Con il codice privacy (Dlgs 196/2003, entrato in vigore in data 1° gennaio 2004) il quadro delle misure di sicurezza, che devono essere adottate nel trattamento dei dati personali, è cambiato profondamente.

Ferma restando la distinzione tra misure idonee, la cui inosservanza espone alla responsabilità per danni, e misure minime, dalla mancata adozione delle quali conseguono addirittura responsabilità di ordine penale, per quanto riguarda la individuazione di queste ultime è stato mandato in soffitta il Dpr 318/1999, per essere sostituito dal disciplinare tecnico in materia di misure minime di sicurezza, che è entrato a fare parte integrante del codice privacy, di cui costituisce l’Allegato B.

La legge 133/2008, entrata in vigore il 22 agosto 2008, ed il relativo provvedimento del Garante del 27 novembre 2008, pubblicato sulla G.U. ed entrato in vigore il 9 dicembre 2008, hanno introdotto rilevanti semplificazioni, per taluni trattamenti di dati sensibili posti in essere a fini esclusivamente amministrativo – contabili (ivi inclusi quelli aventi per oggetto alcuni dati relativi ai lavoratori). Le semplificazioni riguardano due aspetti:

• la redazione del Documento programmatico sulla sicurezza, che era in precedenza obbligatoria in tutti i casi di trattamento di dati sensibili e/o giudiziari con l’impiego di elaboratori elettronici.
  Oggi si possono presentare tre diversi casi:
  • esonero dall’obbligo di redigere il documento, a condizione che il titolare provveda ad ufficializzare una autocertificazione sostitutiva
  • facoltà di redigere il DPS in forma semplificata, osservando quanto ha disposto il provvedimento di semplificazione del Garante del 27 novembre 2008
  • obbligo di redigere il DPS in modo ordinario, analogamente a quanto avveniva in passato
• le rimanenti misure minime di sicurezza, diverse da quelle legate alla redazione del DPS, possono in taluni casi essere adottate avvalendosi di alcune semplificazioni, codificate dal provvedimento del Garante del 27 novembre 2008, invece che con le modalità ordinarie.

Nella seguente matrice si riassumono i diversi casi che si possono presentare, incrociando la coordinata costituita dalla natura dei soggetti che trattano i dati personali e dalle motivazioni per cui essi effettuano il trattamento (intestazione delle tre colonne) con quella costituita dalla tipologia di dati che vengono trattati con strumenti elettronici (intestazione delle quattro righe):

Il primo ordine di semplificazioni riguarda la generalità dei soggetti che trattano dati personali, nell’ipotesi in cui essi trattino con strumenti elettronici soltanto una o più delle seguenti tipologie di dati personali:

1. dati di natura comune (nella matrice, riga “No sensibili / No giudiziari”)
2. dati giudiziari (nella matrice, riga “No sensibili / Si giudiziari”)
3. dati comuni il cui trattamento presenta rischi specifici (nella matrice, una delle due righe di cui sopra, in funzione del fatto che si trattino o meno anche dati giudiziari)
4. dati sensibili relativi allo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi: ad esempio, si utilizzano gli strumenti elettronici solo per conteggiare i giorni di malattia dei dipendenti, senza però indicare quale sia la malattia (nella matrice, riga “Sensibili solo lavoro / Indifferente giudiziari”)
5. dati sensibili relativi all’adesione ad organizzazioni sindacali o a carattere sindacale, da parte dei propri dipendenti e collaboratori anche a progetto, ivi inclusi i dati relativi alle trattenute sindacali (nella matrice, riga “Sensibili solo lavoro / Indifferente giudiziari”).

Nelle ipotesi di cui sopra si applicano le seguenti semplificazioni:

• nei casi in cui, in vigenza delle precedenti disposizioni, doveva essere redatto il Documento programmatico sulla sicurezza, è ora possibile sostituire tale adempimento con la redazione e sottoscrizione di una autocertificazione, ai sensi dell'articolo 47 del Dpr 445/2000 – Dichiarazioni sostitutive dell’atto di notorietà, nella quale il titolare del trattamento dichiara quanto segue: di trattare come unici dati sensibili quelli, riferiti ai propri dipendenti e collaboratori anche a progetto, costituiti dallo stato di salute o malattia, senza indicazione della relativa diagnosi, ovvero quelli costituiti dalla adesione dei lavoratori ad organizzazioni sindacali o a carattere sindacale, osservando le altre misure di sicurezza prescritte, diverse da quelle legate alla redazione ed attuazione del DPS
• nell’adozione delle altre misure di sicurezza, diverse da quelle legate alla redazione ed attuazione del DPS, ci si può avvalere delle semplificazioni introdotte dal Garante con il provvedimento del 27 novembre 2008.

