T:13

T.01 Tecnologie delle produzioni pulite per l’efficienza ambientale dell’attività alberghiera. marzo 2001

T.07

T.02 Ospitare i cicloturisti.

Manuale di marketing per conquistare e fidelizzare il segmento dei cicloturisti. giugno 2001

T.08 Organizzare l’albergo per il mercato d’affari.

Manuale di marketing per conquistare e fidelizzare la clientela business. ottobre 2003

T.03 Turismo e Web. Guida alla progettazione e realizzazione di un sito di qualità. ottobre 2001 T.04 Acquisti ecologici per gli alberghi.

Linee guida, criteri e consigli per la scelta dei prodotti da utilizzare negli hotel. dicembre 2002 T.05 L’Ecolabel Europeo per il servizio di ricettività turistica.

Linee guida per l’applicazione e rassegna delle esperienze esistenti. giugno 2003

Il marketing passaparola nel turismo.

Manuale per gli operatori dell’ospitalità. luglio 2003

T.09 L’albergo eco-sensibile.

Manuale di marketing per realizzare un’ospitalità attenta all’ambiente. novembre 2003 T.10

Gestire le relazioni nel turismo.

Una nuova cultura di marketing per Enti e destinazioni. aprile 2004

T.11

Marketing di nicchia: manuale per conquistare nuovi segmenti di mercato. febbraio 2005

T.12

Club di prodotto.

Manuale di marketing per un club di successo. aprile 2006

T.13

La tutela dei dati personali offre un reale valore aggiunto alle prestazioni di servizio dell’industria alberghiera. Adeguarsi al Testo Unico sulla privacy non rappresenta appena un adempimento cui attenersi perché richiesto dalla legge, ma permette di anticipare bisogni e aspettative dei clienti rendendo trasparente la gestione delle informazioni che li riguardano.

Il settore dell’ospitalità e dei servizi turistici è da sempre un settore produttivo labour intensive, a forte contenuto di servizio, per la quotidiana esperienza di relazione diretta col cliente. Con la crescente rilevanza che sta assumendo il valore della privacy il principio della customer satisfaction acquista nuove valenze e si volge verso nuovi traguardi.

I processi formativi per la crescita della cultura della gestione dei dati personali riguardano la conoscenza di metodi e strumenti, di misure procedurali e di standard organizzativi. Queste competenze sono orientate a un più alto grado di efficienza del sistema informativo aziendale e a garantire un più sicuro sistema di tutela dei dati personali. La conoscenza e l’applicazione delle norme del Codice non possono che qualificare la professionalità degli addetti al ricevimento, degli operatori di back office e dell’ufficio commerciale e marketing, sia dell’albergo che di altre imprese turistiche.

Il rapporto con il mercato esce rafforzato dall’applicazione di nuove regole e principi per la protezione dei dati personali, per la tutela della riservatezza e dell’identità personale. Sullo sfondo di questi diritti, seppur non nuovi, c’è l’ingresso in una nuova cultura della gestione dei dati per la sicurezza del sistema informativo e ancora una volta per la soddisfazione del cliente.

T.06 I sistemi di gestione ambientale per gli alberghi.

Linee guida per un approccio semplificato. giugno 2003

Provincia di Rimini Assessorato al Turismo

Piazza Malatesta 28 47900 Rimini tel. 0541 716380 fax 0541 783808

13

Privacy e marketing. Manuale per la tutela dei dati personali nel marketing alberghiero.

T.13

Collana Manuali operativi per imprese turistiche

Privacy e marketing.

Manuale per la tutela dei dati personali nel marketing alberghiero.

manuali operativi per imprese turistiche

turismo@provincia.rimini.it www.turismo.provincia.rimini.it

Provincia di Rimini Assessorato al Turismo

13 – giugno 2006

Manuale di marketing, indirizzato agli operatori turistici, realizzato nell'ambito della convenzione tra l'Assessorato al Turismo della Provincia di Rimini e Stefano Lombardini Coordinamento progetto: Symon Buda, Francesca Sancisi, Antonella Venturi (Provincia di Rimini) Redazione a cura di: Stefano Lombardini Collana a cura di: Massimo Masini, Dirigente Servizio Turismo Provincia di Rimini Progetto grafico: Relè Stampa: Graph - Rimini

Per informazioni: Assessorato al Turismo Provincia di Rimini Piazza Malatesta, 28 - 47900 Rimini Tel. 0541 716380 Fax 0541 783808 turismo@provincia.rimini.it

L’autore

Stefano Lombardini (1957) si occupa di ricerche di mercato ed è consulente per gli adempimenti privacy delle aziende alberghiere. Collabora con la società Teamwork di Rimini per piani di marketing turistico e studi di fattibilità in campo alberghiero.

Su questi temi cura una rubrica specialistica su Italia Oggi.

Ha svolto per molti anni indagini statistiche per l’Osservatorio Turistico dell'EmiliaRomagna. In veste di Mistery shopper per il giornale della FIPE “Pubblico Esercizio” ha effettuato il check up di centinaia di alberghi, bar e ristoranti italiani. Per APT Emilia-Romagna ha gestito un piano biennale di store promotion sul mercato europeo.

Tra le sue pubblicazioni “Rimini: dove va la capitale del turismo”, Franco Angeli, e “Qualità e sicurezza in albergo”, AECA, corso multimediale per la formazione a distanza, tradotto anche in inglese. Ha realizzato per questa medesima collana della Provincia di Rimini il manuale T.12 “Club di prodotto”.

Contatti: lombardini@teamwork-rimini.com

Indice

Presentazione

11

Prefazione

13

1 La Privacy, una rivoluzione pacifica 1.1 I diritti collegati ai dati personali 1.2 L’Autorità Garante 1.3 Il Codice della privacy 1.4 I sondaggi di Eurobarometro tra i cittadini

17 18 21 23 25

2 Linee guida per il trattamento dei dati personali 2.1 La conoscenza del Codice 2.2 Il contesto della privacy 2.3 Il sistema informativo 2.4 Le tipologie di dati 2.5 I diritti riconosciuti all’interessato 2.6 I sondaggi di Eurobarometro tra le imprese

27 27 29 32 34 37 40

3 L’impatto del Codice sul marketing alberghiero 3.1 Come gestire la privacy alla reception 3.2 Le informative 3.3 La comunicazione con media elettronici 3.4 Privacy policy del sito internet 3.5 Altri trattamenti per il marketing alberghiero 3.6 Trasferimento di dati all’estero

43 43 46 52 56 58 62

4 Sistema informativo, nomine e formazione dei dipendenti 4.1 L’analisi dei flussi informativi 4.2 I soggetti del trattamento 4.3 Il piano delle autorizzazioni 4.4 Le nomine dei dipendenti 4.5 Le informative per i dipendenti 4.6 Le attività di formazione dei dipendenti 4.7 Le nomine di soggetti esterni

65 65 67 69 72 76 79 80

5 Guida pratica alla compilazione del Dps 5.1 Chi deve compilare il Documento programmatico sulla sicurezza 5.2 Misure minime di sicurezza 5.3 Regole 1-18 del disciplinare tecnico 5.4 Regola 19 del disciplinare tecnico 5.5 Regole 20-26 del disciplinare tecnico 5.6 Regole 27-29 del disciplinare tecnico

85 85 88 91 92 102 103

6 I registri da conservare in albergo 6.1 Lista dei documenti necessari 6.2 Modulistica a schema facilitato per compilare il Dps 6.3 Testi dell’articolo 7 del Codice e dell’Allegato B disciplinare tecnico

107 107 111 124

Bibliografia

131

Presentazione

Dando il via alla pubblicazione di questa collana di “manuali operativi per le imprese turistiche”, l’Assessorato al Turismo della Provincia di Rimini ha inteso fornire agli operatori degli strumenti da utilizzare nella gestione quotidiana. Non saggi teorici sul marketing o sull’innovazione di prodotto che lasciano inevasa la domanda “in concreto cosa debbo fare?”, ma veri e propri manuali per accompagnare l’operatore a capire cosa può o deve fare e come concretamente può e deve agire.

A queste caratteristiche corrisponde pienamente il volume “Privacy e marketing.

Manuale per la tutela dei dati personali nel marketing alberghiero” che contiene suggerimenti, indicazioni pratiche, esempi, moduli utilizzabili. Vuole essere insomma un prezioso ed efficace aiuto all’albergatore che è tenuto a rispettare nell’azienda i vincoli posti dalla legge sulla privacy e nello stesso tempo non intende rinunciare ai database di nomi e indirizzi per compiere le necessarie azioni di marketing.

Siamo convinti che un’impresa alberghiera orientata al marketing, un’impresa che scommette sul proprio futuro, che punta sull’innovazione, non troverà particolari difficoltà ad adeguare la propria gestione alla richieste della legge sulla privacy. In ogni caso, a togliere dubbi e perplessità, a suggerire possibili vie di soluzione, ecco il manuale che avete fra le mani. Mi auguro che possa davvero risultare utile a tutti gli albergatori di Riviera di Rimini e a quanti vorranno consultarlo.

Andrea Gnassi Assessore al Turismo della Provincia di Rimini

11

Prefazione

Il flusso ascendente di informazioni dalla clientela (e sulla clientela) alla Direzione deve essere organizzato, curato e controllato con la stessa assiduità ed accuratezza che si riserva a quello del denaro.

Giovanni Peroni, “Marketing turistico” Il manuale è dedicato al nuovo Testo Unico in materia di protezione dei dati personali e alle rilevanti implicazioni che questo Codice ha sul sistema informativo dell’albergo e soprattutto sulle azioni di marketing e web marketing connesse al trattamento dei dati personali di clienti e utenti.

La tutela dei dati personali offre un reale valore aggiunto perché influenza e incide sulla cultura organizzativa interna dell’impresa alberghiera e permette di anticipare bisogni e aspettative dei clienti rendendo trasparente la gestione delle informazioni che li riguardano.

Le nuove competenze professionali che potranno essere alimentate dalla conoscenza del Codice sono orientate a un più alto grado di efficienza del sistema informativo aziendale e a un più sicuro sistema di tutela dei dati personali. Ci sarà dunque un’importante influenza di questo argomento sulla cultura aziendale, sugli stili di lavoro, su abitudini e consuetudini. Il manuale, nella sua veste di guida pratica per gli operatori, intende favorire il miglioramento delle performance di tutti gli attori dell’industria alberghiera.

Il rapporto con il mercato esce rafforzato dall’applicazione di nuove regole e principi per la protezione dei dati personali, per la tutela della riservatezza e dell’identità personale. Privacy e marketing possono e devono convivere. C’è spazio per una collaborazione proficua tra queste due sfere.

Applicare il Codice non è un’operazione semplicissima e immediata, ma non è neppure impossibile, o da guardare con sospetto: se si è sempre governato il sistema informativo aziendale in una prospettiva di qualità e si è impostato il rapporto col cliente in un’ottica di customer satisfaction gli adempimenti che potremmo definire burocratici sono davvero minimi.

13

Dal momento che la documentazione da produrre ai sensi del Codice in materia di privacy va costantemente aggiornata ecco che tutto ciò che riguarda la dotazione informatica, i processi lavorativi, le risorse umane, diventa oggetto di programmazione e pianificazione, con positivi riflessi sull’organizzazione aziendale.

Questo manuale è di rapida consultazione, presenta un’immediata utilità pratica, contiene schemi e soluzioni facilmente applicabili. Quelli che possono apparire dei puri adempimenti formali sono molto limitati come quantità e per nulla invasivi. Si inseriscono in piena coerenza nel piano di ammodernamento di una gestione aziendale e sono praticamente già applicati se in ditta esiste già un’ordinata archiviazione dei dati e un corretto allestimento della rete informatica.

Il manuale è ricco di suggerimenti, modelli, esempi pratici, consigli. Invitiamo a gestire con arguzia e tempestività la questione. Mettersi, come si suol dire, a norma con la privacy in termini di documentazione amministrativa è un’operazione alla portata di tutti. Utilizzando l’intera modulistica presentata in questo manuale ogni azienda potrà predisporre agilmente e in rapidità il proprio Registro della privacy, con tutti i passaggi richiesti dal Codice, inclusa la stampa del prezioso Dps, il documento programmatico sulla sicurezza, che è la mappa del sistema informativo aziendale per il trattamento dei dati personali.

Per un intervento così importante e nello stesso tempo così pratico converrebbe a ogni albergatore e in primis alle compagnie alberghiere più rappresentative mostrarsi da subito altamente professionali con i propri clienti. Rimandando sine die queste piccole operazioni si lascia aperto il varco a possibili problemi collegati alla protezione dei dati personali o a un uso non conforme al Codice. Questo non gioverebbe all’immagine di aziende che hanno particolare cura della qualità del servizio e che cercano con tanti sforzi la customer satisfaction.

Ora è bene sciogliere alcuni equivoci in merito alle date per mettersi in regola con gli adempimenti. Non è vero, come si sente dire con un certo semplicismo, che la legge sulla privacy è stata prorogata e quindi non vi sarebbero impegni immediati in proposito. Se leggiamo il decreto legislativo n.196 del 2003, con cui è stato promulgato il Codice per la protezione dei dati personali, l’obbligo di Informativa ai

14

clienti vige ad esempio dal giorno di entrata in vigore della legge, il 1° gennaio 2004.

Recenti decreti hanno dato semplicemente maggior tempo per realizzare gli interventi sulla rete informatica dell’azienda.

Il Codice esige l’adozione di alcune misure tecniche di sicurezza, come abilitazione di password, antivirus e altri accorgimenti, per proteggere le banche-dati da accessi non autorizzati. Ecco, quando si sente parlare di proroghe il riferimento è solo a questo adempimento tecnico-informatico, perchè la legge sulla Privacy e i diritti dei clienti sono già da rispettare ad ogni effetto.

Questo manuale pratico, benchè gli esempi e le applicazioni siano riferiti in particolar modo all’azienda alberghiera, è utilizzabile anche da tutte le altre imprese turistiche della filiera. Il volume indica con chiarezza e semplicità in quale modo ogni operatore, senza sentirsi oberato dalla burocrazia, può provvedere al corretto trattamento di dati personali rispettando le disposizioni del Codice e senza mai interrompere le consuete e necessarie attività di marketing e di promozione della propria offerta.

Buon lavoro a tutti.

Stefano Lombardini

15

1:1

1. La privacy, una rivoluzione pacifica

- Non possono invadere la mia vita privata dopo che ho chiesto loro di non farlo.

- Lo faranno senz’altro. Aspetta e vedrai.

William Faulkner, “Privacy” “La pacifica rivoluzione della privacy”. E’ la definizione cara alla vision culturale di Stefano Rodotà, presidente dell’Autorità Garante fino all’inizio del 2005. Questa rivoluzione arriva con l’entrata in vigore della legge 675 del 1996 e attribuisce a ogni 1 cittadino “il potere di governo delle informazioni che lo riguardano” . Non è appena il diritto alla riservatezza di matrice anglosassone, the right to be let alone, ma si estende in forma attiva al “diritto riconosciuto alla persona di decidere da sè della 2 cessione e dell’uso dei propri dati personali” come espressione di un più vasto e fondamentale diritto all’identità personale.

Alla legge 675, dopo una serie di aggiustamenti intermedi, fa seguito il decreto legislativo 196 del 2003, Codice in materia di protezione dei dati personali, il Testo Unico sulla privacy attualmente in vigore. Il Codice introduce il diritto alla protezione dei dati personali adeguandosi a normative comunitarie e alla Carta dei diritti del cittadino europeo. Il Testo Unico è ispirato all’introduzione di nuove garanzie per i cittadini, alla razionalizzazione delle norme esistenti e alla semplificazione degli adempimenti. Contiene anche importanti innovazioni tenendo conto della giurisprudenza del Garante e delle direttive UE sulla riservatezza nelle comunicazioni elettroniche.

Il tema della privacy trova una sistemazione organica sotto l’impulso della Comunità Europea. L’accordo di Schengen prevede l’istituzione di un’Autorità di controllo composta dai Paesi membri e l’Italia può parteciparvi in forza della nuova legislazione nazionale in materia. Il Codice viene promulgato per mettere l’Italia nella condizione di poter ratificare assieme agli altri paesi europei l’accordo relativo all’eliminazione dei controlli alle frontiere UE per realizzare la libera circolazione di merci, persone, capitali, servizi e informazioni.

1

Garante per la protezione dei dati personali (2005),

Relazione 2004. Discorso del Presidente, Roma, p.3 2

Pinori A. (2004), La protezione dei dati personali,

Giuffrè, Milano, p.1

17

L’assenza di regole per così lungo tempo aveva causato sia il protrarsi di trattamenti dei dati personali in viola-

1:1.1

zione del diritto di privacy, sia la mancata consapevolezza nell’opinione pubblica dei rischi connessi al trattamento dei dati personali.

La legge tutela il diritto delle persone di controllare il flusso e l’utilizzo da parte di terzi delle informazioni personali, diritto di decidere della cessione e dell’uso dei propri dati personali, comprese le immagini. Il nostro ordinamento riconosce il diritto alla riservatezza e a questo diritto si affianca quello all’identità personale.

Entrambi trovano il loro fondamento in norme costituzionali, come l’art.2 della Costituzione italiana.

Primi riconoscimenti espliciti al diritto alla riservatezza erano contenuti nella tutela della segretezza della corrispondenza come anche nelle norme dello Statuto dei lavoratori che vietano l’uso di impianti audiovisivi per il controllo a distanza dei lavoratori e vietano indagini sulle opinioni politiche, religiose, sindacali dei dipendenti. Questi articoli dello Statuto (artt.4-8, legge 300/1970) sono espressamente richiamati dal Codice (artt.113-114).

1.1 I diritti collegati ai dati personali > Ci sono dunque nuovi diritti di cui il cittadino è investito, e soprattutto di cui è ora sempre più consapevole e che per questo reclama di veder riconosciuti.

I dati personali appartengono all’identità della persona, sono di proprietà materiale della persona. La legge tutela la loro riservatezza e tutela l’identità personale. Il trattamento di questi dati personali deve rispettare le garanzie introdotte dalla legge. La prima di queste garanzie è la trasparenza e ogni persona detiene il diritto di conoscere se un determinato soggetto ha raccolto dati personali che lo riguardano, quali siano queste informazioni e di farle rettificare se erronee, incomplete o non aggiornate.

Il cittadino, che nella circostanza che stiamo esaminando è il cliente dell’albergo, può chiedere senza particolari formalità conferma dell’esistenza o meno di dati personali che lo riguardano rivolgendosi alla ditta che custodisce informazioni sul suo conto. Può anche esercitare il diritto di accesso ai dati personali chiedendo di conoscere dove sono stati raccolti e quali informazioni sono possedute. E’ diritto del

18

1:1.1

cliente ricevere gratuitamente risposte senza ritardo così come è possibile ottenere la correzione, l’aggiornamento e l’integrazione dei dati.

Esiste poi il diritto di controllare il loro utilizzo per comprendere come vengono trattati i dati, come vengono utilizzati, con quali particolari elaborazioni, per quali scopi e se è stato manifestato, quando è richiesto, il consenso libero e informato.

In particolare il cliente può opporsi alla pubblicità indesiderata. Se riceve brochure pubblicitarie, offerte promozionali, comunicazioni commerciali, e-mail indesiderate, può sempre opporsi, senza dover pagare nulla, all’utilizzo dei dati che lo riguardano, anche nel caso abbia espresso in precedenza un consenso. E’ possibile esercitare questo diritto rivolgendosi al soggetto che ha effettuato la comunicazione chiedendo di interrompere il trattamento dei dati e di non utilizzarli più per invii postali, messaggi e chiamate.

Se i dati personali vengono trattati da una ditta in violazione di legge, ad esempio per l’invio di e-mail senza un preventivo permesso del destinatario, il cliente ha il diritto di ottenere la cancellazione dei propri dati da quell’archivio.

Tutta questa problematica ha ulteriori implicazioni se consideriamo la navigazione in internet. Muovendosi in rete ogni utente lascia parecchie tracce del suo passaggio. L’uso illecito dei dati personali del navigatore potrebbe mettere in pericolo la sua privacy e l’integrità dei suoi dati. Il testo unico sulla protezione dei dati personali affida compiti all’autorità giudiziaria e al Garante per eseguire controlli, esaminare controversie e bloccare o vietare trattamenti illeciti. > L’indirizzo di posta elettronica di un navigatore della rete internet è un dato personale. Un indirizzo e-mail potrebbe essere utilizzato per scopi diversi da quelli per cui è stato reso noto dal suo proprietario. Qualcuno potrebbe usare questo indirizzo di posta elettronica per spamming, cioè inviare messaggi informativi o pubblicitari non richiesti.

I siti web visitati potrebbero inviare cookies a insaputa del navigatore, file che possono consentire al gestore del sito di riconoscere l’utente ad ogni connessione e

19

1:1.1

tracciare il suo profilo. Per questo sta maturando tra i navigatori molta prudenza nel rilasciare i dati personali, operazione che generalmente avviene dopo aver letto con attenzione l’informativa presente sul sito web sull’uso che di quei dati ne verrà fatto. In ogni circostanza è sempre l’utente ad avere il diritto di scegliere per quali scopi potranno essere utilizzati i suoi dati.

I siti web che danno garanzie in questo senso sono quelli che: > forniscono un’informativa completa nella quale sono indicati con precisione gli scopi per i quali verranno utilizzati i dati personali e le modalità del loro trattamento, > chiedono esplicitamente di sottoscrivere il consenso all’invio di materiale pubblicitario o alla comunicazione dei dati personali a terzi, > indicano chiaramente il gestore del sito e che permettono di esercitare agevolmente i diritti che sono riconosciuti all’utente per la tutela dei suoi dati personali, > che usano cookies solo se sono effettivamente necessari alla fornitura dei servizi che si desidera ricevere e che informano adeguatamente della loro esistenza.

La protezione dei dati personali è assicurata anche dai nuovi elenchi telefonici, c’è insomma la libertà di essere presenti senza ricevere pubblicità indesiderata. La finalità degli elenchi sarà quella di favorire le relazioni interpersonali, ma non più per inviare liberamente la pubblicità. Di questo i consumatori ne sono sempre più consapevoli.

Nei nuovi elenchi, sia a stampa che elettronici, l’utente ha diritto di comparire anche senza indirizzo o soltanto con l’iniziale del nome. Oppure potrà arricchire e completare i propri riferimenti anche con il numero del cellulare e l’indirizzo di posta elettronica. > La presenza di questi dati personali sugli elenchi telefonici non autorizza alcun venditore a inviare pubblicità, promozioni od offerte commerciali. Ciò può avvenire solo se l’utente autorizza espressamente questi invii con apposito consenso, che viene espresso sugli elenchi da simboli e icone per ricevere telefonate commerciali e/o depliant postali.

Solo l’utente che lo avrà liberamente accettato potrà ricevere contatti di genere

20

1:1.2

commerciale, essere interpellato per un sondaggio, vedersi recapitare posta pubblicitaria al domicilio, ricevere fax o anche sms promozionali. “L’Autorità ha inoltre stabilito che a partire dalla seconda metà del 2005 non potranno più essere adoperati i nominativi contenuti negli elenchi telefonici per realizzare operazioni di mar3 keting diretto nei confronti di chi non lo abbia espressamente consentito” .

1.2 L’Autorità Garante Il Garante per la protezione dei dati personali è un’autorità indipendente istituita dalla prima legge sulla privacy n.675 del 1996 per assicurare la tutela dei diritti e delle libertà fondamentali ed il rispetto della dignità nel trattamento dei dati personali. É un organo collegiale, composto da 4 membri eletti dal Parlamento, che rimangono in carica per un mandato, rinnovabile, di 4 anni. L’attuale collegio si è insediato nell’aprile 2005, presidente Francesco Pizzetti, vicepresidente Giuseppe Chiaravalloti, componenti Mauro Paissan (al suo secondo mandato) e Giuseppe Fortunato. Segretario generale dell’Autorità Garante è, dal 1997, Giovanni Buttarelli.

La legge demanda al Garante il compito di promuovere la conoscenza tra il pubblico delle norme che regolano il trattamento dei dati, delle relative finalità e delle misure di sicurezza. Per svolgere questo incarico l’ufficio del Garante, al quale sovrintende il segretario generale, è articolato in dipartimenti e servizi con un organico di circa 100 unità, con sede in Roma. Il Garante pubblica periodicamente un bollettino che contiene i provvedimenti e la normativa di riferimento. E’ però attraverso il sito web www.garanteprivacy.it che è possibile controllare ogni immediata notizia dei provvedimenti stessi e dei pareri adottati, oltre che leggere la newsletter settimanale che informa su tutte le attività poste in essere dal Garante. Pubblicata anche una collana editoriale con approfondimenti sulle tematiche riguardanti la protezione dei dati personali.

L’attività del Garante è iniziata nel 1997 e ha riguardato ogni settore della vita sociale economica e culturale del Paese in cui si sia manifestata l’esigenza della protezione dei dati personali. Oltre ai provvedimenti adottati in materia di attività delle pubbliche amministrazioni, sanità, assicurazioni, giornalismo e telecomunicazioni, l’interesse del Garante si è appuntato Garante per la protezione dei dati personali (2005), anche su tematiche centrali per le Relazione 2004, Roma, p.70

3

21

1:1.2

aziende, come i rapporti di lavoro, il marketing, il credito, la videosorveglianza.

I compiti del Garante, che sono fissati per legge, riguardano, tra le altre cose: > il controllo di conformità dei trattamenti di dati personali a leggi e regolamenti, > la segnalazione ai titolari o ai responsabili dei trattamenti delle modifiche da adottare per conseguire tale conformità, > l’esame delle segnalazioni e dei reclami degli interessati, nonché dei ricorsi presentati ai sensi di legge, > le autorizzazioni per il trattamento dei dati sensibili, > la promozione, nell’ambito delle categorie interessate, della sottoscrizione dei codici di deontologia, > il divieto del trattamento di dati personali quando per la loro natura, oppure per le modalità o gli effetti di tale trattamento, vi sia il rischio concreto di un rilevante pregiudizio per il cittadino interessato, > la segnalazione al Governo dei provvedimenti normativi di settore, > la formulazione dei pareri richiesti dal Presidente del Consiglio o da ciascun ministro in ordine ai regolamenti ed agli atti amministrativi inerenti la protezione dei dati personali (di cui uno recentissimo relativo al riordino del Tulps, il Testo unico delle leggi di pubblica sicurezza, in merito alla registrazione delle generalità dei clienti dell’albergo e la trasmissione dei dati alle Questure).

La presenza del Garante. I settori commerciali nei quali è intervenuto sono: > internet (spamming, pubblicazioni di foto sul web), > sorveglianza (web cam, controllo a distanza dei lavoratori), > direct marketing (informativa e consenso, profilazione dei clienti, telefonate e fax indesiderati), > rapporto di lavoro (dati sanitari, annunci di lavoro, curriculum vitae, test di selezione), > imprese (trasferimento di dati all’estero, misure di sicurezza informatica), > banche e assicurazioni (credito al consumo, home banking).

L’Autorità Garante è intervenuta per attività ispettiva riguardante il Codice per la protezione dei dati personali. Gli accertamenti eseguiti sono ruotati attorno a verifiche relative a:

22

1:1.3

> modalità di acquisizione del consenso, in molti casi connesse ad attività effettuate sulla rete internet mediante l’invio di sollecitazioni commerciali non richieste via e-mail, > il rispetto delle disposizione di legge in relazione al trattamento di dati mediante sistemi di videosorveglianza, > l’accertamento dell’origine dei dati oggetto di trattamento, > il rispetto dell’obbligo di notificazione al Garante, > l’adozione delle misure di sicurezza.

