1 Seminario di studio sulle problematiche della Privacy, con particolare riferimento al sistema dellistruzione Cesena, 30 settembre 2004.

Presentazione sul tema: "1 Seminario di studio sulle problematiche della Privacy, con particolare riferimento al sistema dellistruzione Cesena, 30 settembre 2004."— Transcript della presentazione:

1 1 Seminario di studio sulle problematiche della Privacy, con particolare riferimento al sistema dellistruzione Cesena, 30 settembre 2004

2 2 Il Codice della privacy rappresenta il primo tentativo al mondo di sistematizzazione delle norme in materia Introduzione di nuove garanzie per i cittadini Razionalizzazione delle norme esistenti Semplificazione degli adempimenti Sostituzione della legge madre 675/96

3 3 rispetto della vita privata e della vita familiare (che costituisce il fulcro della privacy) il diritto alla protezione dei dati personali Carta dei diritti fondamentali dellUnione Europea distingue

4 4 Nellart. 7 del Codice, che tutela la riservatezza, si rispecchia principalmente il momento individualistico di un potere giuridico, che spetta ad ogni persona, che si esaurisce sostanzialmente nellescludere dalla propria vita privata interferenze esterne Invece la protezione dei dati si concretizza nei poteri di intervento, spettanti ad ogni soggetto nei confronti di chiunque gestisca informazioni personali che possono comportare impatto sociale. Nel primo caso la tutela è statica, mentre nel secondo consente di seguire e controllare la circolazione dei dati personali e la loro protezione nei diversi circuiti in cui possono venire inseriti.

5 5 Il Codice ha introdotto uno strumentario di nuove garanzie relativamente alle comunicazioni elettroniche nelle quali il diritto alla protezione dei dati non va inteso come un guscio protettivo dellindividuo, ma riguarda lindividuo nella sua proiezione nei cicli di sviluppo economico-sociale (Santaniello)

6 6 Il codice è diviso in tre parti La prima parte è dedicata alle disposizioni generali, ordinate in modo da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato La seconda parte è dedicata a settori specifici. Essa, oltre a disciplinare aspetti specifici, introduce la disciplina per il settore sanitario e quella dei controlli sui lavoratori La terza parte affronta la materia della tutela amministrativa e giurisdizionale con il consolidamento delle sanzioni amministrative e penali e con le disposizioni sullufficio del garante

7 7 Il diritto alla riservatezza nellordinamento costituzionale

8 8 Non esiste nel sistema costituzionale una norma espressa che appresti tutela generale alla riservatezza. Per contro la costituzione riconosce espressamente alcune libertà che possono atteggiarsi al limite della riservatezza

9 9 Gli artt. 2 e 3 della Costituzione Lart. 2 ha natura di clausola generale? Lart. 3 va letto in una dimensione individuale o sociale? Il diritto alla riservatezza nellordinamento costituzionale

10 10 Gli artt. 13, 14 e 15 della Costituzione Queste norme sanciscono linviolabilità della libertà personale, del domicilio, della libertà e segretezza della corrispondenza e ogni altra forma di comunicazione. La libertà personale viene intesa non solo in senso fisico, ma con riguardo alla persona nella sua interezza, compresa la sfera spirituale e la sua personalità. Parimenti, domicilio e corrispondenza sono interpretati come proiezione spaziale e spirituale dellindividuo. La maggior parte della dottrina esprime sfavore verso lutilizzo di queste norme come ancora costituzionale per il diritto alla riservatezza Il diritto alla riservatezza nellordinamento costituzionale

11 11 Lart. 21 della Costituzione Questa norma è stata utilizzata per negare la rilevanza costituzionale del diritto alla riservatezza perché ritenuto incompatibile con la libertà di espressione; ma è stata anche utilizzata per fondare il rango costituzionale del diritto alla riservatezza proprio su questa disposizione La giurisprudenza consolidata si fonda sul criterio di bilanciamento, relativo e non assoluto, ispirato ai tre parametri dellinteresse sociale della notizia, della verità dei fatti narrati e della continenza Il diritto alla riservatezza nellordinamento costituzionale

12 12 Fonti normative l. n. 675/96 l.d. n. 676/96 d.lgs n. 123/97 d.lgs n. 255/97 d.lgs n. 135/98 d.lgs n. 389/98 d.lgs n. 51/99 d.lgs n. 135/99 d.lgs n. 281/99 d.lgs n. 282/99 l. n. 344/98 l. n. 25/99 l. n. 127/01 l. n. 325/00 d.lgs. 467/01 d.p.r. n. 318/99 d.lgs n. 196/03 l. n. 45/04 La legge fondamentale n. 675/96 è stata più volte integrata e modificata fino al d.lgs n. 196/03 (Codice della privacy), a sua volta ancora integrato dalla l. n. 45/04

13 13 Protezione dei dati personali non consiste nella copertura ma nella loro difesa

14 14 Il significato delle espressioni letterali ricorrenti nel Codice

15 15 Il significato delle espressioni letterali ricorrenti nel Codice trattamento è qualunque operazione o insieme di operazioni, compiute anche senza il supporto di strumenti elettronici, concernenti la raccolta, la registrazione, lorganizzazione, la conservazione, la consultazione, lelaborazione, la modificazione, la selezione, lestrazione, il raffronto, lutilizzo, linterconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non sono registrati in una banca dati

16 16 Il significato delle espressioni letterali ricorrenti nel Codice dato personale è qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificato o identificabili, anche in modo indiretto, mediante riferimento a qualsiasi altra informazione, compreso il numero di identificazione personale

17 17 Il significato delle espressioni letterali ricorrenti nel Codice dati sensibili sono i dati personali che permettono la rivelazione dellorigine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, ladesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale

18 18 Il significato delle espressioni letterali ricorrenti nel Codice titolare è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni relative alle finalità, alle modalità del trattamento dei dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza

19 19 Il significato delle espressioni letterali ricorrenti nel Codice responsabile è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali

20 20 Il significato delle espressioni letterali ricorrenti nel Codice incaricati sono le persone fisiche autorizzate ad effettuare operazioni di trattamento dal titolare dei dati o dal responsabile

21 21 Il significato delle espressioni letterali ricorrenti nel Codice interessato è la persona fisica, la persona giuridica, lente o lassociazione cui si riferiscono i dati personali

22 22 Il significato delle espressioni letterali ricorrenti nel Codice comunicazione consiste nel portare a conoscenza dei dati personali a uno o più soggetti determinati diversi dallinteressato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualsiasi forma, anche attraverso la loro messa a disposizione o consultazione

23 23 Il significato delle espressioni letterali ricorrenti nel Codice diffusione consiste nel portare a conoscenza dei dati personali soggetti indeterminati, in qualunque forma, anche attraverso la loro messa a disposizione o consultazione

24 24 Il significato delle espressioni letterali ricorrenti nel Codice blocco consiste nella conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento

25 25 Regole generali per il trattamento dei dati Le modalità di trattamento Liceità e correttezza Raccolta e registrazione per scopi determinati, espliciti e legittimi Esattezza Pertinenti, completi e non eccedenti rispetto alle finalità di utilizzo Conservazione finalizzata allidentificazione dellinteressato per il periodo necessario al raggiungimento dello scopo di raccolta e trattamento

26 26 Regole generali per il trattamento dei dati Sono previsti codici deontologici e di buona condotta come fonti di norme flessibili e agevolmente modificabili. Il rispetto delle disposizioni dei codici costituisce condizione essenziale per la liceità e correttezza del trattamento dei dati personali

27 27 Elaborazione di regole da parte dei soggetti professionali Regole generali per il trattamento dei dati I codici trovano la loro radice in quelle norme sulla normazione costituite dagli articoli della direttiva-madre 95/46/CE La codificazione deontologica si pone come il punto di confluenza di tre fattori Atti comunitari Poteri propulsivi dellautorità garante

28 28 Regole generali per il trattamento dei dati Informativa Lart. 13 prevede i contenuti e i termini dellinformativa allinteressato o alla persona presso la quale sono raccolti i dati personali. Linformativa non si applica quando i dati, raccolti presso linteressato: sono trattati in base ad un obbligo previsto normativamente sono trattati ai fini di investigazioni difensive linformativa comporta un impiego di mezzi dichiarato manifestamente sproporzionato dal Garante

29 29 Regole generali per il trattamento dei dati In caso di cessazione del trattamento i dati sono: distrutti; ceduti ad altro titolare per un ulteriore trattamento compatibile con gli scopi originari della raccolta; conservati per fini personali e sottratti a comunicazione o diffusione; conservati o ceduti ad altro titolare a fini storici statistici o scientifici secondo le disposizioni normative

30 30 Regole generali per il trattamento dei dati Art. 17. Trattamento che presenta rischi specifici 1. Il trattamento dei dati diversi da quelli sensibili e giudiziari che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dellinteressato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dellinteressato, ove prescritti. 2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante in applicazione dei principi sanciti dal presente codice, nellambito di una verifica preliminare allinizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, anche a seguito di un interpello del titolare.

31 31 Art. 15 (Danni cagionati per effetto del trattamento) 1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile. 2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell'articolo 11. Il richiamo allart. 2050 del c.c. comporta linversione dellonere della prova a carico di chi svolge attività pericolosa. Pertanto chiunque provochi un danno ha lobbligo di dimostrare di aver posto in essere ogni misura idonea ad evitarlo Regole generali per il trattamento dei dati

32 32 PRIVACY investe responsabilità di soggetti PUBBLICI e PRIVATI Il codice regola in modo specifico i casi in cui il trattamento avviene a cura di pubbliche amministrazioni

33 33 Tra le attività svolte dalla PA il codice, per diversi comparti, precisa con molto dettaglio, le attività che investono finalità di rilevante interesse pubblico

34 34 La privacy e la trasparenza Soggetto pubblico Esigenza di controllo diffuso sui comportamenti amministrativi Pericolo di diffusione di massa ingente di informazioni Criterio della trasparenza amministrativa Canone della protezione della riservatezza

35 35 La privacy e la trasparenza Fattori problematici Il quadro normativo non offre ancora opzioni risolutive chiare ed univoche Le prassi amministrative sono ancora incerte nei singoli settori La giurisprudenza manifesta atteggiamenti ancora non consolidati Gli interventi del garante oscillano tra laffermazione di una assoluta prevalenza della riservatezza (almeno per i dati sensibili) e la persistente operatività del sistema della trasparenza in materia di accesso ai documenti

36 36 La privacy e la trasparenza Normativa sui dati personali La conoscenza da parte dei terzi di dati avviene attraverso una specifica forma di TRATTAMENTO Comunicazione o diffusione presupposto positivo legislativo o regolamentare Deve essere funzionale allo svolgimento di attività istituzionale Possono esservi limiti posti da legge o regolamento

37 37 La privacy e la trasparenza Normativa sullaccesso Riconosce la rilevanza della riservatezza come possibile limite allostensibilità dei documenti amministrativi Qual è la misura di questa rilevanza

38 38 La privacy e la trasparenza Nel bilanciamento tra i due interessi contrapposti ACCESSORISERVATEZZA Il cittadino conserva il diritto di visionare i documenti (quindi anche i dati sensibili) quando vi è la motivata esigenza di far valere i propri diritti, non solo in sede giudiziaria Criterio-guida: massima pubblicità e trasparenza da assicurare a tutti i soggetti legittimati secondo la l. 241

39 39 La privacy e la trasparenza Cautele Dati sensibili. Il bilanciamento tra interessi contrapposti è operato dal legislatore e confermato dai regolamenti sullaccesso Il diritto di accesso soccombe alla riservatezza. Tuttavia nel caso in cui il diritto di accesso venga esercitato su atti la cui conoscenza è necessaria per la cura o difesa di interessi giuridici, ma che contengono dati sensibili, il diritto di accesso va permesso nella forma della visione ECCEZIONE: i dati supersensibili (vita sessuale e salute) sono ostensibili solo quando il richiedente, con istanza di accesso, intende tutelare una situazione giuridica di rango almeno pari al diritto dellinteressato, ovvero consistente in un diritto della personalità o un altro diritto o libertà fondamentale e inviolabile.

