Newsgroup: it.discussioni.commercialisti
Titolo: DPS: Sondaggio su consulenti e professionisti

Ciao a tutti,
di post sull'argomento ne abbiamo scritto fino alla nausea.
Alcune interpretazioni dalla norma restano però ancora "non univoche".
Ad esempio: per la gestione dei dati da parte di professionisti e consulenti 
(commercialista, consulente del lavoro, medico del lavoro, ecc.)
voi come l'avete formalizzato?
1- li avete considerati dati ceduti in outsourcing e quindi li avete 
indicati nella regola 19.8 dell'eventuale DPS, considerandoli TITOLARI 
autonomi del trattamento anche per i dati che gli avete passato;
2- li avete nominati RESPONSABILI ESTERNI del trattamento e quindi gli avete 
conferito un incarico per iscritto e fatti rientrare nell'organigramma dei 
soggetti che avete individuato per il trattamento;
3- li avete nominati INCARICATI al trattamento, sempre per iscritto, 
considerandoli alla stregua di un dipendente del titolare?
Ne ho letto di tutte le maniere, ma il dubbio di interpretazione comunque mi 
resta.
Io personalmente ho optato per la soluzione 2.
E voi?
Grazie a coloro che vogliono partecipare al sondaggio
:-)
-- 
Ciao
Piero
Leva LEDITADALNASO prima di mandarmi una e-mail 

 considerandoli alla stregua di un dipendente del titolare?
Scusate, preciso che ho fatto la considerazione di essere l'azienda che 
tratta i dati e quindi la mia considerazione è Sono il Titolare del 
trattamento: come considero i miei consulenti?
Grazie ancora


Piero ha scritto:

Personalmente, per le pratiche fatte ai Clienti dello Studio, li ho 
considerati sempre come Titolari autonomi ai quali chiedevo di 
rilasciare una dichiarazione di avvenuto adeguamento al 196/003.
Ho nominato un responsabile esterno solo in un caso, quello di una snc 
che gestiva solamente l'immobile dato in affitto alla srl (tutto stessa 
famiglia) e si avvaleva degli incaricati di quest'ultima, peraltro parenti.
Ciao.

"EnFo" <for...@VOCElibero.it> ha scritto nel messaggio 
news:pP6Yf.64740$A83.1...@twister1.libero.it...

Ciao, quindi sei per la opzione 1.
Ma hai visto il quesito n. 1252 de L'esperto Risponde n. 26 del 3 aprile?
Proprio ora lo stavo leggendo...
Boh, resto sempre più titubante e confuso.
Ma è mai possibile che il Garante non abbia dato una indicazione precisa su 
questo problema di interpretazione che è tutt'altro che secondario????



Potresti indicarmi il riferimento per favore, l'Espewrto Risponde di chi? 
del Sole24ore ?
Grazie mille.
RobertoA

 parenti.
Pure io. Purtroppo da clienti che non hanno affidato a me la cura della 
pratica privacy ricevo richieste di nomina a responsabile esterno. Se appena 
posso cerco di convincere che non è la soluzione migliore.
In genere si tratta di casi in cui il cliente ha acquistato il software o di 
consulenti un pò "improvvisati"...ci parlo direttamente, me li intorto e mi 
danno ragione ;-) 

 ha scritto nel messaggio 
news:44320cda$1...@newsgate.x-privat.org...

Si, scusa l'imprecisione, l'ho dato per scontato, ma giustamente non è 
l'unico esperto che tutti devono necessariamente conoscere... :-)
Il titolo del quesito è "L'attività in outsourcing non solleva dal DPS."
Un soggetto chiede chiarimenti sull'elaborazione della buste paga che affida 
al consulente del lavoro. Lui non tratta dati sensibili con strumenti 
informatici, ma il suo consulente si. Chiede se è tenuto a predisporre il 
DPS.
La risposta è che il titolare può nominare il consulente "responsabile 
esterno". In questo caso egli sarebbe obbligato a predisporre il DPS 
facendosi supportare dal responsabile designato.
Inutile dire che io condivido a metà.
Ok alla nomina del responsabile, ma non a predisporre il DPS.
La mia interpretazione è che si potrebbe certamente indicare in maniera 
specifica nell'attribuzione dell'incarico di responsabile che egli è tenuto 
ad adempiere a tutte le prescrizioni imposte dalla legge sulla privacy e 
quindi ne deriverebbe che il consulente, se tenuto, deve predisporre lui il 
DPS. Indirettamente quindi il titolare da evidenza che i dati di cui lui è 
titolare sono trattati nel modo richiesto dalla legge e cioè, laddove i dati 
sensibili sono su supporto informatico, è presente il DPS.
Cosa ne pensi?


 Se appena posso cerco di convincere che non č la soluzione migliore.
Ti posso chiedere xchč?
Io opto per la nomina a responsabili esterni, ma non mi sento di rientrare
fra i "consulenti improvvisati"

 ha scritto nel messaggio 
news:44327fa9$0$18285$4faf...@reader1.news.tin.it...

