Il DPS: cos’è e come si aggiorna
a cura dell’Avvocato Marco Maglio
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Introduzione
Questo corso ha un contenuto operativo e spiega cos’è e come si aggiorna il
Documento Programmatico sulla Sicurezza (DPS).
L’incontro ha una durata di circa 60 minuti ed è prevista una pausa intermedia
di cinque minuti. Alla fine potrete formulare domande che formeranno oggetto
di risposta in un’apposita sezione di FAQ.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Contenuti del corso
Tratteremo questi argomenti:
1.
2.
3.
4.
5.
6.
7.
8.
il documento programmatico sulla sicurezza: funzioni, struttura e
contenuti
come verificare il grado di aggiornamento del DPS
le risposte alle domande classiche
l’aggiornamento è sempre necessario?
quali notizie fornire nell’aggiornamento?
l’aggiornamento deve avere data certa?
come redigere l’aggiornamento del DPS
come comunicare l’avvenuto aggiornamento del DPS
a chi comunicare l’avvenuto aggiornamento
cosa fare e cosa non fare dopo l’aggiornamento
consigli per pianificare i futuri aggiornamenti
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Live Meeting Poll
Introduzione
Avete redatto il DPS l’anno precedente?




Sì
No
Ho predisposto una bozza
Sto procedendo all'aggiornamento periodico
Changes directly made to this slide will not be displayed in Live Meeting. Edit this slide by selecting Properties in the Live Meeting Presentation menu.
Cosa è il documento
programmatico sulla sicurezza
Il documento programmatico è una delle misure minime di sicurezza prescritte
dalla normativa per gestire correttamente i rischi connessi al trattamento dei
dati personali.
Le misure di sicurezza hanno lo scopo di prevenire i rischi di distruzione,
intrusione o uso improprio dei dati personali. Alle precauzioni già previste nella
normativa fin dal 1999 (password, codici identificativi, utilizzo di antivirus
aggiornati) con l’adozione del Codice in materia di protezione dei dati
personali, dopo il 31 marzo 2006, sono state aggiunte anche forme di
autenticazione informatica, sistemi di cifratura, procedure per il ripristino dei
dati da adottare a seconda della sensibilità e del livello di rischio legato al
trattamento dei dati.
Nel caso in cui il titolare ometta l’adozione delle misure minime è prevista la
pena dell’arresto sino a due anni o, alternativamente, l’ammenda da euro
10.000 a 50.000.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Live Meeting Poll
Cosa è il documento programmatico sulla sicurezza
Avete già partecipato ai precedenti webcast
Microsoft sul trattamento dei dati personali


Sì
No
Changes directly made to this slide will not be displayed in Live Meeting. Edit this slide by selecting Properties in the Live Meeting Presentation menu.
L’aggiornamento annuale del DPS
Il 31 marzo di ogni anno scade il termine per l’aggiornamento obbligatorio del
Documento Programmatico sulla sicurezza. L’aggiornamento non è una mera
formalità, ma deve dimostrare che l’azienda ha tenuto costantemente sotto
controllo le attività di trattamento dei dati.
In un quadro di evoluzione tecnologica costante, il DPS va aggiornato almeno
una volta all’anno, entro il 31 marzo, da parte del Titolare, anche avvalendosi
dei responsabili eventualmente designati. In pratica entro il 31 marzo di ogni
anno il Titolare del trattamento è tenuto a verificare se nel corso dell’anno
appena trascorso sono intervenute variazioni rispetto a quanto indicato l’anno
precedente.
Dell’avvenuta redazione va data notizia nella relazione accompagnatoria al
Bilancio.
Ai sensi della regola 26 dell’allegato B al D.lgs 196/2003, “il titolare, nella
relazione accompagnatoria del bilancio d'esercizio, se dovuta, riferisce
dell'avvenuta redazione o aggiornamento del documento programmatico sulla
sicurezza.”
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Il DPS è obbligatorio per chiunque?
Secondo l’allegato B del D.lgs. 196/2003 il documento è obbligatorio solo per i
soggetti che trattano dati sensibili e giudiziari, ma la sua adozione è essenziale
per l’adeguata analisi e prevenzione dei rischi legati all’illecito trattamento dei
dati.
