CODICE PRIVACY per imprese e P.A. CODICE DELLA PRIVACY · Parte Prima 1. Guida pratica al codice...

Sape

r& f

are

con

la C

amer

a di

Com

mer

cio

N°

3A cura di Andrea Lisi e Marzio V. Vaglio

febbraio 2006

CODICE DELLA PRIVACY:risposte a quesiti pratici

®

Con una guida pratica al" CODICE PRIVACY"per imprese e P.A.

?????????????????????????????????f bb

?????P RI V

ACY !

- febbraio 2006 -

Con una

GUIDA PRATICA AL "CODICE PRIVACY"

PER IMPRESE E P.A.

CODICE DELLA PRIVACYrisposte a quesiti pratici

A CURA DI ANDREA LISI E MARZIO V. VAGLIO

A CURA DI ANDREA LISI

CODICE DELLA PRIVACY

Camera di Commercio Industria Artigianato Agricoltura di Padova 3

Presentazione

La Camera di Commercio e la sua Azienda speciale Promopadova lavorano con continuità per informare le aziende sulle novità normative che impattano sulle imprese di tutti i settori economici.

In particolare dall'inizio del 2004 si sono avviate iniziative per divulgare la nuova normativa sul trattamento dei dati personali (D. Lgs. 196 del 2003): tra febbraio e maggio 2004 sono stati organizzati 7 seminari gratuiti, quindi è stato creato lo “Sportello Privacy” che ha funzionato via e-mail da aprile 2004 a giugno 2005 presso l'Azienda speciale Promopadova.

Il presente opuscolo nasce proprio dal lavoro quotidiano di tale sportello che ha risposto a centinaia di quesiti, in collaborazione con gli avv. Andrea Lisi e Marzio Vaglio che hanno fornito la propria consulenza legale.

Alcuni di questi quesiti sono apparsi molto interessanti e di interesse per molte aziende. Pertanto è stato ritenuto opportuno mettere a disposizione di tutte le aziende, i professionisti, le Associazioni e gli Enti pubblici locali le risposte, aggiungendo anche una breve Guida pratica al Codice della Privacy che permetta di inquadrare meglio la normativa. La rielaborazione ha tenuto conto delle diverse interpretazioni della dottrina e della giurisprudenza sull'argomento. Gianfranco Chiesa Presidente CCIAA Padova

febbraio 2006

Parte Prima 1. Guida pratica al codice della privacy - a cura di Andrea Lisi a. Introduzione alla materia b. Gli “adempimenti-privacy” c. Le misure di sicurezza d. Il sistema sanzionatorio

Parte Seconda 1. F.A.Q.-Domande più frequenti: risposte ai 60 quesiti più segnificativi rivolti allo sportello privacy di PromoPadova - Azienda speciale della Camera di Commercio di Padova - a cura di Andrea Lisi e Marzio Vaglio

Parte Terza 1. Fac Simile di Documento Programmatico sulla Sicurezza redatto per le imprese - a cura di Andrea Lisi

Pag. 7Pag. 11Pag. 19Pag. 31Pag. 41

Pag. 43

Pag. 137


I N D I C E


per informazioni: www.garanteprivacy.it

GUIDA PRATICAAL CODICE DELLA PRIVACY

Per imprese e Pubblica Amministrazione

Parte prima

A cura di Andrea Lisi



Prefazione

Il diritto alla tutela dei dati personali, riportato nel giusto e più ampio alveo del diritto alla riservatezza (e soprattutto all'interno dei diritti naturali dell'individuo) va applicato con tranquillità e fermezza perché è il futuro che ce lo richiede.

La presente piccola guida si propone il delicato compito di provare a spiegare questa legge (D.Lgs. 196/2003), troppo spesso avvertita come un fastidioso fardello, attraverso una chiave di lettura il più possibile semplice, scevra da inutili intellettualismi dottrinali e difficili tecnicismi, per riportare la materia alle sue radici giuridiche.

Andrea Lisi



1. INTRODUZIONE ALLA MATERIA

Privacy e sicurezza sono due facce di un'unica medaglia, due aspetti inscindibili di una realtà sempre più digitalizzata che oramai ha preso piede in svariati ambiti della nostra società; oggi “privacy” non significa soltanto diritto di essere lasciati in pace (c.d. right to be alone) o di proteggere la propria sfera privata, ma anche e soprattutto diritto di controllare l'uso e la circolazione dei propri dati personali che costituiscono un bene primario nell'attuale Società dell'Informazione.

Un luogo comune è quello, infatti, di considerare la “legge sulla privacy” come il riconoscimento del “diritto all'anonimato”. In realtà, essa è cosa ben diversa; si tratta, infatti, del “diritto alla protezione dei dati personali”, fra l'altro già elevato a livello comunitario a diritto fondamentale della persona: il diritto alla privacy ed alla tutela dei dati personali è stato riconosciuto nel 2000 dalla “Carta dei diritti fondamentali dell'Unione Europea” (vedi art. 8 della Carta, ormai entrato a far parte della Costituzione europea).

Una regolamentazione giuridica omogenea in materia di privacy si è avuta a conclusione di un lungo iter legislativo che ha visto, il 29 luglio 2003, la pubblicazione in Gazzetta Ufficiale del D. Lgs. 30 giugno 2003 n. 196, “Codice in materia di protezione dei dati personali” (c.d. Testo Unico della Privacy). Tale Decreto, comunemente noto come “Codice Privacy”, è entrato in vigore il primo gennaio 2004, abrogando e sostituendo, tra l'altro, la precedente legge 675/1996 sulla privacy.

La particolare attenzione riservata dal legislatore al corretto trattamento dei dati personali, implica necessariamente il rispetto di tale normativa e, quindi, l'assolvimento di tutti gli adempimenti in esso contenuti.

Il Codice della privacy si compone di tre parti:



1) le disposizioni generali (contenute negli artt. 1-45), che concernono le regole “sostanziali” per la raccolta ed il trattamento dei dati personali, applicabili a tutti i tipi di trattamento, con talune eccezioni stabilite dalle disposizioni della Parte II;2) le disposizioni particolari stabilite per specifici trattamenti (contenute negli artt. 46-140), che individuano le regole applicabili a determinati settori;3) le disposizioni relative alle azioni di tutela dell'interessato e al sistema sanzionatorio (artt. 141-186).

Di seguito al Codice e parte integrante di esso, troviamo una serie di allegati:

- allegato A, relativo ai codici di condotta;- allegato B, recante il disciplinare tecnico in materia di misure minime di sicurezza;- allegato C, relativo ai trattamenti non occasionali effettuati in ambito giudiziario o per fini di polizia (peraltro non ancora pubblicato).

Gli adempimenti più importanti contenuti nel codice possono essere schematicamente così suddivisi:

1. adempimenti generali (informativa - art. 13, diritto di accesso - art. 7, eventuale consenso al trattamento dei dati - art. 23 )2. adempimenti speciali (notificazione al Garante solo nei casi specificamente indicati nell'art. 37 )3. adempimenti organizzativi (misure di sicurezza minime e idonee

- artt. 31 e segg.



Principio di necessità e modalità di trattamento dei dati personali

Principio cardine dell'intero Codice è il “Principio di necessità” (art. 3), che è considerato un ampliamento dei vecchi principi di pertinenza e non eccedenza dei dati rispetto alle finalità del trattamento e riveste certamente il ruolo di generale chiave interpretativa per tutti gli articoli del Codice. In base a tale principio, chiunque tratta dati personali dovrà fare in modo di assicurare che i dati personali stessi possano essere utilizzati solo e nella misura in cui sia strettamente necessario per il raggiungimento delle specifiche finalità, che di volta in volta dovranno essere specificate (e che devono essere nell'informativa che viene fornita all'interessato).Strettamente collegato al principio di necessità è l'art. 11 del Codice, il quale sviluppa al suo interno le linee guida fondamentali da seguire per qualsiasi trattamento di dati personali. Secondo questo fondamentale articolo i dati personali oggetto di trattamento sono:a) trattati in modo lecito e secondo correttezza;b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi;c) esatti e, se necessario, aggiornati;d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;e) conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati.



4 del Codice: per “trattamento” s'intende qualunque operazione o complesso di operazioni, effettuate anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati.

Ne risulta, a ben vedere, una definizione molto ampia che include qualsiasi tipologia di trattamento.

Possiamo riferire che, in generale, per le modalità del trattamento dei dati personali, è previsto un obbligo di correttezza a carico del titolare e,quindi, di esplicita indicazione delle finalità per cui tali dati sono raccolti; pertanto, i motivi che stanno alla base della raccolta o comunque di qualsiasi trattamento dovranno sempre essere:

- determinati- espliciti- legittimi

Questi principi acquisiscono certamente una importanza strategica nel trattamento dei dati on line, dove, se si vuole infondere fiducia nel proprio utente telematico, si deve fare in modo che il trattamento elettronico avvenga nella maniera più corretta possibile.

Dato personalePer dato personale si intende qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione identificati o identificabili, anche indirettamente, mediante riferimento a



A ben vedere, quindi, qualsiasi tipo di informazione, che consenta (anche in modo indiretto) l'individuazione del soggetto a cui le informazioni personali si riferiscono, è considerata dal Codice quale dato personale (ad esempio fotografie, filmati, indirizzo IP ecc…). Tali dati, quindi, dovranno essere sempre utilizzati per specifiche finalità e solo se strettamente necessari al conseguimento delle stesse, altrimenti dovranno essere utilizzati o in forma anonima o adottando un sistema che permetta l'identificazione dell'interessato solo in caso di necessità (in applicazione del principio di necessità contenuto nell'art. 3 del Codice).

Il dato personale per essere identificativo, inoltre, deve consentire l'individuazione diretta del soggetto interessato attraverso cognome, nome, data di nascita o codice fiscale.

Dato giudiziario e dato sensibileI dati giudiziari sono quei dati idonei a rivelare: tutte le iscrizioni nel casellario giudiziario delle condanne penali (come le pene inflitte o le pene convertite), ad eccezione delle sentenze dichiarative di fallimento e dei provvedimenti di interdizione, inabilitazione e revoca; le sanzioni amministrative dipendenti da reato; i carichi pendenti; lo status personale di imputato o indagato.

I dati sensibili sono quelli idonei a rivelare:a) origini razziali o etniche;b) convinzioni religiose, adesioni ad associazioni o organizzazioni di carattere religioso;c) convinzioni filosofiche o di altro genere, adesioni ad associazioni o organizzazioni a carattere filosofico;d) opinioni politichee) adesione a partiti politici o ad organizzazioni a carattere politico;f) adesioni a sindacati o a organizzazioni a carattere sindacale;g) stato di salute e la vita sessuale.



Tali dati per la loro delicatezza e importanza, per poter essere trattati, necessitano sempre del consenso scritto dell'interessato e di speciali autorizzazioni del Garante o devono comunque essere autorizzati da qualche legge.

Titolare, incaricato, responsabileSecondo l'art. 4 del Codice, titolare del trattamento di dati personali è “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”.

Responsabile del trattamento, invece, è “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali”. Si tratta di un soggetto nominato facoltativamente dal titolare del trattamento.

Figure sempre necessarie sono invece gli incaricati e, cioè, “le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile”.

Tutte queste figure devono ricevere sempre specifichi incarichi scritti dal titolare per tutti i futuri trattamenti che effettueranno all'interno dell'impresa o della pubblica amministrazione (si vedano, in proposito, gli artt. 28, 29, 30 del Codice).

Diritti dell'interessato“Interessato” è la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali.



Il Codice, per quanto riguarda il trattamento dei dati personali, riconosce all'interessato una serie di diritti (art. 7 del Codice):- il diritto di avere informazioni generali sui trattamenti di dati svolti nel nostro Paese; il diritto di accesso ai propri dati personali direttamente presso chi li detiene (cioè titolare del trattamento), di ottenere la conferma della loro esistenza e la loro comunicazione e di sapere da dove sono stati acquisiti e quali sono i criteri e gli scopi del trattamento; il diritto di ottenere la cancellazione o il blocco di dati che sono trattati violando la legge (ad esempio, perché non è stato chiesto il consenso); tali diritti possono essere esercitati anche quando non ci sono più motivi validi per conservare i dati; il diritto di aggiornare, correggere o integrare i dati inesatti e incompleti; il diritto, nei casi indicati nel punto 3 e 4, di ottenere anche un'attestazione da parte del titolare che tali operazioni sono state portate a conoscenza dei soggetti ai quali i dati erano stati precedentemente comunicati (a meno che ciò risulti impossibile o richieda un impegno sproporzionato rispetto al diritto tutelato); il diritto di opporsi, per motivi legittimi, al trattamento dei propridati; il diritto di opporsi al trattamento dei propri dati per scopi di informazione commerciale o per l'invio di materiale pubblicitario o di vendita diretta, oppure per ricerche di mercato.

A questi diritti dell'interessato, corrispondono altrettanti obblighi a carico del titolare del trattamento; indipendentemente dal tipo di attività svolta e, quindi, sia che il trattamento venga effettuato con l'ausilio di strumenti informatici sia con il solo materiale cartaceo il titolare dovrà sempre rendere effettivi per l'interessato sia il “diritto ad una adeguata informativa” e sia il diritto di “accesso ai propri dati personali” (che dovrà essere adeguatamente riscontrato nei termini di legge).



2. GLI ADEMPIMENTI PRIVACY

Per poter implementare una qualsiasi attività di trattamento di dati personali e procedere in maniera corretta è sempre necessario preliminarmente individuare i soggetti che a vario titolo avranno diritto di accesso ai dati trattati. Ciò essenzialmente per due ragioni: a) essere in grado di rispondere adeguatamente ad un'istanza avanzata in tal senso dall'interessato, al quale l'art. 7 comma 1, lett. e) del Codice attribuisce, tra l'altro, il diritto di conoscere i soggetti ai quali i dati possono essere comunicati o che ne possono comunque venire a conoscenza; b) poter pianificare eventuali nomine di “responsabili” o “incaricati” del trattamento, in quanto soggetti direttamente coinvolti nella gestione dei dati.

In linea generale, sono quattro i principali adempimenti che un'impresa è tenuta a porre in essere per poter correttamente procedere al trattamento dei dati personali:

1. notificazione al Garante; 2. comunicazione dell'informativa all'interessato; 3. acquisizione del consenso4. predisposizione di minime misure di sicurezza per il trattamento dei dati personali.

NotificazioneE' uno dei primi adempimenti da porre in essere: si tratta di una comunicazione (una sorta di “auto-dichiarazione”) che il titolare del trattamento rivolge al Garante della protezione dei dati personali (da inviare esclusivamente per via telematica), quando intende procedere a specifici trattamenti di particolari dati personali. Viene utilizzato un apposito modulo da inviare al Garante, in cui vengono descritte le principali caratteristiche del trattamento (categorie dei



Italia o all'estero, ai quali i dati sono eventualmente comunicati, misure di sicurezza adottate) e viene portata alla sua conoscenza la volontà del titolare di voler trattare dati personali di terzi, nell'espletamento di una determinata attività che si andrà ad iniziare. Deve essere effettuata prima di dare inizio al trattamento e non va ripetuta se non si modificano le caratteristiche del trattamento.

Mentre con la precedente legge 675/1995 tale prassi era la regola, adesso con il nuovo Codice l'obbligo di notificazione è confinato ad alcuni tassativi casi indicati nell'art. 37. Il titolare del trattamento, infatti, è tenuto a rispettare l'obbligo di notificazione solo quando tratta:- dati genetici, biometrici o che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica;- dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria;- dati trattati con l'ausilio di strumenti elettronici che definiscono il profilo o la personalità dell'interessato, analizzano le abitudini o le scelte di consumo, ovvero consentano di monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;- dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie;- dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla



accessibile al pubblico.

Con il provvedimento a carattere generale del 31 marzo 2004 il Garante ha interpretato l'art. 37, specificando in maniera restrittiva i casi in cui occorra procedere alla notificazione (il provvedimento è acquisibile sul sito del Garante - www.garanteprivacy.it).

Informativa privacy

Art. 13 del D. Lgs. 196/ 2003 - Informativa

L'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:

A) le finalità e le modalità del trattamento cui sono destinati i dati;B) la natura obbligatoria o facoltativa del conferimento dei dati;C) le conseguenze di un eventuale rifiuto di rispondere;D) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;E) i diritti di cui all'articolo 7;F) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili e indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile



riconosciuti a quest'ultimo dalla legge; tale informativa può essere fornita oralmente o per iscritto e serve nient'altro che a comunicare in maniera corretta all'interessato che verranno effettuati determinati trattamenti sui suoi dati personali. Si tratta di un atto per il quale non sono previste particolari formalità e che deve essere redatto in maniera chiara e sintetica

Rispetto alla precedente normativa, il contenuto di tale informativa (che ciascun titolare, privato o pubblico che sia, è tenuto a fornire all'interessato) è stato ampliato dal nuovo Codice, includendovi anche le informazioni circa i soggetti o le categorie di soggetti a cui i dati possono essere comunicati o coloro che possono venirne a conoscenza in qualità di responsabili o incaricati. Molto importante è anche l'informazione sulle finalità e modalità del trattamento, sull'eventuale trasferimento dei dati all'estero e sui diritti di accesso o di partecipazione al trattamento.

In sostanza, l'informativa è una comunicazione con la quale il titolare del trattamento illustra ai vari interessati il percorso che i dati seguiranno, al fine di consentirgli di poter verificare in qualunque momento se tale trattamento avviene nel rispetto delle regole.

Ricapitolando, l'informativa deve contenere le seguenti informazioni:

1) le finalità e le modalità del trattamento svolto;2) la natura obbligatoria o facoltativa del conferimento dei dati;3) le conseguenze dell'eventuale rifiuto del conferimento;4) l'ambito di comunicazione e diffusione dei dati;5) l'eventuale trasferimento dei dati all'estero;6) i diritti dell'interessato;7) l'indicazione del titolare;8) l'indicazione del responsabile eventualmente individuato o di quello designato per l'esercizio dei diritti dell'interessato (tra cui il



trattamento (ovviamente se ce ne sono).

Informativa e sito webParticolare attenzione deve essere prestata se l'informativa viene inserita in un sito web; infatti, l'attività economica svolta in internet comporta praticamente sempre il trattamento di dati personali (anche la semplice iscrizione ad una newsletter informativa comporta il trattamento di dati degli utenti). La stessa attività di profilazione dei visitatori in modo da conoscerne gusti, preferenze e strutturare così un'efficace azione di marketing “one to one” nei suoi confronti, comporta un trattamento di dati, in quanto così facendo si procede ad un attento studio dei log file e dei cookies (con l'utilizzo di appositi software).Queste pratiche commerciali, scontrandosi con diritti dell'interessato alla protezione dei propri dati personali, non sono vietate all'imprenditore dalla normativa italiana, ma impongono allo stesso di fornire all'interessato una adeguata informazione sulle finalità e modalità del trattamento (art. 13 del Codice privacy).

Per quanto riguarda il mondo di internet, quindi, la raccolta e il trattamento dei dati sono certamente sottoposti alla normativa italiana in materia di protezione dei dati personali, ma l'applicazione della legge è un po' più complessa; infatti, la raccolta deve avvenire in modo esplicito, attraverso la predisposizione di un form elettronico, nel quale viene richiesto all'utente di indicare i propri dati personali (nome; cognome; tel.; indirizzo e-mail) e viene ad esso garantito il diritto di accedere, modificare o cancellare i suoi dati secondo l'art. 7 del D. L.gs. 196/2003).

Secondo quanto stabilito dal Gruppo europeo di Lavoro per la tutela dei dati personali (Raccomandazione 2/2001 relativa ai requisiti minimi per la raccolta di dati on line nell'Unione Europea adottata il 17.5.2001), ai fini della raccolta dovranno essere comunicate all'interessato, facendole apparire direttamente sullo schermo, le seguenti informazioni:

1. l'identità del responsabile del trattamento;2. la/le finalità del trattamento;3. la natura obbligatoria o facoltativa delle informazioni richieste;4. i destinatari o le categorie di destinatari dei dati raccolti;5. l'esistenza del diritto di accesso e di rettifica;6. l'esistenza del diritto di opporsi a qualsiasi comunicazione dei dati a terzi con finalità diverse dalla fornitura del servizio richiesto e le modalità per esercitare tale diritto;7. l'esistenza di procedure di raccolta automatica di dati prima di utilizzare simili metodi per detta raccolta;8. il livello di sicurezza nel corso di tutte le fasi del trattamento compresa la trasmissione.

Tali informazioni andrebbero fornite in tutte le lingue usate nel sito web e, specialmente, in quei passaggi ove avviene la raccolta dei dati personali.

A prescindere dal fatto che la raccolta venga effettuata sul web o meno, le informazioni contenute nell'“informativa privacy” devono essere rese all'interessato nel momento della raccolta dei suoi dati oppure, in caso di raccolta di dati presso terzi, non oltre il momento della registrazione dei dati o della loro prima comunicazione degli stessi.

Nella raccolta on line dei dati personali, è buona norma precisare anche le conseguenze di un eventuale rifiuto a fornire i dati, specificando nell'apposito form quali di questi siano facoltativi e quali, invece, obbligatori (apponendo su di essi un [*] asterisco); ricordiamo che per obbligatorietà deve intendersi il necessario conferimento che scaturisce da disposizioni normative, senza il quale sarebbe impossibile fornire il servizio richiesto e dare così attuazione agli specifici accordi contrattuali eventualmente presi.

Da questa breve elencazione del contenuto dell'informativa, risulta che il titolare del trattamento dovrà predisporre informative,



sufficientemente precise, complete e diverse a seconda delle varie categorie interessate (i parametri di riferimento sono l'analisi delle singole categorie interessate, la natura dei dati trattati, le diverse finalità e la tipologia dei dati trattati), per non incorrere in eventuali sanzioni previste dal Codice. Nell'informativa, oltre all'indicazione degli articoli 7 e 13 del Codice, dovrà, essere indicato il responsabile del trattamento (se è stato designato, poiché si tratta di una figura facoltativa) e l'eventuale responsabile per il riscontro.

Nel caso di un sito web, si dovrà sempre indicare il sito di riferimento o le altre modalità idonee a consentire la conoscenza dell'eventuale elenco completo dei responsabili.

Il consenso al trattamentoL'art. 23 del Codice, al primo comma, sancisce che “il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato”.

Il trattamento dei dati personali, infatti, presuppone un preventivo consenso informato da parte dell'interessato (il consenso dell'interessato deve essere manifestato dopo avergli conferito, quindi, un'adeguata informativa e previa autorizzazione del Garante ove richiesta).

Il consenso non è altro che una libera ed espressa manifestazione di volontà con la quale l'interessato accetta un determinato trattamento dei suoi dati personali, sul quale è stato preventivamente informato. Tale manifestazione di volontà deve essere esplicita, libera e documentata per iscritto.

La funzione del consenso è quella di autorizzare il titolare a trattare i dati personali dell'interessato e si distingue in un consenso semplice (cioè fornito oralmente, ma comunque documentato per iscritto) per il trattamento dei dati comuni ed un consenso



necessariamente essere fornito per iscritto in riferimento a quei dati definiti sensibili.

La mancanza del consenso può comportare anche l'applicazione di sanzioni penali (come sono previste sanzioni amministrative in caso di mancata o inidonea informativa), ferma restando la responsabilità civile in caso di accertamento di eventuali danni derivanti dall'uso illecito dei dati raccolti (ex art. 15 del Codice).

Ci sono dei casi in cui il consenso per il trattamento dei dati personali - non sensibili - non è richiesto (art. 24 D.lgs 196/2003). In particolare, il consenso non è richiesto quando:a) è necessario per adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;b) è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche r ichieste dell'interessato (es. nella fatturazione, nella fase di trattativa commerciale).Per quanto concerne lo svolgimento di attività economiche si deve far riferimento all'attività svolta dall'interessato e non a quella svolta dal titolare: il titolare, pertanto, non deve richiedere il consenso al suo fornitore per trattare il dato necessario allo svolgimento dell'attività economica di quest'ultimo (si pensi alla partita IVA dovuta ai fini di fatturazione);c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati;d) riguarda dati relativi allo svolgimento di attività economiche, trattati nel rispetto della vigente normativa in materia di segreto aziendale e industriale;e) è necessario per la salvaguardia della vita o dell'incolumità fisica di un terzo. Se la medesima finalità riguarda l'interessato e quest'ultimo non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere, il consenso è manifestato da chi esercita



legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente o, in loro assenza, dal responsabile della struttura presso cui dimora l'interessato;f ) con esclusione del la diffusione, è necessario ai f ini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;g) con esclusione della diffusione, è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, anche in riferimento all'attività di gruppi bancari e di società controllate o collegate, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell'interessato (principio del bilanciamento di interessi);h) con esclusione della comunicazione all'esterno e della diffusione, è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, in riferimento a soggetti che hanno con essi contatti regolari o ad aderenti, per il perseguimento di scopi determinati e legittimi individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo, e con modalità di utilizzo previste espressamente con determinazione resa nota agli interessati all'atto dell'informativa ai sensi dell'articolo 13;i) è necessario, in conformità ai rispettivi codici di deontologia di cui all'allegato A), per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici presso archivi privati dichiarati di notevole interesse storico ai sensi dell'articolo 6, comma 2, del decreto legislativo 29 ottobre 1999, n. 490, di approvazione del testo unico in materia di beni culturali e ambientali o, secondo quanto previsto dai medesimi codici, presso altri archivi privati.



I soggetti pubblici (come pubblica amministrazione, enti camerali, alcuni enti previdenziali o assistenziali, ecc.), inoltre, non hanno l'obbligo di raccogliere il consenso degli interessati, poiché la legge consente loro di effettuare trattamenti di dati personali soltanto per lo svolgimento delle funzioni istituzionali, nei limiti stabiliti da leggi e da regolamenti (si vedano in proposito gli artt. 18-22 del Codice). In proposito, può essere utile prendere attenta visione della direttiva n. 1 dell'11/02/2005 della Pres. del Consiglio dei Ministri - Dipartimento della Funzione pubblica.

Espressione del consenso nei siti webNel caso del titolare di un sito web il consenso al trattamento non è un obbligo sempre previsto e, ad esempio, quando il trattamento dei dati è necessario per adempiere a specifiche richieste dell'interessato al servizio on line, si ricade nelle esclusioni dell'art. 24 del Codice.

Quando il consenso è invece necessario, il titolare del sito aziendale dovrà avere l'accortezza di inserire nella specifica pagina del sito web un'apposita “casella di spunta”, sulla quale occorre cliccare per attestare l'avvenuta autorizzazione al trattamento dei propri dati personali (previa visione di un'adeguata informativa ex art. 13 del Codice).

Anche per internet il consenso deve essere preventivo rispetto al trattamento dei dati e, perché sia validamente prestato, deve essere espresso “liberamente” e “in relazione ad un trattamento chiaramente individuato”(il “consenso omnibus”, dunque, viene visto come una sostanziale esclusione del principio stesso del consenso), nonché deve essere sempre “informato” (ossia preceduto, come già sottolineato, da una corretta informativa). Qualora abbia ad oggetto dati sensibili, il consenso deve essere rilasciato in forma scritta, mentre, negli altri casi, è sufficiente che sia “documentato” per iscritto.



AUTORIZZAZIONI DEL GARANTE E TRATTAMENTO DEI DATI SENSIBILIL'art. 26 del Codice recita espressamente “i dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell'interessato (salvi i casi di esclusione espressamente previsti nello stesso articolo) e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti dal presente codice, nonché dalla legge e dai regolamenti”. L'autorizzazione è, quindi, un provvedimento adottato dal Garante con cui il titolare (ente, azienda o libero professionista) viene autorizzato a trattare determinati dati “sensibili” o “giudiziari” o a trasferire dati personali all'estero.Il Garante, ad oggi, ha emanato una serie di “autorizzazioni generali” che consentono il trattamento dei dati sensibili a determinate categorie di titolari.In particolare, in tema di dati sensibili e giudiziari, il Garante ha emanato sette autorizzazioni generali, che consentono a varie categorie di titolari di trattare dati per gli scopi specificati senza dover chiedere singolarmente un'apposita autorizzazione.Si distinguono in Generali e Specifiche: le prime, sono emanate dal Garante annualmente e riguardano il trattamento dei dati in specifici settori; le seconde, sono quelle che non rientrano nelle autorizzazioni generali e che, come tali, necessitano di una specifica ed individuale autorizzazione.Il Garante ha recentemente rilasciato le nuove 7 autorizzazioni al trattamento dei dati sensibili e giudiziari che saranno efficaci dal 1° gennaio 2006 sino al 30 giugno 2007. Le autorizzazioni generali sono facilmente acquisibili sul sito web del Garante. .





3. LE MISURE DI SICUREZZA

Posto che “riservatezza” non ha lo stesso significato di “sicurezza”, la tutela della privacy non può prescindere da un'adeguata predisposizione di strumenti di difesa che impediscano la perdita accidentale dei dati o l'accesso abusivo agli stessi.

Per “misure di sicurezza”, pertanto, devono essere intesi tutti gli accorgimenti e i dispositivi utilizzati per garantire che:

i dati non vadano distrutti o persi anche in modo accidentale; che solo le persone autorizzate possano avere accesso ai dati; che non siano effettuati trattamenti contrari alle norme di legge o diversi da quelli per cui i dati erano stati raccolti.

Sicurezza e InternetL'esigenza di protezione dei dati è avvertita in maniera ancor più concreta nel mondo di internet, dato che si tratta di una “rete aperta”, una rete, cioè, in cui i messaggi sono sempre esposti al rischio di accessi non autorizzati e viaggiano liberamente da un computer all'altro, con la possibilità di essere continuamente intercettati. Ecco, quindi, che emerge l'esigenza, per le aziende, enti e pubbliche amministrazioni che operano ormai quotidianamente su internet, di proteggersi con strumenti più adeguati e sofisticati.

Rispetto alle più ampie misure che il titolare deve applicare a tutela dei dati, infatti, il Codice e, più in particolare, il suo allegato B del Codice ha indicato delle specifiche misure di sicurezza che è obbligatorio adottare per non correre il rischio di perdita o distruzione dei dati e di “incappare” anche in responsabilità penali e per garantire così un livello minimo di protezione agli strumenti informatici.

Sono stati fissati, quindi, una serie di criteri e accorgimenti (es.



titolari devono adottare e che sono via via più pregnanti a seconda che il trattamento elettronico riguardi dati personali comuni o sensibili. Tali misure, inoltre, dovranno essere sempre adeguate periodicamente in base allo sviluppo tecnologico ed all'esperienza maturata.

