Gestione dei dati: obblighi e responsabilità1 Misure di sicurezza nel trattamento dei dati personali

Gestione dei dati: obblighi e responsabilità2 Diritto alla riservatezza: significato e fondamenti normativi Un diritto in evoluzione Dal diritto ad essere lasciati soli al controllo sui propri dati. Le fonti della riservatezza I fondamenti costituzionali; La direttiva 95/46 CE; art. 7 della Convenzione di Strasburgo n. 108 del 28 gennaio 1981; art. 17 della direttiva 95/46/CE; art. 4 della direttiva 97/66/CE.

Gestione dei dati: obblighi e responsabilità3 Una normativa in fieri Le deleghe della legge n. 676 del 1996 Settori considerati Lelaborazione in sede internazionale Le pronunce del Garante

Gestione dei dati: obblighi e responsabilità4 Ambito di applicazione: alcune definizioni Dato personale Qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione identificata o identificabile… (art.1, comma 2, lett.c) Trattamento Qualunque operazione o complesso di operazioni, svolti con o senza lausilio di mezzi elettronici o comunque automatizzati…. (art.1, comma2, lett.b)

Gestione dei dati: obblighi e responsabilità5 I pilastri della legge Informativa Consenso Autorizzazione del Garante (dati sensibili) Notificazione Misure di sicurezza

Gestione dei dati: obblighi e responsabilità6 Tutela penale dei sistemi informatici e telematici Fattispecie introdotte dalla legge 547/93 Art. 613 ter c.p. accesso abusivo ad un sistema informatico o telematico Art. 640 ter frode informatica Art. 392 co. 4 c.p. esercizio arbitrario delle proprie ragioni con impedimento o turbamento di un sistema informatico o telematico Art. 615 quater c.p. detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici

Gestione dei dati: obblighi e responsabilità7 Il T.U. in materia di documentazione amministrativa D.P.R. 28/12/2000, n. 445 Articolo 52, comma 1: Il sistema di gestione informatica dei documenti deve garantire la sicurezza e lintegrità del sistema, deve consentire, in condizioni di sicurezza, laccesso alle informazioni del sistema da parte dei soggetti interessati, nel rispetto delle disposizioni in materia di tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali

Gestione dei dati: obblighi e responsabilità8 Sicurezza dei dati (art.15) Comma 1 Onere di custodire i dati in modo da ridurre al minimo i rischi di perdita anche accidentale dei dati, accesso non autorizzato o non consentito o comunque non conforme alla raccolta Aggiornamento in relazione al progresso tecnico Risarcimento (art. 18) Comma 2 Misure minime di sicurezza individuate con il regolamento emanato con il d.P.R. n. 318/1999 Sanzioni penali (art. 36)

Gestione dei dati: obblighi e responsabilità9 Responsabilità civile - La mancata predisposizione delle misure di cui allart. 15, comma 1 comporta la responsabilità per i danni eventualmente cagionati ai sensi dellart.2050 c.c. - Ne discende che il trattamento di dati personali è considerata attività pericolosa con conseguente presunzione di colpa del gestore e relativa inversione dellonere della prova.

Gestione dei dati: obblighi e responsabilità10 Omessa adozione delle misure minime Allinosservanza delle norme contenute nel regolamento sono collegate sanzioni di carattere penale (art. 36)

Gestione dei dati: obblighi e responsabilità11 Nuove figure Il preposto: soggetto preposto alla custodia della parola chiave o che ha accesso alle informazioni che riguardano le medesime. Lamministratore di sistema: soggetto cui è conferito il compito di sovraintendere alle risorse del sistema operativo di un elaboratore o di un sistema di basi dati e di consentirne la utilizzazione.

Gestione dei dati: obblighi e responsabilità12 Come definire le idonee misure di sicurezza Custodia e controllo dei dati basato su: la cultura della sicurezza in quel momento (misure gestionali, fisiche e logiche); esperienze acquisite. Natura dei dati; Specifiche caratteristiche del trattamento. Rischi

Gestione dei dati: obblighi e responsabilità13 Riduzione al minimo dei rischi Distruzione o perdita dei dati; Accessi non autorizzati; Trattamenti illeciti; Trattamenti non consentiti o non conformi alle finalità della raccolta.