1.3 Il Codice della privacy Il Codice in materia di protezione dei dati personali entra in vigore il 1° gennaio 2004 e rappresenta un profondo tentativo di comporre in maniera organica le innumerevoli disposizioni relative alla privacy finora succedutesi. Riunisce in un unico contesto la legge 675 del 1996 e gli altri decreti legislativi, regolamenti e codici deontologici che si sono prodotti in questi anni. Rispecchia profondamente il modello che era alla base della prima legge sulla protezione dei dati.

In particolare, è stato ribadito il principio di custodire i dati personali per limitare il più possibile il rischio che essi siano distrutti, dispersi, conoscibili fuori dei casi consentiti o trattati in modo illecito, nonché di introdurre ogni utile dispositivo di protezione legato alle nuove conoscenze tecniche.

Entro il 31 marzo di ogni anno le aziende dovranno adottare le misure di sicurezza prescritte dal Codice a salvaguardia dei dati personali contenuti negli archivi e redigere il documento programmatico in materia di sicurezza (Dps). Le misure minime, solo in parte previste dalla legge 675, sono l’insieme degli accorgimenti tecnici e organizzativi che l’azienda deve adottare per assicurare appunto almeno un livello minimo di sicurezza per la protezione dei dati personali.

Il Dps deve contenere, in particolare, l’analisi dei rischi che incombono sui dati personali e le tutele adottate per prevenire la loro distruzione, l’accesso abusivo e la dispersione. Il Dps è obbligatorio per chi raccoglie, utilizza e conserva dati personali, sensibili e giudiziari in formato elettronico. Dal 2006, decorso il periodo transitorio connesso all’entrata in vigore del Codice, il termine per l’aggiornamento

23

1:1.3

annuale del Dps rimarrà fissato ricorrentemente al 31 marzo.

Il Codice è diviso in tre parti.

1. Disposizioni generali Questa parte è dedicata alle disposizioni generali, riordinate in modo tale da trattare tutti gli adempimenti e le regole del trattamento con riferimento ai settori pubblico e privato.

2. Disposizioni particolari relative a specifici settori La seconda è la parte speciale dedicata a specifici settori. Questa sezione, oltre a disciplinare aspetti in parte nuovi (notificazioni di atti giudiziari, dati sui comportamenti debitori), completa anche la disciplina per il settore degli organismi sanitari e quella dei controlli sui lavoratori.

3. Disposizioni per la tutela dell’interessato e sistema sanzionatorio L’ultima parte affronta la materia delle tutele amministrative e giurisdizionali e le sanzioni amministrative e penali.

Un nota bene che non è appena una disquisizione semantica, ma investe la comprensione sostanziale del problema trattato. Il Codice per la protezione dei dati personali è definito popolarmente, ma non in modo del tutto esatto, Codice della privacy. Questa abbreviazione è accettata per esigenze di praticità e anche in questo manuale ne faremo libero uso. In vero, il termine così abbreviato ne riduce la portata a uno solo dei due pilastri concettuali della normativa. Oltre alla questione della riservatezza, la privacy, ve ne è una seconda, ma non per grado di importanza, che il Testo Unico ha inteso affermare: quella della sicurezza dei dati ovvero della loro integrità e disponibilità. Quindi il raggio di azione, come si vedrà più avanti, investe certamente le relazioni tra i soggetti che effettuano un trattamento dei dati personali e i cittadini cui i dati si riferiscono, ma investe anche l’aspetto della struttura fisica, della dimensione materiale del sistema informativo aziendale, con particolare riferimento alle sue componenti informatiche hardware e software.

24

1:1.4

1.4 I sondaggi di Eurobarometro tra i cittadini Eurobarometro è l’Ufficio comunitario preposto all’analisi dell’opinione pubblica europea su temi di interesse comunitario. Un rapporto dell’istituto svolto per conto della Commissione europea sul livello di conoscenza e applicazione delle norme di protezione dati rivela come i cittadini italiani siano i più informati d’Europa in materia di privacy.

> “Sono dunque i cittadini del nostro Paese i più informati sui propri diritti e sull’esistenza di un’autorità indipendente. Altro dato importante è che in Italia, rispetto al passato, la percentuale dei cittadini particolarmente preoccupati per la propria privacy è scesa dal 47% del 1991 (quando non c’era una legislazione specifica in Italia) al 14% del 2003. > I risultati dell’indagine offrono un panorama assai variegato della protezione dei dati in Europa. Il dato più preoccupante è quello riguardante coloro che ignorano l’esistenza di un’autorità nazionale di protezione dati: 2/3 degli intervistati. Inoltre, solo 1/3 è a conoscenza di una legge che riconosce diritti importanti (come il diritto di accedere ai propri dati personali) ed obbliga i titolari a fornire determinate informazioni. La stragrande maggioranza ritiene giusto ottenere queste informazioni e soprattutto conoscere se i propri dati siano diffusi o comunicati ad altri e per quale scopo. > Oltre il 60% dei cittadini UE nutre preoccupazioni forti o molto forti sulla tutela della privacy. Il livello di fiducia in vari soggetti che trattano dati personali varia considerevolmente, anche se medici e servizi sanitari risultano godere del livello più elevato di fiducia in tutti gli Stati UE (84%). Per contro, la metà dei cittadini non si fida delle compagnie di assicurazione, delle società che gestiscono carte di credito (con grandi oscillazioni fra i singoli Paesi) e delle cosiddette centrali rischi, ma si fida delle banche e delle istituzioni finanziarie (con grandi variazioni fra i singoli Paesi), degli enti locali, delle autorità nazionali e, significativamente, del proprio datore di lavoro; ancora più alta (72%) la percentuale di cittadini che si fida delle forze dell’ordine, con valori tradizionalmente elevati nei Paesi scandinavi (oltre l’80% in Svezia, Danimarca e Finlandia). > Le opinioni sul livello di tutela esistente nel proprio Stato e sulle prassi accettabili divergono considerevolmente nei singoli Stati. Tuttavia, il 46% giudica elevato il livello di protezione dei dati nel proprio Stato, mentre il 31% ha un’opinione contraria (il 37% in Italia) e ben il 23% non sa che dire. Il 90% di tutti i cittadini ritiene corretto essere informati sulle finalità della raccolta di dati personali e sui soggetti ai quali i dati possono essere comunicati; per quasi i 2/3 (64%) costituisce un problema lasciare i propri dati personali su Internet, e 1/3 (34%) non sa se la propria legge nazionale sia in grado di gestire le problematiche privacy rispetto all’utilizzo di Internet. Soprattutto, il 70% dei cittadini UE giudica insufficiente la conoscenza delle norme in materia di privacy nel proprio Paese, anche se quasi la metà ritiene di godere di una protezione migliore di quella esistente nei Paesi non-UE (ma un’analoga percentuale, 47%, non sa se ciò corrisponda alla realtà).

25

1:1.4

> Per quanto riguarda la conoscenza della normativa e l’applicazione dei principi della Direttiva comunitaria, il dato più significativo è che il 68% dei cittadini UE non sa che esiste un’autorità indipendente incaricata di vigilare sulla tutela della privacy; l’Italia, insieme ai Paesi Bassi, è il Paese dove i cittadini sono meglio informati al riguardo (34%). Solo 1/3 dei cittadini sa che esiste una legge che riconosce diritti importanti (accesso, rettifica, opposizione al trattamento), ma in Italia più della metà (53%) ne è a conoscenza. Fra gli aspetti positivi, il 42% sa che esiste un obbligo di informativa da parte di chi raccoglie e tratta dati personali, anche se con ampie differenze fra i singoli Paesi (l’Italia è in testa con il 63%).

Infine, quasi la metà dei cittadini europei (49%) sa che ha il diritto di opporsi all’uso dei propri dati per scopi di marketing diretto (in Italia la percentuale sale al 57%, uno dei valori più elevati). > Lotta al terrorismo e monitoraggio delle comunicazioni: la maggioranza (40%) è favorevole al monitoraggio di traffico telefonico e Internet per i soggetti sospettati di attività terroristica, mentre 1/3 circa ritiene che non si debba procedere al monitoraggio indiscriminato del traffico telefonico o su Internet (qui la percentuale scende al 25%) e il 12% ritiene necessario ottenere comunque l’autorizzazione di un 4 giudice” .

4

Newsletter del Garante per la protezione dei dati perso-

nali, 23 febbraio 2004

26

2:2.1

2. LINEE GUIDA PER IL TRATTAMENTO DEI DATI PERSONALI

Una rabbiosa esasperazione urgeva, un senso d’incubo, quasi che fosse tutta una macchinazione ordita misteriosamente in odio a noi.

Dino Buzzati, “Il corridoio del grande albergo” Sono assai numerose le circostanze, quotidiane o straordinarie, in cui un’impresa effettua un trattamento di dati. Esaminando in una panoramica le principali di queste situazioni ciascuno potrà rendersi conto dello scenario in cui va a collocarsi il Testo Unico della privacy e quanto, gli adempimenti richiesti, siano tutt’altro che un limite allo sviluppo, anzi, abbiano un’influenza positiva sulle organizzazioni.

Può essere utile far osservare che determinati accorgimenti che nascono da semplici criteri di buon senso rappresentano quelle soluzioni che poi verranno richieste in forma obbligatoria dal Codice. Questo per mostrare che gli adempimenti voluti dalla normativa sulla protezione dei dati personali contribuiscono a rendere più ampio il sistema delle garanzie, delle tutele, del rispetto delle persone propugnando semplicemente il miglioramento delle procedure. Non solo. Quegli adempimenti rendono più professionali le stesse gestioni aziendali in quanto si riducono sprechi, si evitano o perlomeno si governano eventuali fermi macchina, si risparmiano ricorrenti perdite di ore (questo sì, è cronaca quotidiana) nella ricerca di dati che non si sa in quali archivi siano finiti, si aiutano i processi di gestione aziendale, si giunge a fare controllo di gestione nel senso più ampio della parola.

2.1 La conoscenza del Codice Anticipiamo ora in sintesi alcuni punti chiave che andremo a sviluppare nei capitoli successivi. Il nuovo Testo Unico sulla privacy, il D.Lgs. 196/03 in materia di protezione dei dati personali, è in vigore dall’inizio del 2004 e naturalmente si può già vedere come questa normativa abbia inciso sulle funzioni operative dell’impresa alberghiera. L’applicazione del Codice mostra uno dei suoi primi effetti riguardo alla registrazione del cliente al suo arrivo in albergo e alle attività di marketing e web marketing.

Quando il cliente arriva in albergo il receptionist oltre a registrare i dati dell’ospite per gli obblighi di pubblica sicurezza, la cosiddetta schedina di Pubblica Sicurezza (P.S.) da trasmettere in Questura, può richiedere separatamente una firma di con-

27

2:2.1

senso, che è sempre facoltativa, per altri utilizzi di quei dati e di dati aggiuntivi.

Infatti il Codice privacy riconosce al cliente un preciso diritto di scelta: se ricevere o no posta a lui indirizzata, o telefonate in camera, e anche se ricevere oppure no materiale pubblicitario al proprio domicilio o con posta elettronica.

L’albergo deve fornire al cliente all’atto della registrazione un’informativa completa sull’uso dei dati personali. L’informativa, come indica l’Autorità Garante, deve consentire al cliente opzioni diverse sull’uso dei dati personali che sta dichiarando e, se è prevista la raccolta del consenso, questo deve essere un consenso informato e liberamente prestato.

Come può il cliente dell’albergo conoscere i suoi diritti? In effetti sono ancora rari gli alberghi che espongono alla reception un prospetto informativo riportante l’articolo di legge, di cui si dirà più avanti, che mostra i diritti dell’ospite in ordine all’utilizzo dei suoi dati. Questa piccola documentazione potrebbe anche essere inserita con discrezione nella linea di cortesia delle camere, assieme a depliant e carta intestata dell’albergo.

Il primo aspetto da gestire per l’albergatore è dunque la raccolta di una firma di consenso. Generalmente l’informativa rilasciata al cliente compare con una dicitura prestampata accanto o sul retro della schedina di notifica di P.S. per agevolare la praticità e rapidità dell’operazione, a scapito però di una corretta formulazione dei termini richiesti dalla legge. Molte firme poi vengono raccolte ancora su vecchia modulistica. Spesso questi prestampati, ancora in molti casi in uso, fanno riferimento alla normativa previgente, la legge 675/96. La corretta denominazione riferita al nuovo Testo Unico sulla privacy è invece, come detto, decreto legislativo 196/2003. La vecchia 675 è stata abrogata contestualmente all’adozione del presente Codice.

Per spedire pubblicità con internet gli alberghi dovranno avere il consenso scritto dei loro clienti. E’ obbligatorio disporre di questa liberatoria. Solo se l’albergatore ha raccolto la firma del cliente può eseguire senza contestazione l’invio di pubblicità con posta elettronica e gestire correttamente le attività di web-marketing. Sono ben noti i disagi provocati dalla posta indesiderata. Senza questa autorizzazione

28

2:2.2

per l’invio di posta elettronica si incorre nel reato di spamming, considerato dal Codice un illecito penale e non semplicemente una violazione amministrativa.

L’invio postale di materiale cartaceo per posta (lettere con listini-prezzi della nuova stagione, etc.) può avvenire allegando in busta una specifica e dettagliata Informativa sull’uso dei dati personali.

Ci sono regole da rispettare anche nella gestione delle pagine web. La metà degli alberghi italiani dispone di un sito internet indipendente. L’informativa sulla policy privacy aziendale è vistosamente assente da pressochè tutti i siti. Occorre inserire sul web un’informativa per dare ai navigatori una descrizione esatta di quali tracce elettroniche vengono registrate durante la visita sul sito dell’albergo, poichè alcune di quelle tracce contengono dati identificativi dell’utente e anche essi rientrano nel campo di applicazione del decreto in materia di protezione dei dati personali.

2.2 Il contesto della privacy > Comunicando ai clienti l’utilizzo che si fa dei loro dati si migliora il rapporto perché si mostra un principio di trasparenza.

L’uso dei dati nella comunicazione commerciale è bilanciato dal ruolo del consenso come meccanismo di autotutela del consumatore. Se l’azienda ha un approccio volto alla soddisfazione del cliente i processi organizzativi che investono la gestione dei dati diventano di per sé pertinenti con lo sviluppo dell’azienda e non rappresentano appena adempimenti normativi per non imbattersi nelle sanzioni previste dalla legge.

La tutela della privacy e la protezione dei dati personali costituisce un rilevante aspetto della qualità delle relazioni con il cliente. Non potremmo parlare di autentica soddisfazione del nostro ospite solo con riferimento al comfort che gli offriamo quando soggiorna in albergo o quando utilizza i servizi della nostra struttura. > La relazione col cliente è un momento focale per le organizzazioni di servizio, per gli alberghi innanzitutto. Il rispetto del (potenziale) cliente passa anche evitando di intasare la sua posta elettronica con messaggi pubblicitari che lui non ha richiesto.

29

2:2.2

Principali flussi informativi su cui entra in gioco il Codice privacy

30

2:2.2

Non solo. Una delle principali ricchezze di un albergo è il suo data base con i nominativi della clientela. Generalmente negli affitti di ramo d’azienda questa componente entra sempre a determinare il valore finale dell’operazione. Prendere provvedimenti per tutelarsi dal rischio di una perdita accidentale di questi data base o di un accesso non autorizzato, non ha appena valenza perché lo impone il Codice, ma è un processo che garantisce valore di mercato all’azienda stessa.

Quali requisiti deve avere un sistema o un’organizzazione che opera nel campo dei servizi alla persona e che vede nella relazione col cliente uno degli aspetti peculiari delle sue performance? Una direzione alberghiera sensibile al fatto che la relazione col cliente è di primaria importanza: > stabilisce prontamente una politica aziendale di sicurezza nel trattamento dei dati, > formalizza questo impegno, > ne sostiene l’applicazione.

Questo approccio ha una ricaduta su molteplici dimensioni aziendali: > viene avviata una formazione specifica degli addetti che eseguono il trattamento dei dati personali, dall’ufficio di ricevimento a quello di back office fino all’ufficio commerciale e marketing, > collateralmente alla formazione si interviene con una politica di controllo degli addetti per contenere i rischi di errore umano e/o di comportamenti illeciti in ordine al trattamento dei dati e all’utilizzo delle apparecchiature, > il controllo si estende naturalmente agli accessi fisici ai luoghi di lavoro come anche agli accessi operativi agli elaboratori elettronici mediante credenziali di autenticazione, > si provvede a un’ordinata classificazione di tutti i beni strumentali e ai relativi supporti, anche software, che garantiscono l’integrità e la sicurezza della documentazione in oggetto, > le figure aziendali di assistenza tecnica devono garantire l’efficiente funzionamento delle apparecchiature elettroniche per una gestione ordinata dei flussi informativi, > gli stessi specialisti favoriscono un costante sviluppo e adeguamento tecnologico dell’apparato di elaborazione dati,

31

2:2.3

> quando dovessero presentarsi circostanze eccezionali di perdita dei livelli standard di sicurezza si interviene per il contrasto del fenomeno e per ripristinare lo stato ordinario di operatività del sistema informativo aziendale.

“Nella prima metà degli anni ’90 la FIAT ha cercato di inserire nei suoi archivi i dati personali relativi ai suoi dipendenti della FIAT France per avere un data base omogeneo. La CNIL (il Garante francese) ha rifiutato di concedere l’autorizzazione al trattamento all’estero perché l’Italia non disponeva di un’appropriata legislazione di tutela di questi dati. Il trasferimento è stato autorizzato solo dopo che la FIAT ha sottoscritto un protocollo di accordo nel quale si impegnava a garantire a questi dati personali lo stesso 5 livello di tutela loro assicurato dalla legge francese” .

2.3 Il sistema informativo Ogni azienda raccoglie, archivia ed elabora dati personali per proprie specifiche attività produttive. Per fare questo organizza un sistema che definisce i processi lavorativi inerenti le banche dati e le caratteristiche degli archivi stessi. Stabilisce pertanto: > livelli di autorizzazione per le diverse funzioni svolte, > procedure per l’elaborazione dei dati stessi, > misure di sicurezza a garanzia dell’integrità dei dati.

I capisaldi di questo sistema informativo sono dunque quelli di disporre di misure idonee per quanto riguarda i meccanismi di buon funzionamento degli strumenti elettronici e l’idoneità dei luoghi di lavoro dove vengono svolti i trattamenti, identificando gli addetti che sono autorizzati ad operare e predisponendo le opportune barriere (incarichi lavorativi, password di accesso agli strumenti di lavoro e controlli agli archivi fisici).

Il Codice privacy richiede che ogni azienda formalizzi questa procedura attraverso la nomina scritta degli incaricati al trattamento dei dati e regolamentando il loro accesso ai data base elettronici mediante login e password.

5

Biasiotti A. (2004), Codice della privacy e misure minime

di sicurezza, EPC Libri, Roma, p.424

32

Governare tecnicamente un sistema informativo basato sulla presenza di

2:2.3

reti di computer impone di per sé un costante aggiornamento dei sistemi elettronici abbandonando mezzi obsoleti in favore di strumenti più efficienti, più veloci, più aperti. Questo presuppone un aggiornamento anche delle competenze informatiche del personale e una costante pianificazione dell’organizzazione dei ruoli e dei mansionari dei dipendenti.

“Dall’anno 2000 ad oggi lo scenario di riferimento nel quale si contrastano attacchi e difese è cambiato.

Le nuove criticità si chiamano spamming, phishing e spyware. Le sei famiglie di worm più diffuse via Internet nel 2004 sono correlate ad eventi di spamming. Questi worm usano e-mail con allegati infetti e, per ingannare gli utenti, adottano icone di applicazioni diffuse, file di tipo audio/video, intestazioni di messaggio che lasciano pensare a un controllo antivirus avvenuto sul messaggio infetto e trovato privo di virus.

Tra i nuovi pericoli emergenti connessi alla diffusione indiscriminata di e-mail il phishing, che può essere definito come un metodo di intercettazione di dati telematici finalizzato alla cattura illecita di informazioni relative ad utenti di servizi Internet. Viene attuato attraverso l’invio di una e-mail, a volte costruita in modo sofisticato e comprendente immagini e loghi del servizio fornito via web. L’utente, inconsapevole dell’alterazione della pagina del sito che gli viene proposto, può essere invogliato ad accedervi e digitare i suoi dati personali.

I frequenti tentativi di ingannare gli utenti con e-mail di phishing hanno indotto molte imprese e banche a mettere in guardia la propria clientela spedendo comunicati e pubblicando avvisi. Aumentano anche le applicazioni cosiddette spyware, che permettono di spiare e controllare da remoto i personal computer infetti, raccogliere e inviare informazioni sulle abitudini di navigazione degli utenti a società specializzate che possono sfruttarle per inviare pubblicità mirata. A volte hanno funzioni di sniffer, permettendo l’analisi del traffico di rete e l’installazione di funzioni per registrare tutto ciò che viene scritto con l’uso della tastiera. Alcuni di questi programmi non arrecano danni diretti, ma disturbi ai sistemi interessati, mentre altri possono compromettere le prestazioni del computer o violare la privacy dell’utente. Per quanto riguarda i più noti Internet worm, gli incidenti e i danni sono quasi sempre provocati da codici nuovi che sorprendono gli utenti eludendo gli strumenti di prevenzione non aggiornati. (…) Le conseguenze subite dalle aziende sono diverse e numerose: nella ricerca di Oasi si è riscontrata la prevalenza dell’invio automatico ed inconsapevole di e-mail infette ad altri destinatari; la perdita di tempo e di produttività; la presenza di inutili messaggi video; l’invio inconsapevole di file o brani di documenti ad altri utenti; i Pc non disponibili agli utenti; i ritardi nei tempi di risposta e blocchi di sistema. Le infezioni quasi sempre iniziano dai server e si propagano ai client. Molti utenti, in certi periodi, ricevono fino a 10 messaggi di posta elettronica indesiderata al giorno per effetto di azioni di spamming. Le azioni di bonifica sono svolte principalmente in autonomia dal personale interno delle aziende; ma i casi più critici richiedono la collaborazione di specialisti esterni. Molti incidenti vengono risolti nel giorno stesso

33

2:2.4

6

in cui accadono e richiedono un tempo tra 1 e 8 ore di lavoro” .

In buona sostanza, l’azienda che opera in un’ottica di qualità delle procedure organizzative si trova ad aver già adottato implicitamente sia lo spirito del Codice Privacy che quasi tutti gli adempimenti richiesti dalla normativa.

Le disposizioni di legge naturalmente intervengono per regolare la gestione operativa del trattamento dei dati personali e le modalità di archiviazione e utilizzo dell’intero sistema informativo aziendale.

2.4 Le tipologie di dati Cosa intende il Codice per trattamento dei dati? Quali sono le tipologie di dati?

Secondo il disposto dell’art.4 per trattamento si intende “qualunque operazione o complesso di operazioni, effettuati anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modifica, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati”.

I dati si suddividono in 4 categorie: 1. Dati comuni. Sono i dati anagrafici generali dell’interessato.

2. Dati sensibili. Questi sono i dati che identificano origine etnica, convinzioni religiose, opinioni politiche, adesioni a partiti, sindacati, stato di salute, vita sessuale.

3. Dati giudiziari. Sono i dati idonei a rivelare i provvedimenti dipendenti da reati.

4. Dati che presentano rischi specifici, come le informazioni sulla situazione economica dell’interessato.

6

Berghella F., Risultati dell’indagine Oasi-SecurityNet, Il

Sole 24 Ore, 23 giugno 2005

34

2:2.4

Sono dati personali (tra gli altri): • tutti i dati comuni di identità (le generalità)

• targa dell’auto

• perizie medico-legali

• numeri di cellulari

• codice per assegnazione attività lavorativa

• diagnosi mediche

• immagini fotografiche e da videocamere

• ore di servizio su cartellino magnetico

• condizioni patrimoniali rilevate da ex-centrale rischi

• registrazioni audio

• scheda di valutazione con note di qualifica del dipendente

• messaggi di posta elettronica contenenti informazioni sui dipendenti

I dati personali comuni in determinati contesti possono assumere la qualità di dati sensibili. Il fatto di dover verificare caso per caso l’appartenenza di alcuni dati a una categoria di dati comuni oppure a quella più rischiosa di dati sensibili, da proteggere con precise garanzie e per i quali disporre di un consenso scritto al trattamento, costituisce un problema di non facile risoluzione in merito all’applicazione del Codice.

Il trattamento è un’operazione con un’accezione molto ampia e può essere di 4 tipi: 1. acquisizione e raccolta 2. operazioni dinamiche, cioè registrazione, organizzazione, elaborazione, modifica, estrazione, utilizzo consultazione/lettura, cancellazione 3. operazioni statiche, cioè conservazione dei dati 4. divulgazione, cioè comunicazione all’esterno a soggetti precisi e diffusione a chiunque “Comunicazione” dei dati significa farli conoscere a soggetti determinati al di fuori di coloro che li utilizzano in modo legittimo (il responsabile del trattamento, gli incaricati). “Diffusione” significa farli conoscere a soggetti indeterminati ovvero farli conoscere pubblicamente.

35

2:2.4

Nelle operazioni di trattamento dei dati occorre rispettare alcuni principi generali che garantiscano il pieno rispetto della dignità della persona. Si tratta dei principi di finalità, necessità, proporzionalità e indispensabilità. Il trattamento dei dati infatti, secondo lo spirito del Codice, va svolto limitando al massimo l’utilizzo dei dati identificativi.

Art.3 - Principio di necessità nel trattamento dei dati “I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l’interessato solo in caso di necessità”.

> Principio di finalità Il trattamento di dati personali è consentito solo per assicurare la fornitura del servizio inerente l’attività economica in questione. Non sono perseguibili ulteriori finalità. > Principio di necessità Laddove le finalità del servizio possono essere perseguite anche senza trattare dati personali, oppure dati identificativi, il trattamento deve riguardare solo dati anonimi. > Principio di proporzionalità Anche nell’osservare il principio di necessità va verificato che le operazioni di raccolta ed elaborazione dati siano effettivamente pertinenti e non eccedenti rispetto alla finalità iniziali. > Principio di indispensabilità Particolare rigore deve essere osservato per quanto riguarda l’eventuale raccolta e registrazione di dati sensibili, i quali si possono acquisire solo se realmente indispensabili per l’erogazione del servizio.

Un’azienda può operare oltre al trattamento dei dati personali comuni anche il trattamento di dati sensibili. Questo è permesso da Autorizzazioni Generali rilasciate dal Garante. Tra queste autorizzazioni (ve ne sono in tutto 7) la prima riguarda il trattamento dei dati sensibili finalizzati alla gestione dei rapporti di lavoro. Le

36

2:2.5

imprese che operano nel settore turistico o alberghiero o del trasporto, agenzie di viaggio e operatori turistici, possono effettuare il trattamento di dati personali e sensibili in forza dell’Autorizzazione n.5, limitatamente ai dati indispensabili all’esercizio dell’attività.

N.ro autorizzazione 1 2 3 4 5 6 7

Categoria Trattamento dati sensibili per la gestione dei rapporti di lavoro Settore sanitario Associazionismo Liberi professionisti iscritti in Albi (escluso sanità e giornalisti) Banche, assicurazioni, turismo, trasporti, CED Investigazioni private Dati a carattere giudiziario

Per trattamenti di dati che non rientrano in questi casi è obbligatorio trasmettere al Garante una notificazione. Questi trattamenti speciali interessano soprattutto il campo sanitario. Alcuni casi che più di altri possono forse interessare imprese di servizi collegate al settore turistico sono quelli in cui è effettuato un trattamento di: > dati trattati con strumenti elettronici relativi a profilo psicologico, abitudini di consumo, utilizzo di servizi di comunicazione elettronica (internet, e-mail); > dati di selezione del personale per conto terzi, dati sensibili di sondaggi di opinione e ricerche di mercato; > dati gestiti con strumenti elettronici relativi a rischi di solvibilità economica, situazione patrimoniale, comportamenti illeciti.

