Codice della privacy

In materia di Codice della Privacy si segnalano due provvedimenti che hanno parzialmente modificato la normativa. I provvedimenti in esame sono:

• A) l’art. 29 del d.l. 112/2008, convertito con la legge n. 133/2008 (c.d. manovra d’estate);
• B) il Provvedimento del Garante del 19 giugno 2008.

 [···]

ADEMPIMENTI ANNUALI

1° gennaio di ogni anno

1. Aggiornare l’individuazione dell’ambito di trattamento consentito ai singoli incaricati, ove variato, anche parzialmente.
2. Verificare la sussistenza delle condizioni per la conservazione delle autorizzazioni per l’accesso ai dati particolari per gli incaricati.
3. Fornire istruzioni organizzative e tecniche affinché il salvataggio dei dati sia effettuato settimanalmente.
4. Programmare interventi di formazione per gli incaricati del trattamento.
5. Provvedere all’aggiornamento delle “patch” dei programmi per computer, nel caso di trattamento di dati comuni (punto 17, Allegato B).

 [···]

ALLEGATO B) – DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA

Trattamenti con strumenti elettronici

Modalità tecniche da adottare a cura del titolare, del responsabile ove designato e dell’incaricato, in caso di trattamento con strumenti elettronici.

Sistema di autenticazione informatica

1. Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.

2. Le credenziali di autenticazione consistono in un codice per l’identificazione dell’incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell’incaricato, eventualmente associata a un codice identificativo o a una parola chiave. [···]

SICUREZZA DEI DATI E DEI SISTEMI

MISURE MINIME DI SICUREZZA

Art. 33 – Misure minime

1. Nel quadro dei più generali obblighi di sicurezza di cui all’articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell’articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali. [···]

• Per “dato personale” è intesa “qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale” (art. 4, lett. b, del Codice della Privacy – Dlgs 196/2003).
• I “dati sensibili” sono quei “dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale” (art. 4, lett. d, del Codice della Privacy – Dlgs 196/2003).
• I “dati giudiziari” sono “i dati personali idonei a rivelare provvedimenti di cui all’articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale” (art. 4, lett. e, del Codice della Privacy – Dlgs 196/2003).

I dati giudiziari e sensibili devono essere trattati con tecniche di cifratura od uso di codici identificativi.

I dati idonei a rivelare lo stato di salute e la vita sessuale devono essere conservati separatamente da altri dati personali trattati per finalità che non richiedono il loro utilizzo.