Il Testo Unico sulla Privacy

Transcript

1 Il Testo Unico sulla Privacy 1

2 Il testo unico sulla privacy D. Lgs. 196/03 Il Codice in materia di protezione dei dati personali, a far data dal 1 gennaio 2004 sostituisce, integra ed accorpa tutte le precedenti normative in materia (in particolare sostituisce la Legge 675/96). Il Codice contiene le definizioni e i principi di riferimento. Le misure pratiche per adempiere ai principi sono contenute negli allegati. 2

3 Il testo unico sulla privacy Il primo articolo del Codice chiarisce cosa si intende per privacy: chiunque ha diritto alla protezione dei dati personali che lo riguardano. L art. 2 precisa invece che la finalità del T.U.P. è quella di garantire che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato, con particolare riferimento alla riservatezza, all identità personale e al diritto alla protezione dei dati personali. 3

4 Il testo unico sulla privacy Pertanto la normativa in materia di protezione dei dati personali non vieta alcun trattamento di dati, ma impone a chi tratta dati di soggetti terzi l adozione di determinate procedure e di particolari adempimenti. L obiettivo è di evitare che il trattamento avvenga contro la volontà dell interessato, ovvero secondo modalità pregiudizievoli. Il Codice, in pratica, definisce la modalità di raccolta dei dati, gli obblighi di chi li raccoglie, li detiene o li tratta, nonché le responsabilità e le sanzioni in caso di danni. 4

5 Il nuovo concetto di riservatezza L attuale normativa introduce il principio di necessità nel trattamento dei dati; l art. 3, infatti, stabilisce che: i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escludere il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. 5

6 Il nuovo concetto di riservatezza Oltre al principio di necessità nel trattamento dei dati, l attuale normativa conferisce agli interessati la facoltà di controllare, in modo attivo e diretto, il flusso delle proprie informazioni personali, riconoscendo a colui che conferisce i propri dati ad altri il diritto di essere informato sulle finalità e sulle modalità inerenti al trattamento di questi stessi dati. Il Codice individua i soggetti interessati al trattamento di dati personali, stabilisce gli adempimenti e le misure di sicurezza, e prevede sanzioni per chi non li osserva. 6

7 Definizioni Trattamento dei dati: qualunque operazione effettuata anche senza ausilio di strumenti elettronici, concernente la raccolta, la registrazione, l organizzazione, la conservazione, la consultazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione. 7

8 Definizioni Dati personali: sono tutte le informazioni relative a soggetti persone fisiche e persone giuridiche, identificati o identificabili. Dati sensibili: sono i dati personali che devono essere maggiormente tutelati, idonei a rivelare origini razziali o etniche, adesioni a partiti o sindacati, ad organizzazioni a carattere religioso o politico, nonché dati personali idonei a rilevare lo stato di salute e la vita sessuale del singolo. Dati anonimi: qualsiasi informazione non riconducibile ad un soggetto giuridico. 8

9 I soggetti della normativa Titolare del trattamento Responsabile Incaricati del trattamento Interessato Garante 9

10 Il titolare del trattamento È la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità e alle modalità del trattamento di dati personali nonché agli strumenti utilizzati, ivi compreso il profilo della sicurezza. È pertanto il soggetto che prende le decisioni in ordine al trattamento, ne stabilisce gli obiettivi e le modalità, e sceglie i sistemi di protezione dei dati. 10

11 Il titolare del trattamento Quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è l entità nel suo complesso o l unità o l organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza (art. 28). 11

12 Il titolare del trattamento Il titolare del trattamento è pertanto colui a cui competono le decisioni sulle finalità, sulle modalità di effettuazione del trattamento di dati personali, sugli strumenti utilizzati per le varie operazioni, sulle misure di sicurezza adottate per la protezione dei dati. Il titolare è tenuto ad effettuare, con periodicità, delle verifiche sul rispetto delle norme della Privacy da parte dell eventuale responsabile. 12

13 Il responsabile È la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposto dal titolare al trattamento di dati personali. È una figura facoltativa, che ha il compito di assistere il titolare negli adempimenti concernenti la normativa sulla Privacy. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare. 13

