Documento Programmatico sulla sicurezza e relazione accompagnatoria al bilancio

Il Codice sulla privacy ha introdotto una nuova regola per rendere meglio edotti gli organi di vertice del titolare del trattamento e responsabilizzarli in materia di sicurezza, attraverso l’obbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circa l’avvenuta redazione o aggiornamento del DPS che sia obbligatorio come misura “minima” o che sia stato comunque adottato (regola 26 Allegato B).

Le scelte di fondo sulle modalità di trattamento sotto il profilo della sicurezza competono alle persone e agli organi legittimati ad adottare decisioni ed esprimere a vari livelli, in base al proprio ordinamento interno, la volontà della società, ente o altro organismo titolare del trattamento (art. 4, comma 1, lett. f), del Codice).

Anche questa menzione rappresenta una misura “minima” nuova, indicata tra quelle di “tutela e garanzia” (regole 25 e 26).
I soggetti pubblici e privati tenuti in passato a predisporre o aggiornare il DPS, e che per il 2004 possono come detto aggiornarlo entro il 30 giugno, dovranno riferire secondo la regola 26 già a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS già eventualmente aggiornato per il 2004, oppure menzionando l’adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiornerà il DPS entro il 30 giugno 2004.

I soggetti pubblici e privati tenuti invece per la prima volta a redigere il DPS nel 2004 (come si è detto entro il 30 giugno), non devono indicare nella relazione alcunché se il DPS 2003 o il DPS 2004 non sono stati adottati. I medesimi soggetti, qualora alla data in cui predispongono la predetta relazione abbiano redatto già il DPS 2004, indicheranno invece tale circostanza; potranno infine indicare facoltativamente quanto eventualmente già fatto nel 2003 e, sempre facoltativamente, l’aggiornamento 2004 in itinere.

Comments(0)

Riferimento al Documento Programmatico sulla Sicurezza, dove?

tratto da un articolo di Andrea Lisi www.scint.it

La domanda è “vi è l’obbligo di citare il DPS (circa la sua redazione o aggiornamento) nella “nota integrativa al bilancio di esercizio” (ex 2427 c.c.) o l’obbligo di citazione del DPS è previsto solo nella “relazione sulla gestione” (ex art. 2428 c.c.), documento necessario per le sole società di capitali che devono redigere il bilancio in forma ordinaria ed escludendo così dalla previsione del punto 26 dell’allegato B i bilanci che vengono redatti in forma abbreviata (e non contenenti, quindi, la relazione sulla gestione). L’allegato B al Codice della Privacy infatti, al punto 26, semplicemente afferma che “il titolare riferisce, nella relazione accompagnatoria del bilancio d’esercizio, se dovuta, dell’avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza”, senza però specificare cosa debba intendersi per “relazione accompagnatoria” (tenuto in considerazione che il codice civile italiano, pur con la intervenuta riforma di diritto societario, considera espressamente solo le figure della “nota integrativa” al bilancio d’esercizio - art. 2427 c.c. - o della “relazione sulla gestione” – 2428 c.c.). E, inoltre, ci chiediamo ancora: l’obbligatoria annotazione del DPS nella “relazione accompagnatoria” costituisce una misura minima nuova oppure no?

Dubbi e possibili soluzioni: il Garante per la Protezione dei dati personali, nel suo parere del 22 Marzo 2004 reso su sollecitazione di Confindustria (ed acquisibile sul sito del Garante alla pagina http://www.garanteprivacy.it/), in proposito si è limitato a dire che l’obbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circal’avvenuta redazione o aggiornamento del DPS, inteso come misura minima, serve ad informare gli organi di vertice del titolare del trattamento, per responsabilizzarlo in materia di sicurezza. Inoltre, chi ha già predisposto in passato il DPS dovrà eventualmente aggiornarlo e riferire secondo quanto richiesto dall’art. 26 dell’Allegato B. I soggetti pubblici e privati tenuti, invece, per la prima volta a redigere il DPS non devono indicare nella relazione alcunché se il DPS 2003 o il DPS 2004 non sono stati adottati. In ogni caso, secondo il Garante anche questa menzione rappresenta una misura “minima” nuova, indicata tra quelle di “tutela e garanzia” (regole 25 e 26 dell’allegato B).

Questo parere del Garante pone dei seri dubbi interpretativi sia perché non chiarisce cosa si intenda per “relazione accompagnatoria”.

Rileggendo l’articolo 26 dell’Allegato B, ciò che, quindi, risulta difficile comprendere è in quale parte del bilancio deve essere obbligatoriamente riportata l’indicazione del DPS (nella “relazione sulla gestione” o nella “nota integrativa”?).

