DECRETO-LEGGE 9 febbraio 2012, n. 5

Disposizioni urgenti in materia di semplificazione e di sviluppo. (12G0019) (GU n.33 del 9-2-2012 - Suppl. Ordinario n. 27 )

note: Entrata in vigore del provvedimento: 10/02/2012

Art. 45.

Semplificazioni in materia di dati personali.

1. Al decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) all'articolo 21 dopo il comma 1 è inserito il seguente: «1-bis. Il trattamento dei dati giudiziari è altresì consentito quando è effettuato in attuazione di protocolli d'intesa per la prevenzione e il contrasto dei fenomeni di criminalità organizzata stipulati con il Ministero dell'interno o con i suoi uffici periferici di cui all'articolo 15, comma 2, del decreto legislativo 30 luglio 1999, n.300, che specificano la tipologia dei dati trattati e delle operazioni eseguibili.»;

b) all'articolo 27, comma 1, è aggiunto, in fine, il seguente periodo: "Si applica quanto previsto dall'articolo 21, comma 1-bis.";

c) all'articolo 34 è soppressa la lettera g) del comma 1 ed è abrogato il comma 1-bis;

d) nel disciplinare tecnico in materia di misure minime di sicurezza di cui all'allegato B sono soppressi i paragrafi da 19 a 19.8 e 26.

CHE FARE?

L’art. 45 del D.L. n. 5 del 9 febbraio 2012 (il cosiddetto decreto “semplificazioni” del governo Monti) ha reso non obbligatorio il DPS perciò non c’è più la scadenza del 31 marzo entro la quale ogni anno era necessario rivedere il proprio sistema di sicurezza per il trattamento dei dati personali per aggiornare il DPS.

Ma allora le imprese possono “dormire sonni tranquilli”? Assolutamente no! Anzi, non dover più prendere in mano un documento che descrive la situazione aziendale per quanto riguarda la privacy, a mio parere può creare qualche problema.

Infatti, l’abolizione del DPS non ha cambiato la sostanza della normativa sulla privacy e sono rimaste in vigore tutte le misure di sicurezza obbligatorie e i provvedimenti del Garante che hanno effetto di legge (come ad es. quello generale sulla videosorveglianza, quello sugli amministratori di sistema, le linee guida del Garante per la posta elettronica e Internet nei luoghi di lavoro, ecc.), che se non rispettati espongono i contravventori a pesanti sanzioni.

Il decreto 5/2012 ha ritenuto superfluo il DPS -considerato un adempimento solamente formale alla normativa sulla privacy- perciò adesso quello che conta è la “sostanza” della tutela della privacy, cioè l’esistenza di effettive misure di sicurezza per proteggere i dati, e non la loro descrizione in un documento formale.

Si deve pertanto evitare di confondere l’obbligo di adottare le misure di sicurezza con quello di scriverle in un documento cartaceo, facendo magari prevalere questo su quello.

Ogni impresa “titolare del trattamento” di dati personali deve innanzitutto rispettare tutti i principi fondamentali stabiliti dal D.Lgs. 196/03 per il trattamento dei dati (esattezza dei dati, pertinenza, non eccedenza, necessità del trattamento e conservazione solo per il tempo necessario).

Il titolare poi, deve nominare gli incaricati del trattamento e gli eventuali responsabili, dare l’informativa alle persone fisiche interessate, ottenere il loro consenso se necessario e, soprattutto, rispettare (almeno) tutte le misure minime di sicurezza stabilite dal Codice della privacy e controllare periodicamente la loro applicazione.

Perciò, nonostante l’abolizione del DPS, le cose da tenere sotto controllo per la gestione dei potenziali rischi derivanti dal trattamento dei dati personali sono parecchie.

Sarebbe opportuno che le imprese, che in passato hanno investito tempo e denaro per la redazione del DPS e per la formazione del personale non si “dimenticassero” completamente della privacy, ma continuassero a monitorare la situazione attraverso un documento interno (es: lo stesso DPSS a cui aggiungere un verbale, un promemoria, o un qualsiasi altro scritto) che permetta loro di tenere sotto controllo le misure di sicurezza e gli altri adempimenti privacy rimasti in vigore.

Questo documento permetterebbe al titolare di ricordare quello che ha fatto e potrebbe tornare utile in caso di contestazioni della Guardia di Finanza.

Senza il DPS, infatti, i controlli sulle misure di sicurezza saranno più complessi e d’ora in poi si concentreranno sull’effettiva applicazione delle misure di sicurezza.

Inoltre, va anche considerato che tenere sotto controllo le misure di sicurezza e gli altri adempimenti privacy rimasti in vigore consentirà all’impresa di essere pronta all’avvento del nuovo Regolamento UE che stabilisce regole ancora più stringenti per la privacy, senza dovere ricominciare tutto da capo quando entrerà in vigore e, come tutti i Regolamenti Comunitari, sarà immediatamente applicabile anche nel nostro Paese.