Privacy : più semplificazioni ma maggiori sanzioni dal legislatore del 2008

Novità per la gestione dei rapporti di lavoro per l’anno 2009

Il 2008 ci regala una privacy più semplice ma anche più pesante sotto il profilo sanzionatorio. Infatti, il legislatore del 2008 con due norme distinte, il decreto legge 25 giugno 2008 n. 112 (DL 112/2008) convertito  nella legge 6 agosto 2008 n. 133 (legge 133/2008) e il decreto legge 30 dicembre 2008, n. 247 (c.d DL mille proroghe), ha rivisitato la normativa in materia di privacy con particolare riferimento ai rapporti di lavoro, fino a quel momento regolata quasi esclusivamente dal decreto legislativo 30 giugno 2003, n. 196 (anche Codice), semplificando alcuni adempimenti ma aumentando la misura delle sanzioni connesse ad alcune inadempienze.

Con il DL 112/2008 si sono semplificati  alcuni adempimenti in materia di gestione della privacy nel rapporto di lavoro e in particolare :

- è stata prevista l’esenzione dall'obbligo di redigere il Dps ossia il documento di programmazione e gestione della sicurezza dei dati trattati che, in funzione di alcuni dati trattati, può essere sostituito dal rilascio di una autocertificazione;

- è stato delegato al Garante il compito di individuare con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico (Allegato B) del Decreto Legislativo 30 giugno 2003, n. 196  "Codice in materia di protezione dei dati personali" in ordine all'adozione delle misure minime di sicurezza.

Come vedremo in seguito il Garante con  provvedimento 27 novembre 2008 ha spiegato la prima semplificazione e  ottemperato al compito lui delegato dal legislatore.

Più recentemente poi con il DL  mille proroghe  il legislatore ha inasprito alcune sanzioni connesse ad alcune inadempienze in materia di dati personali.

Le semplificazioni delle legge

La prima semplificazione concerne l’esenzione dalla redazione del Dps. Prima dell’entrata in vigore del decreto legge 112/2008 obbligati (1) alla redazione del Dps erano tutti i titolari (2) del trattamento di dati sensibili o giudiziari, di cui all’art. 3 del decreto legislativo n. 196/2003, effettuato con strumenti elettronici.

Ora sono esentati dalla redazione del Dps i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale (3). La tenuta del Dps è sostituita dall'obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle altre misure di sicurezza prescritte (4). Il puntuale riferimento alle due categorie dei dipendenti e dei collaboratori, potrebbe far pensare che tutte le volte che vengono trattati dati relativi alla salute di lavoratori autonomi, agenti, rappresentanti, associati, soci lavoratori ecc., vi sia l’obbligo di redigere il Dps oppure, al contrario, si potrebbe pensare che la mancata inclusione di tali categorie sia frutto di una dimenticanza del legislatore. In assenza di chiarimenti da parte degli organi preposti si ritiene si debba far riferimento ad un’’interpretazione puramente letterale della norma e redigere il Dps nel caso di trattamenti di dati sensibili e/o giudiziario relativi alle altre categorie sopra citate. 

Come noto invece non hanno l’obbligo di redigere il Dps i soggetti che trattano dati sensibili ma effettuano tale trattamento senza l’ausilio di strumenti elettronici.

Le semplificazioni del Garante

Il Garante,  fornito di delega dall’art. 29 legge 133/2008 (5), con il provvedimento del 27 novembre 2008 opera altre due semplificazioni fornendo ai soggetti di cui sopra le indicazioni su come attuare le misure minime di sicurezza di tali dati ed estendendo  a imprese artigiane, piccole e medie imprese, nonché liberi professionisti, tali modalità di gestione semplificate.

Più precisamente le modalità semplificate sono applicabili dai soggetti pubblici o privati che:

a) utilizzano dati personali non sensibili o che trattano come unici dati sensibili  riferiti ai propri dipendenti e collaboratori anche a progetto  quelli costituiti dallo stato di salute o malattia senza indicazione della relativa diagnosi, ovvero dall'adesione a organizzazioni sindacali o a carattere sindacale;

b) trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (cfr. art. 2083 cod. civ. e d.m. 18 aprile 2005, recante adeguamento alla disciplina comunitaria dei criteri di individuazione di piccole e medie imprese, pubblicato nella Gazzetta Ufficiale 12 ottobre 2005, n. 238).