40 40 La privacy nellordinamento scolastico

41 41 La privacy nella scuola I richiami normativi nella scuola Oltre alle fonti normative generali, troviamo i seguenti richiami specifici Art. 330 bis TU 297/94 Art. 2, c. 2 d.p.r. 249/98 (regolamento sullo statuto delle studentesse e degli studenti)

42 42 La privacy nella scuola I dati utilizzati e trattati dalla scuola concernono: gli alunni e le rispettive famiglie il personale scolastico altri soggetti relativamente ad attività svolte nella scuola o nellesercizio dellazione amministrativa

43 43 La privacy nella scuola La scuola svolge la sua attività nei seguenti ambiti Attività istituzionali Attività svolte nel ruolo di datore di lavoro

44 44 La privacy nella scuola Attività istituzionali Il codice consente il trattamento solo per lo svolgimento delle funzioni istituzionali e la comunicazione e diffusione …unicamente quando sono previste da una norma di legge o regolamento (u.c. art. 19)

45 45 La privacy nella scuola Attività istituzionali Art. 1 l. 53/03 Al fine di favorire la crescita e la valorizzazione della persona umana, nel rispetto dei ritmi delletà evolutiva, delle differenze e dellidentità di ciascuno e delle scelte educative della famiglia, nel quadro della cooperazione tra scuola e genitori, in coerenza con il principio di autonomia delle istituzioni scolastiche e secondo i principi sanciti dalla Costituzione…… Attività amministrative strumentali Art. 18, secondo comma cod. Nel trattare i dati il soggetto pubblico osserva i presupposti e i limiti stabiliti dal presente codice, anche in relazione alla diversa natura dei dati, nonché dalla legge e dai regolamenti Art. 19 Il trattamento è consentito anche in mancanza di una norma di legge o di regolamento che lo preveda espressamente

46 46 Attività istituzionali La privacy nella scuola Se i dati sono sensibili vanno applicati gli artt. 20 e 22, 95 e 96 Art. 20, c. 1 Il trattamento dei dati sensibili da parte di soggetti pubblici è consentito solo se autorizzato da espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite

47 47 La privacy nella scuola Lart. 95 (Dati sensibili e giudiziari) considera di rilevante interesse pubblico, ai sensi degli artt. 20 e 21, le finalità di Istruzione e formazione in ambito scolastico,professionale o universitario, con particolare riferimento a quelle svolte anche in forma integrata

48 48 La privacy nella scuola espressa disposizione di legge nella quale sono specificati i tipi di dati che possono essere trattati e di operazioni eseguibili Manca, in ogni caso, l Dunque il trattamento è consentito solo per i dati identificati e resi pubblici dal titolare dei trattamenti, in relazione alle specifiche finalità perseguite nei singoli casi, con atto di natura regolamentare adottato in conformità al parere espresso dal Garante (art. 20) In questo caso i soggetti pubblici possono richiedere al Garante lindividuazione delle attività che perseguono finalità di interesse pubblico Dati sensibili

49 49 La privacy nella scuola Rimane il problema dei dati che costituiranno parte integrante del portfolio, dei soggetti che vi avranno accesso, del responsabile del trattamento

50 50 Si tratta di un procedimento amministrativo, ma che si conclude con un atto partecipato a contenuto documentale nel quale confluiscono riflessioni di diversa natura con scopo valutativo ed orientativo. Esso si baserà su informazioni di diversa natura (colloqui, osservazioni, ma anche documenti) che serviranno al fine istituzionalmente predeterminato. Alcune o molte di queste informazioni, secondo i casi, saranno costituite da dati sensibili, riguardanti il bambino, ma anche la famiglia. Essi verranno trattati dal docente tutor, ma anche probabilmente dagli altri docenti della stessa scuola e, nei passaggi successivi, da docenti di una nuova scuola. Il primo problema è quindi quello della regolamentazione del trattamento dei dati sensibili: soggetti, responsabilità, modalità. Portfolio La privacy nella scuola

51 51 Il significato delle espressioni letterali ricorrenti nel Codice dati sensibili sono i dati personali che permettono la rivelazione dellorigine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, ladesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale

52 52 La privacy nella scuola Art. 20 Prevede il trattamento dati sensibili solo se riconosciute le finalità di interesse pubblico Art. 95 qualifica di interesse pubblico le finalità di istruzione e di formazione Art. 96 regolamenta il trattamento dei dati relativi agli studenti

53 53 Attività svolte nel ruolo di datore di lavoro La privacy nella scuola Lart. 112 insiste sulla nozione delle finalità di rilevante interesse pubblico e consente di rilevare analiticamente le varie attività nelle quali è ammesso il trattamento dei dati personali per linstaurazione e la gestione dei rapporti di lavoro, e inoltre i limiti posti alla diffusione e comunicazione dei dati stessi

54 54 La privacy nella scuola Chi fa che cosa titolare è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni relative alle finalità, alle modalità del trattamento dei dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza DIRIGENTE