Particolari misure di sicurezza sono comunque previste anche in caso di trattamenti cartacei di dati personali.

Misure di sicurezza minime e idoneeLe misure di sicurezza previste dal Codice sono, quindi, classificate dal legislatore in “minime” e “idonee”.

Le prime (disciplinate dagli artt. 33 e ss. del Codice ed individuate in maniera specifica dal disciplinare tecnico di cui al c.d.”allegato B”) sono volte ad assicurare un livello minimo di protezione dei dati personali trattati, tanto che una loro mancata adozione comporta notevoli sanzioni (illecito punito dell'art. 169 T.U con l'arresto fino a 2 anni o con l'ammenda da 10.000 a 50.000 Euro).

Le seconde (disciplinate dall'art. 31 del Codice), impongono al titolare del trattamento dei dati personali la predisposizione di tutte quelle misure di sicurezza idonee a ridurre al minimo “i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”, in modo che i dati personali oggetto di trattamento siano “custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento”.Quindi, nonostante l'adeguamento alle misure minime - espressamente indicate dal legislatore negli artt. 33 e segg. e dall'allegato B e la cui mancata adozione è pesantemente sanzionata - comporti per il titolare del trattamento l'assenza di responsabilità penali, tuttavia, non si può escludere un eventuale

del titolare del trattamento in azioni di risarcimento danni da responsabilità civile, qualora l'evoluzione tecnologica abbia reso disponibili accorgimenti ulteriori che soddisfino le misure dichiarate “idonee”. Il titolare del trattamento potrebbe essere, infatti, responsabile perchè “chiunque cagiona danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell'art. 2050 c.c.” (art. 15, D. Lgs. 196/03); norma che equipara di fatto il trattamento di dati personali all'“esercizio di attività pericolose”. Una tale responsabilità potrà essere esclusa solo se si dimostra di aver adottato tutte le misure idonee ad evitare il danno.

Riassumendo, le imprese o le pubbliche amministrazioni che operino trattamenti di dati personali nelle loro attività on line o off line, al fine di “ridurre i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”, dovranno:a) osservare il livello di sicurezza minimo di legge (per evitare conseguenze penali); b) approntare le misure di sicurezza ulteriori ed idonee, che in base al singolo caso concreto si potevano predisporre (altrimenti potrebbero essere costrette a risarcire i danni eventualmente cagionati a terzi).

Le misure di sicurezza minimePer quanto riguarda le misure di sicurezza minime espressamente indicate dal legislatore, l'art. 35 del Codice prevede che “il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unità



archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati”.

Mentre l'art. 34 afferma che “il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: autenticazione informatica; adozione di procedure di gestione delle credenziali di autenticazione; utilizzazione di un sistema di autorizzazione; aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; tenuta di un aggiornato documento programmatico sulla sicurezza; adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari”

Tra le varie misure di sicurezza minime previste ed in base alle disposizioni del Codice che regolano la particolare materia della sicurezza dei dati personali, particolare attenzione merita la predisposizione del c.d. Documento Programmatico sulla Sicurezza (D.P.S.) - si ricorda che, dopo le continue proroghe concesse dal legislatore (il 22 dicembre 2005 il Governo ha approvato un nuovo decreto "milleproroghe" -D.L. 30 dicembre 2005, n.273 - contenente l'ennesima proroga della proroga delle misure minime di sicurezza), il termine ultimo per adeguarsi a tale misura di sicurezza è il 31 marzo 2006, (salvo ulteriori provvedimenti di proroga).



IL D.P.S.Il DPS è un dettagliato resoconto sulle misure di sicurezza adottate da imprese ed enti pubblici, nella loro qualità di titolari, circa il trattamento di dati personali altrui, al fine di evitare o ridurre al minimo il verificarsi di qualsiasi tipo di evento che possa mettere in pericolo o recare un danno a carico degli stessi dati personali.

Sostanzialmente, il DPS può essere considerato una fotografia della privacy policy adottata in tema di sicurezza dei dati personali e, una volta redatto, esso deve essere custodito in un luogo preciso e sicuro per eventuali possibili controlli.

Per individuare i soggetti tenuti alla redazione di tale documento, bisogna far riferimento agli articoli 33 e ss. del Codice, nonché alle disposizioni di cui all'Allegato B al Codice stesso. Le misure individuate dal Codice e definite “minime”, come già ricordato, sono volte ad assicurare un livello minimo di protezione dei dati personali (art. 33), rappresentando la base minima da cui partire per dotarsi di misure di sicurezza sempre migliori e più efficaci e per evitare di incorrere nelle sanzioni penali previste dall'art. 169.

Infatti, i parametri per garantire la sicurezza dei dati personali sono soggetti a continue variazioni, e questo:- in base alle conoscenze acquisite in base al progresso tecnico;- in base alla natura dei dati e alle specifiche caratteristiche del trattamento (art. 31).

In tema di redazione del DPS bisogna far riferimento alle operazioni di trattamento dei dati personali a seconda che le stesse avvengano con o senza l'ausilio di strumenti elettronici (vd. art. 34 - Trattamenti con strumenti elettronici - ed art. 35 - Trattamenti senza l'ausilio di strumenti elettronici, che richiamano anche il disciplinare tecnico dell'Allegato B); solo l'art. 34 dispone, nell'ipotesi di trattamento elettronico di dati personali, la tenuta di un aggiornato documento programmatico sulla sicurezza. Quindi,





strumenti elettronici, non occorre la redazione del DPS, anche se nel caso in cui il trattamento cartaceo abbia ad oggetto dati sensibili e/o giudiziari, i punti 27 e ss. dell'Allegato B prevedono delle regole procedurali piuttosto rigide e, forse, la redazione del DPS rimarrebbe più che opportuna.

Occorre riferire che secondo l'interpretazione di buona parte della dottrina, l'art. 34, integrato dalla disposizione del punto 19 del Disciplinare tecnico / allegato B), farebbe risultare l'obbligo (penalmente sanzionato) di predisposizione del DPS solo per il titolare che effettua trattamenti di dati sensibili o giudiziari tramite strumenti elettronici (interpretazione confermata anche dal Parere del Garante del 24 marzo 2004 ).

Si può così concludere che il DPS, secondo una lettura letterale e rigida della nuova normativa, sarebbe dovuto sempre nelle ipotesi di trattamento elettronico di dati personali di qualsiasi tipo (ex art. 34 del Codice) e sarebbe consigliabile nelle ipotesi di trattamento cartaceo di dati sensibili e giudiziari. Invece, secondo una interpretazione più elastica della normativa in vigore, la redazione del DPS sarebbe obbligatoria solo e soltanto in presenza di trattamenti elettronici di dati sensibili.

Parere acquisibile sul sito del Garante per la protezione dei dati personali. Si sottolinea, in proposito, che quelli del Garante sono pareri di natura non vincolante per un giudice e ancora non ci sono provvedimenti giudiziali che possano costituire un minimo di precedente o comunque una chiave di lettura sicura per l'interprete. Anche per tale motivo a parte della dottrina e allo scrivente avv. Lisi appare preferibile una lettura più ampia e rigida degli obblighi di redazione del DPS. Vi è, tuttavia, chi non è d'accordo con tale linea interpretativa, sostenendo che, benché il parere del Garante non sia giuridicamente vincolante, tuttavia l'interpretazione fornita dall'Authority derivi da una lettura combinata delle norme. Quindi vi è un dibattito in dottrina non ancora sanato da interpretazioni

autentiche o precedenti giurisprudenziali.

1

1

A parere di chi scrive, in presenza di questo dibattito dottrinale e a prescindere dalla obbligatorietà (sanzionata penalmente con l'art. 169 del Codice) del D.P.S. quale misura minima di sicurezza, tale documento è altamente consigliabile nel caso in cui - sulla base di una ragionata analisi della propria organizzazione - si sia in presenza di una struttura interna complessa e informatizzata. Inoltre, il D.P.S. è sempre uno strumento utile perché offre al titolare la possibilità di provare, con un documento cartaceo, di aver adottato tutte quelle misure volte ad evitare danni (o quantomeno a ridurli) derivanti dal trattamento di dati personali altrui, anche in considerazione del fatto che l'attività di trattamento è paragonata dal nostro legislatore (vd. già citato art. 15 del Codice) ad una attività pericolosa di cui all'art. 2050 c.c., con ogni conseguenza che ne deriva in tema di risarcimento danni (anche non patrimoniali) ed onere della prova.

Il contenuto del DPS varia da impresa ad impresa ed a seconda che si tratti di azienda, Pubblica Amministrazione o Ente Pubblico.

Questo documento deve contenere:

- l'elenco dei trattamenti di dati personali; - la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati; - l'analisi dei rischi che incombono sui dati; - le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; - la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a possibili eventi di distruzione o danneggiamento; - la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più



rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare; - la descrizione dei criteri da seguire per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al Codice, all'esterno della struttura del titolare; - inoltre, per quei dati personali idonei a rivelare lo stato di salute e la vita sessuale, il Codice prevede l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.

L'utilità di tale documento è rinvenibile, soprattutto, nella possibilità di comprendere il funzionamento dell'azienda o della Pubblica Amministrazione circa i trattamenti effettuati al loro interno e, cosa più importante, consentirà una tutela efficace contro possibili sanzioni penali e pretestuose richieste di risarcimento danni provenienti da quanti ritengono di essere stati vittime di eventuali violazioni nel trattamento dei loro dati personali.

Con l'entrata in vigore della Legge 1 marzo 2005, n. 26, tuttavia, si è avuto un ulteriore slittamento dei termini per l'adeguamento alle “nuove misure minime di sicurezza”. In particolare, è stato modificato l'art 180 del D. Lgs. 196/2003, che ha prorogato il termine per l'adozione del DPS, che è stato così posticipato al 31 dicembre 2005 (si ricorda che questo termine è stato recentemente prorogato al 31 marzo 2006); inoltre, per chi utilizza strumenti elettronici che non permettono l'immediato adeguamento alle misure minime (ad esempio, chi possiede pc con sistemi operativi obsoleti), il termine per tale adeguamento scadrà il 31 marzo 2006 (prorogato con il recente decreto “milleproroghe” al 30 giugno 2006), purché il titolare del trattamento rediga un documento avente data certa contenente le obiettive ragioni tecniche che non consentono il dovuto adeguamento.





N.B.Tale proroga, di fatto, non ha comportato l'intero slittamento dell'applicazione della normativa sulla privacy, riferendosi solo alle sole nuove misure di sicurezza non previste dalla precedente normativa (legge 675/1996 e il D.P.R. n. 318/1999). Tra gli adempimenti che devono già essere posti in essere si sottolinea, quindi, l'importanza e l'obbligatorietà di un'idonea informativa e la nomina (da farsi per iscritto) di incaricati e di eventuali responsabili; la regola del necessario consenso prima di effettuare il trattamento dei dati (fatte salve le eccezioni previste dal Codice nell'art. 24), nonché l'obbligo di attribuzione di codici identificativi personali per l'utilizzo degli strumenti informatici.



4. IL SISTEMA SANZIONATORIO

Al sistema sanzionatorio è dedicato il Titolo III della Parte III del Codice della Privacy.

Nel Capo primo vengono definite le sanzioni amministrative (le novità più rilevanti, rispetto alla normativa precedente, si rinvengono sotto il profilo dell'inasprimento delle sanzioni):

Art. 161(Omessa o inidonea informativa all'interessato)

1. La violazione delle disposizioni di cui all'articolo 13 è punita con la sanzione amministrativa del pagamento di una somma da tremila euro a diciottomila euro o, nei casi di dati sensibili o giudiziari o di trattamenti che presentano rischi specifici ai sensi dell'articolo 17 o, comunque, di maggiore rilevanza del pregiudizio per uno o più interessati, da cinquemila euro a trentamila euro. La somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore.

Art. 162(Altre fattispecie)

1. La cessione dei dati in violazione di quanto previsto dall'articolo 16, comma 1, lettera b), o di altre disposizioni in materia di disciplina del trattamento dei dati personali è punita con la sanzione amministrativa del pagamento di una somma da cinque mila euro a trentamila euro.2 La violazione della disposizione di cui all'articolo 84, comma 1, è punita con la sanzione amministrativa del pagamento di una somma da cinquecento euro a tremila euro.

Art. 163(Omessa o incompleta notificazione)

1. Chiunque, essendovi tenuto, non provvede tempestivamente alla notificazione ai sensi degli articoli 37 e 38, ovvero indica in essa notizie incomplete, è punito con la sanzione amministrativa del pagamento di una somma da diecimila euro a sessantamila euro e con la sanzione amministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento che la applica.

Art. 164(Omessa informazione o esibizione al Garante)

1. Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi degli articoli 150, comma 2, e 157 è punito con la sanzione amministrativa del pagamento di una somma da quattromila euro a ventiquattromila euro.

Art. 165(Pubblicazione del provvedimento del Garante)

1. Nei casi di cui agli articoli 161, 162 e 164 può essere applicata la sanzione amministra-tiva accessoria della pubblicazione dell'ordinanza-ingiunzione, per intero o per estratto, in uno o più giornali indicati nel provvedimento che la applica.

Art. 166(Procedimento di applicazione)

1. L'organo competente a ricevere il rapporto e ad irrogare le sanzioni di cui al presente capo e all'articolo 179, comma 3, è il Garante. Si osservano, in quanto applicabili, le disposizioni della legge 24 novembre 1981, n. 689, e successive modificazioni. I proventi, nella misura del cinquanta per cento del totale annuo, sono riassegnati al fondo di cui all'articolo 156, comma 10, e sono utilizzati unicamente per l'esercizio dei compiti di cui agli articoli 154, comma 1, lettera h), e 158.



Nel Capo secondo vengono descritte le varie condotte che costituiscono illecito penale:

Art. 167(Trattamento illecito di dati)

1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 18, 19, 23, 123, 126 e 130, ovvero in applicazione dell'articolo 129, è punito, se dal fatto deriva nocumento, con la reclusione da sei a diciotto mesi o, se il fatto consiste nella comunicazione o diffusione, con la reclusione da sei a ventiquattro mesi.2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 17, 20, 21, 22, commi 8 e 11, 25, 26, 27 e 45, è punito, se dal fatto deriva nocumento, con la reclusione da uno a tre anni.

Art. 168(Falsità nelle dichiarazioni e notificazioni al Garante)

1. Chiunque, nella notificazione di cui all'articolo 37 o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni.

Art. 169(Misure di sicurezza)

1. Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con l'arresto sino a due anni o con l'ammenda da diecimila euro a cinquantamila euro.2. All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superi ore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell'ammenda stabilita per la contravvenzione. L'adempimento e il pagamento estinguono il reato. L'organo che impartisce la prescrizione e il pubblico ministero provvedono nei modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, e successive modificazioni, in quanto applicabili.

Art. 170(Inosservanza di provvedimenti del Garante)

1. Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi degli articoli 26, comma 2, 90, 150, commi 1 e 2, e 143, comma 1, lettera c), è punito con la reclusione da tre mesi a due

anni.Art. 171

(Altre fattispecie)1. La violazione delle disposizioni di cui agli articoli 113, comma 1, e 114 è punita con le sanzioni di cui all'articolo 38 della legge 20 maggio 1970, n. 300.

Art. 172(Pene accessorie)

1. La condanna per uno dei delitti previsti dal presente codice importa la pubblicazione della sentenza

Per l'impresa che opera in internet, vista la potenziale diffusione alla quale possono essere sottoposti i dati personali trattati ed il conseguente pregiudizio che l'interessato potrebbe subire, appare ragionevole l'astratta applicabilità delle sanzioni più alte o dei massimi edittali. E' consigliabile, quindi, che il trattamento “on line” dei dati personali avvenga con lo stesso rigore del trattamento



F.A.Q. - Domande più frequenti:

risposte ai 60 quesiti più significativi rivolti allo

"sportello privacy" di PromoPadova

Azienda speciale della Camera di Commercio di Padova.

A cura di

Avv. Andrea Lisi - www.studiodl.it

e

Avv. Marzio Vaglio - www.vaglio.org

Parte seconda

Nuova informativa-tipo Fac-simile informativa per clienti e fornitori Informativa-tipo per raccolta dati e invio e-mail senza consensoInformativa privacy ente pubblicoInformativa contenuta nei pieghevoli informativi Informativa L. 675/96 - Legittimità Vecchia informativa e consenso Informativa per fornitori e clienti Caso gestione busta paga per dipendenti iscritti a un sindacato Autorizzazione del garante e differenza con notifica Modalità di notifica al garante Caso azienda di telemarketing - Operare secondo mandatoTelemarketing e privacyTrattamento dati sensibili e cifratura Studio di commercialisti e rapporti con garante Caso agenzia immobiliare: dati personali raccolti su indicazione dell'interessato e natura dei dati. Caso di società immobiliare ed eventuale necessità di notifica al garante Consenso e dati inseriti in pubblici registriDati gestiti da dipendentiCaso CED (Centro Elaborazione Dati) - E' necessario il consenso per il trattamento di dati obbligatori da trasmettere a Inps, Inail, ecc.? Oneri di privacy per operare in attività su mandato Notifica al garante e dati sensibili Cosè il DPS ? Consenso e Dps per aziende operanti nel commercio (Dati non sensibili) DPS (Documento Programmatico sulla Sicurezza) Obbligo di DPS DPS, proroghe e data certa DPS e data certaBilancio aziendale e DPSDPS, nota integrativa e relazioni sulla gestioneDPS - Società capogruppo e filiali Dati sensibili e obbligatorietà del DPS

1)2)3)4)5)6)7)8)9)

10)11)12)13)14)15)16)

17)

18)19)20)

21)22)23)24)

25)26)27)28)29)30)31)32)

Pag. 49Pag. 50Pag. 53Pag. 54Pag. 55Pag. 57Pag. 58Pag. 59Pag. 60Pag. 61Pag. 64Pag. 65Pag. 66Pag. 70Pag. 71

Pag. 72

Pag. 73Pag. 74Pag. 75

Pag. 76Pag. 77Pag. 80Pag. 81

Pag. 82Pag. 85Pag. 87Pag. 90Pag. 92Pag. 93Pag. 94Pag. 98Pag.100

Indice dei quesiti



DPS e controlli di carattere ispettivo Territorialità dei dati per consenso Videosorveglianza e normativa Scadenza per la notifica per aziende con videosorveglianza Telecamera senza registrazione Caso azienda produttrice di dispositivi medici su misura Notifica per azienda produttrice di dispositivi medici su misura Interpretazione del trattamento elettronico dei "dati sensibili e giudiziari” Azienda di software e titolarità del trattamento dei dati Dati giudiziari per un'azienda di software Società di software e obblighi privacy Responsabilità nella creazione di software gestionali DPS e azienda di software Obbligatorietà della sala server Custodia delle copie di back up Misure di sicurezza e pc nel magazzino Screen saver e pw Dati personali dei dipendenti Distribuzione dei dati personali degli ex dipendenti Cv e privacy Regolamento informatico interno Trattenute, assegni familiari e dati sensibiliPrivacy e foto da inserire su sito webNormativa privacy applicabile per il sito webPrivacy e permanenza su un sitoDati forniti a gestore di sito webPrivacy e form elettroniciPrivacy e cookies

33)34)35)36)37)38)39)40)

41)42)43)44)45)46)47)48)49)50)51)52)53)54)55)56)57)58)59)60)



Pag. 102Pag. 102 Pag. 103Pag. 104Pag. 104Pag. 105Pag. 108

Pag. 109 Pag. 112

Pag. 114Pag. 117Pag. 120Pag. 121Pag. 123Pag. 125Pag. 125Pag. 126 Pag. 127Pag. 127Pag. 129Pag. 129Pag. 131Pag. 132Pag. 132Pag. 133Pag. 133Pag. 134Pag. 134



1. NUOVA INFORMATIVA - TIPOQuale potrebbe essere la traccia di una informativa-tipo per un'Azienda?

RISPOSTA Avv. Andrea Lisi“D. Lgs. 30 giugno 2003, n° 196 - Codice in materia di protezione dei dati personali.Ai sensi e per gli effetti del D. Lgs. 196/2003, l'Azienda Y, sottoscrive la presente quale espresso consenso al trattamento dei propri dati personali da parte dell'Azienda X, e conferma di aver ricevuto informativa sui seguenti punti:1) i dati personali verranno trattati esclusivamente per gli scopi connessi ai fini istituzionali dell'Azienda X, ovvero dipendenti da obblighi di legge, ivi compresa l'adozione di misure di sicurezza;2) i dati personali potranno essere trattati anche per finalità di informazione circa le attività promozionali e di formazione promosse dall'Azienda X, anche con newsletter a mezzo e-mail e/o fax e/o posta di superficie;3) i dati personali verranno trattati manualmente e con strumenti automatizzati, conservati per la durata prevista dal D. Lgs. 196/2003 e alla fine distrutti;4) il conferimento dei dati è obbligatorio per beneficiare dei servizi di cui sopra e l'eventuale diniego di consenso comporta l'impossibilità per l'Azienda X di erogare il servizio richiesto;5) i dati personali non saranno diffusi presso terzi;6) l'azienda interessata gode dei diritti assicurati dall'art. 7 del citato D.Lgs. 196/2003, che potranno essere esercitati, secondo l'art. 8 D. Lgs. 196/2003, mediante apposita richiesta al titolare o al responsabile del trattamento;7) titolare del trattamento è ....................... [deve esserci sempre]; responsabile/i del trattamento è/sono ......................................[se designato/i].8) I dati verranno trattati dalle seguenti categorie di incaricati……………… (Amministrazione, personale, Uff. tecnico etc…)

Data ..........................................



2. FAC SIMILE INFORMATIVA PER CLIENTI E FORNITORIAvete dei fac-simile di informativa da mandare ai clienti e ai fornitori (la nostra azienda si occupa esclusivamente di vendita e acquisto ricambi per auto)?

RISPOSTA Avv. Andrea LisiPer fornire una adeguata informativa deve essere conosciuta bene la società di riferimento in modo da poter redigere l'informativa in maniera concreta e secondo le esigenze dell'azienda. Uno schema utile come riferimento può essere quello che segue:"Informativa ai sensi dell'art. 13 del decreto legislativo 30 giugno 2003, n. 196 in materia di protezione dei dati personali"Gentile Utente/Cliente,La informiamo che ai sensi dell'art.13 del decreto legislativo n. 196/03 i dati personali da Lei gentilmente forniti saranno trattati presso la __________ S.p.A. avente sede in ________________ (__) alla Via _________, ___ - Tel. ____________ - Fax n. ______________ mediante registrazione cartacea ed elettronica e verranno utilizzati al solo scopo di:- ottemperare agli obblighi previsti dalla legge, dai regolamenti e/o dalla normativa comunitaria ed internazionale;- dare integrale esecuzione a tutti gli obblighi contrattuali;- elaborare studi e ricerche statistiche e di mercato;- inviare materiale pubblicitario ed informativo;- compiere attività dirette di vendita o di collocamento;- inviare informazioni commerciali;- effettuare comunicazioni commerciali interattive;- (…)I dati da Lei forniti potranno essere portati a conoscenza di terzi per i quali ciò risulti necessario ed indispensabile (o comunque funzionale) per lo svolgimento delle attività della ___________ S.p.A.; in ogni caso il trattamento avverrà con modalità idonee a garantirne la sicurezza e la riservatezza. I dati raccolti, sia a seguito di conferimento obbligatorio sia a seguito di conferimento facoltativo, possono quindi essere comunicati a _______________________________ (NB. riportare i soggetti o le



possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi).Il conferimento dei Suoi dati personali è obbligatorio/facoltativo al fine di adempiere agli obblighi derivanti dal contratto e, in generale, agli adempimenti di legge. Il loro eventuale mancato conferimento potrebbe comportare l'impossibilità da parte nostra di adempiere agli obblighi contrattualiIn ogni caso potrà esercitare i diritti previsti dall'art. 7 del D.Lgs. n. 196/2003 che per chiarezza e completezza verrà integralmente riportato in calce alla presente informativa; responsabile del riscontro è il Sig. ____________________________ (NB. o il titolare o un responsabile nominato ad hoc; in ogni caso indicare gli estremi identificati del responsabile ivi inclusi, oltre a nome, cognome ed indirizzo, un numero di telefono e l' indirizzo e-mail da contattare). Il titolare del presente trattamento dei suoi dati personali è: ___________ S.P.A. Sede____________ Tel. ____________ Fax_____________ e-mail:________@____.it La _______________S.p.A. le assicura che il presente trattamento dei dati personali si svolge nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali. La ______________ S.p.A. le assicura, altresì, un elevato livello di tutela di tali diritti e di tali libertà nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità previste per il loro esercizio da parte Sua, nonché per l'adempimento degli obblighi da parte del titolare del trattamento. Per garantire la sicurezza dei dati trattati è redatto un documento programmatico della sicurezzaLetta l'informativa, redatta ai sensi del decreto legislativo n. 196/03, autorizzo la ___________S.p.A., al trattamento dei miei dati personali per le finalità di cui all'informativa sopra riportata.

Data, ___________________ Firma,__________________



Art. 7 d. Lgs. n. 196/03 "Diritto di accesso ai dati personali ed altri diritti"1. L'interessato ha diritto di ottenere la conferma dell'esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.2. L'interessato ha diritto di ottenere l'indicazione:a) dell'origine dei dati personali;b) delle finalità e modalità del trattamento;c) della logica applicata nel trattamento effettuato con l'ausilio di strumenti elettronici;d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'articolo 5, comma 2;e) dei soggetti o delle categorie ai quali i dati personali possono essere comunicat i o che possono venirne a conoscenza in qual i tà d i rappresentante designato nel territorio dello Stato, di responsabili o incaricati.3. L'interessato ha diritto di ottenere:a) l 'aggiornamento, la rettificazione ovvero, quando vi ha interesse, l'integrazione dei dati;b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;c) l'attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.4. L'interessato ha diritto di opporsi, in tutto o in parte:a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta;b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale".



3. INFORMATIVA TIPO PER RACCOLTA DATI e INVIO E-MAIL senza consensoGradirei avere una “traccia di informativa tipo” per la raccolta di dati tramite application form e sapere anche se è possibile inviare e-mail commerciali senza aver preventivamente acquisito il consenso dei destinatari.

RISPOSTA degli addetti allo sportello Privacy di Promopadova, Azienda speciale della CCIAA di PDGentile Sig.ra ****,qui di seguito troverà una traccia di informativa tipo:“D. Lgs. 30 giugno 2003, n° 196 - Codice in materia di protezione dei dati personali.Ai sensi e per gli effetti del D. Lgs. 196/2003, l'Azienda X, sottoscrive la presente quale espresso consenso al trattamento dei propri dati personali da parte dell'Azienda X, e conferma di aver ricevuto informativa sui seguenti punti:1) i dati personali verranno trattati esclusivamente per gli scopi connessi ai fini istituzionali dell'Azienda X, ovvero dipendenti da obblighi di legge, ivi compresa l'adozione di misure di sicurezza;2) i dati personali potranno essere trattati anche per finalità di informazione circa le attività promozionali e di formazione promosse dall'Azienda X, anche con newsletter a mezzo e-mail e/o fax e/o posta di superficie;3) i dati personali verranno trattati manualmente e con strumenti automatizzati, conservati per la durata prevista dal D. Lgs. 196/2003 e alla fine distrutti;4) il conferimento dei dati è obbligatorio per beneficiare dei servizi di cui sopra e l'eventuale diniego di consenso comporta l'impossibilità per l'Azienda X di erogare il servizio richiesto;5) i dati personali non saranno diffusi presso terzi;6) l'azienda interessata gode dei diritti assicurati dall'art. 7 del citato D.Lgs. 196/2003, che potranno essere esercitati, secondo l'art. 8 D. Lgs. 196/2003, mediante apposita richiesta al titolare o al responsabile del trattamento;7) titolare del trattamento è ....................... [deve esserci sempre]; responsabile/i del trattamento è/sono ......................................[se designato/i].Data ..........................................Timbro e firma .............................



Per quanto riguarda, i Suoi dubbi riguardo alla possibilità di inviare via e-mail della pubblicità; in linea generale non è consentito, a meno che Lei non abbia preventivamente richiesto il consenso ai destinatari, per poter utilizzare i dati concessi per questo tipo di finalità.Ovviamente quando venga inviata un'e-mail ad un'azienda che ha rapporti commerciali con il mittente questo fa parte della normale corrispondenza e non è richiesto il consenso. L'art 24 del D.Lgs. 196/2003 afferma infatti che il consenso non è richiesto “quando è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato” (es. nella fatturazione, nella fase di trattativa commerciale). Anche l'invio di una singola e-mail personalizzata, indirizzata ad esempio al responsabile acquisti di un'azienda per offrire prodotti utili all'attività aziendale - se si tratta non di invio ripetuto, ma di un unico invio, dopo il quale attendo il contatto spontaneo dell'azienda destinataria del messaggio - è da considerarsi lecito e non ha bisogno del consenso del destinatario, sempre grazie a quanto previsto dall'art. 24. D'altro canto se non fosse così i contatti commerciali si fermerebbero.Infatti la legge è stata studiata appositamente per evitare lo spamming (invio generalizzato di materiale informativo via e-mail non richiesto dal ricevente).

4. INFORMATIVA PRIVACY ENTE PUBBLICOUn Ente Pubblico deve adottare una nuova informativa sulla Privacy (dicitura da inserire negli inviti a convegni da esso organizzati da distribuire agli utenti).In che modo si deve impostare/strutturare tale informativa?

