SINTESI DELLA RELAZIONE DI ADALBERTO BIASIOTTI

Transcript

1 SINTESI DELLA RELAZIONE DI ADALBERTO BIASIOTTI Il tema affrontato interessa tutte le associazioni di volontariato, ed in particolare l'avis, in quanto queste associazioni detengono archivi (o data base), soprattutto relativi ai volontari, che contengono dati personali. Nel caso specifico dell'avis, questi archivi possono contenere anche dati sensibili, di carattere sanitario, afferenti alla attività di donazione. La legge n 675/1996, successivamente sostituita dal decreto legislativo 196/2003, impone specifici requisiti a tutti coloro che creano e gestiscono archivi contenenti dati personali. Questi requisiti diventano ancora più cogenti, quando nei dati personali sono compresi dati sensibili, ad esempio sanitari. La fase di creazione degli archivi Vediamo, in particolare, quali sono gli obblighi di legge, che l'associazione deve rispettare, in fase di creazione degli archivi. Un punto fondamentale riguarda il fatto che devono essere raccolti solo dati personali necessari per sviluppare le attività statutarie. Questa raccolta può avvenire solo dopo che il volontario ha sottoscritto lo statuto dell'associazione. Occorre tassativamente evitare di raccogliere dati non strettamente connessi alla gestione dell'attività di volontariato, a meno che il volontario li metta spontaneamente a disposizione dell'associazione. Ad esempio, non è possibile imporre ad un volontario di fornire all'associazione il proprio numero telefonico di casa, oppure il proprio numero di cellulare, oppure il proprio indirizzo di posta elettronica, in quanto la raccolta di questi dati è certamente utile per la gestione del rapporto associativo, ma non certo indispensabile. Per contro, il volontario ha piena facoltà di consegnare questi dati, se ritiene che essi possano agevolare la sua attività di donatore. Ecco la ragione per la quale, in fase di raccolta dei dati personali, occorre essere oltremodo selettivi, chiedendo sì al volontario di mettere disposizione dati anche più ricchi, rispetto a quelli strettamente necessari, ma solo a condizione che tali dati vengano chiaramente evidenziati e che per essi il volontario esprima uno specifico consenso. Infine, è bene mettere in evidenza che quello nel mondo del volontariato, possono essere raccolti dati personali con è origine finalità completamente diverse. Ad esempio, tutte le associazioni di volontariato certamente dispongono di un archivio dei volontari, soci, aderenti od altre persone che a qualunque titolo collaborano con le associazioni. In linea generale, i dati che vengono raccolti, come accennato in precedenza, sono prevalentemente anagrafici e come tali rientrano nella categoria dei dati personali non sensibili. Completamente diverse, e assai più restrittive, sono le condizioni che vengono imposte dalla legge quando questi archivi dei dati personali contengono anche dati sensibili, ad esempio afferenti alla salute, alle attività di donazione, ad eventuali periodi di sospensione ed altro. La legge impone, nella raccolta di dati sensibili, tutt'una serie di accorgimenti e garanzie, che sono perfettamente allineati con la maggiore criticità di questi dati. Per esempio, laddove l'associazione di volontariato gestisce anche la attività di raccolta sangue, in prima persona, come ad esempio accade a Modena, vengono raccolti dati di stretta rilevanza sanitaria, che nulla hanno a che fare con il profilo anagrafico del volontario e del donatore. In questo caso, prudenza impone che i due archivi vengano tenuti distinti e separati, di modo che l'accesso ai dati sanitari sensibili sia riservato solo a specifici soggetti, superando delle procedure di filtro, ben più restrittive rispetto alle procedure in atto per l'accesso ai dati anagrafici puri e semplici. 1

