Privacy. Natale Prampolini 196/03. ing. Natale Prampolini Business & Technology Adviser

Transcript

1 1 Privacy ing. Natale Prampolini Business & Technology Adviser

2 2 Normative Legge 675/96 Privacy DPR 318/99 Regolamento di attuazione Direttiva EU 58/02 Tutela vita privata nelle comunicazioni elettroniche Decreto legislativo 196/03 Codice in materia di protezione dei dati personali art c.c. lavori pericolosi

3 3 Legge 675/96 Privacy Legge fondamentale, che ha portato all attenzione di tutti gli italiani il problema della gestione dei dati personali. In anticipo sull EU Attenzione alla riservatezza e tutela dei dati personali

4 4 Legge 675/96 Privacy Misure minime di sicurezza nella tenuta dei dati personali Particolare attenzione ai dati cosiddetti sensibili Dati sensibili: quelli che possono portare ad un discriminazione. Quindi un elenco: giudiziari sanitari / sessuali religiosi / razziali / etnici politici / sindacali

5 5 Legge 675/96 Privacy Estrema attenzione anche alla gestione degli altri tipi di dati personali: Dati personali pubblici: quelli che possono essere ricavati da elenchi pubblici o simili: Indirizzo numero di telefono Automobile Dati personali non pubblici amministrativi, multe, stipendi, valutazioni aziendali bancari, finanziari preferenze varie ubicazione ecc

6 6 DPR 318/99 Regolamento di attuazione Doveva uscire 6 mesi dopo la legge (è uscito 3 anni dopo. Andava aggiornato ogni 6 mesi (non è stato mai aggiornato) Era un primo tentativo di dire cosa il legislatore voleva, e come

7 7 EU 58/02 Tutela vita privata nelle comunicazioni elettroniche Direttiva della EU relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche 49 Articoli Tende a regolamentare il commercio elettronico e solo di conseguenza gestire il problema dei dati personali

8 8 Decreto legislativo 196/03 Protezione dei dati personali Nuovo testo unico sull argomento Recepisce anni di esperienza e di interpretazioni del garante della Privacy Recepisce la direttiva europea Testo su articoli e 3 allegati 196 pagine

9 9 Articoli 1,3,4 Art. 1 - Diritto alla protezione dei dati personali Chiunque ha diritto alla protezione dei dati personali che lo riguardano. Art. 2 - Finalità Il presente testo unico, di seguito denominato codice, garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato, con particolare riferimento alla riservatezza, all identità personale e al diritto alla protezione dei dati personali. Art. 3 - Principio di necessità nel trattamento dei dati I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità.

10 10 Art. 11 REGOLE PER TUTTI I TRATTAMENTI I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza; b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi; c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati; e) conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per I quali essi sono stati raccolti o successivamente trattati.

11 11 Art Informativa L interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa: a) le finalità e le modalità del trattamento cui sono destinati i dati; b) la natura obbligatoria o facoltativa del conferimento dei dati; c) le conseguenze di un eventuale rifiuto di rispondere; d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l ambito di diffusione dei dati medesimi; e) i diritti di cui all articolo 7 (Diritto di accesso ai dati personali ed altri diritti); f) gli estremi identificativi del titolare.

12 12 Art Danni cagionati per effetto del trattamento (art c.c.) Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell articolo 2050 del codice civile. (lavori pericolosi) Casi abitualmente trattati comprendono: gestione carburanti esplosivi prodotti chimici scorie Qui vige la cosiddetta inversione della prova: non va provato il dolo (a carico dell accusa) ma va esclusa l incuria (a carico della difesa) per difetto di prova, si è colpevoli, non innocenti!!

13 13 Art Obblighi di sicurezza I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

14 14 Art Misure minime Nel quadro dei più generali obblighi di sicurezza di cui all articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.

15 Art Trattamenti con strumenti elettronici Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. Privacy 15

16 16 Art Trattamenti senza l ausilio di strumenti elettronici Il trattamento di dati personali effettuato senza l ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell allegato B), le seguenti misure minime: a) aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati o alle unità organizzative; b) previsione di procedure per un idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati.

17 17 Art Adeguamento Il disciplinare tecnico di cui all allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie, in relazione all evoluzione tecnica e all esperienza maturata nel settore.

18 Art Notificazione del trattamento Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda: a) dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; b) dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria; c) dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale; d) dati trattati con l ausilio di strumenti elettronici volti a definire il profilo o la personalità dell interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; e) dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie; f) dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti. 2. Il Garante può individuare altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell interessato, in ragione delle relative modalità o della natura dei dati personali, con proprio provvedimento. Privacy 18

19 19 Allegato B Disciplinare tecnico in misure minime di sicurezza 29 Articoli Trattamenti con strumenti elettronici Sistemi di autenticazione informatica Sistemi di autorizzazione Altre misure di sicurezza Documento programmatico sulla sicurezza, entro 31-3 di ogni anno Ulteriori misure in caso di trattamento di dati sensibili o giudiziari Misure di tutela e garanzie Trattamenti senza l ausilio di strumenti elettronici

20 20 Documento programmatico sulla sicurezza 19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo: l elenco dei trattamenti di dati personali; la distribuzione dei compiti e delle responsabilità nell ambito delle strutture preposte al trattamento dei dati; l analisi dei rischi che incombono sui dati; le misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento di cui al successivo punto 23; la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; la descrizione dei criteri da adottare per garantire l adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all esterno della struttura del titolare; per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell interessato.