RISPOSTA Avv. Marzio VaglioD. Lgs. 30 giugno 2003, n 196 - Codice in materia di protezione dei dati personali.Ai sensi e per gli effetti del D. Lgs. 196/2003, il partecipante/Azienda



sottoscrive la presente quale espresso consenso al trattamento dei propri dati personali da parte della “ENTE PUBBLICO X” di “LUOGO/PROVINCIA della sede” e conferma di aver ricevuto informativa sui seguenti punti:- i dati personali verranno trattati esclusivamente per gli scopi connessi ai fini istituzionali della “ENTE PUBBLICO X” di“LUOGO/PROVINCIA ovvero dipendenti da obblighi di legge, ivi compresa l'adozione di misure di sicurezza; - i dati personali potranno essere trattati anche per finalità di informazione circa le attività promozionali e di formazione promosse dall' “ENTE PUBBLICO X”, anche con newsletter a mezzo e-mail e/o fax e/o posta di superficie; - i dati personali saranno trattati manualmente e con strumenti automatizzati, conservati per la durata prevista dal D. Lgs. 196/2003 e alla fine distrutti;- il conferimento dei dati è obbligatorio per beneficiare dei servizi di cui sopra e l'eventuale diniego comporta l'impossibilità per “ENTE PUBBLICO X”, di erogare il servizio richiesto;- i dati personali non saranno diffusi presso terzi;- l'azienda interessata gode dei diritti assicurati dall'art. 7 del citato D.Lgs. 196/2003, che potranno essere esercitati, secondo l'art. 8 D. Lgs. 196/2003, mediante apposita r ichiesta al titolare o al responsabile del trattamento; - titolare del trattamento è l'“ENTE PUBBLICO X”, di “LUOGO/PROVINCIA della sede”; responsabile/i del trattamento è il Sig./Sig.ra….(indicare il nome del responsabile).- I dati verranno trattati dalle seguenti categorie di incaricati……… . . .(uff. amministrazione, formazione etc…)

5. INFORMATIVA CONTENUTA NEI PIEGHEVOLI INFORMATIVISe nei pieghevoli informativi (brochure) includo il modulo di “richiesta informazioni” dove l'interessato dovrà inserire i propri dettagli, compresi e-mail e nr. telefono , quale frase o paragrafo devo inserire per l'autorizzazione del trattamento dati personali? Potrebbe essere:Il sottoscritto acconsente all'inserimento dei propri dati personali



nella banca dati tenuta da ***** Srl e al loro trattamento, ai fini della comunicazione delle informazioni richieste dallo stesso e della diffusione delle attività promozionali promosse dalla ***** Srl.?RISPOSTA Avv. Andrea LisiL'informativa ex art. 13 del D.Lgs. 196/2003 può essere fornita oralmente o per iscritto e deve contenere tutte le indicazioni contenute nel I comma di detto articolo.In particolare l'interessato deve essere informato obbligatoriamente su:a) le finalità e le modalità del trattamento cui sono destinati i dati;b) la natura obbligatoria o facoltativa del conferimento dei dati;c) le conseguenze di un eventuale rifiuto di rispondere;d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;e) i diritti di cui all'articolo 7;f ) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili e indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all'articolo 7, è indicato tale responsabile.L'informativa può essere fornita anche sinteticamente, ma deve contenere sostanzialmente l'indicazione di tutti questi dati. Essa, inoltre, può non comprendere gli elementi già noti alla persona che fornisce i dati (ex II comma dell'art 13).Nel caso prospettato un'informativa relativa alla cessione di dati personali per ottenere una determinata informazione, attraverso il loro inserimento in un form elettronico di un sito web o attraverso il loro inserimento in una brochure, non esime il titolare del trattamento dal fornire una adeguata, se pur sintetica, informativa. Si sottolinea inoltre che il titolare del trattamento dovrà fornire l'informativa, ma può anche non richiedere espressamente il consenso al trattamento



che è "in re ipsa" con la richiesta di informazioni e la fattispecie ricade, infatti, nei casi di esclusione del consenso previsti nell'art. 24 del D.Lgs. 196/2003.Un'informativa adeguata e sintetica potrebbe essere questa:<< Informativa ex art. 13 del D.Lgs. 196/2003Gentile Signore/a, i dati personali da Lei gentilmente forniti saranno utilizzati dalla Società -------- - con sede in via ......., tel........., email............. - titolare del trattamento, al solo scopo di soddisfare la sua richiesta di informazioni e saranno trattati elettronicamente dai dipendenti della stessa società nelle banche dati tenute presso la sua sede.In particolare, la Società ------------ utilizzerà i dati personali da Lei forniti al solo scopo di informarla su future attività promozionali e di formazione, anche attraverso newsletter o a mezzo e-mail e/o fax e/o posta.I Suoi dati non verranno comunicati o diffusi a terzi.Si informa, inoltre, che l'interessato al trattamento gode dei diritti assicurati dall'art. 7 del sopra citato D.Lgs. 196/2003, che potranno essere esercitati, secondo l'art. 8 D. Lgs. 196/2003, mediante apposita richiesta al titolare (o al responsabile del riscontro, figura facoltativa)>>

6. INFORMATIVA L. 675/96 - LEGITTIMITÀQuesito posto da alcuni soci dell'associazione sindacale per la quale lavoro. In alcune fatture di fornitura trovano apposto il seguente timbro: "Legge 675/96 - Tutela della privacy - la ns società tratta i Vostri dati di cui dispone al solo fine dello svolgimento dei rapporti con voi intercorrenti in relazione a tale trattamento potete esercitare i diritti previsti dall'art.13 della predetta legge". I soci mi chiedono se possono utilizzare a loro volta tale timbro per ottemperare all'obbligo dell'informativa; sarebbe, infatti, un modo semplice e veloce! In attesa di risposta, ringrazio anticipatamente per la collaborazione.

RISPOSTA Avv. Andrea Lisi L'informativa contenuta nel quesito fa riferimento ad una legge ormai abrogata, la L. 675/96, quindi non deve essere assolutamente utilizzata.



Essa oltre a far riferimento ad una legge abrogata è anche incompleta e troppo generica. Oggi è in vigore il D.Lgs. 196/03 (il cd. Codice Privacy) e, quindi, l'informativa deve far riferimento al decreto legislativo vigente e contenere tutte le indicazioni previste dall'art. 13 dello stesso. In particolare, l'art. 13 del Codice che precisa l'interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati oralmente o per iscritto circa:a) le finalità e le modalità del trattamento cui sono destinati i dati;b) la natura obbligatoria o facoltativa del conferimento dei dati;c) le conseguenze di un eventuale rifiuto di rispondere;d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;e) i diritti di cui all'articolo 7;f ) gli estremi identificativi del titolare e, se designati, del rappresentante nel territorio dello Stato ai sensi dell'articolo 5 e del responsabile. Quando il titolare ha designato più responsabili e indicato almeno uno di essi, indicando il sito della rete di comunicazione o le modalità attraverso le quali è conoscibile in modo agevole l'elenco aggiornato dei responsabili. Quando è stato designato un responsabile per il riscontro all'interessato in caso di esercizio dei diritti di cui all' articolo 7, è indicato tale responsabile. L'informativa deve quindi necessariamente contenere questi dati e deve essere differenziata in considerazione delle specifiche finalità del trattamento dei dati.

7. VECCHIA INFORMATIVA E CONSENSOPosso continuare con la vecchia informativa e consenso?

RISPOSTA Avv. Marzio VaglioNo.Occorre adeguarsi a quanto previsto dall'art. 13 (informativa) e dall'art. 23 (consenso) del nuovo Codice della Privacy, nonché da altre specifiche norme ivi previste per particolari trattamenti o categorie di dati.Inoltre, fino al 30 giugno 2007 (*) è ancora in vigore il sistema delle autorizzazioni generali del Garante: in particolare, l'Autorizzazione



Generale n° 4/2005, consente ai liberi professionisti iscritti in albi o elenchi professionali di trattare i dati sensibili.

(*) Oggi sono in vigore 7 autorizzazioni generali (nn. 1/2005, 2/2005, 3/2005, 4/2005, 5/2005, 6/2005 e 7/2005 rilasciate il 21 dicembre 2005) la cui efficacia è stata differita dal Garante sino al 30 giugno 2007.

8. INFORMATIVA PER FORNITORI E CLIENTILa mia Azienda ha una banca dati clienti/fornitori molto ampia. Devo mandare l'informativa a tutti? Anche ai clienti/fornitori occasionali con cui non ho rapporti da anni, ma dei quali conservo ancora documenti di vendita/acquisto?

RISPOSTA Avv. Andrea LisiAnche in questo caso valgono le ragioni della concretezza e dell'opportunità. I dati che trattiamo senza alcuna ragione vanno cancellati e distrutti ex art. 16 del Codice. Se continuiamo a trattarli per scopi identici e inerenti ad un pregresso rapporto commerciale possiamo continuare a trattarli se abbiamo ancora delle pendenze o delle ragioni aziendali che rendono necessario tale trattamento. Resta comunque fermo solo l'obbligo di dare adeguata informativa (che può essere fornita anche o oralmente o per iscritto in forma sintetica), considerando che in caso di contratti o di trattative commerciali l'art. 24 non richiede il consenso dell'interessato al trattamento, così anche se conserviamo i dati per assolvere ad adempimenti fiscali. Ovviamente per il futuro in tutte le nostre comunicazioni commerciali e in tutti i nostri contratti andrà sempre fornita una essenziale e sintetica informativa ex art. 13 che è utile inserire - come detto - sul sito web aziendale insieme a tutte le altre indicazioni obbligatorie che dobbiamo inserire nelle nostre comunicazioni (reali o virtuali che siano).



9. CASO “GESTIONE BUSTA PAGA” PER DIPENDENTI ISCRITTI A UN SINDACATOUno studio di consulenza, gestisce le buste paga di diverse aziende.Nell'ipotesi in cui alcuni dipendenti di cui si gestiscono le buste paga siano iscritti ad un Sindacato di lavoratori, come ci si deve comportare ai fini del rispetto della normativa?1) Quali obblighi sono in carico all'azienda?2) Quali obblighi sono in carico allo studio di consulenza che gestisce le buste paga?3) I dati di iscrizione ad un sindacato sono dati sensibili?

I certificati medici dei dipendenti assenti dal lavoro come devono essere considerati?a) Quali obblighi sono in carico all'azienda?b) Quali obblighi sono in carico allo studio di consulenza che gestisce le buste paga?c) I certificati medici sono dati sensibili?

RISPOSTA Avv. Marzio Vaglio e Avv. Andrea LisiE' ancora in vigore il sistema delle autorizzazioni generali del Garante (*). In particolare, sono rilevanti per il caso proposto:l'Autorizzazione Generale n° 1/2005, che consente il trattamento dei dati sensibili finalizzato alla gestione dei rapporti di lavoro;l'Autorizzazione Generale n° 4/2005, che consente ai liberi professionisti iscritti in albi o elenchi professionali di trattare i dati sensibili.In virtù delle citate disposizioni, il trattamento può esser svolto senza l'obbligo di una specifica autorizzazione al Garante.Inoltre, per quanto concerne i dati di iscrizione ad un sindacato ed i certificati medici, essi sono certamente dati sensibili. I certificati medici, in particolare, riportano dati sensibili, per la precisione dati idonei a rivelare lo stato di salute e la vita sessuale; il trattamento di essi è soggetto a regole molto rigide. Si può dire, in maniera generale, che per chi effettua questa tipologia di trattamenti sussiste sempre l'obbligo d'informativa all'interessato e normalmente di acquisirne il consenso, nonché



ovviamente il dovere di adeguarsi alle misure minime (e idonee) di sicurezza, tra le quali anche la redazione del DPS (in caso di trattamento elettronico dei dati).Il trattamento può essere effettuato solo nelle modalità e con i limiti espressi dalla stessa Autorizzazione Generale e nel rispetto della normativa comunitaria ed italiana (oggi il Codice della Privacy) in vigore.Va sottolineato che è prevista un'esenzione dal consenso per il trattamento dei dati sensibili da parte del datore di lavoro, quando il trattamento stesso sia necessario per adempiere a specifici obblighi o adempimenti previsti da norme relative alla gestione del rapporto di lavoro, anche in materia di igiene e sicurezza, previdenza e assistenza, nei limiti previsti dall'autorizzazione, e ferme restando le disposizioni del codice di deontologia e di buona condotta che dovrebbe essere emanato a breve.Infine, è opportuno che l'azienda e lo studio di consulenza formalizzino contrattualmente i loro rapporti relativi al trattamento dei dati con specifiche clausole che determinino le reciproche responsabilità e i profili di incarico.


10. AUTORIZZAZIONE DEL GARANTE E DIFFERENZA CON NOTIFICACosa si intende per autorizzazione del Garante di cui al comma 4 dell'art. 26 del Codice?In cosa si differenzia dalla notifica?Dove si possono trovare le autorizzazioni generali di cui all'art. 40 del Codice?

RISPOSTA Avv. Marzio Vaglio e Avv. Andrea LisiAUTORIZZAZIONE:L'art. 26, comma 1 del Codice, prevede che i soggetti privati e gli enti pubblici economici possono trattare i dati sensibili solo previa



consenso scritto degli interessati, nell'osservanza dei presupposti e dei limiti stabiliti dal Codice, nonché dalla legge e dai regolamenti; Il comma 4, lett. d), del medesimo art. 26, precisa che i dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante, quando il trattamento medesimo è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti previsti dall'autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona condotta del Codice; L'art. 40 del Codice Privacy prevede che il Garante possa rilasciare sia specifiche autorizzazioni sia autorizzazioni di carattere generale per alcune categorie di titolari o di trattamenti. Il Garante ha sino ad ora pubblicato 7 autorizzazioni generali al fine di evitare l'obbligo per alcuni titolari di trattamento di dover inoltrare richieste individuali. Tali Autorizzazioni riguardano il trattamento di dati sensibili effettuati da alcune categorie di titolari (datori di lavoro, liberi professionisti, associazioni e fondazioni etc.). Pertanto solo coloro che non rientrano nel campo di applicazione delle autorizzazioni generali devono, nei casi previsti dalla legge, fare richiesta al Garante per ottenere l'autorizzazione. In definitiva l'art. 26, comma 4, lett. d) stabilisce che il datore di lavoro può trattare i dati sensibili dei propri dipendenti senza consenso (nei limiti di quanto indicato nella lettera d)) e sulla base dell'Autorizzazione generale n. 1 (autorizzazione generale inerente al trattamento dei dati sensibili nei rapporti di lavoro). Le autorizzazioni generali sono pubblicate in Gazzetta Ufficiale e, comunque, sono a disposizione sul sito web del Garante (www.garanteprivacy.it)

NOTIFICAZIONE: (art. 37 del Testo Unico) Notificazione del TrattamentoLa notificazione è una dichiarazione con la quale il titolare del trattamento trasmette al Garante i dati relativi alla propria attività di trattamento dei dati. Con l'entrata in vigore del Codice privacy



l'obbligo di notificazione si ha solo nei casi espressamente previsti dall'art. 37 del Codice privacy. La notificazione va effettuata solo in via telematica collegandosi al sito del Garante e compilando lo specifico modello (che va sottoscritto con firma digitale). Si ricorda che la sanzione per la mancata notifica è di tipo pecuniario ed è ricompresa tra diecimila e sessantamila euro (art. 163 Codice). 1. Il titolare notifica al Garante il trattamento di dati personali cui intende procedere, solo se il trattamento riguarda: dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria; dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale; dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie; dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti.2. Il Garante può individuare altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell'interessato, in ragione delle relative modalità o della natura dei dati personali, con proprio



provvedimento adottato anche ai sensi dell'articolo 17. Con analogo provvedimento pubblicato sulla Gazzetta ufficiale della Repubblica italiana il Garante può anche individuare, nell'ambito dei trattamenti di cui al comma 1, eventuali trattamenti non suscettibili di recare detto pregiudizio e pertanto sottratti all'obbligo di notificazione. (*)3. La notificazione e' effettuata con unico atto anche quando il trattamento comporta il trasferimento all'estero dei dati.4. Il Garante inserisce le notificazioni ricevute in un registro dei trattamenti accessibile a chiunque e determina le modalità per la sua consultazione gratuita per via telematica, anche mediante convenzioni con soggetti pubblici o presso il proprio Ufficio. Le notizie accessibili tramite la consultazione del registro possono essere trattate per esclusive finalità di applicazione della disciplina in materia di protezione dei dati personali.

(*) Con il provvedimento a carattere generale del 31 marzo 2004 il Garante ha interpretato l'art. 37, specificando in maniera restrittiva i casi in cui occorra procedere alla notificazione (il provvedimento è acquisibile sul sito del Garante - www.garanteprivacy.it)

11. MODALITA' DI NOTIFICA AL GARANTEModalità di notifica al Garante: invio telematico con firma digitale.Se un soggetto obbligato alla notifica non ha il dispositivo di firma digitale, può far inviare telematicamente la notifica ad una persona che ha il dispositivo di firma digitale (soprattutto in rapporto a quanto disposto dai commi 2 e 3 dell'art. 38 del Codice)?

RISPOSTA Avv. Marzio VaglioLa notificazione è valida solo se effettuata secondo le modalità di cui all'art. 38 del Codice. Può essere eventualmente effettuata, secondo quanto disposto dal comma 3°, per il tramite esclusivamente di soggetti autorizzati, quali associazioni di categoria o ordini professionali.



12. CASO AZIENDA DI TELEMARKETING - OPERARE SECONDO MANDATO

Un'azienda X di Telemarketing che opera principalmente con aziende (gestione appuntamenti per la forza vendita).I database a cui la suddetta Azienda X, sono forniti dalla ditta Y oppure sono reperiti dall'elenco telefonico On-line delle pagine gialle. La telefonata ha come obiettivo il fissare degli appuntamenti che saranno eseguiti da incaricati commerciali dell'azienda committente.(Business To Business).Riguardo al contatto telefonico, dal testo di legge mi sembra non ci siano problemi particolari.Per un cliente in specifico facciamo anche un "arricchimento" del database finalizzato al "refresh" della banca dati (dati relativi all'anagrafica corretta ed indirizzo e-mail); premetto che tali informazioni ci vengono fornite volontariamente dagli intervistati. Per tale attività (gestione database) è necessaria la comunicazione al garante? Se tale azienda X ha come cliente una nota banca dati istituzionale, già in contatto frequente con il garante, è a loro o nostro carico la comunicazione?Un'eventuale attività telefonica per appuntamenti (senza arricchimento alcuno del database) effettuata su famiglie private comporta degli obblighi particolari?

RISPOSTA Avv. Marzio VaglioL'attività di telemarketing è regolare se effettuata con intervento di operatore che, con una comunicazione individuale e diretta al destinatario/consumatore, richiede ed ottiene il consenso ad ulteriori contatti o all'invio di materiale pubblicitario.Se si fa raccolta di dati personali con questa modalità, occorre comunque richiedere il consenso al trattamento e dare l'informativa di cui all'art. 13 D. Lgs. 196/2003. Ciò è obbligatorio e vi sono sanzioni in caso di omissione.Quanto agli obblighi di notifica e comunicazione al Garante, occorre in via preliminare valutare se l'Azienda tratta anche dati sensibili e se rientra o meno nel precedente regime di autorizzazioni generali



(www.garanteprivacy.it), che sono state prorogate fino al 30.06.2004 (*); in secondo luogo bisogna verificare se l'attività dell'Azienda X rientri nella fattispecie dell'art. 37, lett. d) da cui deriverebbe l' obbligo di notifica. Non si hanno sufficienti elementi per verificare il caso dell'Azienda Y richiedente, anche se è verosimile che essa rientri in una delle categorie interessate dalle predette autorizzazioni generali.In relazione all'acquisizione di data base di terzi:1) è necessario ricevere garanzia che il titolare del trattamento "cedente" sia in regola con gli adempimenti imposti dalla normativa e, in particolare, che l'interessato abbia espresso il consenso al trasferimento (salvo i casi in cui tale consenso non è richiesto).2) chi riceve la banca dati diviene a sua volta titolare: assume quindi tutti i conseguenti obblighi.


13. TELEMARKETING E PRIVACYLa nostra azienda svolge un'attività di telemarketing (soprattutto outbound, ma in futuro anche inbound) Contattiamo sia privati che aziende e i nominativi sono di 4 tipologie:- ci vengono fornite le liste direttamente dal cliente (soprattutto 187 - telecom)- acquistiamo delle banche dati sia business che residenziali- sono nominativi presenti in elenco pubblico- abbiamo nominativi provenienti da istituti scolastici con una selezione di persone diplomate o laureate.Principalmente fissiamo incontri e appuntamenti o selezioniamo potenziali clienti interessati ad essere ricontattati dal responsabile del servizio.Abbiamo 32 postazioni informatizzate, collegate al CRM ed ognuna con una sua login e password.Quali provvedimenti dobbiamo prendere per la legge sulla privacy



secondo il garante? Nella pratica, cosa dobbiamo fare per essere in regola e per presentare correttamente il DPS (dove troviamo quello giusto per la nostra attività, dove lo dobbiamo inviare, ecc). Ho letto qualche giorno fa in un quotidiano che il Garante può individuare delle modalità semplificate in particolare per i call center come il nostro.

RISPOSTA Avv. Andrea LisiGli adempimenti generali previsti dal D. Lgs. 196/2003 sono tanti e complessi e non sono previste particolari agevolazioni e/o semplificazioni per le società che svolgono un servizio di telemarketing come la Vostra. Il Garante può effettivamente promuovere ai sensi dell'art. 140 "la sottoscrizione di un codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale, prevedendo anche, per i casi in cui il trattamento non presuppone il consenso dell'interessato, forme semplificate per manifestare e rendere meglio conoscibile l'eventuale dichiarazione di non voler ricevere determinate comunicazioni.". Ad oggi comunque non sono stati adottati codici di condotta in materia (anche se sono in fase di elaborazione a livello comunitario). In ogni caso e in via generale, possono individuarsi in capo alla Vs. società:a) adempimenti generali: informativa e consenso (art. 13 e art. 23 del D. Lgs. 196/03);b) adempimenti speciali: notificazione al Garante;c) adempimenti organizzativi: misure di sicurezza e redazione DPS (Documento Programmatico sulla Sicurezza). d) L'informativa all'interessato deve essere sempre fornita, seppur in forma semplificata, a prescindere dalla stessa richiesta di consenso al trattamento (che, in alcuni casi espressamente previsti dall'art. 24 del D.Lgs. citato, può essere esclusa). L'adempimento relativo all'informativa va analizzato in ogni specifico caso da Voi prospettato, onde stabilire anche la Vostra specifica qualità (titolare o responsabile in outsourcing) nell'ambito del trattamento dei dati che avete ricevuto o "acquistato". Per quanto concerne



l'ambito scolastico, ad esempio, l'art. 96 del D. Lgs. citato prevede che "al fine di agevolare l'orientamento, la formazione e l'inserimento professionale, anche all'estero, le scuole e gli istituti scolastici di istruzione secondaria, su richiesta degli interessati, possono comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti scolastici, intermedi e finali, degli studenti e altri dati personali diversi da quelli sensibili o giudiziari, pertinenti in relazione alle predette finalità e indicati nell'informativa resa agli interessati ai sensi dell'articolo 13. I dati possono essere successivamente trattati esclusivamente per le predette finalità". e) Occorre pertanto verificare sempre e di volta in volta se i dati che riceviamo possono essere trattati in relazione al nostro scopo del trattamento e se gli interessati siano stati adeguatamente informati e abbiano eventualmente prestato il loro consenso (e - nella maggior parte dei casi - dovrà essere stipulata una specifica convenzione atta a regolamentare i rapporti tra colui che "cede" i dati e colui che li "riceve"). f ) Si ricorda, infine, che da ultimo il Garante ha con parere del 15 luglio 2004 riaffermato i principi del provvedimento del 23 maggio 2002 con riferimento all'inserimento e utilizzo dei dati presenti in elenchi cartacei e elettronici a disposizione del pubblico. In tale parere, il Garante ha ribadito la necessità del consenso espresso e specifico degli abbonati per trattamenti aventi finalità commerciali e pubblicitarie, sollecitando una "armonizzazione" in detti elenchi sulle specifiche finalità dei trattamenti consentiti dai singoli interessati (e nei nuovi elenchi gli abbonati dovranno specificare se i loro dati potranno essere utilizzati per future comunicazioni commerciali o pubblicitarie). g) Oggi, pertanto, ai sensi della normativa vigente, non può essere effettuato un trattamento di dati personali con finalità commerciali o pubblicitarie e, quindi, attraverso l'utilizzo di sistemi automatizzati di chiamata (quali e-mail e telefax) senza aver acquisito il consenso informato degli interessati. Inoltre, si deve ricordare che - ai sensi del 4° comma dell'art. 7 del Codice - l' interessato ha sempre diritto di opporsi, in tutto o in parte al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita



diretta o per il compimento di ricerche di mercato o di comunicazione commerciale (e quindi in qualsiasi comunicazione gli deve essere sempre consentita la possibilità di chiedere la cancellazione dei propri dati dai Vs. archivi). h) Prima di effettuare determinate tipologie di trattamento - e cioè quelle ipotesi di trattamento che ricadono nei casi specificamente previsti dall'art. 37 del D. Lgs. n. 196 - la Vs. società, inoltre, dovrebbe obbligatoriamente effettuare una notificazione al Garante (esclusivamente attraverso trasmissione telematica e secondo la procedura prevista sul sito del Garante alla pagina www.garanteprivacy.it). Tra i vari casi previsti dall'art. 37 si ricordano i punti d) e e) che prevedono l'obbligo di notificazione per:i) dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti;j) dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie. Infine, la Vs. società dovrà certamente adeguarsi alle misure minime di cui agli artt. 33 e segg. e come specificate nell'allegato B) al cd. Codice della privacy (D. Lgs. 196/03). Tra queste misure è prevista la redazione del DPS entro la data del 31 dicembre 2005 (sempre che la Vs. società non dovesse già obbligatoriamente redigerlo sotto la vigenza della vecchia normativa - L. 675/96 che prevedeva l'obbligo di redazione del DPS per tutti coloro che trattavano elettronicamente dati sensibili e giudiziari e i terminali utilizzati per il trattamento fossero collegati ad Internet). k) Oggi l'obbligo di redazione del DPS è ormai un obbligo generalizzato per tutti coloro che trattano elettronicamente dati personali (o quanto meno in caso di trattamento elettronico di dati personali sensibili, secondo una interpretazione fornita dal Garante, parere del 22 marzo 2004). Esistono vari fac simile di DPS e di informativa, ma tutto va adeguato alla propria realtà e "ritagliato"



alle proprie esigenze. Si ricorda che l'inadempimento agli obblighi di informativa, notificazione e di adeguamento alle misure minime è pesantemente sanzionato dal Codice della privacy."

14. TRATTAMENTO DATI SENSIBILI E CIFRATURALa ditta X tratta dati sensibili, in particolare informazioni sanitarie. Il D.Lgs 196/2003 dice che il trasferimento dei dati in formato elettronico deve essere effettuato con adeguata cifratura. Fin qui tutto bene: per trasferire i dati via internet devo utilizzare connessioni sicure che utilizzano sistemi di cifratura.Nel caso di dati non trasmessi e mantenuti in supporti fisici removibili (hard disk, CD, floppy ecc.) devo applicare comunque in ogni caso la “cifratura”? Sia che il computer sia o meno in rete, sia che la rete sia collegata o meno esternamente con internet? L'art. 34, comma 1, lettera h) rimane, infatti, molto generico non specificando le differenti casistiche e questo farebbe pensare che qualsiasi dato sensibile deve essere comunque cifrato se mantenuto in forma elettronica.Un ulteriore quesito che discende dal precedente: Se posseggo un gestionale che contiene dati sensibili non dotato di “cifratura” nel salvataggio e nel mantenimento dei dati sono costretto ad aggiornarlo oppure posso adottare altre forme di sicurezza?

RISPOSTA Avv. Marzio VaglioLa regola generale sul trattamento dei dati sensibili è contenuta nell'art. 22, 6° comma, del D. Lgs. 196/2003:"i dati sensibili contenuti in elenchi, registri o banche di dati, tenuti con l'ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o mediante l'utilizzazione di codici identificativi o di altre soluzioni che, considerato il numero e la natura dei dati trattati, li rendono temporaneamente inintelligibili anche a chi è autorizzato ad accedervi e permettono di identificare gli interessati solo in caso di necessità".La norma citata riguarda tutti i tipi di trattamento, non solo quello che



consiste nel trasferimento via internet e, per di più, le stesse modalità di trattamento appena citata devono essere impiegate anche quando i dati sensibili sono tenuti in elenchi, registri o banche di dati senza l'ausilio di strumenti elettronici.Da notare il generale divieto di diffusione di cui all'art. 22, 8° comma, riferito ai dati idonei a rivelare lo stato di salute.La cifratura di cui all'art. 34, 1° comma, lett. h, del D.Lgs. non è di per sé obbligatoria, ponendosi come alternativa ad altre misure (ad esempio codici identificativi). Ciò che è obbligatorio è garantire la inintelligibilità del dato.Da vedere anche l'Allegato B del D.Lgs. 196/2003, recante il Disciplinare Tecnico in misure minime di sicurezza, secondo cui - tra l'altro - i supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili.Le descritte disposizioni riguardano tutti i tipi di dati sensibili.Ulteriori misure sono prescritte per dati sensibili particolarmente delicati (per es. i dati genetici).

15. STUDIO di COMMERCIALISTI E RAPPORTI CON GARANTEQuali informazioni debbano essere trasmesse al Garante della Privacy da parte di uno studio di commercialisti per non incorrere in sanzioni, considerando che, per esempio, alcuni clienti possono essere medici e simili e dunque parte delle loro fatture possono riguardare loro pazienti. Come è necessario comportarsi?

RISPOSTA Avv. Marzio VaglioFino al 30 giugno 2007 è in vigore il sistema delle autorizzazioni generali del Garante (*).In particolare, l'Autorizzazione Generale n° 4/2005, consente ai liberi professionisti iscritti in albi o elenchi professionali di trattare i dati sensibili, senza obbligo di specifica richiesta di autorizzazione al Garante. Sussiste l'obbligo d'informativa all'interessato e di acquisirne il consenso,



nonché quello di adeguarsi alle misure minime di sicurezza.Il trattamento può essere effettuato solo nelle modalità e con i limiti espressi dalla stessa A.G. e nel rispetto della normativa comunitaria ed italiana (oggi il Codice della Privacy) in vigore.Se il trattamento riguarda dati idonei a rivelare lo stato di salute o la vita sessuale, deve essere effettuato anche in osservanza dell'Autorizzazione Generale n° 2/2002.(*) Oggi sono in vigore 7 autorizzazioni generali (nn. 1/2005, 2/2005, 3/2005, 4/2005, 5/2005, 6/2005 e 7/2005 rilasciate il 21 dicembre 2005) la cui efficacia è stata differita dal Garante sino al 30 giugno 2007.

16. CASO AGENZIA IMMOBILIARE: DATI PERSONALI RACCOLTI SU INDICAZIONE DELL'INTERESSATO E NATURA DEI DATI.I dati personali raccolti su indicazione dell'interessato possono essere trattati senza il suo consenso, visto che il loro utilizzo è per soddisfare specifiche richieste, (nel nostro caso di ricerca immobiliare)?I dati relativi al conferimento dell'indicazione dell'ipotetico valore dell'immobile, (che l'ipotetico cliente potrebbe essere interessato a comprare o prendere in locazione), sono da intendersi come “sensibili” e, quindi, soggetti alla dichiarazione al Garante?

