LEGGE SULLA PRIVACY (D. Lgs. 196/2003)

Transcript

1 LEGGE SULLA PRIVACY (D. Lgs. 196/2003) Indicazioni pratiche per i Centri di Ascolto La legge sulla privacy intende disciplinare il trattamento dei dati personali, ovvero di tutte quelle operazioni di raccolta, registrazione, organizzazione, conservazione, elaborazione, utilizzo, comunicazione di informazioni che possono permettere l identificazione, diretta o indiretta, di persone fisiche o giuridiche, di enti, di associazioni. Se una persona si rivolge ad un Centro di Ascolto per chiedere un aiuto, un sostegno, l operatore/volontario che anche solo annota il nome e cognome della persona è soggetto agli obblighi previsti dalla legge. SOGGETTI COINVOLTI NEL TRATTAMENTO DEI DATI La legge individua alcune figure di riferimento per il trattamento dei dati: Il titolare: la persona fisica o giuridica, la pubblica amministrazione o qualsiasi altro ente, associazione o organismo cui competono le decisioni circa le finalità e le modalità del trattamento di dati personali, ivi compresa la sicurezza dei dati. Se il Centro di Ascolto è una emanazione della Caritas diocesana, il titolare è la Diocesi. Se il Centro di Ascolto è un servizio della Fondazione/Associazione il titolare è la Fondazione/Associazione. Non è necessaria quindi nessuna nomina per il titolare che è individuato direttamente dalla legge. Il responsabile: la persona fisica o giuridica, la pubblica amministrazione o qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. L incarico viene dato dal titolare per iscritto (vd modello n. 1) L'incaricato: colui che compie le operazioni del trattamento di dati personali, attenendosi alle istruzioni impartite dal titolare o dal responsabile. Sono gli operatori/volontari che seguono gli ospiti dei Centri di Ascolto. L autorizzazione viene data dal titolare o dal responsabile per iscritto (vd modello n. 2). Inoltre devono essere redatti dei mansionari che precisino i compiti assegnati agli incaricati. L interessato: la persona fisica, giuridica, l ente o l associazione cui si riferiscono i dati personali. LA NOTIFICAZIONE PREVENTIVA AL GARANTE Una volta individuate le figure di riferimento è necessario procedere alla NOTIFICAZIONE al Garante Chi notifica La notifica viene fatta dal titolare e deve precedere l'inizio del trattamento. Il titolare che abbia già iniziato un trattamento anteriormente al 1 gennaio 2004, indipendentemente dalla circostanza che lo abbia notificato in passato, doveva procedere alla nuova notificazione entro il 30 aprile

