Newsletter – CESSAZIONE DELLA CONSERVAZIONE DEI DOCUMENTI DIGITALI: NECESSARIE MISURE DI SICUREZZA ADEGUATE

SOGGETTI COINVOLTI: AgiD- PUBBLICA AMMINISTRAZIONE ma estendibile anche ad aziende private.

SINTESI DEL PROVVEDIMENTO: Per quanto concerne la cessazione del servizio di conservazione di documenti digitali, i cui destinatari sono i soggetti accreditati per l’erogazione del servizio di conservazione dei documenti informatici, sia nel caso di cessazione volontaria che involontaria, è necessario mettere in atto ogni misura tecnica ed organizzativa di sicurezza adeguata a garantire la protezione dei dati personali contenuti o trattati nei documenti oggetto di conservazione, individuando anche procedure per la gestione delle violazioni dei dati personali (Data Breach) ai sensi dell’Art. 33 e s.s. del Regolamento UE 679/2016.

RIFERIMENTO: Provvedimento n.74 del 16 aprile 2020, doc web n.9347287.

IMPATTO SUI PROCESSI AZIENDALI: Al fine di assicurare una corretta applicazione del Regolamento occorre integrare lo schema del Piano di cessazione (documento previsto dall’Art.24 del Regolamento e-IDAS n. 910/2014 e richiamato dal C.A.D. all’Art. 29 comma 2 denominato “qualificazione e accreditamento”) con i seguenti elementi, al fine di assicurare specifiche garanzie a tutela dei dati personali trattati dal conservatore e sottoposti a migrazione ad altro soggetto accreditato a causa della cessazione:
– Necessità di individuare eventuali Responsabili del trattamento;
– Effettuare l’analisi dei rischi;
– Coinvolgere il DPO nelle operazioni;
– Precisare gli obblighi in capo al Responsabile in materia di restituzione dei dati al Titolare del trattamento;
– Predisporre misure di sicurezza volte a garantire la riservatezza, l’integrità e la disponibilità dei dati contenuti nei documenti conservati;
– Stabilire le modalità sicure di cancellazione e un congruo periodo di tempo nel corso del quale il conservatore cessante deve garantire l’accessibilità dei dati e dei documenti.

NORMATIVA: Art. 24 del Regolamento 910/2014(e-IDAS);
Art. 29, comma 2, del Codice Amministrazione Digitale (C.A.D.)
Art. 32 del Regolamento

Obblighi del responsabile del trattamento