DPS - AGGIORNAMENTI NORMATIVI 2012
Il decreto legge n. 70 del 13.05.2011 (convertito con L. 12.07.2011, n°106, "decreto sviluppo") ed il successivo Decreto Liberalizzazioni (pubblicato nella G.U. n. 19 del 24 Gennaio 2012: decreto legge 24.01.12 , n. 1 "Disposizioni urgenti per la concorrenza, lo sviluppo delle infrastrutture e la competitivita"), contengono rilevanti novità in materia di privacy soprattutto con specifico riferimento alla redazione Documento Programmatico sulla Sicurezza (DPS) ed all'obbligo di comunicare l'informativa privacy ogniqualvolta si riceva un curriculum vitae.
Proprio con riferimento al DPS spicca il processo di semplificazione relativo all'obbligo di aggiornamento dello stesso oggi sostituito dall'autocertificazione. Sul punto, il decreto sviluppo 2011 ha rivisto il testo del comma 1-bis nel quale viene stabilito che: "per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili e giudiziari quelli relativi ai propri dipendenti e collaboratori, anche se extracomunitari, compresi quelli relativi al coniuge e ai parenti, la tenuta di un aggiornato documento programmatico sulla sicurezza (DPS) è sostituita dall'obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del D.P.R. n° 445/2000 (testo unico documentazione amministrativa), di trattare soltanto tali dati in osservanza delle misure minime di sicurezza previste dal presente codice e dal disciplinare tecnico contenuto nell'allegato B). In relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrativo – contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, ..., individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico contenuto nel citato allegato B) in ordine all'adozione delle misure minime di cui al comma 1. 1-ter...". Se a ciò si aggiunge il mancato obbligo di rendere l'informativa privacy (prevista dall'art. 13 d.lgs. 196/03) nel caso in cui si ricevano curriculum vitae inviati spontaneamente da potenziali candidati sembrerebbe che dell'impianto Privacy nulla debba più essere fatto.
In realtà così non è!!
Soprassedendo su eventuali considerazioni circa l'obbligo di redazione/aggiornamento del DPS ed i criteri di semplificazione indicati nel Disciplinare Tecnico, giova rilevare come le modifiche su riportate non contemplino alcuna modifica/revoca delle sanzioni previste in caso di mancata ottemperanza delle numerose disposizioni in materia e riportate non solo del decreto del 30 giugno 2003, n. 196, ma anche dalle norme ad esso collegate.
Infatti, se il legislatore ammette "...l'autocertificazione del Titolare di trattare i dati personali in osservanza delle misure minime..." solo come misura volta ad evitare "... un aggiornato documento programmatico sulla sicurezza (DPS)...", lo stesso non lo considera, certo, un intervento sostitutivo del Titolare che non abbia mai redatto il DPS.
Ma vi è di più, le norme su richiamate nulla dicono in merito ad eventuali "deroghe" sugli altri adempimenti che, ad oggi, debbono, comunque, essere assolti dal Titolare stesso.
Tra questi si citano, a mero titolo esemplificativo ma non certo esaustivo, la nomina del'amministratore di sistema (introdotto con le "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008" (G.U. n. 300 del 24 dicembre 2008)), la nomina – se prevista – del/dei Responsabile/i (art. 29 d.lgs. 196/03), la nomina degli Incaricati e la relativa formazione, nonché l'obbligo di assolvere alle misure minime di sicurezza previste ed imposte, sia per il trattamento di dati informatici che cartacei, dall'art. 33 d.lgs. 196/03, così come la regolamentazione degli impianti di "Video-sorveglianza". Ciò evidenziato pare agevole ritenere che, certamente, la normativa Privacy ha subito una notevole "semplificazione" (solo sull'aggiornamento DPS) da non intendersi, però, quale abolizione in toto dell'intero sistema legislativo in materia che, al contrario, continua a persiste con gli obblighi imposti dal decreto stesso.
Resta comunque inteso come, a parere di PLS S.r.l., la redazione/aggiornamento del DPS debba rimanere un onere inderogabile in capo al Tiolare.
Detto documento, infatti, risulta essere l'unico "atto" certo (e con data certa) in grado di riportare una "fotografia" della compagine aziendale sia con specifico riferimento alla natura del trattamento dei dati, che con rilievo all'individuazione dei soggetti incaricati alla gestione degli stessi e, pertanto, impone un aggiornamento periodico. Non solo, il DPS è un utile strumento, "di prova", da esibire in caso di contestazioni avanzate sia all'interno che all'esterno dell'Azienda stessa, anche per questi motivi è utile avere un atto aggiornato. Infatti, per il tramite di questo scritto è possibile tracciare tutti gli interventi adottati dalle imprese ed i relativi piani di miglioramento volti a tutelare maggiormente i dati trattati. Il DPS, pertanto, rimane l'unico strumento sul quale l'impianto Privacy trova una solida applicazione e come tale si ritiene necessaria la sua predisposizione.
Il d.lgs. n. 231/01
Privacy
- AGGIORNAMENTI NORMATIVI DPS 2012
- Documento programmatico sulla sicurezza
- Amministratore di sistema
- Implementazione della sicurezza informatica
Contattaci
Gruppo PLS
via Gaetano Donizetti, 4
20122 - Milano
www.gruppopls.com