2 Chi esegue la notificazione secondo la nuova procedura deve dichiarare che effettua una "nuova notificazione", anche se in passato abbia già presentato una notificazione in base alla legge n. 675/1996. Ulteriori eventuali notificazioni costituiscono "modifiche del trattamento", Come si notifica Nuova notificazione La "nuova notificazione" va eseguita solo in via telematica, collegandosi al sito Internet cliccando su compilazione della notificazione e poi su nuova notificazione. Si compilano quindi i campi del modello. Non è più possibile utilizzare modelli cartacei o dischetti, né per la compilazione, né per l invio. Modalità di compilazione della notificazione Nella compilazione della notificazione i campi contrassegnati con un asterisco sono obbligatori: la loro mancata compilazione impedisce il completamento della procedura di notificazione. Il Garante invierà una , all'indirizzo indicato dal notificante, con la conferma del ricevimento della notificazione che attesta il buon esito della procedura. È possibile stampare copia della notificazione; tale copia cartacea, comunque, non deve essere trasmessa al Garante. Diritti di segreteria Ogni notificazione inviata al Garante (prima notificazione, modifica o cessazione del trattamento) deve essere accompagnata dal pagamento dei diritti di segreteria, il cui importo è fissato in euro 150,00. Il pagamento può avvenire on line mediante carta di credito su protocollo sicuro, o bonifico bancario, conto corrente postale, banco posta. Firma digitale Per perfezionare la notificazione è necessario sottoscriverla con firma digitale. Il titolare del trattamento deve recarsi quindi presso l ufficio postale più vicino che offra Servizi Business (tra cui l'apposizione di firma digitale) con il proprio ID temporaneo (che viene fornito durante la compilazione del modulo elettronico), di un documento di riconoscimento (ed eventualmente della ricevuta di versamento dei diritti di segreteria, ove non avesse già provveduto ad inserire gli estremi nell'apposito campo) e, avvalendosi della firma digitale dell intermediario, trasmettere in via telematica la notificazione. Completamento della notificazione e trasmissione al garante Eseguite le operazioni (inserimento dei dati, pagamento dei diritti di segreteria, apposizione della firma digitale e trasmissione in via telematica) e trasmessa la notificazione in via telematica, il Garante invierà con una contenente l indicazione di giorno, ora e minuto, un ID permanente (C.U.N.) da conservare a cura del notificante. Solo con l inserimento del C.U.N. il notificante potrà accedere, in tempi successivi, alla notificazione per modificarla o per provvedere alla notificazione della cessazione del trattamento. Modifiche della notificazione e cessazione del trattamento Per poter effettuare successive modifiche della notificazione oppure notificare la cessazione del trattamento è necessario indicare il C.U.N. attribuito in sede di "prima notificazione". Qualora si dovesse sospendere la notificazione, si dovrà usare, per il suo completamento, l'id temporaneo che di volta in volta verrà comunicato dal Garante. 2

3 Anomalie e regolarizzazioni Pervenuta la notificazione al Garante, viene effettuato un controllo sulla veridicità della firma digitale apposta e vengono segnalate al notificante eventuali anomalie; in tal caso il Garante invia un messaggio di richiesta di regolarizzazione/completamento assegnando un termine, decorso inutilmente il quale la notificazione viene eliminata dalla memoria del sistema informativo del Garante; di ciò è dato avviso al notificante. La sottoscrizione digitale che, verificata, non risulti conforme, invalida la notificazione. In caso di regolarizzazione, la data della notificazione è quella in cui la regolarizzazione stessa è memorizzata nel sistema informativo del Garante. Sanzioni Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ovvero indica in essa notizie incomplete, è punito con la sanzione amministrativa del pagamento di una somma da ,00 euro a ,00 euro e con la sanzione amministrativa accessoria della pubblicazione dell ordinanza-ingiunzione. Inoltre, chiunque, nella notificazione o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni. OBBLIGHI RELATIVI AL TRATTAMENTO DEI DATI PERSONALI Il Codice sulla Privacy prevede alcuni obblighi in merito al trattamento dei dati personali sia per quanto riguarda il rapporto con l interessato (informativa e consenso) sia per quanto riguarda le finalità e le modalità del trattamento (autorizzazioni e Documento programmatico). Informativa Innanzitutto il soggetto interessato deve essere informato preferibilmente per iscritto su: le finalità e le modalità del trattamento; l'obbligo o la facoltà di dare i propri dati; le conseguenze giuridiche del rifiuto a rispondere; i soggetti a cui i dati possono essere comunicati; l'ambito di diffusione dei dati personali; i diritti che spettano al soggetto interessato; chi è il titolare del trattamento, indicandone anche la sede, e chi è il responsabile del trattamento; se ci sono più responsabili, occorre indicare le modalità tramite cui reperire l elenco completo ed aggiornato di tutti i responsabili del trattamento. Il documento che contiene queste indicazioni è l informativa. Può essere necessario predisporre più informative a seconda del tipo di dati necessari e dell utilizzo che ne viene fatto. Ad es. per i dipendenti/collaboratori dell Associazione/fondazione può essere necessario predisporre un informativa specifica (modello n. 3). Altra informativa può essere predisposta per i volontari (modello n. 4) e per le persone che si rivolgono ai Centri di Ascolto (modello n. 5). Consenso Oltre all obbligo di informare l interessato, il Codice sulla Privacy prevede che il trattamento dei dati personali da parte di privati (quindi anche associazioni, fondazioni, Diocesi) sia ammesso solo con il consenso espresso dell interessato. 3

