In vista della nuova imminente scadenza al 31 Marzo 2006 per l'adozione delle misure minime di sicurezza, è bene far luce su un falso dilemma, che continua a perpetuarsi come un rituale nel tempo: ?il Problema della Data Certa del Documento Programmatico sulla Sicurezza?.
Nonostante le più svariate teorie e tendenze scaramantiche, che impongono a molti l'applicazione del principio relativo che ?nel dubbio tra fare e non fare, è sempre meglio fare?, vorrei finalmente ed in maniera esaustiva risolvere la questione della data certa, partendo da argomentazioni storiche e giuridiche, per delineare poi, il quadro normativo e le linee guida da seguire.
I ? DECRETO LEGGE 273/05: LE MISURE MINIME DI SICUREZZA PROROGATE
Il D.L. 30 dicembre 2005, n. 273 differisce i termini, previsti nell' art. 180 del D.lgs 196/03 (Codice Privacy), relativi alle scadenze per l'adozione delle ?nuove misure minime di sicurezza? per soggetti pubblici e privati.
Le misure minime di sicurezza, a cui si riferisce il Decreto Legge, sono quelle previste dagli articoli 33, 34 e 35 indicati analiticamente nelle 29 regole incluse nell'Allegato B) del Codice Privacy ovvero:
Ø Per il trattamento di dati personali con strumenti elettronici:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.
Ø Per il trattamento di dati personali senza l'ausilio di strumenti elettronici:
a) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati o alle unità organizzative;
b) previsione di procedure per un'idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti;
c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all'identificazione degli incaricati.
II ? DECRETO LEGGE 273/05: I NUOVI TERMINI DI SCADENZA
Per quanto riguarda, i termini di scadenza per l'adozione delle misure minime di sicurezza, il Decreto Legge fa riferimento al su citato articolo 180 del Codice Privacy.
Questo articolo prevede due ipotesi di termini di scadenza:
Ø 31 Marzo 2006 ? per l'adozione delle misure minime previste dagli articoli 33, 34 e 35 del Codice Privacy (tra cui la redazione del Documento Programmatico sulla Sicurezza)
Ø 30 Giugno 2006 ? per l'applicazione delle misure minime previste dall'articolo 34 del Codice Privacy (esclusivamente per i titolari che comprovino di essere impossibilitati per obiettive ragioni tecniche all'applicazione entro il 31 Marzo 2006)
III - EXCURSUS STORICO
Con l'introduzione del ?Decreto legislativo 30 giugno 2003, n. 196 - Codice in materia di protezione dei dati personali (Codice Privacy)?, il legislatore ha provveduto ad aggiornare l'elenco delle "misure minime" previste dagli articoli 15 e 41 della legge n. 675/1996, dal D.P.R. n. 318/1999 e dalla legge n. 325/2000.
Analogamente a quanto avveniva in passato, per le nuove misure minime, ha inoltre previsto dei termini transitori per la loro adozione, specificati nell'articolo 180 del Codice Privacy.
Il termine transitorio inizialmente previsto per l'adeguamento alle nuove misure minime era stato fissato entro il 30 giugno 2004; Il legislatore aveva però previsto anche la possibilità di avvalersi di un periodo più ampio (fino al 1° gennaio 2005) in caso di obiettive ragioni di natura tecnica, tali da non consentire l'applicazione immediata, in tutto o in parte, delle nuove misure minime; il titolare che voleva avvalersi di tale possibilità doveva documentare le motivazioni in un atto a data certa da redigere entro il 30 giugno 2004.
A seguito delle successive proroghe, i suddetti termini sono stati rispettivamente spostati al 31 Marzo 2006 (Adozione Misure Minime) ed al 30 Giugno 2006 (Applicazione Misure Minime in caso di problemi di natura tecnica).
IV - DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (DPS)
Tra le misure minime previste dal Codice Privacy rientra anche la redazione del ?Documento Programmatico sulla Sicurezza (DPS); il DPS è una "misura minima non nuova?, sebbene sia aumentato il numero dei soggetti che deve redigerlo e ne sia parzialmente variato il contenuto.
