Source: https://forum.commercialistatelematico.com/altri-argomenti/704-privacy-dps.html
Timestamp: 2020-03-28 08:45:58+00:00
Document Index: 22920608

Matched Legal Cases: ['art. 34', 'art. 19', 'art. 34', 'art.19', 'art. 34', 'art. 5', 'art. 17', 'art. 19', 'art. 20', 'art. 18', 'art. 19', 'art. 19']

Discussione: privacy dps
20-03-07, 03:09 PM #1
il 31 marzo scade il termine per ripresentare il dps, soltanto se ci sono modifiche rispetto allo scorso anno ?
20-03-07, 03:53 PM #2
scusa ma presentarlo dove?
non andava ne va presentato da nessuna parte e nemmeno la data certa ci vuole.
Va solo aggiornato entro il 31/03..
20-03-07, 04:16 PM #3
All'ufficio postale per dare data certa. Io lo scorso anno ho fatto così.
20-03-07, 04:50 PM #4
ma non era necessario ne previsto da alcuna norma di legge.
20-03-07, 05:22 PM #5
Per un approfondimento sul&#242; tema della data riporto un articolo apparso sul sito della Avv. Frediani nostra collaboratrice a firma di Andrea Frosini che qui si riporta:
Obbligo di redazione del dps: alcune riflessioni
L’avvicinarsi della scadenza dei termini previsti per l’adozione delle misure minime di sicurezza per la tutela dei dati personali ha riportato l’attenzione generale sul D.Lgs. 196/2003 (c.d. Codice sulla privacy) e sulle problematiche legate alla sua interpretazione. Una delle questioni dibattute in dottrina riguarda l’adozione del Documento programmatico sulla sicurezza (di seguito DPS), nell’ambito specifico del trattamento di dati per via elettronica. In merito si riscontrano due orientamenti: da una parte si sostiene che deve essere adottato solo nel caso di trattamento di dati sensibili e giudiziari e dall’altra che deve essere adottato in ogni caso stante l’obbligo generale sancito dal Codice per il trattamento dei dati personali.
Dalla lettura del Decreto appare chiaro come il Legislatore abbia predisposto una tutela pi&#249; stringente per i dati sensibili e giudiziari rispetto ai dati personali. Sarebbe per&#242; incongruente interpretare quanto scritto sul Disciplinare tecnico solo nel senso dell’adozione del DPS in caso di trattamento di dati sensibili e giudiziari. In primo luogo perch&#233; si verificherebbe un contrasto tra obbligo generale (sancito dall’art. 34 dove si parla di &#171;dati personali&#187 e obbligo specifico sancito dall’Allegato B (c.d. Disciplinare tecnico) all’art. 19 (in cui si parla di &#171;dati sensibili&#187; e &#171;giudiziari&#187 .
L’art. 34 precisa che la redazione del DPS deve avvenire &#171;nei modi&#187; previsti dal Disciplinare tecnico ma non specifica “in conformit&#224;” ossia nei limiti da esso previsti. A mio avviso, dunque, l’art.19 stabilisce semplicemente una indicazione temporale sull’aggiornamento del DPSS in caso di trattamento di dati sensibili e giudiziari fermo restando l’obbligo generale di aggiornamento (magari annuale o comunque nel momento in cui si siano verificati cambiamenti) sancito dall’art. 34.
Tale lettura trova conforto nella sistematica del Codice: se, per esempio, analizziamo il Disciplinare tecnico si riscontra una statuizione di tempi pi&#249; brevi per l’adozione di misure relative al trattamento dei dati sensibili e giudiziari e pi&#249; lunghi per le altre tipologie di dati. In tal senso si vedano l’art. 5 in cui si stabilisce un aggiornamento almeno semestrale della parola chiave (password) in caso di trattamento di dati personali e almeno trimestrale in caso di trattamento di dati sensibili e giudiziari. Allo stesso modo l’art. 17 prevede un aggiornamento dei programmi di protezione almeno annuale nel caso di trattamento di dati personali e almeno semestrale in caso di trattamento di dati sensibili e giudiziari.
In secondo luogo, &#232; palese l’incongruenza se leggiamo quanto scritto all’art. 19.7, Allegato B, il quale sancisce l’obbligo di descrivere, all’interno del DPS, i &#171;criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso di trattamento di dati personali&#187; (senza ulteriori specifiche) &#171;affidati (…) all’esterno della struttura del titolare&#187;. Se la lettura fosse nel senso di un obbligo di redigere il DPS gravante solo sui titolari di trattamenti di dati sensibili e giudiziari si configurerebbe una situazione di disparit&#224; di trattamento, che suscita dubbi sul piano della ragionevolezza. Non si comprende infatti il motivo per cui l’affidamento del trattamento di dati personali (per esempio dati comuni) all’esterno della struttura, diventi rilevante solo nel caso in cui si trattino anche dati sensibili e giudiziari.
