Newsgroup: it.discussioni.commercialisti
Titolo: domandine sulla privacy

Documento programmatico sulla sicurezza: il titolare dovra riferire della
redazione o dell'adeguamento del dps nella relazione accompagnatoria al
bilancio.
Due domande:
1) vale anche per i bilanci in forma abbreviata?
in questo caso la nota integrativa funge anche da relazione sulla gestione,
quindi secondo me si.
2) riguarda anche i bilanci al 31.12.2003? secondo me no

Sulla prima domanda sono d'accordo, la seconda, a mio avviso  se la Legge
196/2003 entra in vigore il 01.01.2004 l'applicherò nel 2005 riferito al
2004
"Valeria Dal Monte" <x...@xx.xx> ha scritto nel messaggio
news:zuJ2c.11031$z23.5...@news3.tin.it...


 ha scritto nel messaggio
news:cfV2c.13010$z23.6...@news3.tin.it...
  > Sulla prima domanda sono d'accordo, la seconda, a mio avviso  se la
Legge
  > 196/2003 entra in vigore il 01.01.2004 l'applicherò nel 2005 riferito al
  > 2004
  Sembra che la risposta sia si anche sulla seconda perchè il bilancio è
comunque redatto in vigenza della legge.
  --
  A.Colabattista

Mi scuso se uso questo thread per propororre un'altra domanda sullo stesso
tema: voi come vi state comportando per la redazione del dps da parte dei
vostri clienti?
-- 
=== LasVegas Maniax ===
Il Blog 
http://lasvegasmaniax.splinder.it
Il Gruppo 
http://it.groups.yahoo.com/group/lasvegasmaniax/

 ha scritto nel
messaggio news:wGV2c.15859$HO2....@news.edisontel.com...
  > Mi scuso se uso questo thread per propororre un'altra domanda sullo
stesso
  > tema: voi come vi state comportando per la redazione del dps da parte
dei
  > vostri clienti?
  Sta collaborando con il mio studio un ragazzo che si occupa della privacy.
Avevo già inviato ai miei clienti una circolare e, considerata l'entità
delle sanzioni, alla fine credo si adegueranno tutti o quasi.
  Il problema a mio avviso riguarda coloro che trattano i dati sensibili e
già una prima cernita dei nostri clienti si può fare tra quelli che sono
datori di lavoro o no, poichè coloro che trattano dati sensibili saranno
obbligati a redigere il documento ed aggiornarlo ogni anno. Gli altri anche
se non sono obbligati a redigerlo, comunque devono essere in regola con le
norme e, a mio modesto avviso, è opportuno che lo redigano comunque. Intanto
perchè sarà utile per fare un punto sulla situazione e poi, in caso di
rogne, possono sempre dimostrare di aver rispettato la legge sulla privacy.
  --
  A.Colabattista

   privacy. -- A.Colabattista
Mi confermi quello che temevo.
Obiettivamente devo ammettere che forse noi ci siamo mossi in modo troppo
blando da questo punto di vista coi nostri clienti.
E' reperibile online una bozza di dps?

 Gli altri anche se non sono obbligati a redigerlo, 
Se trattano dati personali con l'ausilio di strumenti elettronici sono
obbligati ad avere un DPS anche se non hanno dati sensibili (Art. 34
c.1 lettera g).
Solo per la precisione, perche' scritta cosi' sembra che se non hanno
dati sensibili non devono tenere il DPS.
Sergio Meinardi - Imperia
AIP # 2271 
www.aipnet.it

 comunque redatto in vigenza della legge.
mi sembra che su entrambi i punti ci stia sia la tesi *prudenziale*
(relazione accompagnatoria è un termine non tecnico, intendiamolo nel senso
più ampio) (meglio citare il dps, anche nei fatti di rilievo dei primi mesi
del 2004),
sia quella *minimale*
(relazione accompagnatoria, per di più non sempre obbligatoria, non può che
significare relazione sulla gestione! la nota integrativa è parte integrante
del bilancio, sempre obbligatoria) (la legge è 2004, quindi riguarda il
bilancio 2004)
l'interpretazione autentica la deve dare il garante, su queste questioni di
bilancio come pure sugli obbligati a notificare: anche lì sono d'accordo che
dalla semplice lettura della norma si possono intendere tutti gli
imprenditori! (chi non ha una banca dati/situazione patrimoniale/elenco
clienti)?
ma questo contrasterebbe con la ratio della nuova legge, che non prevede più
l'obbligo generalizzato, ma ridotto a "pochi casi" (vedi la newsletter del
garante giugno/luglio 2003 con cui presentava le caratteristiche della nuova
legge)... se i pochi casi sono tutti gli imprenditori...
intanto il sito del garante è in manutenzione da giorni! :-(
ciao
rosalba

