Amministratori di sistema: precisazioni del Garante
Il 15 dicembre 2009 scade il termine per l'individuazione, la nomina e la designazione dell'incarico di amministratore di sistema, adempimento previsto e sancito dall'art. 154, comma 1, lettera h) del c.d. Codice Privacy, da parte del Titolare del trattamento di dati personali con strumenti elettronici.
La figura dell'amministratore di sistema deve necessariamente essere individuata personalmente (persona fisica), e deve possedere i requisiti di esperienza, capacità ed affidabilità nella gestione delle funzioni previste dall'Allegato B al Codice per la Privacy (backup, recovery dei dati etc.).
Il Titolare del trattamento dei dati (o il Responsabile, laddove esistente) deve riportare in un documento interno da mantenere aggiornato gli estremi identificativi delle persone fisiche amministratori di sistema, con l'elenco delle funzioni attribuite; ciò, anche laddove l'amministrazione di sistema sia affidata in outsourcing.
Il Titolare (o il Responsabile) ha l'obbligo di verificare almeno annualmente l'attività dell'amministratore di sistema, affinché quest'ultimo mantenga sempre le caratteristiche di affidabilità e professionalità nella gestione dell'incarico.
Da parte del Titolare, inoltre, devono essere adottati sistemi idonei alla registrazione degli accessi logici da parte degli amministratori di sistema agli archivi elettronici ed ai sistemi di elaborazione.
Come chiarito con Provvedimento del Garante del 27 novembre 2008, restano esclusi dai predetti obblighi i trattamenti effettuati in ambito pubblico e privato a fini amministrativo-contabili che, ponendo minori rischi per gli interessati sono stati oggetto delle misure di semplificazione introdotte dalla Legge n. 133/2008 all'art. 34 del Codice Privacy.
Da segnalare che il 10 dicembre 2009 il Garante ha emanato un ulteriore comunicato chiarificatore, al quale rimandiamo (anche per ulteriori approfondimenti correlati):
http://www.garanteprivacy.it/garante/doc.jsp?ID=1676654
e che per comodità riportiamo di seguito.
Comunicato stampa - 10 dicembre 2009
Amministratori di sistema: precisazioni del Garante
In vista della scadenza del 15 dicembre, termine entro il quale imprese e altri soggetti interessati devono adeguarsi alle prescrizioni impartite a suo tempo in materia di amministratori di sistema, l'Autorità per la protezione dei dati personali ritiene opportuno precisare alcuni aspetti, anche allo scopo di evitare ingiustificati oneri per le aziende.
L'Autorità, nel rilevare il generale impegno da parte delle imprese ad adempiere alle prescrizioni impartite con il provvedimento del 27 novembre 2008, ha infatti constatato che informazioni imprecise o anche talune azioni promozionali da parte di consulenti rischiano di disorientare alcune aziende, soprattutto quelle di piccole dimensioni, esponendole a immotivati aggravi economici.
L'Autorità intende dunque ribadire quanto segue:
- le prescrizioni riguardano solo quei soggetti che, nel trattare i dati personali con strumenti informatici, devono ricorrere o abbiano fatto ricorso alla figura professionale dell'amministratore di sistema o a una figura equivalente.
- le prescrizioni non si applicano, invece, a quei soggetti anche di natura associativa che, generalmente dotati di sistemi informatici di modesta e limitata entità e comunque non particolarmente complessi, possano fare a meno di una figura professionale specificamente dedicata alla amministrazione dei sistemi o comunque abbiano ritenuto di non farvi ricorso.
Per quanto concerne, infine, gli aspetti tecnici del provvedimento (in particolare, la conservazione dei log degli accessi effettuati dagli amministratori di sistema), il Garante ricorda come l'adeguamento possa avvenire anche con soluzioni a basso costo, validamente proposte e disponibili in rete (per esempio basate su software gratuito, anche con licenze di tipo open source), che possono costituire valide alternative all'impiego di prodotti commerciali o di apparati più sofisticati.
Roma, 10 dicembre 2009
Per maggiori chiarimenti, V'invitiamo a consultare il sito dell'autorità Garante
e il Provvedimento generale del 27 novembre 2008 e successive modifiche.
- Creato il .