Codice della privacy (Dlgs 196/2003)

Il Dlgs 196/2003ha il titolo di “Codice in materia di protezione dei dati personali” e accorpa la normativa precedentemente in vigore (L. 675/96, DPR 318/99, vari dlgs di adeguamento alla normativa europea, normativa europea recente, interpretazioni varie nate negli ultimi 7 anni dalla pubblicazione della 675).
Per la natura dei Decreti Legislativi, la normativa non sarà più facilmente emendabile come quella precedente, però va ricordato che il Garante ha poteri tali da rendere le proprie “decisioni” valevoli ai fini legali. Per aggiornamenti è possibile riferirsi al sito del Garante (www.garanteprivacy.it) o all’ottimo Interlex (www.interlex.it).
Per particolari categorie è prevista l’emanazione di un codice deontologico da seguire.
1	Principi
L’articolo 1 del codice parla chiaro: “Chiunque ha diritto alla protezione dei dati personali che lo riguardano”. In altre parole, prima vengono i diritti della persona, poi quelli delle aziende.
L’articolo 2, comunque, prescrive anche che va “assicurato un elevato livello di tutela [...] nel rispetto dei principi di semplificazione, armonizzazione ed efficacia delle modalità”.
La normativa riguarda anche i dati detenuti all’estero o i dati esteri trattati da strumenti in Italia.
L’articolo 15 fa esplicito riferimento all’art. 2050 del codice civile, relativo al “Danno cagionato da cosa in custodia”. Il altre parole, se qualcuno subisce dei danni a seguito di diffusione, perdita o modifica non autorizzata di dati che lo riguardano, questi può fare causa all’azienda (o alla persona, ente, eccetera) che custodiva tali dati.
2	Definizioni
Dato personale: qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione (quindi, anche le aziende), identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.
Dato sensibile: dato relativo alla salute, alle opinioni personali (religiose, politiche, ecc.) o alle origini razziali ed etniche.
Trattamento: intuitivamente è una definizione facilmente comprensibile, ma va ricordato che anche la conservazione pura e semplice, così come la lettura, sono trattamenti. La normativa riguarda anche la distruzione o la cessione dei dati.
3	Figure
3.1	Titolare (art. 28)
Entità che tratta i dati. La responsabilità dell’adeguamento al codice della privacy, poi, ricade sul/i rappresentante/i legale/i (il codice civile tratta di queste figure agli articoli 2380, 2381, 2392).
Il Titolare può nominare per iscritto Responsabili e Incaricati del trattamento.
3.2	Responsabili (art. 29)
Figure nominate per iscritto dal Titolare. 
Attenzione: il Titolare non delega completamente eventuali responsabilità civili e pensali ai Responsabili del trattamento di dati personali. Anzi, ha la responsabilità di condurre appropriate verifiche periodiche in merito.
I dati possono essere comunicati all’esterno dell’azienda che raccoglie i dati ad altre aziende, che in questo caso devono essere nominate responsabili. A loro volta, queste aziende devono rendere conto di eventuali ulteriori comunicazioni di questi dati. In nessun caso, i dati possono essere trattati con finalità diverse da quelle comunicate nell’informativa di cui al paragrafo 4.1
3.3	Incaricati (art. 30)
Le operazioni di trattamento possono essere effettuate solo da incaricati che operano sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni impartite. 
La designazione è effettuata per iscritto e individua puntualmente l’ambito del trattamento consentito. È anche possibile documentare solo la mansione della persona, purché sia poi documentato per iscritto l’ambito del trattamento consentito agli addetti a quella mansione (p.e. il “commerciale” può trattare i dati dei clienti).
3.4	Interessato
Colui (persona fisica o giuridica) a cui si riferiscono i dati.
Ha il diritto di sapere da un’azienda se questa tratta i suoi dati e quali questi dati siano. Può chiederne l’origine, la modifica o la distruzione. Per esercitare questi diritti, l’interessato può far domanda “senza formalità” (art. 8 comma 1). Ovviamente, tali diritti sono limitati nel caso in cui si tratti di dati che hanno a che fare in vario modo con la giustizia o la sicurezza.
4	Diritti dell’interessato
4.1	Informativa
Il Titolare deve fornire all’Interessato adeguata informativa sulle finalità del trattamento che lo riguarda. E’ possibile prevedere forme di semplificazione come la pubblicazione sul sito web o verbale. (art. 13).
Devono essere indicati i soggetti o le categorie di soggetti a cui i dati sono comunicati in qualità di responsabili o incaricati.
4.2	Consenso
Il trattamento di dati personali trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato.
