Newsgroup: it.comp.sicurezza.varie
Titolo: Un po' OT... - Lettera dalle banche

Scusate l'OT, ma qui e' sempre in gioco la sicurezza dei propri dati e
non esiste un altro gruppo italiano che tratti di sicurezza in
generale...
In base alla legge sulla privacy, i dati personali sono privati ed
occorre un'esplicita autorizzazione per il loro uso da parte di
aziende/banche/amministrazioni... etc.
Non mi e' ancora successo personalmente, ma un mio collega ha ricevuto
una lettera della BNL dove si chiedeva questa autorizzazione e si
paventavano ritorsioni se questa non veniva data. Alla fine ho saputo
che non firmando, sarebbe stato escluso solo dal pagamento delle
bollette ENEL, SIP, etc.
Pochi giorni fa (circa il 13/5) l'argomento e' stato trattato a "Italia,
istruzioni per l'uso" verso le 6:15 su Rai1 (radio). Non ho sentito la
trasmissione (ancora mezzo addormentato... ;-) ), ma la conclusione era
: "non firmate".
Poiche' i "dati personali privati" e' una dicitura mooolto vaga, chi mi
sa illuminare in proposito?
Chi ha ricevuto questa lettera, puo' spiegare cosa comporta firmare?
Ovviamente, dato il newsgroup, la sicurezza dei dati informatici ( e il
oro uso) sono inclusi nella domanda. ;-)
Salutoni,
-- 
      Ermanno Polli
      INFN-LNF
 
sys...@axjet.infn.lnf.it
 oppure 
po...@lnf.infn.it

 sa illuminare in proposito?
La legge 675/96 sulla "Tutela delle persone e degli altri soggetti
rispetto al trattamento dei dati personali" (legge sulla privacy)
definisce nell'art.1, comma(?) 1 i dati personali come:
"qualunque informazione relativa a persona fisica, persona giuridica,
ente o associazione, identificati o identificabili, anche
indirettamente, mediante riferimento a qualsiasi altra informazione, ivi
compreso un numero di identificazione personale".
Come vedi si tratta di una definizione molto generale, che comprende
sicuramente un elenco di associazioni persona/numero di conto corrente.
Vengono esclusi i dati trattati da persone fisiche per fini
esclusivamente personali, art. 3, se non per quanto riguarda i requisiti
di sicurezza e la loro mancata osservanza, mentre vengono
particolarmente tutelati i dati "sensibili", art. 22, ovvero quelli
"idonei a rivelare l'origine razziale o etnica, le convinzioni
religiose, filosofiche o di altro genere, le opinioni politiche,
l'adesione a partiti, sindacati"... e un po' di altre cose del genere.
Chi tratta questi dati per lavoro deve fare tutta una serie di cose fra
le quali:
- notificare al garante il fatto che esiste una banca dati, quali sono
le sue caratteristiche e i suoi scopi e una serie di altre informazioni;
- richiedere l'autorizzazione degli interessati per il trattamento dei
loro dati;
- in caso di trattamento di dati sensibili, richiedere l'autorizzazione
al garante  che deve rispondere entro 30 giorni secondo il principio del
silenzio dissenso, art. 22 comma 2.
Questa legge, per quanto giusta nel principio, sta suscitando un marasma
per quanto riguarda la sua applicazione e applicabilita`. E` facile
quindi che aziende come le banche cerchino di cautelarsi chiedendo
"carta bianca" ai loro utenti. E` altrettanto chiaro che questa carta
bianca non puo` essere data loro, visto che alcuni tipi di dato non
hanno bisogno di trattarli e non li devono trattare. E` anche chiaro
pero` che un'autorizzazione perche` possano fare il loro lavoro va loro
data. 
Io non ho ancora trovato una persona che avesse le idee veramente chiare
su cosa fare, in nessun ambito... credo che, come stanno facendo un po'
tutti, prendere tempo perche` le cose si chiariscano possa essere una
tattica :). Prima o poi comunque qualcosa lo dovremo firmare, e dovremo
abituarci a farlo spesso e con cognizione di causa (non firmare
richieste di autorizzazione generiche, ma firmare quelle di cui
riconosciamo la necessita`). Se no la legge cosa l'hanno fatta a fare?
Si tratta pero` piu` che altro di problemi legali o simili, almeno fino
a quando non uscira` il regolamento sulle misure di sicurezza. Un gruppo
di discussione o una mailing list su argomenti legali forse puo` essere
piu` adatto. La 675 e` l'argomento del giorno dappertutto, trovare chi
ne discute non dovrebbe essere difficile.
Per dare un'idea dei problemi pratici che puo` dare la legge (o forse li
sta gia` dando), in molte aziende la quota per l'iscrizione ai sindacati
viene trattenuta dalla busta paga direttamente dal datore di lavoro, che
ha quindi un elenco di dipendenti con la loro iscrizione ai sindacati,
ovvero una banca dati di dati sensibili. Queste aziende sono tenute a
chiedere quindi un'autorizzazione al garante (milioni di richieste e
notifiche che arrivano a questo povero garante, tutte entro i primi di
giugno...). Se questo non risponde, e materialmente dubito che potrebbe
farlo, questo corrisponde a un rifiuto, e i datori di lavoro dovrebbero
distruggere gli archivi...
ciao
- Claudio

