Redazione del DPS

Documento che fotografa la situazione del titolare del trattamento in merito all’adozione delle misure di sicurezza

Titolari che trattano informaticamente dati dei dipendenti e collaboratori relativi alla salute o all'adesione sindacale

1) Non devono redigere il DPS, ma solo rilasciare una autocertificazione;

2) devono ovviamente garantire la sicurezza dei dati sensibili mediante gli accorgimenti semplificati dettati nel Provvedimento del 27 novembre 2008.

Imprese artigiane, piccole e medie imprese, nonché liberi professionisti che trattano dati unicamente per finalità amministrativo/contabile

1) Devono redigere il Dps in forma semplificata in base alle istruzioni fornite sempre dal Provvedimento del 27 novembre 2008;

2) devono garantire la sicurezza dei dati sensibili me mediante gli accorgimenti semplificati dettati nel Provvedimento del 27 novembre 2008.

Altre soggetti non rientranti nelle precedenti categorie

1) Devono redigere il Dps secondo le modalità ordinarie di cui All’allegato B

2) devono garantire le misure minime di sicurezza con le modalità ordinarie di cui al Codice e all’Allegato B

Trattamenti effettuati con strumenti elettronici

Istruzioni agli incaricati del trattamento (modalità applicative delle regole di cui ai punti 4, 9, 18 e 21 dell'Allegato B))

Le istruzioni in materia di misure minime di sicurezza previste dall'Allegato B) possono essere impartite agli incaricati del trattamento anche oralmente, con indicazioni di semplice e chiara formulazione.

Sistema di autenticazione informatica (modalità applicative delle regole di cui ai punti 1, 2, 3, 5, 6, 7, 8, 10 e  11  dell'Allegato B))

L’accesso ai sistemi informatici è basato su :

• username atto ad individuare  in modo univoco una sola persona, evitando che soggetti diversi utilizzino codici identici;
• password sia conosciuta solo dalla persona che accede ai dati.

N.B. Può essere adottata, quale procedura di autenticazione anche la procedura di login disponibile sul sistema operativo delle postazioni di lavoro connesse a una rete. In caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema, se l'accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso della password, il titolare può assicurare la disponibilità di dati o strumenti elettronici con procedure o modalità predefinite. Riguardo a tali  modalità, sono fornite preventive istruzioni agli incaricati e gli stessi sono informati degli interventi effettuati (ad esempio, prescrivendo ai lavoratori che si assentino dall'ufficio per ferie l'attivazione di modalità che consentano di inviare automaticamente messaggi di posta elettronica ad un altro recapito accessibile: si vedano le Linee guida in materia di lavoro per posta elettronica e Internet approvate dal Garante e pubblicate nella Gazzetta ufficiale 10 marzo 2007 , n. 58  

Sistema di autorizzazione (modalità applicative delle regole di cui ai punti 12, 13 e 14 dell'Allegato B))

Qualora sia necessario diversificare l'ambito del trattamento consentito, possono essere assegnati agli incaricati corrispondenti profili di autorizzazione così da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento.

Altre misure di sicurezza (modalità applicative delle regole di cui ai punti 15, 16, 17 e  18  dell'Allegato B))

Affinché assicura l'ambito di trattamento assegnato ai singoli incaricati, nonché agli addetti alla gestione o alla manutenzione degli strumenti elettronici, sia coerente con i principi di adeguatezza, proporzionalità e necessità devono essere effettuati :

• aggiornamenti dei profili di autorizzazione eventualmente accordati;
• aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici
• salvaguardati anche attraverso il loro salvataggio con frequenza almeno mensile

Modalità applicative per i trattamenti realizzati senza l'ausilio di strumenti elettronici

Istruzioni agli incaricati del trattamento (modalità applicative delle regole di cui ai punti 27  dell'Allegato B))

Le istruzioni finalizzate al controllo e alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali possono essere impartite anche oralmente

Documenti con dati sensibili e giudiziari (modalità applicative delle regole di cui ai punti  28 e 29  dell'Allegato B))

Gli atti e i documenti contenenti dati sensibili e/o giudiziari sono controllati e custoditi dai medesimi incaricati fino alla restituzione in modo che a essi non accedano persone prive di autorizzazione