Non ho detto questo, ho detto che spesso č la soluzione impostata in 
automatico dai programmi preparati nel 2004/2005 e che molti consulenti 
improvvisati non si chiedono se sia la scelta migliore e la lasciano cosě.
Se leggi quanto scritto nel ng (soprattutto prima della penultima scadenza) 
l'indicazione dottrinale prevalente č quella di non nominare responsabili 
esterni.
Il responsabile ha tutta una serie di riflessi generali sul trattamento, 
anche solo di singoli dati, che mal si presta al ruolo (ad esempio) del 
consulente del lavoro.
Infatti si potrebbe venir chiamati in causa (teoricamente) anche per 
trattamente non rispondenti alla legge, avvenuti all'interno dell'azienda ma 
per la quale il soggetto č nominato responsabile esterno.
Il responsabile esterno č infatti identificato come un responsabile che, per 
sua natura, č esterno all'azienda. Non si tratta della figura del soggetto 
che effettua esternamente all'azienda un certo tipo di trattamenti. La 
differenza č labile ma SOSTANZIALE.
Spero di aver spiegato il mio (e non solo) punto di vista.

 Spero di aver spiegato il mio (e non solo) punto di vista.
Ciao,
scusa se insisto anche io sull'argomento, ma il problema non riesco a 
trovarlo chiaro..
Se tu nomini i professionisti come titolari autonomi, allora su di loro 
perchè non devono ricadere tutti gli adempimenti che incombono sul titolare 
(e quindi anche quello di informativa)?
Tu quindi li indichi semplicemente del DPS senza nessuna altra formalità?
Non c'è una interpretazione o una indicazione data dal garante?
Quali possono essere le conseguenze nel caso in cui si considerino titolari 
autonomi e responsabili esterni?
Grazie ancora


 titolari autonomi e responsabili esterni?
Quello dei responsabili esterni te l'ho già detto.
Quello dei titolari autonomi è di essere chiamati in causa in caso di 
trattamento contro la legge. 

 [...]
Inizialmente (giugno 2004) propendevo per la nomina a responsabile 
"esterno", circostanza assai pratica ma cmq foriera di dubbi circa le 
responsabilità amministrative e penali che ricadrebbero su tale figura, 
quand'anche questa sia limitata nelle operazioni impartite ai sensi 
dell'art.29 comma 4 e 5 del D.Lgs 196/03.
Anzi se i colleghi, che mi sembrano preparati, riuscissero a togliermi 
questo dubbio circa la responsabilità "totale e generica" del responsabile 
esterno anche per le eventuali inadempienze commesse nella struttura del 
titolare (e non solo quelle "limitate e specifiche" relative al trattamento 
nella struttura del responsabile esterno stesso), sarei molto grato.
Chiedo anche, nel caso di due distinti titolari autonomi, se sia sufficiente 
che l'interessato venga informato del trattamento in outsourcing solo dal 
"primo titolare" e non anche dal "secondo titolare" (quello in outsourcing), 
che a rigore dovrebbe fornire l'informativa all'interessato in quanto 
titolare di trattamento.
Grazie, saluti.
Bormioli 

 in quanto titolare di trattamento.
No su questo posso tranquillizzarti: solo il primo deve dare informativa. Se 
no figurati se noi commercialisti dovessimo dare informativa a tutti i 
clienti di tutti i nostri clienti...
I nostri clienti nella loro informativa dicono espressamente che le 
informazioni posso essere passate a professionisti per l'assolvimento degli 
obblighi di legge. 

 ha scritto nel messaggio 
news:1MKYf.15462$6e2....@news.edisontel.com...

Ciao, scusa se insisto sul problema:
tu quindi indichi i soggetti ai quali vengono dati i dati in outsourcing 
(nella punto 19.8 del DPS) e gli fai firmare una lettera di "incarico".
1- Potrei vedere un fac simile di questa lettera?
2- Consideri anche le banche (per es. RIBA e RID) come soggetti di dati in 
outsourcing?
2- Hai letto il quesito de l'esperto risponde del sole 24 ore n. 1252 dal 
titolo: "L'attività in outsourcing non solleva dal DPS"?
Come lo interpreti?


 Come lo interpreti?
Onestamente mi sfugge. Se devo immaginare dal titolo... se dice che nominado 
un soggetto esterno per il trattamento, si è comunque obbligati a fare il 
dps...sono d'accordo! :-)
Scusa ma senza sapere almeno quando è uscito o dove ritrovare il quesito 
(magari postato qua ma non so che dirti ora) non so che altro aggiungere. 

