Il nuovo testo di legge presenta dunque importanti novit in materia di sicurezza con nuovi obblighi da rispettare: assolutamente obbligatorio essere in regola, con le nuove norme, entro dicembre 2004.

Tutti coloro i quali trattano dati sensibili o giudiziari sono obbligati ad applicare le misure minime di sicurezza previste dalla legge, sia nella propria azienda sia presso i terzi a cui si abbiano eventualmente ceduto in tutto o in parte l'attivit di elaborazione dati.

Ecco le misure minime che ogni azienda deve adottare, pena il divieto di effettuare qualsiasi trattamento dei dati:

1. autenticazione informatica;

2. adozione di procedure di gestione delle credenziali di autenticazione;

3. utilizzazione di un sistema di autorizzazione;

4. aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;

5. protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;

6. adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilit dei dati e dei sistemi;

7. tenuta di un aggiornato documento programmatico sulla sicurezza;

8. adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.

Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo:

1. l'elenco dei trattamenti di dati personali;

2. la distribuzione dei compiti e delle responsabilit nell'ambito delle strutture preposte al trattamento dei dati;

3. l'analisi dei rischi che incombono sui dati;

4. le misure da adottare per garantire l'integrit e la disponibilit dei dati, nonch la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilit;

5. la descrizione dei criteri e delle modalit per il ripristino della disponibilit dei dati in seguito a distruzione o danneggiamento;

6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali pi rilevanti in rapporto alle relative attivit, delle responsabilit che ne derivano e delle modalit per aggiornarsi sulle misure minime adottate dal titolare. La formazione programmata gi al momento dell'ingresso in servizio, nonch in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali;

7. la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformit al codice, all'esterno della struttura del titolare;

8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale, l'individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell'interessato.