RISPOSTA Avv. Marzio VaglioA) Quanto al consenso al trattamento, può ritenersi che nel caso di specie si possa validamente prescindere dall'obbligo di richiederlo preventivamente. Infatti, la ditta X può beneficiare della disposizione di cui all'art. 24 del decreto l.vo 196/03 a tenore della quale il consenso non è richiesto quando il trattamento “è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato”. Orbene, da quanto è dato intuire sembra che i trattamenti effettuati dalla predetta società siano finalizzati esclusivamente a rendere possibile l'esecuzione degli obblighi derivanti dai contratti dei quali è parte l'interessato ragion per cui non deve essere (obbligatoriamente) adempiuta la formalità della richiesta del previo consenso informato al trattamento dei dati personali.



B) Quanto riferito al punto precedente non vale certamente ad esimere la ditta X dal rispetto della norma di cui all'art. 13 D.Lgs. 196/03.Occorre, cioè, che detta società informi, al momento della conclusione del contratto, l'interessato (oralmente o per iscritto) circa:- le finalità e le modalità del trattamento cui sono destinati i dati;- la natura obbligatoria o facoltativa del conferimento dei dati;- le conseguenze di un eventuale rifiuto di rispondere;- i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;- i diritti di cui all'articolo 7;- gli estremi identificativi del titolare e del responsabile se designato.Si consiglia quindi la redazione di una adeguata informativa ex art. 13 cit. (meglio ancora se questa informativa venga documentata per iscritto e sottoscritta dall'interessato, per ovvie ragioni di prova).C) Per quanto riguarda invece i dati relativi all'ipotetico valore dell'immobile, essi non hanno certamente natura sensibile. Si ricorda inoltre che l'art. 24 ,lett. c, stabilisce che è possibile effettuare il trattamento di dati (non sensibili) senza richiedere il consenso dell'interessato, quando si tratta di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque; è chiaramente stabilito che restano impregiudicati i limiti e le modalità che le leggi, i regolamenti, o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati.Ciò significa che non è lecito, a priori, qualsiasi trattamento di tali dati, ma soltanto i trattamenti che sono conformi a tali limiti, che vanno verificati caso per caso.



Qualora la società non abbia ancora iniziato il trattamento, non è certamente tenuta ad eseguire la notifica al Garante. Qualche problema potrebbe sorgere con riferimento alla possibilità che nel caso di specie ricorra l'ipotesi di cui all'art. 37 lett. f ) del decreto Lgs. 196/2003.Secondo tale norma deve essere effettuata la notifica quando il trattamento riguardi “dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti.”.Si può in ogni modo escludere l'operatività di tale norma in questo caso specifico poiché essa stessa richiede la gestione di “apposite” banche dati sul rischio di insolvenza.Questo termine (cioè, “apposite”) vale ad escludere l'operatività della norma in parola in tutti quei casi in cui sia solo occasionale il trattamento di dati inerenti alla solvibilità, e più in generale alle capacità economiche, del debitore (*).In ogni caso è bene che la società valuti attentamente i casi di notifica obbligatoria previsti dall'art. 37, posto che non dipendono dall'oggetto sociale della Società quanto dal tipo di dati e di trattamenti effettuati.

(*) Tale interpretazione è stata autorevolmente confermata nel provvedimento a carattere generale del 31 marzo 2004 del Garante (di interpretazione restrittiva dell'art. 37).

18. CONSENSO E DATI INSERITI IN PUBBLICI REGISTRIAll'articolo 23 punto c, si dice che il trattamento dei dati può essere fatto anche senza il consenso se tali dati sono su "pubblici registri, elenchi, atti o documenti conoscibili da chiunque". I dati contenuti nei siti web (aziendali, oppure “www.paginegialle.it”, oppure dati trovati tramite motore di ricerca) rientrano in questa casistica?



RISPOSTA Avv. Marzio VaglioL'art. 24, lett. c, stabilisce che è possibile effettuare il trattamento di dati (non sensibili) senza richiedere il consenso dell'interessato, quando si tratta di dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque; è anche chiaramente stabilito che restano impregiudicati i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati.Ciò significa che non è lecito, a priori, qualsiasi trattamento di tali dati, ma soltanto i trattamenti che sono conformi a tali limiti, che vanno verificati caso per caso a seconda del tipo di pubblicità che ha il dato.I dati "raccolti" da pagine web non sono - solo per questo motivo - pubblici. Però i dati degli elenchi telefonici e dei registri pubblici quali il Registro delle Imprese sono pubblici e non hanno bisogno del consenso.

19. DATI GESTITI DA DIPENDENTILa società X, ha molti dipendenti che conservano nel loro client di posta (Outlook o altro) una propria rubrica contenente dati di nostri clienti (nome, indirizzo, telefono, e-mail, ecc.):Come si regolamenta l'esistenza di questi?Vanno citati nel DPS (Documento Programmatico Sulla Sicurezza)? Può essere sufficiente far sottoscrivere ai dipendenti un'informativa con la quale ciascuno si assume la responsabilità dei dati contenuti nel proprio PC?

RISPOSTA Avv. Marzio VaglioLe rubriche di contatti del client di posta elettronica sono in tutto e per tutto banche dati e contengono dati personali, il cui trattamento deve seguire le regole del Codice, ivi compresa, se del caso, l'adozione di misure minime di sicurezza, che vanno citate nel DPS.Si sottolinea che è discutibile il consentire al dipendente l'uso personale delle risorse telematiche dell'azienda. E' consigliabile, quindi, far sottoscrivere ai dipendenti un'informativa o un'assunzione scritta di responsabilità. È opportuno ricordare, in proposito, che ciascun dipendente che tratta dati personali deve inoltre essere individuato quale Incaricato



del trattamento dei dati, deve ricevere dettagliate istruzioni che comprendono, tra l'altro l'indicazione delle banche dati a lui accessibili e le modalità di trattamento.

20. CASO CED (Centro Elaborazioni Dati) - E' NECESSARIO IL CONSENSO PER IL TRATTAMENTO DI DATI OBBLIGATORI DA TRASMETTERE A INPS, INAIL, ECC.?Un CED (Centro Elaborazioni Dati) che tiene la contabilità in cui opera un consulente iscritto all'Albo e quanto viene elaborato sono dati obbligatori da trasmettere a Inps, Inail, Agenzia Entrate, si deve chiedere il consenso?

RISPOSTA Avv. Andrea LisiLa risposta è negativa. Da quanto è dato intuire dalle poche informazioni di cui si dispone sembra potersi ritenere operanti le disposizioni di cui alla lett. a) dell'art. 24 e lett. d) dell'art. 26 4°comma del decreto legislativo n. 196/03.Secondo tale norma il consenso non è richiesto quando il trattamento è necessario per adempiere ad un obbligo derivante dalla legge. Nel caso di specie, il trattamento di dati è effettuato al solo scopo di rendere dichiarazioni obbligatorie per legge a soggetti pubblici (quali Inps, Inail, Agenzia delle Entrate ) e può quindi validamente effettuarsi senza aver richiesto, e preventivamente ottenuto, il consenso dell'interessato.Naturalmente, ciò non vale ad escludere che il titolare del trattamento si adegui scrupolosamente alle norme dettate dal decreto Lgs. 196 cit. quanto all'informativa all'interessato e alla redazione del documento programmatico per la sicurezza. L'interessato andrà ovviamente informato su tutte le modalità del trattamento e su chi effettua il trattamento ai sensi dell'art. 13 del Codice.Peraltro, appare molto probabile il trattamento, da parte del titolare, di dati sensibili (in particolare di dati idonei a rivelare l'adesione a partiti o sindacati e lo stato di salute dei lavoratori dipendenti), ragion per cui si ritiene doveroso l'adeguamento alle più stringenti misure di sicurezza previste per tali dati.Nell'ipotesi in cui effettivamente il titolare proceda al trattamento di dati sensibili può prescindere dal consenso dell'interessato (art. 26, comma 4, lett. d) quando il trattamento è necessario per la gestione del rapporto di lavoro, anche in materia di igiene e



sicurezza previste per tali dati.Nell'ipotesi in cui effettivamente il titolare proceda al trattamento di dati sensibili può prescindere dal consenso dell'interessato (art. 26, comma 4, lett. d) quando il trattamento è necessario per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, previa autorizzazione del Garante e nei limiti di tale autorizzazione.Dai pochi dati in nostro possesso è impossibile verificare con assoluta certezza se tale ipotesi rientra tra quelle per le quali il Garante abbia già provveduto ad emanare un'autorizzazione generale (la nostra ipotesi sembrerebbe comunque potersi ricondurre tra quelle previste nell'autorizzazione generale n. 1/2002 relativa al trattamento dei dati sensibili nei rapporti di lavoro) (*).


21. ONERI DI PRIVACY PER OPERARE IN ATTIVITA' SU MANDATO L'azienda X, stipula dei mandati con aziende che operano per il contatto diretto al consumatore, per eseguire telefonate presso potenziali clienti.Premesso che tale azienda, accetta il mandato solo da aziende di comprovata serietà, l'obiettivo della telefonata (su liste di numeri telefonici fornitici dall'azienda mandante, estratti dall'elenco del telefono), è quello di fissare un appuntamento con delle figure commerciali, dipendenti dell'azienda mandante.Durante la telefonata non vengono raccolte informazioni di nessun tipo, viene solamente richiesta la disponibilità per un incontro ad un determinato giorno ed orario. La telefonata ha come introduzione, la raccolta del consenso al trattamento del dato e viene richiesto se l'interlocutore vuol continuare la telefonata (spiegando qual è il fine), il tutto però solo a livello orale/telefonico. - Esistono delle problematiche operative/formali su quanto viene fatto?



- La ditta X è soggetta alla comunicazione al Garante per l'attività svolta?

RISPOSTA Avv. Andrea Lisi Normalmente per il nuovo codice della privacy è previsto il previo consenso espresso dell'interessato per qualsiasi operazione di trattamento dei dati personali. Tale consenso dovrà anche essere documentato per iscritto (art. 23 Codice della privacy).L'art. 24 del nuovo codice prevede, però, dei casi espressamente previsti per i quali può essere eseguito il trattamento senza consenso. In particolare il punto c) del citato articolo recita così: il consenso non è richiesto quando il trattamento " riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi, i regolamenti o la normativa comunitaria stabiliscono per la conoscibilità e pubblicità dei dati".Per interpretazione fornita dallo stesso Garante italiano per la privacy (www.garanteprivacy.it) gli elenchi telefonici costituiscono un "elenco pubblico" e, quindi, per il trattamento di questi dati non occorre richiedere un preventivo consenso espresso dell'interessato. Per quanto riguarda la necessità di notificazione al Garante (da farsi validamente solo per via telematica e con firma digitale ai sensi dell'art. 38), essa è prevista solo e soltanto in alcuni casi specifici indicati nell'art. 37 del Codice (è necessaria per il trattamento di dati inerenti, la salute o genetici o biometrici, dati idonei a rivelare la vita sessuale o la sfera psichica, dati relativi a forme di "profilazione elettronica", dati sensibili registrati in banche dati di ricerca personale o relativi a sondaggi d'opinione o ricerche di mercato, dati concernenti la solvibilità economica gestiti elettronicamente).Nel caso prospettato, se effettivamente tali dati provengono da elenchi pubblici (e, in altre parole, elenchi telefonici), la società mandante non ha, quindi, alcun onere di richiedere l'espresso consenso dell'interessato per il trattamento di tali dati. Si tenga in considerazione che per "trattamento" si intende qualsiasi operazione effettuata sul dato personale altrui (in particolare, ai sensi dell'art. 4 lett. a) del Codice, "qualunque operazione o complesso



d'operazioni, eseguito anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati”. Quindi, anche la semplice acquisizione di dati personali dagli elenchi telefonici per fissare dei futuri appuntamenti e verificare la disponibilità per un successivo incontro è un'operazione di trattamento del dato personale! A tal proposito, conviene all'azienda X richiedere alla società mandante una "liberatoria per iscritto" da qualsiasi responsabilità relativa al trattamento di quei dati (sarebbe, in ogni caso, sufficiente una dichiarazione scritta del mandante che confermi che quei dati sono stati raccolti esclusivamente da elenchi telefonici e che vengono comunicati all'azienda X al solo scopo di fissare degli appuntamenti presso la società mandante).Al momento della telefonata, l'azienda X, inoltre, dovrà sempre, ai sensi dell'art. 13, informare l'interessato su tutti i suoi diritti (ben indicati dall'art. 7 del Codice): origine del trattamento (quindi, indicare la società mandante che ha raccolto i dati da elenchi telefonici), finalità (quindi, fissazione dell'incontro), titolare del trattamento e/o responsabile (società mandante e/o l'azienda X) etc. Infine, se i dati (com'è inevitabile) verranno raccolti in banche dati elettroniche e/o cartacee occorrerà sempre rispettare le misure minime (e idonee) di sicurezza per tale forma di trattamento (artt. 33-36 Codice): in parole povere occorrerà evitare che quei dati possano essere dispersi o cadere "in mani sbagliate" (dal punto di vista elettronico, com'è facile immaginare, questo comporterà molti accorgimenti tecnici individuati nell'allegato B del Codice). Per quanto riguarda gli eventuali oneri di notificazione, non si ravvisa nessuno dei casi espressamente previsti nell'art. 37.In verità, l'obbligo di notifica comunque ricadrebbe sul solo titolare del trattamento (il mandante) e non sull'azienda X.Per concludere, sarebbe certamente opportuno che la società mandante delineasse meglio le figure autorizzate al trattamento



dati raccolti dagli elenchi pubblici (titolare, responsabile, incaricato) e, quindi, individuasse meglio la natura dell'incarico all'azienda X per questo particolare trattamento dei dati; comunque, operando in maniera corretta durante la telefonata (come sopra descritto), l'azienda X non rischierà nulla sulla base della normativa italiana in materia di trattamento dei dati personali e non dovrà provvedere a nessun obbligo di notificazione.

22. NOTIFICA AL GARANTE E DATI SENSIBILIUna azienda X, sorta nel 2001, che commercia materiali lapidei (tratta solo dati di Clienti e fornitori senza dipendenti), non ha mai effettuato la notifica al Garante: Doveva farla? Se sì, cosa conviene fare ora?

RISPOSTA Avv. Andrea Lisi La notifica al Garante, con l'entrata in vigore del Codice della privacy, deve essere effettuata esclusivamente quando si intenda procedere al trattamento di quei particolari dati personali indicati puntualmente all'art. 37 del decreto legislativo 196/2003.Si tratta, in particolare, del trattamento dei dati genetici, dei dati biometrici o dei dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica, dei dati idonei a rivelare lo stato di salute e la vita sessuale (quando siano trattati per certe finalità), dei dati idonei a rivelare la vita sessuale o la sfera psichica quando siano trattati da determinati soggetti (quali associazioni, enti od organismi senza scopo di lucro…) ecc.L'elenco completo delle ipotesi in cui si deve effettuare la notificazione è indicato, come detto, nell'art. 37 del decreto legislativo 196/03 - norma che, senza dubbio, non trova applicazione nel caso di specie.Quando la predetta società ha iniziato il trattamento (nel 2001) era tenuta, ovviamente, al rispetto della normativa allora vigente e, cioè, della legge 675/96 come successivamente modificata ed integrata.Sotto il vigore di tale legge, la notificazione rappresentava la regola (oggi invece è l'eccezione) cui si poteva derogare solo in specifiche



ipotesi tra le quali quella in cui il trattamento fosse “finalizzato unicamente all'adempimento di specifici obblighi contabili, retributivi, previdenziali, assistenziali e fiscali, ed è effettuato con riferimento alle sole categorie di dati, di interessati e di destinatari della comunicazione e diffusione strettamente collegate a tale adempimento, conservando i dati non oltre il periodo necessario all'adempimento medesimo” (art. 7, comma 5 - ter, lett. e).Nel caso di specie può ritenersi che nel 2001 operava per detta società tale clausola che valeva ad escludere l'obbligo della notifica.In definitiva, la società di cui innanzi non aveva, né ha ad oggi, l'obbligo di notificare al Garante il trattamento dei dati personali poiché, sotto il vigore della vecchia normativa operava la deroga di cui si è detto, e, ad oggi, non ricorre alcun trattamento di dati di cui al citato art. 37 (sembra, infatti, nel caso di specie ricorrere il solo trattamento di dati comuni quali anagrafi bancarie di fornitori/clienti, numeri telefonici, numeri di partita IVA…). Naturalmente, lo studio più approfondito del tipo di dati trattati (e del possibile pregiudizio ai diritti e alle libertà dell'interessato che abbia potuto derivare dalle modalità di trattamento o dalla natura dei dati) dal 2001 fino al 31 dicembre 2003 potrebbe anche portare a ritenere la notifica obbligatoria.Ed allora potrebbe giovare la norma, di difficile interpretazione, di cui all'art. 181 del decreto l.vo 196/03. Secondo tale disposizione, per quelle società che hanno iniziato il trattamento anteriormente al primo gennaio 2004 è possibile effettuare la notifica entro il prossimo 30 aprile (n.d.r. nella risposta si parlava dell'aprile 2004). Si tratta, quindi, di una sorta di sanatoria per tutti i trattamenti precedenti.

23. COS'E' IL DPS?Cos'è il DPS e cosa deve riportare?

RISPOSTA Avv. Andrea LisiIl documento programmatico per la sicurezza (DPS) fotografa le misure di sicurezza adottate dall'azienda e si compone dei seguenti punti:



elenco dei trattamenti eseguiti; distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati; analisi dei rischi che incombono sui dati; misure adottate per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali rilevanti ai fini della loro custodia; criteri e modalità per il ripristino della disponibilità dei dati in seguito ad eventuali episodi di distruzione o danneggiamento; interventi formativi degli incaricati del trattamento; criteri per garantire l'adozione delle misure minime disicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno di questa struttura titolare.

24. CONSENSO E DPS PER AZIENDE OPERANTI NEL COMMERCIO (DATI NON SENSIBILI) L'azienda X, operante nel settore del commercio, prima del 1997 aveva raccolto le informative dei clienti, successivamente non è più stato fatto. I dati trattati sono quelli necessari per il rapporto commerciale:Anagrafica dell'azienda, Anagrafica bancaria per i pagamenti, E-mail.Quali sono gli obblighi a cui la ditta deve sottostare? E' obbligata a redigere il documento programmatico sulla sicurezza?

RISPOSTA Avv. Marzio Vaglio Per una corretta soluzione della questione di cui trattasi sono necessarie le seguenti brevi considerazioni.1) La ditta X svolge senza dubbio un trattamento di dati personali, nella specie consistente nella raccolta, registrazione, organizzazione, conservazione, consultazione e modificazioni di anagrafiche di aziende clienti/fornitrici, di anagrafiche bancarie ai fini di effettuare i pagamenti e di indirizzi e-mail.2) Tali operazioni di trattamento devono avvenire in esatta applicazione delle norme del decreto 196/03; in particolare, rilevano la disciplina del consenso al trattamento dei dati personali, la disciplina dell'informativa e le misure minime di sicurezza.



3) Quanto al consenso al trattamento, può ritenersi che nel caso di specie si possa validamente prescindere dall'obbligo di richiederlo preventivamente. Infatti, la ditta X può beneficiare della disposizione di cui all'art. 24 del decreto l.vo 196/03 a tenore della quale il consenso non è richiesto quando il trattamento “è necessario per eseguire obblighi derivanti da un contratto del quale è parte l'interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell'interessato”. Orbene, da quanto è dato intuire sembra che i trattamenti effettuati dalla predetta società siano finalizzati esclusivamente a rendere possibile l'esecuzione degli obblighi derivanti dai contratti dei quali è parte l'interessato ragion per cui non deve essere (obbligatoriamente) adempiuta la formalità della richiesta del previo consenso informato al trattamento dei dati personali.4) Quanto riferito al punto precedente non vale certamente ad esimere l'azienda X dal rispetto della norma di cui all'art. 13 decreto l.vo 196/03.Occorre, cioè, che detta società informi, al momento della conclusione del contratto, l'interessato (oralmente o per iscritto) circa:a) le finalità e le modalità del trattamento cui sono destinati i dati;b) la natura obbligatoria o facoltativa del conferimento dei dati;c) le conseguenze di un eventuale rifiuto di rispondere;d) i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, e l'ambito di diffusione dei dati medesimi;e) i diritti di cui all'articolo 7; f ) gli estremi identificativi del titolare e del responsabile se designato.Si consiglia quindi la redazione di una adeguata informativa ex art. 13 cit. (meglio ancora se questa informativa viene documentata per iscritto e sottoscritta dall'interessato, per ovvie ragioni di prova).5) Infine, l'azienda X deve adeguarsi alle prescrizioni dettate in tema di misure minime di sicurezza (artt. 31 e ss. decreto l.vo 196/03 - Allegato B) al medesimo decreto) e redigere, qualora tratti dati sensibili o giudiziari con strumenti elettronici, un documento programmatico per la sicurezza (*).



D'altro canto, secondo un'interpretazione rigida della norma di riferimento, tale adempimento è doveroso nell'ipotesi di trattamenti di dati sensibili, sia con strumenti elettronici sia con registrazioni cartacee, e nell'ipotesi di trattamenti elettronici di dati comuni. Tuttavia vi è chi ritiene che tale misura di sicurezza vada adottata solo nell'ipotesi di trattamento dei dati sensibili e giudiziari con strumenti elettronici, opinione suffragata da un parere del Garante della Privacy del 22.3.2004.Nel caso dell'azienda X sembra ricorrere l'ipotesi di trattamento elettronico di dati comuni e non sensibili, dal momento che certamente tale società disporrà di banche-dati elettroniche contenenti dati personali comuni e invierà/riceverà comunicazioni via e-mail disponendo, quindi, di almeno una banca-dati elettronica contenete indirizzi e-mail.

(*) Nota Avv. Andrea Lisi: Come già spiegato nella parte dedicata al DPS della presente Guida, ad avviso di chi scrive l'impostazione interpretativa più rigida è preferibile per quanto riguarda la lettura delle norme in materia di DPS. Il Garante è comunque intervenuto sul punto e con parere non vincolante del 22 marzo 2004 , ha specificato che il DPS sarebbe obbligatorio (e la sua omissione sanzionabile anche penalmente ai sensi dell'art. 169) solo in caso di trattamento elettronico di dati sensibili e giudiziari. Negli altri casi, rimane comunque preferibile utilizzare questo strumento perché offre al titolare la possibilità di provare, con un documento cartaceo, di aver adottato tutte quelle misure volte ad evitare danni, o quantomeno a ridurli, derivanti dal trattamento di dati personali altrui, anche in considerazione del fatto che l'attività di trattamento è equiparata dal nostro legislatore (vd. già citato art. 15 del Codice) ad una attività pericolosa di cui all'art. 2050 c.c., con ogni conseguenza che ne deriva in tema di risarcimento danni (anche non patrimoniali) ed onere della prova.



(*) Nota del Responsabile dello sportello privacy e Coordinatore di Promopadova, dr.ssa Liana Benedetti.

L'interpretazione maggioritaria è per l'obbligatorietà del DPS solo in caso di trattamento elettronico di dati sensibili e giudiziari. Rimane l'opportunità di redazione del DPS quando il sistema informatico aziendale sia di una certa dimensione per cui avere tutte le procedure di sicurezza messe per iscritto costituisce comunque un vantaggio anche per l'azienda anche dal punto di vista organizzativo, oltre che legale (prova di aver adottato tutte le misure volte ad evitare danni). Personalmente troverei assurdo far compilare un DPS ad un'azienda che ha uno o due Pc con i quali tratta solo la contabilità e la corrispondenza aziendale contenenti quindi dati di clienti e fornitori. Converrà comunque all'azienda adottare delle misure di sicurezza come il salvataggio periodico dei dati non solo perché la legge lo richiede, ma soprattutto perché si tratta di dati indispensabili per la vita dell'azienda.Si fa notare però che la giurisprudenza è ancora poca, che la lettera della legge sembra dare indicazioni diverse dall'allegato B, che il parere del garante del 22.3.2004 non è legalmente vincolante e che quindi permane ancora un dibattito sull'argomento obbligatorietà del DPS.

25. DPS (Documento Programmatico Sulla Sicurezza) L'obbligo di redigere il DPS (Documento Programmatico Sulla Sicurezza) riguarda tutte le aziende?

RISPOSTA Avv. Andrea Lisi Quanto alla richiesta di redazione del documento programmatico per la sicurezza può dirsi che lo stesso secondo un'interpretazione rigida delle norme di riferimento, vada redatto:1) sempre quando il titolare proceda al trattamento con strumenti elettronici di qualsiasi tipo di dato; 2) sempre quando il titolare proceda al trattamento anche solo su registri cartacei di dati sensibili e/o giudiziari. secondo un'interpretazione più flessibile buona parte della dottrina ritiene che tale misura di sicurezza vada adottata solo nell'ipotesi di trattamento dei dati sensibili e giudiziari con strumenti elettronici (tale interpretazione ha avuto una notevole



conferma nel parere del 22 marzo 2004 del Garante).

Ovviamente non essendoci al momento giurisprudenza su queste specifiche problematiche, potrebbe essere consigliabile interpretare le norme in maniera il più possibile rigorosa, al fine di avere una prova scritta e con data certa delle misure di sicurezza adottate in caso di contestazioni, tenendo però conto della dimensione e articolazione del sistema informatico aziendale e della mole di dati trattati.

(*) Come già spiegato nella parte dedicata al DPS della presente Guida, ad avviso di chi scrive (avv. Lisi) l'impostazione interpretativa più rigida è preferibile per quanto riguarda la lettura delle norme in materia di DPS. Il Garante è comunque intervenuto sul punto e con parere non vincolante del 22 marzo 2004 , ha specificato che il DPS sarebbe obbligatorio (e la sua omissione sanzionabile anche penalmente ai sensi dell'art. 169) solo in caso di trattamento elettronico di dati sensibili e giudiziari. Negli altri casi, rimane comunque preferibile utilizzare questo strumento perché offre al titolare la possibilità di provare, con un documento cartaceo, di aver adottato tutte quelle misure volte ad evitare danni, o quantomeno a ridurli, derivanti dal trattamento di dati personali altrui, anche in considerazione del fatto che l'attività di trattamento è equiparata dal nostro legislatore (vd. già citato art. 15 del Codice) ad una attività pericolosa di cui all'art. 2050 c.c., con ogni conseguenza che ne deriva in tema di risarcimento danni (anche non patrimoniali) ed onere della prova.

(*) Nota del Responsabile dello sportello Privacy e Coordinatore di Promopadova, dr.ssa Liana Benedetti. L'interpretazione maggioritaria è per l'obbligatorietà del DPS solo in caso di trattamento elettronico di dati sensibili e giudiziari. Rimane l'opportunità di redazione del DPS quando il sistema informatico aziendale sia di una certa dimensione per cui avere tutte le procedure di sicurezza messe per iscritto costituisce comunque un vantaggio anche per l'azienda anche dal punto di vista organizzativo, oltre che legale (prova di aver adottato tutte le misure volte ad evitare danni). Personalmente troverei assurdo far compilare un DPS ad un'azienda che ha uno o due Pc con i quali



tratta solo la contabilità e la corrispondenza aziendale contenenti quindi dati di clienti e fornitori. Converrà comunque all'azienda adottare delle misure di sicurezza come il salvataggio periodico dei dati non solo perché la legge lo richiede, ma soprattutto perché si tratta di dati indispensabili per la vita dell'azienda.Si fa notare però che la giurisprudenza è ancora poca, che la lettera della legge sembra dare indicazioni diverse dall'allegato B, che il parere del garante del 22.3.2004 non è legalmente vincolante e che quindi permane ancora un dibattito sull'argomento obbligatorietà del DPS.

26. OBBLIGO DI DPSMi occupo della gestione documentale di una piccola Srl (dico gestione documentale dato che la sede amministrativa della ditta è presso il Ns. commercialista ed è lì che c'è tutta la contabilità). In realtà presso il mio ufficio io emetto solo fatture di vendita e/o preventivi (in almeno la metà dei casi i Ns. clienti sono rappresentati da privati visto che siamo una ditta di pitture e ristrutturazioni ) , vorrei quindi sapere se devo creare anch'io un DPS vero e proprio o è sufficiente che ce l'abbia il commercialista ? Se sì cosa devo materialmente fare? Oppure dove posso trovare delle informazioni chiare sui passaggi da svolgere per aggiornarmi con la normativa ?

RISPOSTA Avv. Andrea LisiVa premesso prima di tutto che la redazione del DPS è un obbligo previsto dall'art. 34 del D. Lgs. 196/2003 (cd. Codice della privacy), il quale recita : "1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:a) autenticazione informatica;b) adozione di procedure di gestione delle credenziali di autenticazione;c) utilizzazione di un sistema di autorizzazione;d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati



programmi informatici;f ) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;g) tenuta di un aggiornato documento programmatico sulla sicurezza;h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari".Pertanto occorre in primo luogo verificare se la Società in questione effettui trattamenti elettronici di dati personali, perchè solo in questo caso è previsto tra i tanti adempimenti - e nei modi indicati nell'allegato B al Codice - anche l'adozione del DPS. (*)In caso di trattamento di dati con mezzi non elettronici, si applicherà l'art. 35 del Codice il quale afferma: "1. Il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unità organizzative;b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti;c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati."Pertanto, la Società, titolare del trattamento, dovrà comunque nominare per iscritto i vari incaricati ai trattamenti (cioè tutti coloro che all'interno della struttura effettuano trattamenti di dati personali) e nominare strategicamente il commercialista responsabile esterno al trattamento di dati contabili. Il commercialista, nella sua autonomia, dovrà comunque verificare se all'interno della sua struttura debba essere effettuato un Documento Programmatico per la Sicurezza; ma ciò prescinderà dagli obblighi aziendali del titolare del trattamento dei dati (e il titolare rimarrà in questo caso certamente la Società che emette le fatture). Dall'analisi del caso concreto e con i pochi dati a disposizione, non sembrerebbe essere indispensabile la redazione del DPS da parte



della piccola società, a maggior ragione se il trattamento dei dati avvenga con documenti cartacei. In ogni caso, non sembrerebbe esserci alcun trattamento di dati sensibili all'interno della struttura aziendale e, quindi, le misure minime di sicurezza da adottare secondo il Codice e l'allegato B) sarebbero di minore entità.Inoltre è da notare che il Garante è intervenuto su questo punto e con parere non vincolante del 22 marzo 2004 ha specificato che il DPS sarebbe obbligatorio solo in caso di trattamento elettronico di dati sensibili e giudiziari.(*) (**)Purtroppo i dati a disposizione sono troppo pochi per poter rispondere compiutamente, ma può certamente riferirsi che la società in questione potrà certamente ricavare una certa utilità nel redigere documenti che regolamentino il trattamento dei dati personali effettuati in seno all'azienda e spieghino ai dipendenti il tipo di dati che si possono trattare, come debbano essere trattati questi dati, per quanto tempo e con quali finalità... In ogni caso, chiunque effettui un trattamento di dati personali all'interno della società o all'esterno deve essere sempre espressamente incaricato per iscritto o nominato responsabile per quel trattamento. Nell'incarico o nella nomina deve essere spiegato "cosa fare e come fare" (cioè finalità, modalità, obblighi del trattamento dei dati). Informazioni in materia di trattamento di dati personali si possono trovare sul sito del Garante della protezione dei dati personali alla pagina www.garanteprivacy.it o sul sito www.privacy.it.