 
Non ho letto quanto scrive l'Esperto Risponde, ma sinceramente e con il 
dovuto rispetto quello che dice non "è legge". In base alla norma, se 
vieni nominato Responsabile sei anche soggetto alle direttive e al 
controllo da parte del Titolare (che in questo caso sarebbe il tuo 
Cliente) e sinceramente non credo che un Terzo possa venire a dirti come 
e cosa devi fare a "casa tua". Lui è il Titolare che raccoglie i dati 
dai suoi Clienti e come tale comunica loro (nella sua informativa) che 
potrebbe/dovrebbe comunicare i dati a te. Tu sei Titolare "diretto" dei 
dati dei tuoi Clienti, mentre sei Titolare "derivato", ma sempre 
autonomo, per quei dati dei Clienti e/o dei Dipendenti dei tuoi Clienti. 
Per tranquillizzare i tuoi Clienti li rilasci una dichiarazione di 
avvenuto adeguamento al D.Lgs. 196/03. Almeno così mi comporto io.
Tempo fa ne discutemmo molto e quasi tutti, noi commercialisti,
propendavamo per questa tesi. Del resto, ripeto, vorrei vedere se un tuo 
Cliente ti dicesse che sistema operativo, browser, ecc. utilizzare, che
cassaforte utilizzare solo perche lui pensa sia meno sicura di
un'altra... sto ovviamente banalizzando, ma il concetto è questo.
Ciao.
Enrico
Abbassa LA VOCE per rispondermi

> titolo: "L'attività in outsourcing non solleva dal DPS"?
Se ho ben capito, riassumendo :
1. 
la ditta cliente nomina il professionista responsabile esterno ( es.
consulente del lavoro per i dati sensibili dei dipendenti )
- la ditta rimane titolare
- l'obbligo del DPS è del titolare  e quindi anche in tal caso ( anche
se la ditta non tratta direttamente dati sensibili, ma li tratta il
professionista responsabile)  la ditta deve fare il DPS
- il professionista in quanto responsabile esterno risponde solo, per
i principi generali di dolo, colpa o negligenza, dei propri fatti e
non di quelli del titolare ( della ditta )
- il professionista in quanto nominato responsabile è soggetto a "
controllo " da parte del titolare ( ditta )
- il professionista in quanto titolare fa solo il DPS proprio
2.la
 ditta cliente nomina il professionista responsabile esterno e
titolare autonomo
- direi però che il titolare non può mai spogliarsi di tale qualifica
affidandola ad altri ( sarebbe troppo comodo )
- forse nominando il professionista anche titolare autonomo, il
titolare ( ditta ) si libera dall'obbligo del DPS previsto
nell'ipotesi 1. 
- in questo caso il professionista assume tutti gli obblighi di cui
sopra come responsabile esterno, ma non diventa obbligato alla
redazione del DPS in quanto il titolare originario non è lui ma il
titolare ( ditta )
- il caso è però da chiarire ( e in merito attendo )

 titolare ( ditta )
Uno che tratta dati altrui ma ha una sua struttura, tratta quindi dati nella 
sua struttura, quindi deve sempre fare il dps.


 ha scritto nel messaggio 
news:hlRYf.15594$6e2....@news.edisontel.com...

Ciao,
riporto allora il quesito n. 1252 de L'Esperto Risponde n. 26 de Il sole 24 
ore pubblicato il 3 aprile 2006
Titolo:
L'attività in outsourcing non solleva dal DPS.
Quesito:
Siamo una società che per l'elaborazione delle buste paga si affida a un 
consulente del lavoro esterno che, per questa elaborazione, utilizza 
personal computer. Visto che all'interno della nostra società non vengono 
trattati con strumenti informatici dati sensibili, in quanto questo 
trattamento è esternalizzato, siamo obbligati a redigere il documento 
programmatico della sicurezza (DPS) comunque?
Risposta:
La redazione del documento programmatico sulla sicurezza, in base alle norme 
del Codice privacy (articolo 34 e allegato B del disciplinare tecnico sulle 
misure di sicurezza, Dlgs 196/2003), è un adempimento imposto a carico del 
titolare di un trattamento di dati sensibili e/o giudiziari, effettuato con 
strumenti elettronici. Nel caso in cui il titolare decida di affidare a enti 
esterni talune operazioni di trattamento, potrà nominare questi enti 
"responsabili esterni" del trattamento. In questo caso, secondo il Codice 
privacy (articolo 19 del disciplinare tecnico sulla sicurezza, allegato B), 
tenuto a redigere il DPS, sarà comunque il titolare, il quale procederà 
all'incombente facendosi supportare dal "responsabile" designato.
(A cura di Riccardo Imperiali e Rosario Imperiali)
Questa interpretazione mi pare contrastante:
1- stando alla vostra interpretazione, con il fatto che viene nominato 
responsabile esterno
2- con l'obbligo di fare il DPS facendosi supportare dal responsabile 
esterno (è assurdo: io titolare del trattamento, cioè ditta, che faccio, 
indico i computer usati dal consulente? mi pare proprio assurdo...)
Ok, come dice Enfo, ciò che dice l'esperto non è "legge", ma certo è una 
opinione normalmente autorevole...
Io lavoro in un'azienda e non in uno studio. Il bello è che quando ho 
nominato consulenti del lavoro e commercialisti come responsabili esterni, 
loro non hanno obiettato nulla e firmato senza problemi.
Ma quindi sarebbe meglio che modifichi questa nomina a responsabile esterno 
in una "generica" lettera di attribuzione di dati da trattare in 
outsourcing, levandoli dal mio organigramma della privacy?
Seguendo quindi l'opzione 2 di Valerio (che vabbè, ha scritto di nominarli 
responsabile esterno e titolare autonomo... che di per sé mi pare 
contraddittorio nei termini usati...)?