Gestione dei dati: obblighi e responsabilità14 Misure minime. Il regolamento distingue diversi tipi di trattamento trattamento con elaboratori singoli non accessibili da altri elaboratori o terminali; trattamento con reti locali non disponibili al pubblico; trattamento con reti locali accessibili mediante una rete pubblica trattamento con strumenti diversi da quelli elettronici o automatizzati trattamenti effettuati per fini esclusivamente personali

Gestione dei dati: obblighi e responsabilità15 A. Trattamento con elaboratori singoli non accessibili da altri elaboratori o terminali (art. 2 d.P.R. n. 318/99). 1. individuazione degli incaricati 2. parola daccesso 3. preposto alla custodia

Gestione dei dati: obblighi e responsabilità16 4. Se i dati sono sensibili o di carattere giudiziario: autorizzazioni agli incaricati del trattamento o della manutenzione 1. Quanto già previsto allart. 2 (individuazione degli incaricati, parola daccesso, preposto alla custodia); 2. Codice identificativo personale; 3. Elaboratori protetti contro il rischio di intrusione; b. trattamento con reti locali non disponibili al pubblico

Gestione dei dati: obblighi e responsabilità17 c. Trattamento effettuato mediante elaboratori accessibili in rete pubblica Oltre quanto previsto nella situazione precedente, nel caso in cui si trattino dati particolari: sono oggetto di autorizzazione anche gli strumenti utilizzati per linterconnessione; documento programmatico sulla sicurezza

Gestione dei dati: obblighi e responsabilità18 Documento programmatico sulla sicurezza Criteri tecnici e organizzativi per proteggere le aree e controllare laccesso delle persone autorizzate; Criteri e procedure per assicurare lintegrità dei dati e per la sicurezza delle trasmissioni; Elaborazione di un piano di formazione; Sottoporre a controlli periodici, con cadenza almeno annuale, lefficacia delle misure di sicurezza.

Gestione dei dati: obblighi e responsabilità19 Trattamento con strumenti diversi da quelli elettronici o automatizzati Designazione incaricati e accesso selezionato ai locali; Se il trattamento riguarda dati particolari: Conservazione in contenitori muniti di serratura; Identificazione e registrazione dei soggetti che accedono agli archivi dopo lorario di chiusura

Gestione dei dati: obblighi e responsabilità20 Trattamenti effettuati per fini esclusivamente personali Il regolamento si applica solo se coesistono tre condizioni. I dati trattati sono : particolari; organizzati in banche dati; gli elaboratori con cui si effettua il trattamento sono stabilmente accessibili da altri elaboratori. Obbligo: proteggere laccesso con una parola chiave

Gestione dei dati: obblighi e responsabilità21 LIMPORTANZA NEI SISTEMI DI SICUREZZA È LA PREVENTIVA ORGANIZZAZIONE Lerroneo atteggiamento degli operatori è più pericoloso degli stessi hacker. Ladeguatezza delle misure di difesa non è solo potenziare i sistemi hardware e software ma la capacità di servirsene nella maniera più efficace. Indagine di Sicurforum sulla criminalità: virus, manomissione e sottrazione (i più temuti). Spesso i provvedimenti vengono presi solo a seguito di un attacco. Due obiettivi: proteggere i dati e limitare i danni di una incursione. Non basta linvestimento iniziale ma occorre continua attenzione e costante aggiornamento.

Gestione dei dati: obblighi e responsabilità22 Sito del Garante

Gestione dei dati: obblighi e responsabilità23 Un auspicio, una sfida Sfruttare spazi aperti da una normativa in fieri Il valore aggiunto della soft law Diffondere la cultura della Privacy come valore, non solo come onere Un modo nuovo per relazionarsi con i soggetti con cui si entra a contatto e soprattutto con i cittadini.