55 55 Chi fa che cosa DSGA per il trattamento, compreso il profilo della sicurezza, dei dati in possesso dellamministrazione responsabile è la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali Docente tutor per i dati contenuti nel portfolio La privacy nella scuola

56 56 La privacy nella scuola Chi fa che cosa incaricati sono le persone fisiche autorizzate ad effettuare operazioni di trattamento dal titolare dei dati o dal responsabile Assistente amministrativo cui è affidato un trattamento specifico di dati

57 57 I casi scolastici LE CIRCOLARI le circolari scolastiche devono rispettare le leggi sulla privacy e non possono contenere dati personali che consentano di risalire, anche se in modo indiretto, allidentità di studenti qualora le informazioni ledano la loro riservatezza

58 58 I casi scolastici I QUADRI Rendere noti nominativamente i risultati scolastici, anche negativi, non costituisce violazione della privacy, poiché la pubblicità in questa materia è obbligo e regola generale. Sussistono infatti esigenze di controllo sociale e professionale che dipendono proprio dalla conoscibilità delle valutazioni finali

59 59 I casi scolastici CORSI PARTICOLARI Nel caso di comunicazioni relative a corsi particolari il garante ha rilevato che tali informazioni potrebbero essere inerenti e quindi rivelare lo stato di salute dei soggetti interessati, per cui rientrerebbero nei dati sensibili

60 60 I casi scolastici RIPRESE VIDEO E FOTOGRAFIE RACCOLTE DAI GENITORI DURANTE RECITE E SAGGI SCOLASTICI Il Garante ha rilevato che luso di videocamere o macchine fotografiche per documentare eventi scolastici e conservare ricordi dei propri figli non rientra nel concetto di privacy, poiché si tratta di immagini raccolte per fini personali, il cui uso è del tutto legittimo

61 61 I casi scolastici DATI SUL SITO WEB DI UNA SCUOLA I dati presenti sul sito web curato da una scuola e riferiti ad alunni disabili concretizzano un trattamento illegittimo, per cui il Garante non ha consentito la prosecuzione

62 62 I casi scolastici DATI CHE RIGUARDANO IL LAVORATORE Vige il principio della tenuta separata dei dati sensibili da quelli ordinari, in modo da garantire cautela e accorgimenti nella consultazione ordinaria.

63 63 I casi scolastici CEDOLINI DELLO STIPENDIO Nel cedolino vanno riportate le notizie indispensabili al lavoratore per ricostruire le fonti di entrata, ma non vanno indicate causali specifiche di trattenute, né la denominazione del sindacato a favore del quale è versata la ritenuta sindacale

64 64 I casi scolastici PROCEDURE DI CONCILIAZIONE OBBLIGATORIA Non è ammessa la comunicazione a soggetti non coinvolti nella procedura, trattandosi di comunicazione illecita, perché effettuata in mancanza di una specifica disposizione di legge e di regolamento che la consenta

65 65 I casi scolastici FONDO DI ISTITUTO la ripartizione del fondo può essere affissa allalbo rientrando nelle previsioni dellart. 112 del Codice in tema di adempimenti concernenti obblighi retributivi

66 66 2. Nellarticolo 2 del decreto legislativo 30 marzo 2001, n. 165, in materia di ordinamento del lavoro alle dipendenze delle amministrazioni pubbliche, dopo il comma 1 è inserito il seguente: 1-bis. I criteri di organizzazione di cui al presente articolo sono attuati nel rispetto della disciplina in materia di trattamento dei dati personali.. Richiamo alle norme esplicite del Codice

67 67 Il documento programmatico sulla sicurezza informatica

68 68 Parere del garante sugli obblighi di sicurezza e documento programmatico E stato confermato il principio secondo cui le misure minime, di importanza tale da indurre il legislatore a prevedere anche una sanzione penale, sono solo una parte degli accorgimenti obbligatori in materia di sicurezza Si distinguono due obblighi: a) lobbligo più generale di ridurre al minimo determinati rischi b) nellambito del predetto obbligo più generale, il dovere di adottare in ogni caso le misure minime

69 69 Parere del garante sugli obblighi di sicurezza e documento programmatico Le nuove misure minime : termini per ladozione Il Codice prevede ladozione di alcune misure indispensabili (minime), le cui modalità sono specificate tassativamente nellallegato B) del Codice

70 70 Parere del garante sugli obblighi di sicurezza e documento programmatico Il documento programmatico sulla sicurezza Si tratta di una misura minima Deve essere adottato dal titolare di un trattamento di dati sensibili o giudiziari effettuato con strumenti elettronici, attraverso lorgano, lufficio o persona fisica a ciò legittimata in base allordinamento aziendale o della pubblica amministrazione interessata

71 71 Parere del garante sugli obblighi di sicurezza e documento programmatico Relazione accompagnatoria al bilancio desercizio Rappresenta una nuova misura minima Il Codice ha introdotto questa nuova regola per rendere edotti gli organi di vertice del titolare del trattamento e responsabilizzarli in materia di sicurezza, attraverso lobbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circa lavvenuta redazione o aggiornamento del DPS

72 72 La struttura del dps 19.1 Elenco dei trattamenti di dati personali Informazioni essenziali Ulteriori elementi descrittivi

73 73 Informazioni essenziali

74 74 Ulteriori elementi descrittivi (da indicare facoltativamente)

75 75 La struttura del dps 19.2 distribuzione dei compiti e delle responsabilità In questa sezione vanno descritti sinteticamente lorganizzazione della struttura di riferimento, i compiti e le connesse responsabilità, in relazione ai trattamenti effettuati. Possono essere richiamati documenti già prodotti indicandone le modalità di reperimento Informazioni essenziali

76 76 Informazioni essenziali

77 77 La struttura del dps 19.3 analisi dei rischi che incombono sui dati Vanno descritti i gli eventi potenzialmente dannosi per la sicurezza dei dati e valutate le possibili conseguenze e la gravità in relazione al contesto fisico-ambientale di riferimento e agli strumenti elettronici utilizzati

