Il D.Lgs. n° 196/03 relativo al diritto alla protezione dei dati personali “garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali.” (art. 2 – comma 1).

Come noto, i soggetti del trattamento sono il Titolare, il Responsabile e gli Incaricati:

• il Titolare è l’entità nel suo complesso, o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza;
• la nomina del Responsabile è facoltativa: quando nominato, resta comunque vincolato a quanto impartito dal Titolare nel suo complesso, o l’unità od organismo;
• gli Incaricati devono essere designati per iscritto e deve essere individuato l’ambito del trattamento a loro consentito.

Il Codice considera designazione corretta anche la documentata preposizione della persona fisica ad una unità per la quale venga indicato l’ambito del trattamento.

Tutti i titolari sono tenuti ad adottare le misure minime di sicurezza, individuate preventivamente dal Codice e secondo le modalità previste nel Disciplinare Tecnico (Allegato B del Codice Privacy), per assicurare un livello minimo di protezione dei dati. Inoltre, tutti i titolari sono tenuti ad adottare anche le misure di sicurezza idonee ed opportune in relazione alla natura dei dati, al progresso tecnico e caratteristiche del trattamento.

Vi sono alcune novità che precisano alcuni importanti aspetti. I trattamenti devono rispettare le garanzie in materia di protezione dei dati e svolgersi nell'osservanza di alcuni cogenti principi:

• il principio di necessità, secondo cui i sistemi informativi e i programmi informatici devono essere configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi in relazione alle finalità perseguite;
• il principio di correttezza, secondo cui le caratteristiche essenziali dei trattamenti devono essere rese note ai lavoratori;
• i trattamenti devono essere effettuati per finalità determinate, esplicite e legittime osservando il principio di pertinenza e non eccedenza; le attività di monitoraggio effettuate dal datore di lavoro devono essere svolte solo da soggetti preposti ed essere "mirate sull'area di rischio, tenendo conto della normativa sulla protezione dei dati e, se pertinente, del principio di segretezza della corrispondenza“.