Infatti, la precedente disciplina già prevedeva l'obbligo di predisporre e aggiornare il DPS, in caso di trattamento di dati sensibili o giudiziari effettuato mediante elaboratori secondo quanto previsto dagli articoli 22 e 24 della L. n. 675/1996 e l'articolo 6 del D.P.R. n. 318/1999.
I soggetti inizialmente tenuti a predisporre il DPS avevano l'obbligo di redigerlo entro il 29 marzo 2000 o, al più tardi, entro il 31 dicembre 2000 secondo quanto previsto dalla L. n. 325/2000.
La legge 325/2000 disponeva, infatti, che le misure di sicurezza previste dal decreto del Presidente della Repubblica 28 luglio 1999, n. 318, potevano essere adottate entro il 31 dicembre 2000 solamente da soggetti che avessero documentato per iscritto le particolari esigenze tecniche e organizzative che rendeva necessario avvalersi di un termine più ampio di quello previsto dall'articolo 41, comma 3, della legge n. 675 del 1996.
Con l'entrata in vigore del Codice Privacy il termine transitorio iniziale entro cui redigere il ?Nuovo DPS? era stato fissato nel 30 giugno 2004.
A seguito delle successive proroghe, il suddetto termine è stato spostato al 31 Marzo 2006
V ? ATTO A DATA CERTA
Sia nel D.Lgs 196/03 che nella Legge n. 325/2000, il legislatore aveva previsto la possibilità per i titolari, di avvalersi di un periodo transitorio ulteriore per l'applicazione delle misure minime adottate per il trattamento con strumenti elettronici.
Al fine di poter disporre di questa opportunità, il titolare del trattamento deve redigere un documento ?a data certa?, che deve contenere una esposizione sintetica delle esigenze tecniche ed organizzative, che hanno reso necessario avvalersi, per le misure minime, di un termine più ampio rispetto a quello previsto.
Il titolare del trattamento, a tal fine, deve indicare nel ?atto a data certa? le informazioni necessarie a definire:
Ø "gli accorgimenti da adottare o già adottati e gli elementi che caratterizzano il programma di adeguamento, nonché le singole fasi in cui esso è eventualmente ripartito";
Ø "le linee-guida previste per dare piena attuazione alle misure minime di sicurezza, ..., nonché alle più ampie misure di sicurezza previste ".
Per quanto riguarda le modalità per far risultare una "data certa" si dovrà applicare la disciplina civilistica in materia di prova documentale prevista dagli articoli 2702 - 2704 del codice civile, i quali recano un'elencazione non esaustiva degli strumenti per attribuire data certa ai documenti, consentendo di provare tale data anche in riferimento a ogni "fatto che stabilisca in modo egualmente certo l'anteriorità della formazione del documento" (art. 2704, terzo comma, Codice Civile).
I principali strumenti idonei ad assegnare al documento una data certa utilizzabili sono:
Ø ricorso alla c.d. "autoprestazione" presso uffici postali prevista dall'art. 8 del d.lg. 22 luglio 1999, n. 261, con apposizione del timbro direttamente sul documento avente corpo unico, anziché sull'involucro che lo contiene;
Ø in particolare per le amministrazioni pubbliche, adozione di un atto deliberativo di cui sia certa la data in base alla disciplina della formazione, numerazione e pubblicazione dell'atto;
Ø apposizione della c.d. marca temporale sui documenti informatici (art. 15, comma 2, legge 15 marzo 1997, n. 59; d.P.R. 10 novembre 1997, n. 513; artt. 52 ss. d.P.C.M. 8 febbraio 1999);
Ø apposizione di autentica, deposito del documento o vidimazione di un verbale, in conformità alla legge notarile; formazione di un atto pubblico;
Ø registrazione o produzione del documento a norma di legge presso un ufficio pubblico.
In materia di "misure minime", anche quando si rediga il documento a data certa, non va effettuata alcuna comunicazione al Garante.
VI ? ?ATTO A DATA CERTA? E ?DPS? A CONFRONTO
La possibilità di avvalersi di questa ulteriore proroga, per l'implementazione delle misure minime, ha creato però notevoli problemi interpretativi da parte dei titolari, sia relativamente ai termini da rispettare che ai documenti da redigere. L'errore più comunemente riscontrato finora, infatti, è quello di confondere il DPS con ?l'atto a data certa?.