2 Sotto questi aspetti, le attività di raccolta e trattamento dei dati non sono molto diverse da quelle cui va incontro un partito, oppure una organizzazione sindacale. Anche in questo caso, l'organizzazione sindacale può raccogliere dati di natura prevalentemente anagrafica, ma potrebbe che essere opportuno raccogliere anche dati afferenti ad attività partitiche, politiche o sindacali, che rientrano appieno nella categoria dei dati sensibili che, e come tali, sono soggetti ad ulteriori restrizioni dell'acquisizione e nella gestione. La fase di gestione degli archivi Una volta costruito questo archivio, esso può essere custodito su supporto cartaceo e/o su supporto informatizzato. Il decreto legislativo impone delle rigide regole, in merito ai soggetti che possono accedere a questo archivio. All'archivio possono accedere solo persone fisiche, designate come incaricati del trattamento, ed alle quali sono state impartite appropriate istruzioni. Ad esempio, tutti coloro che accedono a questi archivi dovranno ricevere specifiche istruzioni, in merito al fatto che le cartelle dei volontari non devono essere lasciate incustodite sui tavoli dell'associazione, devono essere riposte in contenitori chiusi a chiave, le chiavi dei contenitori debbono essere disponibili solo ad incaricati autorizzati, e via dicendo. Particolare attenzione va prestata durante l'effettuazione di fotocopie, perché eventuali fotocopie mal riuscite debbono essere accuratamente distrutte e non gettate nel cestino della carta straccia, dove potrebbero essere recuperate e lette da soggetti terzi non autorizzati, come ad esempio il personale addetto alle pulizie. Si tratta di accorgimenti relativamente semplici da mettere in pratica, ma è indispensabile sensibilizzare tutti gli incaricati, siano essi dipendenti della associazione, oppure volontari che svolgono attività integrative presso l'associazione, sul puntuale rispetto di questi dati. Quando i dati sono invece custoditi su supporto informatizzato, occorre fare in modo che l'accesso a questi dati avvenga solo da terminali abilitati, assegnando un codice identificativo personale ed una parola chiave ad ogni incaricato, che a questi dati può accedere. Come precauzione supplementare, occorre rammentare a tutti gli incaricati che non devono lasciare attivo ed abilitato il terminale, sul quale possono comparire dati personali dei donatori, se debbono temporaneamente allontanarsi dalla postazione informatica di lavoro. Raccomando, in questi casi, di attivare una funzione gratuita e semplicissima, presente in tutti i sistemi operativi, di attivazione automatica dello screen saver, quando il terminale non viene utilizzato per la un breve periodo. Al rientro al posto di lavoro informatico, è sufficiente digitare nuovamente la parola chiave per riprendere la piena operatività sul terminale. Un aspetto di particolare importanza, nella trattamento automatizzato di dati personali, riguarda la educazione degli incaricati, che accedono a tali dati, nella selezione di una parola chiave, che deve essere segreta e nota solo all'incaricato coinvolto. La legge prescrive che la parola chiave sia lunga almeno otto caratteri, meglio se alfanumerici, e debba essere cambiata ad intervalli non superiori a sei mesi, se l'archivio cui si accede contiene dati non sensibili, ad esempio un archivio di dati anagrafici, a tre mesi, se l'archivio contiene anche dati sensibili, ad esempio di natura sanitaria. È ovvio che la raccomandazione di un sedicente esperto di sicurezza, come chi vi parla, non può essere altro che di cambiarla sempre ad intervalli non superiori a tre mesi, perché così si elimina il dubbio sul modello di riferimento da adottare, a seconda della presenza o meno di dati sensibili. Un aspetto che uno specifico allegato del decreto legislativo prende in specifica considerazione riguarda il fatto che il titolare del trattamento, vale a dire l'associazione volontaria, deve impartire 2

3 istruzioni proprio in merito alle modalità di scelta e di custodia di questa parola chiave segreta. Vi offro a voce una modalità, che uso frequentemente nei miei corsi di formazione e che finora ha dato risultati più che positivi. La digitalizzazione degli archivi Un aspetto relativamente innovativo, ma al quale oggi si presta maggiore attenzione, riguarda la possibile digitalizzazione di archivi cartacei. È evidente che la digitalizzazione di un archivio offre numerose possibilità positive, nel senso che un documento può essere consultato a distanza, può essere facilmente trasmesso ad altri soggetti interessati e via dicendo. Può essere possibile modificare la struttura della archiviazione fisica, trasportando i documenti già digitalizzati in zone lontane e meno costose, senza in nulla ridurre l'accessibilità al documento