Newsgroup: it.diritto
Titolo: Fatturazione e Privacy

Salve a tutti.
Avrei un dubbio circa l'attuale legislazione sulla privacy e vi sarei
molto grato se potreste aiutarmi.
Mia moglie ha un'attività artigianale di parrucchiera.
Gli ho creato un software gestionale specifico per la sua attività che
provvede in primo luogo alla fatturazione ma anche alla gestione più in
generale. Ovviamente questo SW implementa un archivio clienti nel quale
sono inseriti i dati necessari all'emissione della fattura (Nome, cognome
indirizzo, ecc...). Al momento ha registrato circa 300 clienti.
Quando ho realizzato il SW non avevo proprio considerato l'aspetto della
privacy come qualcosa di cui tener conto.
Vi chiedo quindi...
Per un'attività come quella sopra descritta, si deve osservare qualche
legge sulla privacy ?
Nel caso, sarebbe possibile risamare la situazione magari facendo firmale
alle clienti una liberatoria ? 
Grazie // Antonio
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 alle clienti una liberatoria ?
Non è "possibile": è INDISPENSABILE.
Saluti             Archi

 > alle clienti una liberatoria ?Non è "possibile": è INDISPENSABILE.
Assolutamente no. È sufficiente che il cliente sia informato sul
trattamento dati, anche in maniera verbale. Il consenso scritto è
richiesto solo ed esclusivamente per il trattamento di dati sensibili,
e non credo che sia il caso di un parrucchiere.
Comunque il registrare i dati sul PC richiede una serie di adempimenti
per la privacy ad esempio utilizzo di nome utente e password, procedure
di backup e altro.
Sandro
http://alex2004.splinder.com

 di backup e altro.
Mi puoi far capire meglio questo aspetto per cortesia ?
Grazie..... 


Assolutamente no.
Assolutamente SI.
Art. 11 della fottutissima legge sulla privacy:
      Art. 11. Consenso
      1. Il trattamento di dati personali da parte di privati o di enti
pubblici economici č ammesso solo con il consenso espresso dell'interessato.
      2. Il consenso puň riguardare l'intero trattamento ovvero una o piů
operazioni dello stesso.
      3. Il consenso č validamente prestato solo se č espresso liberamente,
in forma specifica e documentata per iscritto, e se sono state rese
all'interessato le informazioni di cui all'articolo 10.
Quindi: sei libero di informarlo oralmente dei diritti ecc. ecc., ma ti devi
comunque far firmare una liberatoria.
Saluti              Archi

 Saluti              Archi


       Art. 11. Consenso
Peccato che la "fottutissima" legge sulla privacy che *TU* nomini sia
la 675 del 1996 che non è più valida!!!
La "fottutissima" legge sulla privacy *ORA* in vigore è il D.Lgs 196
del 2003 che all'articolo 23 recita:
23. Consenso.
1. Il trattamento di dati personali da parte di privati o di enti
pubblici economici è ammesso solo con il consenso espresso
dell'interessato.
2. Il consenso può riguardare l'intero trattamento ovvero una o più
operazioni dello stesso.
3. Il consenso è validamente prestato solo se è espresso liberamente
e specificamente in riferimento ad un trattamento chiaramente
individuato, se è documentato per iscritto, e se sono state rese
all'interessato le informazioni di cui all'articolo 13.
4. Il consenso è manifestato in forma scritta quando il trattamento
riguarda dati sensibili. 
Sandro
http://alex2004.splinder.com

Mi puoi far capire meglio questo aspetto per cortesia ?
È essenzialmente l'articolo 34 del D.Lgs. 196/2003:
34. Trattamenti con strumenti elettronici.
1. Il trattamento di dati personali effettuato con strumenti
elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure
minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di
autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'àmbito del
trattamento consentito ai singoli incaricati e addetti alla gestione o
alla manutenzione degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a
trattamenti illeciti di dati, ad accessi non consentiti e a determinati
programmi informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il
ripristino della disponibilità dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per
determinati trattamenti di dati idonei a rivelare lo stato di salute o
la vita sessuale effettuati da organismi sanitari.
Sandro
http://alex2004.splinder.com