Come specificato dal Garante in un parere del 5 Dicembre 2000:?il documento previsto dalla legge n. 325/2000 va distinto dal documento programmatico sulla sicurezza disciplinato dall'art. 6 del d.P.R. n. 318/1999.?
La redazione del DPS è un obbligo legislativo, la cui violazione costituisce reato, punibile con l'arresto sino a due anni o l'ammenda da 10 mila euro a 50 mila euro, come previsto dall'articolo 169 del Codice Privacy.
La redazione dell' atto a data certa, invece, è facoltativo e non è direttamente rilevante ai fini della responsabilità civile per danno derivante da mancata o inidonea adozione di misure di sicurezza, essendo utile, solo ai titolari del trattamento che intendano beneficiare di un differimento del termine per adottare le misure minime di sicurezza.
Dal punto di vista normativo i due documenti sono differenti ed hanno origine da fonti normative diverse:
Ø ?L'atto a data certa? è previsto dall' articolo 1 della Legge 3 novembre 2000, n. 325 e dall'articolo 180 comma 2 e 3 ?del Decreto Legislativo 30 giugno 2003, n. 196.
Ø Il DPS è previsto dall'articolo 6 del Decreto del Presidente della Repubblica 28 luglio 1999, n. 318; dall'articolo 34 comma 1 punto g) del Decreto Legislativo 30 giugno 2003, n. 196; dalla regola 19 dell' Allegato B) - Decreto Legislativo 30 giugno 2003, n. 196.
I due documenti hanno, inoltre, anche finalità e modalità di redazione completamente differenti:
Ø Il DPS serve per definire le misure minime che il titolare intende adottare per il trattamento dei dati personali con strumenti elettronici. Esso va aggiornato entro il 31 Marzo di ogni anno.
Ø ?L'Atto a data certa? serve invece, per avere ulteriori tre mesi di tempo per implementare quanto previsto dal DPS o stabilito in sede di definizione delle misure minime da adottare. Esso va redatto una sola volta ed esclusivamente secondo i termini e le modalità previste dall'articolo 180 del Codice Privacy.
VI ? CONCLUSIONI
Come si evince da quanto finora descritto, il problema della data certa nasce da un'errata interpretazione dei testi legislativi.
Infatti non risulta da alcuna fonte normativa che il Documento Programmatico sulla Sicurezza debba avere data certa, mentre è in più parti previsto che l'atto necessario a comprovare il differimento per problemi tecnici, necessiti di data certa.
Il problema della data certa risulta perciò facilmente risolvibile, attribuendo questo obbligo esclusivamente al documento che il titolare deve redigere per avvalersi del periodo trimestrale di differimento per l'implementazione delle misure minime di sicurezza adottate.
A supporto di questa tesi sono rinvenibili, tra le varie fonti normative, le seguenti argomentazioni:
Ø Gli articoli 33, 34, 35 e la regola 19 dell'allegato B) del D.lgs 196/03 non fanno menzione alcuna della necessità di una data certa per il DPS; ma impongono al titolare solo dell'obbligo di redigerlo e tenerlo aggiornato.
Ø L'articolo 180 del D.lgs 196/03 non cita trai documenti che devono avere data certa il DPS.
Ø L'articolo 157 del Codice Privacy prevede in sede di accertamento ispettivo il titolare debba semplicemente esibire i documenti richiesti.
Ø Il DPS è un documento che il titolare è obbligato a redigere ed aggiornare a dimostrazione delle misure minime adottate per il trattamento di dati personali; Il DPS, pertanto sarà semplicemente soggetto a quanto previsto dall'articolo 2702 del Codice Civile, in materia di efficacia della scrittura privata.
Ø La regola 26 dell'allegato B) del Codice Privacy prevede che il titolare ha l'obbligo di riferire nella relazione di accompagnamento a ciascun bilancio di esercizio circa l'avvenuta redazione o aggiornamento del DPS che sia obbligatorio come misura "minima" o che sia stato comunque adottato. Pertanto già di per sé questo obbligo può dare una connotazione di data certa al fatto che il DPS sia stato redatto od aggiornato; questo riferimento può perciò, essere sicuramente utilizzato in contenzioso per dimostrare di aver correttamente ottemperato alla norma.
Visita il sito dell'autore: www.eucs.it
Autore: Eric Falzone