(*) Nota dell'avv.Andrea Lisi. Come già spiegato nella parte dedicata al DPS della presente Guida, ad avviso di chi scrive l'impostazione interpretativa più rigida è preferibile per quanto riguarda la lettura delle norme in materia di DPS. Il Garante è comunque intervenuto sul punto e con parere non vincolante del 22 marzo 2004 , ha specificato che il DPS sarebbe obbligatorio (e la sua omissione sanzionabile anche penalmente ai sensi dell'art. 169) solo in caso di trattamento elettronico di dati sensibili e giudiziari. Negli altri casi, rimane comunque preferibile utilizzare questo strumento perché offre al titolare la possibilità di provare, con un documento cartaceo, di aver adottato tutte quelle misure volte ad evitare danni, o quantomeno a ridurli, derivanti dal



trattamento di dati personali altrui, anche in considerazione del fatto che l'attività di trattamento è equiparata dal nostro legislatore (vd. già citato art. 15 del Codice) ad una attività pericolosa di cui all'art. 2050 c.c., con ogni conseguenza che ne deriva in tema di risarcimento danni (anche non patrimoniali) ed onere della prova.

(**) Nota del Responsabile dello sportello privacy e Coordinatore di Promopadova, dr.ssa Liana Benedetti. L'interpretazione maggioritaria è per l'obbligatorietà del DPS solo in caso di trattamento elettronico di dati sensibili e giudiziari.. Rimane l'opportunità di redazione del DPS quando il sistema informatico aziendale sia di una certa dimensione per cui avere tutte le procedure di sicurezza messe per iscritto costituisce comunque un vantaggio anche per l'azienda anche dal punto di vista organizzativo, oltre che legale (prova di aver adottato tutte le misure volte ad evitare danni). Personalmente troverei assurdo far compilare un DPS ad un'azienda che ha uno o due Pc con i quali tratta solo la contabilità e la corrispondenza aziendale contenenti quindi dati di clienti e fornitori. Converrà comunque all'azienda adottare delle misure di sicurezza come il salvataggio periodico dei dati non solo perché la legge lo richiede, ma soprattutto perché si tratta di dati indispensabili per la vita dell'azienda.Si fa notare però che la giurisprudenza è ancora poca, che la lettera della legge sembra dare indicazioni diverse dall'allegato B, che il parere del garante del 22.3.2004 non è legalmente vincolante e che quindi permane ancora un dibattito sull'argomento obbligatorietà del DPS.

27. DPS, PROROGHE E DATA CERTAHo avuto modo di leggere il Suo articolo sulla proroga della redazione del DPS al 31/12/2005. Dal momento che tale proroga non riguarda le misure di sicurezza già previste dal D.P.R. 318/99, quali la redazione del DPS, nella sua originaria conformazione, Le chiedo:Prima domanda: L'aggiornamento del DPS, per l'anno 2004, risulta essere slittato al 30/06/2005?Seconda domanda:Il DPS relativo al 2005, che costituisce aggiornamento di quello del 2004, deve essere redatto secondo le disposizioni del Decreto Legislativo 196/2003, entro il 31/03/2005



oppure entro il 30/06/2005? Tale documento deve avere data Certa? Il requisito della data certa può essere soddisfatto inviando a se stessi il documento, mediante piego raccomandato con ricevuta di ritorno?

RISPOSTA Avv. Andrea Lisi Ad oggi per risolvere il Suo quesito abbiamo solo l'interpretazione fornita dal Garante nel parere del 23 marzo 2004 (acquisibile sul sito www.garanteprivacy.it) e a quella conviene far affidamento. Secondo quel parere del Garante, le misure "nuove" di sicurezza sono da adottare entro il termine del 31/12/2005 (il termine già prorogato del 30/06/2005, infatti, è stato ulteriormente prorogato al 31/12/2005 con la Legge 1 marzo 2005, n. 26). 1. In particolare, l'art. 180, con le recenti modifiche, così recita "Art. 180 (Misure di sicurezza) 1. Le misure minime di sicurezza di cui agli articoli da 33 a 35 e all'allegato B) che non erano previste dal decreto del Presidente della Repubblica 28 luglio 1999, n. 318, sono adottate entro il 31 dicembre 2005.2. Il titolare che alla data di entrata in vigore del presente codice dispone di strumenti elettronici che, per obiettive ragioni tecniche, non consentono in tutto o in parte l'immediata applicazione delle misure minime di cui all'articolo 34 e delle corrispondenti modalità tecniche di cui all'allegato B), descrive le medesime ragioni in un documento a data certa da conservare presso la propria struttura.3. Nel caso di cui al comma 2, il titolare adotta ogni possibile misura di sicurezza in relazione agli strumenti elettronici detenuti in modo da evitare, anche sulla base di idonee misure organizzative, logistiche o procedurali, un incremento dei rischi di cui all'articolo 31, adeguando i medesimi strumenti al più tardi entro il 31 marzo 2006".Pertanto, seguendo l'impostazione seguita dal Garante nel suo parere, coloro che già dovevano realizzare il DPS con la vecchia normativa abrogata, dovranno continuare ad adottarlo, ma potranno aggiornarlo anche al 31 dicembre 2005 (*) (o quanto meno aggiornarlo entro quella data secondo le nuove misure di sicurezza contenute nel Codice e nell'allegato B).



Ripeto, il DPS va redatto per la prima volta o aggiornato - secondo lachiave di lettura fornita dal parere fornito dal Garante precedentemente citato - entro il 31 dicembre 2005. Il DPS non deve avere il requisito della "data certa" in senso stretto, secondo cioè i rigidi schemi del codice civile, infatti il Codice della Privacy parla espressamente di "data certa" solo nel II comma dell'art. 180 relativamente al documento da adottare in caso di utilizzo di strumenti elettronici obsoleti e che, quindi, per ragioni tecniche non consentano l'adeguamento alle misure di sicurezza del Codice Privacy; in quest'ultimo caso lo slittamento del termine è previsto al 31 marzo 2006 (**) (purché appunto sia utilizzato un documento avente "data certa" in cui si descrivano le ragioni dell'impossibilità tecnica di adottare certe misure "nuove" di sicurezza). Il fatto comunque che il legislatore fissi dei termini a cui attenersi o entro i quali effettuare delle specifiche operazioni, dovrebbe portare l'operatore a cercare di apporre anche al DPS una data certa, o meglio una data facilmente documentabile. Pertanto, la fissazione sul documento di una "data certa" può essere senz'altro utile per finalità probatorie e, quindi, l 'autospedizione o l'apposizione del timbro postale sul documento può essere considerato un buon metodo, come anche la sottoscrizione con firma digitale del documento elettronico con apposizione della marcatura temporale.(*) data prorogata al 31 marzo 2006(**) data prorogata al 30 giugno 2006

28. DPS E DATA CERTADove sta scritto che il DPS deve avere data certa?

RISPOSTA Avv. Andrea LisiLa legge non prescrive che il DPS abbia data certa, tuttavia l'art.34 del Testo Unico sulla Privacy 196/2003 esprime chiaramente l'obbligo di tenere aggiornato il DPS, e considerando che la data limite per la redazione del DPS deve essere entro il 31 marzo di ogni anno, (fa



eccezione l'anno in corso, la cui scadenza è stata posticipata al 31 dicembre 2005(*)), si deduce l'opportunità che il documento abbia data certa, al fine di poter documentare l'effettivo rispetto della scadenza e, quindi, di evitare possibili contestazioni.A tal fine si possono utilizzare diversi accorgimenti: i meno onerosi sono sicuramente l'autoprestazione postale o l'apposizione di firma digitale e marcatura temporale sul documento elettronico che contiene il DPS.(*) data posticipata al 31 marzo 2006 da un recente D.L. di proroga

29. BILANCIO AZIENDALE E DPSCome si può scrivere una dichiarazione che comprova l'aggiornamento del DPS (Documento Programmatico sulla Sicurezza), nella relazione accompagnatoria al bilancio 2003 che sarà approvato ad aprile se, non è ancora totalmente predisposto in quanto la scadenza è a giugno?

RISPOSTA Avv. Andrea Lisi In tale relazione è sufficiente dichiarare che il documento programmatico per la sicurezza è stato regolarmente aggiornato (non occorre, quindi, indicare quali modifiche si sono apportate). Infatti “il titolare riferisce, nella relazione accompagnatoria del bilancio d'esercizio, se dovuta, dell'avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza” (punto 26 allegato B).Giova precisare, peraltro, che secondo il punto 25 dell'allegato B, il titolare che si avvalga di soggetti esterni per l'adozione delle misure minime di sicurezza è tenuto a farsi rilasciare dall'installatore una descrizione scritta dell'intervento effettuato che ne attesti la conformità alle disposizione del disciplinare tecnico al Codice della privacy (ovvero all'allegato B). In ogni caso, a breve, il Garante predisporrà un Vademecum per meglio chiarire le scadenze relative al DPS e ai suoi aggiornamenti secondo le novità inserite nell'allegato B) del Codice.Occorre evidenziare comunque che il Codice non è una sanatoria e se per la precedente normativa la società era già tenuta a conservare in



azienda un aggiornato DPS allora non avrà certo difficoltà a farne menzione nella relazione accompagnatoria al bilancio 2003. Prima della pubblicazione on line del presente parere è intervenuto in proposito il Garante (con il Vademecum del 22 marzo 2004), secondo il quale:In primo luogo il DPS può essere redatto per la prima volta o aggiornato (solo per quest'anno) entro il 30 giugno 2004 (*).In secondo luogo, “i soggetti pubblici e privati tenuti in passato a predisporre o aggiornare il DPS, e che per il 2004 possono come detto aggiornarlo entro il 30 giugno del presente anno, dovranno riferire secondo la regola 26 già a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS già eventualmente aggiornato per il 2004, oppure menzionando l'adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiornerà il DPS entro il 30 giugno 2004.I soggetti pubblici e privati tenuti invece per la prima volta a redigere il DPS nel 2004 (come si è detto entro il 30 giugno), non devono indicare nella relazione alcunché se il DPS 2003 o il DPS 2004 non sono stati adottati. I medesimi soggetti, qualora alla data in cui predispongono la predetta relazione abbiano redatto già il DPS 2004, indicheranno invece tale circostanza; potranno infine indicare facoltativamente quanto eventualmente già fatto nel 2003 e, sempre facoltativamente, l'aggiornamento 2004 in itinere.”.

(*) Come già evidenziato in precedenza, in base alle intervenute ulteriori proroghe, il DPS va redatto entro il 31 marzo 2006.

30. DPS, NOTA INTEGRATIVA E RELAZIONE SULLA GESTIONE Il punto 26 dell'allegato B prevede che nella "relazione accompagnatoria" al bilancio d'esercizio si riferisca dell'avvenuto aggiornamento del dps. La "relazione sulla gestione" (2428 cc) è prevista in caso di bilancio di società di capitali redatto in forma ordinaria, mentre in caso di bilancio redatto in forma abbreviata (2435 bis cc) tale documento non è obbligatorio.Domanda: si è a conoscenza che il garante abbia previsto l'obbligo di



citare il dps nella nota integrativa al bilancio di esercizio (2427 c.c.) (questa ovviamente sempre presente) o rimane l'obbligo di citazione del dps solo nel caso in cui si sia in presenza della relazione sulla gestione e, quindi, solo in caso di bilancio redatto in forma ordinaria escludendo dalla previsione del punto 26 dell'allegato B i bilanci che vengono redatti in forma abbreviata e non contenenti la relazione sulla gestione?

RISPOSTA Avv. Andrea LisiLa domanda è molto interessante e non ha al momento una soluzione certa, considerato che il Garante non si è pronunciato espressamente in materia e la legge rimane poco chiara. In particolare, l'allegato B al Codice (D.Lgs. 196/2003) al punto 26 semplicemente afferma che "il titolare riferisce, nella relazione accompagnatoria del bilancio d'esercizio, se dovuta, dell'avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza", senza specificare cosa debba intendersi per "relazione accompagnatoria" (tenuto in considerazione che il codice civile italiano, pur con la intervenuta riforma di diritto societario, considera espressamente solo le figure della "nota integrativa" al bilancio d'esercizio - art. 2427 o della “relazione sulla gestione” - art. 2428).Il Garante per la Protezione dei dati personali, nel suo parere del 22 marzo 2004 reso su sollecitazione di Confindustria (Oggetto: prima applicazione del Codice in materia di protezione dei dati personali in materia di "misure minime" di sicurezza (artt. 31-36 e Allegato B) al d.lgs. n. 196/2003 acquisibile sul sito del Garante, in proposito si è limitato a dire: << 3. RELAZIONE ACCOMPAGNATORIA AL BILANCIO D'ESERCIZIO Le scelte di fondo sulle modalità di trattamento sotto il profilo della sicurezza competono alle persone e agli organi legittimati ad adottare decisioni ed esprimere a vari livelli, in base al proprio ordinamento interno, la volontà della società, ente o altro organismo titolare del trattamento (art. 4, comma 1, lett. f ), del Codice). In questo quadro, il Codice ha introdotto una nuova regola per rendere meglio edotti gli organi di vertice del titolare del trattamento e responsabilizzarli in materia



di sicurezza, attraverso l'obbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circa l' avvenuta redazione o aggiornamento del DPS che sia obbligatorio come misura "minima" o che sia stato comunque adottato (regola 26 Allegato B)). Anche questa menzione rappresenta una misura "minima" nuova, indicata tra quelle di "tutela e garanzia" (regole 25 e 26). I soggetti pubblici e privati tenuti in passato a predisporre o aggiornare il DPS, e che per il 2004 possono come detto aggiornarlo entro il 30 giugno del presente anno, dovranno riferire secondo la regola 26 già a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS già eventualmente aggiornato per il 2004, oppure menzionando l'adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiornerà il DPS entro il 30 giugno 2004. I soggetti pubblici e privati tenuti invece per la prima volta a redigere il DPS nel 2004 (come si è detto entro il 30 giugno), non devono indicare nella relazione alcunché se il DPS 2003 o il DPS 2004 non sono stati adottati. I medesimi soggetti, qualora alla data in cui predispongono la predetta relazione abbiano redatto già i l DPS 2004, indicheranno invece tale circostanza; potranno infine indicare facoltativamente quanto eventualmente già fatto nel 2003 e, sempre facoltativamente, l'aggiornamento 2004 in itinere.>> Si tenga in considerazione che sono intervenute ulteriori proroghe per l'adozione delle misure "nuove" di sicurezza e oggi la data ultima per adottare tutte le misure minime "nuove" di sicurezza è il 31 dicembre 2005 (*) secondo il primo comma dell'art. 180 come da ultimo modificato dall'art. 6-bis della legge 1° marzo 2005, n. 26, di conversione, con modificazioni, del decreto-legge 30 dicembre 2004, n. 314 [già modificato dall'art. 3 del decreto-legge 24 giugno 2004, n. 158, convertito dalla legge 27 luglio 2004, n. 188 e dall'art. 6 del decreto-legge 9 novembre 2004, n. 266, nel testo modificato dalla legge 27 dicembre 2004, n. 306, di conversione del predetto decreto].In dottrina si è occupato della problematica solo il collega Luigi Neirotti, il quale commentando il parere del Garante precedentemente riportato ha solo brevemente sottolineato la difficoltà interpretativa relativa alla figura della "relazione accompagnatoria" (soffermandosi successivamente nel suo



articolo sulle intervenute proroghe): <<Il Garante ha interpretato come dovuta tale indicazione sin dal bilancio sull'esercizio 2003. Diverse sono le difficoltà che vengono in rilievo in questo caso. Innanzitutto la regola 26 dell'allegato B al codice reca una prima difficoltà nello stabilire concretamente in quale parte del bilancio sia dovuta tale indicazione: se nella "relazione sulla gestione" ovvero nella "nota integrativa".Inoltre, appare difficile comprendere il riferimento del Garante al "bilancio 2003": evidentemente si è considerato solo il caso dell'esercizio sociale coincidente con l'anno solare, senza tenere conto che sono possibili anche altre situazioni (diversi sono i soggetti che, in ragione della natura della loro attività d'impresa, hanno esercizio sociale non coincidente con l'anno solare).Più ancora, l'interpretazione del Garante non appare pienamente convincente. Se è vero che tale indicazione è una misura minima di sicurezza (regola n. 26 dell'allegato B al codice), ed in particolare se è vero che essa deve qualificarsi come "nuova", dato che non era contemplata dal precedente DPR 318/99, come affermato dallo stesso Garante nel parere alla Confindustria ("In questo quadro, il codice ha introdotto una nuova regola …"), allora si dovrebbe concludere che ad essa si debba applicare il regime transitorio previsto dall'art. 180 del codice, il quale permette l'adozione entro il 30 giugno. In altre parole, l'indicazione in questione sarebbe dovuta solo per quelle relazioni accompagnatorie approvate dopo il 30 giugno 2004. Si potrebbe obiettare che ai fini pratici la cosa ha poco rilievo, dato che chi non era tenuto alla formazione del DPS nel 2003 non farà menzione di tale circostanza nella relazione accompagnatoria al bilancio 2004; chi invece già era tenuto alla formazione o aggiornamento del DPS nel 2003 non verrà gravato di un particolare onere (dovendo semplicemente confermare un adempimento già svolto). Una simile considerazione sarebbe accettabile e condivisibile solamente se vi fosse assoluta chiarezza in merito ai soggetti che, prima dell'entrata in vigore del nuovo codice, erano onerati o meno della formazione del DPS>>.Ad avviso di chi scrive:



1- considerato che l'art. 2423 c.c. prescrive che il bilancio è costituito dallo stato patrimoniale, dal conto economico e dalla nota integrativa, mentre l'art. 2428 prevede che il bilancio "deve" essere corredato da una relazione degli amministratori sulla situazione della società e sull'andamento della gestione; 2- considerata la differente natura della nota integrativa (sempre presente in qualsiasi bilancio sia in forma ordinaria sia in forma abbreviata) e della relazione di gestione (che è prevista obbligatoriamente solo per il bilancio in forma abbreviata secondo il comma 5 dell'art 2435 bis);3- considerato che il legislatore, allorquando afferma nell'allegato B (punto 26) che "il titolare riferisce, nella relazione accompagnatoria del bilancio d'esercizio, SE DOVUTA", sembrerebbe riferirsi ad un documento accompagnatorio del bilancio dovuto solo in alcune circostanze; l'obbligo di cui al punto 26 sembrerebbe ascrivibile solo in capo a quelle società che saranno tenute ex lege alla redazione del bilancio d'esercizio in forma ordinaria e, quindi, l'indicazione relativa all'adozione del DPS (o al suo intervenuto aggiornamento) andrebbe inserita obbligatoriamente nella sola “relazione di gestione” (chiamata "atecnicamente" dal legislatore "relazione accompagnatoria"), prevista dall'art. 2428 c.c.. Ovviamente si tratta solo di una possibile interpretazione non suffragata da riferimenti giurisprudenziali o da pareri/provvedimenti del Garante.

(*) termine nuovamente prorogato al 31 marzo 2006

31. DPS - SOCIETA' CAPOGRUPPO E FILIALIUn gruppo formato da 5 società distinte, con tre sedi diverse. Tutti i dati sono in rete: il DPS deve essere redatto solo dal capogruppo o da tutte e cinque le Società?

RISPOSTA Avv. Andrea LisiConsiderando che le cinque società, e le loro rispettive tre sedi, si



trovino tutte nel territorio italiano (e, quindi, che non sorgono questioni di trasferimento di dati personali all'estero), va premesso che il documento programmatico per la sicurezza dovrebbe essere redatto dal titolare principale/capogruppo del trattamento elettronico dei dati (cui quasi certamente competono le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza).Più in particolare, nel caso di specie, il gruppo di società può optare o per la redazione di un unico documento programmatico, ovvero di più documenti.In particolare, la società capogruppo può essere considerata “unico titolare dei dati del gruppo” e, quindi, redigere il documento programmatico per la sicurezza che rispecchi tutte le misure di sicurezza, minime ed idonee, adottate presso ogni società e che faccia menzione dei soggetti responsabili del trattamento effettuato dalle cinque società che alla stessa fanno capo.Ovvero, ogni singola società del gruppo può essere considerata “contitolare del trattamento” e, quindi, procedere alla redazione del documento in parola. D'altronde il disposto della lett. f ) dell'art. 4, I comma, del decreto Lgs. 196/2003 è di portata piuttosto ampia nel ritenere titolare “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza” ragion per cui, nel caso di specie, ogni società può essere considerata titolare (o contitolare) e eventualmente nominare un proprio responsabile del trattamento (o anche più responsabili per singoli trattamenti) e redigere un proprio documento programmatico per la sicurezza. In ogni caso, la redazione del DPS deve essere sempre inserita in una strategia aziendale di sicurezza e, quindi, è difficile rispondere concretamente al quesito se non si conoscono effettivamente e in maniera dettagliata i singoli rapporti tra le varie società del Gruppo. Si può dire comunque che il Codice lascia ampio spazio ai titolari del trattamento per poter



configurare al loro interno le soluzioni migliori alla propria strategia aziendale in termini di privacy e sicurezza.Un altro aspetto da considerare riguarda anche le modalità di gestione elettronica dei dati; infatti la scelta di optare per uno o più DPS potrebbe cambiare a seconda che il server su cui risiedono i dati sia unico o esistano più server; che la modifica dei dati possa avvenire solo attraverso un server o da più parti della rete, etc. Pertanto più il trattamento dei dati avviene in modo centralizzato e maggiore è la convenienza a redigere un solo DPS, viceversa più il trattamento di dati viene effettuato in modo autonomo dalle singole società e maggiore sarà l'opportunità di redigere singoli DPS che, ovviamente, devono contenere informazioni tra di loro coerenti.

32. DATI SENSIBILI E OBBLIGATORIETÀ DEL DPSCome d'accordo Le sottopongo via e-mail i quesiti che suscitano notevole interesse per le nostre aziende agricole associate, ai fini della redazione o meno del documento programmatico alla sicurezza: negli attestati di malattia che i dipendenti delle aziende portano al datore di lavoro, vi sono riportati dati sensibili? Mentre, da una nostra verifica, emerge che in tali attestati venga riportata solo la durata della malattia, in numerosi articoli di giornali si afferma la "sensibilità" dei dati in essi contenuta...E la comunicazione di maternità della lavoratrice al datore di lavoro? l'appartenenza ad un sindacato è dato sensibile. Nel cedolino della busta paga non è indicato il nome del sindacato presso il quale il lavoratore è iscritto. Tuttavia, al momento di provvedere al pagamento della trattenuta a favore dell'associazione sindacale scelta dal lavoratore, il datore di lavoro viene a conoscenza del sindacato scelto...Con un' interpretazione estremamente restr itt iva, s i dovrebbe concludere che ogni azienda, anche quelle con un solo dipendente, sarebbe tenuta alla redazione del Dps...

RISPOSTA Avv. Andrea LisiTutti i dati personali “idonei a rivelare l'origine razziale ed etnica, le



convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonchè i dati personali idonei a rivelare lo stato di salute e la vita sessuale” devono considerarsi sensibili ai sensi dell'art. 4 1° comma lett. d); quindi certamente i certificati di malattia - anche per il solo fatto di indicare che una malattia c'è stata in un determinato periodo senza alcuna ulteriore specificazione - costituiscono un dato sensibile. Lo stato di maternità in senso lato potrebbe non essere considerato “uno stato di malattia”, ma certamente è un dato inerente allo “stato di salute di una persona”, quindi dovrebbe ritenersi anch'esso sensibile. Stesse considerazioni possono essere fatte per i dati inerenti alla appartenenza al sindacato.Per quanto riguarda l'obbligatorietà del DPS, come già riferito in altre occasioni, essa va verificata caso per caso e potrebbe non riguardare le società che effettuino trattamenti cartacei di dati sensibili (almeno secondo un'interpretazione più elastica della normativa). Secondo una interpretazione più elastica della normativa, infatti, il DPS è dovuto solo in caso di trattamento elettronico di dati sentibili. Il Garante è comunque intervenuto sul punto e, con parere non vincolante del 22 marzo 2004 , ha specificato che il DPS sarebbe obbligatorio (e la sua omissione sanzionabile anche penalmente ai sensi dell'art. 169) solo in caso di trattamento elettronico di dati sensibili e giudiziari. Negli altri casi, rimane comunque preferibile utilizzare questo strumento perché offre al titolare la possibilità di provare, con un documento cartaceo, di aver adottato tutte quelle misure volte ad evitare danni, o quantomeno a ridurli, derivanti dal trattamento di dati personali altrui, anche in considerazione del fatto che l'attività di trattamento è equiparata dal nostro legislatore (vd. già citato art. 15 del Codice) ad una attività pericolosa di cui all'art. 2050 c.c., con ogni conseguenza che ne deriva in tema di risarcimento danni (anche non patrimoniali) ed onere della prova.



33. DPS E CONTROLLI DI CARATTERE ISPETTIVOLe attività richieste per il rispetto del D.Lgs. 196/03 devono essere solamente citate sul DPS (Documento Programmatico Sulla Sicurezza) oppure serve anche dimostrarne l'applicazione tramite specifiche registrazioni?In altre parole, in sede di un eventuale controllo, gli ispettori si limitano a verificare che il DPS contenga quanto richiesto dalla Legge oppure procedono a verificarne anche l'applicazione?

RISPOSTA Avv. Andrea LisiIl DPS deve essere veritiero e deve rispecchiare effettivamente quello che succede in azienda, perché il Garante nell'ambito dei suoi poteri di carattere ispettivo, come espressamente indicato negli artt. 157 e ss., può verificare presso la società non soltanto la formale redazione del documento (che sarebbe opportuno che fosse- lo ricordiamo - provvisto di data certa), ma anche la sua applicazione pratica e controllare, quindi, presso i locali del titolare il “rispetto della disciplina in materia di trattamento dati personali”.

34. TERRITORIALITÀ DEI DATI PER CONSENSO Se una società tratta con clienti UE ed EXTRA UE deve raccogliere il consenso anche di questi soggetti?

RISPOSTA Avv. Andrea LisiLa società di cui innanzi deve richiedere il consenso informato (cioè, previa informativa ex art. 13) al trattamento dei dati personali degli interessati, siano essi clienti UE, ovvero extra UE, dal momento che l'attività di trattamento si svolge comunque in Italia.Ovviamente la mancanza di ulteriori e più precise indicazioni sui rapporti tra la società immobiliare e i suoi clienti impedisce un esame più approfondito delle questioni tecnico-giuridiche sottese al trattamento dei dati.Le considerazioni che precedono sono il frutto di una approfondita lettura dottrinale dei vari articoli del Codice; lettura che, ad oggi, non trova l'avallo della giurisprudenza poiché non si registra ancora alcuna



pronuncia giurisprudenziale in proposito. Si consiglia, quindi, di aggiornarsi costantemente sull'evoluzione interpretativa delle norme anche visionando il sito istituzionale del Garante (che comunque - è bene precisare - non è un'autorità giudiziaria), dove si susseguono pareri in risposta a diversi e svariati quesiti.

35. VIDEOSORVEGLIANZA E NORMATIVACome si regola la normativa sulla Privacy nel caso di un'azienda che utilizzi sistemi di Videosorveglianza?

RISPOSTA Avv. Andrea LisiL'entrata in vigore, il primo gennaio scorso, del decreto legislativo n. 196/03 (più noto come “Codice della privacy”) ha comportato una notevole semplificazione in materia di notificazioni al Garante, rendendo tale obbligo da 'regola' ad 'eccezione'.I pochi casi per i quali il titolare del trattamento è oggi gravato dall'obbligo di effettuare la previa notificazione alla suddetta Autorità sono espressamente elencati al primo comma dell'art. 37 del codice. Tra questi casi, il punto f) espressamente fa riferimento al trattamento di “dati registrati in apposite banche di dati gestite con strumenti elettronici e relative (…) a comportamenti illeciti o fraudolenti” (in queste ipotesi potrebbe ricondursi il caso che ci occupa).L'art. 37, peraltro, al comma due ha previsto la possibilità per il Garante sia di individuare altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell'interessato da assoggettare all'obbligo della previa notifica, sia di individuare, nell'ambito dei trattamenti di cui al comma 1 del medesimo articolo, eventuali trattamenti non suscettibili di recare detto pregiudizio e pertanto sottratti all'obbligo di notificazione.In questi ultimi giorni, facendo uso di tali poteri, il Garante ha provveduto ad elencare alcune ipotesi di trattamento di dati personali sottratte all'obbligo di cui innanzi.Si tratta in particolare del Provvedimento n. 1 del 31 marzo 2004 (pubblicata nella G.U. n. 81 del 6 aprile 2004) il quale, a ben vedere,



permette la soluzione del quesito innanzi formulato.Come già evidenziato e confermato dalla lettura delle norme fornita dallo stesso Garante, dalla lettera f) dell'art. 37 si evince l'obbligo della previa notificazione quando si effettuino delle videosorveglianze cui segua la creazione di apposite banche dati gestite elettronicamente e contenenti immagini di persone.Tuttavia, il Garante, nel menzionato provvedimento, ha deliberato di sottrarre all'obbligo di notificazione con riferimento ai casi di cui al comma 1, lett. f ), i trattamenti di dati personali “relativi a immagini o suoni conservati temporaneamente per esclusive finalità di sicurezza o di tutela delle persone o del patrimonio” (cfr. lett. A), par. 6/e).N.B. A proposito di videosorveglianza, si consigliala lettura del provvedimento generale del 29 aprile 2004 (acquisibile sul sito del Garante della protezione dei dati personali).

36. SCADENZA PER LA NOTIFICA PER AZIENDE CON VIDEOSORVEGLIANZALe aziende che hanno impianti di videosorveglianza sono tenute ad effettuare la notifica entro il 30 aprile?