Il Garante nel suo parere crea confusione nella confusione dicendo, invece, che la menzione deve essere sempre fatta da tutti quei soggetti (pubblici e privati) già tenuti in passato a predisporre o aggiornare il DPS, i quali “dovranno riferire secondo la regola 26 già a partire dalla relazione sul bilancio di esercizio per il 2003, con riferimento al DPS già eventualmente aggiornato per il 2004, oppure menzionando l’adozione o aggiornamento avvenuto nel 2003 e indicando sinteticamente che si aggiornerà il DPS” entro, (secondo l’ultima proroga), il 31 dicembre 2005!

Non si comprende perché il Garante abbia voluto operare questa differenziazione rispetto al regime transitorio; invece, sarebbe stato certamente più corretto e lineare uniformare la proroga a tutti gli adempimenti da considerarsi “misure minime nuove”. E, inoltre, in base al ragionamento del Garante ci chiediamo: tutte quelle società che non hanno menzionato il DPS o il suo aggiornamento nelle precedenti “relazioni accompagnatorie” ai loro bilanci di esercizio avrebbero pertanto violato l’art. 169 del Codice e rischierebbero, forse, pesanti sanzioni penali?? Dopo tutte queste domande e premesse, cerchiamo adesso quanto meno di chiarire cosa si debba intendere, amio modesto avviso, per “Relazione accompagnatoria”:- considerata la differente natura della nota integrativa (sempre presente in qualsiasi bilancio sia in forma ordinaria sia in forma abbreviata) e della relazione di gestione (che è prevista obbligatoriamente solo per il bilancio in forma ordinaria, secondo il comma 5 dell’art 2435 bis c.c.); - considerato che il legislatore, quando afferma nell’allegato B (al punto 26) che “il titolare riferisce, nella relazione accompagnatoria del bilancio d’esercizio, SE DOVUTA”, sembrerebbe riferirsi ad un documento accompagnatorio del bilancio dovuto solo in alcune circostanze; l’obbligo di cui al punto 26 sembrerebbe ascrivibile solo in capo a quelle società che saranno tenute ex lege alla redazione del bilancio d’esercizio in forma ordinaria; e quindi l’indicazione relativa all’adozione del DPS (o al suo intervenuto aggiornamento) andrebbe inserita obbligatoriamente nella sola relazione di gestione prevista dall’art. 2428 c.c. (chiamata “atecnicamente” dal legislatore “relazione accompagnatoria”).Ovviamente si tratta solo di una possibile interpretazione che al momento non è suffragata da riferimenti giurisprudenziali o da pareri e provvedimenti del Garante idonei a fare luce in questo caos normativo).

Comunque, al di là dei dubbi interpretativi si spera che il “Nuovo Garante Privacy” possa nuovamente ein maniera autorevole richiamare tutti (professionisti, imprese, pubbliche amministrazioni) ad una maggiore attenzione verso le norme del Codice sulla protezione dei dati personali già operative e verso quelle norme che entreranno in vigore a breve e soprattutto che si impegni a non permettere ulteriori proroghe che servirebbero solo a ridicolizzare ancora una volta questa normativa e a farla dissolvere in un sentimento diffuso di inoperatività/inutilità. Infatti, sebbene tali proroghe siano state emanate al fine di consentire a tutti l’adeguamento alla nuova normativa, tenendo conto anche delle notevoli difficoltà organizzative che certamente si possono incontrare nell’implementazione strategica delle recenti regole, non bisogna dimenticare che un livello di sicurezza minimo/adeguato per i dati personali che quotidianamente vengono trattati deve essere comunque e sempre garantito. Sarebbe, quindi, auspicabile che in un prossimo futuro, grazie ad una corretta campagna di informazione, chiunque tratti dati personali si impegni a seguire le norme e le specifiche procedure dettate dal Codice per un profondo rispetto verso il proprio cliente/utente e a prescindere da eventuali ulteriori proroghe stabilite da uno schizofrenico legislatore…ma questa, si sa, è una chimera inseguita da qualche paranoico Don Chisciotte il quale ancora spera che un briciolo di privacy possa comunque esistere nell’evoluzione della Società dell’Informazione!

Comments(0)

Cinque punti da chiarire sul documento programmatico privacy

1) Si chiama correttamente documento programmatico sulla tutela dei dati personali (non si deve tutelare solo la sicurezza ma anche la disponibilità e l’integrità dei dati personali);

2) Il documento programmatico sulla sicurezza non è la sicurezza, una volta redatto se resta lettera morta, non tutela nessuno in caso di ispezioni/controlli;

3) Data certa? Non c’è scritto da nessuna parte ma un’autoprestazione postale costa poco e garantisce molto;

4) Analisi dei rischi, come? Non c’è una metodologia approvata, utili le direttive del CNIPA e lo standard BS;

5) Contromisure, bilanciare efficienza e risparmio. Ci sono soluzioni creative validissime, programmi open source per quasi tutto, un buon amministratore di sistema è in grado di risolvere tanti problemi tecnici a costo zero. Un consulente che abbia almeno 5 anni di esperienza dimostrabile sul campo è il minimo. Chiedete referenze è la soluzione migliore.

