Riprendiamo, dal sito del Garante:

Dunque anche il Garante prende atto, anche se in attesa della conversione definitiva in Legge del d.l. del Governo, della soppressione dell’obbligo di redigere ed aggiornare entro il 31 marzo di ogni anno il DPS.
Sono inoltre abolite anche le diverse forme semplificate o sostitutive del DPS, compresa l’autocertificazione introdotta lo scorso anno.

Dispiace smorzare gli entusiasmi ma questo non significa che sia stata abolita completamente la normativa. Probabilmente si è trattato di “sacrificare” sull’altare delle semplificazioni uno degli adempimenti maggiormente fastidiosi ma, tutto sommato, ininfluente al fine della sicurezza nei trattamenti dei dati personali.
Restano in vigore le misure formali, sostanziali e tecniche tramite le quali si concretizza l’effettiva sicurezza e la sua dimostrabilità.

Breve riepilogo:

•     nomina scritta dei responsabili, degli amministratori di sistema e degli incaricati al trattamento;
•     redigere e fornire istruzioni scritte circa i compiti e le misure di sicurezza;
•     nomina del responsabili esterni o accordo di impegno alla riservatezza e alle misure di sicurezza;
•     adozione e distribuzione di un regolamento per l’utilizzo delle risorse informatiche;
•     adozione della modulistica di informativa e consenso al trattamento per le persone fisiche (dipendenti, collaboratori, utenti di servizi o clienti);
•    conservazione separata dei documenti riportanti dati sensibili;
•     adozione misure di accesso selezionato, informativa e nomine, per gli impianti di videosorveglianza (non consentiti sul posto di lavoro);
•     adozione delle misure di sicurezza minime obbligatorie sui sistemi informatici;
•     criteri di autenticazione e accessi selezionati
•     sistemi anti intrusione
•     copie di sicurezza
•     aggiornamento dei sistemi
•     adozione delle misure comunque idonee al tipo di struttura utilizzata.

Non calerà, quindi, l’attenzione complessiva alla sicurezza dei trattamenti e agli ambiti di comunicazione e di diffusione nei quali risiedono i rischi maggiori di incorrere in trattamenti non conformi.

Ricordiamo le funzioni di controllo dell’Agenzia delle Entrate rispetto agli intermediari Entratel abilitati che prevedono un elenco di verifiche che solo in un punto riguardava il DPS.

Inoltre crediamo che l’abolizione del DPS comporti un problema per le funzioni societarie di controllo dell’attività degli amministratori.
Ad oggi il collegio sindacale o l’organismo di vigilanza acquisivano il DPS aggiornato quale controllo formale della corretta applicazione della normativa.
Bisognerà trovare uno strumento alternativo per mezzo del quale i responsabili e gli amministratori di sistema documentino:

- i sistemi di nomina e formazione (dei ruoli interni ed esterni);
- le istruzioni, i regolamenti adottati e la loro distribuzione;
- le informative ed i consensi adottati ed il loro utilizzo;
- le misure di sicurezza adottate in base al rischio analizzato;
- i controlli attuati;
- le attività comunque significative ai fini della normativa (formazione, valutazione di eventuali sistemi di videosorveglianza, risposte a richieste di accesso ai dati).