lI 31 dicembre 2017 è scaduto il termine per la sottoscrizione e marcatura, da parte degli enti pubblici, del documento relativo all’implementazione delle misure minime di sicurezza richieste da AGID con la circolare n. 2/2017.
Anche se il mancato adempimento non è sanzionabile bisogna considerare le conseguenze che l’omissione apporterà dopo il 25 maggio 2018 quando saranno applicabili le sanzioni previste dal Regolamento UE 2016/679 sulla privacy in vigore da maggio 2016 – GDPR – in tema di protezione dei dati personali.
Le sanzioni previste dal GDPR sono molto elevate, fino a 20 milioni di Euro, e sono applicabili quando il titolare del trattamento dei dati personali non dimostrerà di aver adottato tutte le misure idonee alla protezione dei dati trattati. Nel novero di queste “negligenze” del titolare del trattamento rientrerà la disapplicazione delle misure prescritte dalle Autorità nazionali.
In caso di accesso illecito alle informazioni detenute – data breach – per violazione del sistema informatico, il titolare del trattamento, dovrà comunicare la violazione all’Autorità garante e non potrà dimostrare di aver “responsabilmente”, secondo il principio di accountability, rispettato le misure minime di sicurezza indicate dalla circolare n. 2/2017 dell’AGID.
La circolare citata prevede, infatti, che il responsabile della struttura per l’organizzazione, l’innovazione e le tecnologie di cui all’art.17 del C.A.D., ovvero, in sua assenza, il dirigente allo scopo designato, debbano redigere il modulo di implementazione che dovrà essere firmato digitalmente con marcatura temporale. Dopo la sottoscrizione esso deve essere conservato e, in caso di incidente informatico, trasmesso al CERT-PA insieme con la segnalazione dell’incidente stesso.
Si consiglia, pertanto, di adempiere, prima possibile, alla rilevazione e all’adeguamento delle Pubbliche amministrazioni alle Misure minime di sicurezza compilando i modelli pubblicati da AGID.
Un ulteriore richiamo all’attenzione e responsabilizzazione verso i processi di digitalizzazione e al rispetto del Piano Triennale 2017-2019 per l’informatica nella P.A., è riscontrabile nella richiesta pervenuta dal Gestore IPA – Indice delle Pubbliche Amministrazioni – relativa all’inserimento dell’“Ufficio per la transizione al Digitale” tra le informazioni istituzionali.
Il gestore ha richiesto, infatti, di pubblicizzare attraverso l’Indice delle P.A., l’“Ufficio per la transizione al Digitale” di ogni Amministrazione pubbblica riportando i dati del relativo responsabile.
Actainfo è a disposizione per il supporto alla redazione del modulo di implementazione e, se necessario alla fornitura, entro 24 ore del sistema di firma e/o di marcatura temporale del file.
Dott. Igino Addari