Comments(0)

Documento Programmatico, una proposta del Garante

Il Garante Privacy ha redatto una guida per redigere il documento programmatico sulla sicurezza, destinata soprattutto alle piccole realtà aziendali. 

La guida risale al giugno 2004 ed è utilizzabile facoltativamente.

Per consultarla

www.garanteprivacy.it/garante/navig/jsp/index.jsp?folderpath=Fac-simile+e+adempimenti%2FDocumento+programmatico+sulla+sicurezza

Comments(0)

Riflessioni sulla corsa all’adeguamento privacy

Articolo di Andrea Lisi e Graziano Garrisi  www.studiodl.it
 
Poco più di un mese è trascorso dalla tanto temuta “entrata in vigore delle nuove norme” (così si sentiva dire purtroppo in quei giorni…) in tema di privacy e già ci troviamo alle prese con i primi bilanci e le prime riflessioni. Come è noto, infatti, il 31 marzo scorso imprese, liberi professionisti e pubbliche amministrazioni si sono, bene o male, adeguati a quelle misure minime di sicurezza previste dall’art. 34 del D.Lgs. 196/2003, fra le quali rientra il tanto discusso Documento Programmatico sulla Sicurezza: la sua tormentata redazione, infatti, ha messo in crisi soprattutto i professionisti e i piccoli imprenditori che, vuoi per mancanza di informazione, vuoi per disinteresse nella materia, si sono trovati a dover fare i conti con una realtà del tutto nuova e inaspettata. Attraverso una puntuale applicazione della disciplina contenuta nel “Codice Privacy”, i professionisti e gli imprenditori avrebbero dovuto sviluppare, infatti, un forte cambiamento nella loro struttura operativa e, quindi, gestire diversamente e in maniera più efficace e sicura tutte le risorse interne.

Ciò che è successo veramente e che è davanti agli occhi di tutti è stata una corsa sfrenata a mettersi in regola e ad accaparrarsi l’ultima “offerta privacy” più conveniente sviluppata da qualche “consulente privacy” dell’ultimo minuto (ne sono nati come funghi e con offerte sempre più stracciate!). Il tutto si è ridotto ad una compilazione frettolosa del documento programmatico della sicurezza (alcune volte affidata addirittura ad un miracoloso software!) e – se andava bene - di qualche informativa magari inviata successivamente al trattamento (in sicura violazione dell’art. 13 del D. Lgs. 196/2003)!

Quello che dieci anni di normativa non sono riusciti a far comprendere, infatti, è che “privacy” (anzi, meglio, “corretto trattamento di dati personali”) non è sinonimo di compilazione del DPS (o DPSS o DS, come abbiamo sentito dire in questi mesi da autorevoli esperti della materia!) e, per adeguarsi alle nuove norme sulle misure minime di sicurezza, non basta una inconsapevole e svogliata compilazione di qualche documento o un timido riassetto delle attrezzature hardware e software interne: la sicurezza non si compra in scatola e gli strumenti informatici da soli non bastano! Il trattamento corretto e sicuro di un dato personale, infatti, non è un prodotto che si acquista al supermercato, ma è un corretto processo da avviare necessariamente nella propria struttura per non subire inconsapevolmente i rischi della digitalizzazione che stiamo vivendo…

Per avviare questo processo occorre, quindi, guardare dentro la propria struttura, osservare con attenzione i tanti “flussi di dati” che vengono sviluppati al suo interno, prestare molta attenzione sulle procedure con cui si effettuano i trattamenti e riconsiderare o modificare tante vecchie abitudini, uniformandosi gradualmente a ciò che il D.Lgs. 196/2003 richiede e non solo a quanto riferito nell’Allegato B, con una visione prospettica sia giuridica, sia informatica. I rischi della Società dell’informazione possono essere superiori ai vantaggi, se non ci prenderemo la briga di studiare con attenzione i cambiamenti che ci riguardano e, quindi, di considerare gli strumenti informatici non come dei giocattolini con cui si fa più in fretta qualche lavoro, ma come dei potenti e pericolosi mezzi che vanno guidati con attenzione e con cognizione di causa. Questo il legislatore ha cercato di riferirci con una normativa, certamente farraginosa e migliorabile, ma da prendere in considerazione e non certo da ignorare nella sostanza

Comments(0)