Quali misure tecniche e organizzative servono per proteggere i dati personali?
Servono provvedimenti adeguati adottati dal titolare del trattamento e dal responsabile del trattamento per garantire confidenzialità, disponibilità, integrità e tracciabilità dei dati personali. In pratica, occorre limitare gli accessi, proteggere locali, sistemi, supporti e comunicazioni, assicurare il ripristino e mantenere aggiornato il livello di sicurezza dei sistemi e delle applicazioni.
Per la confidenzialità, il titolare del trattamento e il responsabile del trattamento devono adottare provvedimenti adeguati che limitino l’accesso ai dati personali alle sole persone autorizzate e solo nella misura necessaria per adempiere i loro compiti. Devono inoltre impedire che persone non autorizzate accedano ai locali e agli impianti utilizzati per il trattamento dei dati personali e che possano utilizzare i sistemi di trattamento automatizzato con l’ausilio di impianti di trasmissione. In concreto, va verificato che i diritti di accesso siano assegnati secondo il bisogno effettivo, che l’accesso fisico a locali e impianti sia riservato alle persone autorizzate e che l’uso dei sistemi da parte di soggetti non autorizzati sia impedito.[1]
Per disponibilità e integrità, occorrono provvedimenti adeguati affinché persone non autorizzate non possano leggere, copiare, modificare, spostare, cancellare o distruggere supporti di dati, né salvare, leggere, modificare, cancellare o distruggere dati personali nella memoria. La protezione deve valere anche durante la comunicazione dei dati o il trasporto di supporti di dati. Inoltre, i dati personali devono poter essere rapidamente ripristinati in caso di incidente fisico o tecnico. Devono essere disponibili tutte le funzioni del sistema di trattamento automatizzato dei dati, eventuali malfunzionamenti devono essere segnalati e i dati personali registrati non devono essere danneggiati da malfunzionamenti del sistema. Va anche mantenuto sempre aggiornato il livello di sicurezza dei sistemi operativi e delle applicazioni e devono essere colmate le lacune critiche riscontrate.[1]
Per la tracciabilità, i provvedimenti adeguati devono permettere di verificare quali dati personali sono stati introdotti o modificati nel sistema di trattamento automatizzato dei dati, in quale momento e da chi. Devono anche consentire di verificare a chi sono stati comunicati dati personali con l’ausilio di impianti di trasmissione. Inoltre, bisogna poter individuare rapidamente le violazioni della sicurezza dei dati e adottare provvedimenti per ridurre o eliminare le conseguenze. Conviene quindi controllare che il sistema renda possibile ricostruire modifiche e comunicazioni e che esistano misure per individuazione ed eliminazione delle conseguenze di una violazione della sicurezza dei dati.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]