Il D ocumento P rogrammatico sulla S icurezza dei dati

1. Ilaria Zerilli Il Documento Programmatico sulla Sicurezza dei dati

2. nozione Il DPS (Documento Programmatico sulla Sicurezza) è misura “minima” di sicurezza, attualmente disciplinata dal Codice Privacy, d. lgs. n. 196/2003, precisamente dagli artt. 33 ss. e dall’allegato B. Il DPS, in realtà, altro non è che un resoconto delle misure di sicurezza adottate da chiunque (imprese, singoli ed istituzioni) sia titolare di un trattamento di dati personali altrui per evitare (o meglio per ridurre al minimo il verificarsi di) qualsiasi tipo di evento dannoso o pericoloso a carico degli stessi dati personali.

3. nozione Il Dps (acronimo della sigla "Documento Programmatico per la Sicurezza") è strumento specificativo del generale obbligo di sicurezza posto dal Codice Privacy, e assume, per diretta volontà legislativa, assieme alle altre misure di sicurezza, il ruolo di ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

4. Fonti normative l’art. 33 D.lgs 196/2003 stabilisce che: “Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31 […] i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo […] volte ad assicurare un livello minimo di protezione dei dati personali.” È però l’art. art. 34 comma 1, lettera g) del D.lg. 196/03 a prevedere la “tenuta di un aggiornato documento programmatico sulla sicurezza”.

5. Fonti normative Le misure minime, fra cui il Dps, ex art. 33 del Codice, specificano, grazie al contenuto spesso prescrittivo, il detto generale obbligo di sicurezza, e assumono, per diretta volontà legislativa, il ruolo di “ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita […] di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.”

6. Fonti normative Va evidenziato che, proprio in quanto misura “minima”, la mancata predisposizione o l’inadeguato aggiornamento del Dps impedisce al titolare un qualsiasi trattamento dei dati.

7. Fonti normative L'art. 34 D.LGS 196/2003 prevede che Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: • ... • g) tenuta di un aggiornato documento programmatico sulla sicurezza;

8. Fonti normative La regola 19 dell'allegato B “Disciplinare tecnico in materia di misure minime di sicurezza” dispone che: Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza.

9. Fonti normative Il D.P.S. dovrà contenere idonee informazioni riguardo: 19.1. l'elenco dei trattamenti di dati personali;19.2. la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;19.3. l'analisi dei rischi che incombono sui dati;19.4. le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonchè la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;19.5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento di cui al successivo punto 23;

10. Fonti normative 19.6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;19.7. la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare;

11. Fonti normative 19.8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.

12. Regole pratiche di redazione Il Garante ha fornito una guida operativa utile ai fini della redazione del documento.

13. Regole pratiche di redazione Regola 19.1Elenco dei trattamenti di dati personali.: in questa sezione devono essere individuati i trattamenti effettuati dal titolare, direttamente o attraverso collaborazioni esterne, con l'indicazione della natura dei dati e della struttura (uffici, area etc...) interna o esterna operativamente preposta e degli strumenti elettronici impiegati.

14. Regole pratiche di redazione Per ciascun trattamento vanno individuati i seguenti contenutui essenziali: descrizione sintetica : menzionare il trattamento dei dati personali attraverso l'indicazione della finalità perseguita o dell'attività svolta e delle categorie di persone cui i dati si riferiscono; natura dei dati trattati:indicare se tra i dati personali trattati vi sono dati sensibili e giudiziari; struttura di riferimento: indicare la struttura (ufficio, servizio, area) all'interno della quale viene effettuato il trattamento. Nel caso di strutture complesse, è possibile indicare la macro struttura (direzione, dipartimento, area) oppure gli uffici specifici all'interno della stessa (ufficio contratti, ufficio protocollo etc.);

15. Regole pratiche di redazione Altre strutture che concorrono al trattamento: nel caso in cui un trattamento per essere completato comporta l'attività di diverse strutture è opportuno indicare, oltre quella che cura primariamente l'attività, le altre principali strutture che concorrono al trattamento dall'esterno. Descrizione degli strumenti elettronici utilizzati: deve essere indicata la tipologia di strumenti elettronici utilizzata (elaboratori o pc portatili collegati a rete locale etc..); Banca dati:deve essere indicata la banca dati, con le relative applicazioni, in cui sono contenuti i dati.

