Newsgroup: it.diritto
Titolo: Devo fare il DPSS anch'io?

Se assumessi un lavoratore sarei sicuramente obbligato a fare il Documento 
Programmatico Sulla Sicurezza?
Qualcuno mi ha detto di sě in quanto tratterei necessariamente dei dati 
"sensibili" che sarebbero, nello specifico, quelli della visita medica 
obbligatoria annuale.
Nell'art. 4 del D.lgs. 196/2004 la definizione di "dati sensibili" include i 
dati personali idonei a rivelare lo stato di salute.
Secondo voi sono dati sensibili quelli in questione? si puň gestire 
lecitamente un dipendente senza incorrere in trattamento di dati sensibili?
Vale

 sensibili?
Credo proprio di no. Anche solo i certificati di malattia... 


Tuttavia va ricordato che il DPSS deve essere fatto se l'azienda tratta con 
strumentazione informatica i dati sensibili, in caso contrario - e questo 
però vale anche se il dipendente non c'è - devono comunque essere rispettate 
le Misure minime di sicurezza
MM 

 rispettate le Misure minime di sicurezza
...e qui si rientra in un problema già da tempo sollevato su due norme non 
coordinate del codice.
In pratica anche se non utilizzi strumenti informatici, dovresti comunque 
redigere il mansionario e una sorta di libro delle procedure. Nella pratica 
non divergerebbe poi molto da un dps molto stringato, quindi tanto vale 
redigerlo.
Ferme restando:
-informative
-eventuali consensi
-lettere di nomina degli incaricati 

 stringato, quindi tanto vale redigerlo.
** In un atteggiamente estremamente pragmatico, confermo (penso si riferisse 
a quanto disposto dalla'rt. 35). Ricordando, pero', che il DPS, per 
trattamenti non elettronici, non e' obbligatorio.
In effetti, testo del decreto e allegato B non vanno tanto d'accordo. Ci 
sono dei *buchi*, come quello relativo al DPS.
Un saluto.
-- 
Daniele Minotti
dan...@minotti.net
 

La definizione normativa di cui all'art. 4 D.lgs 196/2003 di "dati 
sensibili" è: "i dati personali idonei a rivelare l'origine razziale ed 
etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni 
politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a 
carattere religioso, filosofico, politico o sindacale, nonchè i dati 
personali idonei a rivelare lo stato di salute e la vita sessuale"
La formulazione letterale "lo stato di salute E la vita sessuale" non 
andrebbe interpretata nel senso che solo se sono vere entrambe le condizioni 
(salve le altre ipotesi che precedono) si configura la sensibilità del dato?
altrimenti (...accidenti alla sua maestra di italiano in questo caso!) 
perchè il Garante non ha usato la "o" invece della "e"?
Se fosse valida la mia prima ipotesi, i soli fatti medici del dipendente pur 
se trattati elettronicamente non implicherebbero trattamento di dati 
sensibili e quindi obbligo di DPSS!
PS: a parte il fatto che, salvo patto o CCNL contrario, il lavoratore è 
obbligato secondo legge del 1981 a dare al datore solo la prognosi (data di 
inizio e di fine...) della malattia e non la diagnosi, e quindi l'idoneità a 
rivelare lo stato di salute sarebbe alquanto lieve...
Vale 

> In effetti, testo del decreto e allegato B non vanno tanto d'accordo.
Ti riferisci all'incongruenza dell'art. 34 punto g con l'all. B, chiarita 
però in almeno un parere ed un comunicato del Garante nel senso che vale 
solo la statuizione dell'all. B (cioè l'obbligo del DPSS è solo per chi 
tratta dati sensibili o giudiziari)?
Vale 

 riferisse a quanto disposto dalla'rt. 35).
Conoscete qualche guida, formulario o dottrina o discussione valida sugli 
adempimenti di cui all'art. 35, che riporto qui sotto?
"Art. 35. Trattamenti senza l'ausilio di strumenti elettronici
1. Il trattamento di dati personali effettuato senza l'ausilio di strumenti 
elettronici è consentito solo se sono adottate, nei modi previsti dal 
disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:
a) aggiornamento periodico dell'individuazione dell'ambito del trattamento 
consentito ai singoli incaricati o alle unità organizzative;
b) previsione di procedure per un'idonea custodia di atti e documenti 
affidati agli incaricati per lo svolgimento dei relativi compiti;
c) previsione di procedure per la conservazione di determinati atti in 
archivi ad accesso selezionato e disciplina delle modalità di accesso 
finalizzata all'identificazione degli incaricati."
Vale 

 perchè il Garante non ha usato la "o" invece della "e"?
Ho una visione!
Leggete l'inizio del punto b e del punto c dell'art. 37:
Art. 37. Notificazione del trattamento
1. Il titolare notifica al Garante il trattamento di dati personali cui 
intende procedere, solo se il trattamento riguarda:
 a) dati genetici, biometrici o dati che indicano la posizione geografica di 
persone od oggetti mediante una rete di comunicazione elettronica;
 b) dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a 
fini di procreazione assistita, prestazione di servizi sanitari per via 
telematica relativi a banche di dati o alla fornitura di beni, indagini 
epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, 
sieropositività, trapianto di organi e tessuti e monitoraggio della spesa 
sanitaria;
 c) dati idonei a rivelare la vita sessuale o la sfera psichica trattati da 
associazioni, enti od organismi senza scopo di lucro, anche non 
riconosciuti, a carattere politico, filosofico, religioso o sindacale;
Ritenete il soggetto legislante così coglione da aver usato gli articoli "e" 
nel caso b) ed un battito di ciglia dopo "o" nel caso c) senza voler 
implicare diversità logica nel significato della frase?
Vale