D.P.S.: non e' una fonte normativa, ma e' egualmente precettivo

Scade il 31 marzo

Il 31 marzo 2010 e' il termine ultimo per la predisposizione del Dps (documento programmatico per la sicurezza), lo strumento operativo del generale obbligo di sicurezza posto dal Codice Privacy. La sua mancata predisposizione o il suo inadeguato aggiornamento impediscono al titolare il trattamento dei dati.

CHE COS'E'

Il Dps (acronimo della sigla "Documento Programmatico per la Sicurezza") è strumento specificativo del generale obbligo di sicurezza posto dal Codice Privacy, e assume, per diretta volontà legislativa, assieme alle altre misure di sicurezza, il ruolo di ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
La sua mancata predisposizione o il suo inadeguato aggiornamento impediscono al titolare il trattamento dei dati.

LE FONTI

Il DPS (Documento Programmatico sulla Sicurezza) è misura “minima” di sicurezza, attualmente disciplinata dal Codice Privacy, d. lgs. n. 196/2003, precisamente dagli artt. 33 ss. e dall’allegato B.
Precisamente, l’art. 33 stabilisce che:
“Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31 […] i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo […] volte ad assicurare un livello minimo di protezione dei dati personali.” È però l’art. art. 34 comma 1, lettera g) del D.lg. 196/03 a prevedere la “tenuta di un aggiornato documento programmatico sulla sicurezza”.
Le misure minime, fra cui il Dps, ex art. 33 del Codice, specificano, grazie al contenuto spesso prescrittivo, il detto generale obbligo di sicurezza, e assumono, per diretta volontà legislativa, il ruolo di “ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita […] di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.”
Va evidenziato che, proprio in quanto misura “minima”, la mancata predisposizione o l’inadeguato aggiornamento del Dps impedisce al titolare un qualsiasi trattamento dei dati.
La disciplina del dps ha subito nel 2008 significative innovazioni su due differenti versanti:

* 1.l’autodichiarazione sostitutiva;
* 2..la semplificazione.In particolare, rispetto al primo profilo, per taluni casi, è stata prevista, in via innovativa, la possibilità di sostituire il (DPS) con un documento di autocertificazione.

Mentre, in altri casi è data la possibilità di redigerlo in via semplificata, in chiara deroga ai requisiti minimi fissati dalla legge.
Precisamente, l’art. 29 del D.L. 25 giugno 2008, n. 112, come convertito dalla Legge di conversione 6 agosto 2008, n. 133, inserendo all’articolo 34 il seguente comma 1-bis, ha previsto che:
“Per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale, la tenuta di un aggiornato documento programmatico sulla sicurezza è sostituita dall'obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle altre misure di sicurezza prescritte.”
Rispetto invece al secondo profilo, l’art. 34 comma 1-bis ha attribuito al Garante Privacy il potere, sentito il Ministro per la semplificazione normativa, di individuare, con proprio provvedimento, da aggiornare periodicamente “…..modalità semplificate di applicazione del disciplinare tecnico di cui all'Allegato B) in ordine all'adozione delle misure minime ”.

Attuando la norma, il Garante Privacy ha provveduto a emanare il provvedimento generale del 27 novembre 2008 per la “Semplificazione delle misure di sicurezza contenute nel disciplinare tecnico di cui all'Allegato B) al Codice in materia di protezione dei dati personali” (pubblicato nella G.U. n. 287 del 9 dicembre 2008), fissando modalità semplificate per l’applicazione delle misure minime di sicurezza.

Sicché, ricorrendo i requisiti di legge, è possibile anche redigere un DPS semplificato, rispetto a quello “ordinario” tout court disciplinato dagli artt. 33 ss. del Codce.
A fronte della novella, tuttavia, sono emerse rilevanti problematiche interpretative e applicative per i titolari del trattamento, tanto che si è posta in discussione anche la persistenza dell’obbligatorietà o meno della redazione del Documento Programmatico di Sicurezza

COSA FARE?

Occorre aggiornare il Dps, se già precedentemente predisposto o, altrimenti, predisporlo.

Il legislatore del 2008, innovando radicalmente il testo del Codice del 2003, prevede che “[…] la tenuta di un aggiornato documento programmatico sulla sicurezza è sostituita dall'obbligo di autocertificazione […]” solo per “[…] i soggetti che trattano […] dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale […]”.

Tale norma va coordinata con quella definizione di dati personali “sensibili”, identificati - dall’art. 4.1.D.lg. 196/03 - come quei dati personali “… idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale”.