 c.1 lettera g).
anche lì non è chiarissimo: l'art. 34 indica come obbligati al dps tutti
coloro che trattano dati (qualsiasi) con strumenti elettronici, mentre
l'all. B alla legge (disciplinare tecnico) riferisce il dps solo a che
tratta dati sensibili!
sono d'accordo che cautelativamente è meglio farlo, anche perchè le misure
minime di sicurezza sono utili in generale, ma un conto è l'obbligo, un
altro la mera facoltà (anche ai fini delle sanzioni civili e penali!)
ciao
rosalba romeo
dc ge


Io personalmente ho predisposto solo la mia dps e solo perchè nelle
dichiarazioni ho la scelta dell'8 per mille. Altri dati sensibili non li
tratto e quindi non ne avrei l'obbligo.
Ai miei clienti non predisporrò alcuna dps perchè ritengo di non essere in
grado di svolgere al meglio questo tipo di consulenza e consiglio di
rivolgersi ad un legale specializzato in materia.
Credo che se non si è più che competenti in questo ambito sia poco
professionale proporre una qualche consulenza.
Ciao
Ermanno

"Rosalba Romeo" <rosalb...@NOSPAMtin.it> ha scritto nel messaggio
news:YS_2c.8926$Hl1....@tornado.fastwebnet.it...

La risposta io la troverei nella parte in cui viene disposto che l'adozione
delle misure minime (tra le quali la lett. g) deve avvenire **nei modi
previsti** dal disciplinare tecnico contenuto nell'allegato B). Viene quindi
fatto riferimento al disciplinare tecnico.
E l'allegato B prevede la predisposizione del DPS in caso di trattamento di
dati sensibili o giudiziari.
Quindi per come è scritta, a me, sembrerebbe proprio che il DPS deve
obbligatoriamente essere redatto quando si sia in presenza di quei
particolari dati.
Ciao
Ermanno


 particolari dati.
rispetto assolutamente la tua interpretazione,
ma osservo comunque:
1) avrei preferito una legge scritta in modo piů chiaro e non per rinvii
2) in assenza di quanto sopra, ritengo doverosa una interpretazione del
garante (chiara e tempestiva) sul punto
chiedo troppo?!?
ciao :-)
rosalba

 professionale proporre una qualche consulenza.
Sono d'accordo, però una cosa è la predisposizione dell'impianto di
sicurezza, l'altro è l'adempimento di obblighi "burocratici" come il Dps
che, diciamocelo chiaro, saranno nella maggior parte dei casi (soprattutto
se prevale la lettura estensiva della norma) delle copie l'uno dell'altro
con poche personalizzazioni.
In quest'ottica, una volta individuato una buona base, sto buttando giù una
sorta di check list di domande da fare al cliente per adeguare il Dps alla
sua sitauzione interna.


 chiedo troppo?!?
E se il garante desse una interpretazione contro legge? :-)
Voglio sperare che l'unico competente a dare una interpretazione autentica
di una legge sia ancora il legislatore :-) .... ma non si sa mai ... con le
arie che tirano potrebbero aver dato questo compito anche al garante :-))
Ciao
Ermanno

 ha scritto nel messaggio
news:ktro409buvfvqgo5f...@4ax.com...
  > Se trattano dati personali con l'ausilio di strumenti elettronici sono
  > obbligati ad avere un DPS anche se non hanno dati sensibili (Art. 34
  > c.1 lettera g).
  Per la precisione, l'art. 34 parla dell'adozione delle misure minime e non
della redazione del documento, che sono due cose distinte. Quindi mi spiego
meglio: le misure minime devono adottarle tutti in relazione al tipo di dati
trattati. La redazione del documento programmatico è fatto obbligo solo a
coloro che trattano i dati sensibili. A mio parere, lo ripeto, è  comunque
opportuno redigere  il documento in tutti i casi.
  Tra l'altro sono ben pochi gli esonerati.
  Già il fatto di avere dei dipendenti presuppone che l'azienda tratti dati
sensibili.
  --
  A.Colabattista