 disciplinare tecnico contenuto nell'allegato B), le seguenti misure
Questo è l'allegato B:
Disciplinare tecnico in materia di misure minime di sicurezza
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
Modalità tecniche da adottare a cura del titolare, del responsabile
ove designato e dell'incaricato, in caso di trattamento con strumenti
elettronici:
Sistema di autenticazione informatica
1. Il trattamento di dati personali con strumenti elettronici è
consentito agli incaricati dotati di credenziali di autenticazione che
consentano il superamento di una procedura di autenticazione relativa a
uno specifico trattamento o a un insieme di trattamenti.
2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave
riservata conosciuta solamente dal medesimo oppure in un dispositivo di
autenticazione in possesso e uso esclusivo dell'incaricato,
eventualmente associato a un codice identificativo o a una parola
chiave, oppure in una caratteristica biometrica dell'incaricato,
eventualmente associata a un codice identificativo o a una parola
chiave.
3. Ad ogni incaricato sono assegnate o associate individualmente una o
più credenziali per l'autenticazione.
4. Con le istruzioni impartite agli incaricati è prescritto di
adottare le necessarie cautele per assicurare la segretezza della
componente riservata della credenziale e la diligente custodia dei
dispositivi in possesso ed uso esclusivo dell'incaricato.
5. La parola chiave, quando è prevista dal sistema di autenticazione,
è composta da almeno otto caratteri oppure, nel caso in cui lo
strumento elettronico non lo permetta, da un numero di caratteri pari
al massimo consentito; essa non contiene riferimenti agevolmente
riconducibili all'incaricato ed è modificata da quest'ultimo al primo
utilizzo e, successivamente, almeno ogni sei mesi. In caso di
trattamento di dati sensibili e di dati giudiziari la parola chiave è
modificata almeno ogni tre mesi.
6. Il codice per l'identificazione, laddove utilizzato, non può essere
assegnato ad altri incaricati, neppure in tempi diversi.
7. Le credenziali di autenticazione non utilizzate da almeno sei mesi
sono disattivate, salvo quelle preventivamente autorizzate per soli
scopi di gestione tecnica.
8. Le credenziali sono disattivate anche in caso di perdita della
qualità che consente all'incaricato l'accesso ai dati personali.
9. Sono impartite istruzioni agli incaricati per non lasciare
incustodito e accessibile lo strumento elettronico durante una sessione
di trattamento.
10. Quando l'accesso ai dati e agli strumenti elettronici è consentito
esclusivamente mediante uso della componente riservata della
credenziale per l'autenticazione, sono impartite idonee e preventive
disposizioni scritte volte a individuare chiaramente le modalità con
le quali il titolare può assicurare la disponibilità di dati o
strumenti elettronici in caso di prolungata assenza o impedimento
dell'incaricato che renda indispensabile e indifferibile intervenire
per esclusive necessità di operatività e di sicurezza del sistema. In
tal caso la custodia delle copie delle credenziali è organizzata
garantendo la relativa segretezza e individuando preventivamente per
iscritto i soggetti incaricati della loro custodia, i quali devono
informare tempestivamente l'incaricato dell'intervento effettuato.
11. Le disposizioni sul sistema di autenticazione di cui ai precedenti
punti e quelle sul sistema di autorizzazione non si applicano ai
trattamenti dei dati personali destinati alla diffusione.
Sistema di autorizzazione
12. Quando per gli incaricati sono individuati profili di
autorizzazione di àmbito diverso è utilizzato un sistema di
autorizzazione.
13. I profili di autorizzazione, per ciascun incaricato o per classi
omogenee di incaricati, sono individuati e configurati anteriormente
all'inizio del trattamento, in modo da limitare l'accesso ai soli dati
necessari per effettuare le operazioni di trattamento.
14. Periodicamente, e comunque almeno annualmente, è verificata la
sussistenza delle condizioni per la conservazione dei profili di
autorizzazione.
Altre misure di sicurezza
15. Nell'àmbito dell'aggiornamento periodico con cadenza almeno
annuale dell'individuazione dell'àmbito del trattamento consentito ai
singoli incaricati e addetti alla gestione o alla manutenzione degli
strumenti elettronici, la lista degli incaricati può essere redatta
anche per classi omogenee di incarico e dei relativi profili di
autorizzazione.
16. I dati personali sono protetti contro il rischio di intrusione e
dell'azione di programmi di cui all'art. 615-quinquies del codice
penale, mediante l'attivazione di idonei strumenti elettronici da
aggiornare con cadenza almeno semestrale.
17. Gli aggiornamenti periodici dei programmi per elaboratore volti a
prevenire la vulnerabilità di strumenti elettronici e a correggerne
difetti sono effettuati almeno annualmente. In caso di trattamento di
dati sensibili o giudiziari l'aggiornamento è almeno semestrale.
18. Sono impartite istruzioni organizzative e tecniche che prevedono il
salvataggio dei dati con frequenza almeno settimanale.
Documento programmatico sulla sicurezza
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di
dati sensibili o di dati giudiziari redige anche attraverso il
responsabile, se designato, un documento programmatico sulla sicurezza
contenente idonee informazioni riguardo:
19.1. l'elenco dei trattamenti di dati personali;
19.2. la distribuzione dei compiti e delle responsabilità nell'àmbito
