Ultimi giorni per il DPS

Pubblicità


È disponibile on line nel sito del Garante per la protezione dei dati personali, una guida operativa per redigere e aggiornare il Documento Programmatico di Sicurezza, soprattutto nelle realtà piccole e medie dimensioni.
La guida è stata semplificata sulla base dei commenti pervenuti all'esito della consultazione pubblica ed è utilizzabile facoltativamente.

Ricordiamo che l'adozione delle misure minime di sicurezza, riassunte nel Documento Programmatico, deve essere fatta entro il 30 giugno. Quindi anche il documento deve essere redatto entro tale data (è necessario anche poter dimostrare la data: sono validi quindi vari metodi, dall'autentica notarile al protocollo delle pubbliche amministrazioni, all'autoinvio con la posta, ecc.)

La guida è strutturata in due parti: la prima contiene istruzioni per sviluppare il DPS negli aspetti descrittivi oppure nella compilazione di alcune tabelle riportate nella seconda parte.
Nella guida sono anche evidenziati altri elementi utilizzabili facoltativamente - comprese alcune tabelle (moduli da compilare) -, che si ritengono utili per una più approfondita definizione del DPS.
Il modello proposto dal garante non è però vincolante, lasciando quindi spazio ad altre modalità di applicazione.

Un capitolo specifico è dedicato al trattamento dei dati affidati all’esterno, tema di attualità in questi ultimi anni.

In particolare la guida consiglia di “redigere un quadro sintetico delle attività affidate a terzi che comportano il trattamento di dati, con l’indicazione sintetica del quadro giuridico o contrattuale (nonché organizzativo e tecnico) in cui tale trasferimento si inserisce, in riferimento agli impegni assunti, anche all’esterno, per garantire la protezione dei dati stessi”.

Perché sia garantito un adeguato trattamento dei dati “è necessario che la società a cui viene affidato il trattamento rilasci specifiche dichiarazioni o documenti, oppure assuma alcuni impegni anche su base contrattuale, con particolare riferimento, ad esempio, a:
1. trattamento di dati ai soli fini dell’espletamento dell’incarico ricevuto;
2. adempimento degli obblighi previsti dal Codice per la protezione dei dati personali;
3. rispetto delle istruzioni specifiche eventualmente ricevute per il trattamento dei dati personali o integrazione delle procedure già in essere;
4. impegno a relazionare periodicamente sulle misure di sicurezza adottate –anche mediante
eventuali questionari e liste di controllo- e ad informare immediatamente il titolare del
trattamento in caso di situazioni anomale o di emergenze”.

Gli altri argomenti della guida riguardano: l'elenco dei trattamenti, la struttura organizzativa con l'indicazione dei compiti e delle responsabilità, l'analisi dei rischi, la definizione delle misure di sicurezza adatte e di quelle da adottare, i criteri per scongiurare la perdita dei dati, la pianificazione delle attività di formazione del personale, i trattamenti affidati all'esterno, e infine la tabella sulla cifratura o separazione dei dati (solo per organismi sanitari ed esercenti professioni sanitarie).

Pubblicità