Il consenso deve essere sempre documentato per iscritto, anche se non necessariamente con firma dell’interessato. Nel caso di dati sensibili, il consenso deve essere manifestato per iscritto. 
Il consenso deve riferirsi ad un trattamento specificatamente individuato, e l’interessato può rilasciarlo anche selezionando i diversi tipi di trattamento (art. 23). Esemplificando, deve essere fatta richiesta esplicita del consenso per scopi pubblicitari, così come richiesto anche dalla vecchia normativa.
Il consenso deve essere fornito solo dopo aver ricevuto l’informativa, eventualmente anche in forma semplificata.
Il consenso deve indicare anche se i dati sono trasferiti all’estero.
Il consenso non è richiesto per (art. 24):
•	obblighi legali
•	obblighi contrattuali 
•	dati raccolti da elenchi pubblici (purché non utilizzati a scopi pubblicitari)
•	casi in cui deve essere salvaguardata la vita dell’interessato e questi non è in condizioni tali da manifestare il consenso
•	le attività di iscritti o “persone vicine” ad associazioni senza fini di lucro
•	attività di investigazione difensive di cui alla Legge 397/2000

4.3	Autorizzazioni
Il trattamento di dati sensibili può avvenire solo con il consenso scritto dell’interessato e previa autorizzazioni del Garante (art. 26). Se entro 45 giorni non si ha risposta, l’autorizzazione è negata (silenzio-diniego).
Il Garante della Privacy può anche lasciare autorizzazioni “generali” (p.e. per quanto riguarda i dati sanitari da parte delle strutture sanitarie).
Le autorizzazioni attualmente in vigore sono sul sito del garante (nel menu del sito: Normativa  Italia  Autorizzazioni) e descrivono i tipi di dati e finalità di trattamento per cui è stato accordato il permesso.
Le autorizzazioni, attualmente numerate da 1 a 7, riguardano i dati sensibili utilizzati per: rapporti di lavoro (autorizzazioni 1, 5 e 7), attività sanitaria (2), associazioni (3 e 7), liberi professionisti (4 e 7), banche, assicurazioni (5 e 7), settore turistico e trasporto, sondaggi e ricerche, mediazione matrimoniale (5), investigazioni private (6)
4.4	Notificazione del trattamento
L’azienda che tratta i seguenti tipi di dati deve notificarlo al Garante della Privacy, secondo quanto previsto dagli artt. 37-41:
•	dati sanitari (genetici, biometrici, stato di salute, stato di salute psichica, vita sessuale, ecc.)
•	dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica (es. videosorveglianza, trasporti); 
•	dati trattati con strumenti informatici per definire il profilo o la personalità dell’interessato, o ad analizzare abitudini o scelte di consumo, o a monitorare l’utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; 
•	dati sensibili per selezione del personale per conto terzi, per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie; 
•	dati gestiti con strumenti elettronici relativi al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti. 
Il Garante può aggiungere tipologie di dati a questa lista.
La notificazione va fatta via Internet con il modello predisposto dal Garante.
N. B.: Se l’azienda non è tenuta alla comunicazione al Garante, deve comunque fornire le informazioni richiesta dal modello a chi ne fa richiesta (art. 38 comma 6).
5	Misure di sicurezza
I dati vanno “custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”. (art. 31)
L’allegato B della Legge indica le misure minime di sicurezza che devono essere adottate. Se non sono presenti, è possibile incorrere nel penale, anche se non si sono verificati danni per la loro mancanza (art. 33 e segg.). Per le misure non già indicate dall’abrogato DPR 318/99, è possibile realizzarle entro il 30 giugno 2004. In caso di impedimenti oggettivi di carattere tecnico, le misure devono essere comunque adottate entro il 1 gennaio 2005 (ossia, è necessario aggiornare opportunamente il sistema informatico) e tali scelte devono essere puntualmente documentate.
Le misure derivano dall’art. 17 della 95/46/CE.
5.1	Misure di carattere informatico 
Le misure sono elencate di seguito.
1.	È possibile accedere ai dati dopo l’inserimento di user-id e password (o token e PIN, o impronta digitale e PIN, eccetera). User-id e password sono anche indicate come credenziali di autenticazione.
2.	La password (o il PIN) deve essere tenuta segreta.
3.	La password deve essere di 8 caratteri (se ciò non fosse possibile, deve essere applicato il massimo possibile dal sistema informatico) e non deve essere banale. Per garantire queste misure, i sistemi attuali possono essere generalmente e facilmente configurati per fare i controlli in automatico.