delle strutture preposte al trattamento dei dati;
19.3. l'analisi dei rischi che incombono sui dati;
19.4. le misure da adottare per garantire l'integrità e la
disponibilità dei dati, nonché la protezione delle aree e dei locali,
rilevanti ai fini della loro custodia e accessibilità;
19.5. la descrizione dei criteri e delle modalità per il ripristino
della disponibilità dei dati in seguito a distruzione o danneggiamento
di cui al successivo punto 23;
19.6. la previsione di interventi formativi degli incaricati del
trattamento, per renderli edotti dei rischi che incombono sui dati,
delle misure disponibili per prevenire eventi dannosi, dei profili
della disciplina sulla protezione dei dati personali più rilevanti in
rapporto alle relative attività, delle responsabilità che ne derivano
e delle modalità per aggiornarsi sulle misure minime adottate dal
titolare. La formazione è programmata già al momento dell'ingresso in
servizio, nonché in occasione di cambiamenti di mansioni, o di
introduzione di nuovi significativi strumenti, rilevanti rispetto al
trattamento di dati personali;
19.7. la descrizione dei criteri da adottare per garantire l'adozione
delle misure minime di sicurezza in caso di trattamenti di dati
personali affidati, in conformità al codice, all'esterno della
struttura del titolare;
19.8. per i dati personali idonei a rivelare lo stato di salute e la
vita sessuale di cui al punto 24, l'individuazione dei criteri da
adottare per la cifratura o per la separazione di tali dati dagli altri
dati personali dell'interessato.
Ulteriori misure in caso di trattamento di dati sensibili o giudiziari
20. I dati sensibili o giudiziari sono protetti contro l'accesso
abusivo, di cui all'art. 615-ter del codice penale, mediante l'utilizzo
di idonei strumenti elettronici.
21. Sono impartite istruzioni organizzative e tecniche per la custodia
e l'uso dei supporti rimovibili su cui sono memorizzati i dati al fine
di evitare accessi non autorizzati e trattamenti non consentiti.
22. I supporti rimovibili contenenti dati sensibili o giudiziari se non
utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere
riutilizzati da altri incaricati, non autorizzati al trattamento degli
stessi dati, se le informazioni precedentemente in essi contenute non
sono intelligibili e tecnicamente in alcun modo ricostruibili.
23. Sono adottate idonee misure per garantire il ripristino
dell'accesso ai dati in caso di danneggiamento degli stessi o degli
strumenti elettronici, in tempi certi compatibili con i diritti degli
interessati e non superiori a sette giorni.
24. Gli organismi sanitari e gli esercenti le professioni sanitarie
effettuano il trattamento dei dati idonei a rivelare lo stato di salute
e la vita sessuale contenuti in elenchi, registri o banche di dati con
le modalità di cui all'articolo 22, comma 6, del codice, anche al fine
di consentire il trattamento disgiunto dei medesimi dati dagli altri
dati personali che permettono di identificare direttamente gli
interessati. I dati relativi all'identità genetica sono trattati
esclusivamente all'interno di locali protetti accessibili ai soli
incaricati dei trattamenti ed ai soggetti specificatamente autorizzati
ad accedervi; il trasporto dei dati all'esterno dei locali riservati al
loro trattamento deve avvenire in contenitori muniti di serratura o
dispositivi equipollenti; il trasferimento dei dati in formato
elettronico è cifrato.
Misure di tutela e garanzia
25. Il titolare che adotta misure minime di sicurezza avvalendosi di
soggetti esterni alla propria struttura, per provvedere alla esecuzione
riceve dall'installatore una descrizione scritta dell'intervento
effettuato che ne attesta la conformità alle disposizioni del presente
disciplinare tecnico.
26. Il titolare riferisce, nella relazione accompagnatoria del bilancio
d'esercizio, se dovuta, dell'avvenuta redazione o aggiornamento del
documento programmatico sulla sicurezza.
Trattamenti senza l'ausilio di strumenti elettronici
Modalità tecniche da adottare a cura del titolare, del responsabile,
ove designato, e dell'incaricato, in caso di trattamento con strumenti
diversi da quelli elettronici:
27. Agli incaricati sono impartite istruzioni scritte finalizzate al
controllo ed alla custodia, per l'intero ciclo necessario allo
svolgimento delle operazioni di trattamento, degli atti e dei documenti
contenenti dati personali. Nell'àmbito dell'aggiornamento periodico
con cadenza almeno annuale dell'individuazione dell'àmbito del
trattamento consentito ai singoli incaricati, la lista degli incaricati
può essere redatta anche per classi omogenee di incarico e dei
relativi profili di autorizzazione.
28. Quando gli atti e i documenti contenenti dati personali sensibili o
giudiziari sono affidati agli incaricati del trattamento per lo
svolgimento dei relativi compiti, i medesimi atti e documenti sono
controllati e custoditi dagli incaricati fino alla restituzione in
maniera che ad essi non accedano persone prive di autorizzazione, e
sono restituiti al termine delle operazioni affidate.
29. L'accesso agli archivi contenenti dati sensibili o giudiziari è
controllato. Le persone ammesse, a qualunque titolo, dopo l'orario di
chiusura, sono identificate e registrate. Quando gli archivi non sono
dotati di strumenti elettronici per il controllo degli accessi o di
incaricati della vigilanza, le persone che vi accedono sono
preventivamente autorizzate. 
Sandro
http://alex2004.splinder.com