Per quanto riguarda l’individuazione delle imprese destinatarie della semplificazione poiché il DM 18 aprile 2006 definisce :

• le medie imprese come quelle imprese che hanno meno di 250 occupati, un fatturato annuo non superiore a 50 milioni di euro, oppure un totale di bilancio annuo non superiore a 43 milioni di euro;
• le piccole imprese come quelle imprese che hanno meno di 50 occupati, e un fatturato annuo oppure un totale di bilancio annuo non superiore a 10 milioni di euro.

si può affermare che le imprese che non superano la soglia di 250 occupati e un fatturato di 50 milioni di euro (o un bilancio non superiore a 43 milioni di euro) rientrano tutte nel novero dei destinatari della semplificazione sulla privacy . Per quanto riguarda “le correnti finalità amministrative e contabili che costituiscono l'aspetto oggettivo e per cui avviene il trattamento dei dati, in mancanza di definizioni normative o interpretative, vanno individuate, a nostro parere, in quelle operazioni che sottendono adempimenti burocratici di tipo corrente, ossia ordinario, riferiti ad obblighi oltre che contabili, fiscali, previdenziali e assicurativi cui per legge o regolamento sono tenuti i soggetti indicati” (6).

Tabelle riepilogative

Dps

Documento che fotografa la situazione del titolare del trattamento in merito all’adozione delle misure di sicurezza Da redigere prima dell’inizio del trattamento e da aggiornare entro io 31 marzo di ogni anno qualora, nel corso dell’anno solare precedente, siano intervenute delle variazioni rispetto a quanto dichiarato nel precedente documento

Redazione del Dps
Titolari che trattano informaticamente dati dei dipendenti e collaboratori relativi alla salute o all'adesione sindacale	1) Non devono redigere il Dps, ma solo rilasciare una autocertificazione; 2) devono ovviamente garantire la sicurezza dei dati sensibili mediante gli accorgimenti semplificati dettati nel Provvedimento del 27 novembre 2008.
Imprese artigiane, piccole e medie imprese, nonché liberi professionisti che trattano dati unicamente per finalità amministrativo/contabile	1) Devono redigere il Dps in forma semplificata in base alle istruzioni fornite sempre dal Provvedimento del 27 novembre 2008; 2) devono garantire la sicurezza dei dati sensibili me mediante gli accorgimenti semplificati dettati nel Provvedimento del 27 novembre 2008.
Altre soggetti non rientranti nelle precedenti categorie	1) Devono redigere il Dps secondo le modalità ordinarie di cui All’allegato B 2) devono garantire le misure minime di sicurezza con le modalità ordinarie di cui al Codice e all’Allegato B

Entrando nel merito le semplificazioni disposte dal Garante concernono le misure di sicurezza in genere, tra cui le istruzioni da fornire agli incaricati del trattamento e, come detto, la redazione del documento programmatico sulla sicurezza.

Documento programmatico sulla sicurezza redatto in forma semplificata (modalità applicative delle regole di cui ai punti da 19.1 a 19.8  dell'Allegato B))

Il documento deve essere redatto prima dell'inizio del trattamento e deve essere aggiornato entro il 31 marzo di ogni anno nel caso in cui, nel corso dell'anno solare precedente, siano intervenute modifiche rispetto a quanto dichiarato nel precedente documento.

Il documento deve avere i seguenti contenuti:

a) le coordinate identificative del titolare del trattamento, nonché, se designati, gli eventuali responsabili. Nel caso in cui l'organizzazione preveda una frequente modifica dei responsabili designati, potranno essere indicate le modalità attraverso le quali è possibile individuare l'elenco aggiornato dei responsabili del trattamento;

b) una descrizione generale del trattamento o dei trattamenti realizzati, che permetta di valutare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento. In tale descrizione vanno precisate le finalità del trattamento, le categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime, nonché i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;

c) l'elenco, anche per categorie, degli incaricati del trattamento e delle relative responsabilità. Nel caso in cui l'organizzazione preveda una frequente modifica dei responsabili designati, potranno essere indicate le modalità attraverso le quali è possibile individuare l'elenco aggiornato dei responsabili del trattamento con le relative responsabilità;

d) una descrizione delle altre misure di sicurezza adottate per prevenire i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

