Gazzettino fiscale-tributario-del lavoro di studio del vecchio

IL DPS SCADE il 31 MARZO

Il 31 marzo 2010 ogni azienda è tenuta alla revisione e aggiornamento del Documento Programmatico sulla Sicurezza (D.P.S.)

RIEPILOGO PER LA REDAZIONE O L'AGGIORNAMENTO DEL DPS 

Chiunque esercita un'attività tratta dati personali che si riferiscono ai propri clienti, fornitori, dipendenti; i dati possono essere organizzati sia con archivi cartacei sia con strumenti elettronici. In temini generali, la normativa sulla privacy prevede che ogni Azienda debba adottare misure di sicurezza nel trattamento dei dati personali.

Un primo tipo di misure sono definite "idonee e preventive", con l'obiettivo di ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 del Codice).

L'art. 33 aggiunge la seconda categoria delle "misure minime": i titolari del trattamento sono tenuti ad adottare uno specifico elenco di misure minime (definite in particolare nell'allegato B al Codice della privacy) volte ad assicurare, appunto, un livello minimo di protezione dei dati personali. Le misure di sicurezza sono essenzialmente di carattere tecnico-operativo (password per l'accesso ai trattamenti, salvataggio dei dati, protezione fisica dei supporti magnetici e cartacei, ecc.) e logistico-organizzativo (assegnazione di incarichi, istruzione e formazione) e competono a tutte le Aziende, indipendentemente dal tipo di trattamenti effettuati.

Relativamente al trattamento di dati personali effettuato con strumenti elettronici, l'art. 34 dispone che esso sia consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B, le seguenti misure minime:

• autenticazione informatica;
• adozione di procedure di gestione delle credenziali di autenticazione;
• utilizzazione di un sistema di autorizzazione;
• aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;
• protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;
• adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;
• tenuta di un aggiornato documento programmatico sulla sicurezza.

In caso di violazione dell'obbligo di adozione delle misure di sicurezza, l'art. 169 prevede l'arresto sino a due anni o l'ammenda da diecimila euro a cinquantamila euro.

Il DPS, documento programmatico sulla sicurezza è una relazione scritta nella quale l'Azienda titolare dei trattamenti elenca e spiega le misure di sicurezza adottate.

I contenuti del DPS sono dettagliatamente descritti al punto 19 dell'allegato B e deve comprendere:

• l'elenco dei trattamenti di dati personali;
• la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;
• l'analisi dei rischi che incombono sui dati;
• le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
• la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
• la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.
• la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al Codice, all'esterno della struttura del titolare.