PRIVACY: Semplificazione nella redazione del DPS? Sì, solo nel rispetto degli obblighi di Legge.

Gentile Cliente,
il "decreto sviluppo" e, successivamente, il "decreto liberalizzazioni" riportano novità di rilievo in ambito privacy. Ciò con specifico riferimento sia all'aggiornamento del Documento Programmatico sulla Sicurezza (DPS), che all'obbligo di comunicare l'informativa privacy ogniqualvolta si riceva un curriculum vitae.
Con riferimento al primo aspetto, tenuta di un aggiornato DPS, si evidenzia la volontà legislativa di semplificare tale obbligo sostituendolo, in questa fase, con la relativa autocertificazione a firma del Titolare.

In particolare, il "decreto sviluppo 2011" stabilisce che: "per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili e giudiziari quelli relativi ai propri dipendenti e collaboratori, anche se extracomunitari, compresi quelli relativi al coniuge e ai parenti, la tenuta di un aggiornato documento programmatico sulla sicurezza (DPS) è sostituita dall'obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del D.P.R. n° 445/2000 (testo unico documentazione amministrativa), di trattare soltanto tali dati in osservanza delle misure minime di sicurezza previste dal presente codice e dal disciplinare tecnico contenuto nell'allegato B). In relazione a tali trattamenti, nonchè a trattamenti comunque effettuati per correnti finalità amministrativo -contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, ..., individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico contenuto nel citato allegato B) in ordine all'adozione delle misure minime di cui al comma 1. 1-ter...". Se a ciò si aggiunge il mancato obbligo di rendere l'informativa privacy (prevista dall'art. 13 d.lgs. 196/03) nel caso in cui si ricevano curriculum vitae inviati spontaneamente da potenziali candidati sembra che degli adempimenti Privacy nulla debba più essere fatto.

In realtà così non è!!!

Soprassedendo su eventuali considerazioni circa l'obbligo di redazione/aggiornamento del DPS giova rilevare come le modifiche su riportate non contemplino alcuna modifica/revoca delle sanzioni previste in caso di mancata ottemperanza delle numerose disposizioni in materia e riportate non solo del decreto del 30 giugno 2003, n. 196, ma anche dalle norme ad esso collegate.

Infatti, se il legislatore ammette "... l'autocertificazione del Titolare di trattare i dati personali in osservanza delle misure minime ..." solo come misura volta ad evitare "... un aggiornato documento programmatico sulla sicurezza (DPS)...", lo stesso non lo considera, certo, un intervento sostitutivo del Titolare che non abbia mai redatto il DPS. Ma vi è di più, le norme su richiamate nulla dicono in merito ad eventuali "deroghe" sugli altri adempimenti che, ad oggi, debbono, comunque, essere assolti dal Titolare stesso.
Tra questi si citano, a mero titolo esemplificativo ma non certo esaustivo, la nomina del'amministratore di sistema (G.U. n. 300 del 24 dicembre 2008), la nomina - se prevista - del/dei Responsabile/i (art. 29 d.lgs. 196/03), la nomina degli Incaricati e la relativa formazione, nonchè l'obbligo di assolvere alle misure minime di sicurezza previste ed imposte, sia per il trattamento di dati informatici che cartacei, dall'art. 33 d.lgs. 196/03, così come la regolamentazione degli impianti di "Video-sorveglianza". Ciò evidenziato pare agevole ritenere che, certamente, la normativa Privacy ha subito una notevole "semplificazione" da non intendersi, però, quale abolizione in toto dell'intero sistema legislativo in materia che, al contrario, continua a persiste con gli obblighi imposti dal decreto stesso, tra cui la redazione del DPS (evitando solo l'aggiornamento dello stesso).

Resta comunque inteso come, a parere di PLS S.r.l., la redazione ed il continuo aggiornamento del DPS debba rimanere un onere inderogabile soggetto alle scadenze di Legge.
Detto documento, infatti, risulta essere l'unico "atto" certo (e con data certa) in grado di riportare una "fotografia" della compagine aziendale sia con specifico riferimento alla natura del trattamento dei dati, che con rilievo all'individuazione dei soggetti incaricati alla gestione degli stessi. Non solo, il DPS è un utile strumento, "di prova", da esibire in caso di contestazioni avanzate sia all'interno che all'esterno dell'Azienda stessa e come tale il Suo continuo aggiornamento risulta indispensabile. Infatti, per il tramite di questo scritto è possibile tracciare tutti gli interventi adottati dalle imprese ed i relativi piani di miglioramento volti a tutelare maggiormente i dati trattati. Il DPS, pertanto, rimane l'unico strumento sul quale l'impianto Privacy trova una solida applicazione e come tale si ritiene necessaria la sua predisposizione.

Maggiori informazioni nella sezione "Privacy" del sito GruppoPLS