Non redigere il DPS determina l’automatico innalzamento dei rischi connessi al
trattamento. Per questo motivo la sua redazione, anche se non rigorosamente
obbligatoria, è da considerarsi una necessaria cautela da adottare per la
corretta organizzazione.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Live Meeting Poll
Il DPS è obbligatorio per chiunque?
Avete munito di data certa il vostro DPS?



Sì
No
Ne ho sentito parlare ma non l’ho fatto
Changes directly made to this slide will not be displayed in Live Meeting. Edit this slide by selecting Properties in the Live Meeting Presentation menu.
Il Documento Programmatico deve
avere data certa?
Non esiste nessuna disposizione che preveda un obbligo di data certa per il
DPS. Questo vale anche per l’aggiornamento annuale.
La diffusione di una “leggenda metropolitana” a questo proposito deriva da una
frettolosa lettura della normativa. L’unico riferimento alla data certa riguarda
l’ipotesi (oggi superata) di usufruire di un maggior termine per l’adozione delle
misure di sicurezza.
Ai sensi dell’Art. 180 del D.lgs. 196/2003
“Il titolare che alla data di entrata in vigore del presente codice dispone di
strumenti elettronici che, per obiettive ragioni tecniche, non consentono in tutto
o in parte l'immediata applicazione delle misure minime di cui all'articolo 34 e
delle corrispondenti modalità tecniche di cui all'allegato B, descrive le
medesime ragioni in un documento a data certa da conservare presso la
propria struttura.”
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Qual è il contenuto del DPS?
Il DPS deve fornire idonee informazioni riguardo a :
a) l’elenco dei trattamenti di dati personali;
b) la distribuzione dei compiti e delle responsabilità in relazione al trattamento
dei dati;
c) l’analisi dei rischi;
d) le misure da adottare per garantire l’integrità e la disponibilità dei dati,
nonché le disposizioni per la protezione dei locali destinati alla custodia;
e) la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei
dati in seguito a distruzione o danneggiamento;
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Qual è il contenuto del DPS?
f) la previsione di interventi formativi a favore degli incaricati del trattamento;
g) la descrizione dei criteri da adottare per garantire l’adozione delle misure
minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità
al codice, all’esterno della struttura del titolare;
h) l’individuazione dei criteri da adottare per la cifratura o per la separazione
dei dati relativi alla salute ed alla vita sessuale dagli altri dati personali
dell’interessato.
Questo punto riguarda peraltro quasi esclusivamente gli organismi sanitari e i
professionisti del settore medico.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Quali sono gli elementi da
aggiornare nel DPS?
Riesaminiamo nel dettaglio questi contenuti del Documento Programmatico
sulla Sicurezza, utilizzando come riferimento lo schema descritto dal punto 19
dell’allegato B.
Potremo così mettere in evidenza i punti che eventualmente richiedono un
aggiornamento.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Elenco dei trattamenti
di dati personali
regola 19.1
Contenuti
In questa sezione sono individuati i trattamenti effettuati dal titolare,
direttamente o attraverso collaborazioni esterne, con l’indicazione della natura
dei dati e della struttura (ufficio, funzione, ecc.) interna od esterna
operativamente preposta, nonché degli strumenti elettronici impiegati.
Nella redazione della lista si può tener conto anche delle informazioni
contenute nelle notificazioni eventualmente inviate al Garante anche in
passato.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Elenco dei trattamenti
di dati personali
regola 19.1
Informazioni essenziali
Per ciascun trattamento vanno indicate le seguenti informazioni:
Descrizione sintetica: menzionare il trattamento dei dati personali attraverso
l’indicazione della finalità perseguita o dell’attività svolta (fornitura di beni o
servizi, gestione del personale, ecc.) e delle categorie di persone cui i dati si
riferiscono (clienti o utenti, dipendenti e/o collaboratori, fornitori, ecc.).
Natura dei dati trattati: indicare se, tra i dati personali, sono presenti dati
sensibili o giudiziari.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Elenco dei trattamenti
di dati personali
regola 19.1
Struttura di riferimento: indicare la struttura (ufficio, funzione, ecc.) all’interno
della quale viene effettuato il trattamento. In caso di strutture complesse, è
possibile indicare la macro-struttura (direzione, dipartimento o servizio del
personale), oppure gli uffici specifici all’interno della stessa (ufficio contratti,
sviluppo risorse, controversie sindacali, amministrazione-contabilità).