78 78 Informazioni essenziali

79 79 Informazioni essenziali

80 80 La struttura del dps 19.4 misure in essere e da adottare In questa sezione vanno riportate sinteticamente le misure già praticate e da adottare per contrastare i rischi individuati. Per misura si intende lo specifico intervento tecnico ed organizzativo realizzato e le attività di monitoraggio e controllo essenziali per assicurarne lefficacia

81 81 19.4 misure in essere e da adottare Informazioni essenziali Misure: descrivere sinteticamente le misure adottate (seguendo anche le indicazioni contenute nelle altre regole dellAllegato B del Codice). Descrizione dei rischi: per ciascuna misura indicare sinteticamente i rischi che si intende contrastare (anche qui, si possono utilizzare le indicazioni fornite dallAllegato B). Trattamenti interessati: indicare i trattamenti interessati per ciascuna delle misure adottate. Determinate misure possono non essere riconducibili a specifici trattamenti o banche di dati (ad esempio, con riferimento alle misure per la protezione delle aree e dei locali). Occorre specificare se la misura è già in essere o da adottare, con eventuale indicazione, in tale ultimo caso, dei tempi previsti per la sua messa in opera. Struttura o persone addette alladozione: indicare la struttura o la persona responsabili o preposte alladozione delle misure indicate.

82 82 19.4 misure in essere e da adottare

83 83 19.4 misure in essere e da adottare

84 84 19.5 criteri e modalità di ripristino della disponibilità dei dati In questa sezione vanno descritti i criteri e le procedure adottati per il ripristino dei dati in caso di un loro danneggiamento. E quindi necessario che le copie dei dati siano disponibili e le procedure di reinstallazione efficaci.

85 85 19.5 criteri e modalità di ripristino della disponibilità dei dati Informazioni essenziali Per quanto riguarda il ripristino, le informazioni essenziali sono: Banca dati/Data base/Archivio: indicare la banca dati, il data base o larchivio interessati. Criteri e procedure per il salvataggio e il ripristino dei dati: descrivere sinteticamente le procedure e i criteri individuati per il salvataggio e il ripristino dei dati, con eventuale rinvio ad unulteriore scheda operativa o a documentazioni analoghe. Pianificazione delle prove di ripristino: indicare i tempi previsti per effettuare i test di efficacia delle procedure di salvataggio/ripristino dei dati adottate.

86 86 19.5 criteri e modalità di ripristino della disponibilità dei dati

87 87 19.5 criteri e modalità di ripristino della disponibilità dei dati Ulteriori elementi per specificare i criteri e le procedure per il salvataggio e il ripristino dei dati. Data base: identificare la banca, la base o larchivio elettronico di dati interessati. Criteri e procedure per il salvataggio dei dati: descrivere sinteticamente la tipologia di salvataggio e la frequenza con cui viene effettuato. Modalità di custodia delle copie: indicare il luogo fisico in cui sono custodite le copie dei dati salvate. Struttura o persona incaricata del salvataggio: indicare la struttura o le persone incaricate di effettuare il salvataggio e/o di controllarne lesito.

88 88 19.5 criteri e modalità di ripristino della disponibilità dei dati Da indicare facoltativamente

89 89 19.6 pianificazione degli interventi formativi previsti In questa sezione si descrive il piano formativo che si intende attuare Informazioni essenziali Descrizione sintetica degli interventi formativi: descrivere sinteticamente gli obiettivi e le modalità dellintervento formativo, in relazione a quanto previsto dalla regola 19.6 (ingresso in servizio o cambiamento di mansioni degli incaricati, introduzione di nuovi elaboratori, programmi o sistemi informatici, ecc). Classi di incarico o tipologie di incaricati interessati: individuare le classi omogenee di incarico a cui lintervento è destinato e/o le tipologie di incaricati interessati, anche in riferimento alle strutture di appartenenza. Tempi previsti: indicare i tempi previsti per lo svolgimento degli interventi formativi.

90 90 19.7 trattamenti affidati allesterno Va redatto un quadro sintetico delle attività affidate a terzi che comportano il trattamento di dati, indicando sinteticamente il quadro giuridico o contrattuale in cui tale trasferimento si inserisce, relativamente agli impegni assunti anche allesterno, per garantire la protezione dei dati

91 91 19.7 trattamenti affidati allesterno Descrizione dellattività esternalizzata: indicare sinteticamente lattività affidata allesterno. Trattamenti di dati interessati: indicare i trattamenti di dati, sensibili o giudiziari, effettuati nellambito della predetta attività. Soggetto esterno : indicare la società, lente o il consulente cui è stata affidata lattività, e il ruolo ricoperto agli effetti della disciplina sulla protezione dei dati personali (titolare o responsabile del trattamento). Descrizione dei criteri: perché sia garantito un adeguato trattamento dei dati è necessario che la società a cui viene affidato il trattamento rilasci specifiche dichiarazioni o documenti, oppure assuma alcuni impegni anche su base contrattuale, con particolare riferimento, ad esempio, a: 1. trattamento di dati ai soli fini dellespletamento dellincarico ricevuto; 2. adempimento degli obblighi previsti dal Codice per la protezione dei dati personali; 3. rispetto delle istruzioni specifiche eventualmente ricevute per il trattamento dei dati personali o integrazione delle procedure già in essere; 4. impegno a relazionare periodicamente sulle misure di sicurezza adottate –anche mediante eventuali questionari e liste di controllo- e ad informare immediatamente il titolare del trattamento in caso di situazioni anomale o di emergenze. Informazioni essenziali

