Il diritto di accesso e la tutela della riservatezza

Il Titolo V del Codice è dedicato interamente alla Sicurezza dei dati a dimostrare l’importanza che il legislatore attribuisce ad essa.
L’Information Technology Security Evaluation Criteria -Europa Commission-, afferma che sicurezza significa “confidenzialità”, ovvero protezione dalla divulgazione non autorizzata di informazioni, “integrità”, ovvero tutela da modifiche delle informazioni, non autorizzate, “disponibilità”, ovvero la possibilità di prevenire ipotesi di inaccessibilità non autorizzata ai dati e alle risorse informatiche.
Sulla base di tali principi, l’art.31 dispone che i dati personali devono essere custoditi e controllati con misure di sicurezza adeguate a ridurre al minimo i rischi della loro distruzione o perdita, accesso non autorizzato, trattamento illecito. La sicurezza, come si evince dalla norma, deve essere il frutto di un’attività continua e permanente, considerata la rapidità con cui la tecnologia perde di valore e di efficacia. In breve: il titolare deve essere sempre pronto a dimostrare di aver adottato le misure di sicurezza massima.
Il Codice, oltre ad enunciare particolari misure sicurezza mirate specificatamente per determinati soggetti, individua delle misure di sicurezza c.d. minime, ovvero misure al di sotto delle quali il soggetto soggiacerebbe alla responsabilità penale prevista dall’art.168 Codice.
Tali misure minime di sicurezza, non sono identiche per tutti i trattamenti. Il Legislatore, pertanto, ha previsto una summa divisio costituita da misure minime di sicurezza diverse a seconda che il trattamento sia effettuato con o senza l’ausilio di strumenti elettronici.
Il trattamento effettuato mediante strumenti elettronici può essere effettuato solo se vengono adottate specifiche misure tecniche volte ad assicurare la maggior sicurezza possibile nel trattamento dei dati.
All’interno del trattamento con l’ausilio di strumenti informatici un ruolo fondamentale è rivestito dal Documento Programmatico sulla Sicurezza. Un documento fondamentale che deve essere redatto annualmente entro il 31 Marzo e rientra nelle scritture obbligatorie che l’impresa deve custodire.
Tale documento non deve essere considerato una formalità, ma deve contenere tutte le informazioni richieste dall’Allegato B del Codice; deve essere compilato con razionalità e pianificazione tenendo conto dei rischi che possono derivare dall’uso di strumenti elettronici. Naturalmente, non sarà sufficiente solo analizzare i rischi, ma bisognerà anche individuare i rimedi e le misure di sicurezza volte a rendere minimi la possibilità della perdita o della distruzione di dati, di trattamenti illeciti e di accessi non autorizzati. La base di tale filosofia giuridica è la concezione del legislatore che il trattamento dei dati personali rispecchia un’attività pericolosa, per cui essa ricade nella fattispecie prevista dall’art. 2050 del c.c.; di conseguenza il Titolare ha l’onere di provare di “avere adottato tutte le misure idonee ad evitare il danno”.
Per quanto riguarda invece il trattamento senza l’ausilio di strumenti informatici l’art. 35 del codice prevede che può essere effettuato solo se vengono adottate tutte disposizioni previste dall’Allegato B) del Codice stesso.