Per finire, continuando la lettura del Disciplinare tecnico ogni incertezza sembra fugata dal titolo &#171;Ulteriori misure da adottare in caso di trattamento di dati sensibili o giudiziari&#187; (art. 20 ss.). Se analizziamo la sistematica del Codice appare evidente che il Legislatore utilizza l’aggettivo “ulteriori” per disciplinare un ambito specifico di trattamento, dopo aver dettato la disciplina generale. In tal senso si veda il Capo II &#171;Regole ulteriori per i soggetti pubblici&#187; (art. 18 ss.) che detta, appunto, “ulteriori” regole per il trattamento effettuato da soggetti pubblici dopo aver dettato quelle generali per tutti i trattamenti (si veda il Capo I &#171;Regole per tutti i trattamenti&#187 .
L’interpretazione estensiva, qui sostenuta, sembra essere corretta anche riflettendo sui profili operativi del Codice. Il DPS, infatti, non &#232; altro che una “fotografia” degli adempimenti eseguiti dal soggetto e quindi in caso di un controllo da parte delle Autorit&#224; competenti risulta essere un importante strumento di tutela dalle sanzioni penali e dalle richieste di risarcimento danni per violazione della privacy. Anche dal punto di vista pratico, quindi, sembra ragionevole sostenere che il Legislatore abbia voluto stabilire un obbligo generale di adozione del DPS riservando un’attenzione particolare al trattamento dei dati sensibili e giudiziari per il quale si prevede un aggiornamento del Documento in tempi pi&#249; ristretti o comunque ben determinati (&#171;entro il 31 marzo di ogni anno&#187 .
Da quanto si legge dovendo dimostrare in caso di trattamento di dati sensibili e/o giudiziari che l'aggiornamento &#232; avvenuto con cadenza almeno annuale, entro il 31/03/n+1 come stabilisce l'art. 19 del Disciplinare Tecnico, almeno per coloro che trattano questi dati la "data certa" deve essere acquisita, a titolo probatorio.
20-03-07, 05:25 PM #6
Da quanto si legge dovendo dimostrare in caso di trattamento di dati sensibili e/o giudiziari che l'aggiornamento è avvenuto con cadenza almeno annuale, entro il 31/03/n+1 come stabilisce l'art. 19 del Disciplinare Tecnico, almeno per coloro che trattano questi dati la "data certa" deve essere acquisita, a titolo probatorio.
la cosa è stata analizzata e se non erro pure sul sito del garante era apparso un chiarimento.
Se viene il verificatore il 30/04/2007 sarà lui a dover dimostrare che il 31/03/2007 il dps non era stato fatto o aggiornato..
ma se lo trova aggiornato non potrà eccepire nulla.
non andiamo a cercare adempimenti laddove non sono previsti
20-03-07, 05:29 PM #7
http://www.overlex.com/leggiarticolo.asp?id=644
nessuna data certa richiesta dal dps.
20-03-07, 10:41 PM #8
Non concordo assolutamente con la risposta data, perch&#232; il testo di legge del disciplinare tecnico &#232; molto chiaro e non c'&#232; nulla da interpretare. E' il testo di legge che lo afferma e il Garante non pu&#242; aver contradetto il testo di legge e se lo ha fatto &#232; andato fuori tema. Mi sembra singolare poi l'intepretazione per la quale l'obbligo di redazione del DPS &#232; dell'impresa e il verificatore deve dimostrare che l'adempimento non &#232; stato fatto in quella data. Se invio una dichiarazione all'AdE sono io che devo fornire la prova dell'invio entro la data di legge e se domani non lo posso provare non posso ribaltare sull'Ade l'obbligo di dimostrazione. E poi come fa il Collegio sindacale a verificare che l'adempimento &#232; stato posto in essere in quella data se la verifica viene fatta in un momento successivo ? Non credo che i sindaci debbano sostare negli uffici della societ&#224; fino allo scadere della mezzanotte del 31/03 per verificare se gli amministratori vi hanno adempiuto oppure no, ponendosi un problema di cooptazione nel caso in cui i secondi non vi provvedano.
21-03-07, 09:29 AM #9
mi sa che non hai letto il link postato.
resto della mia nessuna data certa, nn è richiesta.
21-03-07, 09:40 AM #10
inoltre come si evince qui: http://www.garanteprivacy.it/garante/doc.jsp?ID=771307 , era l'adozione delle misure minime che poteva soggiacere ad un termine piu ampio e qui copio dal sito del garante: "Si tratta dell’ipotesi specifica (che riguarda solo i trattamenti effettuati con strumenti elettronici) in cui il titolare del trattamento, alla data del 1° gennaio scorso, disponeva di strumenti elettronici che, per le predette obiettive ragioni esclusivamente tecniche, documentate in un atto a data certa da redigere al più tardi entro il 30 giugno 2004, non consentono di applicare immediatamente, in tutto o in parte, le nuove misure minime"
e solo queste ipotesi, non il dps.
nessuna data certa per il dps.
(ps: l'esempio fatto con le dichiarazioni da presentare all'amministrazione finanziaria non calza con questo caso)
Ultimo Messaggio: 30-03-08, 10:42 AM