4 Distinguiamo tra i dati personali: dati sensibili dati personali idonei a rivelare l'origine razziale o etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale Sono dati sensibili quelli raccolti dai Centri di Ascolto relativamente a persone immigrate, rifugiate/richiedenti asilo, tossicodipendenti, vittime della tratta, che soffrono la malattia mentale. dati giudiziari dati personali idonei a rivelare i provvedimenti di cui all art 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 313/2002, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del c.p.p. Sono dati giudiziari quelli raccolti dai Centri di Ascolto che operano con persone detenute ed ex detenute, che hanno un servizio di consulenza legale Entrambe le categorie sono oggetto di una disciplina particolare: i dati sensibili possono essere oggetto di trattamento, in generale, solo con il consenso scritto dell interessato; previa autorizzazione del Garante. Quindi se una persona non firma la formula di consenso non è possibile svolgere il servizio di segretariato normalmente richiesto ai Centri di Ascolto. Il trattamento di dati giudiziari da parte di privati o di enti pubblici economici è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento; i tipi di dati trattati e di operazioni eseguibili. È consigliabile comunque farsi rilasciare sempre il consenso scritto da parte di quanti si rivolgono ai Centri di Ascolto. Ci sono casi in cui non è necessario il consenso dell interessato, come ad esempio - quando è necessario per adempiere un obbligo previsto dalla legge (vedi le comunicazioni alla Questura o al Sindaco ex art 7 T.U. immigrazione e cessione di fabbricato ex L 191/78 previste quando si ospitano persone straniere o italiane; - quando si tratta di dati contenuti in registri pubblici o in documenti conoscibili da chiunque (è il caso ad es. di persone inabilitate, interdette o con amministratore di sostegno); - quando il trattamento è effettuato da associazioni, enti, organismi senza scopo di lucro in riferimento a soggetti che hanno con essi contatti regolari per il perseguimento di scopi determinati e legittimi previsti dallo statuto e dall atto costitutivo con esclusione però della comunicazione all esterno e della diffusione dei dati (quando vengono annotati i nomi delle persone che frequentano ad es. la mensa, il dormitorio o altre strutture per prendere in considerazione le presenze a scopi statistici e in forma anonima); - quando il trattamento è necessario per la salvaguardia della vita o dell incolumità fisica di un terzo o, se la stessa finalità riguarda l interessato e questo non può prestare il suo consenso per impossibilità fisica, incapacità di agire, incapacità di intendere o di volere, il consenso è prestato da chi esercita legalmente la potestà, da un prossimo congiunto, da un famigliare, da un convivente o dal responsabile della struttura presso cui dimora l interessato 4

