|
Leggi sulla Privacy Maggiori informazioni visitando il sito www.garanteprivacy.it
Con l’entrata in vigore della L.31-12-1996 n. 675 che dispone la "TUTELA DELLE PERSONE E DI ALTRI SOGGETTI RISPETTO AL TRATTAMENTO DEI DATI PERSONALI" sono state previste delle garanzie per il trattamento dei dati personali al fine di far sì che esso si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza e all’identità personale. Inoltre la garanzia si estende altresì ai diritti delle persone giuridiche e di ogni altro ente o associazione.
L’art. 18 della legge chiarisce subito che chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 c.c.(che disciplina i casi di responsabilità per l’esercizio di attività pericolose e che esonera da tale responsabilità esclusivamente i soggetti che riescano a provare di aver adottato tutte le misure idonee ad evitare il danno).
Inoltre, in base all’art. 32, l’ufficio del Garante, istituito per la tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali, ha la facoltà di procedere ad accertamenti e controlli per verificare che siano rispettate le disposizioni della legge.
Vi è poi un intero capo (il capo VIII) dedicato alle “sanzioni” per i casi di violazione alle disposizioni della legge. Tra questi, all’art. 36, è prevista la fattispecie di colui che omette di adottare le misure necessarie a garantire la sicurezza dei dati personali. Questo articolo è stato sostituito da quello previsto nel Decreto Legislativo 28.12.2001 n.467, contenente disposizioni correttive ed integrative della normativa in materia di protezione dei dati, in vigore dall’1.2.02: è sancito l’arresto sino a due anni o l’ammenda da lire dieci milioni a lire ottanta milioni. Sempre in virtù di tale decreto legislativo sono altresì state inasprite le sanzioni di carattere amministrativo.
Occorre quindi non sottovalutare le prescrizioni contenute nella legge stessa e successivi regolamenti.
Vi sono alcune definizioni, all’art.1 della legge, che possono essere utili per meglio comprendere la portata e il significato della legge:
a) per “banca dati” si intende qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento;
b) per “trattamento” si intende qualsiasi operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto,l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati;
c) per “dato personale” si intende qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
d) per “titolare”, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento dei dati personali, ivi compreso il profilo della sicurezza;
e) per “responsabile”, la persona fisica, la persona giuridica, la pubblica amministrazioine e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;
f) per “interessato”, la persona fisica, la persona giuridica, l’ente o l’associazione cui si riferiscono i dati personali.
In questo quadro è evidente l’importanza della custodia e della conservazione dei suddetti dati.
Anche perché, ai sensi dell’art. 7 della medesima legge, il titolare che intenda procedere ad un trattamento di dati personali è tenuto a darne notificazione al garante e a indicare, tra l’altro,la natura dei dati e il luogo ove essi sono custoditi e le categorie di interessati cui si riferiscono; inoltre il titolare è tenuto a sviluppare una descrizione generale che permetta di valutare l’adeguatezza delle misure tecniche ed organizzative adottate per la sicurezza dei dati, tra le quali vi rientra il modo in cui i dati sono stati custoditi e con quali sistemi.
All’art. 9 la legge stabilisce che i dati debbono essere conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.
In base all’art. 15 i dati personali oggetto di trattamento devono essere custoditi e controllati anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
Le misure minime di sicurezza da adottare in via preventiva sono individuate dal “Regolamento recante norme per l’individuazione delle misure di sicurezza minime per il trattamento dei dati personali a norma dell’art. 15, co.2, L.31.12.1996 n.675”: trattasi del Decreto del Presidente della Repubblica 28.7.1999 n.318.
Secondo il regolamento, all’art1, le “misure minime di sicurezza” sono il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, previste nel regolamento stesso, che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti dall’art. 15, co1, della legge.
In base all’art.6 deve essere predisposto e aggiornato un documento programmatico sulla sicurezza dei dati per definire, sulla base dell’analisi dei rischi, della distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati stessi:
a) i criteri tecnici e organizzativi per la protezione delle aree e dei locali interessati dalle misure di sicurezza, nonché le procedure per controllare l’accesso delle persone autorizzate ai locali medesimi;
b) i criteri e le procedure per assicurare l’integrità dei dati;
c) i criteri e le procedure per la sicurezza delle trasmissioni dei dati, ivi compresi quelli per le restrizioni di accesso per via telematica;
d) l’elaborazione di un piano di formazione per rendere edotti gli incaricati del trattamento dei rischi individuati e dei modi per prevenire danni.
Ogni titolare di trattamento di dati, pertanto, dovrà predisporre le misure minime di sicurezza a seconda che il trattamento dei dati personali venga effettuato con strumenti elettronici o comunque automatizzati (capo II del regolamento) ovvero con strumenti diversi da quelli elettronici o comunque automatizzati (capo III del regolamento).
In tale ultimo caso, qualora il trattamento di dati personali sia effettuato per fini diversi da quelli dell’art.3 della legge (trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali, non soggetto all’applicazione della legge, sempre che i dati non siano destinati ad una comunicazione sistematica e alla diffusione) gli atti e i documenti contenenti i dati devono essere conservati in archivi ad accesso selezionato e, se affidati agli incaricati del trattamento, devono essere da questi ultimi conservati e restituiti al termine delle operazioni affidate.
Nel caso di trattamento di dati di cui agli artt. 22 e 24 della legge (art.22 - dati sensibili, e cioè relativi all'origine razziale ed etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l’adesione a partiti, sindacati, associazioni e organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; art.24 – dati inerenti alla salute), se affidati agli incaricati del trattamento, gli atti e i documenti contenenti i dati sono conservati fino alla restituzione, in contenitori muniti di serratura.
I supporti non informatici contenenti la riproduzione di informazioni relative al trattamento di dai personali di cui agli artt.22 e 24 devono essere conservati e custoditi con le medesime modalità.
------------------------------------
In ultimo è stato emanato il Decreto Legislativo 28.12.01 n.467 contenente disposizioni correttive ed integrative della normativa in materia di protezione dei dati personali in vigore dall’1.2.02.
La normativa relativa alle modalità di custodia dei dati è rimasta invariata.
|