RISPOSTA Avv. Andrea LisiSì, sempre che all'attività di videosorveglianza segua la creazione di “apposite” banche dati, contenenti la registrazione di immagini e/o suoni, gestite elettronicamente e realizzate per finalità di individuazione dei responsabili di comportamenti illeciti o fraudolenti.

37. TELECAMERA SENZA REGISTRAZIONEL'obbligo di notifica comprende anche il caso di una azienda che dispone di una telecamera che riprende, senza effettuare alcuna registrazione? Ad esempio una telecamera che riprende l'interno delle scale condominiali ed il pianerottolo antistante all'entrata dell'ufficio.



RISPOSTA Avv. Andrea LisiNo. La videosorveglianza relativa ad immagini o suoni conservati “temporaneamente” per esclusive finalità di sicurezza o di tutela delle persone o del patrimonio non è soggetta alla notificazione secondo l'ultimo provvedimento del Garante. Nel caso di specie, in cui non si effettua alcuna registrazione, a maggior ragione deve ritenersi non operante l'obbligo di cui all'art. 37 del codice.

38. CASO AZIENDA PRODUTTRICE DI DISPOSITIVI MEDICI SU MISURAL'azienda X, produce dispositivi medici su misura, per realizzare i quali necessita dei dati relativi all'esame audiometrico dell'interessato.I dati sono inviati da clienti (fornitori di audioprotesi), che inviano l'esito dell'esame audiometrico dell'interessato accompagnato dal relativo nome e cognome. La ditta però, non ha alcun altro dato dell'interessato, né residenza, né date di nascita, né numeri telefonici o altro, che permetta l'identificazione certa dell'interessato. L'azienda X, deve comunque ritenere di gestire dati sensibili?Il nome dell'utente deve essere crittografato?

RISPOSTA Avv. Andrea LisiLa società X produce e fornisce dispositivi medici su misura per la cui realizzazione necessita dei dati relativi all'esame audiometrico del richiedente: questa attività rileva giuridicamente da più punti di vista.Per quanto più da vicino ci interessa, il punto dolente è rappresentato dagli adempimenti cui è tenuta a sottostare detta società per rispettare a pieno la normativa vigente in materia di trattamento dei dati personali.La società chiede, in primo luogo, se la stessa effettui un trattamento di “dati sanitari” (da ricomprendersi nel più ampio genus dei dati sensibili e, cioè, secondo l'art. 4 comma 1 lett. d del D.Lgs. 196/03 - Codice per la protezione dei dati personali - “i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le



opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale”), ovvero un trattamento di dati “anonimi”, sulla scorta del fatto che la medesima società afferma di non poter risalire direttamente all'esatta identità del richiedente.In proposito, deve ricordarsi come, ai sensi dell'art. 4, comma 1, lett. n) del Codice per “dato anonimo” si intenda “il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile”. Da tale definizione legislativa deriva che ciascun dato “anonimo” può divenire dato “personale” quando anche attraverso una successiva operazione di collegamento ad altre informazioni di diversa natura risulti idoneo ad individuare un preciso soggetto. Infatti, la definizione di dato personale è molto ampia e ricomprende ai sensi dell'art. 4 comma 1 lett. b) “qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale”; Nel caso di specie, la società X dispone di nome e cognome (e quindi di dati personali, benché non sensibili) del richiedente ed inoltre della diagnosi medica di quest'ultimo.La diagnosi medica, come lo stesso “Garante della privacy” ha avuto modo di precisare (Garante, 2 giugno 1999), per sua natura non è caratterizzata da assoluta oggettività ed anzi contiene valutazioni, o prognosi, di carattere discrezionale, ragion per cui ha sicura natura giuridica di dato personale ed in particolare di dato idoneo a rilevare lo stato di salute del paziente (cioè è un dato sanitario).A questo punto può ritenersi che la società X disponendo di nome e cognome del richiedente unitamente alla diagnosi medica (esame audiometrico) di quest'ultimo possa, anche attraverso più operazioni di combinazione di tali dati, risalire all'identità certa del medesimo richiedente. La stessa società, quindi, non tratta dati anonimi bensì dati sensibili, nella specie dati sanitari.Per tale motivo è tenuta ad applicare genericamente tutte le misure di



sicurezza di cui agli artt. 31 e ss. del Codice e di cui all'Allegato B) al Codice stesso, ed in particolare, dovrà adeguarsi alle ulteriori misure previste in caso di trattamento di dati sensibili indicate ai punti 20 e ss. del medesimo allegato B). Tali misure, dettate appositamente per il trattamento dei dati sensibili, prevedono tra l'altro il trattamento disgiunto dei dati sanitari e dei dati comuni, nonché tecniche di cifratura o codici identificativi per i trattamenti di dati idonei a rivelare lo stato di salute trattati da organismi sanitari e esercenti le professioni sanitarie (in particolare la cifratura di detti dati è prevista all'art. 34 lett. h del codice e dal punto 24 dell'allegato B). Queste ultime disposizioni sono, quindi, specificamente dettate per soggetti appartenenti alla generale categoria degli “organismi sanitari o comunque esercenti le professioni sanitarie”. Occorre verificare nel caso concreto l'appartenenza della società X a tale categoria; infatti la stessa, pur essendo un soggetto privato, comunque produce e commercializza beni che sono collegati con elementi rivelatori dello stato di salute dell'interessato ed è opportuno che si attenga scrupolosamente alle disposizioni previste per gli organismi sanitari in genere.Con riferimento alla notificazione al Garante, il trattamento di dati sanitari per le finalità perseguite dalla società X non sembrerebbe rientrare tra i casi - di cui all'art. 37 - per i quali è da ritenersi doverosa la previa notificazione al Garante. In particolare, l'art. 37 lett. b) prevede l'obbligo di notificazione soltanto in caso di trattamento di dati sanitari al fine di “…prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni…”: nel caso di specie e dai pochi dati in nostro possesso, non sembra potersi dire che l'attività della società X sia riconducibile nell'ambito di operatività di tale previsione.Naturalmente, per procedere al trattamento in parola la società X dovrà rispettare anche la norma di cui all'art. 26 Codice secondo cui “i dati sensibili possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante, nell'osservanza dei presupposti e dei limiti stabiliti dal presente codice, nonché dalla legge e dai regolamenti”.



39. NOTIFICA PER AZIENDA PRODUTTRICE DI DISPOSITIVI MEDICI SU MISURAL'azienda X, produce dispositivi medici su misura, per realizzare i quali necessita dei dati relativi all'esame audiometrico dell'interessato.I dati sono inviati da clienti, deve effettuare la notifica al garante, chiedere il consenso e deve richiedere particolari autorizzazioni?

RISPOSTA Avv. Andrea LisiPer quanto riguarda la notificazione si veda la riposta fornita al quesito precedente.L'azienda in questione non ha alcuna necessità a richiedere l'autorizzazione del Garante, dal momento che opera l'autorizzazione generale n. 2/2002 al “trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale” (Pubblicata nella GU n. 83 del 9/4/2002 - Suppl. Ordinario n. 70 - con differimento dell'efficacia al 30 giugno 2004: G.U. n. 191 del 19 Agosto 2003) che all'art. 1.2. espressamente recita “L'autorizzazione è rilasciata, altresì, ai seguenti soggetti: …lett. e) alle persone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e ad altri organismi, limitatamente ai dati, ove necessario attinenti anche alla vita sessuale, e alle operazioni indispensabili per adempiere agli obblighi anche precontrattuali derivanti da un rapporto di fornitura all'interessato di beni, di prestazioni o di servizi. Se il rapporto intercorre con istituti di credito, imprese assicurative o riguarda valori mobiliari, devono considerarsi indispensabili i soli dati ed operazioni necessari per fornire specifici prodotti o servizi richiesti dall'interessato. Il rapporto può riguardare anche la fornitura di strumenti di ausilio per la vista, per l'udito o per la deambulazione”. A tale conclusione si può peraltro giungere secondo la più accreditata dottrina, ritenendo che “in linea generale, l'autorizzazione non è necessaria, se le finalità del trattamento dei dati sensibili sono relative all'adempimento di un contratto o di una prestazione che sia stata espressamente richiesta dall'interessato” (così Il Codice sulla protezione dei dati personali, a cura di G.P. Cirillo, Giuffrè 2004, 326).Infine, il consenso dell'interessato dovrà essere richiesto e manifestato in forma scritta, previa completa informativa, alla luce della particolare natura dei dati fatti oggetto di trattamento.



(*) Oggi sono in vigore le nuove 7 autorizzazioni generali (nn. 1/2004, 2/2004, 3/2004, 4/2004, 5/2004, 6/2004 e 7/2004 rilasciate il 30 giugno 2004) la cui efficacia è stata differita dal Garante sino al 31 dicembre 2005. Non si rilevano variazioni rilevanti per il caso in esame.Si segnala che da ultimo il Garante ha rilasciato le nuove autorizzazioni al trattamento dei dati sensibili e giudiziari che saranno efficaci dal 1° gennaio 2006 sino al 30 giugno 2007.

40. INTERPRETAZIONE DEL TRATTAMENTO ELETTRONICO DEI "DATI SENSIBILI E GIUDIZIARI"E' così facile capire quando si compie un trattamento elettronico di soli dati comuni e non anche di dati sensibili e giudiziari?

RISPOSTA Avv. Andrea LisiLa definizione di "dato sensibile" si trova nell'articolo 4 del D.Lgs.196/2003 1° comma lettera d).I dati sensibili sono, infatti, quei dati che sono idonei a rivelare:- origine: razziale, etnica; - convinzioni religiose, filosofiche o di altro genere- opinioni politiche, l'adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale- stati di salute e vita sessuale: patologie attuali e pregresse, terapie in corso, anamnesi familiare, ecc. Pertanto, la definizione di dati sensibili fornita dalla legge è così vasta che possono rientrarvi molti dati personali che trattiamo quotidianamente (anche, in alcuni casi, le stesse e-mail, qualora contengano direttamente o indirettamente dei "requisiti di appartenenza" a particolari categorie: es. e-mail [email protected])" (anche per tale motivo si suggerisce di adottare nella propria organizzazione un nucleo minimo di misure di sicurezza, idoneo a soddisfare i requisiti dell'Allegato B / Disciplinare tecnico pensati per trattamenti elettronici di dati sensibili).I dati comuni, al contrario, sono tutti gli altri, ma è bene precisare che con l'emanazione del Codice Privacy, è stata confermata la nuova categoria di dati “diversi da quelli sensibili e giudiziari il cui trattamento presenta rischi



specifici per i diritti, le libertà fondamentali e per la dignità dell'interessato”. L'art. 17 del Testo Unico riprende la definizione prevista dall'art. 24-bis della L.675/96, stabilendo che il trattamento di tali dati è ammesso solo con l'osservanza di misure e accorgimenti che dovranno essere stabiliti dal Garante (si ricorda che ai sensi della passata disciplina il Garante avrebbe dovuto individuare le modalità di trattamento entro febbraio 2003).Comunque, per avere ad esempio una panoramica dei dati personali sensibili che possono trovarsi in azienda e, conseguentemente, per gestirli in maniera corretta, è utile esaminare l'autorizzazione al trattamento dei dati sensibili nei rapporti di lavoro, attualmente emanata dal Garante il 30 giugno 2004 (in vigore sino al 31 dicembre 2005). Dall'autorizzazione, infatti, si rileva che il titolare del trattamento-datore di lavoro potrà avere in azienda dati personali sensibili per :- adempiere direttamente o indirettamente specifici obblighi o per eseguire specifici compiti previsti dalla normativa comunitaria, da leggi, da regolamenti o da contratti collettivi anche aziendali, in particolare ai fini del rispetto della normativa in materia di igiene e sicurezza del lavoro, nonché in materia fiscale, di tutela della salute, dell'ordine e della sicurezza pubblica;- ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, premi, altri emolumenti, liberalità o benefici accessori;- per i l perseguimento delle f inal ità di salvaguardia della vita o dell'incolumità fisica dell'interessato o di un terzo;- per far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, o in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, semprechè, qualora i dati siano idonei a rivelare lo stato di salute e la vita sessuale, il diritto da far valere o difendere sia di rango pari a quello dell'interessato;- per l'esercizio del diritto di accesso ai documenti amministrativi, nel rispetto di quanto stabilito dalle leggi e dai regolamenti in materia;- p e r a d e m p i e r e a g l i o b b l i g h i d e r i va n t i d a c o n t r a t t i d i assicurazione finalizzati alla copertura dei rischi connessi alla responsabilità del datore di lavoro in materia di igiene e di sicurezza del



lavoro e malattie professionali o per danni cagionati a terzi nell'esercizio dell'attività lavorativa o professionale;- per garantire le pari opportunità.- In azienda, in particolare, il trattamento può avere ad oggetto i dati strettamente pertinenti agli obblighi, ai compiti o alle finalità sopra indicate, quali:- dati idonei a rivelare le convinzioni religiose, filosofiche o di altro genere, ovvero l'adesione ad associazioni od organizzazioni a carattere religioso o filosofico, dati concernenti la fruizione dei permessi e festività religiose o di servizi di mensa, nonché la manifestazione, nei casi previsti dalla legge, dell'obiezione di coscienza;- dati idonei a rivelare le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere politico o sindacale, dati concernenti l'esercizio di funzioni pubbliche e di incarichi politici, ovvero l'organizzazione di pubbliche iniziative, nonché dati inerenti alle attività o agli incarichi sindacali, ovvero alle trattenute per il versamento delle quote di servizio sindacale o delle quote di iscrizione ad associazioni od organizzazioni politiche o sindacali;- dati idonei a rivelare lo stato di salute, dati raccolti in riferimento a malattie anche professionali, invalidità, infermità, gravidanza, puerperio o allattamento, ed infortuni, ad esposizioni a fattori di rischio, all'idoneità psicofisica a svolgere determinate mansioni o all'appartenenza a categorie protette.In azienda si deve prestare particolare attenzione agli uffici nei quali è possibile e verosimile che si trovino tali dati in formato cartaceo: si pensi all'ufficio personale, dove sono conservate le buste paga dei dipendenti, compresa tutta la documentazione necessaria alla loro elaborazione, dove si conservano copie dei certificati di malattia e così via. Nella busta paga del dipendente e comunque nella sua cartellina personale, l'azienda potrebbe conservare le indicazioni relative all'appartenenza del soggetto ad un sindacato e ciò al fine di poter effettuare il versamento della quota di iscrizione direttamente dalla busta paga, quando espressamente richiesto dal dipendente stesso. L'azienda potrebbe, inoltre, conservare la documentazione relativa all'appartenenza del dipendente ad una religione particolare, per ragioni legate al contratto di lavoro, dove è



previsto che il soggetto non lavori in un certo giorno della settimana, oppure in un periodo dell'anno, proprio per motivi religiosi. Anche la mensa potrebbe gestire informazioni qualificabili come "dati sensibili" dalla norma: si pensi ai lavoratori che richiedono di non mangiare determinati alimenti, poiché la propria religione o motivi di salute lo vietano. Tutte queste informazioni rappresentano dati sensibili e devono essere gestite con estrema cautela e con autorizzazioni specifiche. Si sottolinea che il nuovo Codice Privacy ha escluso la necessità del consenso per il trattamento dei dati sensibili dei dipendenti quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro (art. 26, comma 4, lett. d).Di più facile lettura invece è la definizione dei dati giudiziari, i quali coincidono con “i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale” (art. 4 1° comma lett. e).

41. AZIENDA DI SOFTWARE E TITOLARITA' DEL TRATTAMENTO DEI DATIL'Azienda di Software X, gestisce per conto di un Curatore fallimentare la pubblicazione su un determinato sito web di dati relativi ad alcune procedure fallimentari in corso. Detti dati vengono forniti dal Curatore alla menzionata azienda, la quale, a sua volta, provvede esclusivamente ad inserirli sul sito del medesimo Curatore (il detto sito, infatti, è ospitato presso i server dell'Azienda di Software X).L'Azienda di Software X deve, o meno, considerarsi titolare del trattamento dei dati inseriti sul web?

RISPOSTA Avv. Andrea LisiDeve premettersi che ai sensi dell'art. 4, I comma, lett. f ) del decreto legislativo n. 196/03 (di seguito codice) per “titolare” si intende “la persona



fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza”. Di un determinato trattamento di dati personali, quindi, possono esserci anche più titolari.Nel caso di specie è titolare certamente il Curatore Fallimentare cui competono ampi poteri in ordine alle finalità e alle modalità del trattamento dei dati ed ancora agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Ed in effetti, sul punto, è sufficiente a fugare ogni dubbio la circostanza secondo cui spetta al Curatore decidere quali dati inserire sul sito web ed ancora se ricorrere alla pubblicità on-line, ovvero a quella cartacea. Venendo più da vicino al ruolo svolto dall'Azienda di Software X, la stessa sembra difettare di poteri decisori limitandosi, detta società, ad un'attività meramente materiale e ripetitiva di inserimento tout court di dati su un sito web in ciò espressamente autorizzata dal Curatore e nei limiti posti dallo stesso.Sembra quindi doversi concludere nel senso di ritenere che l'Azienda di Software X non assuma la veste di titolare o contitolare, né può ritenersi che detta società sia “incaricata” del trattamento, giacché tale figura può essere coperta solo da “persone fisiche” che sono espressamente e per iscritto “autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile” (art. 4, I comma, lett. h).In conclusione, l'Azienda di Software X , potrebbe essere considerata quale “responsabile in outsourcing” essendo tale “la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali”.Non comporta alcun genere di problema, in proposito, il fatto che la società in parola sia soggetto terzo rispetto al Curatore fallimentare dal momento che - come lo stesso Garante della privacy ha avuto modo di sostenere - anche un soggetto non dipendente dal titolare può essere nominato responsabile (ricorrerebbe pertanto la figura del responsabile esterno, il quale sulla base di un contratto di outsourcing svolga operazioni di trattamento).



L'Azienda di Software X, quindi, potrebbe assumere la qualità di responsabile (tale nomina comunque deve risultare da atto scritto, accettato dall'Azienda X con il quale il Curatore specifica analiticamente i compiti assegnati - art. 29 codice) e in ogni caso dovrà procedere al trattamento attenendosi alle direttive impartite dal titolare (cioè dal Curatore), il quale avrà sulla stessa società un obbligo di vigilanza. La responsabilità di ogni scelta relativa al trattamento ricadrà in ogni caso sul titolare principale di detto trattamento (che è il curatore fallimentare) e su di lui ricadranno tutti i compiti specifici e relativi a detto trattamento (quali politiche di sicurezza, nomina di responsabili o incaricati, eventuali obblighi di informativa etc.). Dovrà essere quest'ultimo pertanto a preoccuparsi di provvedere con eventuali nomine, specificando bene tutti i rapporti intercorrenti con l'Azienda di Software X, ivi comprese le misure minime di sicurezza che in qualità di titolare vuole siano adottate.

42. DATI GIUDIZIARI PER UN'AZIENDA DI SOFTWAREL'Azienda di Software X, gestisce per conto di un Curatore fallimentare la pubblicazione su un determinato sito web di dati relativi ad alcune procedure fallimentari in corso. Detti dati vengono forniti dal Curatore alla menzionata azienda, la quale, a sua volta, provvede esclusivamente ad inserirli sul sito del medesimo Curatore (il detto sito, infatti, è ospitato presso i server dell'Azienda di Software X).Cosa è obbligata a fare nel fornire il servizio in “parola”? I dati oggetto di trattamento devono considerarsi giudiziari?

RISPOSTA Avv. Andrea LisiDa rispettare sono gli obblighi generali di adottare adeguate e minime misure di sicurezza. L'Azienda X ha stipulato un contratto di hosting e dovrà pertanto garantire al titolare del trattamento-Curatore fallimentare che i propri server siano dotati di misure di sicurezza al fine di evitare che soggetti non autorizzati possano inserire, modificare, cancellare i dati, o se necessario, di limitare la visualizzazione dei dati da parte di soggetti non autorizzati.Nella eventualità che essa possa rivestire la qualifica formale di responsabile,



l'Azienda di Software X assumerebbe su di sé anche i rischi connessi alla gestione dei dati personali ed in particolare risponderebbe nell'ipotesi di mancato rispetto delle istruzioni impartite dal Curatore.I dati di cui si discute attengono alla dichiarazione di fallimento, alle altre procedure concorsuali e ai conseguenti provvedimenti adottati a carico dei soggetti passivi.Per quanto alcune volte al fallimento seguano anche provvedimenti di tipo penale, quali ad esempio la sentenza di condanna per i reati di bancarotta, dette informazioni (che sono dati giudiziari) non vengono pubblicate. In definitiva, hanno natura di “dati giudiziari” solo quei “dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale”.Viene esplicitamente escluso dalla definizione di dati giudiziari il punto q) relativo a “i provvedimenti giudiziari che dichiarano fallito l'imprenditore; quelli di omologazione del concordato fallimentare; quelli di chiusura del fallimento; quelli di riabilitazione del fallito”Per completezza si indicano i casi contemplati nelle lettere da a) ad o) e da r) ad u) del DPR cit. a) i provvedimenti giudiziari penali di condanna definitivi, anche pronunciati da autorita' giudiziarie straniere se riconosciuti ai sensi degli articoli 730 e seguenti del codice di procedura penale, salvo quelli concernenti contravvenzioni per le quali la legge ammette la definizione in via amministrativa, o l'oblazione limitatamente alle ipotesi di cui all'articolo 162 del codice penale, sempre che per quelli esclusi non sia stata concessa la sospensione condizionale della pena;b) i provvedimenti giudiziari definitivi concernenti le pene, compresa la sospensione condizionale e la non menzione, le misure di sicurezza personali e patrimoniali, gli effetti penali della condanna, l'amnistia, l'indulto, la grazia, la dichiarazione di abitualita', di professionalita' nel reato, di tendenza a delinquere;c) i provvedimenti giudiziari concernenti le pene accessorie;



d) i provvedimenti giudiziari concernenti le misure alternative alla detenzione;e) i provvedimenti giudiziari concernenti la liberazione condizionale;f) i provvedimenti giudiziari definitivi che hanno prosciolto l'imputato o dichiarato non luogo a procedere per difetto di imputabilita', o disposto una misura di sicurezza;g) i provvedimenti giudiziari definitivi di condanna alle sanzioni sostitutive e i provvedimenti di conversione di cui all'articolo 66, terzo comma, e all'articolo 108, terzo comma, della legge 24 novembre 1981, n. 689;h) i provvedimenti giudiziari del pubblico ministero previsti dagli articoli 656, comma 5, 657 e 663 del codice di procedura penale;i) i provvedimenti giudiziari di conversione delle pene pecuniarie;j) i provvedimenti giudiziari definitivi concernenti le misure di prevenzione della sorveglianza speciale semplice o con divieto o obbligo di soggiorno;k) i provvedimenti giudiziari concernenti la riabilitazione;l) i provvedimenti giudiziari di riabilitazione, di cui all'articolo 15 della legge 3 agosto 1988, n. 327;m) i provvedimenti giudiziari di riabilitazione speciale relativi ai minori, di cui all'articolo 24 del regio decreto-legge 20 luglio 1934, 1404, convertito, con modificazioni, dalla legge 27 maggio 1935, n. 835, e successive modificazioni;n) (…)o) r) i provvedimenti giudiziari relativi all'espulsione a titolo di sanzione sostitutiva o alternativa alla detenzione, ai sensi dell'articolo 16 del decreto legislativo 25 luglio 1998, n. 286, come sostituito dall'art. 15 della legge 30 luglio 2002, n. 189;p) s) i provvedimenti amministrativi di espulsione e i provvedimenti giudiziari che decidono il ricorso avverso i primi, ai sensi dell'articolo 13 del decreto legislativo 25 luglio 1998, n. 286, come modificato dall'art. 12 della legge 30 luglio 2002, n. 189;q) t) i provvedimenti di correzione, a norma di legge, dei provvedimenti gia' iscritti;



r) u) qualsiasi altro provvedimento che concerne a norma di legge i provvedimenti gia' iscritti, come individuato con decreto del Presidente della Repubblica, ai sensi dell'articolo 17, comma 1, della legge 23 agosto 1988, n. 400, su proposta del Ministro della giustizia.(art. 686 c.p.p; art. 194 att. c.p.p; artt. 4 e 14, r.d. n. 778/1931; art. 24, parte del sesto comma, r.d.l. 1404/1934, convertito, con modificazioni, l. n. 835/1935; art. 58-bis, l. n. 354/1975; art. 73, l. n. 689/1981)s) Nel caso di specie normalmente non si dovrebbero effettuare pubblicazioni contenenti dati di tal fatta e, quindi, il relativo trattamento non sembrerebbe riferibile a dati giudiziari; per essere del tutto certi occorrerebbe, naturalmente, verificare il singolo caso concreto.

43. SOCIETÀ DI SOFTWARE E OBBLIGHI PRIVACYSiamo una SNC che opera nel settore dell'informatica da alcuni anni (2001), la nostra principale attività è di consulenza e programmazione, ma non manca la vendita ed installazione di prodotti HW e SW. Siamo iscritti alla CCIA di PD con N°******, reg. ********.Dall'entrata in vigore del DL 196/03 sulla Privacy, ci siamo chiesti a quali dei 186 art. dovevamo più fare attenzione. Avendo ricevuto da più parti informazioni imprecise se non contraddittorie ci siamo letti tutta la legge e gli allegati del Garante. Andiamo al dunque:1) 1)La nostra società tratta dati personali, e non sensibili, come la maggior parte delle ditte commerciali per lo svolgimento degli obblighi fiscali (ddt e fatture) e svolge azione commerciale (invio offerte/preventivi a nominativi reperiti sui pubblici elenchi): quali sono gli obblighi per la nostra struttura? Tutti quelli definiti nell'allegato B per i dati personali? Riteniamo di avere le conoscenze per gli adempimenti, ma forse abbiamo bisogno di una certificazione/abilitazione per dichiarare a norma la predisposizione informatica?2) 2)Quando installiamo prodotti HW o SW presso clienti, al fine di adeguare al DL 196/03 la situazione informatica, abbiamo obbligo di rilasciare attestato conformità? E abbiamo gli eventuali requisiti di legge per rilasciarlo?



E nel caso venga rilasciato quali sono le responsabilità da parte nostra in caso di controlli e sanzioni?3) 3)Alla ditta del cliente prevediamo di fornire un piccolo corso di formazione per il personale incaricato del trattamento, abbiamo i requisiti? Anche per rilascio di un attestato?

RISPOSTA Avv. Andrea Lisi1) In relazione agli obblighi fiscali, (in quanto obbligo di legge), ed alle attività commerciali, (in quanto dati provenienti da pubblici registri o elenchi conoscibili da chiunque, o comunque frutto di negoziazione), la regola del consenso dell'interessato per il trattamento dei dati personali non è necessaria (art. 24, lett. a,b,c e d D.Lgs. 196/2003 - cd. Codice Privacy). Tuttavia, ai fini del legittimo trattamento dei dati va sempre fornita una adeguata informativa ai sensi dell'art. 13 del Codice Privacy.In caso di comunicazioni commerciali relative ai propri prodotti/servizi verso clienti/partners con i quali si è già avviata una trattativa o comunque è in essere un rapporto contrattuale, deve essere sempre garantita all'interessato la possibilità (anche attraverso forme semplificate) di manifestare la sua volontà di opporsi per il futuro a questo tipo di trattamento. Inoltre, la società dovrà ovviamente incaricare per iscritto tutti coloro che tratteranno dati personali all'interno o all'esterno della società (art. 30 del Codice). La nomina di uno o più responsabili rimane facoltativa (art. 29 del Codice).Per quanto riguarda l'Allegato B (Disciplinare tecnico in materia di misure minime di sicurezza), esso riguarda le misure di sicurezza che tendono ad assicurare un livello minimo di protezione ai dati personali in caso di trattamento elettronico (punti 1-36) e cartaceo di dati (punti 27-29). La società in questione dovrà, quindi, adeguarsi a tutte le disposizioni normative previste dagli artt. 31 e segg. del D.lgs. 196/03 ed all'Allegato B, e in particolare dovrà adempiere a tutti i punti 1-18 previsti dall'allegato B per qualsiasi trattamento elettronico di dati.Per quanto riguarda l'obbligo di redazione del DPS (punto 19 dell'allegato B)



esso concerne solo coloro che trattano dati sensibili o giudiziari con strumenti elettronici secondo l'interpretazione più elastica fornita recentemente dal Garante, ma (come ripetuto tante volte) parte della dottrina adotta un'interpretazione rigida e letterale (dell'art. 34 del Codice), secondo la quale il DPS è obbligatorio per tutti coloro che trattano elettronicamente dati personali. In ogni caso, si sottolinea che la redazione di un DPS costituisce certamente un utile strumento di lavoro per l'implementazione di una corretta politica di privacy soprattutto in aziende molto strutturate.2) Sicuramente il rilascio dell'attestato di conformità rientra tra le previsioni di cui alla normativa in materia di trattamento dati personali. Ciò in base a quanto previsto dall'art. 25 dell'Allegato B che stabilisce che: “il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere all'esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico”. Sarà opportuno pertanto prevedere con il cliente una definizione contrattuale dei rispettivi oneri e responsabilità in materia di privacy, all'interno del contratto di installazione e manutenzione software/hardware. Pertanto sarà il contratto a prevedere eventualmente una nomina a vostro carico di “responsabile in outsourcing” per il trattamento elettronico dei dati o per la manutenzione del software e hardware utilizzato per i trattamenti, configurando dettagliatamente le relative responsabilità conseguenti a quell'incarico.La necessità di effettuare corsi di formazione al personale incaricato del trattamento è prevista come un obbligo all'interno della normativa riguardante le istruzioni per la redazione del Documento Programmatico della Sicurezza. In particolare, il DPS deve contenere al suo interno “la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti



rispetto al trattamento di dati personali potendo impartire istruzioni scritte finalizzate al trattamento dei dati personali” (punto 19.6 dell'allegato B). Quindi, per tutte le società che effettuino trattamenti elettronici (ma anche cartacei ai sensi del punto 27 dell'allegato B) di dati esiste un obbligo formativo per gli incaricati al trattamento dei dati. Non sono previste particolari certificazioni in capo a coloro che dovranno gestire la formazione all'interno della società (la formazione può essere effettuata anche da responsabili interni che abbiano maturato specifiche competenze in materia).Né è strettamente necessario per la società dotarsi di particolari attestati relativi alla formazione acquisita. L'importante è pertanto che la formazione sia effettuata da chi abbia specifica competenza in materia e che tale formazione sia attestata nel DPS (anche con una semplice fattura emessa dalla società esterna che abbia effettuato la formazione).

