Il Decreto Legislativo 196 del 2003 - Privacy
Il Decreto Legislativo in esame impone alle aziende l’adozione di specifiche norme in materia di protezione dei dati personali.
Ecco che tutti i soggetti che trattano dati personali, tra cui imprese ed enti in genere, sono tenuti al rispetto e l’adozione di meccanismi volti ad assicurare un livello minimo di protezione dei dati (v.art. 33). Tutte le aziende, nessuna esclusa, sono quindi tenute ad mettersi a norma attraverso l’adozione del DPS
Tra le misure di sicurezza imposte ci sono delle misure sia fisiche sui locali che logiche a difesa delle attrezzature e dei documenti sostituendo completamente la precedente Legge 675/1996.
La principale novità introdotta dal D.Lgs. 196/2003 è l'introduzione del Documento Programmatico sulla Sicurezza tra le misure minime obbligatorie e questo estende il numero di soggetti obbligati alla compilazione del DPS.
Punti salienti della normativa:
Art. 30 (incaricati del trattamento).Tutti gli operatori che trattano dati, devono essere incaricati dal titolare o dal responsabile. Tutte le comunicazioni ed incarichi devono essere per iscritto.
Art. 31 (obblighi di sicurezza)I dati devono essere opportunamente protetti e devono essere garantiti sistemi di ripristino nel caso di guasti o distruzione.
Art. 32 (particolari titolari)Nel caso di comunicazione via INTERNET, si devono avere sistemi che garantiscano la sicurezza e la certezza delle navigazioni effettuate.
Art. 33 (Misure minime)I titolari della sicurezza, devono attivare almeno le misure minime.
Art. 34 (Trattamento con strumenti elettronici).Nel caso che ci sia un sistema elettronico, si dovranno applicare le seguenti misure minime:- Autenticazione informatica.- Adozione di procedure per la gestione delle credenziali informatiche.- Utilizzazione di un sistema di autorizzazioni.- Verifica ed aggiornamento dei sistemi di sicurezza e degli incarichi.- Protezione degli strumenti elettronici, sia per guasti che per illeciti.- Procedure per la gestione di copie di sicurezza e del loro ripristino- Tenuta di un documento programmatico per la sicurezza - Adozione di codici cifrati nel caso di gestione di dati particolarmente sensibili
Art 35 (trattamento senza strumenti elettronici).Nel caso che non si abbia un sistema elettronico si dovranno applicare le seguenti misure minime:- Aggiornamento periodico degli incarichi per i singoli componenti.- Attivazione di procedure per la custodia di atti e documenti.- Attivazione di sistemi di sicurezza per la salvaguardia degli archivi.
Art. 36 (adeguamento).Le misure minime potranno essere modificate con comunicazione del ministero, per adeguare la sicurezza all’evoluzione dei tempi. Gli articoli elencati fanno dedurre che ci sono una serie di attività da svolgere prettamente tecniche e altre prettamente formali, come le lettere di riconoscimento dei responsabili, gli incarichi e le comunicazioni informative minime.
