Dati personali, incaricati del trattamento in formazione.

Il contributo-schema si occupa dell¿adempimento relativo alla programmazione degli interventi di formazione per gli incaricati del trattamento
Fra i vari adempimenti - posti dal disciplinare tecnico dell’allegato B al Codice Privacy, d. lgs. n. 196/2003, v’è quello della programmazione di interventi di formazione per gli incaricati del trattamento.

Precisamente, ciò è previsto dal punto 19.6 dell’allegato: “la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.

La formazione è programmata già al momento dell'ingresso in servizio, nonchè in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.

Ciò - oltre che parte integrante del contenuto informativo del Documento programmatico sulla sicurezza da redigere entro il 31 marzo di ogni anno - rientra nelle misure “minime” di sicurezza, attualmente disciplinate, in via generale, dal Codice Privacy (d. lgs. n. 196/2003), precisamente dagli artt. 33 ss. dall’allegato B: “Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31 […] i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo […] volte ad assicurare un livello minimo di protezione dei dati personali.” Va evidenziato che, proprio in quanto misure “minime”, il mancato o inadeguato aggiornamento implica per il titolare il rischio che gli sia imputato un illecito trattamento dei dati.

I soggetti tenuti ai due adempimenti in questione sotto l’aspetto formale-giuridico sono i titolari del trattamento.

Inoltre, va considerato che: La formazione è programmata già al momento dell'ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali.

NB Il termine effettivo va collocato non prima dei mesi di febbraio/marzo, dato che un eventuale accertamento ispettivo dell’istituzione competente, Garante Privacy, probabilmente verrebbe attuato solo qualche mese dopo la scadenza formale, dando un termine ragionevole di tempo alle imprese per svolgere un adempimento di natura tecnica, richiedente competenze tecniche specifiche.

Si precisa che è scadenza che non comporta adempimenti “esterni” (come comunicazioni o notificazioni al Garante Privacy), ma comunque da osservare, anzitutto ai fini della tutela dei dati personali in rilievo e anche, in ottica di tutela aziendale, perché un’eventuale ispezione effettuata dall’Autorità possa avere esito negativo, senza incorrere dunque in sanzioni amministrative e anche penali, qual è l’art. 169 del Codice Privacy, sull’inosservanza delle misure di sicurezza, secondo cui: “Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’articolo 33 è punito con l’arresto sino a due anni.”

L'intervento si attua mediante interventi formativi degli incaricati del trattamento, per renderli edotti dei seguenti elementi:

- rischi che incombono sui dati, - misure disponibili per prevenire eventi dannosi,

- profili della disciplina e responsabilità in materia di protezione dei dati personali più rilevanti in rapporto alle relative attività,

- modalità per aggiornarsi sulle misure minime adottate dal titolare.


Fonte: IPSOA