Dal primo gennaio 2004 è entrato  in vigore il nuovo Codice in materia di protezione dei dati personali.

Nel rispetto del Testo unico sulla privacy ogni sistema informativo   deve gestire solo quei dati personali  strettamente necessari allo scopo definito,  evitando così di effettuare trattamenti  per finalità che altrimenti potrebbero essere  raggiunte con l'impiego di dati anonimi.

Cosa si intende per trattamento?  Tutte le operazioni che avvengono sui dati: dalla comunicazione, visione, lettura, consultazione, alla scrittura,  copia, modifica, cancellazione, archiviazione, operazioni di backup, .. ossia ogni operazione in cui ci sia una forma  di elaborazione o gestione del le informazioni siano esse cartacee o elettroniche.

Come prima cosa si devono definire   i tipi di trattamento che vengono effettuati , la finalità per cui vengono considerati,  analizzandone la  natura del dato ,personale, sensibile, giudiziario  e  la loro modalità di trattamento (cartaceo e/o elettronico).

Ogni dato personale deve essere custodito e controllato, qualsiasi sia la modalità di trattamento attuale e futura, per questo è previsto un aggiornamento  di un documento , il DPSS, documento programmatico sulla sicurezza, da redigere annualmente che  va  a descrivere in modo preciso: trattamenti, incaricati, rischi e misure di sicurezza adottate o da adottare per la protezione dei dati personali.

Il DPSS costituisce un aggiornamento necessario sia  per il crescere delle conoscenze del progresso tecnico, sia per monitorare  periodicamente le misure di sicur ezza idonee in grado di  affrontare i rischi di distruzione, perdita, furti, accessi non autorizzati o trattamenti  non consentiti o non autorizzati o semplicemente non conformi alla finalità per il quale il dato è stato trattato.

Quando parliano di misure  intendiamo un complesso di azioni tecniche, informatiche, organizzative, logistiche, ambientali e procedurali  atte a garantire un livello minimo di sicurezza così come stabilito dal Codice della protezione dei dati personali.

Necessaria risulta essere la formulazione di una lista dei possibili rischi , specifici per ogni realtà, dandone una valutazione  sull'entità del danno che possono comportare.

Conseguentemente si devono stabilire le misure che si intendono adottare per abbassare  i rischi valutati  al fine di garantire l’integrità e la disponibilità dei dati, la protezione delle aree e dei locali in relazione   alla loro custodia ed accessibilità.

Un'altra importante lista è quella che deve essere redatta per descrivere le  modalità che possono essere poste a favore del ripristino della disponibilità dei dati qualora si verifichino episodi dei rischi valutati.

Ogni trattamento dei dati personali deve essere eseguito  solo dagli incaricati  a cui viene affidata una credenziale di autenticazione   univoca come può essere una login con password  e lo stesso  è responsabile della propria custodia di  autenticazione a cui  a lui solo  è riservata  e l'incaricato stesso  è soggetto a controlli di  sussistenza delle condizioni per l'incarico.
Si identificano poi la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dati.

Consulta lo schema riassuntivo

Consulta ogni normativa sulla privacy

Consulta il Testo Unico privacy

Consulta l'Allegato B per le misure minime di sicurezza

Docuemnto programmatico sulla sicurezza (DPSS)

Guida pratica messa a disposizione dal Garante per le PMI