Sono tenuti alla notificazione coloro che eseguono il trattamento per rivendere a terzi il contenuto delle banche-dati. Sono esentati (deliberazione del Garante n.1 del 31 marzo 2004) i titolari che eseguono un trattamento riferito ai propri clienti.

2.5 I diritti riconosciuti all’interessato Gli interessati di cui avviene il trattamento dei dati personali vengono previamente informati oralmente o per iscritto (art.13). Quando la raccolta dei dati avviene attraverso il contatto personale con l’interessato l’informativa precede la raccolta dei dati stessi. Se i dati vengono raccolti attraverso altre forme si può dare informativa successivamente, quando i dati personali vengono registrati o comunicati.

37

2:2.5

Se l’informativa è incompleta o non corretta il consenso raccolto non ha validità. Il titolare ha l’obbligo (art.13) di fornire precise informazioni all’interessato indicando nell’informativa, nell’ordine: > le finalità della raccolta, > le modalità/strumenti con cui viene eseguito il trattamento, > la natura obbligatoria o facoltativa del conferimento dei dati, > le conseguenze di un eventuale rifiuto, > i soggetti o le categorie a cui possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati, > l’ambito di diffusione dei dati, > che esistono per l’interessato i diritti indicati dall’art. 7, > l’identità del titolare o del rappresentante in Italia, > l’identità di almeno un responsabile e le modalità per conoscere l’elenco aggiornato dei responsabili (e, se designato, anche il nome del responsabile preposto ai rapporti con gli interessati in caso di esercizio dei diritti dell’art. 7).

Riepilogo dei casi in cui non è richiesto consenso scritto (ma informativa sì): > quando si deve adempiere a un obbligo di legge, > quando si deve eseguire un obbligo derivante da un contratto, > per adempiere a specifiche richieste di informazioni dell’interessato prima della conclusione di un contratto, > quando il dato riguarda informazioni presenti in elenchi o documenti conoscibili da chiunque, > quando il dato riguarda informazioni relative allo svolgimento di attività economiche.

Casi in cui è sempre necessario il consenso scritto e informato: quando si trattano dati sensibili e giudiziari, con eccezioni indicate all’art.26 ovvero “i dati sensibili possono essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante, (…) quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge (...) per la gestione del rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro”.

Il consenso non è necessario quando l’azienda utilizza informazioni relative a imprese fornitrici / clienti (per eseguire un contratto o per fornire un preventivo). Se si

38

2:2.5

tratta di corrispondenza tra fornitore e cliente si può invocare l’art.24: non è necessario il consenso perchè il trattamento dei dati personali avviene ‘’per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato’’.

Gli interessati, ovvero tutti i cittadini di cui effettuiamo il trattamento dei dati, hanno diritto, ai sensi del Codice sulla protezione dei dati personali, di accedere alle informazioni che li riguardano. I diritti dell’interessato sono sanciti dagli articoli 7, 8, 9 e 10 del Codice. Egli ha diritto di accesso ai propri dati personali (art. 7). In particolare è riconosciuto il diritto dell’interessato di accedere a: > relazioni medico-legali, > note di qualifica, > diagnosi mediche, > documenti con giudizi finali e documenti intermedi.

Egli può rivolgere richiesta di accesso senza formalità e alla sua richiesta il titolare e/o responsabile deve fornire idoneo riscontro senza ritardo e in forma comprensibile.

Art. 7 - Diritto di accesso ai dati personali ed altri diritti 1. L’interessato ha diritto di ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.

2. L’interessato ha diritto di ottenere l’indicazione: a) dell’origine dei dati personali; b) delle finalità e modalità del trattamento; c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici; d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell’articolo 5, comma 2; e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

3. L’interessato ha diritto di ottenere: a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato

39

2:2.6

il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.

4. L’interessato ha diritto di opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorchè pertinenti allo scopo della raccolta; b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

Il Codice introduce una funzione di garanzia di taluni valori fondamentali della persona. La persona che lamenti un uso non conforme dei propri dati personali o lesioni del diritto di riservatezza/identità personale ha la possibilità di agire in giudizio per chiedere: > all’Autorità giudiziaria ordinaria il riconoscimento del danno patrimoniale e del danno non patrimoniale e la tutela a carattere preventivo a fronte di fatti di usurpazione del suo nome, > al Garante la cessazione delle conseguenze dannose derivanti da una inesatta o lesiva diffusione di un dato personale.

Come operare una corretta gestione dei reclami provenienti dagli Interessati? I dati sono estratti a cura del responsabile o degli incaricati e possono essere comunicati al richiedente oralmente oppure offerti in visione mediante strumenti elettronici.

L’interessato può farsi assistere da una persona di fiducia nel prendere visione dei documenti che lo riguardano.

Può essere opportuno collocare una stampa dell’art.7 in vista, seppur con discrezione, sul banco ricevimento. Questa soluzione permetterà di rilasciare ai clienti informative semplificate essendoci un pratico documento a cui riferirsi per una conoscenza completa dei diritti dell’interessato.

2.6 I sondaggi di Eurobarometro tra le imprese Eurobarometro si è interessato dell’applicazione delle norme sulla privacy così come sono state fissate dalla Direttiva comunitaria sulla riservatezza n.95/46/CE. Le interviste sono state condotte alla fine del 2003 ed hanno interessato un campione statisticamente rappresentativo di oltre 3.000 aziende con almeno 20 dipendenti. Altre 2 indagini analoghe erano state condotte nel 1991, quando l’UE com-

40

2:2.6

prendeva 12 Stati, e nel 1996, alla vigilia dell’approvazione della Direttiva comunitaria, il che ha permesso di effettuare alcune comparazioni.

Il 75% delle aziende italiane, attraverso le risposte date dai responsabili del trattamento, dichiara di informare i propri clienti che il trattamento dei dati avviene nel rispetto della normativa vigente. Tutti gli intervistati giudicano positivamente l’esistenza di norme comunitarie e nazionali in materia, ma quasi la metà giudica insufficiente l’armonizzazione a livello comunitario. Diversa è la graduatoria delle priorità per le strategie da seguire in futuro per semplificare il quadro giuridico della materia.

> “Oltre il 90% delle aziende e imprese titolari di trattamento giudica necessaria l’esistenza di una legge sulla protezione dati, che per il 58% non è eccessivamente rigida. La maggioranza (54%) giudica medio il livello di protezione dati offerto dalla legge nazionale, ma in alcuni Paesi (Finlandia, Lussemburgo) oltre il 50% ritiene che la tutela garantita dalla legge nazionale sia elevata. > La metà circa (44%) non ritiene sufficiente l’armonizzazione raggiunta a livello comunitario ai fini della libera circolazione dei dati, mentre il 61% delle aziende italiane dà una valutazione positiva di tale armonizzazione. Meno della metà dei titolari fornisce costantemente le informazioni previste dalla Direttiva (identità e indirizzo del titolare, diritto di accesso e rettifica, finalità del trattamento, destinatari dei dati), mentre in Italia oltre il 75% delle aziende risulta adempiere tale requisito. > Il 49% delle aziende ha ricevuto nel 2002 meno di 10 richieste di accesso ai propri dati da parte di interessati (in Italia il 58% non ha mai ricevuto richieste di accesso). Il 96% non ha avuto contenziosi con gli interessati i cui dati sono attualmente oggetto di trattamento (il 99% in Italia); d’altra parte è interessante osservare come il 67% ritenga che proprio lo scarso numero di contenziosi sia il motivo per cui le aziende nel proprio Paese non considerano la protezione dati una priorità. > Mediamente il 39% delle aziende ritiene che la scarsa conoscenza della normativa sia la causa del mancato rispetto delle disposizioni in materia di protezione dati, con marcate differenze nazionali (in Italia, in particolare, soltanto il 31% ritiene che vi sia scarsa conoscenza della normativa, il che rappresenta una delle percentuali più basse, e un’analoga percentuale, il 32%, ritiene che i poteri dell’autorità di controllo siano troppo limitati e ciò faciliti comportamenti opportunistici). Fra gli elementi più negativi, il 44% non cancella i dati una volta che non sono più necessari per le finalità per cui sono stati raccolti, e solo il 36% informa preventivamente sulle finalità della raccolta stessa. > Per quanto riguarda le prospettive future, il 45% chiede maggiori chiarimenti sull’applicazione pratica di alcuni principi fondamentali della Direttiva e della legge nazionale (in Italia questa percentuale raggiunge il valore massimo, pari al 55%).

41

2:2.6

> Per il resto le opinioni divergono: nessuna delle altre strategie proposte dallo studio (armonizzare diritto alla protezione dei dati e libertà di pensiero e informazione, aumentare l’uniformità delle leggi nazionali rispetto ai contenuti dell’informativa per gli interessati, introdurre norme di protezione dati settoriali, armonizzare le norme concernenti le misure di sicurezza) ha ricevuto una chiara preferenza da parte dei titolari, con percentuali assai diverse nei singoli Stati, che sembrano avere davanti a sé, pertanto, una lista di priorità piuttosto diversa per quanto riguarda le iniziative miranti a rafforzare e sem7 plificare il quadro giuridico in questo campo” .

7

Newsletter del Garante per la protezione dei dati

personali, 23 febbraio 2004

42

3:3.1

3 L’impatto del Codice sul marketing alberghiero

I soggetti pubblici e privati che raccolgono informazioni devono rendersi conto del fatto che la legittimazione sociale della loro attività è destinata ad essere tanto maggiore quanto più sarà percepita come rispettosa di questo valore fondamentale.

Stefano Rodotà, “Relazione 2004” 3.1 Come gestire la privacy alla reception 8 I gestori di esercizi alberghieri o di altre strutture ricettive possono dare alloggio esclusivamente a persone munite della carta d’identità o di altro documento idoneo. Questi gestori, anche tramite i propri collaboratori, sono tenuti a consegnare ai clienti una scheda di dichiarazione delle generalità conforme al modello approvato dal Ministero dell’Interno.

Tale scheda, anche se compilata a cura del gestore, deve essere sottoscritta dal cliente. Per i nuclei familiari e per i gruppi guidati la sottoscrizione può essere effettuata da uno dei coniugi, anche per gli altri familiari, e dal capogruppo anche per i componenti del gruppo.

I gestori sono altresì tenuti a comunicare all’autorità locale di P.S. la generalità delle persone alloggiate mediante consegna di copia della scheda, entro le 24 ore successive al loro arrivo. In alternativa il gestore può scegliere di effettuare tale comunicazione inviando, entro lo stesso termine, alle Questure territorialmente competenti i dati nominativi delle predette schede con mezzi informatici o telematici o mediante fax, secondo le modalità stabilite. > Se per le schedine di P.S. è sufficiente anche solo la firma del capofamiglia o del capogruppo, per tutti i diritti che il titolare vuole acquisire ai sensi del Codice Privacy avrà bisogno della firma dei singoli e non sarà sufficiente quella del capogruppo.

8

Secondo la normativa di Pubblica Sicurezza in questa

categoria sono comprese quelle che forniscono alloggio in tende, roulotte, nonché i proprietari o gestori di case e di appartamenti per vacanze e gli affittacamere.

43

Le schedine, una volta trasmesse alla Questura, non possono essere conservate perché, spiega il Garante, non sono più pertinenti all’uso per cui sono

3:3.1

state compilate.

Indipendentemente dalle schedine di P.S. l’intervallo materiale di tempo per il quale in genere è ammessa la conservazione dei dati è da ponderarsi caso per caso.

Questo intervallo, come visto all’inizio quando è stato citato l’art.3, è da porsi in relazione ad alcuni principi generali richiamati dal Codice perché i dati personali possono essere oggetto di trattamento soltanto se sono: > trattati in modo lecito e secondo correttezza, > raccolti e registrati per scopi determinati, espliciti e legittimi, > utilizzati in altre operazioni del trattamento in termini compatibili con gli scopi iniziali, > pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati, > conservati per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Il Ministero dell’Interno ha recentemente chiesto il parere del Garante per il riordino delle modalità di comunicazione all’autorità di P.S. delle generalità delle persone alloggiate in strutture ricettive. Il decreto da elaborare dovrebbe dare attuazione all’articolo 109 del Tulps, il Testo unico delle leggi di pubblica sicurezza, più volte modificato sul punto.

La risposta inviata dal Garante osserva che le cosiddette schedine d’albergo compilate per esigenze di polizia all’arrivo dei clienti, una volta assolto l’obbligo di comunicare i dati alle autorità di pubblica sicurezza tramite computer o su carta, non devono essere conservate. Il testo unico delle leggi di P.S. del 1931 non ne prevede la conservazione. Albergatori, gestori di pensioni, appartamenti per vacanze, affittacamere, gestori di campeggi, ecc., possono conservare solo dati eventualmente necessari a fini fiscali e contabili (ad esempio informazioni da inserire nella fattura o ricevuta): “una volta acquisita idonea documentazione che dimostri di aver assolto l’obbligo di comunicare i dati all’autorità di P.S. per via cartacea o telematica, deve cancellare i dati, salvo che per eventuali fini fiscali e contabili e nella misura a 9 ciò strettamente necessaria” . Possono essere trattati solo i dati necessari alla fatturazione, quindi non la data di nascita, neppure il nominativo del coniuge né tantomeno quelli dei minori.

9

Parere del Garante del 1 giugno 2005

44

3:3.1

Qualora venga predisposta una scheda-cliente per archiviare le generalità di un vecchio ospite (anche solo per evitargli di dover consegnare ogni volta che torna in albergo i documenti di identità per la registrazione obbligatoria sulle schedine di P.S.), quel documento rappresenta una forma di trattamento dei dati. L’operazione di tenuta di questo archivio a latere è da regolamentare con un’informativa al cliente.

Tipologia di dati trattati Dati inseriti nella schedina di P.S.

Obblighi per il Codice Privacy Obbligatori per legge quindi è sufficiente un’in> formativa orale al cliente su cosa rappresentano le schedine di P.S. e a chi sono destinate Sole generalità del cliente trascritte in archivio E’ opportuno rilasciare un’informativa scritta al per velocizzare la compilazione della schedina di > cliente sul trattamento dei dati P.S. di un cliente abituale Il Codice Privacy impone la raccolta di una firma Dati personali del cliente utilizzati per comuni> di consenso libero e informato del cliente cazioni pubblicitarie in posta elettronica

Alla luce di questi elementi sembra opportuno giungere alla soluzione di compilare una scheda anagrafica del cliente, separata e distinta dalla schedina di P.S., per raccogliere con dovizia di particolari tutte le informazioni che riteniamo di dover ricercare a proposito del nostro cliente: non solo generalità, ma anche indirizzo di posta elettronica, numero di cellulare se acconsente, oltre naturalmente a quelle informazioni di tipo commerciale utili alla segmentazione delle campagne di marketing.

Poi, per poter dar luogo correttamente a tutta una serie di azioni di contatto commerciale, forniremo all’ospite un’adeguata informativa ed eseguiremo la raccolta di una sua firma di consenso, anche questa distinta e separata da quella obbligatoria apposta sulla schedina verde di P.S.. Le due firme sono indipendenti, la prima non può fare le veci della seconda e viceversa. Così facendo assolveremo correttamente e con il minimo sforzo questo adempimento richiesto dal Codice.

Ulteriore nota bene per gli alberghi che ospitano clientela business. Il consenso espresso dal cliente ha valore per l’ospite medesimo in veste di persona fisica e non può estendersi automaticamente all’azienda per la quale lavora, anche se il cliente fosse in trasferta con addebito del soggiorno alla ditta di cui è dipendente.

45

3:3.2

“In albergo più chiarezza nelle informazioni ai clienti. Il Garante avvia accertamenti sui consensi carpiti ai turisti per l’invio di pubblicità. Anche se la loro identificazione è obbligatoria, i clienti devono essere informati bene dall’albergo sull’uso che verrà fatto dei dati personali, in particolare se successivamente si intende inviare loro pubblicità. Avviati dal Garante accertamenti su una catena alberghiera per verificare correttezza e completezza delle informazioni fornite ai clienti al momento della registrazione, su uso, conservazione, eventuale comunicazione a terzi dei dati personali e sulle modalità di raccolta del consenso, necessario per il trattamento da parte di privati. L’Autorità intende accertare, in particolare, la presenza di una idonea informativa. (…) L’informativa, infatti, deve essere formulata in modo chiaro e comprensibile e deve consentire al cliente opzioni diverse sull’uso dei dati personali che sta dichiarando. Non è raro invece il caso in cui con un’unica firma necessaria si carpisca anche l’autorizzazione all’invio di materiale commerciale o pubblicitario o la comunicazione dei dati a terzi. Gli accertamenti sono stati disposti nell’ambito di un ricorso presentato all’Autorità da un turista, il quale si era rivolto, senza esito, al direttore dell’albergo presso il quale aveva soggiornato chiedendo la comunicazione dei dati personali, modalità e finalità del trattamento, nonché il nome del responsabile. Il cliente con la stessa istanza chiedeva anche la cancellazione dei dati.

Nel corso del procedimento, dopo l’intervento dell’Autorità, il gestore aveva inviato copia dei documenti in cui vi erano dati personali del cliente (voucher dell’agenzia di viaggi, fattura e scheda di dichiarazione). (…) Nella pronuncia il Garante, pur ritenendo sufficiente seppure tardivo il riscontro fornito al cliente, ha ordinato al gestore di integrarlo comunicando anche il nome del responsabile. Al gestore sono 10 state poi addebitate le spese del procedimento da liquidare direttamente al turista” .

3.2 Le informative Secondo il Parere formulato dal Garante il 1° giugno 2005 le schedine di P.S. non possono essere conservate dopo la trasmissione della loro copia in Questura.

Sembra quindi inopportuno stampare l’informativa con la richiesta del consenso in calce o sul retro delle stesse. E’ forse utile stampare invece l’informativa su un foglio separato e distinto dalla schedina di P.S., in modo da poter raccogliere anche dati personali più dettagliati come l’indirizzo di posta elettronica e altro.

In considerazione del fatto che il cliente al ricevimento è già impegnato nella firma della suddetta schedina e che il tempo Newsletter del Garante per la protezione dei dati a disposizione per la lettura di un’inforpersonali, 12 luglio 2004 mativa molto complessa sarebbe

10

46

3:3.2

eccessivo, e ciò a scapito della qualità dell’accoglienza, e in considerazione inoltre del fatto che il Garante già prevede informative semplificate per la gestione di determinati servizi (ad esempio quelli erogati dai call center, art.13, comma 3), si può ricorrere a un’informativa altrettanto semplificata anche per la reception d’albergo. Al cliente che volesse ricevere informazioni più ampie si potrà far prendere visione dell’informativa integrale sempre presente al banco del ricevimento.

La differenza tra l’informativa semplificata e quella integrale sta puramente nel fatto che, per oggettive esigenze di tempo, con la prima soluzione si chiede una firma di consenso su un documento che il cliente ha la possibilità materiale di leggere con un colpo d’occhio. Nessuna scorciatoia verso consensi omnibus, a pacchetto, che il Codice vieta espressamente. Infatti anche l’informativa semplificata, pur nella sua concisione, specifica le singole finalità di trattamento chiedendo di barrare le finalità alle quali si dà consenso.

Informativa semplificata per la scheda-cliente, da presentare affiancata alla schedina di PS: La informiamo che i Suoi dati saranno trattati nel rispetto del D.Lgs.196/03 per dare esecuzione ai servizi da Lei richiesti. Con il Suo consenso, che è facoltativo, Lei ci autorizza (1) ad assolvere la funzione di ricevimento di messaggi/telefonate a Lei indirizzati e (2) a inviarle tramite strumenti cartacei ed elettronici comunicazioni commerciali relative ai nostri servizi. Potrà esercitare i diritti a Lei riconosciuti dall’art.7 rivolgendosi al titolare del trattamento: (indicare ragione sociale azienda / nome hotel).

Dò il mio consenso scritto, libero e informato per il punto 1 Sì ( ) No ( ) e per il punto 2 Sì ( ) No ( ) Firma dell’interessato Rimini, lì ………

........................................

Informativa completa e raccolta del consenso per i clienti individuali dell’albergo Informativa ai sensi dell’art.13, D.Lgs.196/2003. Titolare del trattamento dei dati è la Ditta .....(specificare Ragione sociale). Il trattamento dei Suoi dati è finalizzato: - all’adempimento di obblighi di pubblica sicurezza, - all’adempimento di obblighi contabili e fiscali (fatturazione), - per assicurare servizi di ricevimento di corrispondenza, messaggi e telefonate a Lei indirizzati, - per inviare al Suo recapito informazioni o messaggi commerciali tramite uno o più dei seguenti strumenti: posta, telefono, e-mail, fax, sms, mms - per ricerche di mercato e rilevazione del grado di soddisfazione della clientela, • il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni alla nostra Ditta appositamente incaricati;

47

3:3.2

• il conferimento dei dati è obbligatorio - per tutto quanto richiesto dagli obblighi legali e contrattuali e di pubblica sicurezza - per la comunicazione ai reparti dell’azienda onde assicurarle i servizi richiesti, e l’eventuale rifiuto a fornirli in tutto o in parte ha come conseguenza l’impossibilità da parte della scrivente Ditta di dare esecuzione al contratto o di svolgere correttamente tutti gli adempimenti imposti dalla normativa fiscale, amministrativa per cui i dati sono utilizzati; • il conferimento dei dati è facoltativo invece per quanto riguarda: - attività promo-commerciali dirette o gestite da società a noi collegate (……..specificare nome o categorie di società ..........)

- ricevimento di messaggi e telefonate a Lei indirizzati • i Suoi dati potranno essere conosciuti dai seguenti soggetti: - responsabile del trattamento e incaricati che preparano i documenti stessi; - addetti dei reparti preposti ad assicurare il servizio richiesto; - istituti di credito per incassi e pagamenti; - società che provvedono all’installazione e manutenzione dei nostri sistemi elettronici hardware e software.

• i Suoi dati potranno essere altresì comunicati, per le finalità sopra specificate, a: - Autorità di Pubblica Sicurezza; - consulenti/professionisti e centri di elaborazione dati con i quali sono in vigore accordi scritti ai sensi del D.Lgs.196/03; - corrieri/uffici postali.

Lei potrà esercitare i Suoi diritti, inerenti al trattamento dei Suoi dati personali, secondo le garanzie indicate dall’art.7 del D.Lgs.196/2003 (testo completo dell’art. 7 disponibile sul sito www.garanteprivacy.it ) rivolgendosi al titolare/responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

Consenso dell’interessato al trattamento dei dati Il sottoscritto …………………….......................……..…. vista la presente informativa, • dà il proprio consenso scritto, libero e informato al trattamento dei propri dati sia personali che sensibili e alla comunicazione di questi dati ai soggetti in elenco per le finalità indicate; Firma dell’interessato ...................................................

• dà il proprio consenso a dare comunicazione esterna di dati relativi al proprio soggiorno al solo fine di consentire la funzione di ricevimento di corrispondenza, messaggi e telefonate Firma dell’interessato ...................................................

• dà il proprio consenso a ricevere al proprio recapito informazioni o messaggi commerciali tramite uno o più dei seguenti strumenti: posta, telefono, e-mail, fax, sms, mms Firma dell’interessato ...................................................

Rimini, lì ………..........................

48

3:3.2

Informativa e raccolta del consenso per clienti in genere Informativa ai sensi dell’art.13 D.Lgs.196/2003. La informiamo che in osservanza del D.Lgs.196/2003 la Ditta (specificare ragione sociale..................................................), è titolare del trattamento dei Suoi dati. Secondo il disposto dell’art.13 La informiamo che il trattamento ha: • finalità amministrativo-contabili: - adempimento di obblighi contabili e fiscali (fatturazione) - gestione della clientela (amministrazione di contratti, ordini, spedizioni e fatture, solvibilità) - gestione del contenzioso (recupero crediti, arbitrati, controversie giudiziarie) - servizi di controllo interno (sicurezza, produttività, qualità dei servizi) - gestione contabile e tesoreria - strumenti di pagamento elettronico (riba, bonifici, carte di credito, etc.)

• finalità connesse all’attività commerciale: - per inviare al Suo recapito informazioni o messaggi commerciali tramite uno o più dei seguenti strumenti: posta, telefono, e-mail, fax, sms, mms - per inserire il suo nominativo nella lista di referenze su mezzi pubblicitari (depliant, sito internet, stand fiera, inserzioni pubblicitarie, etc) - per ricerche di mercato e rilevazione del grado di soddisfazione della clientela • il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni alla nostra Ditta appositamente incaricati; • il conferimento dei dati è obbligatorio per tutto quanto richiesto dagli obblighi legali e contrattuali e l’eventuale rifiuto a fornirli in tutto o in parte ha come conseguenza l’impossibilità da parte della scrivente Ditta di dare esecuzione al contratto o di svolgere correttamente tutti gli adempimenti imposti dalla normativa fiscale, amministrativa per cui i dati sono utilizzati; • il conferimento dei dati è facoltativo per quanto riguarda: - attività promo-commerciali dirette o gestite da società a noi collegate (…..specificare nome o categorie di società .................)

- comunicazione dei suoi dati ai reparti dell’azienda per assicurarle i servizi da Lei richiesti • i Suoi dati potranno essere conosciuti dai seguenti soggetti: - responsabile del trattamento e incaricati che preparano i documenti stessi; - addetti dei reparti preposti ad assicurare il servizio richiesto; - istituti di credito per incassi e pagamenti; - società che provvedono all’installazione e manutenzione dei nostri sistemi elettronici hardware e software; - società che svolgono all’interno della nostra azienda gli adempimenti necessari alla certificazione di qualità dei nostri standard • i Suoi dati potranno essere altresì comunicati, per le finalità sopra specificate, a: - Autorità di Pubblica Sicurezza; - consulenti/professionisti e centri di elaborazione dati dei quali ci avvaliamo per lo svolgimento del servizio; - Amministrazione Finanziaria, organi di Polizia Tributaria, Autorità giudiziarie, Ufficio Italiano Cambi, Ispettorato del Lavoro, ASL, Vigili del Fuoco, Enti Previdenziali, ENASARCO, Camera di

49

3:3.2

Commercio; - spedizionieri/trasportatori, corrieri/uffici postali.

• Lei potrà esercitare i Suoi diritti, inerenti al trattamento dei Suoi dati personali, secondo le garanzie indicate dall’art.7 del D.Lgs.196/2003 (testo completo dell’art. 7 disponibile sul sito www.garanteprivacy.it ) rivolgendosi al titolare/responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

Consenso dell’interessato al trattamento dei dati Il sottoscritto …………………….......................……..…. vista la presente informativa, • dà il proprio consenso scritto, libero e informato al trattamento dei propri dati sia personali che sensibili e alla comunicazione di questi dati ai soggetti in elenco per le finalità indicate; Firma dell’interessato ...................................................

• dà il proprio consenso a ricevere al proprio recapito informazioni o messaggi commerciali tramite uno o più dei seguenti strumenti: posta, telefono, e-mail, fax, sms, mms; Firma dell’interessato ...................................................

• dà il proprio consenso per l’inserimento del suo nominativo nella lista di referenze su mezzi pubblicitari (depliant, sito internet, stand fiera, inserzioni pubblicitarie, etc) Firma dell’interessato ...................................................

Rimini, lì ………..........................