4.	La password deve essere modificata al primo utilizzo e poi ogni 6 mesi.
5.	La stessa user-id non può essere utilizzata da due persone diverse, neanche in tempi diversi. In altre parole, se x ricopre il ruolo di commerciale e accede al gestionale con user-id “commerciale”, se viene sostituito dal signor y, quest’ultimo non può accedere a sua volta con user-id “commerciale”.
6.	Una user-id non utilizzata da almeno 6 mesi va disattivata. Tale misura non riguarda le user-id di amministrazione.
7.	Una user-id va disattivata anche se la persona ad essa correlata non ne ha più bisogno, o perché non lavora più per l’azienda o perché ha cambiato mansioni.
8.	Il personale deve essere istruito affinché non lasci i computer incustoditi e accessibili.
Molti credono che sia necessario registrare le password degli utenti per poter accedere ai dati in caso di loro assenza e in caso di necessità. Per questo non realizzano la misura di cui al punto 4 e si disinteressano di quella del punto 2.
Ciò non è vero: è sì necessario attribuire autorizzazioni opportune affinché altri possano accedere ai dati in assenza di una persona, ma non con il suo nome. In altre parole, non è necessario che venga falsificata la “firma” di qualcuno perché vengano svolte delle attività, basta dare l’opportuna autorità a qualcun altro.
Tutti i sistemi informatici dispongono di un “super-utente” che può far tutto. Nei sistemi Windows è detto Administrator, in quelli Unix è detto “root”. Questo utente particolare può modificare le autorizzazioni degli altri e può quindi intervenire in caso di necessità.
9.	La password di amministrazione deve essere custodita in maniera opportuna affinché l’assenza o altri impedimenti dell’addetto non rendano indisponibili i dati. Il perché è ovvio: se il “super-utente” può modificare le autorizzazioni degli altri in caso di necessità, nessuno può intervenire sul super-utente stesso in medesimi casi di necessità. I metodi più semplici e diffusi adottati in questi casi prevedono la scrittura delle password in busta chiusa ed eventualmente sigillata. Sono da considerare sia i sistemi operativi (come le password dei server), sia le applicazioni (per esempio, le password dei software gestionali).
10.	Le autorizzazioni di accesso ai dati informatici devono essere coerenti con le mansioni assegnate a ciascuno.
11.	Almeno una volta all’anno vanno verificate le autorizzazioni rilasciate agli utenti. Si ricorda che tali autorizzazioni vanno documentate, come già specificato in 3.3.
12.	Vanno adottate misure per evitare intrusioni ai sistemi informatici. Questa misura può anche riguardare l’uso di firewall.
13.	Deve essere presente un antivirus aggiornato almeno ogni 6 mesi (qui la normativa non è aggiornata: l’antivirus dovrebbe essere aggiornato quotidianamente).
14.	Devono essere effettuati backup almeno settimanali.
Per i dati sensibili, ulteriori misure sono:
1.	La password deve essere modificata ogni 3 mesi (e non ogni 6).
2.	Vanno previste procedure per la gestione dei supporti rimovibili (CD ROM, floppy, hard disk, eccetera).
3.	Vanno previste procedure di backup che garantiscano il ripristino dei dati in almeno 7 giorni.
4.	Nel caso di dati relativi all’identità genetica, vanno custoditi in locali ad accesso selezionati, se trasportati fuori da questi locali devono stare in contenitori muniti di serratura, le trasmissioni devono essere criptate.
Se tutto ciò può risultare complesso, l’articolo 35 richiede che se i sistemi sono installati da fornitori esterni, questi devono rilasciare “una descrizione scritta dell’intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico”. 
5.2	Misure di carattere non informatico
Agli incaricati vanno date istruzioni scritte in merito alle modalità di custodia dei dati personali. 
Nel caso di archivi di dati sensibili o giudiziari, deve essere identificato chi accede dopo l’orario di lavoro.
5.3	Documento programmatico per la sicurezza (DPS)
Questo riguarda aziende che trattano dati sensibili con sistemi informatici. In generale, ogni azienda tratta i dati dei lavoratori e quindi tratta dati sensibili (almeno per quanto riguarda i permessi sindacali ed, eventualmente, alcune questioni legate allo stato di salute), anche se non necessariamente con strumenti informatici.
Il DPS, descritto all’art. 19 dell’allegato B, richiede in sintesi:
•	di elencare i trattamenti dei dati personali effettuati
•	di documentare compiti e responsabilità per quanto riguarda il trattamento di dati personali
•	di effettuare un’analisi dei rischi che incombono sui dati personali
•	di descrivere le misure da adottare per contrastare tali rischi, facendo anche riferimento alle misure da adottare nel caso in cui i dati siano trattati all’esterno dell’azienda (per esempio per outsourcing).