stesso. Ecco la ragione per la quale sono oggi numerose le associazioni, e non solo di volontariato, che stanno esaminando la possibilità di digitalizzare archivi cartacei, per sfruttare appunto al meglio queste opportunità. Chi scrive ha avuto recentemente occasione di offrire assistenza ad una delle maggiori strutture sanitarie di altra regione, proprio per la digitalizzazione delle cartelle cliniche, che rappresenta un passo avanti drammatico nel rendere più facile l'accesso alle stesse da parte del personale sanitario e soprattutto, dietro specifica richiesta, anche da parte dei pazienti. Esistono oggi delle disposizioni, che hanno valore quasi cogente, emesse dal comitato nazionale per l'informatica nella pubblica amministrazione-cnipa, che possono essere usate come riferimento per la scannerizzazione, vale a dire la digitalizzazione di un documento cartaceo, e la sua conservazione come documento informatico, con tutte le garanzie di piena conformità fra l'originale cartaceo e la copia elettronica. Raccomando di prestare massima attenzione, per le associazioni che decidono di avviarsi su questo attraente percorso, perché i riflessi negativi di un approccio non sufficientemente professionale potrebbero essere oltremodo rischiosi, da un punto di vista civile e penale. Poiché la conversione di questi dati comporta necessariamente la loro possibile conoscenza da parte dell'azienda incaricata dell'operazione di digitalizzazione, devono essere rispettati numerosi adempimenti, di natura tecnica e legislativa, che per il momento ometto di illustrare, ma per approfondire i quali resto a disposizione. La fase di cancellazione degli archivi obsoleti Infine, prendiamo in considerazione un aspetto, sovente ignorato o sottovalutato da parte dei dirigenti delle strutture associative. Sto per parlare della distruzione dei dati personali, quando le motivazioni per la loro raccolta sono terminate. È precisa disposizione di legge che i dati personali possano essere detenuti dal titolare solo per il tempo necessario e congruo con le finalità per le quali dati vennero raccolti. Ad esempio, la legge prevede la possibilità, per non dire l'obbligo, di distruggere documenti amministrativi, dopo dieci anni dalla loro emissione o dall'ultimazione del loro periodo di validità. Si può quindi ritenere che, una volta che il volontario ha abbandonato l'associazione, o per qualunque motivo non è più attivo, l'associazione possa disporre di questi dati, anche per non ingombrare i sempre ristretti locali associativi con centinaia di cartelle personali, che hanno perso ormai qualsiasi interesse pratico, salvo che vi siano disposizioni di legge che obblighino alla conservazione. In questo caso, molti enti che affidano la distruzione dei supporti cartacei ad aziende specializzate nel riciclaggio di carta e cartoni. Occorre al proposito fa presente che queste aziende procedono sì al riciclaggio della carta e dei cartoni, ma senza previa distruzione o comunque senza interventi che rendano illeggibili i documenti stessi. 3

4 Se ciò avviene, ci troviamo davanti ad un illecito, espressamente previsto dal codice della privacy, che contempla la comunicazione non autorizzata di dati personali a soggetti terzi non debitamente qualificati. È questa la ragione per la quale la Unione Europea ha caldeggiato l'emissione di una norma, alla cui elaborazione ha partecipato chi parla, la norma europea pren 15713, che indica le modalità sicure con le quali è possibile distruggere un archivio cartaceo od informatico, nel pieno rispetto dei dettati del codice della privacy e garantendo soprattutto che i dati personali non vengano in alcun modo a conoscenza di soggetti non autorizzati. Poiché abbiamo in precedenza già avvertito che il trattamento dei dati raccolti può essere effettuato con sistemi automatizzati, vale a dire sistemi informativi, oppure sistemi cartacei, occorre quindi prendere considerazione anche le modalità con cui è possibile cancellare dati personali archiviati in un computer. Avverto subito che la banale modalità di cancellare il file non è una modalità accettabile, sia dal punto di vista tecnico, sia dal punto di vista legislativo. Ad esempio, forse non tutti i responsabili di associazioni di volontariato sanno che la cancellazione di un file, oppure il suo