Newsgroup: it.diritto
Titolo: Obbligo DPS

Mi scuso perche' l'argomento sara' gia' stato stradiscusso.
Se l'azienda detiene esclusivamente i dati di contabilita' e quelli
anagrafici di clienti, fornitori e dipendenti e' necessario il DPS?
Non abbiano dati sensibili, ne' giudiziari ne' vattelapesca elettorali
religiosi etc.
A me risulterebbe molto chiaramente di NO.
In compenso i vari consulenti, commercialisti etc, mi chiedono una
dichiarazione scritta che _non lo voglio_ fare, perche' secondo loro sarebbe
meglio farlo.
MEGLIO?
In che senso meglio?
Meglio per loro, forse? :-)
Ciao
Nick,
che comunque ha firewall, backup, antivirus e quant'altro in regola.


Il problema è complicato. La normativa è talmente cervellotica e bizantina 
che, allo stato attuale, ci sono moltissimi aspetti assai poco chiari anche 
agli addetti ai lavori.
Se dai un'occhiata ai tread precedenti ti accogerai che è si sostiene tutto 
e il suo contrario, quindi non sperare in una risposta univoca. E' evidente 
che, nel dubbio, se si vuole stare completamente tranquilli, si deve 
scegliere la strada più prudente. 

 A me risulterebbe molto chiaramente di NO.
La 196 non tutela solo i dati sensibili, ma anche quelli personali. Le 
anagrafiche dei tuoi clienti sono dati personali.
E' scritto esplicitamente nella legge che in questo caso dev'essere redatto 
un DPS.
Ciao, Leo 

 meglio farlo.
Nessun tuo consulente puņ pretendere una dichiarazione scritta da te su
nessuna cosa!
Sarebbe come se il mio avvocato mi chiedesse di redigergli una lettera dove
dico "giuro che il cazzotto che potrei tirare domani a Gino l'ho voluto
tirare io, ma il mio avvocato me lo aveva detto che era reato".
Che senso ha una dichiarazione del genere???
Tu studia la normativa. Se secondo te non lo devi fare... NON glielo
commissioni!
(ti confermo che, a quanto dici, non sembri proprio rientrare negli obblighi
del DPS, ma ovviamente le misure minime di sicurezza le devi adottare)

 A me risulterebbe molto chiaramente di NO.
La 196 non tutela solo i dati sensibili, ma anche quelli personali. Le 
anagrafiche dei tuoi clienti sono dati personali.
E' scritto esplicitamente nella legge che in questo caso dev'essere redatto 
un DPS.
Ciao, Leo 
-- 
----------------------------------------
La mia Cartella di Posta in Arrivo è protetta da SPAMfighter
373 messaggi contenenti spam sono stati bloccati con successo.
Scarica gratuitamente SPAMfighter!

Fotografando un lampione il Fri, 31 Mar 2006 14:51:07 +0200, Leonardo
Broseghini ha scritto:

Assolutamente no.
Per il trattamento elettronico dei dati si chiede di rispettare le
prescrizioni del disciplinare tecnico presenti nell'allegato B, dove è
scritto in MODO CHIARO:
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati
sensibili o di dati giudiziari redige anche attraverso il responsabile, se
designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo:
...
Nickblaster, non sei tenuto a redarre il DPS, ma devi rispettare tutte le
altri voci del documento.
ciao
S.

 Non abbiano dati sensibili, ne' giudiziari ne' vattelapesca elettorali
mmm... forse dovresti approfondire le problematiche della gestione dei
dipendenti.
Non so darti una risposta, ma non vorrei che nel rapporto datore di
lavoro-dipendente subentri anche il trattamento di dati sensibili (le ore
di malattia).
ciao
S.

 scritto in MODO CHIARO:
Cosa c'č scritto all'Art 34, punto g) ?
Ciao, Leo 

 scritto in MODO CHIARO:
Cosa c'è scritto all'Art 34, punto g) ?
Ciao, Leo 
-- 


 nessuna cosa!
Non è vero. Chiunque rientri nel trattamento dati effettuato da 
quell'azienda (e quindi immagino anche i consulenti, schedati 
nell'anagrafica fornitori), ha il *diritto* di sapere come i propri dati 
vengono trattati, ed eventualmente d'opporsi ad un trattamento non 
congruente alle necessità del rapporto instaurato.
Pensa solo alla delicatezza della posizione di chi magari si ritrova a fare 
il consulente d'aziende in concorrenza fra di loro, e che ovviamente non 
voglia fare trapelare la notizia alle due aziende....
Ciao, Leo 