92 92 19.8 cifratura dei dati o separazione dei dati identificativi Si tratta di unoperazione che riguarda esclusivamente gli operatori sanitari, poiché concerne le modalità di protezione adottate in relazione ai dati per cui è richiesta cifratura o la separazione fra dati identificativi e dati sensibili, oltre ai criteri per assicurare la sicurezza di tali trattamenti

93 93 La giurisprudenza

94 94 G. 074 - Documenti accessibili. Graduatoria soprannumerari TAR Campania - Napoli. - Sez. II - Sent. 475 - 06.11.1995 Alla richiesta di un insegnante di prendere visione della certificazione medico- sanitaria relativa alla situazione di handicap della madre di un collega - che così si avvale del beneficio della precedenza previsto dallart. 33 della legge n. 104/1992 e viene collocato in posizione migliore nella graduatoria interna dei docenti soprannumerari - non può essere opposto rifiuto genericamente facendo riferimento alla tutela della riservatezza del soggetto terzo. La riservatezza non appare, infatti, essere posizione da tutelare incondizionatamente ove confligga con lopposta esigenza di salvaguardia delle ragioni di trasparenza e pubblicità dellazione amministrativa, specie quando dalla conoscenza del documento il richiedente possa trarre elementi utili alla difesa di suoi specifici interessi giuridici.

95 95 - Modalità accesso. Soggetto richiedente TAR Sardegna. - Sent. n. 1764 - 13.11.1995 Colui che rivolge listanza di accesso allAmministrazione, se non è il diretto titolare della situazione giuridica tutelata, bensì è un soggetto che afferma di agire in sostituzione del titolare (quali che siano i poteri rappresentativi in base ai quali agisce), deve fornire allAmministrazione, perché questa sia tenuta a soddisfare la richiesta, la prova degli elementi su cui fonda la propria legittimazione speciale. (fattispecie di richiesta proveniente da procuratore legale, che dichiarava di agire in nome e per conto dellinteressato).

96 96 Documenti accessibili. Atto inesistente CdS Sez. VI - Sent. n. 1339 - 30.11.1995 Lesercizio del diritto di accesso presuppone lesistenza effettiva del documento di cui linteressato chiede di prendere visione. Il diritto, perciò, non può essere esercitato quando lesistenza del documento non solo non è provata dal richiedente, ma è del tutto smentita dallamministrazione

97 97 Modalità accesso. Richiesta generica CdS - Sez. IV - Sent. n. 980 - 05.12.1995 Una richiesta di accesso rivolta indistintamente agli atti relativi ad un certo periodo e motivata genericamente può essere legittimamente respinta, essendo oggettivamente preordinata ad un controllo generalizzato di tutta lattività dellamministrazione.

98 98 Legittimazione soggettiva. Posizione giuridica CdS Sez. IV - Sent. n. 982 - 05.12.1995 Linteresse giuridicamente rilevante che deve essere alla base di una richiesta di accesso ha portata notevolmente maggiore rispetto allinteresse legittimo in senso stretto riferito alla possibilità di impugnare un dato provvedimento, cioè di azionare in giudizio una pretesa. Laccesso, infatti, mira ad introdurre interessi secondari pubblici e privati e a rendere effettiva la trasparenza amministrativa.

99 99 - Modalità accesso. Invio documento a domicilio TAR Veneto. Sez. II - Sent. n. 1501 - 11.12.1995 Lamministrazione, a seguito di una generica richiesta di accesso a documenti amministrativi, comunica presso quale ufficio è possibile prendere visione degli stessi, senza che per essa possa configurarsi lobbligo di inviarli al domicilio del richiedente.

100 100 - Documenti accessibili. Documentazione clinica Com. Parere - 31.12.1995 Le cartelle ed ogni altra documentazione clinica sono riconducibili al concetto di documento amministrativo quale definito dallart. 22, comma 2. Della legge 241/1990, se si ha riguardo sia al requisito della provenienza da PA, sia al contenuto e allutilizzo delle stesse, in quanto le documentazioni cliniche possono essere oggetto di valutazione o verifica nellambito di procedimenti diretti allaccertamento della sussistenza di requisiti costitutivi di diritti soggettivi. Laccesso a tale documentazione è consentito esclusivamente al diretto interessato, ovvero a soggetto da lui espressamente delegato.

101 101 Documenti accessibili. Corrispondenza personale Com Parere - 31.12.1995 Nella nozione di documento amministrativo rientra la corrispondenza dellufficio e non quella di carattere esclusivamente personale (es. lettera personale del Ministro, nella quale si tratti anche di questioni dufficio), che resta perciò inaccessibile.

102 102 Documenti accessibili. Corrispondenza con avvocatura Stato Com Parere - 31.12.1995 La corrispondenza tra Amministrazione e Avvocatura dello Stato relativa agli affari contenziosi, nonché quella relativa agli affari consultivi concernenti liti attuali o potenziali, è inaccessibile, sia perché non costituisce documento amministrativo trattandosi di atti utilizzati a fini difensivi e non di attività amministrativa, sia perché è coperta dal segreto professionale.

103 103 Documenti accessibili. Concorso- Elaborati altrui Com Parere - 31.12.1995 Il problema dellaccesso agli elaborati di altri candidati in un concorso è oggetto di orientamenti difformi da parte della Commissione per laccesso e del Consiglio di Stato. La prima ha affermato che laccesso è consentito solo quando si prospetti un eccesso di potere in senso relativo (candidato che supera la prova, ma viene illegittimamente postergato da altri); il Consiglio di stato ritiene invece il pieno diritto di accedere sempre e comunque anche agli elaborati degli altri concorrenti, in quanto le illegittimità delle valutazioni possono essere accertate anche mediante raffronto tra gli elaborati. La Commissione prende atto del diverso orientamento del Consiglio di Stato.