14 Gli incaricati Sono le persone fisiche autorizzate, dal titolare o dal responsabile, a compiere operazioni di trattamento. Possono essere designati quali incaricati del trattamento solo ed esclusivamente le persone fisiche. 14

15 Gli incaricati Si occupano di raccogliere i dati, di elaborarli mediante procedure informatiche o manuali, di archiviarli, di comunicarli e di diffonderli, attenendosi alle istruzioni impartite; la loro conoscenza dei dati trattati non costituisce comunicazione. La loro designazione è effettuata per iscritto dal titolare o dall eventuale responsabile ed operano sotto la loro diretta autorità. 15

16 L interessato È la persona fisica o giuridica, l ente o l associazione cui si riferiscono i dati personali. Oltre alla persona fisica, anche quella giuridica può quindi assumere la qualifica di interessato e conseguentemente essere titolare dei diritti e delle tutele previste dal Codice della Privacy. 16

17 Il garante della privacy Il Garante per la protezione dei dati personali è un autorità indipendente istituita dalla Legge 675 del 31/12/1996 per assicurare la tutela dei diritti e delle libertà fondamentali ed il rispetto della dignità nel trattamento dei dati personali. È un organo collegiale, composto da quattro membri eletti dal Parlamento (due dalla Camera e due dal Senato), i quali rimangono in carica per quattro anni e non possono essere riconfermati per più di una volta. 17

18 I diritti dell interessato L interessato ha diritto di ottenere dal titolare o dal responsabile la conferma dell esistenza o meno di dati personali che lo riguardano, e la loro comunicazione in forma intelligibile. (segue ) 18

19 I diritti dell interessato Ha inoltre il diritto di ottenere l indicazione: dell origine dei dati personali; delle finalità e modalità del trattamento; degli estremi identificativi del titolare e dei responsabili del trattamento; dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza. (segue ) 19

20 I diritti dell interessato L interessato ha inoltre il diritto di ottenere: l aggiornamento, la rettificazione o l integrazione dei dati; la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati. (segue ) 20

21 I diritti dell interessato L interessato ha diritto di opporsi: per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; al trattamento di dati personali che lo riguardano ai fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. (segue ) 21

22 I diritti dell interessato Per l'esercizio dei suoi diritti l'interessato non deve usare formalità particolari, ma può fare per iscritto una semplice richiesta rivolta al titolare o al responsabile. 22

23 Regole per il trattamento dei dati personali I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o trattati; e) conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali sono stati raccolti o trattati. 23

24 Gli adempimenti previsti dalla normativa La normativa sulla Privacy impone a chi tratta dati di soggetti terzi di adottare determinate procedure e di provvedere ad alcuni fondamentali adempimenti. I due principali adempimenti che competono al titolare di dati personali sono: l informativa; il consenso. 24

25 L informativa L art. 13 del Codice prescrive che l interessato deve essere previamente informato, oralmente o per iscritto, circa: a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere; (segue ) 25

26 L informativa d) i soggetti o le categorie di soggetti che potranno venire a conoscenza dei dati, e l ambito di diffusione dei dati medesimi; e) i diritti di accesso ai dati spettanti all interessato; f) gli estremi identificativi del titolare e dell eventuale responsabile. (segue ) 26

27 L informativa Pertanto l'informativa deve essere preventiva rispetto al trattamento dei dati in modo da consentire all interessato di poter scegliere con consapevolezza se prestare o meno il suo consenso al trattamento. La legge non prevede formule standard da usare per la stesura dell'informativa: importante è che si comunichi all'interessato, in modo chiaro e completo, il tipo di trattamento che si intende effettuare con i dati in proprio possesso. 27

28 Danni cagionati per effetto del trattamento L art. 15 del Codice recita Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art del Codice Civile. L art del Codice Civile dispone che chiunque cagiona danno ad altri nello svolgimento di un attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno. 28

