Newsgroup: it.comp.sicurezza.varie
Titolo: Privacy e DL 169/2003

Salve
qualcuno sa aiutarmi?
Ho un rete con una ventina di pc.
Un Server di dominio che funge da file server, server di posta e fax server.
Accedo alla mia rete ad internet tramite un router.
Volevo sapere se qualcuno mi sa dire cosa devo fare alla mia rete per
mettermi in regola con il DL.
Se avete qualche link...... ben accetto!
Secondo voi per questo DL devo mettere un Firewall tra router e rete?
Il mio provider mi fornisce già un servizio di firewalling.
Qualcuno può postarmi un lista delle cosa da fare alla rete per essere in
regola con il DL?
Grazie a tutti in anticipo

 Se avete qualche link...... ben accetto!
Non è tanto il come è fatta la tua rete ma la natura dei dati personali 
che tu ci fai girare eventualmente sopra che determina il tipo di 
intervento che devi fare per adeguarti ai termini della 196.
Se vuoi provare ad orientarti da solo comunque il link di riferimento è 
sempre quello del sito del garante
http://www.garanteprivacy.it/
-- 
Fabrizio "Hermooz" Ermini


la natura dei dati?
cioč?
puoi spiegarmi meglio?


sul sito che ti ha dato c'e' scritto tutto per filo e per segno.
Basta mettersi li e leggere.

 puoi spiegarmi meglio?
E' necessario fare un censimento di eventuali trattamenti di dati 
personali effettuati in azienda, il loro livello di criticitŕ 
(personale, sensibile, sanitario, giudiziario), individuare dove vengono 
conservati e quali sono gli incaricati ad accedervi. Solo a quel punto 
ha senso applicare le misure minime di sicurezza volte alla loro 
protezione.
In un'azienda tipica ci sono in genere tre trattamenti principali da 
considerare: quelli dei clienti, dei fornitori, e soprattutto del 
personale.
bye!
-- 
Fabrizio "Hermooz" Ermini

 
Non è così semplice: fai riferimento all'allegato B (disciplinare 
tecnico) della normativa e al successivo documento del 13.5 (prime 
riflessioni); oltre all'aspetto tecnico va tenuto presente anche quello 
burocratico, cioè la compilazione del famigerato DPS e varie altre 
scartoffie (occhio alla scadenza del 30.6!)
Come già ti hanno detto, trovi il tutto sul sito del garante 
(
www.garanteprivacy.it
)
ciao
daniela

 tu se quello che hai già è sufficiente.
Ciao a tutti.
Una domanda/precisazione:
punto 20 dell'allegato B)
I dati sensibili o giudiziari sono protetti contro l'accesso abusivo, di cui
all'art. 615-ter del codice penale, mediante l'utilizzo di idonei strumenti
elettronici.
Ora, a parte l'individuazione dell'obbligo per i soli dati sensibili o
giudiziari, il punto 20 parla espressamente di *idonei strumenti
elettronici*.
E questo sembrerebbe escludere che lo strumento utilizzato per prevenire
l'accesso abusivo possa essere di tipo software.....
o no?
Intendo dire, posso consigliare il firewall per es. incorporato in windows
XP (indipendentemente dalla sua efficacia) oppure è meglio consigliare un
fire hardware vero e proprio?
(propendo per la seconda ipotesi)
ale

 (
www.garanteprivacy.it
)
Sono sicuro di non riuscire a fare il DPS entro il 30.6.
A cosa vado in contro se ritardo a farlo?
....tanto da quel che ho capito è un documento che resta interno alla mia
ditta!!!

 fire hardware vero e proprio?
c'e' di mezzo una valutazione di "idoneità". Per un professionista che 
ha solo un PC in studio, direi che può essere ragionevole limitarsi a 
effettuare un'opportuna configurazione del firewall interno di XP. Per 
realtà che giustifichino l'investimento, va raccomandato il firewall 
"vero".
-- 
Fabrizio "Hermooz" Ermini

 ditta!!!
E' vero, però deve avere data certa, cioè deve essere datato da un 
soggetto esterno (es. notaio, ufficio postale).
ciao
daniela