104 104 Documenti accessibili. Atto già Pubblicato Com Parere - 31.12.1995 Per i documenti già pubblicati, depositati o soggetti a qualsiasi forma di pubblicità deve ritenersi già realizzato il diritto di accesso, salvo lobbligo dellAmministrazione di consentirne lacquisizione di copia.

105 105 - Documenti accessibili. Elaborati esami maturità Com Parere - 31.12.1995 I principi generali vigenti in materia di concorso per i pubblici impieghi sono applicabili per analogia alla richiesta avanzata da una candidata giudicata non idonea gli esami di maturità. Presupposto necessario per accedere agli elaborati degli altri candidati è che la richiesta di accesso si fondi sulla ipotesi di una macroscopica incongruenza di valutazione da parte della commissione, tale da superare il limite della insindacabilità del giudizio di merito, in quanto rivelante palese aberrazione e vizio di legittimità sotto il profilo delleccesso di potere; di qui lutilità del raffronto con i giudizi espressi nei confronti di altri candidati. La verifica va limitata ad alcuni soltanto degli altri elaborati, in quanto una verifica estesa a tutti si risolverebbe in una inammissibile riformulazione del giudizio rientrante nella competenza esclusiva della commissione giudicatrice. Poiché linteresse meritevole di tutela è rivolto a verificare che la commissione abbia adottato un uniforme e comune parametro di giudizio, non hanno rilevanza i nominativi degli autori degli elaborati i quali, pertanto, debbono rimanere anonimi.

106 106 - Modalità accesso. Esonero costi di Riproduzione Com Parere - 31.12.1995 Il principio di gratuità dellaccesso incontra limiti specifici nellonere di rimborso del costo di riproduzione dei documenti richiesti. per il rimborso dei costi non opera lesenzione sancita in generale per lesercizio dei diritti dei lavoratori dallart. 41 della legge n. 300/1970 e in particolare nellambito del processo del lavoro, dallart. 10 della legge n. 533/1973. Detta esenzione, infatti, si riferisce alle spese, non di natura fiscale, occorrenti per il compimento di atti processuali (es. notificazioni).

107 107 - Legittimazione soggettiva. Richiesta per motivi di studio Com Parere - 31.12.1995 Le richieste di accesso a documenti amministrativi giustificate da motivi di studio non configurano quellinteresse meritevole di tutela giuridica che è alla base dellaccesso tutelato dalla legge n. 241/1990. LAmministrazione, pertanto, in presenza di richieste giustificate da motivi di studio conserva il potere discrezionale di valutare caso per caso se accogliere o meno alle richieste medesime.

108 108 Documenti accessibili. Atto di trattamento economico dipendenti (in servizio o in quiescenza) Com Parere - 31.12.1995 I documenti amministrativi concernenti il trattamento economico tabellare spettante ad un pubblico dipendente in linea di massima non sono sottratti allaccesso, in quanto la retribuzione non è un dato riservato. Tuttavia, la conoscibilità di documentazione concernente la particolare situazione retributiva o trattamento in concreto erogato al dipendente (es. busta paga, cedolino stipendio; prospetti riepilogativi) può portare alla rilevazione di fatti o notizie personali che limpiegato può avere interesse a mantenere riservati (es. pignoramenti in atto; cessione quote stipendio). Pertanto nel concedere laccesso in presenza di specifico interesse giuridicamente rilevante, dai documenti devono essere cancellati i dati riservati stessi.

109 109 Documenti accessibili. Prove psico-attitudinali Com Parere - 31.12.1995 I documenti relativi a prove psicoattitudinali finalizzate allassunzione di personale sono inaccessibili se si riferiscono a soggetti determinati. Sono, invece, accessibili i criteri generali adottati in materia dalla commissione.

110 110 - Documenti accessibili. Verbali sedute organi collegiali Com Parere - 31.12.1995 Non si giustifica la sottrazione allaccesso per ragioni di riservatezza di tutti i verbali delle sedute di organi collegiali in quanto trattasi di documenti che non contengono necessariamente notizie rientranti tra quelle per le quali lart. 8, comma 5, del DPR 352/1992 tutela la riservatezza.

111 111 Documenti accessibili. Documenti e libri contabili Com Parere - 31.12.1995 Non si giustifica lesclusione dellaccesso di documenti e libri contabili, in considerazione dellinteresse pubblico alla piena trasparenza della gestione del pubblico denaro

112 112 - Modalità accesso. Diniego rilascio copie TAR Puglia- Bari. Sent. n. 49 - 27.01.1996 Il diritto di accesso riconosciuto al cittadino va contemperato con esigenze di funzionalità e buon andamento della PA e non può trasmodare in una emulativa pretesa ravvisabile nellalluvionalità delle richieste, recanti anche indicazioni generiche di riferimento quanto alla relativa documentazione. Il singolo non deve abusare del diritto, per non bloccare lattività della PA. Giustamente, quindi, può essere negata la fotocopiatura di numerosi incartamenti non suffragata da precipua motivazione. La PA, pertanto, pur consentendo la visione degli atti, può negare il rilascio di copia, motivando adeguatamente il rifiuto.

113 113 - Legittimazione soggettiva. Organizzazioni Sindacali DFP Nota n. 40 - 29.01.1996 Laccesso alla documentazione amministrativa consentito alle Organizzazioni sindacali dei lavoratori, in quanto portatrici di interessi collettivi e aventi quale fine statutario la tutela degli iscritti, non si configura come azione popolare finalizzata a svolgere un controllo globale sullattività dellamministrazione. Pertanto, per accedere a documenti lorganizzazione deve dimostrare la sussistenza di un interesse concreto ed attuale (anche di un singolo lavoratore) alla visione.