Altre strutture che concorrono al trattamento: nel caso in cui un trattamento, per
essere completato, comporta l’attività di diverse strutture è opportuno indicare,
oltre quella che cura primariamente l’attività, le altre principali strutture che
concorrono al trattamento anche dall’esterno.
Descrizione degli strumenti elettronici utilizzati: va indicata la tipologia di
strumenti elettronici impiegati (elaboratori o p.c. anche portatili, collegati o
meno in una rete locale, geografica o Internet; sistemi informativi più
complessi).
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Elenco dei trattamenti
di dati personali
regola 19.1
Banca dati: indicare eventualmente la banca dati (ovvero il data base o
l’archivio informatico), con le relative applicazioni, in cui sono contenuti i dati.
Uno stesso trattamento può richiedere l’utilizzo di dati che risiedono in più di
una banca dati. In tal caso le banche dati potranno essere elencate.
Luogo di custodia dei supporti di memorizzazione: indicare il luogo in cui
risiedono fisicamente i dati, ovvero dove si trovano (in quale sede, centrale o
periferica, o presso quale fornitore di servizi, ecc.) gli elaboratori sui cui dischi
sono memorizzati i dati, i luoghi di conservazione dei supporti magnetici
utilizzati per le copie di sicurezza (nastri, CD, ecc.) ed ogni altro supporto
rimovibile. Il punto può essere approfondito in occasione di aggiornamenti
successivi.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Elenco dei trattamenti
di dati personali
regola 19.1
Tipologia di dispositivi di accesso: elenco e descrizione sintetica degli strumenti
utilizzati dagli incaricati per effettuare il trattamento (pc, terminale non
intelligente, palmare, telefonino, ecc.).
Tipologia di interconnessione: descrizione sintetica e qualitativa della rete che
collega i dispositivi d’accesso ai dati utilizzati dagli incaricati (rete locale,
geografica, Internet, ecc.).
Tutte queste informazioni possono essere completate o sostituite da schemi,
tabelle, disegni di architettura del sistema informativo o da altri documenti
aziendali già compilati e idonei a fornire in altro modo le informazioni
medesime.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Distribuzione dei compiti
e delle responsabilità
regola 19.2
Contenuti
In questa sezione occorre descrivere sinteticamente l’organizzazione della
struttura di riferimento, i compiti e le relative responsabilità, in relazione ai
trattamenti effettuati.
Si possono utilizzare anche documenti già predisposti (provvedimenti, ordini di
servizio, regolamenti interni, circolari), indicando le precise modalità per
reperirli.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Distribuzione dei compiti
e delle responsabilità
regola 19.2
Informazioni essenziali
Struttura: riportare le indicazioni delle strutture già menzionate nella precedente
sezione.
Trattamenti effettuati dalla struttura: indicare i trattamenti di competenza di
ciascuna struttura.
Compiti e responsabilità della struttura: descrivere sinteticamente i compiti e le
responsabilità della struttura rispetto ai trattamenti di competenza. Ad esempio:
acquisizione e caricamento dei dati, consultazione, comunicazione a terzi,
manutenzione tecnica dei programmi, gestione tecnica operativa della base
dati (salvataggi, ripristini, ecc.). Anche in questo caso è possibile utilizzare, nei
termini predetti, altri documenti già predisposti.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Live Meeting Poll
Analisi dei rischi che incombono sui dati
Avete effettuato l'analisi dei rischi rispetto al
trattamento dei dati personali?



Sì
No
Non so
Changes directly made to this slide will not be displayed in Live Meeting. Edit this slide by selecting Properties in the Live Meeting Presentation menu.
