Newsgroup: it.comp.sicurezza.varie
Titolo: Privacy: Responsabili Esterni

La mia domanda e' questa:
Se un'impresa si avvale dell'assistenza (anche occasionale) di avvocati,
software-house, oppure del notaio per certificazioni o atti diversi, essa e'
tenuta a nominare tutti questi soggetti come Responsabili Esterni del
Trattamento?
In effetti l'avvocato o il programmatore-manutentore informatico, ecc... si
trovano a trattare dati personali di cui l'impresa committente e' Titolare,
quindi, a rigor di logica, bisognerebbe nominarli tutti Responsabili?
(ovviamente ognuno in base alla proprio ambito di autorizzazione)
Grazie.
Saluti, Kodos.

 quindi, a rigor di logica, bisognerebbe nominarli tutti Responsabili?
No.
Quando ci si avvale di professionisti esterni è più appropriato 
ricondurre il tutto ad una comunicazione di dati a terzi.
-- 
Fabrizio "Hermooz" Ermini

"Hermooz" ha scritto.

Si', certo, la comunicazione dei dati avviene, ed e' per questo che il
Titolare deve ricevere una garanzia che i dati comunicati ai professionisti
siano da essi trattati secondo le misure previste (attraverso, per esempio
la nomina alla qualifica di Responsabili Esterni, con relativa
accettazione).
L'alternativa sarebbe che ciascun professionista assumesse in se' la figura
di Titolare nei confronti di ogni Interessato, con gli obblighi
all'informativa e al consenso che ne deriverebbero...
Kodos.

"Kodos" ha scritto.

Mi associo al quesito.
Frodo B.

> No.
...e con l'art.30 comma 1 del DLgs 196/03 come la mettiamo??

 come la mettiamo??
Io opterei per l'art.29 (Responsabile), in quanto nell'art.30 si descrive
l'Incaricato come quel soggetto che opera sotto la diretta autorita' del
Titolare o del Responsabile, il che fa presupporre che debba trattarsi di un
dipendente (o assimilato) che presti servizio all'interno dell'attivita' del
Titolare.
L'art. 4 comma 1 lettera h) dice inoltre che l'incaricato e' una persona
fisica.
Comunque, mi sembra di capire che anche tu saresti propenso a nominare
Responsabili tutti quei soggetti che (anche in forma societaria) effettuano
lavorazioni esterne, assistenza, consulenze varie implicanti trattamento di
dati di terzi... (intendo non solo il commercialista o in consulente del
lavoro, ma anche tutti i laboratori, riparatori, tipografie, ecc...)
Anch'io la vedo cosi'.
Kodos.


beh, si...
In fondo il collaboratore esterno (consulente del lavoro, commercilista,
ecc.) non ha ricevuto autorizzazione dall'interessato per il trattamento, il
titolare invece si.
...e come può giustificarsi il trattamento? il solo contratto tra titolare e
collaboratore mi sembra poco...
Dato che poi il collaboratore utilizza mezzi propri per il trattamento, mi
sembra opportuno dargli responsabilità, ferma restando la necessità di farsi
dare una copia del proprio DPS (magari in forma ridotta) od una
dichiarazione di aver adempiuto all'adozione delle misure minime...
Il dubbio che mi rimane è: responsabile od incaricato?
saluti


Art. 30:
1. Le operazioni di trattamento possono essere effettuate solo da incaricati
che operano sotto la diretta autorità del titolare o del responsabile,
attenendosi alle istruzioni impartite.
2. La designazione è effettuata per iscritto e individua puntualmente l'
ambito del trattamento consentito. Si considera tale anche la documentata
preposizione della persona fisica ad una unità per la quale è individuato,
per iscritto, l'ambito del trattamento consentito agli addetti all'unità
medesima.


Vista sotto quest'ottica non fa una piega...
Ciò comporterebbe pero' una nuova informativa ed un nuovo consenso da parte
dell'interessato ogni volta che il titolare decida di avvalersi di un
consulente diverso.
La vedo molto più semplice fare in modo che il trattamento presso esterni
sia per l'interessato "trasparente", in modo tale che lui faccia riferimento
solo ad un titolare che deciderà di avvalersi dei suoi responsabili ed
incaricati anche esterni alla propria azienda.
Credo inoltre che redigere una informativa diversa, caso per caso, sia un
po' macchinoso, e mi sembra inoppotuno indicare sull'informativa tutto
l'elenco dei collaboratori, compresi quelli che non tratteranno i dati
dell'interessato.
Alla fine la soluzione migliore, per come la vedo io, è dettata dalla realtà
aziendale; cioè per un'azienda con un grande "traffico" di dati nominerei
responsabile il consulente, per le altre è più semplice la soluzione che
proponi tu, a patto che il collaboratore non venga cambiato troppo di
frequente...
ciao

