Il Documento Programmatico sulla Sicurezza (DPS) o Relazione sul Sistema di Gestione Privacy è un documento interno, che descrive il Modello Privacy Aziendale adottato e nel quale vengono pianificati su base pluriennale gli interventi di adeguamento privacy necessari a rendere conforme il Modello Privacy agli obblighi di legge privacy.
Il DPS (Documento Programmatico sulla Sicurezza) è un documento di pianificazione su base triennale o quinquennale, soggetto ad aggiornamento periodico almeno annuale, composto dalle seguenti sezioni:
- Introduzione al DPSS
- Privacy Policy Aziendale
- Organigramma Privacy
- Classificazione dei Dati Personali
- Classificazione dei Trattamenti
- Analisi dei Rischi Privacy
- Privacy Gap Analysis
- Misure di Sicurezza
- Misure Minime di Sicurezza
- Trattamenti Affidati all’Esterno
- Formazione Privacy
- Linee Guida Privacy
- Procedure Privacy
- Istruzioni Operative Privacy
- Allegato A) al DPS - Modulo Privacy di Informativa e Consenso
- Allegato B) al DPSS - Modulo Privacy di Nomina a Responsabile Privacy
- Allegato C) al DPS - Modulo Privacy di Lettera di Incarico Privacy
- Allegato D) al DPSS - Modulo Privacy di Nomina a Responsabile Esterno Privacy
- Allegato E) al DPS - Modulo Privacy di Nomina ad Amministratore di Sistema
L’obbligo formale di redigere o aggiornare il Documento Programmatico sulla Sicurezza (DPS) entro il 31 Marzo di ogni anno, è stato abrogato con il Decreto Legge n. 05/2012 (Decreto Semplificazioni e Sviluppo).
Tuttavia tale modifica normativa non ha eliminato l’obbligo sostanziale di descrivere in una relazione periodica il Sistema di Gestione Privacy adottato.
In particolare il Titolare del Trattamento è ancora gravato dall’onere di formalizzare in un documento programmatico (DPS) l’analisi dei rischi privacy effettuata e le conseguenti misure di sicurezza adottate volte a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta.
Pertanto, pur essendo venuto meno un obbligo formale di redigere un documento programmatico sulla sicurezza, (DPSS), è rimasto invariato un obbligo sostanziale di descrivere in una relazione periodica privacy, il corretto adempimento delle misure di sicurezza e delle misure minime di sicurezza previste dagli articoli. 34 e 35 del Codice Privacy, così come disciplinate dall’Allegato B del D.lgs. 196/03.
La Relazione sul Sistema di Gestione Privacy coincide, quindi, logicamente e nel contenuto con il Documento Programmatico sulla Sicurezza (DPS), differenziandosi da esso unicamente per il fatto di non dover essere aggiornata obbligatoriamente ogni anno entro una precisa data.
La Relazione sul Sistema di Gestione Privacy è, pertanto, a tutti gli effetti, un documento programmatico sulla sicurezza (DPSS), la cui redazione risulta necessaria e obbligatoria per poter dimostrare, in caso di controlli, alle Autorità Competenti, di avere progettato ed efficacemente attuato un sistema di gestione privacy idoneo a ridurre al minimo tutti rischi privacy che incombono sui dati personali trattati.
Dr. Eric Falzone – Legal Compliance Advisor – Partner EUCS
Dr. Matteo Angi – Legal Compliance Advisor – Consulente EUCS