Ne consegue che sono soggetti alla tenuta di un aggiornato DPS i seguenti titolari:

* a)i titolari che con strumenti elettronici trattano le seguenti categorie di dati personali sensibili:- origine razziale ed etnica di clienti, fornitori e dipendenti - opinioni religiose, filosofiche o di altro genere di clienti, fornitori e dipendenti, - opinioni politiche, adesione a partiti, associazioni od organizzazioni a carattere religioso, filosofico e politico di clienti, fornitori e dipendenti, - stato di salute di clienti e fornitori - stato di salute con indicazione della relativa diagnosi di dipendenti, - vita sessuale di clienti, fornitori e dipendenti
* b)i titolari che trattano dati personali giudiziari con strumenti elettronici.

Non sono, invece, soggetti a tale adempimento i titolari che trattano le seguenti categorie di dati, sempreché utilizzino strumenti elettronici:

* -dati personali “comuni” di clienti, fornitori e dipendenti;
* -dati personali “sensibili” di dipendenti relativi allo stato di salute o malattia (solo se senza indicazione della diagnosi);
* -dati personali “sensibili” di carattere sindacale.

Si segnala, tuttavia, che, alla luce dell’ampio concetto di “trattamento”, ex art. 4.1.a del Codice Privacy, permangono notevoli perplessità sulla reale possibilità di rientrare in una delle categorie per le quali sussiste la possibilità dell’esonero dall’obbligo di redazione del DPS.

Quindi, data anche la difficoltà di prevedere quali dati precisamente verranno trattati perlomeno durante il periodo annuale, sarebbe auspicabile che - per garantire quanto più possibile il rispetto della normativa in materia di protezione dei dati personali, e per evitare il rischio di subire le dovute e talora pesanti sanzioni del Codice, ogni titolare - tendenzialmente, approntasse e aggiornasse il Dps.

QUANDO: IL TERMINE DI SCADENZA PER APPRONTARE IL DOCUMENTO

Entro il 31 marzo 2010, che è dunque il termine ultimo posto dall’Allegato B del Codice, e così per tutti gli anni, salvo chiaramente modifica legislativa o eventuale provvedimento del Garante

COME ADEMPIERE

All’obbligo del Dps – sulla base di quanto sopra specificato – il titolare del trattamento può adempiere, sostanzialmente, in tre differenti modalità:

* 1.redazione del dps:
* 2.nei casi sopra indicati, predisposizione di autocertificazione sostitutiva;
* 3.ove previsto dalla legge, redazione di un documento semplificato.

Esso entro il 31 marzo va aggiornato se già predisposto, anche attraverso il responsabile del trattamento, ove designato.

Riguardo al contenuto concreto dell’aggiornamento, occorre riportare – salvo le ulteriori misure in caso di trattamento di dati sensibili o giudiziari - idonee informazioni riguardo:

* 1.l'elenco dei trattamenti di dati personali;
* 2.la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;
* 3.l'analisi dei rischi che incombono sui dati;
* 4.le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonchè la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
* 5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
* 6.la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;
* 7. la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare;
* 8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.
Si precisa che vanno indicate tutte le eventuali variazioni che si siano nel frattempo verificate in azienda se hanno coinvolto o possono coinvolgere il trattamento dei dati: ad es. un nuovo pc, un dipendente assunto, un dipendente licenziato, il cambio d'indirizzo o il cambio della persona incaricata del trattamento dei dati etc.
Si evidenzia che, all'interno del documento programmatico per la sicurezza, deve essere previsto un piano di formazione destinato agli incaricati del trattamento (al riguardo, occorre verificare che sia stata loro consegnata documento di nomina espressa e adeguatamente chiara e precisa su modalità e limiti del trattamento dei dati), che dovrà pertanto anch’esso, assieme agli altri elementi del Dps, essere rivisto annualmente.
Tale piano deve indicare precisamente i tempi di formazione e le strutture che si occuperanno di gestire l’attività formativa.
La formazione è programmata già al momento dell'ingresso in servizio, ma investe anche i cambiamenti di mansioni e l’eventuale introduzione di nuovi strumenti rispetto alla materia del trattamento dei dati personali.
I responsabili vanno nominati scegliendo tra persone dotate della necessaria esperienza, capacità, affidabilità, quindi occorre fornire loro una formazione ancor più completa e specifica rispetto a quella degli incaricati.
Si segnala, sempre riguardo alla concreta attuazione del DPS, che in dottrina si è posto l’accento sull’esigenza di raccordo fra l’’art. 34.1.g del D.lg. 196/03 e l’art. 19 dell’Allegato B) del Codice.
L'avvenuto aggiornamento, a prescindere dalla quantità e tipo di modifiche, va necessariamente riferito nella relazione di bilancio annuale dei titolari del trattamento.

I SITI DI RIFERIMENTO
* www.garanteprivacy.it (sito istituzionale del Garante della Privacy);
* http://www.edps.europa.eu (sito del Garante Europeo per la protezione dei dati personali);
* www.privacy.it (sito privato, cura la raccolta di atti e provvedimenti del Garante)
tratto da Luca Christian Natali www.ipsoa.it