29 Danni cagionati per effetto del trattamento Il trattamento di dati personali effettuato in violazione alla normativa rappresenta un fatto illecito e obbliga il titolare al risarcimento del danno ove non dimostri di aver adottato tutte le misure idonee ad evitare il danno. Il riferimento all art del Codice Civile introduce il meccanismo di inversione dell onere della prova, tipico della forma di responsabilità per attività pericolose. 29

30 Il consenso Il trattamento di dati personali è ammesso solo con il consenso espresso dell interessato, che è l atto con cui il titolare viene autorizzato al trattamento stesso con le modalità e per i fini indicati nell informativa. Il terzo comma dell art. 23 sancisce che il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se sono state rese all interessato le informazioni di cui all art. 13. Il consenso è manifestato in forma scritta quando il trattamento riguarda dati sensibili (art. 23, n. 4). (segue ) 30

31 Il consenso La regola del consenso preventivo, informato e libero funziona pertanto da limite alla libera appropriabilità dei dati da parte di terzi. La validità del consenso è condizionata alla previa informativa e, solo nei casi di trattamento di dati sensibili, anche alla forma scritta. Il consenso si dice obbligatorio quando riguarda il trattamento di dati indispensabili alla formazione o alla conclusione di un contratto. Si dice invece facoltativo o commerciale quel consenso richiesto per trattamenti ulteriori, finalizzati alla promozione o allo sviluppo dell attività del titolare. (segue ) 31

32 Il consenso L'informativa deve evidenziare quali informazioni devono essere fornite obbligatoriamente (ad esempio i dati necessari per la fatturazione di un servizio) e quali facoltativamente, ossia informazioni che possono essere richieste per fornire un servizio aggiuntivo o più veloce all'interessato. Il titolare del trattamento deve evidenziare nell'informativa quali sono le conseguenze di un eventuale rifiuto al trattamento dei dati. 32

33 Garanzie per i dati sensibili (art. 26) 1. I dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell interessato e previa autorizzazione del Garante, nell osservanza dei presupposti e dei limiti stabiliti dalla legge. 2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro 45 giorni, decorsi i quali la mancata pronuncia equivale a rigetto. (segue ) 33

34 Garanzie per i dati sensibili (art. 26) 3. L autorizzazione specifica non è richiesta in caso di emanazione da parte del Garante di una autorizzazione generale così come è contemplato in una serie di casi illustrati successivamente. 34

35 Adempimenti: la notifica del garante Una delle principali semplificazioni introdotte dal TUP riguarda la notificazione al Garante. La notifica è l'atto con cui l'impresa, il professionista o la pubblica amministrazione segnala al Garante i trattamenti di dati che si intendono effettuare. Con la legge 675/1996, e le successive modificazioni, dovevano effettuare la notifica tutti i soggetti non esplicitamente esentati. Con il nuovo Codice l'impostazione è rovesciata e si indicano solo i pochi casi nei quali la notifica va effettuata solo in caso di particolari dati sensibili. 35

36 Le autorizzazioni generali del garante Sono provvedimenti adottati dal Garante con cui il Titolare (ente, azienda, professionista) viene autorizzato a trattare determinati dati sensibili o giudiziari; in tale ambito, il Garante ha emanato sette autorizzazioni generali che consentono a varie categorie di titolari di trattare dati per gli scopi specificati senza dover chiedere singolarmente un apposita autorizzazione al Garante. 36

37 Le autorizzazioni generali del garante Le autorizzazioni generali sono state emesse il 21 dicembre 2005 e pubblicate in G.U. il 3/1/2006: 1.trattamento dei dati sensibili nei rapporti di lavoro. 2.Trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale. 3.Trattamento dei dati sensibili da parte degli organismi di tipo associativo e delle fondazioni. 4.Trattamento dei dati sensibili da parte dei liberi professionisti. (segue ) 37

38 Le autorizzazioni generali del garante 5.Trattamento dei dati sensibili da parte di diverse categorie di titolari (attività bancarie, creditizie, assicurativa, di gestione di fondi, del settore turistico, del trasporto ed altre attività autorizzate, come l elaborazione dei dati, di selezione del personale e di mediazione a fini matrimoniali). 6.Trattamento dei dati sensibili da parte degli investigatori privati. 7.Trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di soggetti pubblici. 38