16. Regole pratiche di redazione • Regola 19.2 DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITA' • In tale sezione devono essere descritte sinteticamente l'organizzazione della struttura di riferimento, i compiti, e le relative responsabilità in relazione ai trattamenti effettuati.

17. le informazioni essenziali da riportare in tale sezionesonostruttura:riportare le indicazioni relative alle strutture indicate nella precedente sezione;trattamenti effettuati dalla strutturacompiti e responsabilità della struttura: descrizione dei compiti e delle responsabilità della struttura rispetto ai trattamenti di competenza. Es. Acquisizione e caricamento dei dati, consultazione, comunicazione a terzi, Regole pratiche di redazione

18. Regole pratiche di redazione Regola 19.3 Analisi dei rischi che incombono sui dati in questa sezione vengono descritti i principali eventi potenzialmente dannosi per la sicurezza e la valutazione circa le possibili conseguenze e la gravità in relazione al contesto fisico – ambientale di riferimento e agli strumenti elettronici utilizzati.

19. Regole pratiche di redazione Le informazioni essenziali relative a questa sezione sono: elenco degli eventi: individuare ed elencare gli eventi che possono generare danni e che comportano, quindi, rischi per la sicurezza dei dati personali. Ad esempio vanno indicati: • 1) gli eventuali comportamenti degli operatori: • - sottrazione di credenziali dia utenticazione; • - carenza di consapevolezza, disattenzione o incuria; • - comportamenti sleali o fraudolenti; • - errore materiale

20. Regole pratiche di redazione 2) eventi relativi agli strumenti: - azione di virus informatici o di programmi suscettibili di recare danno; - spamming o tecniche di sabotaggio, - malfunzionamento, indisponibilità o degrado degli strumenti; -accessi esterni non autorizzati; - intercettazione di informazioni in rete.

21. Regole pratiche di redazione 3) eventi relativi al contesto fisico ambientale: - ingressi non autorizzati a locali/aree ad accesso ristretto; - sottrazione di strumenti contenneti dati; - eventi distruttivi, naturali o artificiali (movimenti tellurici, scariche atmosferiche, incendi, allagamenti, condizioni ambientali...); - guasto a sistemi complementari (impianto elettrico etc..); - errori umani nella gestione della sicurezza fisica;

22. Regole pratiche di redazione Deve essere indicato in questa sezione anche l'impatto sulla sicurezza devono essere descritte le principali conseguenze individuate per la sicurezza dei dati in relazione a ciascun evento, e valutare la loro gravità anche in trelazione alla rilevanza e alla probabilità stimata dell'evento (es alta media bassa). In questo modo è possibile formulare un primo indicatore omogeneo per i diversi rischi da contrastare.

23. regola 19,.4Misure in essere e da adottare In questa sezione vanno riportate le misure in essere e da adottare per contratsare i rischi individuati. Deve essere indicato lo specifico intevento tecnico od organizzativo posto in essere per prevenire, contrastare o ridurre gli effetti relativi ad una specifica minaccia come pure quelle attività di controllo e verifica nel tempo essenzilai per assicurarne l'efficacia. Regole pratiche di redazione

24. Regole pratiche di redazione I contenuti essenziali di questa sezione sono: misure descrizione dei rischi da contrastare trattamenti interessati struttura o pesrone addette all'adozione

25. Regole pratiche di redazione Criteri e modalità di ripristino della disponibilità dei dati – regola 19.5 in questa sezione vengono descritti i criteri e le procedure adotati per il ripristino dei dati in caso di loro danneggiamento o di inaffidabilità della base dati.