  "Ermanno Manuali" > Ai miei clienti non predisporrò alcuna dps perchè
ritengo di non essere in
  > grado di svolgere al meglio questo tipo di consulenza e consiglio di
  > rivolgersi ad un legale specializzato in materia.
  > Credo che se non si è più che competenti in questo ambito sia poco
  > professionale proporre una qualche consulenza.
  Concordo con quanto tu dici, però non puoi disinteressarti della cosa
perchè, almeno i miei clienti, non stanno facendo nulla e ce ne sono alcuni
che dovranno anche fare la notifica. Tra l'altro non ci sono molte
professionalità, almeno quì in zona, e quindi alla fine mi sono decisa ad
aiutarli chiedendo la collaborazione esterna di una persona. Se ci tieni
alla "salute" dei tuoi clienti non puoi ignorare completamente la cosa.
  --
  A. Colabattista

 di una legge sia ancora il legislatore :-) ....
azz... qui mi sono fatta beccare! ma sai com'è, mutuando dal campo fiscale
dove c'è la nota de-legificazione e si legifera ormai con circolare...
tenuto conto che ai sensi del capo III i
controlli/accertamenti/accessi/ispezioni/verifiche li esegue di base
l'ufficio del garante, avvalendosi ove necessario della collaborazione di
altri organi dello stato...
ok, meglio se il legislatore inserisce anche queste interpretazioni
autentiche in un qualunque decreto omnibus, ma nel frattempo anche il
garante non è male (tenuto conto che il nuovo codice integra nella legge
varie interpretazioni date dal garante in questi anni di applicazione della
norma previgente)
in ogni caso ti do assolutamente ragione ;-)))
ciao
rosalba

 elettronici) rinviando *per le modalità tecniche* all'allegato B
Appunto. L'art. 34 prevede a quali condizioni si possa effettuare il
trattamento elettronico dei dati. Infatti prevede che, sulla base delle
modalità previste nell'allegato (disciplinare tecnico), debbano essere
tenute le misure minime previste alle lettere elencate nel c. 1.
Ovvio quindi che occorra fare riferimento all'allegato (che non a caso si
chiama "disciplinare tecnico in materie di misure minime di sicurezza) per
capire quando e come predisporre le misure di sicurezza. Perchè è in questo
allegato che vengono disciplinate le misure di sicurezza.
Ora, per fare un es. su altro aspetto, se nell'allegato fosse detto che
l'autenticazione informatica debba essere effettuata solo in una determinata
ipotesi e non in un'altra tu cosa ne dedurresti?
Dedurresti che il legislatore ha ritenuto opportuno che solo in quella
particolare ipotesi occorra procedere all' "autenticazione informatica" e
non nell'altra.
In questo caso è stato previsto che uno degli elementi di sicurezza sia la
predisposizione del DPS. Ma questa misura di sicurezza deve essere presa nei
modi previsti dall'allegato destinato a disciplinare proprio il DPS (tra le
altre misure di sicurezza).
E questo disciplinare prevede la redazione del DPS entro il 31/3 da parte
dei soggetti che trattano dati sensibili o dati giudiziari.
Mi pare chiaro quindi che il legislatore abbia voluto prevedere questo
obbligo solo per quei particolari soggetti.
Se avesse voluto prevedere il DPS per tutti i soggetti che trattano i dati
tramite pc (qualsiasi dato) non avrebbe specificato che chi redige il DPS,
entro il 31/3 di ogni anno, debba essere il titolare di un trattamento di
dati sensibili o giudiziari.
Un significato dovremo pur darlo alle disposizioni che ci apprestiamo a
leggere.
E soprattutto l'interpretazione deve essere data dando un senso ed un valore
a quanto scritto.
Se si interpretasse che tutti i soggetti devono redigere il DPS allora il
legislatore avrebbe dettato una disposizione inutile.
Quindi, a mio parere, nessun disallineamento tra le norme ma coordinamento
tra le stesse.
Una norma generale che prevede le misure di sicurezza e che "demanda"
all'allegato "(DISCIPLINARE TECNICO") le modalità di attuazione (il quando e
il come) delle misure di sicurezza.
Ciao
Ermanno

 quindi secondo me si.
ciao scusami se mi permetto ma mi sembra che la norma sia chiara su
questa cosa:
Allegato B, punto 26. Il titolare riferisce, nella relazione
accompagnatoria del bilancio d'esercizio, se dovuta, dell'avvenuta
redazione o aggiornamento del documento programmatico sulla sicurezza.
"relazione accompagnatoria [...], se dovuta" e dal momento che nel
caso del bilancio in forma abbreviata non è dovuta non vedo perchè
mettere l'informazione in nota integrativa
dopo da un punto di vista "prudenziale" forse sarebbe meglio mettere
comunque il riferimento. però faccio fatica a vedere un obbligo
legislativo
il "se dovuta" mi fa pensare che la relazione cui si riferisce la
norma sia una relazione opzionale, e la nota integrativa non è
facoltativa...
voi che ne dite?  ho preso una cantonata?