Nel caso in cui siano trattati dati relativi allo stato di salute o alla vita sessuale, questi devono essere anche cifrati o opportunamente separati dagli altri dati.
6	Casi specifici
La legge prevede casi specifici di trattamento. Nelle sezioni che seguono saranno trattati alcuni casi. Altri sono:
Trattamenti in ambito giudiziario: Molto di quanto descritto dalla norma non deve essere seguito dall’autorità giudiziaria, organi di polizia, eccetera. Altri dettagli sono alla Parte II Titolo I (artt. 46-52). Notifiche di atti e vendite giudiziarie sono trattate anche dall’art. 174 che modifica normative preesistenti.
Trattamenti da parte di forze di Polizia: dettagli sono alla Parte II Titolo II (artt. 53-57). Altre disposizioni sui controlli della Polizia sono trattate anche dall’art. 175 che modifica normative preesistenti sul CED della Polizia.
Difesa e sicurezza dello Stato: dettagli sono alla Parte II Titolo III (art. 58).
Trattamenti in ambito pubblico: per quanto riguarda i soggetti pubblici si tratta alla Parte I, Titolo III, Capo II, articoli 18-22. Dettagli sono alla Parte II Titolo IV (artt. 59-74). Altri dettagli marginali sono trattati all’art. 176, mentre l’art. 177 modifica la disciplina relativa all’accesso alle anagrafi, stato civile e liste elettorali.
Trattamenti in ambito sanitario: dettagli sono alla Parte II Titolo V (artt. 75-94). Sono trattati i casi di gestione dell’informativa e del consenso, ma anche “misure per il rispetto dei diritti degli interessati”, tra le quali sono richieste cautele per evitare il classico caso della signorina che urla i problemi del paziente. L’art. 178 fornisce ulteriori dettagli,  in particolare per quanto riguarda le ricette usate dai farmacisti.
Istruzione: dettagli sono alla Parte II Titolo VI (artt. 95 e 96).
Trattamenti per scopi storici, statistici o scientifici: dettagli sono alla Parte II Titolo VII (artt. 97-110). Per le ricerche di mercato, l’art. 105 dice che “i dati non possono essere utilizzati per prendere decisioni relativamente all’interessato, né per trattamenti di dati per scopi di altra natura” e “gli scopi statistici devono essere chiaramente determinati e resi noti all’interessato”. Il codice deontologico dovrà essere emanato sulle linee del Dlgs 322 del 1989 relativo agli istituti di statistica pubblici. Se sono trattati dati sensibili, allora l’azienda deve notificare il trattamento al Garante (se non l’ha già fatto a norma della L 675/96). L’autorizzazione è già stata rilasciata con il numero 5 del 2002.
Lavoro e previdenza sociale: dettagli sono alla Parte II Titolo VIII (artt. 111-116). Riguardano soprattutto le modalità con cui sono trattati i dati dei prestatori di lavoro, gli istituti di patronato e di assistenza sociale. Per quanto riguarda la selezione del personale, l’interessato dà i propri dati alla società di selezione e dà implicitamente il proprio consenso all’utilizzo per la finalità di darli ad aziende. Se sono trattati dati sensibili, allora l’azienda deve notificare il trattamento al Garante (se non l’ha già fatto a norma della L 675/96). Le autorizzazioni del garante per questi trattamenti sono la 1, 5 e 7.
Sistema bancario, finanziario ed assicurativo: dettagli sono alla Parte II Titolo IX (artt. 117-120).
Comunicazioni elettroniche: dettagli sono alla Parte II Titolo X (artt. 121-134). Riguardano gli operatori che offrono servizi di comunicazione accessibili al pubblico. Tra le altre cose, sono indicate misure in merito alla gestione dei dati relativi alle connessioni degli utenti e alla fatturazione. Particolare attenzione viene data allo spamming, ossia alle comunicazioni indesiderate tramite e-mail o telefono. L’art. 2 lettera c della 2002/21/CE dà la seguente definizione di "servizio di comunicazione elettronica": i servizi forniti di norma a pagamento consistenti esclusivamente o prevalentemente nella trasmissione di segnali su reti di comunicazioni elettroniche, compresi i servizi di telecomunicazioni e i servizi di trasmissione nelle reti utilizzate per la diffusione circolare radiotelevisiva, ma ad esclusione dei servizi che forniscono contenuti trasmessi utilizzando reti e servizi di comunicazione elettronica o che esercitano un controllo editoriale su tali contenuti; sono inoltre esclusi i servizi della società dell'informazione di cui all'articolo 1 della direttiva 98/34/CE non consistenti interamente o prevalentemente nella trasmissione di segnali su reti di comunicazione elettronica; 
Internet e reti telematiche: all’interno delle “Comunicazioni elettroniche”, l’articolo 133 richiede l’adozione di un codice di deontologia e buona condotta agli Internet Service Provider (ISP).