Il secondo ordine di semplificazioni, relative al trattamento di altri dati sensibili (diversi cioè da quelli riferiti ai lavoratori, sopra analizzati), cui nella matrice si riferisce la riga “Anche altri sensibili / Indifferente giudiziari”, trova applicazione solo se si verificano congiuntamente le seguenti condizioni:

• il titolare del trattamento è un soggetto pubblico o, se è un soggetto privato, è un libero professionista, un artigiano o una piccola – media impresa. Rientrano in tale ambito, come ha precisato il Garante
  • i soggetti previsti dall’articolo 2083 del codice civile: sono piccoli imprenditori i coltivatori diretti del fondo, gli artigiani, i piccoli commercianti e coloro che esercitano un'attività professionale organizzata prevalentemente con il lavoro proprio e dei componenti della famiglia
  • i soggetti che il DM 18 aprile 2005 considera PMI: imprese che a) hanno meno di 250 occupati e b) hanno un fatturato annuo non superiore a 50 milioni di euro, oppure un totale di bilancio annuo non superiore a 43 milioni di euro. Per un approfondimento di tale regola si rimanda all’allegato Provvedimento del Garante del 27 novembre 2008, in calce al quale si riporta la parte del DM 18 aprile 2005 che interessa
• il trattamento dei dati sensibili è effettuato esclusivamente per correnti finalità amministrative e contabili. Per quanto concerne il significato da attribuire a tale espressione, utili indicazioni possono essere tratte dal provvedimento del 19 giugno 2008 del Garante, avente per oggetto semplificazioni di taluni adempimenti in ambito pubblico e privato rispetto a trattamenti per finalità amministrative e contabili, nel quale si chiarisce quanto segue:
  • per correnti finalità amministrative e contabili si devono intendere quelle che riguardano la ordinaria attività di gestione amministrativa e contabile, anche in relazione all’adempimento di obblighi contrattuali e normativi
  • nell’ambito di tale attività vengono gestite informazioni attinenti in genere ad altre imprese, amministrazioni, clienti, fornitori e dipendenti
  • le attività possono articolarsi, ad esempio, nella gestione di ordinativi, di buste paga e di ordinaria corrispondenza con clienti, fornitori, realtà esterne di supporto anche in outsourcing, dipendenti.

Nei casi in esame le misure minime di sicurezza, ivi incluse quelle legate alla redazione del DPS (che è obbligatoria) possono essere poste in essere in modo semplificato, seguendo le indicazioni fornite dal provvedimento del Garante del 27 novembre 2008.

Nei due casi residuali presentati dalla matrice (soggetti pubblici, liberi professionisti, artigiani, PMI che trattano i dati sensibili per finalità eccedenti, quelle correnti di natura amministrativa e contabile, nonché i soggetti diversi e le imprese non PMI in tutti i casi) non si applica alcuna semplificazione: sia la redazione del DPS, che gli altri adempimenti in materia di misure minime di sicurezza, devono continuare ad essere realizzati in modo ordinario, analogamente a quanto avveniva prima dell’entrata in vigore della legge 133/2008.

Spaventato dall’eccessivo buonismo, cui si è ispirata la normazione in materia di sicurezza nel corso del 2008, il legislatore si è ravveduto, con l’articolo 44 del DL 207/2008, pubblicato in G.U. ed entrato in vigore il 31 dicembre 2008. Tale articolo ha dato un bel giro di vite alle sanzioni, che colpiscono le irregolarità commesse in materia di sicurezza privacy, agendo come segue:

• introducendo pesanti sanzioni di carattere amministrativo (la misura di base va da 20.000 a 120.000 euro), in precedenza non previste
• inasprendo le preesistenti sanzioni di natura penale.

Valutando l’insieme degli interventi, effettuati nel corso del 2008, si può desumere la chiara filosofia del legislatore, in materia di misure di sicurezza privacy: sono misure talmente importanti, che ci siamo impegnati, anche attraverso un’opera di semplificazione, per renderle economicamente ed organizzativamente accessibili a tutti i soggetti che trattano dati personali. Non siamo quindi più disposti a tollerare inadempienze, per cui abbiamo inasprito notevolmente le sanzioni.