Analisi dei rischi che
incombono sui dati
regola 19.3
Contenuti
In questa sezione occorre descrivere i principali eventi potenzialmente dannosi
per la sicurezza dei dati, e valutarne le possibili conseguenze e la gravità in
relazione al contesto fisico – ambientale di riferimento e agli strumenti
elettronici utilizzati.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Analisi dei rischi che
incombono sui dati
regola 19.3
Informazioni essenziali
Elenco degli eventi: individuare ed elencare gli eventi che possono generare
danni e che comportano, quindi, rischi per la sicurezza dei dati personali. In
particolare, si può prendere in considerazione la lista esemplificativa dei
seguenti eventi:
1. comportamenti degli operatori:
sottrazione di credenziali di autenticazione
 carenza di consapevolezza, disattenzione o incuria
 comportamenti sleali o fraudolenti
 errore materiale

LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Analisi dei rischi che
incombono sui dati
regola 19.3
2. eventi relativi agli strumenti:
azione di virus informatici o di programmi suscettibili di recare danno
 spamming o tecniche di sabotaggio
 malfunzionamento, indisponibilità o degrado degli strumenti
 accessi esterni non autorizzati
 intercettazione di informazioni in rete

LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Analisi dei rischi che
incombono sui dati
regola 19.3
3. eventi relativi al contesto fisico – ambientale:
ingressi non autorizzati a locali/aree ad accesso ristretto
 sottrazione di strumenti contenenti dati
 eventi
distruttivi, naturali o artificiali (movimenti tellurici, scariche
atmosferiche, incendi, allagamenti, condizioni ambientali, ecc.), nonché dolosi,
accidentali o dovuti ad incuria
 guasto a sistemi complementari (impianto elettrico, climatizzazione, ecc.)
 errori umani nella gestione della sicurezza fisica

È possibile, per ulteriori dettagli, rinviare a documenti analoghi già redatti in
tema di piani di sicurezza e gestione del rischio, come Business Continuity
Plan, Disaster Recovery Plan, ecc. (si tenga però presente che le analisi alla
base di questi altri documenti possono avere una natura ben diversa).
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Analisi dei rischi che
incombono sui dati
regola 19.3
Impatto sulla sicurezza: descrivere le principali conseguenze individuate per la
sicurezza dei dati, in relazione a ciascun evento, e valutare la loro gravità
anche in relazione alla rilevanza e alla probabilità stimata dell’evento (anche in
termini sintetici: ad es. alta/media/bassa).
In questo modo è possibile formulare un primo indicatore omogeneo per i
diversi rischi da contrastare.
L’analisi dei rischi può essere condotta utilizzando metodi di complessità
diversa: l’approccio qui descritto è volto solo a consentire una prima riflessione
in contesti che per dimensioni ridotte o per altre analoghe ragioni, non
ritengano di dover procedere ad una analisi più strutturata.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Pausa
IL CORSO RIPRENDERA’
TRA CINQUE MINUTI
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Misure in essere
e da adottare
regola 19.4
Contenuti
In questa sezione vanno riportate, in forma sintetica, le misure in essere e da
adottare per contrastare i rischi individuati.
Per misura si intende lo specifico intervento tecnico od organizzativo posto in
essere (per prevenire, contrastare o ridurre gli effetti relativi ad una specifica
minaccia), come pure quelle attività di verifica e controllo nel tempo, essenziali
per assicurarne l’efficacia.
Le misure da adottare possono essere inserite in una sezione dedicata ai
programmi per migliorare la sicurezza.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Misure in essere
e da adottare
regola 19.4
Informazioni essenziali
Misure: descrivere sinteticamente le misure adottate (seguendo anche le
indicazioni contenute nelle altre regole dell’allegato B del Codice).
Descrizione dei rischi: per ciascuna misura indicare sinteticamente i rischi che
si intende contrastare (anche qui, si possono utilizzare le indicazioni fornite
dall’allegato B).
Trattamenti interessati: indicare i trattamenti interessati per ciascuna delle
misure adottate.
Struttura o persone addette all’adozione: indicare la struttura o la persona
responsabili o preposte all’adozione delle misure indicate.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Misure in essere
e da adottare
regola 19.4
Determinate misure possono non essere riconducibili a specifici trattamenti o
banche dati (ad esempio, con riferimento alle misure per la protezione delle
aree e dei locali).
Occorre specificare se la misura è già in essere o da adottare, con eventuale
indicazione, in tale ultimo caso, dei tempi previsti per la sua messa in opera.