Informativa per i fornitori Informativa ai sensi dell’art.13 D.Lgs.196/2003. La informiamo che in osservanza del D.Lgs.196/2003 la Ditta (specificare ragione sociale..................................................), è titolare del trattamento dei Suoi dati. Secondo il disposto dell’art.13 La informiamo che il trattamento ha: • finalità amministrativo-contabili: - adempimento di obblighi contabili e fiscali (fatturazione) - igiene e sicurezza del lavoro - gestione della clientela (amministrazione di contratti, ordini, spedizioni, solvibilità) - gestione dei fornitori (selezione dei fornitori, contratti, ordini, arrivi, fatture) - gestione del contenzioso (recupero crediti, arbitrati, controversie giudiziarie) - servizi di controllo interno (sicurezza, produttività, qualità dei servizi) - gestione contabile e tesoreria - strumenti di pagamento elettronico (carte di credito, moneta elettronica) • finalità connesse all’attività commerciale: - per inviare al Suo recapito informazioni o messaggi commerciali tramite uno o più dei seguenti strumenti: posta, telefono, e-mail, fax, sms, mms - vendita e pubblicità e/o attività promozionali - ricerche di mercato e rilevazione del grado di soddisfazione della clientela • il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei)

50

3:3.2

da parte di soggetti interni alla nostra Ditta appositamente incaricati; • il conferimento dei dati è obbligatorio per tutto quanto richiesto dagli obblighi legali e contrattuali e l’eventuale rifiuto a fornirli in tutto o in parte ha come conseguenza l’impossibilità da parte della scrivente Ditta di dare esecuzione al contratto o di svolgere correttamente tutti gli adempimenti imposti dalla normativa fiscale, amministrativa o del lavoro per cui i dati sono utilizzati; • i Suoi dati potranno essere conosciuti dai seguenti soggetti: - responsabile del trattamento e incaricati che preparano i documenti stessi; - istituti di credito; - società che provvedono all’installazione e manutenzione dei nostri sistemi elettronici hardware e software; - società che svolgono all’interno della nostra azienda gli adempimenti necessari alla certificazione di qualità dei nostri standard; • i Suoi dati potranno essere altresì comunicati, per le finalità sopra specificate, a: - enti pubblici (Uffici Fiscali); - Fondi o Casse, anche private, di previdenza e assistenza; - studi medici in adempimento degli obblighi in materia di igiene e sicurezza del lavoro; - consulenti/professionisti e centri di elaborazione dati dei quali ci avvaliamo per lo svolgimento del servizio; - Amministrazione Finanziaria, organi di Polizia Tributaria, Autorità giudiziarie, Ufficio Italiano Cambi, Ispettorato del Lavoro, ASL, Vigili del Fuoco, Enti Previdenziali, ENASARCO, Camera di Commercio; - spedizionieri/trasportatori, corrieri/uffici postali.

• Lei potrà esercitare i Suoi diritti, inerenti al trattamento dei Suoi dati personali, secondo le garanzie indicate dall’art.7 del D.Lgs.196/2003 (testo completo dell’art. 7 disponibile sul sito www.garanteprivacy.it ) rivolgendosi al titolare/responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

Consenso dell’interessato al trattamento dei dati Il sottoscritto …………………….......................……..…. vista la presente informativa, • dà il proprio consenso per l’inserimento del suo nominativo nella lista di referenze su mezzi pubblicitari (depliant, sito internet, stand fiera, inserzioni pubblicitarie, etc) Firma dell’interessato ...................................................

Rimini, lì ………..........................

51

3:3.3

3.3 La comunicazione con media elettronici Nel piano di individuazione di effettive garanzie di tutela l’Autorità per la protezione dei dati personali ha rivolto la sua attenzione al dilagante fenomeno dello spamming. Nel 2004, informa il Garante, sono stati bloccati i data-base di oltre 20 società operanti sul web per il trattamento di dati non conforme alla disciplina prescritta dal Codice.

Il fenomeno dell’invio ad indirizzi di posta elettronica di comunicazioni non sollecitate è costantemente all’attenzione dell’Autorità. Gli utenti di internet hanno manifestato un’accresciuta sensibilità in relazione al fenomeno spam, desumibile dall’intenso contenzioso che ha investito l’Autorità, oltre che dalle azioni proposte dinanzi all’autorità giudiziaria e ordinaria.

Attività ispettive condotte dal Garante nel 2004 su tutta la materia del Codice Accertamenti d’ufficio Accertamenti conseguenti a segnalazioni pervenute Autonomi accertamenti conseguenti a ricorsi Totale

43% 38% 19% 100%

Fonte: Garante per la protezione dei dati personali, Relazione 2004 Attività interna del Garante nel triennio 2002-2004 su tutta la materia del Codice 2002 Ricorsi 390 Risposte a segnalazioni e reclami 2.532 Risposte a quesiti 824

2003 609 3.796 786

2004 731 7.770 1.692

Fonte: Garante per la protezione dei dati personali, Relazione 2004

“Grande rilievo sugli organi di informazione ha avuto la vicenda relativa all’indagine giudiziaria curata dalla Guardia di Finanza nei confronti di una società quotata in borsa in relazione all’utilizzo di migliaia di indirizzi e-mail per finalità di marketing in assenza del consenso informato degli interessati. Per la vicenda sono indagati due responsabili della società per reati che vanno dall’illecito trattamento dei dati 11 personali alla frode informatica e all’accesso abusivo a sistemi informatici” .

11

Aa.vv. (2005), Relazione 2004, Garante per la protezione

dei dati personali, Roma, p.100

52

3:3.3

Avvertenza. Per il suo potere invasivo il fax è considerato equivalente agli strumenti elettronici. E’ il D.lgs. 171/98 all’art. 10, comma 1 che parla di chiamate indesiderate: “l’uso del telefax per scopi di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale è consentito con il consenso espresso dell’abbonato”.

Regole per la comunicazione con utilizzo di strumenti elettronici Canali di comunicazione col cliente con utilizzo di strumentazione elettronica Invio di e-mail / sms / fax per singoli destinatari

Invio di e-mail / sms / fax in forma sistematica a categorie di utenti per pubblicità

Invio autorizzato ai sensi dell’art.24, ma sempre accompagnato da Informativa completa in occasione del primo contatto (art.13, comma 2 autorizza informativa semplificata per i contatti successivi)

Condizionato a una preventiva richiesta di consenso scritto (art.130). In assenza è reato di spamming.

Vietato un primo invio con offerta di option out, cioè l’invio di pubblicità offrendo l’opzione di cancellarsi per il futuro.

Il Codice tutela il diritto dell’interessato di rifiutare anche il primo invio.

Elenchi pubblici di aziende, tipo catalogo espositori fiere

Mailing list acquistata da terzi

Fonte del nominativo

Siti internet Biglietti da visita e coupon Conoscenze personali e passaparola Telefonata in entrata Documento con firma di consenso dell’interessato Registrazione su sito internet con dichiarazione di consenso

Elenchi telefonici (solo se è pre sente il simbolo di consenso)

53

Invio autorizzato (limitatamente ai contenuti del consenso)

Invio autorizzato (limitatamente ai mezzi di comunicazione prescelti dall’utente e specificati con l’icona sull’elenco telefonico)

3:3.3

Vediamo una serie di informative semplificate per l’invio di e-mail / fax pubblicitari e simili. > Informativa da apporre in calce a spedizioni di e-mail / fax contenenti materiali promo-pubblicitari o informativi per clienti/fornitori che hanno dato il consenso al trattamento dei dati Informativa ai sensi del D.lgs.196/03, art.13. Lei riceve questo fax/email perché ha firmato il consenso alla ricezione di materiale informativo in occasione della firma di consenso ……. (oppure: in occasione della registrazione sul sito …). Si informa che è possibile esercitare i diritti di cui all’art.7 rivolgendosi al mittente di questa spedizione. Per non ricevere più queste comunicazioni invii richiesta sempre al mittente.

> Oppure, se non è stato firmato in precedenza un consenso, ma la spedizione di e-mail / fax contenenti materiali promo-pubblicitari o informativi avviene ‘’per eseguire obblighi derivanti da un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato’’: Informativa ai sensi del D.lgs.196/03, art.13. Questa comunicazione viene inviata con liberatoria resa dall’art.24. Si informa che è possibile esercitare i diritti di cui all’art.7 rivolgendosi al mittente di questa spedizione. Per non ricevere più queste comunicazioni invii richiesta sempre al mittente.

> Invece, per spedizioni di e-mail / fax contenenti materiali promo-pubblicitari o informativi a soggetti che non sono già clienti/fornitori occorre preventivamente richiedere il consenso scritto inviando la seguente comunicazione.

In osservanza di quanto stabilito dal Codice in materia di protezione dei dati personali (D.Lgs.196/03) Vi richiediamo l’autorizzazione all’invio di e-mail / fax riguardanti la nostra offerta commerciale (o di società a noi collegate,….nel caso specificare…..).

Come gestire lo scambio di e-mail tra una ditta e i suoi clienti/fornitori?

L’informativa può comparire in forma semplificata in calce alla propria firma e contenere un link al sito internet aziendale dove si può stampare in forma completa.

Informativa Privacy. Trattamento dati ai sensi D.Lgs.196/03.

Per leggere l’informativa completa clicca qui.

54

3:3.3

La raccolta del consenso presso l’interessato legittima il titolare ad inviargli materiale pubblicitario con sistemi automatizzati (e-mail, fax, sms, etc.) nei limiti espressamente dichiarati nella lettera informativa e di consenso. Se il titolare del trattamento utilizza ai fini di vendita dei propri servizi la posta elettronica comunicata dall’interessato nel contesto della vendita di un servizio può non richiedere il consenso solo se si tratta di servizi analoghi e solo se l’interessato, adeguatamente informato, non rifiuti tale uso inizialmente o in occasione di successive comunicazioni (art.130, comma 4).

I sistemi di videosorveglianza. Questi sistemi sono ammessi con precise limitazioni: > devono essere in misura proporzionata agli scopi di sicurezza che si intendono perseguire, > e alla condizione che la conservazione delle immagini sia limitata al tempo necessario al perseguimento dello scopo stesso, > ammessi preferibilmente sistemi a circuito chiuso di sola visione delle immagini, senza registrazione, > in caso di digitalizzazione delle immagini va richiesta al Garante apposita autorizzazione, > vietato il controllo a distanza dei lavoratori (divieto già presente nello Statuto dei lavoratori), > vietate le riprese con web-cam che rendano identificabili i soggetti ripresi.

Disponendo di telecamere a circuito chiuso il titolare del trattamento è tenuto a informare gli utenti che transitano nelle aree sottoposte a videosorveglianza. Il Garante ha messo a disposizione un modello semplificato di informativa. In prossimità di queste aree si dovrà installare un cartello segnalatore.

55

3:3.4

Informativa ai sensi dell’art.13 del d.lgs.196/03.

AREA CON VIDEOSORVEGLIANZA Videosorveglianza effettuata da (specificare……..es: dall’ufficio del centralino) per (specificare…….. es: motivi di sicurezza relativamente agli ingressi)

3.4 Privacy policy del sito internet Molti alberghi dispongono di un sito internet per la presentazione della propria offerta. Anche i navigatori in rete devono essere tutelati rispetto al trattamento dei loro dati identificativi. Collocate sulla home page del vostro sito un link a una pagina web intitolata semplicemente Privacy in cui riporterete l’informativa che segue, opportunamente personalizzata con l’assistenza della software house che vi ha realizzato il sito internet.

Informativa per la pagina di Privacy Policy da inserire nel sito internet aziendale Questa Informativa è resa ai sensi dell’art.13 D.Lgs.196/2003 ‘Codice in materia di Protezione dei dati personali’ ed è rivolta agli utenti dei servizi internet della Ditta ................(specificare ragione sociale) accessibili per via telematica all’indirizzo: http://www ...........(specificare) L’informativa è riferita soltanto a questo sito e non ai siti internet eventualmente consultati dall’utente tramite link.

Di seguito sono descritte le modalità di gestione di questo sito internet in riferimento al trattamento dei dati personali degli utenti che lo consultano.

• Titolare del trattamento A seguito della consultazione di questo sito possono essere trattati dati relativi a persone identificate o identificabili. Il Titolare del trattamento è la Ditta .....(specificare ragione sociale) • Finalità I dati personali forniti dagli utenti che richiedono invio di materiale informativo (bollettini, Cd-rom, newsletter, relazioni, risposte a quesiti, etc.) sono utilizzati al solo fine di eseguire la prestazione richiesta.

• Modalità del trattamento I dati personali sono trattati con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti. Vengono osservate specifiche misure di sicurezza per prevenire la perdita dei dati, usi illeciti o non corretti o accessi non autorizzati.

I trattamenti connessi ai servizi internet di questo sito hanno luogo presso la sede della Ditta

56

3:3.4

.....(specificare ragione sociale) oppure presso l’internet provider .....(specificare ragione sociale) e sono curati solo da personale tecnico dell’Ufficio incaricato del trattamento, oppure da eventuali incaricati di occasionali operazioni di manutenzione.

Avvertenza: verificate e personalizzate i punti successivi riferiti ai tipi di dati trattati chiedendo assistenza a chi vi ha realizzato materialmente il sito web. Ciascuno di loro saprà dirvi le caratteristiche software delle pagine che ha realizzato.

• Dati di navigazione I sistemi informatici e le procedure software per il funzionamento di questo sito internet registrano normalmente alcuni dati personali la cui trasmissione è implicita nell’uso dei protocolli di comunicazione di Internet.

Si tratta di informazioni che non sono raccolte per essere associate a soggetti interessati identificati, ma che per loro stessa natura potrebbero, attraverso elaborazioni ed associazioni con dati detenuti da terzi, permettere di identificare gli utenti.

In questa categoria di dati rientrano gli indirizzi IP o i nomi a dominio dei computer utilizzati dagli utenti che si connettono al sito, gli indirizzi in notazione URI (Uniform Resource Identifier) delle pagine visitate, l’orario della navigazione, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta, il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.) ed altri parametri relativi al sistema operativo e all’ambiente informatico dell’utente.

Questi dati vengono utilizzati al solo fine di ricavare informazioni statistiche anonime sull’uso del sito e per controllarne il corretto funzionamento e vengono cancellati immediatamente dopo l’elaborazione. I dati potrebbero essere utilizzati per l’accertamento di responsabilità in caso di ipotetici reati informatici.

• Dati forniti volontariamente dall’utente L’invio facoltativo, ma volontario, di posta elettronica agli indirizzi indicati su questo sito comporta la successiva registrazione dell’indirizzo del mittente, necessario per rispondere alle richieste, nonché degli eventuali altri dati personali inseriti nella comunicazione.

Specifiche informative di sintesi verranno progressivamente riportate o visualizzate nelle pagine del sito predisposte per particolari servizi a richiesta.

• Cookies Nessun dato personale degli utenti viene acquisito dal sito. Non viene fatto uso di cookies per la trasmissione di informazioni di carattere personale, né vengono utilizzati c.d. cookies persistenti di alcun tipo, cioè sistemi per la tracciabilità degli utenti.

L’uso di c.d. cookies di sessione (che non vengono memorizzati in modo persistente sul computer dell’utente e svaniscono con la chiusura del browser) è strettamente limitato alla trasmissione di identificativi di sessione (costituiti da numeri casuali generati dal server) necessari per consentire l’esplorazione sicura ed efficiente del sito.

I c.d. cookies di sessione utilizzati in questo sito evitano il ricorso ad altre tecniche informatiche potenzialmente pregiudizievoli per la riservatezza della navigazione degli utenti e non consentono l’acquisizione di dati personali identificativi dell’utente.

57

3:3.5

• Conferimento di dati obbligatori o facoltativi L’utente è libero di fornire i dati personali riportati nei moduli di richiesta di materiale informativo o di altre comunicazioni. Il loro mancato conferimento può comportare l’impossibilità di ottenere quanto richiesto.

• Comunicazione dei dati e diffusione Nessun dato derivante dal servizio internet viene comunicato o diffuso. I dati sono comunicati a terzi limitatamente e nel solo caso in cui ciò sia necessario (esempio, per la spedizione postale) • Diritti dell’interessato I soggetti cui si riferiscono i dati personali hanno il diritto, ai sensi dell’art.7 D.Lgs 196/2003, di avere conferma dell’esistenza o meno dei medesimi dati e di conoscerne il contenuto e l’origine, verificarne l’esattezza o chiederne l’integrazione o l’aggiornamento, oppure la rettifica. Hanno altresì il diritto di chiedere la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, nonché di opporsi in ogni caso, per motivi legittimi, al loro trattamento.

Le richieste vanno rivolte al Responsabile del trattamento ..............(specificare nome e indirizzo e riferimenti per contatti).

3.5 Altri trattamenti per il marketing alberghiero Oltre alla comunicazione pubblicitaria attraverso mezzi elettronici vi è naturalmente quella gestita con mezzi tradizionali, vale a dire la telefonata in uscita secondo ormai rare operazioni di telemarketing e la sempre classica esperienza del mailing postale. Quest’ultimo strumento è ritenuto meno invasivo delle comunicazioni elettroniche e quindi, in certi casi, è assoggettato a meno vincoli rispetto alla spedizione di e-mail. In particolare, se l’indirizzo postale del destinatario compare su elenchi pubblici come quelli distribuiti alle fiere con la lista degli espositori (a cui si rivolgono spesso le campagne pubblicitarie degli alberghi) vi è la possibilità immediata di un mailing corredato da semplice informativa senza preventiva richiesta di consenso scritto.

58

3:3.5

Regole per la comunicazione con utilizzo di strumenti tradizionali Canali di comunicazione col cliente senza utilizzo di strumentazione elettronica Spedizione postale Elenchi pubblici di aziende, tipo catalogo espositori fiere Mailing list acquistata da terzi

Fonte del nominativo

Siti internet Biglietti da visita e coupon

Invio autorizzato ai sensi dell’art.24, ma sempre accompagnato da Informativa completa in occasione del primo contatto (art.13, comma 2 autorizza informativa semplificata per i contatti successivi)

Telefonata in uscita Comunicazione autorizzata, ma accompagnata da Informativa orale semplificata (art.13 comma 3)

Conoscenze personali e passaparola Telefonata in entrata Documento con firma di consenso dell’interessato Registrazione su sito internet con dichiarazione di consenso Elenchi telefonici (solo se è presente il simbolo di consenso)

Invio autorizzato (limitatamente ai contenuti del consenso)

Invio autorizzato (limitatamente ai mezzi di comunicazione prescelti dall’utente e specificati con l’icona sull’elenco telefonico)

Informativa semplificata per spedizione postale di depliant pubblicitari > verso lista di clienti dell’Azienda Informativa ai sensi dell’art.13, D.Lgs.196/2003. Titolare del trattamento dei dati è la Ditta .....(specificare Ragione sociale). Il trattamento dei Suoi dati è finalizzato all’invio di materiale informativo riguardante prodotti/servizi della scrivente Ditta. Il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni appositamente incaricati. I dati provengono da archivi interni e la spedizione è autorizzata ai sensi dell’art.24. I Suoi dati non verranno comunicati a terzi, nè diffusi. Lei potrà esercitare i Suoi diritti come indicato dall’art.7 rivolgendosi al Responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

59

3:3.5

Informativa semplificata per spedizione postale di depliant pubblicitari > verso lista di nuovi nominativi Informativa ai sensi dell’art.13, D.Lgs.196/2003. Titolare del trattamento dei dati è la Ditta .....(specificare Ragione sociale). Il trattamento dei Suoi dati è finalizzato all’invio di materiale informativo riguardante prodotti/servizi della scrivente Ditta. Il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni appositamente incaricati. I dati provengono da elenchi pubblici o altre fonti accessibili al pubblico e la spedizione è autorizzata ai sensi dell’art.24. I Suoi dati non verranno comunicati a terzi, nè diffusi. Lei potrà esercitare i Suoi diritti come indicato dall’art.7 rivolgendosi al Responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

> Tessere fedeltà Non esistono particolari obblighi se la tessera registra semplicemente la somma dei punti guadagnati ed è finalizzata all’erogazione del premio. Se invece la tessera serve per un uso dei dati a fini di profilazione cioè per elaborare un profilo del cliente finalizzato alla proposta commerciale di nuovi beni o servizi occorre procedere alla notificazione del trattamento al Garante.

Rilasciare carte fedeltà ai clienti per offrire (di regola, in base al volume di spesa complessivo effettuato) sconti, premi, bonus, servizi accessori, facilitazioni di pagamento non obbliga il titolare alla raccolta del consenso. E’ sufficiente un’informativa sull’uso dei dati personali trattati a questo scopo. Il consenso libero ed informato dei clienti deve essere richiesto invece quando i dati personali raccolti tramite la carte di fedeltà vengono usati anche ad altri fini, quali, ad esempio, il direct marketing, lo studio dei comportamenti e delle scelte d’acquisto, l’individuazione di fasce di reddito. I consumatori hanno diritto di rifiutare il consenso all’uso dei dati per tali scopi, senza per questo dover rinunciare alla carta di fidelizzazione. I dati registrati per questi scopi, come appunto il direct marketing e la profilazione dei consumatori, devono essere cancellati rispettivamente dopo 1 anno e dopo 2 anni (naturalmente le carte fedeltà in mano ai clienti continuano ad essere valide). > Acquisto di indirizzi per mailing Sia in merito alla spedizione postale di pubblicità che alla spedizione in posta elettronica si rende necessario un chiarimento in merito all’utilizzo di indirizzi acquistati da fornitori specializzati. Questi fornitori vendono un servizio che riguarda la dispo-

60

3:3.5

nibilità di indirizzi mirati per mailing di vario genere, ma non assolvono una funzione di sostituto in merito al consenso privacy. Se si acquistano fisicamente degli indirizzi si diventa titolari di trattamento con tutti gli obblighi che ne conseguono di informativa e/o di raccolta del consenso.

Se invece si acquista il servizio di spedizione a certi indirizzi allora non ci sono obblighi. In questo caso gli indirizzi sono materialmente posseduti e conosciuti da altro titolare di trattamento. L’albergatore consegna allo spedizioniere (postale o virtuale non importa) il materiale: fax, pagine web, file, cartaceo da far spedire a una mailing list postale. In questo caso non ci sono obblighi di informativa o consenso perché non c’è trattamento di dati, ma soltanto l’acquisto di un servizio di spedizione.

Se la ditta ha acquisito un consenso specifico per la comunicazione del nominativo a terzi e ci consegna gli indirizzi allora possiamo effettuare una spedizione indicando, nell’informativa allegata al nostro depliant, il riferimento a quel titolare di trattamento e a quel consenso. Attenzione però, perché i nostri obblighi dipendono in modo meccanico dal tipo di informativa e di consenso che chi vende gli indirizzi può aver acquisito. Non si può prevedere una casistica generale perciò si raccomanda di effettuare questa verifica caso per caso, meglio in presenza del proprio legale di fiducia o di un consulente, onde evitare di trovarsi di fronte a obblighi inaspettati e per giunta onerosi dal punto di vista economico. > Coupon per richiesta informazioni Spesso i cataloghi dell’albergo contengono cartoline per invitare il potenziale cliente e richiedere ulteriori informazioni. Alla stessa tipologia appartengono i coupon da ritagliare da angoli delle pagine pubblicitarie per richiedere depliant e materiale informativo. In entrambi i casi può essere utilizzata una informativa semplificata, in ragione ovviamente del ridotto spazio a disposizione.

Informativa semplificata per coupon e cartoline di richiesta informazioni Informativa D.Lgs.196/03. Titolare trattamento dati: Ditta .....(specificare in sintesi la Ragione sociale) finalizzato all’invio di materiale informativo. I dati non verranno comunicati né diffusi. Esercizio dei diritti art.7 rivolgendosi al Responsabile (specificare nome, cognome, ufficio interno o ditta esterna).

61

3:3.6

> Questionari di customer satisfaction Diversi albergatori propongono ai loro ospiti la compilazione di schede di valutazione sulla qualità del servizio ricevuto e su tutta una serie di parametri riguardanti l’atmosfera e il comfort della struttura. Queste schede di customer satisfaction possono prevedere a volte la registrazione di dati identificativi del cliente, come anche solo il numero della camera.

Se sono questionari anonimi, senza richiesta di inserimento di dati personali, il documento non rientra nel campo di applicazione del Codice privacy. Se vengono richiesti dati personali servirà un’informativa come quella da utilizzare per i coupon presenti sui depliant pubblicitari. > Web cam in piscina Anche le immagini che rendono identificabile una persona costituiscono dati personali sottoposti alla normativa privacy. E’ consuetudine di molti albergatori o anche di gestori di stabilimenti balneari applicare sistemi di ripresa televisiva a bordo piscina o rivolti alla spiaggia per trasmettere poi queste immagini di svago e di divertimento sul proprio sito internet con finalità pubblicitarie.

La diffusione di queste immagini al grande pubblico della rete può però ledere il diritto alla riservatezza delle persone eventualmente riprese dalle telecamere. E’ doveroso perciò programmare l’impianto video in modo tale che i soggetti ripresi non risultino identificabili, senza negare all’albergatore la possibilità di inviare in internet immagini sulle attrazioni turistiche di cui dispone.

3.6 Trasferimento di dati all’estero Questa operazione è soggetta al Codice privacy e presenta articolati criteri applicativi. Interessa in genere alberghi di catena che inviano e ricevono dati sia da Paesi dell’Unione Europea sia da paesi extracomunitari come San Marino, Svizzera, Stati Uniti.

62

3:3.6

Oggetto e ambito di applicazione del Codice privacy in merito al trasferimento di dati all’estero (art.5) Dove ha sede stabile l’azienda?

A quale legge bisogna attenersi?

Italia Italia Italia Paese UE

italiana italiana italiana del singolo Paese

Dove si svolge attività secondaria di trattamento dati?

Italia Estero (UE) Estero (extra-UE) Italia

extra-UE

del singolo Paese

Italia

A quale legge bisogna attenersi

italiana italiana del singolo Paese del singolo Paese (legge armonizzata nel diritto comunitario) italiana, e occorre nominare un rappresentante

Mentre l’art.42 ricorda la ‘’libera circolazione dei dati personali fra gli Stati membri dell’UE’’, il trasferimento di dati personali di dipendenti o di clienti/fornitori in paesi extra-UE (es: da unità locali di catene alberghiere verso gli Stati Uniti, da alberghi italiani verso San Marino) è ammesso quando il trattamento, secondo l’art.43, > ha il consenso scritto dell’interessato, > è necessario per obblighi di contratto, > è effettuato per adempiere a richieste dell’interessato, > concerne dati riguardanti persone giuridiche.

Se il Titolare del trattamento è italiano gli obblighi sono in capo all’impresa che ha stabilimento in Italia, anche se i dati sono conservati all’estero. Se il Titolare è straniero di un Paese extra-UE e l’utilizzo dei dati viene fatto in Italia occorre che la ditta straniera nomini un rappresentante in Italia. Non sono soggette al Codice le imprese comunitarie che hanno stabilimento all’estero e svolgono solo attività secondarie in Italia. Saranno regolamentate in base alla legge del loro Paese (principio di attrazione della legge nazionale e non di territorialità).

E’ bene precisare anche i rapporti dell’Italia con Paesi extra-UE (San Marino – Stati Uniti) per categorie di dati raccolti su internet. Se i dati che l’utente inserisce su internet vengono raccolti da un server/provider che ha sede in Italia si applica la legge italiana. Se il server/provider è in un Paese extra-UE (San Marino, Stati Uniti) no, ma con una eccezione: si applica comunque la legge italiana quando il mittente di un messaggio pubblicitario (e questo vale per tutto: e-mail / fax / mailing

63

postale / telemarketing) è una società italiana, seppure con una filiale operativa in un Paese extra-UE. Nel caso il server/provider sia in Italia o il mittente sia una società italiana è necessario predisporre un’informativa ed eventuale formula di consenso, adeguandosi al D.Lgs.196/2003. Se invece il server/provider è a San Marino o Stati Uniti e il mittente è di quella nazionalità si applica la normativa di quello Stato. Quindi nell’informativa in calce al form di registrazione dell’utente/navigatore andrà inserito un eventuale riferimento alla normativa del Paese extra-UE, e non certo a quella italiana. Non è raro vedere società sammarinesi che spediscono newsletter elettroniche e come disclaim citano addirittura la vecchia 675.

