Newsgroup: it.diritto
Titolo: privacy e manutenzione e assistenza sistemi informatici

salve,
mi occupo di privacy e sto cercando di "certificare" alcune aziende nella
mia zona.
Ho riscontrato il seguente problema pratico, non solo interpretativo della
legge 196/2003, giro a voi la problematica.
PROBLEMA:
Le aziende si affidano spesso per la gestione dei loro sistemi informatici
ad aziende esterne che curano, oltre alla fornitura dell'hardware e del
software, anche la manutenzione e l'assistenza.
All'interno di questo rapporto contrattuale di fatto si verificano casi che
a rigor di logica dovrebbero essere sempre considerati "trattamento di dati
personali", visto la definizione piuttosto estesa riportata nella legge.
Ad esempio:
- ritiro di un pc guasto per la riparazione (vanno a spasso i trattamenti di
dati personali del cliente)
- assistenza su software dal cliente (magari su un gestionale paghe o altro)
- teleassistenza
- attività di backup anche remote
penso che sia difficilmente dimostrabile che i casi qui sopra non rientrino
nella definizione di "tratttamento di dati personali".
Il problema è: a che titolo il dipendente della ditta esterna accede ai dati
personali trattati dal cliente?
Teoricamente la persona dovrebbe essere nominata incaricata dall'azienda
Cliente, assieme a tutti i suoi colleghi, ma la strada più semplice sembra
quella di nominare l'azienda informatica "Responsabile del trattamento di
dati" (essendo persona giuridica, gli incaricati possono essere solo persone
fisiche) e a cascata far nominare gli incaricati dal Titolare del
trattamento dei dati della società informatica.
Ebbene, dopo aver consigliato in questo senso alcuni miei clienti, questi si
sono visti recapitare una raccomandata dall'azienda con la quale hanno in
corso un contratto di manutenzione ed assistenza, nella quale questi si
rifiutavano di accettare la nomina a Responasbile del trattamento dei dati e
le condizioni indicate (nomina degli incaricati e rispetto della normativa
196/2003 in particolare l'allegato B).
Vorrei sapere se altri hanno avuto lo stesso problema e come lo hanno
affrontato.
grazie
Diego


Le possibilità a mio avviso sono due
1) identificare un trattamento esterno dei dati, che sarà eventualmente 
autorizzato dagli interessati e inserito nelle informative
2) incaricare i manutentori per il trattamento sotto la responsabilità 
ovviamente della ditta "cliente" e non certo del manutentore
E se uno ha due ditte di manutenzione cosa fa ? Nomina due Responsabili ?
Scusa ma la soluzione da te individuata mi sembra ... quanto meno bizzarra
MM 

 ha scritto nel messaggio 
news:SrgAd.580986$35.24...@news4.tin.it...


 limitazioni tu possa trovare.
Ad esempio il fatto che nessuno abbia voglia di diventare gratuitamente 
responsabile del trattamento dati di un cliente, anche se fosse solo per 
alcuni archivi.
E che abbiano sbattuto la porta in faccia ai tuoi clienti
MM

 ha scritto nel messaggio 
news:GczAd.343259$b5.16...@news3.tin.it...


 autonoma su quei trattamenti dei dati.
Trattamento esterno dei dati. B dimostra ad A di rispettare le misure minime 
di sicurezza e i clienti di A sono informati del fatto che i loro dati 
possono essere comunicati all'esterno per le finalità del caso (obblighi 
contabili, manutenzione sistema informatico ecc.)
Questo vale anche se B è un commercialista ad esempio
MM 