Oltre alle informazioni sopra riportate può essere opportuno compilare, per
ciascuna misura, una scheda analitica contenente un maggior numero di
informazioni, utili nella gestione operativa della sicurezza e, in particolare, nelle
attività di verifica e controllo.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Misure in essere
e da adottare
regola 19.4
A puro titolo di esempio, possono essere inserite informazioni relative a:
la minaccia che si intende contrastare
 la tipologia della misura (preventiva, di contrasto, di contenimento degli effetti
ecc.)
 le informazioni relative alla responsabilità dell’attuazione e della gestione
della misura
 i tempi di validità delle scelte (contratti esterni, aggiornamento di prodotti,
ecc.)
 gli ambiti cui si applica (ambiti fisici: un reparto, un edificio, ecc.– o logici: una
procedura, un’applicazione, ecc.)

LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Criteri e modalità di ripristino della
disponibilità dei dati
regola 19.5
Contenuti
In questa sezione sono descritti i criteri e le procedure adottati per il ripristino
dei dati in caso di loro danneggiamento o di inaffidabilità della base dati.
L’importanza di queste attività deriva dall’eccezionalità delle situazioni in cui il
ripristino ha luogo: è essenziale che, quando sono necessarie, le copie dei dati
siano disponibili e che le procedure di reinstallazione siano efficaci.
Pertanto, è opportuno descrivere sinteticamente anche i criteri e le procedure
adottate per il salvataggio dei dati al fine di una corretta esecuzione del loro
ripristino.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Criteri e modalità di ripristino della
disponibilità dei dati
regola 19.5
Informazioni essenziali
Per quanto riguarda il ripristino, le informazioni essenziali sono:
Banca dati/Data base/Archivio: indicare la banca dati, il data base o l’archivio
interessati.
Criteri e procedure per il salvataggio e il ripristino dei dati: descrivere
sinteticamente le procedure e i criteri individuati per il salvataggio e il ripristino
dei dati, con eventuale rinvio ad un’ulteriore scheda operativa o a
documentazioni analoghe.
Pianificazione delle prove di ripristino: indicare i tempi previsti per effettuare i
test di efficacia delle procedure adottate per il salvataggio/ripristino dei dati.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Criteri e modalità di ripristino della
disponibilità dei dati
regola 19.5
Ecco ulteriori elementi per specificare i criteri e le procedure per il salvataggio e
il ripristino dei dati.
Data base: identificare la banca, la base o l’archivio elettronico di dati
interessati.
Criteri e procedure per il salvataggio dei dati: descrivere sinteticamente la
tipologia di salvataggio e la frequenza con cui viene effettuato.
Modalità di custodia delle copie: indicare il luogo fisico in cui sono custodite le
copie dei dati salvate.
Struttura o persona incaricata del salvataggio: indicare la struttura o le persone
incaricate di effettuare il salvataggio e/o di controllarne l’esito.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Pianificazione degli interventi
formativi previsti
regola 19.6
Contenuti
In questa sezione sono riportate le informazioni necessarie per individuare il
quadro sintetico degli interventi formativi che si prevede di svolgere.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Pianificazione degli interventi
formativi previsti
regola 19.6
Informazioni essenziali
Descrizione sintetica degli interventi formativi: descrivere sinteticamente gli
obiettivi e le modalità dell’intervento formativo, in relazione a quanto previsto
dalla regola 19.6 (ingresso in servizio o cambiamento di mansioni degli
incaricati, introduzione di nuovi elaboratori, programmi o sistemi informatici,
ecc.).
Classi di incarico o tipologie di incaricati interessati: individuare le classi
omogenee di incarico a cui l’intervento è destinato e/o le tipologie di incaricati
interessati, anche in riferimento alle strutture di appartenenza.
Tempi previsti: indicare i tempi previsti per lo svolgimento degli interventi
formativi.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Trattamenti affidati
all’esterno
regola 19.7
Contenuti
Redigere un quadro sintetico delle attività affidate a terzi che comportano il
trattamento di dati, con l’indicazione sintetica del quadro giuridico o contrattuale
(nonché organizzativo e tecnico) in cui tale trasferimento si inserisce, in
riferimento agli impegni assunti, anche all’esterno, per garantire la protezione
dei dati stessi.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Trattamenti affidati
all’esterno
regola 19.7
Informazioni essenziali
Descrizione dell’attività “esternalizzata”: indicare sinteticamente l’attività
affidata all’esterno.