39 Misure di sicurezza - Obblighi I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31). 39

40 Misure di sicurezza Nel quadro dei più generali obblighi di sicurezza di cui all art. 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime di sicurezza individuate nel disciplinare tecnico descritto nell allegato B del Codice, volte ad assicurare un livello minimo di protezione dei dati. In tale disciplinare si evidenziano due casistiche fondamentali, a seconda che il trattamento sia effettuato: con l ausilio di strumenti elettronici; con l ausilio di strumenti diversi da quelli elettronici. 40

41 Trattamento con strumenti elettronici Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate le seguenti misure minime di sicurezza: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati e ad accessi non consentiti; (segue ) 41

42 Trattamento con strumenti elettronici f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. 42

43 Trattamento con strumenti elettronici Il titolare deve provvedere ad impartire istruzioni scritte agli incaricati, indicando in modo specifico: le necessarie cautele per assicurare la segretezza della password e la diligente custodia dei dispositivi in loro possesso ed uso. Il dovere di non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento. (segue ) 43

44 Trattamento con strumenti elettronici L obbligo del salvataggio dei dati con frequenza almeno settimanale, mediante specifiche istruzioni organizzative e tecniche. Le modalità da adottare per la custodia e l uso dei supporti magnetici su cui sono memorizzati i dati salvati al fine di evitare accessi e trattamenti non autorizzati. 44

45 Trattamento con strumenti elettronici Nell ambito delle modalità tecniche da adottare a cura del titolare, in caso di trattamento con strumenti elettronici, è inoltre stabilito che: i dati personali sono protetti contro il rischio di intrusione e dell azione di programmi diretti a danneggiare o interrompere un sistema informatico, mediante l attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale; (segue ) 45

46 Trattamento con strumenti elettronici Gli aggiornamenti periodici dei programmi per elaborare volti a prevenire la vulnerabilità di strumenti elettronici e a correggere difetti sono effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l aggiornamento è almeno semestrale. 46

47 Il documento programmatico sulla sicurezza (DPS) L art. 34 del Codice impone al Titolare di tenere un aggiornato Documento Programmatico sulla Sicurezza, che è un resoconto delle misure di sicurezza adottate. La sua compilazione è obbligatoria nei casi di trattamento di qualsiasi tipo di dati effettuato con strumenti elettronici. Il DPS deve essere aggiornato ogni volta in cui variano le misure di sicurezza adottate e, comunque, entro il 31 marzo di ogni anno. 47

48 Trattamento con strumenti elettronici Il trattamento di dati personali effettuato senza l ausilio di strumenti elettronici è consentito solo se sono adottate le seguenti misure minime di sicurezza: a) aggiornamento periodico dell individuazione dell ambito dei trattamenti consentiti agli incaricati; b) previsione di procedure per un idonea custodia di atti e documenti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato. 48

49 Trattamento con strumenti elettronici Il titolare deve provvedere ad impartire istruzioni scritte agli incaricati finalizzate al controllo ed alla custodia, per l intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. 49

50 La formazione Il Disciplinare tecnico in materia di misure minime di sicurezza prevede che il titolare effettui una previsione di interventi formativi degli incaricati del trattamento. 50

51 Abrogazione del DPS per chi tratta solo dati sensibili relativi alla salute dei dipendenti Il Decreto Legge 112/ "Disposizioni urgenti per lo sviluppo economico, la semplificazione, la competitività, la stabilizzazione della finanza pubblica e la perequazione tributaria" ha abrogato l obbligo della redazione del DPS per tutte le aziende che non trattano dati sensibili o che trattano solo dati sensibili inerenti salute e malattia dei propri dipendenti, senza indicazione della diagnosi. 51

52 Le sanzioni Il Testo Unico della Privacy prevede due diversi livelli di sanzioni nel caso di inosservanza delle norme ivi contenute: sanzioni amministrative; sanzioni penali. 52