5 (sono casi gravi che si incontrano eccezionalmente. Non può rientrare in questa ipotesi il caso di una persona che si rivolge al Centro di Ascolto per chiedere consulenza legale o un intervento di segretariato sociale in merito a famigliare/convivente/congiunto che non sia impossibilitato fisicamente o incapace di agire o incapace di intendere o volere. Anche in quest ultima ipotesi, comunque, l intervento dovrebbe essere necessario per salvaguardare la vita o l incolumità fisica). Autorizzazioni In ordine alle autorizzazioni, il Garante emana delle autorizzazioni generali (di durata annuale) sia per quanto riguarda i dati sensibili (vd. all. 1 e 2) che quelli giudiziari (vd. all. 3), evitando così ai singoli soggetti di richiedere delle autorizzazioni specifiche. Si tratta di verificare quindi che il trattamento posto in essere sia conforme alle indicazioni contenute nelle Autorizzazioni del Garante. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Il Documento Programmatico sulla Sicurezza è un resoconto delle misure di sicurezza adottate da chi è titolare di un trattamento di dati personali altrui per evitare (o meglio per ridurre al minimo il verificarsi di) qualsiasi tipo di evento dannoso o pericoloso a carico degli stessi dati personali. Il DPS deve essere redatto entro il 31 marzo di ogni anno ed il titolare del trattamento deve riferire nella relazione accompagnatoria del bilancio d'esercizio, se dovuto, dell'avvenuta redazione o aggiornamento. Per il 2005 il termine per la redazione del DPS è stato prorogato fino al e di tale proroga potranno usufruire sia coloro che devono predisporre il DPS per la prima volta sia coloro che ne abbiano già redatto o aggiornato uno nel 2003 o Dal prossimo anno, decorso il periodo transitorio connesso all'entrata in vigore del Codice della privacy, il termine per l'aggiornamento del DPS rimarrà fissato al 31 marzo. Si precisa, quindi, che il documento deve avere data certa e deve essere aggiornato annualmente. Una copia del DPS deve essere custodita presso la sede per essere consultabile e deve essere esibita in caso di controlli. Il DPS deve contenere: l'elenco dei trattamenti di dati personali la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento l'analisi dei rischi che incombono sui dati le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento dei dati la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare 5

6 per i dati personali idonei a rivelare lo stato di salute e la vita sessuale l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato (organismi sanitari) Per ulteriori informazioni sul DPS si rinvia al sito SANZIONI Per la violazione delle disposizioni in materia di trattamento dei dati personali, il Codice prevede le seguenti sanzioni amministrative e penali: art. 161 violazione delle norme sull informativa all interessato: sanzioni amministrative pecuniarie da 3.000,00 a ,00 euro o, nei casi di dati sensibili, semisensibili o giudiziari, da 5.000,00 a ,00 euro; la somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore; art. 162 violazione delle norme relative sulla cessazione del trattamento o di altre disposizioni in materia di disciplina dei dati personali: sanzioni amministrative pecuniarie da 5.000,00 a ,00 euro; art. 163 omessa o incompleta notificazione al Garante: sanzioni amministrative pecuniarie da ,00 a ,00 euro e pubblicazione dell ordinanza-ingiunzione (per intero o per estratto) in uno o più giornali; art. 164 omissione di fornire le informazioni o di esibire i documenti richiesti dal Garante: sanzioni amministrative pecuniarie da 4.000,00 a ,00 euro; art. 167 trattamento illecito di dati personali (violazione delle norme sul consenso dell interessato, sui dati sensibili, semisensibili o giudiziari, sulla comunicazione e diffusione, sul trasferimento all estero, ecc.) sanzioni penali con reclusione fino a tre anni; art. 168 falsità nelle notificazioni al Garante o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti: sanzioni penali con reclusione fino a tre anni; art. 169 omessa adozione delle misure minime di sicurezza: sanzioni penali con arresto fino a due anni o con ammenda da ,00 a ,00 euro; l art. 169 co. 2 del Codice, così come il precedente art. 36 co. 2 della L. n. 675/96, prevede un meccanismo di ravvedimento operoso in relazione a tale violazione, con conseguente estinzione del reato, basato: > sulla regolarizzazione entro un determinato termine, comunque non superiore a sei mesi; > sul pagamento di una sanzione ridotta, pari al quarto del massimo dell ammenda (quindi ,00 euro); art. 170 inosservanza dei provvedimenti del Garante: sanzioni penali con reclusione fino a due anni. Si precisa che: Art chiunque, essendovi tenuto, (è il titolare). Art chiunque, al fine di trarne profitto, tratta i dati, nell'ambito della filiera del trattamento (anche gli incaricati). Art chiunque, essendovi tenuto (titolare e responsabile e anche l'incaricato). Art chiunque, essendovi tenuto (titolare e responsabile). Art chiunque (titolare). 6