Trattamenti di dati interessati: indicare i trattamenti di dati, sensibili o giudiziari,
effettuati nell’ambito della predetta attività.
Soggetto esterno: indicare la società, l’ente o il consulente cui è stata affidata
l’attività, e il ruolo ricoperto agli effetti della disciplina sulla protezione dei dati
personali (titolare o responsabile del trattamento).
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Trattamenti affidati
all’esterno
regola 19.7
Descrizione dei criteri: perché sia garantito un adeguato trattamento dei dati è
necessario che la società a cui viene affidato il trattamento rilasci specifiche
dichiarazioni o documenti, oppure assuma alcuni impegni anche su base
contrattuale, con particolare riferimento, ad esempio, a:
1. il trattamento di dati ai soli fini dell’espletamento dell’incarico ricevuto;
2. l’adempimento degli obblighi previsti dal Codice per la protezione dei dati
personali;
3. il rispetto delle istruzioni specifiche eventualmente ricevute per il trattamento
dei dati personali o integrazione delle procedure già in essere;
4. l’impegno a relazionare periodicamente sulle misure di sicurezza adottate,
anche mediante eventuali questionari e liste di controllo, e ad informare
immediatamente il titolare del trattamento in caso di situazioni anomale o di
emergenze.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Live Meeting Poll
Cifratura dei dati o separazione dei dati identificativi
La vostra organizzazione tratta dati sanitari o
giudiziari?



Sì
No
Saltuariamente
Changes directly made to this slide will not be displayed in Live Meeting. Edit this slide by selecting Properties in the Live Meeting Presentation menu.
Cifratura dei dati o separazione dei
dati identificativi
regola 19.8
Contenuti
In questa sezione vanno rappresentate le modalità di protezione adottate in
relazione ai dati per cui è richiesta la cifratura – o la separazione fra dati
identificativi e dati sensibili – nonché i criteri e le modalità con cui viene
assicurata la sicurezza di tali trattamenti.
Questo punto riguarda solo gli organismi sanitari e i professionisti del settore
medico.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
I cambiamenti più comuni
I cambiamenti più frequenti sono quelli che riguardano questi aspetti:
I cambiamenti di sedi dove avviene il trattamento dei dati;
la variazione nei permessi di accesso ai dati da parte degli incaricati;
La variazione della struttura del sito Internet aziendale;
La creazione di nuove banche dati;
Le modifiche dei responsabili e degli incaricati del trattamento;
l’adozione di nuovi fornitori nominati responsabili esterni del trattamento dei
dati;
I cambiamenti alla rete aziendale, acquisto o dismissione di nuovi computers,
nuovi sistemi di elaborazione, ecc.);
L’installazione di dotazioni (armadi, scaffali o altri arredi dove vengono
conservati i dati);
L’analisi dei rischi (adozione di nuove misure di sicurezza tecnico-informatiche,
organizzative e logistico-procedurali);
Il trasferimento di dati all’estero.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Alcuni suggerimenti pratici
Prima di tutto va tenuto presente che per aggiornare il DPS, non sarà
necessario adottarne uno completamente diverso rispetto al precedente, ma
basterà integrarlo in alcune parti, secondo le proprie necessità, ovvero si potrà
sostituirlo integralmente con un documento diverso.
Quanto alla struttura del DPS: sul piano pratico un buon suggerimento può
essere quello di adottare un modello di DPS composto di una parte descrittiva
(da lasciare generalmente immutata) e da una serie di allegati, costituenti la
parte dinamica, che riporterà le modifiche, le revisioni, gli aggiornamenti e le
integrazioni ritenute necessarie.