44. RESPONSABILITA' NELLA CREAZIONE DI SOFTWARE GESTIONALI L'Azienda di Software X, gestisce per conto di un Curatore fallimentare la pubblicazione su un determinato sito web di dati relativi ad alcune procedure fallimentari in corso. Detti dati vengono forniti dal Curatore alla menzionata azienda, la quale, a sua volta, provvede esclusivamente ad inserirli sul sito del medesimo Curatore (il detto sito, infatti, è ospitato presso i server dell'Azienda di Software X).A quali responsabilità può andare incontro, tale azienda, per aver realizzato un software per un laboratorio di analisi, che rende disponibili dati sul web, attingendoli dal gestionale del laboratorio stesso.

RISPOSTA Avv. Andrea LisiL'attività materiale di creazione di un software che verrà successivamente utilizzato dalla società committente per il trattamento di dati personali non comporta automaticamente per il realizzatore del software alcun obbligo specifico di doversi attenere alle regole di cui al codice della privacy.



Un eventuale obbligo relativamente alla normativa in materia di protezione dei dati personali potrebbe trovare la sua fonte solo nel contratto che ha disciplinato il rapporto tra l'Azienda di Software X e la società committente. In ogni caso, assume maggiore rilevanza il modo attraverso il quale detto software venga successivamente utilizzato per operazioni di trattamento di dati personali, ma questo tema sembra esulare dalle competenze dell'Azienda di Software X.

45. DPS E AZIENDA DI SOFTWARE L'Azienda di Software X, gestisce per conto di un Curatore fallimentare la pubblicazione su un determinato sito web di dati relativi ad alcune procedure fallimentari in corso. Deve tale azienda redigere un DPS?

RISPOSTA Avv. Andrea LisiPremettiamo che le informazioni sui fallimenti non sono considerate dalla normativa un “dato giudiziario”, poiché dati giudiziari sono i “dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 313. In pratica l'articolo 4, comma 3 del D. Lgs 196/2003 esclude dalla definizione di dato giudiziario “i provvedimenti giudiziari che dichiarano fallito l'imprenditore; quelli di omologazione del concordato fallimentare; quelli di chiusura del fallimento; quelli di riabilitazione del fallito”.Ai sensi dell'allegato B del D.Lgs, 196/2003 e del parere del Garante del 22 marzo 2004 solo i soggetti che procedano al trattamento elettronico di dati personali sensibili e giudiziari sono tenuti alla redazione del documento programmatico della sicurezza, ma la normativa viene interpretata in modi diversi poiché la lettera dell'art. 34 del codice parrebbe indicare che tutti i soggetti che trattano elettronicamente dei dati anche comuni sarebbero comunque obbligati alla redazione di un DPS (*) È chiaro che se tale soggetto è un semplice incaricato al trattamento, sarà il titolare del trattamento (o il responsabile) a dover procedere alla



redazione del DPS.Nel caso che ci occupa l'azienda X, a seconda del tipo di contratto stipulato con il Curatore, potrà rivestire la figura giuridica di responsabile esterno del trattamento dei dati o di contitolare autonomo. In entrambi i casi, dovrebbe essere tenuta alla redazione del DPS (salvo specifiche deroghe contrattuali previste dal titolare nel contratto per la figura del responsabile).Nel caso di specie, quindi, l'Azienda di Software X sarà molto probabilmente obbligata alla redazione del DPS. Si ripete ancora una volta che, a nostro avviso, la lettera della legge appare chiara nel determinare un obbligo generale per questo specifico adempimento (*) e soprattutto, in ragione delle sanzioni penali (art. 169) e civili (art. 15) previste in caso di violazione, appare opportuno redigere sempre questo documento (anche perché è ben noto quanto sia difficile valutare con certezza se all'interno di una struttura vengono trattati solo e soltanto dati comuni e nessun dato sensibile).

(*) Nota del Responsabile dello sportello privacy e Coordinatore di Promopadova, dr.ssa Liana Benedetti. L'interpretazione maggioritaria è per l'obbligatorietà del DPS solo in caso di trattamento elettronico di dati sensibili e giudiziari. Rimane l'opportunità di redazione del DPS quando il sistema informatico aziendale sia di una certa dimensione per cui avere tutte le procedure di sicurezza messe per iscritto costituisce comunque un vantaggio anche per l'azienda anche dal punto di vista organizzativo, oltre che legale (prova di aver adottato tutte le misure volte ad evitare danni). Ed è altamente consigliabile la redazione di un DPS nel caso che il soggetto sia un'azienda di software.Si fa notare però che la giurisprudenza è ancora poca, che la lettera della legge sembra dare indicazioni diverse dall'allegato B, che il parere del garante del 22.3.2004 non è legalmente vincolante e che quindi permane ancora un dibattito sull'argomento obbligatorietà del DPS in caso di trattamento elettronico di dati comuni.



46. OBBLIGATORIETÀ DELLA SALA SERVER Deve esserci necessariamente un'apposita sala server? O il server stesso può essere custodito all'interno di un ufficio ? è obbligatorio che ci sia un impianto antincendio e porte blindate?

RISPOSTA Avv. Andrea LisiIl nuovo Codice della privacy (D.Lgs. 196/2003) non prevede espressamente tantissimi adempimenti che possono essere necessari o indispensabili per la corretta tutela dei dati personali che trattiamo nella nostra impresa. Il Codice differenzia le misure di sicurezza da adottare in idonee e minime. Le misure di sicurezza idonee sono genericamente individuate dall'art. 31 del Codice che recita: "i dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta". La violazione delle misure idonee genera una responsabilità di tipo civile individuata nell'art. 15 del Codice (che rinvia all'art. 2050 del codice civile). Le misure di sicurezza minime invece sono quelle misure che assicurano un minimo di protezione dei dati personali e sono invece indicate in via tassativa dagli art. 34 e 35 del Codice (come specificati nell'allegato B - disciplinare tecnico relativo alle misure minime). La loro violazione comporta la sanzione penale prevista dall'art. 169 del Codice. In particolare, l'art. 34 afferma che il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:a) utilizzazione di un sistema di autenticazione informatica;b) adozione di procedure di gestione delle credenziali di autenticazione;c) utilizzazione di un sistema di autorizzazione;d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;



e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;f ) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;g) tenuta di un aggiornato documento programmatico sulla sicurezza;h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari. L'art. 35 (che riguarda i trattamenti senza l'ausilio di strumenti elettronici) invece prevede che il trattamento di dati personali effettuato senza l'ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unità organizzative;b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti;c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati.L'allegato tecnico cerca di concretizzare queste disposizioni con un'elencazione di procedure e strumenti da utilizzare all'interno della propria struttura aziendale. Tra le tante indicazioni relative alla redazione del DPS (Documento Programmatico sulla Sicurezza), inoltre, il legislatore prevede che debba essere fatta una analisi dei rischi relativa al tipo di dati trattati e all'ambito dei trattamenti effettuati in modo da poter attrezzare delle misure di sicurezza idonee alla propria situazione concreta. Non c'è in particolare una disposizione che dica espressamente dove debba essere posizionata la sala server e se debba essere utilizzata una apposita sala server in ogni azienda. Va fatta una valutazione caso per caso, verificando con attenzione i rischi, il tipo di dati trattati, e il tipo di trattamento effettuato. Non ci sono neppure valutazioni tecniche relative a predisposizione di allarmi, sistemi antincendio, porte blindate (anche se vi possono essere altre normative sulla



sicurezza aziendale che possono prevederlo), ma anche in questo caso sarà il titolare del trattamento o il responsabile (anche con l'aiuto di un esperto di privacy e sicurezza) a decidere - sulla base di una attenta valutazione dei rischi - quali misure minime e idonee adottare per una corretta tutela dei dati trattati all'interno della propria struttura aziendale. Certamente precauzioni di questo tipo possono essere più che opportune, ma non sempre indispensabili.

47. CUSTODIA DELLE COPIE DI BACK UPLe copie di back - up devono essere conservate in un armadietto ignifugo? Lo stesso , deve essere murato?

RISPOSTA Avv. Andrea LisiLe copie di back up vanno adeguatamente protette in ragione dei dati trattati e del tipo di trattamento effettuato. Valgono le considerazioni già fatte nel precedente quesito sulla necessaria predisposizione di misure di sicurezza che siano adeguate alla concreta realtà aziendale e ai reali pericoli che corrono i nostri trattamenti (valutazioni che vanno effettuate sulla base di una accurata analisi dei rischi). In caso di trattamento di dati sensibili, il disciplinare tecnico nei punti 21 e 22 specifica che devono essere impartite istruzioni organizzative e tecniche per la custodia e l'uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti. I supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili. Altro il legislatore non specifica e il resto deve essere lasciato alle nostre valutazioni e a consapevoli scelte di opportunità.

48. MISURE DI SICUREZZA E PC NEL MAGAZZINOHo un magazzino di vendita ricambi per auto, sia all'ingrosso che al dettaglio,



7 magazzinieri. In magazzino ci sono tre PC collegati al server in rete. Tutti e sette i magazzinieri usano i tre pc, ma solamente per emettere bolle e fatture. Non possono comunque modificare, cancellare o immettere dati, possono solo consultarli per l'evasione degli ordini. In questo caso c'è bisogno di adottare misure di sicurezza comunque ? ( tipo password, ecc? )

RISPOSTA Avv. Andrea LisiSì. Come già specificato in precedenti risposte, l'art. 34 prevede la predisposizione di misure di sicurezza minime per qualsiasi trattamento elettronico di dati (anche comuni). La semplice lettura e evasione di ordini comporta comunque un trattamento elettronico di dati da parte di soggetti che devono essere stati specificamente incaricati per iscritto ad effettuare quel trattamento loro consentito. Si ricorda che per trattamento si intende qualsiasi attività inerente ad un dato personale e in particolare "qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati". In verità, già soltanto il fatto di non consentire ai magazzinieri di "modificare, cancellare o immettere dati, ma solo consultarli" significa aver predisposto una misura di sicurezza idonea per quello specifico trattamento loro affidato.

49. SCREEN SAVER E PWC'è l'obbligo della password anche quando parte lo screen saver per tornare al lavoro successivamente?

RISPOSTA Avv. Andrea LisiIn verità, il disciplinare tecnico al punto 9 dice semplicemente, in proposito, che devono essere "impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento." Certamente dal punto di vista tecnico - informatico la



predisposizione di pw allo screen sever può essere un'ottima misura per rendere concreto questo obbligo legislativo! Come al solito non c'è un preciso obbligo, ma tutto va valutato caso per caso.

50. DATI PERSONALI DEI DIPENDENTII dati dei dipendenti ai soli fini del rapporto di lavoro , elaborazione paghe, ecc. avendo anche la data e il luogo di nascita vengono considerati sensibili o comuni?

RISPOSTA Avv. Andrea Lisi I dati sensibili sono "i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale". Normalmente il datore di lavoro tratta anche dati sensibili dei propri lavoratori inerenti a iscrizioni sindacali o a stato di malattia, ad esempio. In ogni caso ai sensi dell'art. 24 e 26 i dati trattati per finalità di lavoro, sia che siano comuni sia che siano sensibili, non comportano l'acquisizione del consenso da parte del datore di lavoro, che dovrà trattare quei dati per ottemperare a specifiche esigenze aziendali e normative. Unico adempimento necessario sarà sempre quello di fornire ai dipendenti (anche oralmente, ma è opportuno quanto meno rendere "pubblica" con affissione in bacheca) un'adeguata informativa ex art. 13 sul trattamento dei dati da parte del datore di lavoro. Inoltre, trattando normalmente dati sensibili il datore di lavoro dovrà prestare maggiore attenzione nella predisposizione delle misure di sicurezza previste nell'allegato B al Codice.Nello specifico la data di nascita e il luogo non vanno ad integrare la categoria dei dati sensibili posto che nemmeno il luogo di nascita può determinare con certezza l'origine razziale ed etnica (la circostanza di essere nati a Milano non certifica di essere di razza bianca).

51. DISTRUZIONE DEI DATI PERSONALI DEGLI EX DIPENDENTIPer quanto riguarda i dipendenti non più in forza all'Azienda, devo distruggere tutti i relativi documenti ? però nel libro matricola restano i



nominativi e il periodo di lavoro? devo di conseguenza mandare l'informativa anche agli ex dipendenti ?

RISPOSTA Avv. Andrea LisiL'art. 16 - unica norma che tratta la cessazione di un trattamento - precisa che in caso di cessazione, per qualsiasi causa, di un trattamento i dati sono:a) distrutti;b) ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti;c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione;d) conservati o ceduti ad altro titolare, per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 12. 2. La cessione dei dati in violazione di quanto previsto dal comma 1, l ettera b) o di altre disposizioni rilevanti in materia di trattamento dei dati personali è priva di effetti. Effettivamente, ci possono essere comunque numerose ragioni e anche obblighi legislativi che comportino da parte del datore di lavoro la necessità di continuare un seppur minimo trattamento dei dati dei dipendenti non più in servizio. In caso di adempimento ad un obbligo legislativo, il datore di lavoro potrà (anzi dovrà) operare il trattamento, avvertendo anche oralmente il lavoratore del trattamento che dovrà essere effettuato anche successivamente alla cessazione del rapporto lavorativo. Rimane opportuno, per il futuro, nell'informativa ex art. 13 fornita all'atto dell'assunzione ( e affissa in bacheca) avvertire il lavoratore che i dati verranno trattati anche successivamente alla cessazione del rapporto di lavoro (specificando anche per quanto tempo) ed eventualmente acquisendo il loro consenso per quei trattamenti successivi alla cessazione del rapporto che siano effettuati non in stretto rapporto con un preciso adempimento normativo, ma per opportunità o esigenza aziendale.



52. CV E PRIVACYI curriculum vitae che arrivano per posta in azienda e quelli vecchi in archivio devono essere distrutti? o devo mandare l'informativa?

RISPOSTA Avv. Andrea LisiSecondo la maggior parte della dottrina possono essere trattati (e, quindi, conservati in azienda) solo quei CV che presentino un espresso consenso al trattamento da parte di chi li ha forniti per finalità di selezione lavorativa o formazione professionale. Sarebbe pertanto corretto distruggere i CV non appena cessano le ragioni del trattamento e sarebbe opportuno comunque fornire una adeguata informativa all'interessato sul tipo di trattamento effettuato e sulla titolarità e responsabilità del trattamento. Può essere utile inserire queste informazioni in materia di privacy sull'eventuale sito web aziendale al quale si può far riferimento nel fornire la sintetica informativa. L'importante è rendere sempre concreto il diritto di accesso ai propri dati a tutti gi interessati (ex art. 7) e predisporre le adeguate misure di sicurezza per il loro trattamento.

53. REGOLAMENTO INFORMATICO INTERNOHo letto un articolo in cui si consiglia al datore di lavoro di redigere un regolamento informatico interno, al fine di sollevare l'azienda da responsabilità civili e penali, qualora i dipendenti utilizzino la strumentazione elettronica in modo illecito. Dato che il regolamento dovrebbe stabilire regole di utilizzo di posta elettronica e internet e relative modalità di controllo su tali strumenti, gradirei ricevere consiglio sulla corretta redazione del documento, per non ledere i diritti garantiti ai lavoratori in materia di privacy.Ai fini della validità del documento, inoltre, è sufficiente farlo sottoscrivere ai dipendenti?

RISPOSTA Avv. Andrea LisiControllare le e-mail o comunque i file di log dei pc in uso dei dipendenti di una società può essere un'attività illecita, perché compiuta in violazione con il diritto di riservatezza e in contrasto con l'art. 4 dello Statuto dei Lavoratori (peraltro richiamato dallo stesso Codice privacy nell'art. 114 inerente al



controllo a distanza), il quale proibisce l'installazione e l'utilizzo di apparecchiature che abbiano come unica finalità il controllo a distanza dei lavoratori. Sembrerebbe in contrasto con questa chiave di lettura l'ordinanza emessa in data 10 maggio 2002 dal Tribunale di Milano, la quale ha ritenuto non punibile la lettura da parte del datore di lavoro di e-mail aziendali del dipendente (lettura che aveva determinato il licenziamento di una lavoratrice di una società milanese). Secondo il Tribunale, l'account aziendale di posta elettronica va equiparato ad un qualsiasi strumento di lavoro e, quindi, quale bene aziendale può essere soggetto al legittimo controllo da parte del datore di lavoro. D'altronde circa un mese prima la Corte di Cassazione (sentenza n. 4746 del 3 aprile 2002) aveva stabilito che tutti quei controlli che mirino a verificare illecite condotte dei lavoratori non violano l'articolo 4 dello Statuto dei lavoratori. In ogni caso, la normativa non è chiara ed è sempre consigliabile dotare la società di una precisa “policy aziendale” (e, cioè, un regolamento aziendale interno) in merito al controllo degli strumenti di lavoro.Un regolamento, perché sia valido, deve essere sottoscritto da ogni dipendente, e avere il consenso delle eventuali rappresentanze sindacali interne o dell'Ispettorato del lavoro. Non ultimo, sarebbe utile che questi regolamenti contenessero, in base agli adempimenti previsti dal D.Lgs. 196/2003, le istruzioni da fornire ai propri dipendenti circa la segretezza e riservatezza delle comunicazioni elettroniche, la loro custodia e conservazione, sia per i dati trattati sia per le modalità e precauzioni da adottare.Un regolamento, affinchè si possano applicare sanzioni disciplinari nei confronti dei dipendenti, deve essere affisso in luogo accessibile (art. 7 Statuto dei lavoratori) in quanto va ad integrare il contenuto del codice disciplinare (e deve avere il consenso delle eventuali rappresentanze sindacali interne o dell'Ispettorato del lavoro). Tuttavia si consiglia anche di far sottoscrivere dai dipendenti il regolamento informatico per garantire una loro maggiore consapevolezza circa il corretto comportamento nell'esecuzione della prestazione anche con riferimento all'utilizzo degli strumenti di lavoro (es. indicazioni sulla segretezza e riservatezza delle comunicazioni elettroniche, sulla loro custodia e conservazione, sia per i dati trattati sia per le modalità e precauzioni da adottare).



54. TRATTENUTE, ASSEGNI FAMILIARI E DATI SENSIBILITrattenute a favore del coniuge, assegni familiari rientrano nel novero dei dati sensibili? Uno Studio Commercialisti deve redigere il DPS, anche se non effettua buste paga?Grazie

RISPOSTA Avv. Andrea LisiTendenzialmente i dati personali di natura contabile trattati da uno studio di un commercialista non dovrebbero rientrare nel novero di quei dati particolarmente "delicati" che il legislatore definisce "sensibili". Infatti, il legislatore all'art. 4 del Codice privacy (D. Lgs. 196/03) definisce sensibili quei dati idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. In verità, la definizione fornita dal legislatore è molto generica e molte volte occorre effettuare una valutazione caso per caso per rispondere con certezza (e non sempre è possibile farlo) se la natura di un dato rientri nella fattispecie sopra riportata. Proprio per tali motivi si è soliti consigliare di adottare comunque in caso di trattamento elettronico di dati "tendenzialmente" comuni quelle misure di sicurezza minime che il disciplinare tecnico (l'allegato B al Codice) riserva ai trattamenti riguardanti dati sensibili, tra i quali anche la redazione entro il 31 marzo di ogni anno del DPS (data più volte prorogata e oggi fissata al 31 marzo 2006). In ogni caso, si ricorda che l'obbligo di aggiornamento continuerà a dover essere effettuato entro il 31 marzo di ogni anno, a partire dal 2006. In questo caso - anche considerando che il DPS può costituire una misura "idonea" per la protezione dei propri dati personali dal trattamento elettronico che si effettua (e considerati gli articoli 15 e 31 del Codice) - si consiglia l'adozione del DPS (documento che si può redigere anche sinteticamente sulla base della stessa Guida fornita dal Garante e acquisibile sul sito www.garanteprivacy.it) entro il marzo 2006).



55. PRIVACY E FOTO DA INSERIRE SU SITO WEBSiamo un'agenzia di pubblicità e tra i ns. servizi forniamo ragazze immagine per eventi in discoteche. Abbiamo la necessità di raccogliere in un database i dati personali delle ragazze in questione e le loro fotografie, i quali devono poi essere pubblicati sul ns. sito internet e anche su altro materiale pubblicitario. Per avere un rapido riferimento visivo su quello che intendiamo fare potete visionare il seguente sito: http://www.**************.html cliccando sul link GIRLS o BOYS a sinistra. Vi chiediamo quali adempimenti dobbiamo svolgere.

RISPOSTA Avv. Andrea LisiLa Società in questione dovrà prima di tutto informare adeguatamente gli interessati al trattamento dei dati personali (ragazze e ragazzi immagine). Una volta fornita l'adeguata informativa ex art. 13 del Codice della privacy (D.Lgs. 196/03) è opportuno che la società acquisisca un espresso consenso documentato per iscritto dai vari interessati. Ovviamente l'informativa e il consenso potranno essere inseriti all'interno del contratto di assunzione quale apposita clausola del contratto e i vari collaboratori/dipendenti all'atto dell'assunzione manifesteranno per iscritto il consenso a questa forma di trattamento in apposite banche dati elettroniche per scopi pubblicitari (con consenso alla pubblicazione on line; consenso necessario anche per normative diverse dalla legge sulla privacy). Naturalmente la società in questione dovrà anche adeguare tutti i suoi trattamenti cartacei e elettronici di dati alle misure di sicurezza minime previste dagli artt. 31 e segg. Non sono necessari ulteriori e specifici adempimenti.

56. NORMATIVA PRIVACY APPLICABILE PER IL SITO WEBSe in un sito vengono richiesti i dati dell'utente, quale è la normativa applicabile ai fini della Privacy?

RISPOSTA Avv. Andrea Lisi Si applica il nuovo Codice della Privacy (D. Lgs. n. 196 del 30 giugno 2003). In base all'art. 11 i dati richiesti devono essere "raccolti e registrati per scopi determinati, espliciti e legittimi"; l'art. 13 prevede l'obbligo, da parte di colui che richiede i dati, di informare preventivamente oralmente o per iscritto l'utente circa le finalità e modalità di utilizzo dei dati trattati; questa normativa è applicabile



anche ai contratti on line. Il consenso espresso dell'utente, previsto dall'art. 23, sarà necessario qualora il fornitore di beni o servizi on line utilizzi i dati raccolti per finalità diverse da quelle previste dal contratto (ad esempio per finalità di direct marketing) o qualora i dati siano ad accesso libero.

57. PRIVACY E PERMANENZA SU UN SITOLa raccolta di dati sul comportamento dell'utente, quale ad esempio il tempo di permanenza in un sito, richiede il consenso in base alla normativa sulla privacy?

RISPOSTA Avv. Andrea Lisi E' fatto obbligo al titolare del sito web di assicurarsi che il trattamento dei dati raccolti avvenga secondo i termini di trasparenza e correttezza previsti dall'art. 11. E' altresì necessario richiedere il consenso espresso, in base all'art. 23 del Codice della Privacy, se i dati vengono raccolti, non per finalità strettamente tecniche, ma tali dati, attraverso l'utilizzo di cookies o di altri sofisticati software, vengono, ad esempio, catalogati in base alle caratteristiche personali dell'utente, inseriti in liste e successivamente utilizzati per l'invio di e-mail commerciali.In ogni caso, è sempre necessaria una adeguata informativa privacy sul sito web.

58. DATI FORNITI A GESTORE DI SITO WEBI dati personali forniti al gestore di un sito web possono essere cancellati o modificati in qualsiasi momento?

RISPOSTA Avv. Andrea Lisi In base all'art. 7 (D.Lgs. 196/2003) l'interessato al trattamento dei propri dati, ha il diritto di ottenerne la cancellazione in qualsiasi momento quando i suoi dati sono trattati in violazione della legge; nonché ha diritto all'aggiornamento e alla rettificazione quando vi è interesse nell'integrazione degli stessi. L'interessato ha sempre diritto di opporsi a trattamenti effettuati per finalità di web marketing.



59. PRIVACY E FORM ELETTRONICIGli obblighi di legge sulla privacy valgono anche per i dati raccolti dalle imprese tramite form di contatto on line?

RISPOSTA Avv. Andrea Lisi Le norme previste dal D. Lgs. 196/2003 valgono per tutti coloro che trattano dati personali con qualsiasi mezzo; pertanto sarà necessario adempiere a tutti gli obblighi previsti per il trattamento dati (informativa, consenso se necessario, etc), adottare opportune misure di sicurezza e disporre i relativi strumenti affinché l'interessato possa in qualsiasi momento esercitare i diritti di cancellazione, integrazione, rettifica, modifica, etc. come disposto dall'art. 7 del presente decreto.

60. PRIVACY E COOKIESCome tutelo la privacy e la sicurezza mia e del visitatore del mio sito web? E i cookies vanno segnalati all'utente?

RISPOSTA Avv. Andrea Lisi Ai siti web si applica la disciplina italiana e comunitaria sulla protezione dei dati personali. Tutti i siti web che operano un trattamento dei dati devono adeguarsi alla disciplina del Codice della privacy (D. Lgs. 196/03). Quindi, il titolare del sito dovrà fornire una adeguata informativa, rendere effettivo il diritto di accesso ai propri dati, notificare al Garante i propri trattamenti nei casi espressamente previsti dalla legge, adottare idonee e minime misure per rendere sicuro il trattamento.In caso di trattamenti “invisibili” di dati elettronici (come nel caso di utilizzo di cookies), l'utente dovrà essere adeguatamente informato della presenza degli stessi con un'idonea informativa.

Avv. Andrea LisiStudio Associato D&LV.M. Stampacchia, 2173100 Lecce - ItalyTel. - Fax: +39/0832/25 60 65 - 244 [email protected] - www.scint.it

Studio Avv. Marzio Vaglio-Padova

Tel.: +39/ 049 875 50 58Fax: +39/ 049 878 67 03

[email protected]


A cura di Andrea Lisi

A cura del Garante della Privacy (www.garanteprivacy.it)


Fac Simile di Documento programmaticosulla Sicurezza redatto per le imprese

Guida operativa per redigereil Documento programmatico

sulla sicurezza (DPS)

Appendice NormativaTesto del D.Lgs. 196/2003

Allegato B al D.Lgs. 196/2003

1

2

3

Parte terza



Fac Simile diDocumento Programmaticosulla Sicurezza redatto per

le imprese



AVVERTENZE

Segue un “modello” di documento programmatico sulla sicurezza elaborato per una società medio-piccola denominata X, che produce e commercializza beni mobili (che non tratta dati sensibili e che si occupa in proprio della contabilità e redazione buste paga, senza affidare all’esterno alcun trattamento di dati).

Lo schema che segue ha un valore meramente indicativo e andrà adattato alla realtà della singola società che esegue il trattamento.

Appare comunque utile precisare che difficilmente la società X non opererà alcun trattamento elettronico di dati sensibili (almeno per quanto riguarda gli obblighi previdenziali e contabili inerenti ai propri dipendenti): in tal caso la normativa non prescrive particolari e ulteriori adempimenti da eseguire nella redazione del documento programmatico per la sicurezza, se non quello di indicare specificamente questo particolare tipo di trattamento e le più stringenti misure di sicurezza adottate come individuate nell’allegato B del Testo Unico in materia di protezione dati personali (D.Lgs. 196/2003). Peraltro, il seguente documento programmatico per la sicurezza è stato predisposto in modo tale da osservare anche le misure minime di sicurezza previste per il trattamento di dati sensibili.



“X” s.r.l.

DOCUMENTO PROGRAMMATICO SULLA SICUREZZA PER IL TRATTAMENTO DEI DATI PERSONALI EFFETTUATO CON

STRUMENTI ELETTRONICI(ai sensi dell’art. 34 del D.Lgs. n. 196/2003 e del relativo Allegato B)

Questo documento è parte integrante e sostanziale della deliberazione n. __del __/__/____ con cui il Consiglio di amministrazione della “X” s.r.l. ha deliberato di redigere il documento programmatico sulla sicurezza i conformità alle norme di cui al Decreto Legislativo n. 196/2003.

***PREMESSA

Il presente documento è stato redatto in conformità a quanto previsto dalla normativa nazionale in vigore ed in particolare in conformità a quanto statuito dall’art. 34 e dall’Allegato B del Decreto Lgs. n.196/2003 “Codice in materia di protezione dei dati personali” ed è suddiviso come segue:

o l’elenco dei trattamenti dei dati personali (regola 19.1.); o la distribuzione dei compiti e delle responsabilità (regola 19.2.);o l’analisi dei rischi che incombono sui dati (regola 19.3.);o le misure in essere e da adottare (regola 19.4.);o i criteri e modalità di ripristino della disponibilità dei dati (regola 19.5.);o la pianificazione degli interventi formativi previsti (regola 19.6.);

1 - Elenco dei trattamenti dei dati personali (regola 19.1.)La X s.r.l., nel/i proprio/i stabilimento/i di ______________________________alla Via ________________________________________________________, non anche a quello di dati sensibili e/o giudiziari.Gestisce la propria contabilità interna, le paghe dei propri dipendenti e procede alle operazioni di trattamento, ex art. 4 D.Lgs. n. 196/2003, dei dati

Via

Tel/Fax

P.Iva

N. isrizioe Registro Imprese

e-mail



comuni e non anche a quello di dati sensibili e/o giudiziari.Gestisce la propria contabilità interna, le paghe dei propri dipendenti e procede alle operazioni di trattamento, ex art. 4 D.Lgs. n. 196/2003, dei dati personali dei propri clienti e dei propri fornitori (si tratta in particolare di: ragioni sociali, nominativi, dati anagrafici, codici fiscali, numeri di P. IVA, numeri di telefono fisso/mobile e di fax, indirizzi e-mail, coordinate bancarie).

Per la tenuta della contabilità è stata prevista e realizzata la formazione di appositi archivi, sia elettronici (cod. 1) sia cartacei (cod. 2), in cui trovano allocazione logica le anagrafiche dei clienti e dei fornitori.Detti archivi vengono utilizzati esclusivamente per rapporti di carattere commerciale e non vengono trattati da personale non autorizzato né ceduti o comunque comunicati e/o diffusi a terzi.

Per quanto attiene la gestione dei rapporti di lavoro subordinato, la documentazione di rito - sia su supporto cartaceo (cod. 3) sia elettronico (cod. 4) - è affidata a personale specializzato che ne è anche responsabile.

