Decreto legge 9 febbraio 2012: scompare il DPS, ma attenzione alle altre misure di sicurezza!

Il Decreto sulle Semplificazioni, attualmente in fase di conversione, elimina la "fotografia della privacy aziendale". Le imprese, a partire da quest'anno, non saranno più tenute alla redazione del documento programmatico della sicurezza. Ma attenzione! La circostanza che non esiste più l'obbligo di redazione annuale del DPS non significa che non dovranno essere rispettate più le misure di sicurezza! Al riguardo si rammenta, infatti, che permane l'applicazione delle misure di sicurezza contenute nel disciplinate tecnico di cui all'allegato B) al Codice Privacy, ovvero:a) Sistema di autenticazione informatica
Il trattamento di dati personali con strumenti elettronici è consentito soltanto a soggetti dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.
Le credenziali di autenticazione consistono in un codice per l'identificazione dell'incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell'incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell'incaricato, eventualmente associata a un codice identificativo o a una parola chiave.
La parola chiave è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa è modificata almeno ogni sei mesi.
Le disposizioni sul sistema di autenticazione di cui ai precedenti punti e quelle sul sistema di autorizzazione non si applicano ai trattamenti dei dati personali destinati alla diffusione.
b) Altre misure di sicurezza
I dati personali sono protetti contro il rischio di intrusione e dell'azione di programmi di cui all'art. 615-quinquies del codice penale, mediante l'attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale.
Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente.
c) Misure di tutela e garanzia
Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico. In sostanza, anche se non dovrà più essere redatto, il dps rimarrà utilmente nelle aziende anche sotto altra forma.  Ciascuna azienda dovrà disporre comunque di una documentazione interna in cui siano contenuti:

• l'elenco dei trattamenti di dati personali;
• la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati;
• l'analisi dei rischi che incombono sui dati;
• le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità;
• la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento;
• la previsione di interventi formativi degli incaricati del trattamento dei dati;
• la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati all'esterno della struttura del titolare;
•  l'individuazione dei criteri da adottare per la cifratura o per la separazione dei dati sensibili dagli altri dati personali dell'interessato.