 nessuna cosa!
Non è vero. Chiunque rientri nel trattamento dati effettuato da 
quell'azienda (e quindi immagino anche i consulenti, schedati 
nell'anagrafica fornitori), ha il *diritto* di sapere come i propri dati 
vengono trattati, ed eventualmente d'opporsi ad un trattamento non 
congruente alle necessità del rapporto instaurato.
Pensa solo alla delicatezza della posizione di chi magari si ritrova a fare 
il consulente d'aziende in concorrenza fra di loro, e che ovviamente non 
voglia fare trapelare la notizia alle due aziende....
Ciao, Leo 
-- 


 Cosa c'è scritto all'Art 34, punto g) ?
Art. 34
1. Il trattamento di dati personali effettuato con strumenti elettronici è
consentito solo se sono adottate, nei modi previsti dal disciplinare
tecnico contenuto nell’allegato [B], le seguenti misure minime: 
io leggo
"NEI MODI PREVISTI DAL DISCIPLINARE TECNICO"
e quindi i modi previsti sono:
Allegato B
Documento programmatico sulla sicurezza
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati
sensibili o di dati giudiziari redige anche attraverso il responsabile, se
designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo
ciao
S.

 vengono trattati
Diritto di sapere COME vengono trattati NO.
Il DPS è documento INTERNO, riservato!
Il consulente non ha diritto di pretendere l'assunzione di responsabilità 
dal cliente sulla mancata redazione.
Leggiti meglio il post di Nickblaster. Lui non parla del trattamento dei 
dati, ma della pretesa del consulente di fargli redigere il DPS.

 un DPS.
DOVE?

> Cosa c'è scritto all'Art 34, punto g) ?
Non quello che pensi tu.
Il DPS non è un obbligo per tutti, solo per alcuni.

 del DPS, ma ovviamente le misure minime di sicurezza le devi adottare)
Le misure minime sono state adottate da tempo seguendo il buon senso
(backup, firewall, passwords etc).
Grazie
Ciao
Nick

 congruente alle necessitą del rapporto instaurato.
Infatti c'e' un'informativa sul trattamento dei dati regolarmente
consultabile.
Ma qui si parla di DPS e del fatto che il consulente vorrebbe farmelo anche
se secondo me non sono obbligato ad averlo.
Ciao
Nick

 informazioni riguardo
Grazie mille!
Non e' il mio campo, ma anche io l'interpreto cosi' (e anche l'associazione
di categoria).
Ciao
Nick

 di malattia).
Tutta la parte legata alle retribuzioni e' affidata ad uno studio paghe al
quale passiamo i certificati senza conservare nulla.

 facciamo.
Il culo è il tuo, non il suo!
Quindi fai come vuoi tu.
Non vedo che paure abbia lui, per desiderare una tale dichiarazione...
Non ho mai sentito di nessun consulente accusato delle colpe del cliente.
Hai mai sentito di avvocati arrestati per non aver avvertito il proprio 
cliente che l'omicidio era vietato?
Al limite, se vuole pararsi il suo di culo, può sempre mandarti una 
raccomandata in cui ti consiglia di redigere il DPS...

 informazioni riguardo
Perfetto: quindi il DPS è obbligatorio.
Ciao, Leo 

> e dipendenti e' necessario il DPS?
sei sicuro che i dati dei dipendenti nn siano sensibili ?
ciao
andrea

 di malattia).
...e le ritenute sindacali...(idee politiche)
ciao
fm 

 ha scritto nel messaggio 
news:e0je86$v9l$1...@area.cu.mi.it...

gia' i certificatio basterebbero....comunque le buste paga son considerate 
dati sensibili
(stato di salute ed idee politiche)
ciao
fm 


 . . . aggiungo giorni di infortunio, appartenenza a un sindacato, 
appartenenza etnica/religiosa. Pensate per esempio a un cittadino chiamato 
Mohamed Adel Raziq. Se della sua nazionalità abbiamo dei dubbi (italiana, 
francese,  tunisina, algerina, egiziana, ecc) cosi non si può dire della sua 
religione ch'è certamente musulmana. Lo stesso esempio può essere applicato 
ad un cittadino di nome "israelico" 

 di nome "israelico" 
Mica detto, potrebbe anche essere copto o maronita, mica è detto che 
tutti i mohammed siano necessariamente mussulmani.
Israelico, poi, non esiste, da dove l'hai tirato fuori?  
-- 
w.
:: The biggest problem is the weakest link in the system: The user. ::