trasporto nel cestino, in applicativi di gestione tipo Windows, non produce affatto la cancellazione del file, ma produce solo la sparizione del nome del file dall'elenco dei file disponibili. Permettetemi di fare un esempio, che forse spiega meglio la situazione. Supponiamo di trovarci davanti ad una biblioteca, nella quale sono custoditi mille volumi. Questi volumi vengono registrati nel catalogo della biblioteca e nel catalogo stesso sono indicate le coordinate dello scaffale, in cui il libro è custodito. Il fatto di aver cancellato il nome di un file, in via elettronica, corrisponde semplicemente ad aver cancellato il nome del file dal catalogo della biblioteca, ma non certo all'aver distrutto il libro. Il libro rimane dov'è e, per chi sa come fare, non è poi troppo difficile recuperare prontamente il libro stesso. La eliminazione del libro dalla biblioteca quindi non è sufficiente avvenga con la cancellazione dal catalogo, ma occorre recarsi presso lo scaffale specifico, prendere in volume e provvedere a distruggerlo, con garanzie sopra illustrate. Questa operazione non è così facile, da un punto di vista informatico, tant'è vero che sono in commercio numerosi applicativi, che permettono di effettuare una cancellazione accurata di un dato informatico, ma al prezzo di un impegno di tempo piuttosto lungo. Chi scrive ha dovuto tempo addietro provvedere, su indicazione del titolare, alla cancellazione definitiva di un archivio informatizzato, archiviato su hard disk, installato presso server, a sua volta installato in una computer farm. Con l'assistenza di un testimone, mi sono recato sul posto, ho aperto il server, ho estratto l'hard disk, lo ho aperto ed ho provveduto alla sua distruzione definitiva, grattando con carta abrasiva fine la superficie magnetizzata del disco. Si tratta di un'operazione costosa, che richiede tempo e competenze, ma che è l'unica che può dare garanzie definitive. Non pretendo certo che i titolari delle associazioni di volontariato facciano questa operazione, ma debbono aver ben presente che la cancellazione deve essere effettuata con cautele, che non sono quelle banali di cancellare il nome del file, come prima illustrato. La stessa cautela si deve porre quando, animati ad esempio da spirito di collaborazione con altre associazioni di volontariato, si decide di donare un vecchio personal computer ad un'altra associazione, perché qualche anima pia ci ha messo a disposizione un computer di modello più avanzato. 4

5 Si faccia bene attenzione, nell'effettuare questa operazione, di accertarsi che nessuno dei dati personali raccolti dall'associazione sia rimasto sull'hard disk, perché tale dimenticanza potrebbe costare cara. Proprio per mettere in guardia contro questa diffusa mancanza di sensibilità a questi problemi, l'autorità Garante per la protezione dei dati personali ha recentemente diffuso una provvedimento, nel quale si danno dettagliate indicazioni sulle modalità con le quali è possibile disporre di un sistema informativo obsoleto, accertandosi che il trasferimento ad un altro soggetto avvenga con precise garanzie di piena cancellazione di eventuali dati personali ivi presenti. Potrà essere elemento di consolazione, seppur modesto, il fatto che una rivista americana specializzata nel mondo dei computer ha recentemente condotto un'indagine presso alcuni venditori di computer usati ed ha fotografato una situazione addirittura drammatica. Nella stragrande maggioranza dei casi, i computer usati che venivano rivenduti avevano ancora a bordo dati personali, taluni di estrema criticità. In un caso, un intero stock di personal computer portatili, dismesso da un'amministrazione militare, era stato venduto a rivenditori di computer usati, senza nemmeno prevedere alla cancellazione dei dati militari, alcuni critici, ivi registrati. Oggi in Italia sono assai poche le aziende in grado di provvedere alla distruzione di supporti cartacei ed informatizzati nel pieno rispetto di questa normativa e mi permetto di richiamare la vostra attenzione sul fatto che l'operazione di cancellazione o distruzione di archivi di tale natura rappresenta un aspetto oltremodo delicato, al quale si deve prestare la massima attenzione, per evitare di cadere nei rigori di legge, che verranno ben illustrati dal prossimo relatore. 5