Le altre semplificazioni in tabella

Trattamenti effettuati con strumenti elettronici
Istruzioni agli incaricati del trattamento (modalità applicative delle regole di cui ai punti 4, 9, 18 e 21 dell'Allegato B))	Le istruzioni in materia di misure minime di sicurezza previste dall'Allegato B) possono essere impartite agli incaricati del trattamento anche oralmente, con indicazioni di semplice e chiara formulazione.
Sistema di autenticazione informatica (modalità applicative delle regole di cui ai punti 1, 2, 3, 5, 6, 7, 8, 10 e  11  dell'Allegato B))	L’accesso ai sistemi informatici è basato su : username atto ad individuare  in modo univoco una sola persona, evitando che soggetti diversi utilizzino codici identici; password sia conosciuta solo dalla persona che accede ai dati. N.B. Può essere adottata, quale procedura di autenticazione anche la procedura di login disponibile sul sistema operativo delle postazioni di lavoro connesse a una rete. In caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema, se l'accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso della password, il titolare può assicurare la disponibilità di dati o strumenti elettronici con procedure o modalità predefinite. Riguardo a tali  modalità, sono fornite preventive istruzioni agli incaricati e gli stessi sono informati degli interventi effettuati (ad esempio, prescrivendo ai lavoratori che si assentino dall'ufficio per ferie l'attivazione di modalità che consentano di inviare automaticamente messaggi di posta elettronica ad un altro recapito accessibile: si vedano le Linee guida in materia di lavoro per posta elettronica e Internet approvate dal Garante e pubblicate nella Gazzetta ufficiale 10 marzo 2007 , n. 58
Sistema di autorizzazione (modalità applicative delle regole di cui ai punti 12, 13 e 14 dell'Allegato B))	Qualora sia necessario diversificare l'ambito del trattamento consentito, possono essere assegnati agli incaricati corrispondenti profili di autorizzazione così da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento.
Altre misure di sicurezza (modalità applicative delle regole di cui ai punti 15, 16, 17 e  18  dell'Allegato B))	Affinché assicura l'ambito di trattamento assegnato ai singoli incaricati, nonché agli addetti alla gestione o alla manutenzione degli strumenti elettronici, sia coerente con i principi di adeguatezza, proporzionalità e necessità devono essere effettuati : aggiornamenti dei profili di autorizzazione eventualmente accordati; aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici salvaguardati anche attraverso il loro salvataggio con frequenza almeno mensile
Modalità applicative per i trattamenti realizzati senza l'ausilio di strumenti elettronici
Istruzioni agli incaricati del trattamento (modalità applicative delle regole di cui ai punti 27  dell'Allegato B))	Le istruzioni finalizzate al controllo e alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali possono essere impartite anche oralmente
Documenti con dati sensibili e giudiziari (modalità applicative delle regole di cui ai punti  28 e 29  dell'Allegato B))	Gli atti e i documenti contenenti dati sensibili e/o giudiziari sono controllati e custoditi dai medesimi incaricati fino alla restituzione in modo che a essi non accedano persone prive di autorizzazione,

Sanzioni in materia di privacy

Il DL mille proroghe di fine anno, oltre a contenere diverse proroghe all'entrata in vigore di misure normative e modifiche a provvedimenti già in vigore, ha inasprito le sanzioni connesse a violazioni di disposizioni in materia di tutela della riservatezza (Decreto Legislativo 196/2003), in particolare :

• la sanzione amministrativa per violazione delle disposizioni di cui all'articolo 13 in materia di informativa di interessati è raddoppiata passando dalla forchetta  "tremila euro-diciottomila euro" a quella "seimila euro-trentaseimila euro" (articolo 161);
• raddoppiata la sanzione amministrativa per violazione della disciplina sulla cessione dei dati, che ora va da diecimila euro a sessantamila euro (articolo 162);
• la sanzione per omessa o incompleta notificazione che oggi va da ventimila euro a centoventimila euro (articolo 163);
• più che raddoppiata la sanzione per omessa informazione o esibizione al garante che oggi va da diecimila euro a sessantamila euro (articolo 164).

(1) l’obbligo si evince dal combinato dell’articolo 34 del decreto legislativo n. 196/2003 (“1. Il trattamento di dati personali effettuato con strumenti elettronici e' consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: (…) g) tenuta di un aggiornato documento programmatico sulla sicurezza;) e la regola 19 dell’allegato b) (19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:);

(2) si intende per titolare del trattamento, la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza;

(3) i dati sindacali principali che obbligatoriamente il datore di lavoro deve trattare riguardano l'esercizio dei permessi spettanti in base alla legge n. 300/1970 per assolvere ad incarichi nell'ambito delle rappresentanze sindacali o per partecipare a riunioni o assemblee e la delega che il lavoratore conferisce al datore di lavoro per riscuotere i contributi sindacali dalla propria retribuzione e versare alle organizzazioni a cui aderisce;

(4) si vedano gli artt. 34 e 35 del  decreto legislativo 196/2003 e l’Allegato B allo stesso decreto;

(5) il nuovo comma 1 bis dell’art. 34 del decreto legislativo 196/2003 tra l’altro così recita “In relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, sentito il Ministro per la semplificazione normativa, individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico di cui all'Allegato B) in ordine all'adozione delle misure minime di cui al comma 1”;

(6) si veda Gremigni Pietro, La semplificazione per la gestione della privacy secondo il Garante, Guida al Lavoro del 26 dicembre 2008, n. 50, pag. 18.