicate dal Garante. Segnaletica proposta dal Garante

6 Se le immagini non sono registrate, sostituire il termine "registrazione" con quello di "rilevazione". Se le immagini non sono registrate, sostituire il termine "registrazione" con quello di "rilevazione".

7 Misura da verificare Periodicità dei i principali adempimenti in materia di sicurezza Trattamento con l ausilio di strumenti informatici Descrizione della misura Tipologia dei dati Cadenza delle operazioni per legge Credenziali di autenticazione Disattivazione in caso di mancato utilizzo per più di sei mesi Codice di identificazione Una volta assegnato no può essere Sempre consegnato ad altri Parola chiave Password di Trattamento dati personali, deve essere Dati Comuni BIOS modificata ogni Parola chiave Password di Trattamento dati personali, deve essere Dati Comuni Dominio modificata ogni Parola chiave Password di Trattamento dati personali, deve essere Dati Comuni Programma modificata ogni Parola chiave Password Trattamento di dati sensibili, deve essere 3 mesi Dati Sensibili modificata ogni 3 mesi Profili di autorizzazione Individuati per singolo incaricato o classi omogenee Profili di autorizzazione Verificare se sussistono le condizioni per 1 anno conservare i profili di autorizzazione Lista degli incaricati Può essere redatta anche per classi 1 anno autorizzati omogenee di incarico Antivirus Efficacia ed aggiornamento sono verificati almeno ogni sei mesi Patch/ programmi update Programmi volti a correggere errori ed a 1 anno Dati comuni prevenire la vulnerabilità dei PC Patch/ programmi update Programmi volti a correggere errori ed a Dati sensibili e prevenire la vulnerabilità dei PC Backup Salvataggio dati ogni settimana Dati comuni 7 giorni DPS Documento programmatico sicurezza. Dati sensibili e 1 anno entro il Redazione ed aggiornamento. 31/03/xx Sistemi antintrusione Protezione contro intrusioni in caso di Dati sensibili e dati sensibili Custodia dei supporti Istruzioni tecniche ed organizzative per la Dati sensibili e rimovibili di memorizzazione loro custodia Riutilizzo dei supporti di Se non utilizzati devono essere distrutti o Dati sensibili e memorizzazione resi inutilizzabili. Verificare Formazione Percorso formativo per il personale 1 anno Dicitura da indicare nel Informativa contenuta nel Bilancio, in Entro la bilancio merito all avvenuto adempimento delle presentazione del Preventivamente prima di istallare sistemi di Videosorveglianza Preventivamente alla costruzione di siti internet disposizioni previste dal D.Lgs. n.196/03 Redazione di apposito Documento sulle modalità di effettuazione dell attività di videosorveglianza Predisposizione di apposita informativa da inserire sul sito. bilancio

8 Trattamento senza l ausilio di strumenti informatici Misura da verificare Descrizione della misura Tipologia dei dati Istruzioni scritte Profili di autorizzazione Procedura di controllo e custodia Accesso controllato agli archivi Autorizzazione preventiva all accesso Prima di un colloquio con un potenziale dipendente All atto dell assunzione di un dipendente Autorizzazione preventiva all accesso Preventivamente all atto della conoscenza di un potenziale cliente o fornitore Istruzioni finalizzate al controllo e custodia dei documenti e atti Individuati nell ambito del trattamento consentito ad ogni singolo incaricato o classi omogenee Procedura al fine di non consentire l accesso a persone prive di autorizzazione Identificazione e registrazione della persone ammesse all accesso dopo l orario di chiusura degli archivi Autorizzazione preventiva delle persone che possono avere accesso agli archivi, qualora non vi siano strumenti elettronici o incaricati alla vigilanza Compilazione a cura del potenziale Dipendente dell Informativa per Domanda di Lavoro. Consegna della Lettera di nomina al ruolo di Incaricato / Responsabile. Consegna delle Istruzioni per la custodia della password. Autorizzazione preventiva delle persone che possono avere accesso agli archivi, qualora non vi siano strumenti elettronici o incaricati alla vigilanza Consegna del modulo Informativa a Clienti e Fornitori e ottenimento della stessa, possibilmente controfirmata Dati sensibili e Dati sensibili e Dati sensibili e Cadenza delle operazioni per legge 1 anno Paolo Principi