 finalizzato alla conservazione dei dati
Si è vero. Partiamo da presupposti diversi pero'.
Secondo me la Ditta B deve essere responsabilizzata e messa nelle condizioni 
di operare con tutti i vincoli necessari.
Supponiamo che la ditta A sia un medico di base che fa trattamento di dati 
sensibili. Si rompe il computer del medico e questo chiama la ditta B che 
viene e glielo ritira portandolo in assistenza per la riparazione. 
Cavolo...conservazione dei dati? mi sembra un po' stretta come definizione.
Sarà bene che la ditta B prenda tutte le cautele, e nel caso faccio un 
esempio sostituisca il portatile con un'altro nuovo, provveda a trasportare 
i dati ed eliminare i vecchi supporti, evitando che tali dati vengano 
comunicati a terzi anche involontariamente. Pero' la casistica è davvero 
estesa, basta un po' di fantasia.
E' poi c'è il problema di acquisire il consenso scritto magari di migliaia 
di persone, un medico di base ad esempio ha generalmente un migliaio di 
pazienti come riferimento, non può mica chiamarli uno per uno e farsi 
firmare un consenso scritto, dal bambino alla vecchietta.
Tu parti invece dal presupposto che il consenso venga sempre e comunque 
richiesto.
Così facendo qualsiasi ditta dovrebbe richiedere il consenso scritto ai 
propri clienti per poter comunicare i loro dati personali a società esterne, 
ma non mi sembra che questa sia la prassi adottata. Io sinceramente finora 
non ho avuto nessuna richiesta di consenso al trattamento dei dati da parte 
dei miei fornitori, sono solamente pervenute informative ai sensi dell 
art13.
Io vedo 2 strade ma sinceramente preferisco la prima:
1) nomina responsabile esterno e quindi nessuna richiesta di consenso agli 
interessati (perchè tutto avviene all'interno del contratto con 
l'interessato e il responsabile esterno risponde direttamente al titolare 
del trattamento dei dati )
2) comunicazione dei dati all'esterno previa acquisizione del consenso 
scritto per quella specifica finalità
ciao
Diego 

 firmare un consenso scritto, dal bambino alla vecchietta.
Il tuo medico non ti ha dato l'informativa ? Non l'ha esposta almeno nello 
studio ?
Non mi sembra di aver mai parlato di consenso generalizzato, semmai di 
informare che i dati - nel caso che tu hai ipotizzato - potrebbero essere 
comunicati a centri di assistenza per pure attività di manutenzione tecnica, 
senza alcun trattamento illecito.
I casi in cui il consenso non è necessario sono quelli dell'art. 24
Mi pare che in una informativa sia necessario - o quanto meno importante se 
si vogliono fare le cose bene - precisare se viene fatta comunicazione a 
terzi dei dati, anche se avviene per un obbligo di legge - in questo caso il 
medico è obbligato dalla legge sulla privacy a far riparare il portatile per 
non perdere i dati. Quindi non sarebbe necessario il consenso in questo caso 
specifico.
Certo, se il terzo diventa responsabile del trattamento, non è una 
comunicazione a terzi. Ma ci complichiamo inutilmente la vita.
ciao 

 Anche se la definizione legale può essere diversa. [...]
Rilevo che la discussione in oggetto e' molto controversa...
La seguo dal giugno scorso e le interpretazioni emerse sono, in sistesi, le
due da voi sostenute.
Vorrei porre una domanda.
La ditta A affida in outsourcing alcuni dati alla ditta B (la ditta B e' una
societa'), nella fattispecie la manutenzione del sistema informatico.
Nel caso in cui *non* avvenga una nomina a Responsabile esterno, la ditta A
dovrebbe nominare i dipendenti della ditta B come Incaricati.
Riprendendo l'esempio del computer ritirato dalla ditta B per la riparazione
nel proprio laboratorio, come puo' la ditta A nominare l'incaricato che lo
ripara, dal momento che non sa' chi sia?
Inoltre l'incaricato e' colui che opera sotto la diretta autorita' del
titolare (ditta A), il che non puo' essere dal momento che tale incaricato
e' un dipendente della ditta B (voglio dire che e' difficile che la ditta A
possa "comandare" all'operaio della ditta B, il quale prendera' ordini solo
dai suoi soperiori).
E' prevista inoltre la formazione dell'incaricato, cosa ardua dal momento
che la ditta A nemmeno lo vede il riparatore (lavoratore dipendente della
ditta B, che aggiusta il computer nel laboratorio nella sede di B).
In questo caso e' sufficiente invocare un trattamento in outsourcing o e'
necessario nominare Responsabile la ditta B, la quale, al suo interno, avra'
nominato i propri dipendenti come incaricati?
Romano.