  "Ermanno Manuali" <ermannoma...@CAVAtin.it> ha scritto nel messaggio
news:H713c.18081$O31.8...@news4.tin.it...
  >
  > E questo disciplinare prevede la redazione del DPS entro il 31/3 da
parte
  > dei soggetti che trattano dati sensibili o dati giudiziari.
  > Mi pare chiaro quindi che il legislatore abbia voluto prevedere questo
  > obbligo solo per quei particolari soggetti.
  > Se avesse voluto prevedere il DPS per tutti i soggetti che trattano i
dati
  > tramite pc (qualsiasi dato) non avrebbe specificato che chi redige il
DPS,
  Concordo. Infatti ad un altro post avevo dato la stessa risposta. Poi che
uno straccio di DPS sia opportuno redigerlo è diverso, ma non vi è obbligo
se non nel caso di trattamento di dati sensibili.
  --
  A.Colabattista

 altri organi dello stato...
In proposito mi pare che ad oggi ci sia solo una convenzione con la gdf.
Sarebbe interessante, per evitare facili abusi, che il Garante chiarisse meglio le modalità di
accesso, le forme di riconoscimento da adottare, i tempi massimi e via andare.
Adriano

 che dovranno anche fare la notifica.
Dal sito del Garante leggo:
"Con il codice [...] la notificazione è stata semplificata"
Il modello da inviare al G è composto da 86 pagine!!!
Prima della semplificazione cosa si mandava al G, un volume della treccani?
Adriano

quindi secondo me si.
Concordo pienamente che la norma vada intesa in questo senso piu'
ampio di generico obbligo di riferirne nella relazione sulla gestione.
Tra l'altro, a prescindere da dove se ne debba riferire, vorrei
sottolineare che l'adozione del documento programmatico rappresenta la
prima prova dell'adeguamento alle norme minime sulla sicurezza dei
dati,
In assenza di questo  Documento, in caso di controlli (poco probabili)
o contestazioni da parte di terzi i cui dati si trattano (molto piu'
probabile) sarà in pratica impossibile difendersi da accuse di aver
violato la legge sulla privacy.
Stesso discorso vale anche per l'informativa sulla privacy. 
Nei casi previsti dall'art. 24 del Codice (nei quali ricadono molte
delle attività di trattamento svolte nella vita pratica da
un'azienda), infatti, non è necessario ottenere preventivamente il
consenso dall'interessato, tuttavia occorre comunque fornire adeguata
informativa, eventualmente anche in forma semplificata.
Pertanto, IMHO, informativa e DPS sono i requisiti minimi per stare a
posto -almeno sulla carta (in questa nuova "burocrazia digitale")- nei
confronti della legge. In assenza di questi la propria posizione
diventa assai difficile da difendere.
Poi, se si volessero applicare per bene quanto previsto nel famigerato
allegato B, allora ci sarebbe da discutere anche degli adempimenti di
certificazione di conformità da parte dei fornitori (es.: chi installa
Winzoz, l'antivirus, la rete, il firewall, ecc. ecc. ecc.)....
E qui, con tutte le varie userid ADMIN/ADMIN, ADMIN/123456, ROOT/ROOT,
gli antivirus con aggiornamenti risalenti alla guerra dell'Iraq (la
prima), computer Windows 98 dove premi ESC e salti la password, che ci
sono in giro ci sarebbe proprio da fare un bel po' per la sicurezza
minima....
Basti pensare che la Telecom lascia il 90% dei router Pirelli (quelli
che usano per le Smart) con la password di default....cosi' la
manutenzione da remoto e' piu' semplice :-)
O che dire di tutti quei bei siti in hosting su server Windows che
tengono i dati degli iscritti alle loro mailing list in un bel
database Access che puo' essere tranquillamente downloadato andandosi
a guardare un poco il codice HTML?
Obblighi che sarebbero a carico anche della P.A. (Comuni, Tribunali,
Ospedali, ecc..)
Scusa se sono andato un po' OT.
Saluti,
Luca 
Comunque.....veramente il futuro è degli ingegneri
gestionali...tornassi a nascere :-(