 "NEI MODI PREVISTI DAL DISCIPLINARE TECNICO"
Mi permetto di dire: è la distinzione fra dati personali e sensibili che 
consiglia prudenza:
Esempio, mettiamo fra i dati personali elettronici fra i più comuni, 
l'email, vi sia una indicazione del tipo riguardante le convinzioni 
politiche...
Cioè, mettiamo abbiate scritto a qualcuno che appartiene a una segreteria 
politica, con email del tipo ''
pi...@unione.it
'' (per fare un placido 
esempio massimalista)
Di sicuro, il riferimento è generico: ''unione'' al moento può o non può 
voler dire un mare di cose...
Ma nel caso in esame, dato sensibile? Parrebbe... se indica, in qualche 
modo, le convinzioni politiche di un soggetto del quale, bene o male, si 
TRATTANO dati sensibili, e , peggio ancora ( la rublica di outlolcco è 
semiautomatica, es...) si DETENGONO in conservazione semipermanente, o 
quasi.
Tali aree grige, mi fanno consigliare, cerchiobottismo se volete, alla mia 
clientela un ''si, te lo faccio'' a prescindere: se devono collaudarle, le 
norme, le collaudino sulla pelle di chi non mi da' di che vivere.
Magari sono troppo prudente, ma ricordando Bartolomeo Pandetta, da vecio... 
dico: ''Arrangiati & Spera''
Chiedo perdono per il post prolisso di un lurker di vecchia data...
ciao
:)
qu 

 esempio massimalista)
... magari ''
pi...@unione.it
'' non è un orientamento politico ( meno che
meno religioso ...), magari "pippo" è l'impiegato di "
unione.it
" e al
colore politico non ci bada: è stato assunto perchè ha risposto
all'inserzione.

 all'inserzione.
Daccordo , ma magari no.
Per questo parlo di norme vaghe.
E, in caso di norma vaghe, č buona regola, in attesa delle prime 
applicazioni, intenderle in senso lato il piů possibile.
Sia detto ciň, assolutamente imho.
ciao
:)
qu 

 "Sokar" <sokar...@SPAMMMemail.it> ha scritto nel messaggio 

Io non la penso così, ma posso sbagliarmi.
ciao
S.

 esempio massimalista)
A parta il fatto che con un email non puoi certo identificare con certezza
una persona, e nemmeno con il suo nome e cognome, mi sembra
un'interpretazione un pò forzata del senso della legge.
Se la mettiamo così allora anche tizio e caio che amministrano un qualsiasi
forum o blog in rete devono redigere il DPS e fare la notifica al garante,
il che mi sembrerebbe un'assurdità per chi "gioca" con un blog o un forum
senza alcun interesse particolare.
Per arrivare a un dato "sensibile" per me bisogna avere almeno
un'anagrafica completa (nome cognome, residenza, data di nascita, codice
fiscale etc...), e non credo che un semplice email o un nome possano essere
sufficienti.
IMHO
Ricordo comunque che predisporre un DPS e fare la relativa notifica al
garante "espone" a responsabilità civili e penali... ti mette sotto il
riflettore, e sinceramente eviterei di farlo se non costretto.
ciao
S.

Fotografando un lampione il Fri, 31 Mar 2006 16:27:16 +0200, Nickblaster ha
scritto:

Ok, ma credo che sia tu il titolare dei dati e non lo studio, il quale al
limite verrà indicato da te come responsabile del trattamento.
ciao
S.

 applicato
Questa interpretazione l'ho già sentita in occasione della gestione delle 
liste degli alunni degli asili, ma non la condivido: un nome arabo non 
significa necessariamente l'appartenenza alla religione islamica, così come 
un nome "occidentale" non significa che ci si trovi davanti ad un cattolico.
Ciao, Leo 

 A me risulterebbe molto chiaramente di NO.
Le misure minime devi comunque adottarle. Solo non le metti per iscritto
assieme alle varie analisi di rischio e procedure previste (DPS).
-- 
Non sono scaramantico, ma darmi una toccatina non mi  costa nulla...
...tra l'altro mi sto accorgendo che mi piace...
(acme, capo d'anno 2003)

 di malattia).
ma mica ci scrive che malattia hai il dottore. Scrive solo che il dipendente
si assenterà dal giorno x al giorno y.
-- 
L'uomo di Neanderthal e' stato scoperto solo di recente.
Del resto lo stesso Neanderthal non e' che ci tenesse
a far sapere che stava con un uomo.