 autonomamente decisioni su come trattare i dati?
Questo non è molto rilevante, perché nell'informativa all'interessato non
vanno indicate le modalità di backup o di conservazione delle credenziali,
ma semplicemente il tipo di trattamento manuale/ elettronico secondo le
misure previste dal D.Lgs 196/03, ed eventualmente il fatto della
comunicazione dei dati a terzi, sempre secondo le previste modalità indicate
dalla legge.
Percui io non vedrei nessuna controindicazione nella nomina a Responsabile
Esterno per i collaboratori esterni, i quali si impegnano a trattare i dati
in conformità del codice (e all'interessato basta questo).
Kodos.

 a me sembra un po' inverosimile.
Se io titolare nella nomina a responsabile esterno mi faccio sottoscrivere
da quest'ultimo che i dati a lui affidati sono trattati secondo le misure
previste, io sono a posto dal punto di vista civile, perché dimostro che ho
fatto tutto quanto avessi potuto fare per garantire la sicurezza dei dati
affidati a terzi (infatti il terzo mi certifica che tratterà i dati secondo
la legge... se poi non lo fa, è responsabilità sua).
Prova a vedere qua,
http://www.interlex.it/675/nonresponsab.htm
mi sembrava dessero per scontato la nomina a responsabile esterno...
Certo però che quanto da te addotto mi mette in crisi...
Kodos.

 ricadrebbe comunque sul titolare stesso.
Le proprie istruzioni (anche piuttosto generiche) basta scriverle nella
nomina a responsabile.
Poi, le verifiche periodiche sono solo eventuali e non obbligatorie perché
c'è scritto "anche".
Se poi esiste un responsabile interno, in quel caso il titolare potrà fare
le verifiche periodiche (ma è un altro discorso che non centra con questo).
Kodos.

 sicuramente piu' autorevole di me! :)
Leggendoti, mi hai convinto delle tue ragioni...
Pero', da una ricerca su un autorevole forum giuridico, capisco che la
questione č piu' controversa di quanto immaginavo.
Alcuni danno per scontata la nomina a Responsabile esterno, altri invocano
la regola 19.7 dell'allegato B traendo conclusioni simili alle tue.
I link sono questi:
http://www.sikurezza.org/lex/09_04/msg00024.html
http://www.sikurezza.org/lex/09_04/msg00022.html
sono molto confusi per come sono organizzati (mess. precedente, mess.
successivo), ma con un po' di pazienza ci trovi un sacco di pareri
interessanti...
Una cosa č certa, la confusione su questo e su altri punti regna a tutt'oggi
sovrana! :)

La discussione che è nata è molto interessante, e dimostra quanti vuoti
normativi ci siano e quanto sia lasciato alla interpretazione...
Tornando al discorso iniziale sull'opportunità o meno di nominare
responsabile o meno il consulente esterno, io apro un'altra possibilità:
nominare il consulente esterno incaricato (e non responsabile), facendosi
rilasciare una dichiarazione di aver messo in opera le misure minime
previste dal 196/03 (o parte del suo DPS)
Mi pare che non ci siano controindicazioni.
Commenti?

 Mi pare che non ci siano controindicazioni.
Secondo me non e' possibile la nomina ad incaricato sulla base dell'art.30
comma 1:
"Le operazioni di trattamento possono essere effettuate solo da incaricati
*che operano sotto la diretta autorita' del titolare o del responsabile*,
attenendosi alle istruzioni impartite."
Le parole "sotto la diretta autorita'" esprimono una qualita' fondamentale
della figura dell'incaricato, il quale puo' essere solo una soggetto legato
al titolare (o al responsabile, se designato) da un rapporto di
subordinazione, come ad esempio il personale dipendente o assimilato
(
co.co.co
., praticanti, ecc...)
L'art. 4 comma 1 lettera h) dice inoltre che l'incaricato e' una persona
fisica, percui non si puo' in nessun caso attribuire la qualifica di
incaricato ad un soggetto esterno organizzato come societa' (persona
giuridica), ne' tantomeno si potrebbero nominare incaricati i singoli
dipendenti di uno studio esterno di contabilita', perche' nei loro confronti
non si avrebbe comunque la "diretta autorita'".
Kodos.