Se i nominativi cui vengono spedite le e-mail provengono, oltre che dalla personale richiesta effettuata dai potenziali clienti tramite moduli internet, anche dagli archivi degli alberghi italiani allora, prima di trasferire nominativi di clienti dall’Italia verso un Paese extra-UE, è necessario acquisire consenso (dai privati) o rilasciare informativa (alle persone giuridiche) su questo trasferimento all’estero.

64

4:4.1

4 Sistema informativo, nomine e formazione dei dipendenti

4.1 L’analisi dei flussi informativi Il trattamento dei dati personali costituisce un’operazione da sottoporre a determinati criteri. Per impostare questo lavoro, che confluirà nella compilazione del Dps (il documento programmatico sulla sicurezza, di cui diremo più avanti) occorre procedere a un’analisi preliminare dei processi aziendali interessati dai flussi di dati personali. Gli strumenti per quest’analisi sono costituiti da: 1. un prospetto di organigramma aziendale (i ruoli svolti dai vari addetti in azienda), 2. eventuali documenti interni che classificano le attività svolte dagli addetti (i compiti), 3. istruzioni per la gestione del sistema informativo o di banche dati, 4. eventuali schemi già elaborati per altre attività gestionali che mostrano esistenza di banche dati o flussi informativi interni, 5. mappa dei rapporti con l’esterno e flussi informativi con l’esterno, 6. planimetria dei luoghi di lavoro per l’esame dei rischi connessi agli archivi e alla rete informatica.

Questi elementi, opportunamente riuniti, possono permettere di avviare la compilazione del Dps. Una tavola sinottica che incroci la lista degli addetti (o di categorie di addetti) con la lista dei dati trattati (o categorie di dati) faciliterà il lavoro iniziale. Si tenga presente che il Codice intende per dati tutti i dati personali anche non registrati in una banca-dati.

Ogni reparto alberghiero di seguito delineato può prevedere al suo interno altre sottocategorie. L’ufficio commerciale potrebbe essere distinto ad esempio in ufficio marketing, ufficio relazioni esterne, ufficio vendite e infine rete di promotori sul territorio, ciascuno con compiti distinti di trattamento dati o con autorizzazioni comuni. Dall’ufficio di amministrazione potrebbe dipendere invece la figura di un tecnico informatico con il compito di sovrintendere alla rete dei computer. In tal caso l’autorizzazione che questo esperto avrebbe si estenderebbe a tutte le banche dati aziendali e non solo a quelle di pertinenza dell’amministrazione.

65

4:4.1

Profilo generale degli accessi al trattamento dei dati personali in albergo Direzione Ufficio Ufficio generale amministr. personale Registri obbligatori prescritti Sì Sì dalle leggi sul lavoro Anagrafica personale Sì Sì Sì dipendente Anagrafica fornitori merci Sì Sì (utenze, beni di consumo) Anagrafica fornitori servizi Sì Sì (informatica, fiere, trasporti) Anagrafica clienti B2B Sì (Tour operator, Pco, aziende) Anagrafica clienti B2C Sì (clienti individuali) Liste di prospect (clienti potenziali) Liste di influenzatori della Sì domanda, istituzioni, media

Ufficio commerciale

Front office

Sì Sì

Sì

Sì

Sì

Sì Sì

Se questo schema può rappresentare l’effettiva suddivisione dei ruoli e delle competenze sarà necessario poi fare in modo che anche il sistema informativo rappresentato da archivi cartacei e da archivi elettronici mantenga e assicuri fisicamente quelle ripartizioni.

Questo aspetto è importantissimo e non contraddice certo il buon senso: ogni azienda dovrà fare grande ordine, creare un archivio particolarmente preciso, provvedendo alla sistemazione organica sia dei faldoni contenenti dati personali cartacei in appositi armadi e stanze, sia in termini di file e cartelle dentro ai computer. Se il primo aspetto è direttamente gestibile, e quindi sarà facile provvedere a collocare le carte in stanze ad ingresso selezionato e in armadi con chiusure a chiave, non altrettanto economico sarà l’intervento sugli archivi elettronici.

Quando ogni azienda assegnerà ai suoi dipendenti l’autorizzazione scritta ad operare su determinati archivi elettronici dovrà attribuire a ciascun addetto una password (delle cui caratteristiche si dirà in dettaglio più avanti). L’operazione verrà preparata tecnicamente dagli esperti informatici, ma costoro, per poter svolgere il

66

4:4.2

compito assegnato, dovranno riferirsi a due condizioni che è cura dell’azienda predisporre.

Ci dovrà essere una lista di chi fa cosa, ovvero sapere chi saranno le persone abilitate a lavorare sugli archivi e su quali di essi potranno operare nello specifico i singoli incaricati. Questo è il lavoro più semplice e costituisce il piano delle autorizzazioni.

In precedenza però qualcuno in azienda deve verificare lo stato dell’arte del proprio sistema informativo, controllando che i dati personali esistenti sui computer dell’azienda siano collocati in modo riconoscibile in determinati archivi. Solo l’esame di come e dove sono collocati i dati nel server o nei computer della rete permetterà di riconoscere se la loro collocazione è corretta oppure va variata. In base alla bontà di questo lavoro di riordino preventivo e in base alla complessità del sistema aziendale dipenderà la durata dell’intervento tecnico degli esperti informatici per la creazione di barriere e/o autorizzazioni di accesso alle banche dati.

Se i dati attualmente presenti sono posti alla rinfusa i tecnici impiegheranno molto tempo con costi davvero alti di assistenza. Con il variare della durata del loro intervento varierà anche la loro parcella. Operate dunque il riordino dei vostri archivi in modo che gli informatici possano disegnare rapidamente i percorsi delle informazioni e svolgere la loro programmazione software.

4.2 I soggetti del trattamento Nelle operazioni di trattamento dei dati i soggetti in relazione sono 4: > l’interessato (proprietario dei suoi dati personali) > il titolare del trattamento (titolare solo del trattamento perché, come detto, il titolare dei dati personali è l’interessato) > il responsabile del trattamento > l’incaricato del trattamento Il profilo dei ruoli assegnati rispecchia questa gerarchia.

67

4:4.2

Soggetti Interessato Titolare del trattamento

Responsabile del trattamento Amministratore di sistema

Custode delle credenziali di autenticazione Incaricati Ced esterno (in outsourcing) Consulente esterno Tecnici informatici

Compiti e responsabilità - E’ la persona fisica, persona giuridica, ente, associazione di cui si effettua il trattamento dei dati - Nomina del responsabile, dell’amministratore di sistema, del custode delle credenziali di autenticazione e degli incaricati - Definizione per iscritto delle modalità con le quali si potrà assicurare l’accesso ai dati in caso di grave impedimento dell’incaricato - Elenco dei compiti specificato nell’atto di nomina - Impostazione parametri di sicurezza sul sistema elettronico aziendale - Test di intrusione, aggiornamento antivirus, e verifiche di sicurezza - Altri compiti specificati nell’atto di nomina - Custodia e gestione delle password e dei profili di accesso - Elenco dettagliato dei compiti specificato nell’atto di nomina - Si fa riferimento al contratto esistente tra le parti con aggiunta di clausole integrative riferite al Codice privacy - Aggiornamento su novità normative introdotte dal Garante - Verifica funzionamento del sistema

Il Titolare del trattamento dei dati è la figura chiamata a rispondere davanti alla legge. Titolare del trattamento dei dati è la Società nella sua Ragione Sociale. Non è titolare del trattamento la persona fisica (es: amministratore delegato, direttore, etc.), ma “titolare del trattamento è l’entità nel suo complesso” (art.28). Il titolare è il soggetto cui competono le decisioni in ordine: > finalità/scopi del trattamento > modalità e mezzi del trattamento (strumenti elettronici o cartacei) > agli strumenti utilizzati sotto il profilo della sicurezza > misure di sicurezza e protezione dei dati In base all’atto costitutivo dell’impresa si vedrà materialmente chi ricopre la carica di legale rappresentante. Questa figura firmerà gli atti come titolare del trattamento. Le decisioni riguardo a finalità/modalità/sicurezza saranno prese dagli organi esistenti (es: Consiglio di Amministrazione, etc.). Nelle grandi aziende, in presenza di unità organizzative indipendenti (direzione generale, etc.) che esprimono potere decisionale effettivo e autonomo in ordine al trattamento dei dati, possono essere titolari del trattamento anche queste unità.

68

4:4.3

Responsabile è la figura preposta dal titolare ad eseguire il trattamento dei dati.

Può essere interno o esterno all’organizzazione. Nella nomina di un responsabile esterno la scelta deve cadere su soggetti che offrano garanzie di rispetto del Codice, anche sotto il profilo della sicurezza.

Incaricati sono le persone fisiche autorizzate a compiere operazioni di trattamento dei dati dal titolare o dal responsabile. Gli incaricati devono essere individuati con atto scritto, perciò va compilato un elenco di tutti costoro. Va altresì conservato l’atto originale delle singole nomine. L’atto di nomina può avere la forma di: > incarico con lettera ad hoc (formula più consueta e consigliata) > circolare interna > ordine di servizio > scrittura privata / contratto (per i professionisti esterni) Titolare Responsabile Incaricati

Se è società Se è libero professionista Se è figura interna Se è società esterna (Ced) Se è figura interna Se è figura esterna

> > > > > >

Titolare è la persona giuridica Titolare è la persona fisica Responsabile è la persona fisica Responsabile è la persona giuridica Incaricato è la persona fisica Incaricato è la persona fisica

4.3 Il piano delle autorizzazioni Il piano delle autorizzazioni prevede come primo atto la nomina del responsabile del trattamento dei dati e di tutte le altre figure previste dal Codice. La figura iniziale è quella del titolare del trattamento e coincide con l’azienda stessa in quanto soggetto giuridico.

Il titolare del trattamento dei dati può assegnare più cariche a una medesima persona. Le figure possono essere nominate anche tra soggetti non appartenenti all’azienda.

Titolare del trattamento è la persona giuridica, quindi l’azienda con la sua ragione sociale. Ha potestà decisionale effettiva e autonoma in ordine a finalità e modalità di trattamento dei dati così come per la gestione degli strumenti di sicurezza. Il titolare del trattamento dei dati elabora il Dps, anche avvalendosi del responsabile.

69

4:4.3

In azienda possono essere nominati uno o più responsabili del trattamento dei dati (che saranno persone fisiche, ma potrebbe essere anche una persona giuridica se viene nominata responsabile un’impresa esterna). Gli incaricati del trattamento dei dati possono essere invece solo e soltanto persone fisiche. La nomina dell’Amministratore di sistema può ricadere su un esperto che è anche dipendente dell’azienda. In alternativa, ed è questa seconda la soluzione più consueta, la nomina interesserà una società specializzata esterna. Per quanto attiene invece la nomina del custode delle credenziali di autenticazione (password) questa figura va a coincidere spesso con il responsabile del trattamento, anche se può essere individuata anche in altre figure.

In una struttura alberghiera il titolare è la società di gestione così come indicato nella ragione sociale. Il responsabile può essere designato o in capo al legale rappresentante o in capo a una figura di riferimento dell’ufficio amministrazione o ricevimento. Assegnate preferibilmente il ruolo a chi ha già una visione generale di come funziona l’azienda, che conosce come si svolge in essa il lavoro e qual è il flusso complessivo delle relazioni e delle informazioni. Il responsabile dovrà essere una figura che non è del tutto a digiuno di come funziona la rete di server e di computer in azienda. Poi dovrà avere anche un po’ di tempo da destinare alle nomine degli incaricati, procedura che impone una certa personalizzazione dei documenti.

Gli incaricati saranno tutti coloro che accedono ad archivi con dati personali secondo lo schema ipotizzato nella fase di analisi dei flussi informativi interni all’azienda.

Gli incaricati possono essere nominati sia dal titolare che dal responsabile. Si suggerisce che a farlo sia sempre il responsabile. Il controllo dell’operato degli incaricati è sempre comunque in capo al responsabile.

Qualora un albergo voglia affidare all’esterno un trattamento di dati può procedere alla nomina del fornitore in qualità di: > responsabile, nel rispetto dei requisiti di esperienza, capacità e affidabilità e con atto scritto indicante precise istruzioni da parte del titolare > titolare autonomo di trattamento, e in questo caso il fornitore è tenuto a valutare l’esigenza di richiedere un consenso agli interessati, in quanto, come titolare autonomo, è soggetto alla disciplina prevista per i soggetti privati.

70

4:4.3

La scelta tra il primo o il secondo tipo di nomina dipende dalla natura dell’incarico: se il fornitore opera come figura soggettiva autonoma assume la qualità di titolare.

La nomina di strutture esterne che curano ad esempio le buste paga del personale può avvenire in due diverse modalità: nomina in veste di responsabile del trattamento, oppure nomina in veste di titolare autonomo di trattamento.

Nel primo caso questo centro di elaborazione dati esterno riceve istruzioni sulle misure di sicurezza da adottare e controlli dal titolare del trattamento in ordine alla conformità di trattamento dei dati personali. Non ha l’obbligo di acquisire a sua volta un consenso scritto dai dipendenti di cui elabora i dati. Quel consenso è acquisito dall’albergo che avrà informato i dipendenti del fatto che i dati delle buste paga sono elaborati dal Ced. Questo rapporto configura un legame pressoché di dipendenza del Ced dall’albergo stesso.

Il secondo caso è invece quello più consueto, il Ced viene nominato autonomo titolare di trattamento perché si tratta di una struttura che elabora buste paga per molte aziende e non solo per un cliente. Questo ne determina una struttura totalmente indipendente sia nell’organizzazione aziendale che nel sistema di trattamento informatizzato dei dati e sulle misure di sicurezza intraprese. Per il Ced che riceve siffatta nomina ne scaturisce l’obbligo di acquisire autonomamente una ulteriore firma di consenso dei dipendenti.

Ecco come un’impresa alberghiera potrebbe definire l’assetto funzionale dei propri uffici per la gestione degli adempimenti privacy.

71

4:4.4

4.4 Le nomine dei dipendenti Preferibilmente le nomine avvengono attraverso una lettera di incarico su carta intestata dell’azienda, stampata in duplice copia, una per il datore di lavoro e una per il lavoratore dipendente. Andranno controfirmate dalle parti e aggiornate ogni qualvolta in azienda siano introdotte rilevanti novità che possano influire sui contenuti

72

4:4.4

dell’incarico stesso: cambiamenti nei livelli di autorizzazione all’utilizzo dei dati, avanzamenti di carriera, nuovi software di elaborazione, riassetto della rete informatica. In ogni caso gli incarichi hanno durata limitata a un anno, pertanto allo scadere dei termini andranno ristampate apponendo la nuova data di sottoscrizione.

Come sono composte le lettere di nomina? Cosa devono prevedere?

Fondamentalmente esse devono elencare i compiti e le responsabilità del soggetto che opera il trattamento dei dati e devono essere affiancate da una busta chiusa contenente la password segreta e il nome utente per l’accesso alla propria postazione di lavoro elettronica.

Atto di nomina del Responsabile del trattamento dei dati La Ditta (…specificare la Ragione Sociale…), in qualità di titolare del trattamento di dati personali operati nell’ambito delle proprie attività, ai sensi del D. Lgs. 196/2003 nomina Responsabile del trattamento dei dati il Sig. (… specificare generalità e ruolo ricoperto in azienda…)

Secondo quanto disposto dall’art. 29, comma 4, sono di seguito specificati i compiti affidati al responsabile: • adottare e rispettare le misure di sicurezza indicate e predisposte dal titolare del trattamento; • individuare e nominare per iscritto gli incaricati del trattamento, impartendo loro, per iscritto, le necessarie istruzioni come disposto dall’allegato B del Decreto; • vigilare sul rispetto di queste misure di sicurezza da parte dei soggetti nominati incaricati; • verificare (trimestralmente/semestralmente) lo stato di applicazione del decreto, nonché il buon funzionamento, la corretta applicazione e la conformità alle indicazioni dell’Autorità Garante dei sistemi e delle misure di sicurezza adottate; • predisporre, a seguito di ciascuna verifica, una relazione scritta in ordine a tutti gli adempimenti eseguiti, alla documentazione raccolta ed archiviata ai sensi del decreto nonché in ordine alle misure di sicurezza valutando anche l’emergere di nuovi rischi. Tale relazione dovrà essere, successivamente, trasmessa al titolare del trattamento; • evadere tempestivamente tutte le richieste di eventuali reclami degli interessati; • evadere tempestivamente le richieste di informazioni da parte dell’Autorità Garante e dare immediata esecuzione alle indicazioni che perverranno dalla medesima Autorità;

73

4:4.4

• interagire con i soggetti incaricati di eventuali verifiche, controlli o ispezioni; • comunicare immediatamente al titolare gli eventuali nuovi trattamenti da intraprendere nel proprio settore di competenza, provvedendo alle necessarie formalità di legge; • redigere e aggiornare il DPS; • distruggere i dati in caso di cessazione del trattamento degli stessi, provvedendo alle necessarie formalità di legge; • aggiornare la lista degli incaricati che possono accedere a determinate banche dati; • modificare (ai sensi dell’allegato B – n.5) la parola chiave al primo utilizzo e successivamente, ogni 6 mesi (in caso di trattamento di dati sensibili ogni 3 mesi).

A tal fine Le vengono ora consegnati in busta chiusa allegata i codici di accesso composti da nome utente e password. Successivamente a ogni modifica la password andrà subito trasmessa in busta chiusa al custode delle copie delle credenziali di autenticazione. È fatto assoluto divieto di comunicare, diffondere, utilizzare i dati personali provenienti dalle banche dati aziendali, senza l’autorizzazione del titolare.

Per assicurare misure di sicurezza nell’uso del computer è vietato l’utilizzo di posta elettronica per uso personale ed è vietato scaricare programmi da internet.

Il Responsabile …………………….…..................

Rimini, lì ………................

Il Titolare …………………….…..................

Atto di nomina dell’Incaricato al trattamento dei dati La Ditta (…specificare la Ragione Sociale…), in qualità di titolare del trattamento di dati personali operati nell’ambito delle proprie attività, ai sensi del D. Lgs. 196/2003 oppure Il Sig. (… specificare generalità e ruolo ricoperto in azienda…) in qualità di responsabile del trattamento dei dati, ai sensi del D.Lgs. 196/2003 nomina Incaricato del trattamento di dati personali il Sig. (… specificare generalità e ruolo ricoperto in azienda…)

Secondo quanto disposto dall’art. 30, comma 2 sono di seguito specificati i compiti affidati all’incaricato: • trattare tutti i dati personali di cui viene a conoscenza nell’ambito di svolgimento delle proprie funzioni, in modo lecito e secondo correttezza; • effettuare la raccolta, l’elaborazione, la registrazione ecc. di dati personali esclusivamente per lo svolgimento delle proprie mansioni; • accedere unicamente alle seguenti banche dati………………………. (specificare le banche dati cui può/deve accedere il soggetto incaricato); • evitare di creare banche dati nuove senza espressa autorizzazione del titolare (o del responsabile, se nominato); • mantenere assoluto riserbo sui dati personali di cui si viene a conoscenza nell’esercizio delle pro-

74

4:4.4

prie funzioni; • evitare di asportare supporti informatici o cartacei contenenti dati personali di terzi, senza la previa autorizzazione del titolare (responsabile, se nominato); • controllare e custodire, per tutte le operazioni di trattamento dei dati senza l’ausilio di strumenti elettronici, gli atti e i documenti contenenti dati personali al fine di impedire l’accesso ai documenti stessi da parte di persone prive di autorizzazione; • modificare (ai sensi dell’allegato B – n.5) la parola chiave al primo utilizzo e successivamente, ogni 6 mesi (in caso di trattamento di dati sensibili ogni 3 mesi).

A tal fine Le vengono ora consegnati in busta chiusa allegata i codici di accesso composti da nome utente e password. Successivamente a ogni modifica la password andrà subito trasmessa in busta chiusa al custode delle copie delle credenziali di autenticazione. È fatto assoluto divieto di comunicare, diffondere, utilizzare i dati personali provenienti dalle banche dati aziendali, senza l’autorizzazione del titolare (o responsabile, se nominato).

L’incaricato dovrà osservare scrupolosamente tutte le misure di sicurezza già in atto, o che verranno comunicate in seguito dal titolare/responsabile del trattamento.

Per assicurare misure di sicurezza nell’uso del computer è vietato l’utilizzo di posta elettronica per uso personale ed è vietato scaricare programmi da internet.

Il Responsabile …………………….…..................

Rimini, lì ………................

Il Titolare …………………….…..................

Atto di nomina del Custode delle credenziali di autenticazione La Ditta (…), in qualità di titolare del trattamento di dati personali operati nell’ambito delle proprie attività, ai sensi del D. Lgs. 196/2003 nomina Custode delle credenziali di autenticazione il Sig………………, (indicare nome e cognome, e ruolo svolto in azienda).

Secondo quanto disposto dal Disciplinare tecnico in materia di misure minime di sicurezza (D.Lgs.196/03 allegato B), i compiti del custode delle credenziali di autenticazione sono: • conservare in luogo sicuro e in busta chiusa una copia delle parole chiave per ogni incaricato e per ogni banca dati intestando la busta al nome utente; • avvertire l’incaricato in caso di violazione della parola chiave; • in caso di prolungata e motivata assenza dell’incaricato e per motivi di estrema necessità, il custode aprirà le buste relative per permettere al titolare l’accesso ai dati.

Il Custode delle credenziali di autenticazione …………………….…..................

Rimini, lì ………................

75

Il Titolare …………………….…..................

4:4.5

Su tutti gli aspetti elencati nelle nomine si dovrà svolgere opportuna formazione interna degli addetti. Anche i tirocinanti e tutti coloro che svolgono un incarico a tempo determinato devono ricevere lettera di incarico e si deve procedere alla loro formazione. I dipendenti poi dovranno ricevere un’informativa e ad essi andrà richiesto il consenso per il trattamento dei loro dati. Così, assieme alla firma delle nomine, anche il rilascio dell’informativa ai dipendenti sarà l’occasione preziosa per gestire un momento preciso di formazione.

4.5 Le informative per i dipendenti Vediamo, nell’ordine, l’impostazione dell’informativa per i dipendenti e quella per gli aspiranti dipendenti, ovvero come archiviare il curriculum vitae (C.V.) di un candidato. Poi esaminiamo i piani della formazione interna richiesti espressamente dal Codice.

Informativa e raccolta del consenso per i dipendenti Informativa ai sensi dell’art.13 D.Lgs.196/2003. La informiamo che in osservanza del D.Lgs.196/2003 la Ditta (…specificare ragione sociale ....), è titolare del trattamento dei Suoi dati. Secondo il disposto dell’art.13 La informiamo che il trattamento ha: • finalità amministrativo-contabili: - trattamento economico e giuridico del personale (calcolo e pagamento retribuzioni, applicazione legislazione previdenziale e assistenziale; cassa integrazione) - gestione del personale (selezione, valutazione del personale, concorsi, formazione) - adempimento di obblighi contabili e fiscali - adempimenti connessi al versamento di quote per sindacati o all’esercizio di diritti sindacali (gestione di permessi, distacchi, ecc.)

- igiene e sicurezza del lavoro - programmazione delle attività lavorative - servizi di controllo interno (sicurezza, produttività, qualità dei servizi) • il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni alla nostra Ditta appositamente incaricati; • il conferimento dei dati è obbligatorio per tutto quanto richiesto dagli obblighi legali e contrattuali e l’eventuale rifiuto a fornirli in tutto o in parte ha come conseguenza l’impossibilità da parte della scrivente Ditta di dare esecuzione al contratto o di svolgere correttamente tutti gli adempimenti imposti dalla normativa fiscale, amministrativa o del lavoro per cui i dati sono utilizzati; • i Suoi dati potranno essere conosciuti dai seguenti soggetti: - responsabile del trattamento e incaricati che elaborano i dati stessi; - istituti di credito per le operazioni di pagamento stipendi; - società che provvedono all’installazione e manutenzione dei nostri sistemi elettronici hardwa-

76

4:4.5

re e software; - società che svolgono all’interno della nostra azienda gli adempimenti necessari alla certificazione di qualità dei nostri standard; • i Suoi dati potranno essere altresì comunicati, per le finalità sopra specificate, a: - enti pubblici (Inps, Inail, Dir.Prov.Lavoro, Uffici Fiscali); - Fondi o Casse, anche private, di previdenza e assistenza; - studi medici in adempimento degli obblighi in materia di igiene e sicurezza del lavoro; - organizzazione sindacali cui Lei abbia conferito mandato; - consulenti/professionisti e centri di elaborazione dati che operano in veste di Responsabili e dei quali ci avvaliamo per lo svolgimento del servizio di elaborazione delle buste paga; - Amministrazione Finanziaria, organi di Polizia Tributaria, Autorità giudiziarie, Ispettorato del Lavoro, ASL, Enti Previdenziali, ENASARCO, Camera di Commercio; • Lei potrà esercitare i Suoi diritti, inerenti al trattamento dei Suoi dati personali, secondo le garanzie indicate dall’art.7 del D.Lgs.196/2003 (testo completo dell’art. 7 disponibile sul sito www.garanteprivacy.it ) rivolgendosi al titolare/responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

Consenso dell’interessato al trattamento dei dati Il sottoscritto …………………….......................……..…. vista la presente informativa, • dà il proprio consenso scritto, libero e informato al trattamento dei propri dati sia personali che sensibili e alla comunicazione ai soggetti in elenco per le finalità indicate Firma dell’interessato …………………….…..................

Rimini, lì ………................

Il trattamento di un Curriculum Vitae è consentito in presenza di un consenso libero e informato dell’interessato al trattamento dei dati personali e sensibili in esso contenuti. Ricevendo un CV sprovvisto di consenso va inoltrata al candidato la seguente Informativa per la raccolta scritta del consenso.

Informativa per gestione Curriculum Vitae Informativa ai sensi dell’art.13 D.Lgs.196/2003. La informiamo che in osservanza del D.Lgs.196/2003 la Ditta (specificare ragione sociale ..................................................), è titolare del trattamento dei Suoi dati. Secondo il disposto dell’art.13 La informiamo che: • il trattamento ha finalità connesse alla ricerca e selezione del personale; • il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni alla nostra Ditta appositamente incaricati; • il conferimento dei dati è facoltativo e l’eventuale rifiuto a fornirli in tutto o in parte ha come conse-

77

4:4.5

guenza l’impossibilità da parte della scrivente Ditta di dare esecuzione all’esame della candidatura; • i Suoi dati potranno essere conosciuti dai seguenti soggetti: - responsabile del trattamento e incaricati che archiviano o esaminano i documenti stessi; - società che provvedono all’installazione e manutenzione dei nostri sistemi elettronici hardware e software; • i Suoi dati non verranno comunicati a terzi, nè diffusi, ad eccezione di: - consulenti/professionisti e centri di elaborazione dati dei quali ci avvaliamo per lo svolgimento del servizio di selezione.

• Lei potrà esercitare i Suoi diritti, inerenti al trattamento dei Suoi dati personali, secondo le garanzie indicate dall’art.7 del D.Lgs.196/2003 (testo completo dell’art. 7 disponibile sul sito www.garanteprivacy.it ) rivolgendosi al titolare/responsabile del trattamento dei dati: (specificare nome, cognome, ufficio interno o ditta esterna).

Consenso dell’interessato al trattamento dei dati Il sottoscritto …………………….......................……..…. vista la presente informativa, • dà il proprio consenso scritto, libero e informato al trattamento dei propri dati sia personali che sensibili e alla comunicazione ai soggetti in elenco per le finalità indicate Firma dell’interessato …………………….…..................