Tabella 1.1. Elenco dei trattamenti: informazioni base

Tabella 1.2.. Elenco dei trattamenti: descrizione analitica degli strumenti utilizzati

Identifiativo

del trattamento

Cod. 1 Trattamento elettronico comuni Es. Ufficio amministrativo - commerciale

Fascicoli riposti inschedari dotati di chiusura

Cod. 2 Trattamento cartaceo comuni

Cod. 3 Trattamento cartaceo comuni Es. Ufficio del personale ......

Cod. 4

Aggiornamento

Trattamento elettronico comuni pc

Descrizione sintetica Natura dei dati

trattati

Descrizione degli

strumenti utilizzatiStruttura di riferimento

Identifiativo

del trattamento

Cod. 1 Banca dati clienti e

fornitori

comuni Es. 3 Pc con sistemaoperativo XXXX

Es. Rete locale

Aggiornamento

Eventuale banca datiUbicazione fisica

dei supporti dimemorizzazione

Tipologia di

interconnessione

Tipologia di

dispositivi di accesso



2 - Distribuzione dei compiti e delle responsabilità (regola 19.2.)All’interno della X s.r.l. sono preposti al trattamento dei dati personali i soli Ufficio Amministrativo - Commerciale e Ufficio del Personale.

La composizione dell’Ufficio Amministrativo - Commerciale preposto alla contabilità e ai rapporti commerciali con fornitori e clienti è la seguente:· Dott. _____________________________ Capoufficio – Responsabile del trattamento;· Sig. _____________________________ Impiegato – Autorizzato ad accedere agli archivi cartacei ed elettronici al solo fine di eseguire operazioni di concetto sotto la direzione e la responsabilità del Capoufficio.

La composizione dell’Ufficio del Personale preposto ai rapporti col personale dipendente è la seguente:· Dott._____________________________ Capoufficio – Responsabile del trattamento;. Sig. _____________________________ Impiegato – Autorizzato ad accedere agli archivi cartacei ed elettronici al solo fine di eseguire operazioni di concetto sotto la direzione e la responsabilità del Capoufficio

La Società X, titolare del trattamento dei dati, ha designato, quale Responsabile del trattamento dei dati e preposto alla custodia delle parole chiave, ai sensi dell’art. 29 del D.Lgs. 196/2003, il Sig./Sig.ra ________________, in considerazione della esperienza, capacità ed affidabilità espressa dalla medesima, tale da offrire idonea garanzia dei pieno rispetto delle disposizioni in materia di trattamento.Il Titolare del trattamento ha altresì nominato, ai sensi dell’art. 30 del D.Lgs. 196/2003, i singoli Incaricati, autorizzandoli al trattamento dei dati in possesso dell’azienda, esclusivamente con riferimento all’espletamento delle funzioni lavorative ad essi rispettivamente assegnate.Tali incaricati sono stati formalmente edotti in merito alla circostanza che: a) il trattamento e la conservazione dei dati deve avvenire in modo lecito e proporzionato alle funzioni istituzionali, nel rispetto della riservatezza;b) la raccolta, registrazione ed elaborazione dei dati, mediante strumento elettronico o cartaceo, deve essere limitata alle finalità aziendali e strettamente necessarie;c) integra onere dell’incaricato la correzione od aggiornamento dei dati posseduti, nonchè l’esame della pertinenza rispetto alle funzioni;d) integra onere dell’incaricato il rispetto dei compiti specifici che gli sono stati assegnati, nonché il rispetto delle istruzioni e delle modalità operative contenute nell’atto di conferimento dell’incarico.



L’ambito dei trattamenti autorizzati ai singoli incaricati è suscettibile di aggiornamento periodico.A tutti gli incaricati destinati al trattamento di dati mediante strumento elettronico, sono state conferite credenziali di autenticazione (art. 34, comma 1, lett. b), mediante parola chiave, conformi alle caratteristiche indicate nell’Allegato B e con l’obbligo di modificarle al momento della consegna ed aggiornarle periodicamente. Ogni incaricato è custode e responsabile delle proprie password. In ogni caso si avrà cura di consegnare ogni 3 mesi, in busta chiusa al custode delle password, le proprie credenziali di autenticazione per l’accesso al proprio sistema informatico (ID e PW). Il custode sarà autorizzato ad aprire le buste consegnate solo in caso di urgente necessità, determinata dall’assenza prolungata dal lavoro dell’incaricato, avvertendo, però, l’incaricato assente, che dovrà modificare le ID e PW al suo rientro al lavoro. Le suddette credenziali sono disattivate automaticamente in caso di mancata utilizzazione per almeno 6 mesi.Concorrono al trattamento anche le seguenti strutture esterne all’azienda, incaricate, mediante apposito atto di nomina, del supporto, della manutenzione, riparazione degli strumenti elettronici: Ditta X. Gli addetti incaricati ai vari trattamenti degli Uffici (nel quale hanno accesso per il trattamento dei dati solo i singoli incaricati del personale amministrativo e docente) sono i seguenti:- Sig./Sig.ra-

TABELLA con descrizione dei compiti e delle responsabilità delle varie strutture preposte ai trattamenti

Analisi dei luoghi fisici ove si svolge il trattamento di dati personali

Per l’esatta redazione del presente documento sono stati analizzati i luoghi ove fisicamente si svolge il trattamento dei dati personali, ove sono

Struttura

Ufficio AmministrativoCommerciale

Trattamenti elettronici e cartaceistrumentali allo svolgimento deicompiti assegnati.

Ufficio

del Personale

Trattamento elettronico ecartaceo di dati inerenti alpersonale dell'azienda.

Trattamenti effettuati dallastruttura

Descrizione dei compiti e delleresponsabilità della struttura



conservati i dati stessi, e, infine, ove si trovano i sistemi di elaborazione.Si tratta dei seguenti luoghi fisici:

La macchina server è collocata in un apposito locale (sala server).

La sala server è dotata di: Impianto antincendio adeguato a locali contenenti apparati informatici; Impianto di condizionamento ambientale, opportunamente dimensionato; Porte e finestre blindate; Impianto elettrico a norma; Gruppo di continuità.L’accesso alla sala server è consentito solo al responsabile del trattamento e alle persone di volta in volta espressamente autorizzate.

Città:

Indirizzo Sede:

Descrizione

Ufficio Amministrativo - CommercialeCapo Ufficio:Dott.Dipendenti:Sigg.ri

Vi sono i pc con cui siprocede altrattamentodei dati personalirelativi a : fornitori - clienti

A tale ufficio si può accedere tramiteuna porta dotata di serratura.

Ufficio Del PersonaleCapufficio:Dott.Dipendenti:Sigg.ri

Vi sono i pc con cui siprocede altrattamentodei dati personalirelativi ai dipendenti


Sala Riunioni Sala Riunioni - Attesa Nel locale nonvengonoconservati documenti


Locale ArchivioSala Server

ArchivioSala Server

In questo locale sonoconservati gli archivi dinatura cartacea, inappositi classificatorimetallici.E' stipato l'armadiocontenente il serverprincipale su cuirisiededono gli archivielettronici.

A tale locale si può accedere tramiteuna porta dotata di serratura. Lafinestra dispone di una grata metallicaesterna.Il server è collegato ad un gruppo dicontinuità.

Utilizzo NoteMisure di sicurezza adottate



In assenza del personale autorizzato, la sala server è tenuta chiusa a chiave. Tutte le chiavi sono custodite dal Capo dell’Ufficio amministrativo-commerciale o dal personale da questo a tal fine delegato.

3 Individuazione e Gestione degli apparati hardware, delle risorse software e dei dati

a) Individuazione e Gestione degli apparati hardwareIl responsabile del trattamento preposto al proprio ufficio mantiene un elenco, da aggiornare con cadenza annuale, di tutte le attrezzature informatiche dell’ufficio, dello scopo cui sono destinate, della loro allocazione fisica, delle misure di sicurezza su esse adottate e delle eventuali misure di adeguamento pianificate.

Le risorse hardware utilizzate per trattare i dati personali sono analizzate nelle seguenti schede riepilogative:

Codice:Descrizione:Sistema Operativo:ImpiegoAccesso alla rete

Sistema di protezione d'accessoAntivirus:Dispositivi di memorizzazioneDispositivi di collegamentoDispositivi di backup

Server marca_____modello____XXXXXData storageCollegamento a rete LAN: SICollegamento a rete Internet: SIUtilizzo di password di otto caratteri da modificare ogni tre mesiSiDisco scsi net raid 5 da 30GbScheda di rete 10/100 Mb/sUnità di backup XXXX

Codice:Descrizione:Sistema Operativo:ImpiegoAccesso alla rete

Sistema di protezione d'accessoAntivirus:Dispositivi di memorizzazioneDispositivi di collegamento

Dispositivi di backup

PC ClientXXXXX

Collegamento a rete LAN: SICollegamento a rete Internet: SIUtilizzo di password di otto caratteri da modificare ogni tre mesiSiDisco eide da 20GbScheda di rete 10/100 Mb/sScheda Moden interno per collegamento InternetUnità di backup XXXX



Gli armadi che contengono gli apparati di rete sono tenuti chiusi a chiave. Le chiavi sono custodite da personale delegato dal Capo dell’Ufficio.

Laddove gli apparati di rete vengano gestiti attraverso la rete locale dell’edificio, il loro indirizzamento deve avvenire su una rete IP distinta.

b) Individuazione e Gestione delle risorse software

Le risorse software utilizzate per trattare i dati personali sono analizzate nelle seguenti schede riepilogative:

Analisi dei rischi che incombono sui dati (regola 19.3)

La “X” S.r.l. ha proceduto ad una ricognizione dei rischi che potrebbero comportare una distruzione, sottrazione, perdita, trattamento abusivo dei dati, di origine dolosa, colposa o meramente fortuita, in grado di recare pregiudizio ai dati personali trattati.Le fonti di rischio sono state accorpate in:

Codice:Descrizione:ImpiegoAccesso alla reteSistema di protezione d'accesso

Sistema operativoSu ServerCollegamento a rete LAN: SICollegamento ad internet: SIUtilizzo di password personale di otto caratteri da modificare ognitre mesi

Codice:Descrizione:ImpiegoAccesso alla reteSistema di protezione d'accesso

ProgrammaSu Server e su ClientCollegamento a rete LAN:SIUtilizzo di password personale di otto caratteri da modificare ognitre mesi

Codice:Descrizione:ImpiegoAccesso alla rete

Sistema di protezione d'accesso

ProgrammaSu Server e su ClientCollegamento a rete LAN: SICollegamento ad internet: SIUtilizzo di password personale di otto caratteri da modificare ognitre mesi



1) Comportamenti degli operatori;2) Eventi relativi agli strumenti;3) Eventi relativi al contesto fisico-ambientale.I suddetti rischi sono stati ripartiti in classi di gravità, tenendo conto della concreta possibilità di realizzazione presso la società X, adottando la seguente scansione:Alta – Medio/Alta – Media – Medio/Bassa - BassaLa tabella seguente sintetizza i principali eventi potenzialmente dannosi per la sicurezza dei dati, valutandone le possibili conseguenze e stimandone la gravità, ponendoli altresì in correlazione con le misure di sicurezza previste.

Analisi dei Rischi connessi alle strutture hardware e software

Evento

Comportamentidegli operatori

Eventi relativiagli strumenti

Furto di credenzialidi autenticazione

Carenza diconsapevolezza,disattenzione oincuria

Dispersione, perdita e accessoaltrui non autorizzato

Basso

Basso L'uso macchine èsoggetto alla digitazionedi una password personalee vi è un sistema divigilanza sul rispetto delleistruzioni impartite. Lepassword personali sonomodificateperiodicamente

Formazione e flussocontinuo di informazione

Comportamentisleali o fraudolenti

Dispersione, perdita e accessoaltrui non autorizzato,manomissione/sabotaggio

Basso Vigilanza sul rispettodelle istruzioni impartite

Errore materiale Dispersione, perdita e accessoaltrui non autorizzato

Basso Vigilanza sul rispettodelle istruzioni impartite,formazione e flussocontinuo di informazione

Azione di virusinformatici o diprogrammisuscettibili di recaredanno

Perdita o alterazione, ancheirreversibile, di dati, diprogrammi e di elaboratori.

Basso Alle risorse non accedonopersone non autorizzate.La manutenzione èeffettuata da tecnici difiducia.

Accesso altrui non autorizzato

NoteLivelloRischio



Evento

tecniche disabotaggio

Malfunzionamento,indisponibilità odegrado deglistrumenti.Probabilità/frequenzadi guasto

Perdita o alterazione, ancheirreversibile, di dati, diprogrammi e di elaboratori;impossibilità temporanea diaccesso ai dati e di utilizzo deiprogrammi.

Basso

Basso Adozione di idoneidispositivi di protezione.

L'hardware acquistato è di qualità e storicamentenon ha mai dato causa aproblemi rilevanti. Lamanutenzione è effettuatada tecnici di fiducia. Lemacchine sono sottopostea controlli periodicieffettuati da tecnicicompetenti e i programmivengono aggiornatiperiodicamente almenoogni tre mesi

Intercettazioni diinformazione in reteo delle trasmissioni

Dispersione di dati; accessoaltrui non autorizzato

Medio/Basso Adozione di idoneidispositivi di protezione.La manutenzione èeffettuata da tecnici difiducia.

Protezione dei localimediante serratura condistribuzione delle chiaviai soli autorizzati.

Eventi relativial contesto

Accessi nonautorizzati alocalòi/reparti adaccesso ristretto

Dispersione, perdita oalterazione, anche irreversibile,di dati, nonchè manomissionedi programmi e di elaboratori;accesso altrui non autorizzato;impossibilità temporanea diaccesso ai dati e di utilizzodei programmi.

Basso

Protezione dei locali e deisiti di ubicazione degliarchivi, degli elaboratori edei supporti dimemorizzazione medianteserratura condistribuzione delle chiaviai soli autorizzati.

Sottrazione e furtodi strumenticontenenti dati

Dispersione, perdita di dati,di programmi e di elaboratori;accesso altrui non autorizzato

Basso

Attività di prevenzione,controllo, assistenza emanutenzione periodica,vigilanza sul rispetto delleistruzioni impartite,formazione e flussocontinuo di informazione.Le macchine sonosottoposte a controlliperiodici effettuati datecnici competenti e iprogrammi vengonoaggiornati periodicamentealmeno ogni tre mesi

Eventi distruttivi,naturali o artificiali,dolosi, accidentali odovuti ad incuria

Perdita di dati, dei programmie degli elaboratori

Basso

Perdita o alterazione, ancheirreversibile, di dati, diprogrammi e di elaboratori;impossibilità temporanea diaccesso ai dati e di utilizzo deiprogrammi.

NoteLivelloRischio



c) Individuazione e Gestione dei DatiGli archivi e le banche dati contenenti i dati personali trattati con strumenti elettronici sono i seguenti:

BANCA DATI CLIENTI (cod. 01)

BANCA DATI FORNITORI (cod. 02)

BANCA DATI DIPENDENTI (personale amministrativo e docenti) (cod. 03)

Evento

Guasto ai sistemicomplementari(impianto elettrico,climatizzazione,etc...)

Bassa La società ha acquistatoun gruppo di continuitàche fornisce energia dibuona qualità(stabilizzazione) per circaun quarto d'oraimpedendo danni nel casodi improvvisa assenza dicorrente elettrica.Attività di controllo,assistenza e manutenzioneperiodica.

Rischi connessi all'elettricità.Perdita o alterazione, ancheirreversibile, dati, nonchémanomissione dei programmie degli elaboratori;impossibilità temporanea diaccesso ai dati e di utilizzo deiprogrammi

Errori umani nellagestione dellasicurezza fisica

Bassa Vigilanza sul rispettodelle istruzioni impar tite,formazione e flussocontinuo di informazione.

Perdita o alterazione, ancheirreversibile, di dati, nonchémanomissione dei programmie degli elaboratori;impossibilità temporanea diaccesso ai dati e di utilizzo deiprogrammi

NoteLivelloRischio

Codice:Descrizione:Modalità di trattamento

Tipologia dei dati oggetto di trattamento

Accesso alla rete


Antivirus:

01Banca dati clientiArchivio Elettronico: SIArchivio cartaceo: SIDati comuni: SIDati sensibili: NODati sanitari: NODati sindacali: NODati giudiziari: NOCollegamento a rete LAN: SICollegamento a rete Internet: SIUtilizzo di password personale di otto caratteri modificata ogni tremesiSI



1.1. Analisi dei rischi sulle risorse dati (misura 19.3)

Misure di Sicurezza in essere e adottate per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità (regola 19.4.)

Il responsabile del trattamento dell’Ufficio Amministrativo – Commerciale e dell’Ufficio del Personale individua i volumi logici o le aree di disco da sottoporre giornalmente a backup, sul server e sui vari client.


Tipologia del Dato

Accesso alla rete


Antivirus:

02Banca dati fornitoriArchivio Elettronico: SIArchivio cartaceo: SIDati comuni: SIDati sanitari: NODati sindacali: NODati giudiziari: NOCollegamento a rete LAN: SICollegamento a rete Internet: SIUtilizzo di password personale di otto caratteri modificata ogni tremesiSI


Tipologia del Dato

Accesso alla rete


Antivirus:

03Banca dati dipendentiArchivio Elettronico: SIArchivio cartaceo: SIDati comuni: SIDati sensibili: SIDati sanitari: NODati sindacali: SIDati giudiziari: NOCollegamento a rete LAN: SICollegamento a rete Internet: SIUtilizzo di password personale di otto caratteri modificata ogni tremesiSI

Descrizione

Tutti i dati trattati Bassa L'accesso alle risorsedati é protetto dall 'usodi password personali

accesso non autorizzato

Tutti i dati trattati Bassa L'accesso alle risorsedati é protetto dall 'usodi password personali

Cancellazione e/omanomissione nonautorizzata di dati

Tutti i dati trattati Bassa Sono effettuate copieperiodiche di backup

Perdita di dati

NoteLivelloRischio



Il backup è effettuato localmente nell’ambito di ciascun ufficio a cadenza settimanale; a tal fine gli incaricati effettuano le seguenti operazioni: a) Esecuzione quotidiana del backup attraverso procedure automatiche; b) Mantenimento di un elenco dei backup effettuati; c) Archiviazione dei supporti magnetici; d) Verifica, con cadenza almeno mensile, della procedura di ripristino dai supporti di backup.

Misure di Sicurezza in essere e adottate (regola 19.4.)Presso ciascun Ufficio della società X s.r.l. sono installate esclusivamente le seguenti categorie di software:a. Software gestionale contabile, dotato di licenza d’uso;b. Software gestionale per il personale, dotato di licenza d’uso;c. Software di office automation, a livello locale.d. Software antivirus aggiornato on line o comunque almeno trimestralmentee. Software “firewall” aggiornato on line o comunque almeno trimestralmenteL’installazione di software diversi da quelli indicati deve essere previamente autorizzata dal responsabile del trattamento.Il software è installato solo su supporti fisici originali o dei quali sia nota la provenienza.In mancanza di procedure di installazione automatiche, il responsabile del trattamento garantisce l’effettuazione delle installazioni del software antivirus e firewall su tutte le postazioni di lavoro, con cadenza almeno trimestrale.

Misure di sicurezza adottate e da adottare (misura 19.4)Nei locali della società X s.r.l. ove avviene il trattamento dei dati personali è costantemente in atto un procedimento di controllo e di verifica della sicurezza del sistema informatico attraverso l’utilizzo di appositi strumenti a livello di sistema, di gestione delle basi dati e delle applicazioni. Il sistema di controllo registra gli accessi a livello di sistema, di base dati e di applicativo.Il responsabile del trattamento di ciascun Ufficio ha facoltà di individuare, tra gli amministratori di sistema, uno o più incaricati della verifica delle



registrazioni i quali operano sotto il suo controllo e nel rispetto delle sue direttive. Il responsabile risponde degli eventuali danni cagionati dagli incaricati salvo che questi ultimi abbiano agito con dolo o colpa grave.Le operazioni di verifica delle registrazioni sono effettuate con cadenza settimanale. I problemi comunque riscontrati sono prontamente riportati al responsabile del trattamento che individua le opportune contromisure.

Controllo degli accessi

Tutte le stazioni di lavoro, come detto nelle precedenti tabelle riassuntive, sono protette da una password di accesso.L’inserimento della password di accesso va effettuato a cura dell’operatore che ne affida una copia in busta chiusa al responsabile del trattamento che le custodisce sotto chiave.Ai fini dell’assistenza sistemistica, la password di accesso può venire comunicata agli operatori tecnici chiamati ad intervenire ed è sostituita al termine dell’intervento e mai più riutilizzata.La password di accesso è modificata al primo utilizzo e successivamente con cadenza trimestrale.L’accesso alla rete di sistema è protetto tramite un nome utente e una password.Il processo di autenticazione consente di ottenere uno specifico insieme di privilegi di accesso ed utilizzo rispetto alle risorse del sistema informatico. A ciascun profilo è associato un gruppo di utenti, che condividono gli stessi privilegi di accesso e utilizzo.Il “Responsabile-Custode delle chiavi” è preposto alla custodia delle parole chiave e controlla i nominativi e la qualifica degli operatori incaricati autorizzati, nonché i loro privilegi di utilizzo del sistema informatico. Il responsabile, inoltre, provvede a definire, con l’aiuto tecnico del manutentore, per ciascun incaricato, il nome utente e la password per il primo accesso. Una volta ricevuto l’ID e PW essi devono essere modificati dagli incaricati al primo utilizzo e successivamente con cadenza trimestrale. Ad ogni modifica di tali codici identificativi, questi dovranno essere consegnati in busta chiusa al responsabile che provvederà alla loro custodia.

La password di accesso alla rete presenta sempre le seguenti caratteristiche: a. Non corrisponde al nome utente o ai dai dati personali dell’utente; b. Ha una lunghezza di almeno otto caratteri; c. Non corrisponde ad una semplice parola rintracciabile in un dizionario; d. Contiene almeno un carattere non alfabetico, oppure un misto di lettere minuscole e maiuscole; e. Non contiene riferimenti agevolmente riconducibili all'incaricato. Il nome utente e la password sono strettamente personali; la loro tutela è a carico dell’utilizzatore incaricato.Il responsabile preposto alla custodia delle parole chiave provvede, con cadenza trimestrale, alla verifica degli elenchi degli utenti, e provvede alla disattivazione delle utenze su cui risultasse qualche problema, come il suo mancato utilizzo da più di sei mesi, o un elevato numero di tentativi di accesso non riusciti. In caso di assenza o impedimento dell’incaricato che renda indispensabile e indifferibile l’utilizzo del pc protetto con ID e PW, il Responsabile utilizzerà o incaricherà di utilizzare le ID e PW ricevute in busta chiusa e avrà cura di informare e avvertire il titolare delle ID e PW, il quale al suo ritorno avrà cura di modificarle.

Le Connessioni alla rete LAN ed alla rete Internet Le connessioni telematiche verso le banche dati del server, sono consentite solo ai PC Client autorizzati e previa autenticazione.

Il collegamento verso l’esterno (rete internet) avviene a mezzo connessione ADSL per mezzo di un router. L’accesso dall’esterno è protetto a mezzo di un firewall fisico, ed un firewall informatico.

Il firewall è configurato in maniera tale da consentire alle postazioni di lavoro interne di accedere ai servizi disponibili sulla rete, bloccando i tentativi di accesso provenienti dall’esterno.

Non sono autorizzati collegamenti telematici distinti da quelli previsti ai punti precedenti. In particolare, non sono autorizzate connessioni effettuate tramite modem stand alone da postazioni collegate alla rete dell’ufficio.



Qualora siano necessarie connessioni di questo tipo, queste sono effettuate da PC non connesse alla rete LAN.

Protezione delle aree e dei locali rilevanti ai fini della custodia dei dati oggetto di trattamentoAi fini di evitare eventi dannosi o pericolosi ai dati oggetto di trattamento con strumenti elettronici la società X s.r.l. ha predisposto le seguenti misure di sicurezza:Tutti i locali contenenti fisicamente le banche dati elettroniche sono protetti con adeguati sistemi di impianto antincendio (sono presenti anche estintori costantemente oggetto di manutenzione), antifurto e condizionamento d’aria; sono altresì protetti da porte dotate di serratura e quelle che permettono l’accesso all’esterno sono di tipo blindato. Vi sono grate metalliche alle finestre esterne. L’impianto elettrico è dotato di misure salvavita atte anche ed evitare cortocircuiti e possibili incendi e sono presenti gruppi di continuità per evitare danni ai dati personali trattati nell’ipotesi in cui venga a mancare l’erogazione della corrente elettrica.

Piano di verifica periodico delle misure adottateLa bontà delle misure adottate è periodicamente verificata secondo la seguente tabella:



Attività

Individuazione dell'ambito deltrattamento consentito ai singoliincaricati e addetti alla gestione oalla manutenzione deglistrumenti elettronici

Annua Allegato B al D. Lgs.n.196/03

Aggiornamento periodico a cadenza almeno annuale

Misure contro il rischio diintrusione e dell'azione diprogrammi di cui all'art. 615-quinquies del codice penale

Trimestrale Allegato B al D. Lgs.n.196/03

Adozione di idonei strumenti,da eseguirsi con cadenzaalmeno trimestrale

Misure volte a prevenire lavulnerabilità degli strumentielettronici e a correggerne i difetti

Trimestrale Allegato B al D. Lgs.n.196/03

Aggiornamenti periodici, daeseguirsi con cadenzaalmeno trimestrale

Salvataggio dei dati Settimanale Allegato B al D. Lgs.n.196/03

Frequenza settimanale

Riferimentonormativo

PeriodicitàVerifiche

4) - Criteri e modalità per il ripristino della disponibilità dei dati (regola 19.5)

Per quanto le misure di sicurezza adottate siano idonee a ridurre notevolmente gli eventuali episodi di danno o pericolo per i dati fatti oggetto di trattamento non può tuttavia escludersi a priori che si possano verificare eventi eccezionali di distruzione o danneggiamento.

Per evitare che eventi di tal fatta si traducano nella perdita definitiva ed irrecuperabile dei dati stessi tali informazioni sono protette: dall’uso di password e di nomi utenti; da backup con cui si provvede a fare copia dei dati trattati elettronicamente e il relativo supporto mobile è custodito in luogo sicuro protetto e provvisto di impianto antincendio; sono inoltre presenti misure di sicurezza per i luoghi fisici di cui si è già riferito.

I dati personali sono protetti contro il rischio di intrusione e dell'azione di programmi di cui all'art. 615-quinquies del codice penale, mediante l'attivazione di idonei strumenti elettronici aggiornati con cadenza almeno trimestrale.

Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno trimestralmente.

5) – Pianificazione degli interventi formativi previsti (regola 19.6)

Per rendere gli incaricati del trattamento edotti dei rischi che incombono sui dati personali, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto all’attività svolta da questa s.r.l., delle responsabilità che ne derivano



SalvataggioTipo di dati

Criteri-procedure

operative per ilsalvataggio

Pianificazionedelle prove di

ripristino

Ubicazione diconservazione

delle copie

Strutturaoperativa

incaricata delsalvataggio

e delle modalità per aggiornarsi sulle misure minime adottate dal titolare, questa società organizza costantemente (a cadenza annuale) programmi di formazione tecnica e teorica. Le istruzioni organizzative e tecniche che prevedono il salvataggio dei dati sono impartite con frequenza almeno settimanale.Sono tenuti a seguire questi programmi tutti i dipendenti che, a vario titolo, sono chiamati ad operazioni di trattamento dei dati personali dal momento della loro assunzione e sempre in occasione di cambiamenti di mansioni o di introduzione di nuovi significativi strumenti rilevanti rispetto al trattamento stesso. I responsabili del trattamento provvedono a consegnare ai dipendenti contestualmente ai codici (nome utente e password) per l’accesso al sistema anche un manuale informativo sulla sicurezza debitamente aggiornato.

Atti e documenti non in formato elettronico, archivi cartaceiI trattamenti di dati personali con strumenti diversi da quelli elettronici sono effettuati dagli incaricati seguendo le istruzioni scritte ad essi impartite, mediante apposita lettera di incarico, finalizzate al controllo ed alla custodia, per l’intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. L’aggiornamento periodico dell’individuazione nell’ambito del trattamento consentito ai singoli interessati ha carattere annuale. Gli atti e i documenti contenenti eventuali dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti. I medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate.



Corso diformazione

Descrizionesintetica

Classi diincarico

interessate

Numero diincaricati

interessati

Numero diincaricati

già formati/da formarenell'anno

Calendario

L’accesso agli archivi contenenti dati sensibili o giudiziari è consentito solamente alle persone preventivamente autorizzate.

Obbligo di aggiornamento periodico del DPSIl presente documento programmatico sulla sicurezza è sottoposto a revisione annuale nella sua interezza, entro la scadenza del 31 marzo di ciascun anno, come previsto dalla regola 19 del Disciplinare tecnico di cui all’Allegato B al D.Lgs. 196/2003, in relazione al disposto dell’art. 34, lettera g) del decreto stesso.

Il presente documento è aggiornato al _________________

Data_______________

Legale Rappresentante Società_________________________________

Solo per gli esercenti le professioni sanitarie e per gli organismi sanitari occorrerà inserire un articolo dedicato a Cifratura dei dati o separazione dei dati identificativi (regola 19.8)



Dato Protezionescelta

(cifratura/separazione)

Data dieffettività

Tecnicaadottata

Informazioniutili

Codice della Privacy: risposte a quesiti praticiA cura di Andrea Lisi e Marzio V. Vaglio

®

Con una guida pratica al " CODICE PRIVACY"per imprese e P.A.

Il D.Lgs. 196/2003 conosciuto come "Codice della Privacy" ha posto notevoli problematiche ad Aziende, liberi professionisti, Associazioni ed Enti.

Per venire incontro alle necessità di informazione su tali problemi, Promopadova, Azienda speciale della Camera di Commercio I.A.A. ha organizzato nel 2004, 7 seminari informativi gratuiti di taglio pratico ed operativo. E' stato poi creato lo "sportello privacy" che ha funzionato via e-mail da aprile 2004 a giugno 2005.

La presente pubblicazione nasce dal lavoro quotidiano dello sportello che ha risposto a centinaia di quesiti. I 60 più significativi sono stati riordinati e aggiornati alla luce delle autorizzazioni generali e di alcuni pareri del Garante della Privacy. La raccolta é stata arricchita da una guida pratica che inquadra la normativa e da un fac-simile di DPS, oltre che dai testi di legge più rilevanti.

CODICE PRIVACY per imprese e P.A. CODICE DELLA PRIVACY · Parte Prima 1. Guida pratica al codice...

Documents

Transcript of CODICE PRIVACY per imprese e P.A. CODICE DELLA PRIVACY · Parte Prima 1. Guida pratica al codice...