Studio Bianco Rag. Vittorino - Consulente Tributario

L'art. 33 del testo unico sulla Privacy prevede l'obbligo di adottare delle Misure minime di sicurezza, da parte non solo delle aziende che trattano dati sensibili o semisensibili ma anche di altre realtà che trattano dati in forma elettronica ovvero dati personali di fornitori, clienti dipendenti, pazienti ecc.

In particolare stabilisce che il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate le seguenti misure minime:

• autenticazione informatica;
• adozione di procedure di gestione delle credenziali di autenticazione;
• utilizzazione di un sistema di autorizzazione;
• aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;
• protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;
• adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;
• tenuta di un aggiornato documento programmatico sulla sicurezza;
• adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

Lo scopo delle misure minime di sicurezza è quello di garantire il più possibile da accessi non consentiti i dati personali dei cittadini in possesso di aziende od enti. Ma serve soprattutto anche per dare un metodo di lavoro idoneo in ambito informatico.
Rispetto alla precedente normativa è stata rimossa la distinzione fra elaboratori connessi ad una rete ed elaboratori isolati dalla rete: per cui anche un computer isolato dalla rete contenente dati è soggetto alla normativa.

Gli interventi da attuare per rispettare la nuova normativa possono riassumersi:
• nella nomina di un titolare e, facoltativamente, di un responsabile per la gestione della protezione dei dati,
• nell'identificazione da parte del titolare di tutti gli incaricati del trattamento
• nella messa in sicurezza degli elaboratori utilizzati per il trattamento dei dati contro ogni possibile violazione o inficiamento del funzionamento
• nella trascrizione delle procedure interne da seguire
• nella redazione di un DPS (Documento programmatico sulla sicurezza) redatto con data certa entro il 1 gennaio del 2005 e successivamente aggiornato con cadenza annuale.

Approfondimento

Alcune informazioni essenziali in più incluse in una presentazione di power point, con un buon riferimento a livello informatico. Leggila o scaricala facendo clic destro QUI e "Salva oggetto con nome"

Il DPS costituisce l'unico elemento di prova dell'adeguamento aziendale alla nuova normativa.

L’articolo 35 (trattamenti senza l’ausilio di strumenti elettronici) prevede le seguenti misure minime di sicurezza (nei modi previsti dal disciplinare tecnico, un allegato della legge stessa):

a) aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati o alle unità organizzative;
b) previsione di procedure per un’idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti;
c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all’identificazione degli incaricati.

Il disciplinare tecnico dovrà essere aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie, in relazione all’evoluzione tecnica e all’esperienza maturata nel settore (ex art. 36 Codice in materia di protezione dei dati personali).

Queste misure minime di sicurezza nonostante sembrino complicare le normali operazioni quotidiane, in realtà garantiscono una maggior sicurezza informatica e, proteggono l'azienda da possibili furti elettronici di dati.

Ulteriori garanzie contro perdite di dati dovute a guasti dei PC o altri malfunzionamenti è data dall'obbligatorietà dei backup settimanali di tutti i dati più importanti dell'azienda; dall'aggiornamento dell'antivirus e dei sistemi operativi.

Il Codice prevede infine l'obbligatorietà della formazione al personale incaricato del trattamento dei dati e la sua pianificazione fin dal momento dell'assunzione di nuovi elementi nello staff, per garantire il corretto rispetto della normativa.
Da sottolineare che le misure minime sulla messa in sicurezza del parco informatico “proteggono” dalle sanzioni penali previste per chi non si adegua entro il 1 gennaio 2005 (al più 25 marzo 2005 previa richiesta di proroga giustificata); per garantire la protezione sufficiente (evita sanzioni amministrative e risarcimenti danni di terzi) bisogna ricorrere ad un adeguamento informatico più consistente, implementando la tecnologia nel momento in cui risulta obsoleta e i software per una maggiore protezione.