Rimini, lì ………................

Annunci di selezione del personale Inserire in calce all’offerta di un posto di lavoro il seguente invito: Si informano i candidati che il CV dovrà contenere la seguente dichiarazione, debitamente firmata: Ai sensi del D.Lgs.196/03 il sottoscritto .............. dà il proprio consenso al trattamento dei dati personali e sensibili contenuti nel CV, per esclusive finalità di selezione del personale. L’interessato è a conoscenza dei diritti sanciti dall’art.7.

Luogo.................. Data ................ Firma..................

Moduli di candidatura al lavoro da compilare su internet Inserire in calce al form su internet di inserimento dati del candidato la seguente nota: Informativa ai sensi dell’art.13, D.Lgs.196/2003. Titolare del trattamento dei dati è la Ditta .....(specificare Ragione sociale). Il trattamento dei Suoi dati è finalizzato all’esame della Sua candidatura nell’ambito delle attività di ricerca e selezione del personale effettuata dalla scrivente Ditta. Il trattamento avviene tramite strumenti elettronici (e/o in forma manuale con strumenti cartacei) da parte di soggetti interni appositamente incaricati. Il conferimento dei dati ha natura facoltativa, ma la mancata comunicazione di alcuni di essi potrebbe impedire l’invio di informazioni al Suo recapito o rendere

78

4:4.6

incompleta la valutazione della Sua candidatura. I Suoi dati non saranno comunicati a terzi, né saranno diffusi. Lei potrà esercitare i Suoi diritti come indicato dall’art.7 (che riportiamo per esteso .....inserire link al testo oppure pubblicarlo in calce) rivolgendosi al Responsabile del trattamento dei dati: (.....specificare nome e recapito). Con l’invio di questo coupon elettronico Lei sottoscrive un consenso libero e informato al trattamento dei suoi dati personali e sensibili risultanti da questa scheda.

Dò il consenso scritto, libero e informato al trattamento dei miei dati personali e sensibili risultanti da questa scheda (predisporre nel modulo internet l’opzione di spunta in segno di consenso)

4.6 Le attività di formazione dei dipendenti Le attività formative del personale dipendente dell’azienda sono richieste e regolamentate dal cosiddetto Disciplinare tecnico, Allegato B (comma 19.6) del Codice.

Queste attività rappresentano un punto qualificante nella tutela dei dati personali perché proprio il comportamento professionale degli incaricati del trattamento costituisce la misura più radicale di protezione e sicurezza del sistema informativo aziendale.

La formazione degli addetti avviene nel momento dell’ingresso in servizio e in occasione di cambiamenti rilevanti rispetto al trattamento dei dati. La programmazione annuale di interventi formativi si svolge individuando: > un calendario di appuntamenti seminariali, > i destinatari a cui rivolgere gli interventi, > le modalità operative di svolgimento delle azioni formative.

Lo svolgimento degli appuntamenti dedicati alla formazione e all’aggiornamento professionale può essere demandato a risorse qualificate interne all’azienda oppure ci si può rivolgere all’offerta formativa a catalogo presente sul mercato.

Organizzazione delle attività formative Data di svolgimento - Specificare calendario delle attività Destinatari - Incaricati - Neo assunti - Personale proveniente da altro reparto o ufficio Modalità di attuazione - Partecipazione a seminari esterni a catalogo - Corsi di formazione interni condotti da consulenti - Briefing e corso di aggiornamento condotto dal Responsabile del trattamento

79

4:4.7

Le finalità perseguite devono essere quelle di rendere edotti gli incaricati del trattamento in merito alle situazioni più rilevanti collegate al trattamento dei dati: > profilo complessivo della disciplina sulla protezione dei dati personali, > responsabilità che ne derivano per gli incaricati del trattamento, > modalità per aggiornarsi sulle misure minime adottate dal titolare, > rischi che incombono sulla sicurezza e la riservatezza dei dati personali, > misure organizzative, comportamentali e tecniche previste per prevenire eventi dannosi.

Piano di attività formative Contenuti didattici Obiettivi formativi Linee guida ispiratrici del Codice. Definizioni Presentare ambiti e confini di applicazione della > come da art. 4 normativa Lettura artt. 28-29-30 Mostrare chi sono i soggetti interessati dalle Commento della check list di impegni sottooperazioni di trattamento dei dati > scritti con l’accettazione della nomina come incaricati Operare correttamente il trattamento dei dati Lettura e spiegazione del Dps aziendale > così come definito dal DPS aziendale Controllo e custodia per trattamento dati senza Lettura e spiegazione del Dps aziendale > strumenti elettronici Esame dei rischi connessi al trattamento dei Lettura e spiegazione del Disciplinare tecnico > dati allegato al Codice Rispondere a dubbi e richieste di chiarimenti Domande e risposte e lettura di articoli specifici > legati alla specifica attività aziendale del Decreto

Il responsabile del trattamento dei dati potrà curare le attività formative degli incaricati predisponendo una scaletta anche più ampia di argomenti da trattare e portando in ufficio materiali di lavoro prelevati da questo stesso manuale. Allo stesso tempo il responsabile potrà elaborare un breve vademecum per i dipendenti sul corretto trattamento dei dati e sulle best practice per la sicurezza del sistema informativo, il tutto nell’ottica di una nuova cultura della gestione dei dati.

4.7 Le nomine di soggetti esterni Vi sono poi una serie di nomine per richiedere l’intervento esterno come supporto tecnico-informatico o per affidare in outsourcing servizi di elaborazione dati. Questa nomine sono quelle, nell’ordine, dell’Amministratore di sistema e di fornitori di ser-

80

4:4.7

vizi come il commercialista o il consulente del lavoro per le buste paga. Se tra i soci o i dipendenti dell’azienda esiste un esperto capace di installare reti e sistemi operativi o che sovrintende al funzionamento del sistema informatico e informativo la nomina di amministratore di sistema potrebbe essere indirizzata a lui e non fuori.

Avvertenza: in caso di aggiornamento di incarichi di manutenzione (con il passaggio a una nuova ditta che faccia assistenza tecnica per le misure di sicurezza richieste dalla normativa sulla privacy) questo andrà annotato per iscritto e andrà compilata una nuova nomina come Amministratore di sistema.

Atto di nomina dell’Amministratore di sistema (per manutenzione e protezione del sistema elettronico) La Ditta (…specificare la Ragione Sociale…), in qualità di titolare del trattamento di dati personali operati nell’ambito delle proprie attività, ai sensi del D. Lgs. 196/2003 nomina Amministratore di sistema la Ditta (…specificare la Ragione Sociale del fornitore…), Secondo quanto disposto dal Disciplinare tecnico in materia di misure minime di sicurezza (D.Lgs.196/03 allegato B), i compiti dell’Amministratore di sistema sono: • assegnare le credenziali di autenticazione informatica; (attribuzione agli incaricati di un nome utente e di una parola chiave associate rispettivamente ai rispettivi incaricati); • prevedere parole chiave di almeno otto caratteri (se lo strumento non lo permette, utilizzare un numero di caratteri pari al massimo consentito); • disattivare le credenziali non utilizzate da almeno sei mesi o nel caso in cui all’incaricato venga revocata la nomina; • quant’altro espressamente richiesto dal Disciplinare tecnico.

Al termine dell’intervento la Ditta nominata Amministratore di Sistema si impegna a rilasciare una descrizione scritta dell’intervento effettuato che ne attesti la conformità alle disposizioni del disciplinare tecnico di cui al D. Lgs. 196/2003 Allegato B. l’Amministratore di sistema …………………….…..................

Rimini, lì ………................

81

Il Titolare …………………….…..................

4:4.7

Scrittura privata per trattamento di dati affidato all’esterno con nomina del fornitore in qualità di Responsabile del trattamento (D.Lgs.196/2003 - allegato B regola 19.7) A integrazione del contratto e/o accordo di prestazione di servizi esistente tra (indicare nome del committente..........……..............................................………………) e (indicare nome del fornitore di servizi in outsourcing ......................................................) si sottoscrive l’allegato documento.

Visto il disposto complessivo del D.Lgs.196/2003, nel rispetto dei requisiti di esperienza, capacità e affidabilità assicurati dal fornitore, al fine di garantire un trattamento legittimo e sicuro dei dati personali, si conviene quanto segue.

Il committente nomina il fornitore come ‘’Responsabile del trattamento dei dati’’ Al fornitore del servizio in outsourcing sono affidate le seguenti attività: Attività Esempio: Gestione buste paga del personale

Finalità del trattamento dati Esempio: • Gestione dell’anagrafica dipendenti • Calcolo buste paga • Calcolo ritenute sindacali • Elaborazione dati malattie, ferie, maternità • Schede su avanzamento di carriera • Appartenenza a categorie protette • Altro (…specificare…)

Il soggetto cui le attività sono affidate dichiara: • di essere consapevole che i dati che tratterà nell’esecuzione dell’incarico ricevuto sono dati personali e come tali sono soggetti all’applicazione del Codice per la protezione dei dati personali, • di ottemperare agli obblighi previsti dal Codice per la protezione dei dati personali, in particolare per quanto riguarda l’adozione delle misure minime di sicurezza; • di adottare le istruzioni specifiche ricevute per il trattamento dei dati personali e di integrarle nelle procedure già in essere, • di impegnarsi a relazionare annualmente sulle misure di sicurezza adottate e di allertare immediatamente il proprio committente in caso di situazioni anomale o emergenze, • di riconoscere il diritto del committente a verificare periodicamente l’applicazione delle norme di sicurezza adottate.

Il CED o altro fornitore in outsourcing …………………….…..................

Rimini, lì ………................

82

Il Committente …………………….…..................

4:4.7

Scrittura privata per trattamento di dati affidato all’esterno con nomina del fornitore in qualità di autonomo titolare del trattamento (D.Lgs.196/2003 - allegato B regola 19.7) A integrazione del contratto e/o accordo di prestazione di servizi esistente tra (indicare nome del committente..........……..............................................………………) e (indicare nome del fornitore di servizi in outsourcing ......................................................) si sottoscrive l’allegato documento.

Visto il disposto complessivo del D.Lgs.196/2003, nel rispetto dei requisiti di esperienza, capacità e affidabilità assicurati dal fornitore, al fine di garantire un trattamento legittimo e sicuro dei dati personali, si conviene quanto segue.

Il committente nomina il fornitore come ‘’Autonomo titolare del trattamento dei dati’’ Al fornitore del servizio in outsourcing sono affidate le seguenti attività: Attività Esempio: Gestione buste paga del personale

Finalità del trattamento dati Esempio: • Gestione dell’anagrafica dipendenti • Calcolo buste paga • Calcolo ritenute sindacali • Elaborazione dati malattie, ferie, maternità • Schede su avanzamento di carriera • Appartenenza a categorie protette • Altro (…specificare…)

Il soggetto cui le attività sono affidate dichiara: • di essere consapevole che i dati che tratterà nell’esecuzione dell’incarico ricevuto sono dati personali e come tali sono soggetti all’applicazione del Codice per la protezione dei dati personali, • di ottemperare agli obblighi previsti dal Codice per la protezione dei dati personali, in particolare per quanto riguarda l’adozione delle misure minime di sicurezza; • di provvedere come autonomo titolare di trattamento, all’obbligo dell’informativa e/o della raccolta del consenso scritto e informato degli interessati presenti nelle banche-dati Il CED o altro fornitore in outsourcing …………………….…..................

Rimini, lì ………................

83

Il Committente …………………….…..................

4:4.7

Casi di nomina come Responsabile per trattamento di dati affidato all’esterno (qui il Titolare deve controllare l’esistenza di misure di sicurezza prese dal Responsabile per la protezione dei dati): > agenzia pubblicitaria che gestisce un numero verde collegato a una promozione, > ragioniere dopolavorista per elaborazione buste paga, > collaboratore part time di rete vendita, > consulente a contratto per organizzazione risorse umane.

Casi di nomina come Autonomo titolare per trattamento di dati affidato all’esterno (delega completa a terzi di responsabilità in ordine alle misure minime di sicurezza): > studio associato commercialisti per contabilità generale e buste paga, > agenzia di web marketing per raccolta nominativi su internet e gestione newsletter, > rete di promoter e agenti.

84

5:5.1

5 Guida pratica alla compilazione del Dps

Il Dps, documento programmatico sulla sicurezza, è una vera e propria cabina di regia del sistema informativo aziendale. All’interno del Dps è contenuta una mappa capace di orientare l’imprenditore e i suoi collaboratori nella gestione operativa dell’architettura hardware e software delle banche dati aziendali. Non solo, è presente il piano di gestione per far fronte ad ogni prevedibile emergenza che interessasse le banche dati della società, così preziose per il rapporto con i clienti.

Il Dps è un documento che, una volta prodotto, andrà poi aggiornato periodicamente. Questo implica una impostazione corretta e organica che renda semplificato al massimo l’inserimento di nuovi elementi e il suo mantenimento negli anni a venire.

Tra l’altro, proprio questo compito costante favorirà internamente all’azienda la crescita di una professionalità specifica nella gestione del sistema informativo.

Con il Dps, quelli che possono sembrare adempimenti imposti dalla nuova normativa, non sono nient’altro che l’applicazione di regole già adottate dagli operatori economici e dai responsabili del trattamento dei dati in forza del semplice buon senso. L’operazione di eseguire regolarmente copie di salvataggio dei dati diventa però ora, con il Dps, obbligatoria e condurrà all’adeguamento anche quei titolari di azienda che trascuravano questo pur elementare aspetto.

L’adozione di misure di sicurezza richieste dal Codice andrà invece e soprattutto a perfezionare veri e propri piani di disaster recovery per la gestione programmata e pianificata di più complesse situazioni di emergenza nella previsione di un pronto ripristino delle condizioni operative e di sicurezza nel trattamento dei dati personali.

5.1 Chi deve compilare il Documento programmatico sulla sicurezza Il Dps va redatto da tutti i soggetti che operano un trattamento di dati con strumenti elettronici. Questa prescrizione è contenuta nell’art. 34 del Codice e puntualizzata dal punto 19 dell’Allegato B.

Art. 34 - Trattamenti con strumenti elettronici 1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell’allegato B), le seguenti misure minime:

85

5:5.1

a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f ) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

Allegato B. Disciplinare tecnico. Punto 19 Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza (…).

Il primo comma dell’art. 34, lettera g, indica letteralmente che il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se si dispone di un documento programmatico sulla sicurezza.

Il disciplinare tecnico presente nell’Allegato B, al punto 19, quando parla di trattamento di dati sensibili, fa una precisazione in senso rafforzativo e richiama maggiore attenzione a un singolo dettaglio, la protezione dei dati sensibili, affinché questo aspetto non sia assolutamente trascurato. Questa precisazione non ha la funzione, né potrebbe averla, di restringere il campo di applicazione delle misure di sicurezza elencate nell’art.34. L’allegato B è espressamente rafforzativo dell’obbligo di dotarsi di un documento programmatico sulla sicurezza, in particolar modo per la possibile presenza di dati sensibili, che sono quelli più critici, quelli più a rischio.

La precisazione introdotta dal disciplinare tecnico non costituisce titolo di esenzione dalla preparazione del Dps per chi tratta solo dati comuni e non sensibili.

L’allegato B non esprime una liberatoria dall’impegno di redigere il Dps perché non può contraddire l’ambito di applicazione dell’art.34 del Codice, ambito esteso a tutti i dati personali, senza restrizione di sorta. La realizzazione del Dps appartiene alla lista di quegli “obblighi di sicurezza di portata generale (il riferimento è

86

5:5.1

12

all’art.34, ndr) che devono essere, comunque, adottati dal titolare” .

Vi è stato chi, dalla lettura incrociata dei due brani del Codice, aveva tratto motivi di dubbio interpretativo, ma l’indicazione che anche da questa fonte si conferma è quella di realizzare sempre il Dps aziendale. “Da un lato ci troviamo davanti a una prescrizione generale scritta nell’art.34, mentre nel disciplinare, cui pure fa riferimento l’art.34, si precisa che tale prescrizione generale in realtà non è tale, perché limitata soltanto a titolari alcune particolari categorie di dati. Da questa considerazione e da questo dubbio nasce pertanto la mia raccomandazione di sviluppare sempre e comunque l’impostazione delle misure minime di sicurezza, attenendosi alla situazione più a rischio, vale a dire alla situazione nella quale vengono trattati dati sensibili o giudiziari. Con questo atteggiamento prudenziale il titolare è sempre pronto a fronteggiare un’eventuale rapida evoluzione dei dati e delle tipologie di trattamento effettuate, senza dover attendere di ristrutturare completamente l’arti13 colazione delle misure minime, prima di avviare la nuova attività di trattamento” .

Il disciplinare tecnico allegato al Codice, peraltro, è un atto che potrà essere rapidamente aggiornato in rapporto all’evoluzione del settore. Anche per questa ragione può essere utile non farsi trovare impreparati. La presenza di un Dps, cioè di quel prospetto organico del trattamento elettronico dei dati personali in azienda, rappresenta un elemento di grande razionalizzazione della gestione aziendale e non un fattore di rallentamento della stessa.

Art. 36 - Adeguamento 1. Il disciplinare tecnico di cui all’allegato B), relativo alle misure minime di cui al presente capo, è aggiornato periodicamente con decreto del Ministro della giustizia di concerto con il Ministro per le innovazioni e le tecnologie, in relazione all’evoluzione tecnica e all’esperienza maturata nel settore.

12

Pinori A. (2004), La protezione dei dati personali,

Giuffrè, Milano, p.192 13

Biasiotti A. (2004), Codice della privacy e misure minime

di sicurezza, EPC Libri, Roma, p.42

87

C’è anche un’altra prospettiva che rileva la necessità pratica di dotarsi sempre e comunque del Dps, che è la bussola per gestire adempimenti paralleli

5:5.2

e contestuali richiesti dal Codice. Il Dps è l’involucro che riunisce i materiali di documentazione e riferimento per governare la sicurezza e la protezione dei dati personali. “Sarà ben difficile poter attuare le misure minime di sicurezza previste dal disciplinare se non si è prima compilato il documento programmatico. Ecco la ragione per cui un saggio titolare ed un competente responsabile del trattamento di dati personali faranno in modo che il primo documento che si compilerà sia proprio il documento programmatico sulla sicurezza, che fungerà da guida per i successivi adempimenti. Questo documento terrà sotto controllo l’analisi del rischio, la graduale attivazione delle difese, le simulazioni ed altro e potrà quindi rappresentare un vero e proprio resoconto, vivo e vitale, dell’attività svolta dall’azienda in materia 14 di sicurezza nel trattamento di dati personali” .

Disporre di un quadro di riferimento come il Dps permette di fare un passo avanti nell’organizzazione interna del lavoro, garantendo maggiore ordine, possibilità di accesso rapido ai documenti, minori ritardi nella gestione delle pratiche, evitando perdite di dati.

5.2 Misure minime di sicurezza Il Dps è la relazione tecnica dove sono descritte le misure che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell’art. 31 del Codice.

Art. 31. Obblighi di sicurezza 1. I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.

Le misure minime sono l’insieme degli accorgimenti tecnici e organizzativi che l’azienda deve adottare per assicurare Biasiotti A. (2004), Codice della privacy e misure minime almeno il livello minimo di sicurezza di sicurezza, EPC Libri, Roma, p.260 per la protezione dei dati personali. Il 14

88

5:5.2

Dps deve contenere, in particolare, l’analisi dei rischi che incombono sui dati personali e le tutele adottate per prevenire la loro distruzione, l’accesso abusivo e la dispersione. Le misure minime di sicurezza da adottare per il trattamento di dati personali effettuato con strumenti elettronici devono essere idonee e preventive contro rischi di: > distruzione o perdita, anche accidentale > accesso non autorizzato > trattamento non consentito > trattamento non conforme alle finalità della raccolta In sintesi, il Codice prescrive interventi su questi punti. > Assegnazione di una password ai dipendenti La misura di sicurezza qui contemplata è chiamata, tecnicamente, procedura di gestione delle credenziali di autenticazione. L’amministratore di sistema dovrà assegnare preventivamente, in modo personale e riservato, un nome utente e relativa password sia ai responsabili che agli incaricati che opereranno sulle banche dati. > Autenticazione informatica L’operatore incaricato del trattamento potrà accedere ai dati previa verifica della sua identità mediante compilazione di nome utente e password all’apertura della sessione di lavoro. > Presenza di un sistema di autorizzazione Il titolare del trattamento dovrà stabilire l’organigramma aziendale dei ruoli e dei compiti cioè una mappa dei profili di autorizzazione affinchè ogni incaricato operi soltanto nell’ambito assegnatogli. > Aggiornamento periodico delle autorizzazioni al trattamento dati In presenza di turn over del personale o in presenza di significativi cambiamenti nell’organizzazione del lavoro il titolare del trattamento dovrà provvedere ad aggiornare le autorizzazioni assegnate ai dipendenti. In ogni caso le autorizzazioni vanno rinnovate ogni anno (se non vi sono cambiamenti di rilievo è sufficiente ristampare copia della lettera di incarico in scadenza e inserire la nuova data).

89

5:5.2

> Aggiornamento periodico delle autorizzazioni alla manutenzione degli strumenti elettronici Nel caso si dovesse procedere all’autorizzazione di un nuovo fornitore di assistenza per la rete informatica connessa al trattamento dei dati ne va registrata nota nel Dps. > Protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti, ad accessi non consentiti e a determinati programmi informatici Intervento tecnico da assegnare a esperti informatici, interni o esterni all’azienda. I criteri per allestire correttamente la necessaria protezione dei dati sono indicati dal legislatore nel disciplinare tecnico pubblicato nell’Allegato B del Codice. > Adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi Anche questo insieme di operazioni va progettato con l’assistenza degli esperti informatici, sempre secondo quanto è stabilito nel disciplinare tecnico di cui sopra. > Tenuta di un documento programmatico sulla sicurezza (Dps) Il compito di predisporre il registro aziendale della privacy e di redigere il Dps è in capo al Titolare del trattamento dei dati che può delegare l’operazione al Responsabile del trattamento dei dati. L’operazione dovrà essere aggiornata periodicamente. > Adozione di tecniche di cifratura I dati sensibili di tipo sanitario vanno trattati separatamente dagli estremi identificativi del soggetto cui si riferiscono per innalzare il livello di protezione dei dati.

Anche codici identificativi possono garantire un idoneo trattamento di dati, effettuati da organismi sanitari, idonei a rivelare lo stato di salute o la vita sessuale.

La recente ondata di nuovi virus e la crescente minaccia di infezione hanno aumentato il livello di preoccupazione: il 38% delle aziende europee intervistate, infatti, ammette di sentirsi molto più vulnerabile oggi rispetto a solo 12 mesi fa.

Nonostante questo, le imprese europee non hanno ancora imparato a intraprendere azioni preventive ma, al contrario, molte di queste non adottano ancora nemmeno la protezione minima indispensabile per

90

5:5.3

salvaguardare le proprie reti. Il 19% si è limitato ad aggiornare il software antivirus nel corso degli ultimi 12 mesi, mentre in Germania addirittura un’azienda su nove (11%) ha ammesso di operare ancora senza 15 alcuna protezione antivirus” .

5.3 Regole 1-18 del disciplinare tecnico In caso di utilizzo di strumenti elettronici, quindi pressoché in tutte le aziende, il titolare del trattamento dei dati deve adottare un “sistema di autenticazione informatica”. Questa programmazione software viene generalmente implementata nel sistema elettronico da esperti appositamente incaricati, perciò in questa sede non 16 entreremo in merito alla materia. Si tratta in sintesi di quelle operazioni che i tecnici informatici dovranno eseguire sulle vostre apparecchiature per fare in modo poi che l’utilizzo delle stesse sia riservato in tutta sicurezza solo ai dipendenti autorizzati, i quali avranno accesso mediante un nome utente e una password.

“Ci sono varie tecniche per produrre parole chiave che abbiano un discreto livello di robustezza (…).

• parole farcite, acronimi e sigle, • parole mutilate o manipolate, • ricorso a caratteri speciali e inserimenti di lettere, • il metodo dell’incrocio di parole, • quello dei primi sette caratteri, (…) La password migliore è quella che è frutto di una combinazione casuale di caratteri numerici e alfabetici. Sui sistemi che permettono di fare distinzione tra caratteri maiuscoli e caratteri minuscoli è oppor17 tuno sfruttare appieno questa possibilità alternando in modo casuale lettere alte e basse” .

Tra le misure di sicurezza elencate ancora nella parte introduttiva del disciplinare tecnico è opportuno in questa sede ricordare la regola 10 che obbliga il titolare a mettere per iscritto una procedura di accesso alle password in caso di impedimento dell’incaricato. Ecco il piano con le istruzioFrontoni G., I crimini informatici, Italia Oggi, 24 gennaio ni da seguire, che tra l’altro dovrà esse2005 re conservato per iscritto in azienda con Cfr. Biasiotti A.(2004), Codice della privacy e misure tutti gli altri documenti inerenti la pratiminime di sicurezza, EPC Libri, Roma ca della privacy e di cui si dirà nell’ultiRapetto U. – Rapetto Freddi B. (2003), Privacy in pratica, mo capitolo di questo manuale.

15

16

17

EPC Libri, Roma, pp.55 e segg.

91

5:5.4

Il Titolare del trattamento dei dati stabilisce che: • i soggetti incaricati della custodia delle credenziali sono nominati per iscritto e risultano i seguenti: (….specificare......)

• la custodia delle copie delle credenziali è assicurata con la conservazione delle stesse nell’ufficio del custode delle credenziali (o del Responsabile del trattamento) in singole buste sigillate, col rispettivo nome dell’incaricato cui si riferiscono • in caso di esclusive necessità di operatività e di sicurezza del sistema il custode (o il Responsabile, in sua assenza) provvede all’apertura della busta dell’incaricato assente e tramite la password interviene sulla postazione di lavoro • il custode delle credenziali informa tempestivamente l’incaricato circa l’intervento effettuato • al suo ritorno l’incaricato sostituisce la vecchia password • viene ripristinata una nuova busta con la nuova password

Il Codice stabilisce un calendario di scadenze da rispettare e la periodicità di taluni inderogabili adempimenti relativi alla sicurezza del sistema elettronico e al piano di autorizzazioni per l’accesso al trattamento dei dati.

Scadenziario e periodicità delle misure di sicurezza (Allegato B, dal punto 14 al punto 18) Descrizione Periodicità Riferimenti di legge Profili di autorizzazione per gli incaricati Almeno annualmente Allegato B punto 14 Protezione contro rischi di intrusione Almeno semestralmente Allegato B punto 16 Controllo programmi per elaboratore Almeno annualmente Allegato B punto 17 per prevenire malfunzionamenti (semestralmente per trattamento dati sensibili o giudiziari) Salvataggio dei dati (back up) Almeno settimanalmente Allegato B punto 18

5.4 Regola 19 del disciplinare tecnico Il passaggio di maggiore rilevanza del disciplinare tecnico per le misure minime di sicurezza è contenuto nel punto 19, che a sua volta si articola in vari sottopunti.

(19.1 e 19.2) Elenco dei trattamenti di dati personali effettuati con strumenti elettronici e distribuzione dei compiti e delle responsabilità La prima parte del Dps deve classificare i trattamenti di dati effettuati in azienda.

Cominciamo dunque con il predisporre una lista delle apparecchiature elettroniche con le quali svolgiamo il trattamento dei dati e attribuiamo ad esse un codice progressivo. Le norme del Codice si applicano a tutti gli strumenti elettronici in grado di effettuare un trattamento di dati e non solo ai classici computer. Se il mezzo elet-

92

5:5.4

tronico è moderno e svolge funzioni tecnologicamente avanzate come accesso a internet, invio e ricezione di posta elettronica, archivio di dati personali, va considerato come strumento del sistema informativo aziendale. Rientrano tra gli strumenti elettronici contemplati dal Codice: - personal computer - computer portatili / laptop / notebook - palmari / personal digital assistant - agende elettroniche / personal organizer - cellulari di nuova generazione - videotelefonini - telecamere a circuito chiuso - web cam Le unità che compongono il sistema elettronico aziendale per il trattamento dei dati personali vanno elencate in una tabella con una serie di elementi descrittivi (possono essere aggiunte nuove variabili o modificate quelle qui proposte, purchè vi sia sempre la possibilità di identificare i singoli strumenti).

