Ispezioni Privacy utenti Entratel

“L’Agenzia delle Entrate ha comunicato che per gli incaricati della trasmissione telematica delle dichiarazioni stanno prendendo il via nuovi e più serrati controlli in particolare su rispetto degli obblighi di riservatezza. In riferimento a suddetti controlli, gli stessi a partire dal secondo semestre 2011, saranno effettuati dalle strutture di audit regionali presso i CAF e gli altri intermediari abilitati al servizio Entratel, e a seconda dell’esito dei controlli sugli obblighi di riservatezza è prevista la revoca dell’ abilitazione ai servizi telematici.

Controlli e sicurezza dei dati

In generale, i controlli riguarderanno l’adozione di tutte le misure necessarie a proteggere i dati sensibili che gli intermediari vengono necessariamente a conoscenza per lo svolgimento del proprio lavoro. I contenuti dei controlli come precisati dall’Agenzia delle Entrate riguarderanno:

• la struttura organizzativa dell’intermediario;
• le misure di sicurezza adottate in riferimento ai mezzi tecnologici utilizzati;
• altre misure di sicurezza.

Nell’ambito dei controlli della struttura organizzativa dell’intermediario, rientra anche l’individuazione dei responsabili, anche esterni del trattamento dei dati. Il controllo è esteso anche all’esistenza del documento programmatico sulla sicurezza (DPS), come misura minima di sicurezza prevista, in relazione all’obbligo generale di protezione dei dati personali, dall’art. 34, comma 1, lett. g) e dal punto 19 dell’allegato B) del Codice della privacy, DPS, obbligatorio entro il 31 marzo di ogni anno, e per il quale sono state introdotte di recente alcune semplificazioni dal DL 70/2011.

A chi spetta la verifica

La verifica, riguarderà anche la designazione delle persone incaricate del trattamento dei dati e l’ambito di trattamento a loro consentito.
Quanto all’esito delle verifiche, per le eventuali omissioni riscontrate rispetto agli obblighi di riservatezza, si rischia la revoca dell’abilitazione al servizio ENTRATEL (art. 8 del DM 31 luglio 1998).

Contenuto delle operazioni di verifica specificato dall’Agenzia
Innanzitutto, nell’ambito della struttura organizzativa dell’intermediario, rientra nelle operazioni di verifica, fra gli altri aspetti, la designazione – qualora vi sia – dei responsabili (anche esterni) del trattamento dei dati, ad opera dello stesso titolare del trattamento (quindi, CAF o altro intermediario abilitato al servizio ENTRATEL come già detto), e la redazione di istruzioni operative (art. 29 del Codice della privacy, art. 11 comma 3 del DM 31 luglio 1998, e art. 5 comma 4 del provv. 10 giugno 2009).

Il controllo è esteso anche all’esistenza del documento programmatico sulla sicurezza (DPS), la misura minima di sicurezza prevista, in relazione all’obbligo generale di protezione dei dati personali, dall’art. 34, comma 1, lett. g) e dal punto 19 dell’allegato B) del Codice della privacy (contenente il “Disciplinare tecnico in materia di misure minime di sicurezza”). DPS, si ricorda, obbligatorio entro il 31 marzo di ogni anno (si veda “Documento programmatico sulla sicurezza, scadenza al 31 marzo” del 24 marzo 2011) e per il quale sono state introdotte di recente alcune semplificazioni dal DL 70/2011, convertito nella L. 106/2011.

La verifica riguarda la designazione delle persone incaricate del trattamento dei dati e l’ambito di trattamento a loro consentito (art. 30 del Codice della privacy, art. 11, comma 4, del DM 31 luglio 1998 e art. 5, comma 4, del provv. 10 giugno 2009).

Ancora, in vista del controllo, bisognerà stare attenti a una corretta politica di gestione delle password che preveda, fra l’altro, l’attribuzione a determinati soggetti del compito di amministrare le utenze per l’accesso ai sistemi informatici e l’adozione di misure per mantenere riservate le informazioni che consentono l’accesso ai servizi telematici del Codice della privacy e art. 5, comma 6, del provv. 10 giugno 2009.”

Sopra quanto citato in newsletter “illustri e note”

A mio avviso il problema deve spostarsi sulla corretta tenuta dell’archivio cartaceo o dematerializzato c.d. “fascicolo  del cliente” contemplato nel D.lgs 231/07 e sull’A.u.I .

Per gli adeguamenti al D.lgs 196/03 e 231/07 vogliate chiamarmi per un appuntamento.

In allegato una breve guida, format valutazione rischio e limiti circolazione contanti ed a.b. ( non aggiornato all’importo di 2500 € rif 13/08/2011, entro 10 giorni ci sarà la nuova modulistica con le nuove indicazioni del Consiglio Naizonale).

skantiric.pdf