114 114 Legittimazione soggettiva - Dipendente- Interesse personale CdS- Sez. V- Sent. n. 362 - 14.04.1997 La giurisprudenza amministrativa ha da tempo chiarito che il diritto di accesso riconosciuto dellart. 22 della legge n. 241/1990 non si atteggia come una sorta di azione popolare diretta a consentire una forma di controllo generalizzato sullAmministrazione. Linteresse che legittima alla richiesta, da accertare caso per caso, deve essere personale e concreto, quindi serio, non emulativo, né riducibile a mera curiosità, oltre che ricollegabile alla persona dellistante da uno specifico nesso (cfr. art. 2, primo comma, D.P.R. 27 giugno 1992, n. 352), Deve, pertanto, sussistere una stretta connessione, di contenuto e temporale, del documento richiesto con linteresse che spinge linteressato a formulare la richiesta di accesso. È stato pure chiarito che il diritto di accesso non può essere azionato rispetto a situazioni divenute ormai definitive ed inoppugnabili e sulle quali lintervento del richiedente non può svolgere alcuna funzione neppure partecipativa ( cfr. CdS, Sez. VI, 13.6.1995 n. 588). Il dipendente, pertanto, non vanta alcun interesse qualificato alla indiscriminata visione di tutti gli atti dellAmministrazione di appartenenza, ma deve spiegare concretamente a cosa gli serve la documentazione richiesta.

115 115 Accesso in genere. Tutela della riservatezza CdS Sez. IV. - Sent. n. 82 - 04.02.1997 Il bilanciamento tra il diritto di accesso degli interessati ed il diritto alla riservatezza di terzi non è stato rimesso alla potestà regolamentare o alla discrezionalità delle singole amministrazioni, ma è stato compiuto direttamente dalla legge che, nel prevedere la tutela della riservatezza dei terzi, ha fatto salvo il diritto degli interessati alla visione degli atti relativi ai procedimenti amministrativi, la cui conoscenza sia necessaria per curare o per difendere i loro interessi giuridici (art. 24 della legge n. 241/1990 e art. 8 del reg. n. 352/1992). A nulla giova, quindi, invocare come causa di esclusione dellaccesso dei documenti la necessità di tutelare la riservatezza di terzi, giacché il diritto di difesa da parte dellinteressato prevale sul diritto alla riservatezza dei terzi.

116 116 Accesso in genere. Tutela della riservatezza CdS Sez. IV- Sent. n. 5 04.02.1997 La questione concernente il conflitto tra accesso e riservatezza va esaminata nei suoi profili generali, sottolineandosi che la gerarchia degli interessi appare chiaramente delineata del legislatore con norme primarie tassative, dalle quali è dato ricavare la prevalenza del diritto alla riservatezza come regola, e viceversa la prevalenza del diritto di accesso qualora venga in rilievo il fine di curare o difendere propri interessi giuridici (questione di diritto sulla quale esistono oscillazioni giurisprudenziali). La legge n. 241, nel disciplinare i rapporti fra cittadino e pubblica amministrazione, delinea un ordinamento ispirato, da un lato, allesigenza di unazione amministrativa celere ed efficiente e, dallaltro, ai principi di partecipazione dellamministrato e di conoscibilità del concreto svolgimento della funzione pubblica. Ciò al fine di assicurare, attraverso la salvaguardia del valore della "trasparenza", lefficienza dellamministrazione e, al contempo, la "garanzia" del privato e la "legalità" dellordinamento nel suo insieme. Il riconoscimento legislativo del principio di pubblicità dei documenti segna un totale cambiamento di prospettiva, perché comporta che se finora il segreto era la regola e la pubblicità leccezione, ora è vero il contrario. Di fronte allesercizio del diritto di accesso è la PA che deve giustificare il proprio rifiuto allaccesso, motivandolo con la necessità di proteggere mediante il segreto uno o più degli interessi previsti dal legislatore. (prima parte)

117 117 Il segreto amministrativo, cioè, non è più rapportato alla "qualità" della persona che lo detiene (elemento soggettivo e personale), bensì alla "qualità" delle informazioni protette da segreto. Nel segreto di nuovo tipo ciò che rileva è il rapporto delle informazioni con determinati interessi (elemento oggettivo e reale). Alla stregua dellart. 8, comma 5, del reg. n. 352/1992 laccesso, qualora venga in rilievo per la cura o la difesa di propri interessi giuridici, deve prevalere rispetto allesigenza di riservatezza del terzo. Anche se la norma non prevede che i documenti arrechino o possano arrecare un pregiudizio ovvero che dalla loro conoscenza possa derivare una lesione specifica e individuata, e ritiene sufficiente, ai fini di escluderne la conoscibilità, che i documenti "riguardino", si riferiscano in senso ampio alla vita privata o alla riservatezza, non sembra esservi dubbio che nel conflitto tra accesso e riservatezza dei terzi la normativa statale abbia dato prevalenza al primo, allorché sia necessario per curare o difendere i propri interessi giuridici. Sia la norma primaria (art. 24 della legge 241), sia la norma regolamentare (art. 8 del reg. n. 352/ 1992) hanno cercato di contemperare esigenze diverse, stabilendo che i richiedenti, di fronte a documenti che riguardano la vita privata o riservatezza di altri soggetti, non possono ottenere copia dei documenti, né trascriverli, ma possono solo prendere visione degli atti di quei procedimenti amministrativi che sono relativi ai loro interessi. Si deve, pertanto, concludere che linteresse alla riservatezza, tutelato dalla normativa mediante una limitazione del diritto di accesso, recede quando laccesso stesso sia esercitato per la difesa di un interesse giuridico, nei limiti in cui esso è necessario alla difesa di quellinteresse. La cura o la difesa dei propri interessi giuridici costituiscono sia il presupposto per il diritto di prendere visione degli atti, altrimenti non accessibili, che il limite della loro utilizzabilità, che non può andare oltre le finalità previste dalla normativa per la deroga alla sottrazione allaccesso. (seconda parte)