A completamento della lista dell’hardware vanno riportati gli estremi identificativi delle licenze originali dei software utilizzati per il sistema operativo e per il trattamento dei dati. E’ dunque richiesta puntuale corrispondenza tra questo tabulato e i pacchetti applicativi o programmi di sistema operativo in uso in azienda.

Strumenti elettronici (personal computer / palmare / web cam / etc.)

Codice identificativo 1 Computer / palmare / web cam Computer Nome incaricato Bianchini Sede Centrale Ufficio Amministr Sistema Operativo XP Rete LAN Sì Accesso Internet Sì Lettore CD Sì Hard disk Sì Mirror hard disk No Floppy disk No Antivirus Sì Firewall No

93

5:5.4

Software utilizzati in azienda Nome del software

Versione

Funzioni

Hotel Data Mix

2.0

Gestionale

Computer aziendali su cui è installato Codice id.1

Dal momento che sono previsti controlli incrociati da parte degli organi di vigilanza ricordiamo in sintesi alcuni elementi del panorama legislativo del settore: > la legge 547/93 “Modificazioni e integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica”, che definisce una serie di crimini informatici, li inserisce nel codice penale con le relative sanzioni; > il decreto legislativo 518/92 “Attuazione della direttiva 91/250/CEE relativa alla tutela giuridica dei programmi per elaboratore”, con cui il nostro ordinamento ha riconosciuto al software la stessa tutela prevista per le opere letterarie, cinematografiche e musicali.

BSA, Business Software Alliance, l’organismo internazionale che promuove un ambiente on line conforme alla legge, pubblica sul suo sito una bozza di documento che ogni azienda può personalizzare e trasmettere ai propri dipendenti per informarli di quali sono le regole aziendali riguardo all’uso e alla copia illegale del software.

All’attenzione dei dipendenti.

Oggetto: computer, software e legge sul diritto d’Autore.

Questa comunicazione interna vuole ricordare la politica della nostra Ditta in merito alla duplicazione illegale e all’uso del software. La duplicazione o l’uso non autorizzati di qualsiasi programma software sono illegali e possono esporre Lei e l’azienda per la quale lavora a una responsabilità civile e penale, ai sensi della legge sul diritto d’Autore. Per non violare né intenzionalmente, né inavvertitamente queste norme, non duplichi, per nessun motivo, senza l’autorizzazione di (….specificare nome o riferimento ….) i programmi installati nel suo computer. Analogamente, non installi nel suo computer alcun programma senza questa autorizzazione e senza aver prima verificato che l’installazione sia coperta dalla relativa licenza d’uso.

Non è permesso realizzare copie non autorizzate di software. Chi si rendesse responsabile di quest’azione o abbia duplicato software al fine di cederlo a terzi esterni, inclusi clienti, potrà essere raggiunto 18 da misure disciplinari, compreso, nei casi più gravi, il licenziamento.

18

Libero adattamento da Strumenti e consigli, web site

BSA, www.bsa.org

94

5:5.4

Si deve produrre l’elenco dei trattamenti dei dati personali indicando per ciascuna banca dati: - finalità del trattamento, - natura dei dati trattati, - personale interno incaricato, - soggetti esterni, - strumenti elettronici utilizzati, - luogo di lavoro, - dispositivi di accesso, - tipo di interconnessione.

La tabella che segue va compilata nella colonna di destra. Occorre rispondere alle domande elencate nella colonna di sinistra. Vediamo alcuni esempi.

Banca dati 1 Nome banca dati 1 Finalità del trattamento

Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura

Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione completa dei dati (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivo di accesso e tipo di connessione

Ubicazione copie di sicurezza (sede, ufficio) Soggetti esterni che concorrono al trattamento dei dati

95

Anagrafica clienti/fornitori • Gestione acquisti/vendite • Preventivi e offerte • Comunicazioni commerciali • Incassi e pagamenti • Dati comuni, indirizzi e recapiti (P) • Back office / ufficio tecnico • Reception / centralino • Ricerca e acquisizione dati • Caricamento dati • Consultazione • Nome cognome (E) • Nome cognome (L)

• Nome cognome (E) subentra a Nome cognome (E) in data gg.mm.aaaa • Server nella sede dell’azienda • Accesso tramite computer • Connessione LAN • Hard disk di computer nella sede dell’azienda • Cd in cassetta di sicurezza nell’ufficio del direttore Nessuno

5:5.4

Banca dati 2 Nome banca dati 2 Finalità del trattamento

Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G)

Incaricati o classi di incaricati / Struttura preposta al trattamento

Trattamenti operati dalla struttura Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione completa dei dati (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivo di accesso e tipo di connessione Ubicazione copie di sicurezza (sede, ufficio) Soggetti esterni che concorrono al trattamento dei dati

Anagrafica personale dipendente • Gestione del personale dipendente • Dati comuni, indirizzi e recapiti (P) • Appartenenza a categorie protette (S) • Ritenute sindacali (S) • Permessi per malattia (S) • Schede di valutazione su avanzamenti di carriera (S) • Ufficio personale • Personale Ced • Responsabili punti vendita catena • Ricerca e acquisizione dati • Caricamento dati • Consultazione • Nome cognome (E) • Nome cognome (L)

• Nome cognome (E) subentra a Nome cognome (E) in data gg.mm.aaaa • Server nella sede dell’azienda • Accesso tramite computer • Connessione LAN • Hard disk di computer nella sede dell’azienda • Cd in cassetta di sicurezza in ufficio del direttore • Nome dell’azienda CED delegata

Compilate le schede riferite alle singole banche dati è necessario specificare se vi è stata cessazione di vecchi trattamenti in essere. La certificazione che il titolare del trattamento compila deve specificare i nome delle banche dati non più attive e la destinazione dei dati in esse contenuti.

96

5:5.4

Destinazione dei dati in caso di cessazione di un trattamento I dati di cui è stato cessato il trattamento sono quelli della seguente banca dati: ………. (specificare)……… I suddetti dati sono stati: (selezionare dall’elenco che segue le modalità che ricorrono) - distrutti - ceduti ad altro titolare (per medesimo trattamento) - conservati e non più destinati a diffusione - conservati o ceduti ad altro titolare per scopi consentiti dal Codice

(19.3) Analisi dei rischi che incombono sui dati Si tratta ora di descrivere quali elementi, in rapporto al contesto ambientale e agli strumenti elettronici utilizzati, potrebbero rappresentare motivo di rischio rispetto alla sicurezza dei dati. Il Codice chiede di predisporre un elenco di questi fattori.

19 Vediamo, con l’aiuto di un’autorevole fonte, il Garante stesso , come si potrebbe costruire questo schema.

In primo luogo si possono ripartire gli eventi e i rischi in categorie: > comportamenti degli operatori interni all’azienda, > eventi relativi agli strumenti, > eventi relativi ai locali di lavoro.

Ciascuna di queste categorie conterrà un elenco più o meno dettagliato di voci. Il Garante suggerisce questo schema, con l’indicazione del grado di intensità del singolo fattore di rischio.

19

Cfr. Garante per la protezione dei dati personali (2004),

Guida operativa per redigere il Dps, Roma

97

5:5.4

Mappa dei rischi che incombono sui dati Categorie generali di rischio Comportamenti di operatori interni alla struttura

Eventi relativi agli strumenti

Eventi relativi ai locali di lavoro

Rischi specifici da contrastare (lista da personalizzare) Incuria Comportamenti illeciti sulle banche dati Errori materiali di manovra sulle banche dati Spamming Virus informatici – Azioni di hacker Guasti alle macchine Accessi on line non autorizzati Sottrazione di strumenti contenenti dati Errori umani nella gestione della sicurezza fisica Ingressi non autorizzati Comportamenti dolosi Sbalzi di tensione elettrica Malfunzionamento clima nella stanza del server Incendi Allagamenti

Grado di rischio (*) Basso Basso Basso Basso Medio Basso Basso Basso Basso Medio Basso Medio Medio Basso Basso

(*) Grado di impatto del rischio sulla sicurezza dei dati, livello di gravitĂ in termini di rilevanza e di probabilitĂ

(19.4) Misure di protezione dei dati Individuati i rischi vanno richiamate in una scheda successiva le misure esistenti e quelle da adottare per contrastarli.

98

5:5.4

Misure di protezione dei dati Rischi specifici da contrastare Incuria Errori materiali di manovra sulle banche dati Errori umani nella gestione della sicurezza fisica Comportamenti illeciti sulle banche dati Sottrazione di strumenti contenenti dati Spamming

Virus informatici – Azioni di hacker

Guasti alle macchine Accessi on line non autorizzati Ingressi non autorizzati

Comportamenti dolosi Sbalzi di tensione elettrica Malfunzionamento clima nella stanza del server Incendi Allagamenti

99

Misura preventiva e/o di contrasto

Attività formative

Circolare di servizio su norme d’uso del sistema elettronico aziendale

Barriere elettroniche con funzioni antispam Barriere elettroniche con funzioni antivirus e firewall Aggiornamento automatico e giornaliero dell’antivirus. Divieto di scaricare software da Internet.

Immediata segnalazione al responsabile di malfunzionamenti software Revisione periodica Controllo delle password banali Cambio password ogni 60 giorni Funzione di autenticazione e access control centralizzata sul server dati Ced chiuso a chiave e ad accesso selettivo Allarme intrusione Guardia notturna Copie di back up dei dati in un edificio separato Immediata segnalazione al responsabile di malfunzionamenti hardware Allarme antincendio Armadi metallici Immediata segnalazione al titolare del trattamento

Responsabilità di attuazione Responsabile del trattamento che interviene con un piano periodico di formazione e aggiornamento

Direttore del personale

Amministratore di sistema

Responsabile del trattamento Titolare del trattamento con appalto del servizio di guardia giurata Amministratore di sistema

Responsabile del trattamento Incaricati del trattamento

5:5.4

(19.5) Modalità di back up e ripristino dei dati In questa sezione vengono descritti i criteri e le procedure per il ripristino dei dati in caso di loro danneggiamento. Perciò va controllato il fatto che le copie delle banche dati siano eseguite puntualmente, che siano disponibili nelle circostanze eccezionali in cui servono e che le procedure di reinstallazione siano efficaci.

Back up (copie archivi) Banca dati interessata Periodicità back up Autore back up Modalità del back up

Controllo/verifica back up

1 Settimanale Rossini Trasferimento di copia archivi da computer 1 a 2 in cartella accessibile solo da (…… specificare….). Se il trasferimento avviene con supporti removibili questi andranno etichettati con l’indicazione del nome della banca dati o sezione di essa, data/ora di back up,…..

Confronto che le dimensioni dei file di back up visualizzate nel computer 2 o nel supporto removibile siano identiche all’originale per KB e ora di salvataggio

Piano di ripristino Casistica Soggetto che esegue piano di ripristino Sede alternativa di deposito back up dei dati Problemi hardware

Responsabile o procedura Responsabile del trattamento o amministratore di sistema Ced della società (…specificare ………)

Accordo con fornitori

Problemi software

Responsabile del trattamento o amministratore di sistema

Assenza del personale Responsabile del trattamento o incaricato al trattamento dei dati amministratore di sistema Procedure operative di ripristino Lista delle licenze, del software, copia dei parametri tecnici per la rete e i sistemi informativi

100

Misura prevista Accesso al back up dei dati Disponibile in 1 giorno lavorativo su richiesta Reinstallazione in 2 giorni in caso di necessità Copia integrale delle librerie ogni fine mese, conservata insieme ai dati Lista con indirizzi e telefono per reperibilità Da inserire nel piano e tenere aggiornate

5:5.4

(19.6) Attività formative Si veda il capitolo dedicato alla formazione.

(19.7) Trattamento dati effettuati all’esterno Il Codice chiede di realizzare una mappa con tutti gli incarichi di trattamento dati affidati all’esterno. Si dovranno quindi elencare tutti i contratti relativi ai servizi affidati in outsourcing a consulenti esterni o agenzie specializzate, di cui abbiamo parlato nel precedente capitolo delle nomine. La tavola sinottica che deve raccogliere questi dati elencherà nell’ordine: l’oggetto cui si riferiscono queste attività trasferite a terzi e che comportano il trattamento di dati personali; la tipologia di dati trattati, comuni o sensibili o giudiziari; la ragione sociale della ditta o consulente con cui si stipula l’appalto; la natura dell’affidamento ovvero il ruolo ricoperto dal fornitore agli effetti della disciplina sulla protezione dei dati personali (se autonomo titolare o responsabile del trattamento, come indicato sulla scrittura privata di nomina).

Il contratto di appalto col fornitore esterno, a cui si deve comunque fare riferimento, contiene la lista degli impegni assunti da quest’ultimo riguardo alle misure minime garantite per la sicurezza dei dati.

Classificazione dei trattamenti affidati all’esterno Attività oggetto di delega a terzi Elenco dei dati personali (P), sensibili (S) o giudiziari (G) oggetto di trattamento per la realizzazione dell’attività delegata Ragione sociale della Ditta o Professionista cui è stato affidato l’incarico Nomina in veste di autonomo titolare o responsabile del trattamento Criteri adottati per garantire l’adozione delle misure minime di sicurezza

101

Gestione delle buste paga • Anagrafica (P e/o S) • Permessi per malattia e ferie (S) • Ritenute sindacali (S) • Schede di valutazione su avanzamento di carriera (S) • Appartenenza a categorie protette (S) Kontabilità Studio Associato srl Indirizzo Località Autonomo titolare di trattamento La Ditta indicata si è assunta su base contrattuale i seguenti impegni (vedi copia del contratto-nomina)

5:5.5

Attività oggetto di delega a terzi Elenco dei dati personali (P), sensibili (S) o giudiziari (G) oggetto di trattamento per la realizzazione dell’attività delegata Ragione sociale della Ditta o Professionista cui è stato affidato l’incarico Nomina in veste di autonomo titolare o responsabile del trattamento Criteri adottati per garantire l’adozione delle misure minime di sicurezza

Gestione indirizzario abbonamenti alla newsletter • Anagrafica (P e/o S) • Adesione a movimenti politici (S) Newsletter Studio Associato srl Indirizzo Località Responsabile del trattamento La Ditta indicata si è assunta su base contrattuale i seguenti impegni (vedi copia del contratto-nomina)

(19.8) - Cifratura/separazione dati personali da dati sanitari Il Codice stabilisce che i dati sensibili, tenuti con l’ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o mediante l’utilizzazione di codici identificativi che permettono di identificare gli interessati cui si riferiscono solo in caso di necessità. I dati idonei a rivelare lo stato di salute del soggetto devono essere conservati separatamente da altri dati personali comuni. Questi ultimi infatti, i dati comuni, devono poter essere trattati per tutte le altre finalità senza dover per forza far circolare informazioni sui primi, cioè su quelli sanitari.

L’adozione di questa misura di sicurezza e di protezione dei dati prevede che il titolare del trattamento dia descrizione dei criteri adottati per la cifratura o per la separazione dei dati personali idonei a rilevare lo stato di salute dell’interessato dagli altri sui dati personali. La scheda va compilata dopo l’esatta impostazione della procedura sviluppata di comune accordo con i tecnici informatici. Infatti per la cifratura dei dati possono essere applicate soluzioni tecniche differenti.

5.5 Regole 20-26 del disciplinare tecnico (20-24) Trattamento di dati sensibili Si tratta di 5 regole molto specifiche nelle quali il Disciplinare ribadisce ulteriori misure in caso di trattamento di dati sensibili e giudiziari.

102

5:5.6

(25) Obbligo di farsi rilasciare una Dichiarazione di conformità Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, una ditta di informatica, un consulente, etc., deve farsi rilasciare dall’installatore una descrizione scritta dell’intervento effettuato. Questa certificazione rilasciata dai tecnici deve attestare la conformità dell’intervento alle disposizioni del presente disciplinare tecnico.

(26) Obblighi per Bilancio di esercizio Il Codice ha introdotto una nuova regola per rendere meglio edotti gli organi di vertice dell’azienda, titolare di trattamento, e responsabilizzarli in materia di sicurezza. Questa regola consiste nell’obbligo di riferire nella relazione accompagnatoria del bilancio d’esercizio, se dovuta, dell’avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza.

Il testo della comunicazione dovrà riferire, benché in forma sintetica, l’iter seguito per l’adozione del Dps, gli interventi eseguiti e il calendario degli stessi, i soggetti intervenuti per fornire assistenza tecnico-informatica o giuridica, il piano delle autorizzazioni rilasciato ovvero la lista delle nomine eseguite per responsabili e autonomi titolari di trattamento, per custodi delle password e amministratori di sistema. La relazione dovrà riferire di eventuali problemi intervenuti nella fase di adeguamento alla normativa e le soluzioni adottate.

5.6 Regole 27-29 del disciplinare tecnico Il trattamento dei dati eseguito senza l’ausilio di strumenti elettronici avviene assicurando le seguenti misure minime, di cui all’art. 35: > aggiornamento periodico dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati o alle unità organizzative; > previsione di procedure per un’idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; > previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all’identificazione degli incaricati.

Le precauzioni di ordine generale per la protezione fisica dei dati presenti su sup-

103

5:5.6

porto cartaceo per alcuni aspetti è ovviamente la stessa a valere per il trattamento di dati con mezzi elettronici. Gli archivi cartacei, come anche i supporti fisici di back up dei dati, floppy o CD, devono essere collocati in armadi dotati di chiusura a chiave oppure in stanze ad ingresso selezionato, dotate esse stesse di serratura. Nello specifico, per quanto riguarda i dati personali presenti su supporto cartaceo, una precauzione importante è quella riguardante l’uso delle stampanti e delle fotocopiatrici. Sarebbe imprudente gettare fogli la cui prima stampa non risultasse perfetta, se questi fogli contengono dati sensibili. In questo caso si dovrebbe ricorrere a una apparecchiatura distruggi documenti.

Piano delle autorizzazioni per il trattamento di dati personali senza l’ausilio di strumenti elettronici:

Banca dati 1 Nome banca dati Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivi di sicurezza

104

Fatture acquisto/vendita • Dati comuni, indirizzi e recapiti (P) • Ufficio amministrazione • Compilazione docuumenti • Archiviazione dati • Consultazione • Nome cognome (E) • Nome cognome (L)

• Nome cognome (E) subentra a Nome cognome (E) in data gg.mm.aaaa • Ufficio amministrazione • Ufficio con chiusura a chiave

5:5.6

Banca dati 2 Nome banca dati 2 Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivi di sicurezza

Libro presenze • Orari (S) • Ingressi e uscite (S) • Permessi (S) • Centralino • Inserimento dati • Consultazione • Nome cognome (E) • Nome cognome (L)

• Nome cognome (E) subentra a Nome cognome (E) in data gg.mm.aaaa • Ufficio del centralino nella sede dell’azienda • Armadietto con chiusura a chiave

Banca dati 3 Nome banca dati 3 Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura

Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivi di sicurezza

Coupon di clienti incontrati in fiera • Dati comuni, indirizzi e recapiti (P) • Questionario con risposte su comportamenti di acquisto (S) • Ufficio marketing • Ricerca e acquisizione dati • Archiviazione dati • Consultazione • Comunicazione a terzi (*) • Nome cognome (E) • Nome cognome (L)

• Nome cognome (E) subentra a Nome cognome (E) in data gg.mm.aaaa • Ufficio marketing nella sede dell’azienda • Ufficio con chiusura a chiave

(*) in questo caso è obbligatorio provvedere alla Notificazione del trattamento speciale al Garante

105

5:5.6

Il Codice richiede l’identificazione e la registrazione dei soggetti che possono accedere dopo l’orario di chiusura degli uffici agli archivi contenenti dati sensibili in formato cartaceo ovvero archivi che non sono dotati di strumenti elettronici per il controllo degli accessi.

Autorizzazione ai soggetti che possono essere ammessi agli archivi dopo l’orario di chiusura degli archivi medesimi Visto il disposto complessivo del D.Lgs.196/2003 Lei è autorizzato ad accedere ai locali in cui sono contenuti gli archivi dopo l’orario di chiusura dei locali medesimi.

Con l’occasione, Le ricordiamo che Lei dovrà usare la massima diligenza nell’esercizio della Sua attività, cercando di evitare i rischi di distruzione o perdita, anche accidentale, dei dati conservati negli archivi.

Il soggetto autorizzato Il Titolare …….…..………….… ……..…………

Rimini, lì ………

I soggetti autorizzati ad avere accesso a tutti i locali aziendali dopo l’orario di chiusura devono essere identificati e registrati in una particolare scheda. Specificare eventualmente se il permesso è riferito solo ad alcuni uffici.

Soggetti autorizzati Nome Cognome Mario Rossi

106

Dati identificativi (estremi di un doc. d’identità) C.Id. n.ro xxxxxxxxxx

Funzione

Locali a cui ha accesso

Pulizie

Tutti gli uffici

6:6.1

6. I REGISTRI DA CONSERVARE IN ALBERGO

Siamo giunti alla fase finale: predisporre i documenti operativi. Quali carte, quali schemi, quali strumenti deve avere con sè un’azienda per la gestione della materia Privacy? Bene, qui sono presenti alcune istruzioni pratiche per catalogare tutti i documenti da produrre ai sensi del Codice e da archiviare con puntualità, non solo per rispondere alle domande di un’ispezione, ma anche come strumento di qualità dell’organizzazione interna del lavoro. Ogni azienda avrà così a disposizione un pratico Registro della Privacy utilizzando tutti i prestampati che sono mostrati in sequenza.

Ecco come devono presentarsi i registri richiesti. Occorre disporre di una serie di documenti più o meno ampia a seconda delle situazioni aziendali. Procedete innanzitutto con il dotarvi di alcuni raccoglitori ad anelli. Questo permetterà di aggiungere documenti man mano che si andranno a produrre nuove lettere di incarico, nuove informative o altro.

6.1 Lista dei documenti necessari Prepariamo prima di tutto la copertina del raccoglitore principale. Per comodità di riconoscimento scriviamo su questa copertina un titolo, suggeriamo questo: Registro Privacy Dps 2006, anche col numero dell’anno a cui si riferisce la sua validità. Un’avvertenza. Questa data andrà sempre aggiornata perché il Codice spiega che il Dps (il documento programmatico sulla sicurezza, che è il corpo centrale del Registro) deve essere rielaborato costantemente e questo deve accadere entro la periodica scadenza del 31 marzo.

Sulla copertina del raccoglitore, sotto il titolo Registro Privacy Dps, inserite il seguente sottotitolo a ulteriore specificazione: per gli adempimenti richiesti dal Codice in materia di protezione dei dati personali (D.Lgs. 196/2003).

Ora scrivete chi è il titolare del trattamento dei dati ovvero il nome della vostra azienda, completo dell’intera ragione sociale. Non farà male apporvi un timbro, se disponibile. A ulteriore completamento il legale rappresentante può mettere accanto al timbro la propria firma.

Seguirà lo schema visivo con l’organigramma riferito ai ruoli ricoperti in azienda in veste di responsabili e incaricati, e via via tutte le altre figure. In caso di ispezione, sia esterna che interna, si potrà vedere istantaneamente quali addetti sono interessati dal Codice privacy.

107

6:6.1

Poi dovrete inserire nel raccoglitore tutti gli originali delle lettere di nomina effettuate, partendo da quella del responsabile (o dei responsabili) e poi via via quelle delle persone e delle società che avete elencato nel diagramma. Verificate che gli originali in vostro possesso siano controfirmati dagli interessati (a cui ne avrete rilasciato copia).

Dopo le nomine è il momento di inserire nel vostro registro una copia delle Informative riguardanti tutte le situazioni aziendali, secondo la check list indicata più avanti. Per quello che riguarda invece le Informative che sono servite anche per la raccolta di una firma di consenso degli interessati avrete bisogno di altri raccoglitori (sempre ad anelli). Quei documenti firmati dovranno essere custoditi per dare prova di raccolta del consenso richiesto dalla legge. Utilizzate un raccoglitore diverso per ogni categoria di Informativa, separando quelle firmate dai dipendenti da quelle firmate da talune categorie di clienti. Questa separazione favorirà la ricerca di un eventuale dato. Man mano che perverranno Informative con consenso disponete i fogli firmati in ordine alfabetico perché un’eventuale ricerca avrà come finalità l’esame della posizione di una persona col suo nome e cognome.

Un documento che è obbligatorio avere per iscritto, e da inserire a questo punto del Registro, è quello con le operazioni da seguire nel caso un incaricato non si presenti sul luogo di lavoro e altri colleghi abbiano necessità di utilizzare la sua password per accedere a dati contenuti solo nei suoi archivi.

Adesso il vostro raccoglitore principale dovrà ospitare il famoso Dps, che è la mappa del sistema informativo aziendale. Le schede dovranno mostrare, in sequenza, la lista delle banche dati (ben dettagliate come si è detto in precedenza nel manuale) e poi l’elenco degli strumenti elettronici in carico all’azienda, hardware (computer e tecnologie simili) e software.

In riferimento a queste banche dati e a tutti gli strumenti elettronici la scheda successiva da inserire sarà quella con la descrizione dei rischi relativi alla loro sicurezza e con le regole da seguire per garantire adeguati livelli di protezione. Non dimenticate di farvi rilasciare dai tecnici informatici la dichiarazione di conformità del loro intervento e inserite questo documento di seguito nel Registro principale.

Per completare il Dps andrà inserita nel raccoglitore la scheda relativa alle attività formative programmate per il personale incaricato del trattamento dei dati.

108

6:6.1

Nel raccoglitore inserirete in conclusione la lista delle persone autorizzate ad accedere nei locali dell’azienda dopo l’orario di chiusura degli uffici. Potrà essere la società che esegue le pulizie, ma potrebbero esserlo anche tutti i dipendenti, il fatto è da considerare caso per caso.

Dulcis in fundo, seppure non sia certo prescritto dal Codice, si può tenere sempre a disposizione anche una copia del Testo unico della legge. Non si sa mai, magari potrebbe sempre tornare utile per un riscontro di qualche aspetto dimenticato. In alternativa, nella sezione del raccoglitore che potremmo definire delle utility, conservate almeno il testo dell’art.7 che elenca i diritti del cittadino in ordine al trattamento dei suoi dati personali. Con un rapido colpo d’occhio potrete verificare se eventuali sue richieste sono legittime o travalicano i diritti riconosciuti. Altro documento indispensabile da tenere sotto mano è l’Allegato B, il disciplinare tecnico.

Troverete i testi di entrambi, art.7 e allegato B, in appendice.

