Newsgroup: it.comp.sicurezza.varie
Titolo: DPS e dichiarazione di conformità

Situazione:
A) Ditta di informatica per cui lavoro che effettua un sacco di trattamenti
dati di svariati clienti. DPS ovviamente di una certa dimensione e
complessità (varie sottoreti, diversi db e molti meccanismi di backup).
B) Cliente per cui effettuiamo un trattamento dati (elaborazione di dati da
cui si ottengono fatture)
Secondo il DL 196/2003 il cliente sarà tenuto a chiederci il nostro DPS o
una specie di "dichiarazione di conformità" che attesti il fatto che abbiamo
applicato le misure minime di sicurezza.
Sul lato pratico non c'è problema, le misure ci sono eccome, ma sul lato
formale non vorremmo divulgare il DPS in quanto contiene anche un sacco di
roba non pertinente a quel singolo trattamento dati.
La domanda quindi è: questa dichiarazione di conformità deve seguire un
modello ben specifico o bastano giusto due righe in cui assicuriamo che
abbiamo tutte le misure di sicurezza e abbiamo fatto il DPS interno?
Grazie.

abbiamo tutte le misure di sicurezza e abbiamo fatto il DPS interno?
Il cliente deve darvi le indicazioni e ha diritto al controllo. In
effetti dandogli il DPS gli semplifichi la vita.
C'è il problema della sicurezza, in effetti i DPS "pubblici" o sono
poco dettagliati e quindi inutili o sono un rischio (eppure se ne
vedono di enti).
Io ho fatto una sintesi per ogni cliente scremando le cose che
riguardavano gli altri o erano interne, l'ho firmato digitalmente e
marcato temporalmente. Contiene tutte informazioni che devono sapere e
niente di più...
Andrea

 tutte informazioni che devono sapere e niente di più...
Ok, vedrò di fare un mini-dps da dargli (tanto gli serve solo formalmente,
in pratica sa benissimo come vengono trattati i suoi dati).

abbiamo tutte le misure di sicurezza e abbiamo fatto il DPS interno?
Sulla storia dell'attestato di conformita', io credo che sia da
rileggere il punto 25 dell'allegato B) che dice "25. Il titolare che
adotta misure minime di sicurezza avvalendosi di soggetti esterni alla
propria struttura, per provvedere alla esecuzione riceve
dall'installatore una descrizione scritta dell'intervento effettuato
che ne attesta la conformità alle disposizioni del presente
disciplinare tecnico."
Da quanto espresso, si comprende che l'attesta di conformita' non
devev essere rilasciato per le misure che il terzo ha adottato
all'interno della sua struttura, ma viceversa se il terzo ha costruito
un sistema di misure al Titolare.
Vero e' che il terzo deve essere nominato Responsabile sterno e che il
Titolare deve attenersi all'art. 29 del Codice che al comma 5 dice:
"5. Il responsabile effettua il trattamento attenendosi alle
istruzioni impartite dal titolare il quale, anche tramite verifiche
periodiche, vigila sulla puntuale osservanza delle disposizioni di cui
al comma 2 e delle proprie istruzioni."
Quindi l'attivita' di vigilanza attiene esclusivamente all'osservanza
delle disposizioni scritte impartite dal Titolare.

 Titolare.
Ok, allora ccenno giusto la cosa nel DPS del cliente senza allegare nulla.
Grazie di tutto.

 sterno
Questo non e' vero. Io potrei essere un tecnico che inserisco le
password ai pc, implemento un sistema di backup, e non vedo
perche' dovrei essere nominato responsabile del trattamento dei
dati.

 deve rilasciare una dichiarazione di conformita'.
Allora torniamo al punto di partenza :-)
La domanda iniziale era: questa "dichiarazione di conformitą" deve seguire
un modello ben specifico o č solo un normale foglio con scritto "siamo a
posto con la 196/2003"?

 posto con la 196/2003"?
Non credo esistano modelli. Oppure prendi un modello di qualsiasi altra
dichiarazione di conformita' presente su internet, e la modifichi.
Credo che cmq basta che ci sia scritto qualcosa del tipo:"
"Io pincopallino, dichiaro che i lavori da me svolti per conto della
societa'
XXXXX, atti ad adeguare il sistema alle misure minime di sicurezza, e'
conforme con quanto disposto dall'allegato B del decreto blalblalbs"
Un qualcosa del genere, detto in maniera piu' fica :)


Non vorrei insistere, ma non e' il Titolare che emette una
"dichiarazione di conformita'" del suo sistema privacy.
La dichiarazione di conformita' (come per altre leggi, per esempio
sugli impianti elettrici) e' richiesta dal Titolare a chi, esterno
all'azienda e non dipendente dal Titolare, sono stati commissionati
lavori per impiantare il sistema di sicurezza privacy nell'Azienda del
Titolare.

 Un qualcosa del genere, detto in maniera piu' fica :)
Ok grazie :-)