Autocertificazione o documento programmatico privacy?

Molti ci interpellano per sapere se sono sottratti o meno all’obbligo della tenuta del DPS (Documento programmatico sulla sicurezza dei dati personali) alla luce del Provvedimento a Carattere Generale del Garante Privacy del 27 novembre 2008 e del decreto legge 138/2011; per dare una risposta la nostra redazione ha pensato di mettere a disposizione dei lettori alcuni chiarimenti.

DPS SI, DPS NO? QUESTO E' IL PROBLEMA

Chiedilo a noi...

Cosa accade adesso dopo le recenti semplificazioni privacy?

Abolito il Documento Programmatico per tutti?

E le misure di sicurezza?

Verifica se sei in regola con la privacy! Gratis

Questionario con risposta personale di un consulente.

Risposta entro 24 ore VERIFICA

Chi non deve fare il DPS

L'obbligo di redazione del DPS è venuto meno, leggi decreto Monti e semplificazioni privacy

I titolare che trattano su PC solo dati personali comuni (anagrafiche e dati contabili per lo più) di clienti, fornitori e dipendenti, dati sensibili di dipendenti relativi allo stato di salute o malattia (solo se senza indicazione della diagnosi) e di tipo sindacale.

Quali sono i problemi dunque?

1) E' difficile affermare con certezza di rientrare tra i titolari esclusi perché la propria azienda non tratta e non tratterà con certezza dati sensibili differenti da quelli dei dipendenti (es: i dati sanitari con diagnosi potrebbero comparire nella documentazione aziendale relativa ad invalidità per categorie protette o nella documentazione per la gestione delle pratiche infortunistiche...);

2) Le aziende trattano spesso dati giudiziari e quindi il DPS devono farlo ugualmente;

3) I Titolari non sono ben disposti a ufficializzare e sottoscrivere una “Dichiarazione sostitutiva di atto di notorietà ex art. 47 del D.P.R. 445/00” che in caso di “dichiarazioni mendaci” o di “dati non più rispondenti a verità” può portare a pesanti sanzioni penali (ai sensi dell’art. 76 del D.P.R. 445/00) e può far incorrere nella violazione dell'art. 168 del Codice Privacy per falsità nelle dichiarazioni al Garante.

Se non devo fare il DPS posso non attuare le misure di sicurezza? NO

L'autocertificazione presuppone che tutte le misure minime di sicurezza siano state implementate (anche se non sono tenuto a fare il DPS devo comunque attuare le misure di sicurezza graduate per la mia realtà aziendale), un’eventuale mancata adozione delle stesse potrebbe comportare conseguenze di rilevanza penale.

La mancata adozione di una o alcune delle misure di sicurezza una volta fatta l'autocertificazione potrebbe far ricorrere l’art. 483 c.p., reato posto a tutela della fede pubblica documentale, il quale punisce chiunque attesti falsamente al pubblico ufficiale, e in atto pubblico, fatti dei quali l’atto è destinato a provare la verità, comminando una sanzione fino a due anni di reclusione. La Cassazione ha ritenuto che il falso ideologico commesso dal privato in atto pubblico ricorra anche quando la falsità sia compiuta nella dichiarazione sostitutiva dell’atto di notorietà effettuata dal privato.