Per riepilogare, ecco la check list dei documenti da inserire nel raccoglitore

Copertina: REGISTRO PRIVACY DPS 2006 Nomine • Diagramma dei soggetti che effettuano il trattamento • Lista dei soggetti che effettuano il trattamento • Atto di nomina del Responsabile del trattamento dei dati • Atto di nomina dell’Incaricato al trattamento dei dati • Atto di nomina del Custode delle credenziali di autenticazione • Atto di nomina dell’Amministratore di sistema • Scrittura privata per trattamento di dati esterno con nomina di responsabile del trattamento • Scrittura privata per trattamento di dati esterno con nomina di autonomo titolare del trattamento Informative • Informativa e raccolta del consenso per i clienti • Informativa per i fornitori • Informativa per invio di fax/email pubblicitarie e simili • Informativa per Privacy policy del sito internet aziendale • Informativa per spedizioni postali • Informativa per videosorveglianza • Informativa e raccolta del consenso per i dipendenti • Informativa e raccolta del consenso per Curriculum Vitae

109

6:6.1

Documento programmatico sulla sicurezza • Procedura di accesso alle password in caso di impedimento dell’incaricato • Elenco banche dati trattate con strumenti elettronici • Destinazione dei dati in caso di cessazione di trattamento • Strumenti elettronici utilizzati in azienda • Software applicativi utilizzati in azienda • Mappa dei rischi che incombono sui dati • Misure di custodia, accessibilità e protezione • Modalità di back up e ripristino dei dati • Attività formative previste • Misure minime di sicurezza per trattamento dati effettuati all’esterno • Cifratura/separazione dei dati personali dai dati sanitari • Dichiarazione di conformità dei tecnici informatici • Obblighi per Bilancio d’esercizio • Misure di controllo e custodia per trattamenti senza l’ausilio di strumenti elettronici • Identificazione e registrazione soggetti che possono accedere agli archivi dopo la chiusura Articolo 7 del Codice e Allegato B disciplinare tecnico

110

6:6.2

6.2

Modulistica a schema facilitato per compilare il Dps

REGISTRO PRIVACY D.p.s. 2006 per gli adempimenti richiesti dal Codice in materia di protezione dei dati personali (D.Lgs. 196/2003)

Il Titolare del trattamento dei dati

……………………………………..

Ragione Sociale dell’azienda (timbro e firma)

111

6:6.2

Organico del personale interno/esterno all’azienda per il trattamento dei dati (schema grafico)

112

6:6.2

Organico del personale interno/esterno all’azienda per il trattamento dei dati (lista dei nominativi)

Titolare del trattamento (indicare la Ragione sociale della Ditta) .................................................................... .................................................................... .................................................................... ....................................................................

Responsabili del trattamento (nome e cognome dei soggetti e reparto aziendale) .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... ....................................................................

Incaricati del trattamento (nome e cognome dei soggetti e reparto aziendale) .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... ....................................................................

Amministratore di sistema (nome e cognome/ragione sociale) .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... ....................................................................

Custode delle credenziali di autenticazione (nome e cognome) .................................................................... .................................................................... .................................................................... .................................................................... .................................................................... ....................................................................

113

6:6.2

Atti di nomina Atti originali di nomina del o dei Responsabili del trattamento dei dati Atti originali di nomina di ogni Incaricato del trattamento dei dati Atto originale di nomina del Custode delle credenziali di autenticazione Atto originale di nomina dell’Amministratore di sistema Scrittura privata per affidamento del trattamento di dati all’esterno con nomina del fornitore in qualità di Responsabile del trattamento Scrittura privata per affidamento del trattamento di dati all’esterno con nomina del fornitore in qualità di autonomo Titolare del trattamento Informative per i rapporti commerciali Informativa e raccolta del consenso per i clienti dell’albergo Informativa semplificata affiancata alla schedina di PS Informativa e raccolta del consenso per clienti commerciali in genere Informativa e raccolta del consenso per i fornitori Informativa e raccolta del consenso per moduli di richiesta informazioni Informativa di Privacy policy del sito internet Informative per i rapporti di lavoro Informativa e raccolta del consenso per i dipendenti Informativa per gestione dei Curriculum Vitae Informativa per annunci di selezione del personale Informativa per moduli di candidatura al lavoro

114

6:6.2

Documento programmatico sulla sicurezza Allegato B, regola 10 Procedura di accesso alle password in caso di impedimento dell’incaricato

Il Titolare del trattamento dei dati stabilisce che: • i soggetti incaricati della custodia delle credenziali sono nominati per iscritto e risultano i seguenti: .. ......... ......... .......... ....... ........ ....... ........ ......... .........

• la custodia delle copie delle credenziali è assicurata con la conservazione delle stesse nell’ufficio del custode delle credenziali (o del Responsabile del trattamento) in singole buste sigillate, col rispettivo nome dell’incaricato cui si riferiscono • in caso di ‘’esclusive necessità di operatività e di sicurezza del sistema’’ il custode (o il Responsabile, in sua assenza) provvede all’apertura della busta dell’incaricato assente e tramite la password interviene sulla postazione di lavoro • il custode delle credenziali informa tempestivamente l’incaricato circa l’intervento effettuato • al suo ritorno l’incaricato sostituisce la vecchia password • viene ripristinata una nuova busta con la nuova password

115

6:6.2

Allegato B, regole 19.1 e 19.2 Elenco dei trattamenti di dati personali effettuati con strumenti elettronici e distribuzione dei compiti e delle responsabilitĂ Banca dati n.ro 1 (compilare una scheda per ciascuna banca dati)

Nome della banca dati n.ro 1 FinalitĂ del trattamento Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione completa dei dati (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivo di accesso e tipo di connessione Ubicazione copie di sicurezza (sede, ufficio) Soggetti esterni che concorrono al trattamento dei dati

116

6:6.2

Cessazione del trattamento dei dati nell’anno 20XX I dati di cui è stato cessato il trattamento sono quelli della seguente banca dati: …………………………………(specificare) e sono stati: (selezionare dall’elenco che segue le modalità che ricorrono) • distrutti • ceduti ad altro titolare (per medesimo trattamento) • conservati e non più destinati a diffusione • conservati o ceduti ad altro titolare per scopi consentiti dal Codice Allegato B, regola 19.3 Analisi dei rischi relativi ai dati (NB: tabelle da compilare in accordo con i tecnici informatici) Il sistema informativo aziendale connesso al trattamento elettronico dei dati personali è composto delle seguenti apparecchiature: Strumenti elettronici (personal computer / palmare / web cam / etc.)

Codice identificativo Computer / palmare / web cam Nome incaricato Sede Ufficio Sistema Operativo Rete LAN Accesso Internet Lettore CD Hard disk Mirror hard disk Floppy disk Antivirus Firewall

117

6:6.2

Software utilizzati in azienda Nome del Versione software

Funzioni

Mappa dei rischi che incombono sui dati Categorie generali Rischi specifici da contrastare di rischio Comportamenti Incuria di operatori interni Comportamenti illeciti sulle banche dati alla struttura Errori materiali di manovra sulle banche dati Spamming Virus informatici – Azioni di hacker Eventi relativi Guasti alle macchine agli strumenti Accessi on line non autorizzati Sottrazione di strumenti contenenti dati Errori umani nella gestione della sicurezza fisica Ingressi non autorizzati Eventi relativi Comportamenti dolosi ai locali di lavoro Sbalzi di tensione elettrica Malfunzionamento clima nella stanza del server Incendi Allagamenti

Computer aziendali su cui è installato

Grado di rischio (*)

(*) Grado basso-medio-alto di impatto del rischio sulla sicurezza dei dati, livello di gravità in termini di rilevanza e di probabilità

118

6:6.2

Allegato B, regola 19.4 Misure di protezione dei dati (NB: tabelle da compilare in accordo con i tecnici informatici) Rischi specifici da contrastare Incuria Errori materiali di manovra sulle banche dati Errori umani nella gestione della sicurezza fisica Comportamenti illeciti sulle banche dati Sottrazione di strumenti contenenti dati Spamming Virus – Azioni di hacker Guasti alle macchine Accessi on line non autorizzati Ingressi non autorizzati Comportamenti dolosi Sbalzi di tensione elettrica Malfunzionamento clima nella stanza del server Incendi Allagamenti

119

Misura preventiva e/o di contrasto

ResponsabilitĂ di attuazione

6:6.2

Allegato B, regola 19.5 ModalitĂ di back up e ripristino dei dati (NB: tabelle da compilare in accordo con i tecnici informatici)

Procedure di back up (copie archivi) Banca dati interessata PeriodicitĂ back up Autore back up ModalitĂ del back up Controllo/verifica back up

Piano di ripristino Casistica Soggetto che esegue piano di ripristino Sede alternativa di deposito back up dei dati Problemi hardware Problemi software Assenza del personale incaricato al trattamento dei dati Procedure operative di ripristino

120

Responsabile o procedura

Misura prevista

6:6.2

Allegato B, regola 19.6 Attività formative La formazione dei nuovi incaricati avviene nel momento di ingresso in servizio e in occasione di cambiamenti rilevanti rispetto al trattamento dei dati.

Data di svolgimento Destinatari Modalità di attuazione

Obiettivi formativi Presentare ambiti e confini di applicazione della normativa Mostrare chi sono i soggetti interessati dalle operazioni di trattamento dei dati

Contenuti didattici Linee guida ispiratrici del Codice > Definizioni come da art. 4 Lettura artt. 28-29-30 Commento della check list di impegni > sottoscritti con l’accettazione della nomina come incaricati Lettura e spiegazione del Dps aziendale >

Operare correttamente il trattamento dei dati così come definito dal DPS aziendale Controllo e custodia per trattamento dati Lettura e spiegazione del Dps aziendale > senza strumenti elettronici Esame dei rischi connessi al trattamento Lettura e spiegazione del Disciplinare tecnico > dei dati allegato al Codice Rispondere a dubbi e richieste di chiarimenti Domande e risposte e lettura di articoli specifici > legati alla specifica attività aziendale del Decreto

121

6:6.2

Allegato B, regola 19.7 Misure minime di sicurezza per trattamento dati effettuati all’esterno Attività trasferite a terzi che comportano il trattamento di dati personali. Le deleghe sono avvenute all’interno di un quadro contrattuale con le Ditte di seguito indicate.

Delega n.ro 1 (compilare una scheda per ciascuna banca dati) Attività n.1 oggetto di delega a terzi Elenco dei dati personali (P), sensibili (S) o giudiziari (G) oggetto di trattamento per la realizzazione dell’attività delegata Ragione sociale della Ditta o Professionista cui è stato affidato l’incarico Criteri adottati per garantire l’adozione delle misure minime di sicurezza

>

>

> La Ditta fornitrice si è assunta su base > contrattuale i seguenti impegni (vedi contratto-nomina)

Allegato B, regola 19.8 Cifratura/separazione dei dati personali dai dati sanitari (NB: nota da compilare in accordo con i tecnici informatici) Inserire qui la descrizione dei criteri adottati per la cifratura o separazione dei dati personali idonei a rilevare lo stato di salute e la vita sessuale dagli altri dati personali dell’interessato.

Allegato B, regola 25 Dichiarazione di conformità Inserire qui la Dichiarazione di conformità che vi deve essere consegnata obbligatoriamente dai tecnici informatici. La dichiarazione deve contenere la descrizione scritta dell’intervento tecnico effettuato e l’attestazione firmata che l’intervento è conforme alle disposizioni del disciplinare tecnico di cui al D. Lgs. 196/2003 Allegato B.

122

6:6.2

Allegato B, regola 26 Obblighi per Bilancio di esercizio Inserire qui il testo pubblicato nella relazione accompagnatoria del bilancio d’esercizio, se dovuta, indicante l’avvenuta redazione o aggiornamento del Dps. Misure di controllo e custodia per trattamenti senza l’ausilio di strumenti elettronici (art.35) Piano delle autorizzazioni per trattamento di dati personali senza l’ausilio di strumenti elettronici Banca dati n.1 (compilare una scheda per ciascuna banca dati) Nome banca dati Tipologia di dati e loro natura di dati personali (P), sensibili (S) o giudiziari (G) Incaricati o classi di incaricati / Struttura preposta al trattamento Trattamenti operati dalla struttura Profilo di autorizzazione Nome degli incaricati che possono accedere alla banca dati in funzione di sola lettura (L) o elaborazione (E) Variazioni intervenute nel profilo di autorizzazione e data Ubicazione banca dati (sede, ufficio) Dispositivi di sicurezza

I soggetti identificati e registrati nella seguente scheda sono autorizzati ad avere accesso ai locali aziendali dopo l’orario di chiusura.

Soggetti autorizzati Nome Cognome

123

Dati identificativi (estremi di un doc. d’identità)

Funzione

Locali a cui ha accesso

6:6.3

6.3

Testi dell’Articolo 7 del Codice e dell’Allegato B disciplinare tecnico D.Lgs. 196/2003 - Art. 7. Diritto di accesso ai dati personali ed altri diritti (il testo viene esposto anche alla reception)

1. L’interessato ha diritto di ottenere la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile.

2. L’interessato ha diritto di ottenere l’indicazione: a) dell’origine dei dati personali; b) delle finalità e modalità del trattamento; c) della logica applicata in caso di trattamento effettuato con l’ausilio di strumenti elettronici; d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell’articolo 5, comma 2; e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati.

3. L’interessato ha diritto di ottenere: a) l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati; b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati; c) l’attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato.

4. L’interessato ha diritto di opporsi, in tutto o in parte: a) per motivi legittimi al trattamento dei dati personali che lo riguardano, ancorchè pertinenti allo scopo della raccolta; b) al trattamento di dati personali che lo riguardano a fini di invio di materiale pub-

124

6:6.3

blicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

D.Lgs. 196/2003 Allegato B Disciplinare tecnico in materia di misure minime di sicurezza (Artt. da 33 a 36 del Codice) Trattamenti con strumenti elettronici Modalità tecniche da adottare a cura del titolare, del responsabile ove designato e dell’incaricato, in caso di trattamento con strumenti elettronici: Sistema di autenticazione informatica 1. Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.

2. Le credenziali di autenticazione consistono in un codice per l’identificazione dell’incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell’incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell’incaricato, eventualmente associata a un codice identificativo o a una parola chiave.

3. Ad ogni incaricato sono assegnate o associate individualmente una o più credenziali per l’autenticazione.

4. Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell’incaricato.

5. La parola chiave, quando è prevista dal sistema di autenticazione, è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili all’incaricato ed è modificata da quest’ultimo al primo utilizzo e, successivamente, almeno ogni sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è modificata almeno ogni tre mesi.

6. Il codice per l’identificazione, laddove utilizzato, non può essere assegnato ad

125

6:6.3

altri incaricati, neppure in tempi diversi.

7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica.

8. Le credenziali sono disattivate anche in caso di perdita della qualità che consente all’incaricato l’accesso ai dati personali.

9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento.

10. Quando l’accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso della componente riservata della credenziale per l’autenticazione, sono impartite idonee e preventive disposizioni scritte volte a individuare chiaramente le modalità con le quali il titolare può assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell’incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema. In tal caso la custodia delle copie delle credenziali è organizzata garantendo la relativa segretezza e individuando preventivamente per iscritto i soggetti incaricati della loro custodia, i quali devono informare tempestivamente l’incaricato dell’intervento effettuato.

11. Le disposizioni sul sistema di autenticazione di cui ai precedenti punti e quelle sul sistema di autorizzazione non si applicano ai trattamenti dei dati personali destinati alla diffusione.

Sistema di autorizzazione 12. Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione.

13. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli dati necessari per effettuare le operazioni di trattamento.

14. Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione.

Altre misure di sicurezza 15. Nell’ambito dell’aggiornamento periodico con cadenza almeno annuale dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati e addetti

126

6:6.3

alla gestione o alla manutenzione degli strumenti elettronici, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione.

16. I dati personali sono protetti contro il rischio di intrusione e dell’azione di programmi di cui all’art. 615-quinquies del codice penale, mediante l’attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale.

17. Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l’aggiornamento è almeno semestrale.

18. Sono impartite istruzioni organizzative e tecniche che prevedono il salvataggio dei dati con frequenza almeno settimanale.

Documento programmatico sulla sicurezza 19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo: 19.1. l’elenco dei trattamenti di dati personali; 19.2. la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati; 19.3. l’analisi dei rischi che incombono sui dati; 19.4. le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonchè la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; 19.5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento di cui al successivo punto 23; 19.6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell’ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;

127

6:6.3

19.7. la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all’esterno della struttura del titolare; 19.8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell’interessato.

Ulteriori misure in caso di trattamento di dati sensibili o giudiziari 20. I dati sensibili o giudiziari sono protetti contro l’accesso abusivo, di cui all’art.

615-ter del codice penale, mediante l’utilizzo di idonei strumenti elettronici.

21. Sono impartite istruzioni organizzative e tecniche per la custodia e l’uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti.

22. I supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili.

23. Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni.

24. Gli organismi sanitari e gli esercenti le professioni sanitarie effettuano il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o banche di dati con le modalità di cui all’articolo 22, comma 6, del codice, anche al fine di consentire il trattamento disgiunto dei medesimi dati dagli altri dati personali che permettono di identificare direttamente gli interessati. I dati relativi all’identità genetica sono trattati esclusivamente all’interno di locali protetti accessibili ai soli incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad accedervi; il trasporto dei dati all’esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti di serratura o dispositivi equipollenti; il trasferimento dei dati in formato elettronico è cifrato.

Misure di tutela e garanzia 25. Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall’installatore una

128

6:6.3

descrizione scritta dell’intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico.

26. Il titolare riferisce, nella relazione accompagnatoria del bilancio d’esercizio, se dovuta, dell’avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza.

Trattamenti senza l’ausilio di strumenti elettronici Modalità tecniche da adottare a cura del titolare, del responsabile, ove designato, e dell’incaricato, in caso di trattamento con strumenti diversi da quelli elettronici: 27. Agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l’intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Nell’ambito dell’aggiornamento periodico con cadenza almeno annuale dell’individuazione dell’ambito del trattamento consentito ai singoli incaricati, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione.

28. Quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate.

29. L’accesso agli archivi contenenti dati sensibili o giudiziari è controllato. Le persone ammesse, a qualunque titolo, dopo l’orario di chiusura, sono identificate e registrate. Quando gli archivi non sono dotati di strumenti elettronici per il controllo degli accessi o di incaricati della vigilanza, le persone che vi accedono sono preventivamente autorizzate.

129

Bibliografia

Aa.vv. (2004), Corso privacy. Formazione degli addetti, IPSOA, Milano Aa.vv. (2004), La mia privacy. Le guide operative, Il Sole 24 Ore, Milano Berghella F. (2003), Guida pratica alle nuove misure di sicurezza per la privacy, Maggioli, Rimini Biasiotti A. (2004), Codice della privacy e misure minime di sicurezza, EPC Libri, Roma Bonafaccia F. (2004), La privacy nell’ospitalità, Federalberghi, Roma Bonafaccia F. (2005), Il diritto alla privacy nel campo dell’ospitalità, in Diritto del turismo, n.2, 2005 Buttarelli G. (1997), Banche dati e tutela della riservatezza, Giuffrè, Milano Carcano B. (2005), Privacy: una questione di mentalità, in Convegni, n.4, giugnoluglio 2005 Carozzi G. (2004), Gli adempimenti dei titolari nei confronti dei clienti-utenti, in Diritto & Pratica del Lavoro, n.22/2004 Cerato M. (2005), Nuove frontiere per l’e-mail marketing, in Turismo d’Italia, n.51, gennaio 2005 Ciccia A. (a cura di) (2004), Privacy, le nuove regole per professionisti e imprese, in Italia Oggi, 11 aprile 2004 Cipriani M. (2005), Azienda alberghiera. Lineamenti giuridici, Buffetti, Roma Garante per la protezione dei dati personali (2004), Guida operativa per redigere il Dps, Roma Garante per la protezione dei dati personali (2005), Relazione 2004, Roma Garante per la protezione dei dati personali (2005), Relazione 2004. Discorso del Presidente, Roma Laurita R. (2004), Informatica e sicurezza dati, in Atti del Seminario Privacy 2004, Tecnetica, Rimini Lombardini S. (2006), Codice privacy: come influisce sugli hotel, in Lipparini F.Caneva A., L’Almanacco di Job in Tourism 2006, Job in Tourism Editore, Milano Peroni G. (1989), Marketing turistico, FrancoAngeli, Milano Pinori A. (2004), La protezione dei dati personali, Giuffrè, Milano Rapetto U. – Caporale G.P. (2004), Documento programmatico sulla sicurezza, EPC Libri, Roma Rapetto U. – Rapetto Freddi B. (2003), Privacy in pratica, EPC Libri, Roma Rasi G. (a cura di) (2003), Da costo a risorsa. La tutela dei dati personali nelle attività produttive, Istituto Poligrafico dello Stato, Roma

131

Rasi G. (a cura di) (2004), Innovazioni tecnologiche e privacy. Sviluppo economico e progresso civile, Istituto Poligrafico dello Stato, Roma Rigotti C. (2003), Il nuovo testo unico sulla privacy, Seac, Trento Rodotà S. (2005), Intervista su privacy e libertà , Laterza, Bari Volpe G. – Maderi G.P. (2005), Come organizzare e proteggere i dati personali, Il Sole 24 Ore, Milano

132

T.01 Tecnologie delle produzioni pulite per l’efficienza ambientale dell’attività alberghiera. marzo 2001

T.07

T.02 Ospitare i cicloturisti.

Manuale di marketing per conquistare e fidelizzare il segmento dei cicloturisti. giugno 2001

T.08 Organizzare l’albergo per il mercato d’affari.

Manuale di marketing per conquistare e fidelizzare la clientela business. ottobre 2003

T.03 Turismo e Web. Guida alla progettazione e realizzazione di un sito di qualità. ottobre 2001 T.04 Acquisti ecologici per gli alberghi.

Linee guida, criteri e consigli per la scelta dei prodotti da utilizzare negli hotel. dicembre 2002 T.05 L’Ecolabel Europeo per il servizio di ricettività turistica.

Linee guida per l’applicazione e rassegna delle esperienze esistenti. giugno 2003

Il marketing passaparola nel turismo.

Manuale per gli operatori dell’ospitalità. luglio 2003

T.09 L’albergo eco-sensibile.

Manuale di marketing per realizzare un’ospitalità attenta all’ambiente. novembre 2003 T.10

Gestire le relazioni nel turismo.

Una nuova cultura di marketing per Enti e destinazioni. aprile 2004

T.11

Marketing di nicchia: manuale per conquistare nuovi segmenti di mercato. febbraio 2005

T.12

Club di prodotto.

Manuale di marketing per un club di successo. aprile 2006

T.13

La tutela dei dati personali offre un reale valore aggiunto alle prestazioni di servizio dell’industria alberghiera. Adeguarsi al Testo Unico sulla privacy non rappresenta appena un adempimento cui attenersi perché richiesto dalla legge, ma permette di anticipare bisogni e aspettative dei clienti rendendo trasparente la gestione delle informazioni che li riguardano.

Il settore dell’ospitalità e dei servizi turistici è da sempre un settore produttivo labour intensive, a forte contenuto di servizio, per la quotidiana esperienza di relazione diretta col cliente. Con la crescente rilevanza che sta assumendo il valore della privacy il principio della customer satisfaction acquista nuove valenze e si volge verso nuovi traguardi.

I processi formativi per la crescita della cultura della gestione dei dati personali riguardano la conoscenza di metodi e strumenti, di misure procedurali e di standard organizzativi. Queste competenze sono orientate a un più alto grado di efficienza del sistema informativo aziendale e a garantire un più sicuro sistema di tutela dei dati personali. La conoscenza e l’applicazione delle norme del Codice non possono che qualificare la professionalità degli addetti al ricevimento, degli operatori di back office e dell’ufficio commerciale e marketing, sia dell’albergo che di altre imprese turistiche.

Il rapporto con il mercato esce rafforzato dall’applicazione di nuove regole e principi per la protezione dei dati personali, per la tutela della riservatezza e dell’identità personale. Sullo sfondo di questi diritti, seppur non nuovi, c’è l’ingresso in una nuova cultura della gestione dei dati per la sicurezza del sistema informativo e ancora una volta per la soddisfazione del cliente.

T.06 I sistemi di gestione ambientale per gli alberghi.

Linee guida per un approccio semplificato. giugno 2003

Provincia di Rimini Assessorato al Turismo

Piazza Malatesta 28 47900 Rimini tel. 0541 716380 fax 0541 783808

13

Privacy e marketing. Manuale per la tutela dei dati personali nel marketing alberghiero.

T.13

Collana Manuali operativi per imprese turistiche

Privacy e marketing.

Manuale per la tutela dei dati personali nel marketing alberghiero.

manuali operativi per imprese turistiche

turismo@provincia.rimini.it www.turismo.provincia.rimini.it

Provincia di Rimini Assessorato al Turismo

13 – giugno 2006

T.01 Tecnologie delle produzioni pulite per l’efficienza ambientale dell’attività alberghiera. marzo 2001

T.07

T.02 Ospitare i cicloturisti.

Manuale di marketing per conquistare e fidelizzare il segmento dei cicloturisti. giugno 2001

T.08 Organizzare l’albergo per il mercato d’affari.

Manuale di marketing per conquistare e fidelizzare la clientela business. ottobre 2003

T.03 Turismo e Web. Guida alla progettazione e realizzazione di un sito di qualità. ottobre 2001 T.04 Acquisti ecologici per gli alberghi.

Linee guida, criteri e consigli per la scelta dei prodotti da utilizzare negli hotel. dicembre 2002 T.05 L’Ecolabel Europeo per il servizio di ricettività turistica.

Linee guida per l’applicazione e rassegna delle esperienze esistenti. giugno 2003

Il marketing passaparola nel turismo.

Manuale per gli operatori dell’ospitalità. luglio 2003

T.09 L’albergo eco-sensibile.

Manuale di marketing per realizzare un’ospitalità attenta all’ambiente. novembre 2003 T.10

Gestire le relazioni nel turismo.

Una nuova cultura di marketing per Enti e destinazioni. aprile 2004

T.11

Marketing di nicchia: manuale per conquistare nuovi segmenti di mercato. febbraio 2005

T.12

Club di prodotto.

Manuale di marketing per un club di successo. aprile 2006

T.13

La tutela dei dati personali offre un reale valore aggiunto alle prestazioni di servizio dell’industria alberghiera. Adeguarsi al Testo Unico sulla privacy non rappresenta appena un adempimento cui attenersi perché richiesto dalla legge, ma permette di anticipare bisogni e aspettative dei clienti rendendo trasparente la gestione delle informazioni che li riguardano.

Il settore dell’ospitalità e dei servizi turistici è da sempre un settore produttivo labour intensive, a forte contenuto di servizio, per la quotidiana esperienza di relazione diretta col cliente. Con la crescente rilevanza che sta assumendo il valore della privacy il principio della customer satisfaction acquista nuove valenze e si volge verso nuovi traguardi.

I processi formativi per la crescita della cultura della gestione dei dati personali riguardano la conoscenza di metodi e strumenti, di misure procedurali e di standard organizzativi. Queste competenze sono orientate a un più alto grado di efficienza del sistema informativo aziendale e a garantire un più sicuro sistema di tutela dei dati personali. La conoscenza e l’applicazione delle norme del Codice non possono che qualificare la professionalità degli addetti al ricevimento, degli operatori di back office e dell’ufficio commerciale e marketing, sia dell’albergo che di altre imprese turistiche.

Il rapporto con il mercato esce rafforzato dall’applicazione di nuove regole e principi per la protezione dei dati personali, per la tutela della riservatezza e dell’identità personale. Sullo sfondo di questi diritti, seppur non nuovi, c’è l’ingresso in una nuova cultura della gestione dei dati per la sicurezza del sistema informativo e ancora una volta per la soddisfazione del cliente.

T.06 I sistemi di gestione ambientale per gli alberghi.

Linee guida per un approccio semplificato. giugno 2003

Provincia di Rimini Assessorato al Turismo

Piazza Malatesta 28 47900 Rimini tel. 0541 716380 fax 0541 783808

13

Privacy e marketing. Manuale per la tutela dei dati personali nel marketing alberghiero.

T.13

Collana Manuali operativi per imprese turistiche

Privacy e marketing.

Manuale per la tutela dei dati personali nel marketing alberghiero.

manuali operativi per imprese turistiche

turismo@provincia.rimini.it www.turismo.provincia.rimini.it

Provincia di Rimini Assessorato al Turismo

13 – giugno 2006