A chi comunicare il DPS: il DPS è un atto interno del Titolare. Va tenuto agli
Atti ed esibito a richiesta delle autorità. Quindi il DPS non deve in nessun modo
essere inviato a uffici pubblici o autorità. Va solo data notizia della redazione e
dell’aggiornamento nella relazione che accompagna il bilancio.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Alcuni suggerimenti pratici
A proposito della data certa: la legge non la impone ma se volete potete fare
ricorso alla cosiddetta «autoprestazione», presso gli uffici postali con
apposizione del timbro direttamente sul documento, anziché sull’involucro che
lo contiene.
Meglio far adottare una delibera dal consiglio di amministrazione della società
di cui sia certa la data in base alla concreta disciplina della formazione e
trascrizione del verbale sul libro sociale.
La tecnologia aiuta: ricordate che sul documento informatico può essere
apposta la cosiddetta «marca temporale». Questa dovrebbe essere coincidente
con la versione stampata che andrà in ogni caso firmata.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Alcuni suggerimenti pratici
A proposito dei tempi di revisione: al di là dell'obbligo di legge di procedere
ad un aggiornamento del documento entro il 31 marzo di ogni anno, è
opportuno stampare una nuova revisione del documento ogni volta che
qualche elemento contenuto nel DPS varia (anche più volte l'anno, se
opportuno), ossia, quando vi siano innovazioni tecnologiche o modificazioni di
processi organizzativi aziendali.
Ricordate che il documento deve essere mirare a programmare interventi futuri
per la protezione dei dati e dei sistemi informatici e fisici adottati per la
protezione delle informazioni. Proprio per questo si deve verificare se nel corso
dell'anno sono stati evidenziati rischi o minacce (ripetendo l'analisi dei rischi), in
modo da prevedere interventi e protezioni.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Alcuni suggerimenti pratici
Cosa fare per impostare correttamente l’aggiornamento:
la scelta operativa migliore consiste nel programmare per tempo gli interventi: a
settembre si può iniziare a lavorare al documento preventivo e a marzo, sulla
base delle previsioni, si può aggiornare il DPS. In questo modo
l’aggiornamento annuale obbligatorio si effettua un semestre dopo le previsioni
dell'anno precedente, e un semestre prima di quelle per l'anno successivo ed in
prossimità del bilancio consuntivo
Cosa non fare:
Ristampare il DPS, anno dopo anno, cambiando solo la data di redazione.
L’aggiornamento non è formale. Ricordate che la sicurezza non è un dato di
fatto statico ; è un processo dinamico che deve evolversi. Possibile che in anno
non sia cambiato nulla? Neanche un allegato?
E comunque tenete presente che non basta dare un nome diverso a una cosa
vecchia, per poter sostenere di aver creato qualcosa di nuovo!
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Conclusioni
Grazie e buon lavoro.
Per informazioni potete scrivere a:
Avvocato Marco Maglio
[email protected]
Ulteriori materiali di approfondimento e informazioni sui
corsi di formazione saranno disponibili a partire da maggio
sul sito www.nonsoloprivacy.it.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI
Bibliografia







Marco Maglio – Le misure minime di sicurezza informatica: verso la redazione del
documento programmatico di sicurezza –PMI n. 4/2004
Marco Maglio – L’uso degli strumenti informatici da parte dei lavoratori alla ricerca
dell’equilibrio tra diritto alla riservatezza e dovere di controllo –PMI n. 5/2004
Garante per la Protezione dei dati personali – Prime riflessioni sui criteri di redazione
del documento programmatico sulla sicurezza – 13 maggio 2004
Garante per la Protezione dei dati personali – Guida operativa per redigere il
Documento programmatico sulla sicurezza (DPS) – 2004
a cura di Juri Monducci Giovanni Sartor – Il codice in materia di protezione dei dati
personali: commentario sistematico al D.Lgs. 30 giugno 2003 n. 196 – CEDAM 2004
a cura di Giuseppe Cassano e Stefano Fadda – Codice in materia di protezione dei
dati personali: commento articolo per articolo al testo unico sulla privacy D.Lgs. 30
giugno 2003. n. 196 – IPSOA 2004
Francesco Cardarelli, Salvatore Sica e Vincenzo Zeno-Zencovich – Il codice dei dati
personali:Temi e Problemi – Giuffrè Editore 2004.
LUCERNA IURIS – LEGAL EUROPEAN NETWORK
STUDIO LEGALE MAGLIO E ASSOCIATI