Newsgroup: it.diritto
Titolo: Privacy e siti web non commerciali...

Salve,
con l'entrata in vigore del nuovo codice sulla privacy, come bisogna
comportarsi con i siti web personali che magari contengono semplici
registrazioni al forum o aree riservata o l'ancor più semplice form di invio
comunicazioni ? Parlo di siti web che comunque non sono legati a nessuna
società e non hanno alcuno scopo di lucro. Forum equivalenti alle
chiacchiere da bar...
La nuova legge sulla privacy prevede la notifica al garante del trattamento
dei dati, quanlunque sia il fine ed il metodo di raccolta, ma questa
notifica costa 150 euro, più la certificazione della obbligatoria firma
digitale che non so quanto costa.
Possibile che oggi un gruppo di amici che vuole farsi un forum debba
scontrarsi con queste spese non traendone alcun vantaggio, soprattutto
quando raccoglie nominativi forniti spontaneamente senza obbligo alcuno ?
La notifica è comunque obbligatoria anche senza lo scopo di lucro ? Il sito
del garante non è molto chiaro in questo, parla di molte categorie, ma
questa non è specificata.
Grazie.

 salvo nel caso dei giornalisti e di dati giudiziari.
Il tipo di dato.... sono i soliti forum, ce ne saranno a migliaia sul
web.... il fine qual'è ? quello di profilare l'utenza e magari spingere
argomenti e/o pagine sul sito che possano interessare i fruitori... tutto
qui.
Per eventuali mailing list si chiede il consenso... penso che siamo a posto,
o sbaglio ?
Il DPSS deve essere online o basta conservarlo e pubblicare esclusivamente
l'informativa ?
Grazie della tua disponibilità.
Ciao

 iniziare ad effettuarli e con estremo rigore ...
Lo so !!!
Comunque.. che tristezza...

 
Non è proprio così, Art.5 comma 3 del Testo unico:
"3. Il trattamento di dati personali effettuato da persone fisiche per 
fini esclusivamente personali è soggetto all'applicazione del presente 
codice solo se i dati sono destinati ad una comunicazione sistematica o 
alla diffusione. Si applicano in ogni caso le disposizioni in tema di 
responsabilità e di sicurezza dei dati di cui agli articoli 15 e 31."
L'art.15 stabilisce il principio di risarcimento del danno "per 
relationem" all'art.2050 C.C., mentre l'art.31 fa obbligo di adottare 
misure  di sucurezza tali da ridurre i rischi di distruzione, perdita o 
accesso non autorizzato ai dati in relazione "alle specifiche 
caratteristiche del trattamento". Nel caso di un'agenda personale o del 
cellulare potrebbe bastare solo un po' di attenzione nel non lasciarli 
incustoditi.
Ciao

 incustoditi.
Quindi nel caso di siti web che rientrano nella categoria di cui abbiamo
parlato, se i dati non vengono utilizzati x essere comunicati
sistematicamente, e sono accessibili solo all'amministratore del sistema,
non dovrebbero esserci problemi, o sbaglio ?

 
Potenzialmente potresti, a mio parere, rientrare nella categoria sopra 
descritta ma vedo comunque qualche problema all'orizzonte...
Giusto per parlare, disegniamo il seguente scenario.
Innanzitutto immagino che i dati siano accessibili a te (come 
administrator del forum o di quant'altro) e all'amministratore di 
sistema dei server su cui il sito presumo sia in hosting (a meno che tu 
abbia un server dedicato gestito da te stesso).
Le persone a conoscenza dei dati sono quindi almeno due, questo ti 
espone al rischio di una "mossa" scorretta del provider che, per puro 
esempio, potrebbe decidere di utilizzare le mail memorizzate per fare 
spamming.
A questo punto, un iscritto al tuo forum, potrebbe decidere di far 
valere i propri diritti ex art.15, tu ti troveresti nella condizione di 
dover dimostrare di "aver fatto tutto il possibile per evitare il 
danno": non credi che aver adottato una chiara politica di privacy, 
redatto il DPsS e rispettato le misure minime di sicurezza possa giovare 
alla tua causa?

 alla tua causa?
Certamente, ma mentre redarre il DPSS e rispettare le misure minime ha dei
costi minimi... già fare i backup settimanali ha altri costi.
Potrei sempre criptare il DB, ma tanto se le pagine asp sono li nello stesso
server, il provider potrebbe anche rubarsi il codice e decodificare il
contenuto...
Ma a che pro ?? Il provider fornisce quasi sempre anche servizi di mail...
quindi lo spam lo può fare sempre e comunque alle caselle note... o basta
monitorare il traffico degli utenti per vedere quali indirizzi passano...
Io ripeto che si sta esagerando un po.
Il DPSS lo farò... ma per i backup in cassetta antincendio.... non credo
proprio

 Per cui rimango del parere che provveda in merito ...
Grazie di tutto, provvederň in futuro a rispettare quanto hai detto.
Ciaoo

 Ciao
Sono d'accordo anch'io, vedi quello che ho scritto nel mio secondo post.
Vorrei comunque sottolineare è che la cosa + importante che Mario deve 
fare con il DPsS è dimostrare di aver gestito il rischio in relazione 
alla specificità del trattamento, una gestione possibile del rischio può 
anche essere "l'ignorarlo", a patto di giustificare questa scelta.
Sulle misure minime, chiaramente, non si può transigere (altrimenti non 
sarebbero "minime"...), ma nel suo caso quello che deve fare è in 
maggior parte ribaltare sull'hosting la relativa certificazione. A lui, 
sempre secondo me, non dovrebbe restare nulla più di una custodia 
diligente della sua password di administrator e un backup almeno 
settimanale dei DB.
Riguardo alla conservazione dei backup, non riesco proprio a trovare 
nell'Allegato B nessun riferimento ad eventuali modalità imposte dalla 
Legge, l'unico obbligo è che  idati siano ripristinati nel + breve tempo 
possibile e non oltre i 7 giorni, di cassette di sicurezza o antincendio 
non c'è traccia.
Ciao