Videosorveglianza: all’interno delle “Comunicazioni elettroniche”, l’articolo 134 richiede l’adozione di un codice di deontologia e buona condotta a chi usa strumenti elettronici di rilevamento di immagini. Al momento ci sono anche dei “pareri” o “linee guida”, che possono essere consultati su www.garanteprivacy.it/garante/doc.jsp?ID=50440. Per le investigazioni, l’autorizzazione è la 6.
Investigazione privata: l’articolo 135 che costituisce la Parte II Titolo XI richiede l’adozione di un codice di deontologia e buona condotta a chi effettua indagini.
Giornalismo ed espressione letteraria ed artistica: dettagli sono alla Parte II Titolo XII (artt. 1136-139). 
Marketing diretto: l’articolo 140 che costituisce la Parte II Titolo XII richiede l’adozione di un codice di deontologia e buona condotta a chi fa attività di marketing diretto (telefonico, eccetera). In particolare, la normativa (art. 130) vieta l’uso di “sistemi automatizzati senza intervento di un operatore” per quanto riguarda telefonate, e-mail, fax, MMS e SMS; in altre parole, è possibile fare pubblicità purché l’invio “massiccio” di dati venga fatto da una persona in carne ed ossa. E’ possibile per un’azienda pubblicizzare i propri prodotti a chi le lascia il proprio indirizzo, ma deve sempre dichiarare la propria identità e deve sempre permettere al target di opporsi a queste comunicazioni.
6.1	Sistemi informatici
L’articolo 3 prescrive che “I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità”.
In altre parole: log, statistiche, ambienti di test, eccetera non devono fare uso eccessivo di dati personali.
6.2	Fornitori di servizi di comunicazione elettronica
A loro si riferisce l’art. 32, che richiede anche misure di sicurezza della rete.
Viene richiesta di mantenere l’integrità dei dati relativi al traffico.
Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico deve informare gli utenti (dove possibile), se sussiste un particolare rischio di violazione della sicurezza della rete, indicando, quando il rischio è al di fuori dell’ambito di applicazione delle misure che il fornitore stesso è tenuto ad adottare, tutti i possibili rimedi e i relativi costi presumibili. Analoga informativa è resa al Garante e all’Autorità per le garanzie nelle comunicazioni (questo è un caso particolare di trattamento di NC).
6.3	Aziende di assistenza di sistemi informatici
L’articolo 35 dell’Allegato B (quello che descrive le misure minime di sicurezza) richiede che se i sistemi sono installati da fornitori esterni, questi devono rilasciare “una descrizione scritta dell’intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico”. 
7	Check list e riferimenti all’ISO 9001:2000
In questo capitolo viene presentata una sorta di correlazione degli obblighi richiesti dalla normativa sulla Privacy con quanto richiesto dall’ISO 9001:2000. Si farà riferimento alle normali aziende produttive, che trattano solamente i dati dei clienti, dei fornitori e poco più.
TU Privacy	ISO Ref.	Note	
Notificazione al Garante o documento analogo	4.2		
Nomina dei Responsabili e degli Incaricati	5.5.1
6.6.2	Sono questi i punti della norma normalmente utilizzati per indicare le mansioni del personale.	
Informativa	7.2.3	In realtà, la comunicazione dovrebbe riguardare tutto coloro con cui l’azienda entra in rapporto. Dato che spesso i dati sono utilizzati per gestire rapporti commerciali, non è opportuno soffermarsi troppo su questo punto.	
Consenso		Si fa riferimento al fatto che il trattamento dei dati deriva da obblighi contrattuali e legali (per le fatturazioni) e quindi non è necessario il consenso.	
Documento programmatico per la sicurezza	6.3	Solo se hanno dati sensibili	
Misure informatiche:
•	user-id e password per ciascuno
•	controlli automatici sulla complessità della password
•	password modificata dall’utente
•	custodia delle password di amministrazione
•	antivirus aggiornato
•	backup almeno settimanali	6.3	Sono solo descritte le misure più importanti e facili da verificare ai fini dell’ISO 9001:2000.	
Dichiarazione degli installatori di sistemi informatici.	7.4	Questa misura è innanzitutto per garantire il titolare di un’azienda se succede qualcosa e, finalmente, per impegnare alcuni sistemisti a lavorare bene.	

Cesare Gallotti