21 21 Concetti base Il legislatore vuole garantire: Integrità dei dati Riservatezza dei dati Disponibilità dei dati Reattività del sistema

22 22 Trattamento dei dati Il trattamento dei dati personali è qualunque operazione o complesso di operazioni svolte con o senza l'ausilio di un elaboratore elettronico o di un procedimento comunque automatizzato, che concerne le operazioni di: -raccolta dei dati, -registrazione, -organizzazione, -conservazione, -elaborazione, -blocco, -modificazione, -utilizzo, -interconnessione, -comunicazione, -diffusione, -cancellazione, -distruzione, -selezione, -estrazione, -raffronto.

23 23 I soggetti del trattamento Il titolare: la persona fisica o giuridica, la pubblica amministrazione o qualsiasi altro ente, associazione o organismo cui competono le decisioni circa le finalità e le modalità del trattamento di dati personali, ivi compresa la sicurezza dei dati. Il responsabile: la persona fisica o giuridica, la pubblica amministrazione o qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. L'incaricato: colui che compie le operazioni del trattamento di dati personali, attenendosi alle istruzioni impartite dal titolare o dal responsabile. L'interessato: la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali. (Qui il codice italiano estende la direttiva europea, che si riferiva solo alle persone fisiche)

24 24 Sanzioni previste Il Codice sanziona penalmente i comportamenti adottati in difformità dallo stesso, quali il trattamento illecito di dati personali, la omessa adozione delle misure di sicurezza, nonché l'omessa osservanza dei provvedimenti del Garante, la falsità nelle dichiarazioni al Garante. Sono, inoltre, previste sanzioni amministrative nei casi di omessa o incompleta notificazione del trattamento al Garante, di inosservanza delle richieste del Garante o per l'omessa informativa ai soggetti interessati.

25 25 Date da conoscere La legge 196/03 è entrata in vigore il L adozione delle misure minime di sicurezza deve avvenire entro il In caso di reali problemi si può chiedere una proroga sino al DPS: se richiesto (per dati sensibili o giudiziari o analoghi), invio entro il di ogni anno. Produzione Aggiornamento per evoluzione azienda evoluzione normativa

26 26 Chi gestisce /ricerca / detiene / pubblica dati Polizia e altri investigatori istituzionali / pubblici Tribunali Investigatori privati Giornalisti Aziende di gestione del rischio: banche e assicurazioni Aziende sanitarie pubbliche e private Amministrazioni e anagrafi Lavoro e previdenza Telecomunicazioni e videosorveglianza Marketing diretto Associazioni volontarie, es. sportive

27 I dati personali oggetto del Privacy 27 trattamento sono (devono essere) CUSTODITI anche in relazione alle CONTROLLATI CONOSCENZE acquisite in base al progresso tecnico NATURA dei dati CARATTERISTICHE del trattamento in modo da RIDURRE AL MINIMO mediante l adozione di IDONEE Misure di sicurezza i RISCHI di PREVENTIVE Distruzione o perdita anche accidentale Accesso non autorizzato Trattamento non consentito Trattamento non conforme alle finalità

28 28 I passi per la conformità alla 196/03 Analisi conoscitiva: l analisi conoscitiva cerca di identificare, la situazione attuale dell azienda, per poter ipotizzare l impatto dell attività di verifica e della messa in conformità. Fase breve, qualche ora. Verifica per la privacy : Analisi, verifica e controllo della conformità degli aspetti legali, organizzativi, di processo e informatici agli obblighi del Testo Unico sulla privacy. L analisi è la base e linea guida per definire un piano degli interventi (piano privacy) che sintetizza le attività, i tempi e le risorse per la messa in conformità. Messa in Conformità Adeguamento dei processi, dell organizzazione, delle procedure e dei sistemi informativi agli obblighi previsti dal nuovo codice in materia di protezione dei dati personali.

29 I passi per la conformità alla 196/03 Non gestisco dati sensibili, giudiziari o analoghi: La messa in conformità e gli adempimenti sono semplificati: misure minime di sicurezza e informativa all interessato. informativa agli interessati autenticazione informatica e adozione di procedure di gestione delle credenziali di autenticazione; istruzione agli incaricati; aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi. Si tratta comunque di avere un sistema in sicurezza Privacy 29

30 30 I passi per la conformità alla 196/03 Gestisco dati sensibili, giudiziari o analoghi : Nuovi adempimenti, che si aggiungono a tutti quelli precedenti: notifica al garante della gestione di dati sensibili; analisi dei rischi; produzione del Documento Programmatico della Sicurezza; sistema di autorizzazione; verifica del ripristino di dati e sistemi entro una settimana; formazione agli incaricati; cifratura dei dati sensibili;

31 31 Effetto pollicino: lasciamo traccie Usiamo il cellulare: siamo georeferenziati si sa chi chiamiamo e cosa diciamo Usiamo Bancomat e Carte di Credito: siamo georeferenziati si sa quanto spendiamo e per che cosa Usiamo il Telepass siamo georeferenziati si sa a che velocità media andiamo...

32 32 Privacy ing. Natale Prampolini