 "vero".
fantastico
mi hai appena fatto cambiare *propensione*
(pronto a cambiarla ancora ehehe)
ale

 garante (
www.garanteprivacy.it
)
Aggiungo che sul sito del garante non c'è una vera e proprio "fac-simile" di
DPS, ma c'è una "guida" in PDF (prime riflessioni sui criteri di redazione
del documento...) che può essere utile.

 o no?
No.

 postale).
Premesso che sto iniziando proprio in questi giorni a fare il DPS per
clienti che non hanno il tempo o la voglia di farselo internamente (e hanno
le loro buone ragioni), come funziona questo meccanismo della "data certa",
è obbligatorio?
Entro il 30 giugno arrivo comodamente visto che sono già a buon punto per
diversi clienti.


In realta' sarebbe opportuna la lettura dell'art. 31 che dice:
"1. I dati personali oggetto di trattamento sono custoditi e
controllati, anche in relazione alle conoscenze acquisite in base al
progresso tecnico, alla natura dei dati e alle specifiche
caratteristiche del trattamento, in modo da ridurre al minimo,
mediante l'adozione di idonee e preventive misure di sicurezza, i
rischi di distruzione o perdita, anche accidentale, dei dati stessi,
di accesso non autorizzato o di trattamento non consentito o non
conforme alle finalità della raccolta."
Il fuoco dell'attenzione deve porsi sugli aggettivi "idonee e
preventive".
L'articolo specifica cche non eiste una regola assoluta di valutazione
di quali siano le misure *idonee* se prima non si siano presi in
considerazione i diversi parametri: progresso tecnico, natura dei
dati, caratteristiche del trattamento. E questo a valore per tutti i
tipi di dati personali, indipendentemente dal fatto che siano
sensibili o meno, trattati elettronicamente o meno.
Risulta necessario, quindi, analizzare con accuratezza quali siano i
rischi da considerare (analisi dei rischi). Credo che ognuno di noi
concordi sul fatto che sia molto piu' rischioso, anche int ermini
penali, perdere l'elenco delle carte di credito che sono state oggetto
di transazione con clienti, piuttosto che l'elenco dei fornitori
dell'azienda.
In termini di tipologia di dati personali, questi sono allo stesso
livello:dati comuni "tout court".
Infine e' opportuno ricordare:
Art. 169 (Misure di sicurezza)
1. Chiunque, essendovi tenuto, omette di adottare le misure minime
previste dall'articolo 33 è punito con l'arresto sino a due anni o con
l'ammenda da diecimila euro a cinquantamila euro.

 del documento...) che puň essere utile.
Appunto a quello mi riferivo dicendo "documento del 13.5"  :-)
ciao
daniela

 è obbligatorio?
Ad esempio (escluderei il notaio causa costi...) puoi andare in posta a 
farti timbrare il documento (credo che vada fatto su tutte le pagine) 
oppure puoi spedirtelo in busta sigillata entro i termini. Poi lo 
conservi chiuso (e te ne tieni una copia a lato x consultazione).
Inoltre il dps va rifatto ogni anno entro il 31.3 e x le società di 
capitale questa redazione deve essere riportata nella nota integrativa 
del bilancio.
Insomma, du' palle!  ;-)
ciao
daniela

 Insomma, du' palle!  ;-)
Già.
Tutta inutile burocrazia.

 
a me hanno suggerito una 'autoraccomandata' senza busta, in modo che il 
timbro postale venga fatto direttamente sul documento...
-- 
"If you have an apple and I have an apple and we exchange apples then 
you and I will still each have one apple. But if you have an idea and I 
have an idea and we exchange these ideas, then each of us will have two 
ideas." George Bernard Shaw (1856-1950)

 sul documento...
Non sapevo che si potesse fare una cosa del genere :-)

Il Fri, 28 May 2004 10:04:48 GMT, "ZAlx"
<NOSPAMa...@NOSPAMlibero.it> ha scritto:
Una domanda: ma le misure accessorie nel caso di trattamento di dati
giudiziari entro che data vanno adottati?