26. Regole pratiche di redazione Le informazioni essenziali relative al ripristino dei dati da indicare in questa sezione sono:‏ - banca dati/data base/archivio; - criteri e procedure per il salvataggio e il rispristino dei dati - pianificazione delle prove di ripristino

27. Regole pratiche di redazione Pianificazione degli interventi formativi – regola 19.6 in questa sezione vengono riportate le informazioni necessarie per individuare il quadro sintetico degli interventi formativi che si prevede di svolgere.

28. Regole pratiche di redazione Le informazioni essenziali di questa sezione sono: descrizione sintetica degli interventi formativi: descrizione degli obiettivi e delle modalità dell'interventio formativo in relazione ad eventuali prese di servizio, mutamento di mansioni, introduzione di nuovi programmi informatici etc..)‏ classi di incarico o tipologie di incaricati interessati: individuazione delle classi omogenee di incarico cui l'intervento è destinato e/o le tipologie di incaricati interessati anche in riferimento alle strutture di appartenenza; tempi previsti: indicare i tempi previsti per lo svolgimento degli interventi formativi

29. Regole pratiche di redazione Trattamenti affidati all'esterno – regola 19.7 In tale sezione deve essere indicato un quadro sintetico delle attività affidate a terzi che comportano il trattamento di dati, con l’indicazione sintetica del quadro giuridico o contrattuale (nonché organizzativo e tecnico) in cui tale trasferimento si inserisce, in riferimento agli impegni assunti, anche all’esterno, per garantire la protezione dei dati stessi.

30. Regole pratiche di redazione I contenuti essenziali di tale sezione sono: • Descrizione dell’attività “esternalizzata”: indicare sinteticamente l’attività affidata all’esterno. • Trattamenti di dati interessati: indicare i trattamenti di dati, sensibili o giudiziari, effettuati nell’ambito della predetta attività. • Soggetto esterno: indicare la società, l’ente o il consulente cui è stata affidata l’attività, e il ruolo ricoperto agli effetti della disciplina sulla protezione dei dati personali (titolare o responsabile del trattamento).

31. Regole pratiche di redazione • Descrizione dei criteri: perché sia garantito un adeguato trattamento dei dati è necessario che la società a cui viene affidato il trattamento rilasci specifiche dichiarazioni o documenti, oppure assuma alcuni impegni anche su base contrattuale, con particolare riferimento, ad esempio, a: • 1. trattamento di dati ai soli fini dell’espletamento dell’incarico ricevuto; • 2. adempimento degli obblighi previsti dal Codice per la protezione dei dati personali; • 3. rispetto delle istruzioni specifiche eventualmente ricevute per il trattamento dei dati personali o integrazione delle procedure già in essere; • 4. impegno a relazionare periodicamente sulle misure di sicurezza adottate –anche mediante eventuali questionari e liste di controllo- e ad informare immediatamente il titolare del trattamento in caso di situazioni anomale o di emergenze.

32. Cifratura dei dati o separazione dei dati identificativi (regola 19.8)In questa sezione vanno rappresentate le modalità di protezione adottate in relazione ai dati per cui è richiesta la cifratura -o la separazione fra dati identificativi e dati sensibili-, nonché i criteri e le modalità con cui viene assicurata la sicurezza di tali trattamenti. Questo punto riguarda solo organismi sanitari e esercenti professioni sanitarie (regola 24). Regole pratiche di redazione

33. Regole pratiche di redazione i contenuti essenziali di questa sezione sono: • Trattamenti di dati: descrivere i trattamenti (le banche o le basi di) dati oggetto della protezione • Protezione scelta: riportare la tipologia di protezione adottata, scelta fra quelle indicate dal Codice o in base a considerazioni specifiche del titolare. • Tecnica adottata: descrivere sinteticamente, in termini tecnici ed eventualmente organizzativi, la misura adottata. Ad esempio, in caso di utilizzo di cifratura, le modalità di conservazione delle chiavi e le procedure di utilizzo.

34. sanzioni Sono previste due tipologie di sanzioni: • Ammnistrativa • Penale

35. sanzioni Sanzione di natura amministrativa: Art. 162 d.lgs 196/2003: In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 … è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da diecimila euro a centoventimila euro. Nei casi di cui all'articolo 33 è escluso il pagamento in misura ridotta.