 Romano.
invocando solo il trattamento in outsourcing manca comunque 
l'"autorizzazione" per la società B o i suoi dipendenti ad operare su tale 
trattamento.
Difficile configurare una titolarità congiunta, praticamente impossibile far 
nominare gli incaricati di B da parte di A, l'unica soluzione possibile che 
vedo è quella di nominare la società B "Responsabile del trattamento". Sarà 
la società B in qualità di "resposanbile" a nominare i propri dipendenti 
"incaricati"
Vorrei chiarire un altro aspetto, anzi, sollevare ulteriormente dubbi.
Si tende a generalizzare e semplificare il trattamento di dati nel rapporto 
cliente/fornitore.
Secondo me bisogna distinguere due casi:
supponiamo che la ditta A sia il cliente e la ditta B il fornitore
1) se la ditta B tratta solo dati della ditta A (cioè solo della persona 
giuridica A) allora non è necessario il consenso ai sensi dell'art 24 (punto 
b, contratto del quale è parte l'interessato, caso tipico quando si verifica 
un rapporto cliente/fornitore)
2) se la ditta B tratta dati della ditta A e dati di terzi (interessati) che 
la ditta A gestisce (altri fornitori, clienti, dipendenti, ecc), allora
    - soluzione a) la ditta A acquisisce il consenso scritto da parte di 
tutti gli interessati di cui effettua il trattamento di dati, chiedendo nel 
consenso l'autorizzazione a far trattare i dati anche a B
    - soluzione b) la ditta A non acquisisce il consenso scritto da parte 
degli interessati (supponiamo facoltativo visto che fanno tutti parte di un 
contratto), ma nomina la ditta B "Resposanbile del trattamento" in quanto 
gli affida dei compiti in outsourcing (compresa l'assistenza ai 
computer...). In questo caso la ditta A che ha la titolarità sui dati 
personali, nomina B Resposanbile. La persona giuridica B, in qualità di 
Resposnabile del t.d.d. e in qualità di Titolare del trattamento di dati 
autonomo (propri dati e dati affidati in outsourcing dai clienti), nominerà 
i propri incaricati e applicherà tutte le disposizioni previste 
nell'allegato B. Questo non significa ad esempio che B è resposnabile del 
backup setttimanale di A, semplicimente all'interno del rapporto 
contrattuale tra A e B e limitatamente alle finalità indicate nella lettera 
di nomina a Resposanbile del t.d.d., B sarà tenuto a far lavorare i propri 
Incaricati nel rispetto delle norme, sia quando questi operano sui dati 
trattati da B per proprio conto, o da B per conto di A.
diego

 dovrebbe nominare i dipendenti della ditta B come Incaricati.
E' la ditta B a nominare come incaricati i propri dipendenti e a fare la 
relativa formazione.
Infatti in questo caso la ditta B effettua per contratto il trattamento di 
dati provenienti da A
MM

 effettua per contratto il trattamento di dati provenienti da A
Pertanto la ditta B assume la titolarita' del trattamento, dal momento che
e' compito del Titolare nominare gli incaricati.
Ma il Titolare deve anche rendere l'informativa ex art.13 agli interessati.
E l'interessato in questo caso chi e': la ditta A o i "proprietari" dei dati
gestiti da A?
Nel primo caso, la ditta B consegnerebbe una sola informativa alla ditta
A...
Ma nel secondo caso, facendo un rapido calcolo, il negozio di informatica
che ripara il computer di un commercialista dovrebbe consegnare
l'informativa (e raccogliere il relativo consenso per i dati sensibili/
giudiziari) di:
- "n" clienti del commercialista (es. 50) moltiplicato per "n" clienti,
fornitori, dipendenti, collaboratori, ecc...di ciascun cliente del
commercialista (es. 100), per un totale di 5.000 informative, solo per aver
aggiustato 1 computer di 1 commercialista. Senza contare che il negozio di
informatica avra' con ogni probabilita' piu' di un cliente...
A questo punto spero sia corretta la prima soluzione...

 ha scritto nel messaggio 
news:crb70n$h8e$1...@news.ngi.it...


 gestiti da A?
Gli interessati di A sono stati informati da A che esistono forme di 
trattamento esterno  conformi al codice.
Ovviamente B nel caso faccia manutenzione ad una banca dati o ad un supporto 
forse nemmeno legge i dati ivi contenuti.
Ma non avete mai applicato in una ditta che sia una il codice ? O vi siete 
bloccati subito visto che i trattamenti esterni sono presenti quasi sempre ? 
Questo perché dalle vostre osservazioni traspare una conoscenza teorica 
dell'argomento ma dal punto di vista dell'applicazione pratica mi sembra che 
manchi qualcosa
Cordialità
MM