 Trattamenti con strumenti elettronici
<CUT>


riguarda dati sensibili.
Ovvero: il consenso è validamente prestato solo se [...] è documentato per
iscritto, ed è manifestato in forma scritta qunado il trattamento riguarda
dati sensibili.
Neanche facendo salti mortali con doppio avvitamento si riesce ad intuire
l'intenzione del legislatore (avrà avuto la sufficienza in italiano alle
medie? Ne dubito... ma questo è un altro discorso); quel che è certo è che,
nel dubbio, il consenso deve esser scritto.
Saluti              Archi

 medie? Ne dubito... ma questo è un altro discorso);
Capisco che i nostri legislatori sono bravissimi a scrivere in maniera
contorta, ma il comma 3 intende che è il "trattamento chiaramente
individuato" che deve essere documentato per iscritto, non il consenso!
L'unico problema del consenso non scritto e nel caso di accertamenti,
nel senso che potrebbero sorgere dubbi se il consenso sia stato dato o
meno. Però già con la legge sulla privacy si fanno girare tonnelate
di "inutili" fogli, risparmiamoci almeno quelli del consenso, che, e
non è un mio parere, non è dovuto. Un esempio tra i tanti in
internet:
http://www.dirittosuweb.com/aree/rubriche/record.asp?idrecord=939&cat=4&dn=@&idu=1
Sandro
http://alex2004.splinder.com

individuato" che deve essere documentato per iscritto, non il consenso!
In base alla grammatica italiana, il soggetto di quel "se è documentato per
iscritto" è inossidabilmente "Il consenso".
Prova a spezzare la frase:
Il consenso è validamente prestato solo
- se è espresso liberamente e specificamente in riferimento ad un
trattamento chiaramente individuato
- se è documentato per iscritto,
- e se sono state rese all'interessato le informazioni di cui all'articolo
13.
Che l'intenzione del legislatore sia stata diversa, è intuibile, ma questo è
quanto ha scritto...
Saluti            Archi

 quanto ha scritto...
Diciamo che non conosce l'uso delle virgole e che se le avesse messe
sarebbe stato tutto più semplice! :-)
Sandro
http://alex2004.splinder.com

In ogni modo ho scritto al garante della privacy per avere una parola
definitiva. Spero che abbiano tempo e voglia di rispondermi.
Nel caso vi farò sapere.
Grazie comunque ad entrambi per il cortese interessamento
//Antonio


 > alle clienti una liberatoria ?Non è "possibile": è INDISPENSABILE.
Assolutamente no. È sufficiente che il cliente sia informato sul
trattamento dati, anche in maniera verbale. Il consenso scritto è
richiesto solo ed esclusivamente per il trattamento di dati sensibili,
e non credo che sia il caso di un parrucchiere.
Il problema sorge solo in caso di eventuale denuncia o di segnalazione al 
garante. Spetterà infatti a te fornire la prova di aver compiutamente 
informato il cliente. E meglio far firmare un atto scritto. Io uso un 
prestampato dove il cliente firma dichiarando di aver ben compreso quanto 
comunicatogli.
