|
Dunque, alla fine, il termine per l'adozione delle "nuove"
misure minime di sicurezza è stato nuovamente differito. Si vedano al riguardo
l'articolo di Paolo Ricchiuto dell'11 novembre ed
il gustoso articolo di Corrado Giustozzi del 15, su
questa rivista.
Come giustamente osservato, si tratta di una "proroga della proroga" che ha
creato, tra coloro che sono obbligati ad implementare le misure di sicurezza, un
certo disorientamento e confusione.
Siamo veramente sicuri che la "proroga della proroga" dia
corso ad una proroga effettiva dell'applicazione della privacy?
Qualche chiarimento a beneficio di chi deve applicare le norme è forse utile.
In primo luogo, occorre ricordare che la proroga dei termini per l'adozione
delle "nuove" misure di sicurezza non significa minimamente inosservanza o
dilazione dell'applicazione delle disposizioni in materia di privacy da
parte di coloro che effettuano operazioni di trattamento di dati personali.
Al contrario, dal 1° gennaio 2004, data d'entrata in vigore del Codice
Privacy, la disciplina della tutela dei dati personali ha acquistato ancor più
rilevanza e importanza nella realtà attuale. Quindi non si tratta di una
proroga dell'attuazione della disciplina in materia di protezione dei dati
personali, che anzi si sta ulteriormente completando con i codici di deontologia
professionale.
Operatori ed imprese attenzione: la disciplina codicistica in
materia di trattamento dei dati personali è pienamente in vigore da circa un
anno! (senza considerare il regime della 675/96).
In secondo luogo, occorre osservare che il Codice Privacy ha
ampliato e aggiornato l'elenco delle misure minime già obbligatorie per legge
prima dell'entrata in vigore del Codice. Ciò vuol dire che il termine
transitorio del 30 giugno 2005 si riferisce esclusivamente alle nuove
misure minime di sicurezza che devono essere applicate e non a quelle che erano già
obbligatorie in passato in base al DPR 318/99 e che dovevano essere adottate
al massimo entro il 31 dicembre 2000 (cioè quasi quattro anni orsono).
Particolare attenzione merita il documento programmatico
sulla sicurezza, che la precedente disciplina già prevedeva tra le misure
minime, e che doveva essere redatto - a norme tuttora vigenti - solo in caso
di trattamento di dati sensibili o giudiziari effettuato per mezzo di "elaboratori
accessibili mediante reti di telecomunicazioni disponibili al pubblico".
Oggi, con la normativa del Codice, oltre a qualche piccola
modifica nella struttura, l'obbligo di redazione del documento programmatico
sulla sicurezza è esteso a carico di tutti soggetti che trattano dati sensibili
o giudiziari mediante un sistema automatizzato, indipendentemente dalla
tipologia di collegamento (quindi anche quelli stand alone o collegati
mediante local area network).
Anche in questo caso, operatori ed imprese attenzione:
occorre analizzare le situazioni in dettaglio per capire se la proroga è
realmente applicabile o se si tratta di un adempimento già dovuto, seppur nella
formulazione precedente.
A questo punto tenuto conto della seconda proroga, il termine
ultimo di adempimento per tutti coloro che sono tenuti a redigere per la prima
volta il documento programmatico sulla sicurezza diviene il 30 giugno 2005, mentre
l'obbligo di aggiornamento annuale comincerà a decorrere a partire dal 31
marzo 2006.
Diversamente, per tutti coloro i quali l'obbligo di redazione del
documento programmatico per la sicurezza vigeva già in precedenza, si
applicherà l'obbligo di aggiornamento secondo la scadenza prevista, già al
31 marzo 2005.
Sempre alla luce della proroga approvata, si può discutere
se "la menzione nella relazione accompagnatoria del bilancio, se dovuta, dell'avvenuta
redazione o aggiornamento del documento programmatico sulla sicurezza" sia
dovuta già in occasione dell'approvazione del bilancio chiuso al 31 dicembre
2004, e quindi nella relazione che verrà approvata entro aprile 2005.
Se si ritiene, come mi sembra corretto, che la regola in
questione sia una "nuova" misura di sicurezza, allora si dovrebbe
concludere, nonostante il parere del Garante reso alla Confindustria lo scorso
22 marzo, che tale menzione sarà dovuta solo dopo l'entrata in vigore dell'obbligo
e quindi dopo il 30 giugno 2005 (quindi nella relazione approvata, sempre per
chi chiude il bilancio a fine anno solare, ad aprile 2006).
Forse non si tratta proprio di un "libera tutti" (fino al
30 giugno) anche se la privacy effettivamente gioca un po' a nascondino.
|
Pagina stampabile