36. Art. 169 D.lgs 196/2003 Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con l'arresto sino a due anni. sanzioni

37. a leggerle formalmente e senza possedere una cultura della sicurezza, queste disposizioni sembrano essere un’accozzaglia di formalità burocratiche ma certamente utilizzare questo documento ci permeterà di capire come funziona la nostra “università”, quali trattamenti effettua, quanto investiamo per difendere noi stessi e i nostri utenti e soprattutto ci permetterà di tutelare noi stessi da sanzioni penali e da pretestuose richieste di risarcimento danni provenienti da chi ritiene che abbiamo in qualche modo violato la sua privacy e non è poco…

38. I soggetti del trattamento Competenze e ruoli

39. Nozioni generali Il titolo IV del codice privacy contiene la disciplina che regola l’attività dei soggetti che effettuano il trattamento. In particolare, i soggetti che effettuano il trattamento si dividono in tre categorie: il titolare, il responsabile e l’incaricato.

40. Soggetti del trattamento

41. I soggetti del trattamento Questa struttura si fonda su un chiaro rapporto di subordinazione gerarchica che lega rispettivamente, il responsabile al titolare e l’incaricato al titolare ed, eventualmente, al responsabile.

42. Il Titolare L’art. 4 lett. f) del D.lgs 196/2003dispone che debba intendersi per titolare: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalita', alle modalita' del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza.

43. Il Titolare L’art. 1 del Regolamento d’Ateneo in materia di trattamento dei dati personali stabilisce che Titolare del trattamento è l’UNIVERSITA’ nel suo complesso.

44. Il Titolare L’art. 28 del codice dispone che: Quando il trattamento e' effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento e' l'entita' nel suo complesso o l'unita' od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalita' e sulle modalita' del trattamento, ivi compreso il profilo della sicurezza.

45. Il Titolare Il titolare ha il compito di scegliere, laddove lo ritenga necessario, il responsabile e di vigilare sull’operato di quest’ultimo e degli incaricati del trattamento.

46. Il Titolare La responsabilità del titolare per eventuali violazioni della normativa in materia di trattamento dei dati, persiste anche se si serve di questi altri soggetti ed anche se costoro sono esterni rispetto alla struttura dell’ente. Ciò significa che egli dovrà vigilare sull’operato di questi soggetti, rispondendo degli eventuali illeciti, laddove responsabili ed incaricati si siano attenuti alle disposizioni loro impartite. Di contro, saranno ritenuti colpevoli gli incaricati o i responsabili che abbiano commesso violazioni della normativa in materia di privacy discostandosi dalle direttive che siano state loro impartite dal titolare.

47. Il Responsabile Ai sensi dell’art. 4 lett. g) del D.lgs 196/2003 si intende per responsabile: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;

48. Il Responsabile Le funzioni e le regole che disciplinano l’attività del responsabile sono contenute nell’art. 29 del codice, il quale dispone che: 1. Il responsabile e' designato dal titolare facoltativamente. 2. Se designato, il responsabile e' individuato tra soggetti che per esperienza, capacita' ed affidabilita' forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza. 3. Ove necessario per esigenze organizzative, possono essere designati responsabili piu' soggetti, anche mediante suddivisione di compiti. 4. I compiti affidati al responsabile sono analiticamente specificati per iscritto dal titolare. 5. Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle proprie istruzioni.

49. Il Responsabile Il responsabile verrà nominato con atto scritto del titolare, il quale sarà tenuto, altresì, ad individuare in modo analitico le competenze che intende attribuirgli. La forma scritta sia della delega che della attribuzione dei compiti è richiesta dal legislatore non a pena di nullità ma a titolo probatorio.

50. Il Responsabile I responsabili saranno, quindi, sottoposti a verifiche periodiche, da parte del titolare, volte ad accertare la correttezza e conformità del loro operato alla normativa in materia di trattamento dei dati.