 - Claudio
Beh, per finire, proprio oggi (16/5) ho chiesto a mia moglie che lavora
in Banca d'Italia di indagare e ho pure scoperto che la famigerata
lettera l'ha ricevuta mia cognata. Vedremo...
Ciao
-- 
      Ermanno Polli
      INFN-LNF
 
sys...@axjet.infn.lnf.it
 oppure 
po...@lnf.infn.it
P.S. Scusate la prolissita', ma ho cercato di evitare il famigerato "too
many quotings" ;-)

 il nostro rapporto.
Potresti riportare esattamente la formula citata nella lettera?
La 675, infatti,  dice chiaramente che l'informativa deve contenere
(art. 10): 
1. L'interessato o la persona presso la quale sono raccolti i dati
personali devono essere
previamente informati per iscritto circa: 
a) le finalita' e le modalita' del trattamento cui sono destinati i
dati; 
b) la natura obbligatoria o facoltativa del conferimento dei dati; 
c) le conseguenze di un eventuale rifiuto di rispondere; 
d) i soggetti o le categorie di soggetti ai quali i dati possono essere
comunicati e l'ambito di
diffusione dei dati medesimi; 
e) i diritti di cui all'articolo 13; 
f) il nome, la denominazione o la ragione sociale e il domicilio, la
residenza o la sede del
titolare e, se designato, del responsabile. 
e come noti il punto a) specifica chiaramente che devono essere
specificate finalita` e modalita` della raccolta (lo stesso vale per il
trattamento). 
Inoltre la legge mette a disposizione dell'interessato uno strumento
fortissimo (art. 13, comma 1 lettera c) nel quale si stabilisce che
l'interessato puo` ottenere SENZA RITARDO tutte le informazioni sui dati
che lo riguardano (finalita` e modalita` del trattamento, tipo di dati
raccolti...). Se non si ottiene risposta entro 5 giorni DEVE intervenire
il garante. Quindi, se vogliamo avere chiarimenti su quanto la banca fa
con i nostri dati e` sufficiente inoltrare una richiesta di questo tipo
al titolare dei dati (suppongo che, a causa del lavoro organizzativo che
tale legge comporta, anche solo UNA richiesta di questo tipo possa
gettare nel panico piu` di un'agenzia... ) 
Tra l'altro, su pressione dell'ABI, e` stato stabilito, al punto h comma
1 dell'art. 20, che le comunicazioni tra gruppi bancari non sono
considerate tali. Quindi le banche hanno gia` una grossa agevolazione
dalla legge, l'unico motivo per il quale penso possano essere
preoccupati e` la comunicazione di dati relativi a servizi esterni (p.e.
pagamento bollette o simili). In questo caso l'informativa dovrebbe
contenere riferimento esplicito a tale finalita` e, mi pare, che in
questo caso la minaccia di chiusura del conto sia del tutto fuori luogo.
Fabio Maino
+-------------------------------------------------------------------+
| Fabio Maino                  The Webmaster(
http://www.polito.it/
) |
+---------------------------------+---------------------------------+
| Politecnico di Torino           | phone:  +39-(0)11-5647072       |
| Dip. Automatica e Informatica   | fax:    +39-(0)11-5647099       |
| corso Duca degli Abruzzi, 24    | e-mail: 
ma...@polito.it
         | 
| 10129 Torino                    | e-mail: 
webm...@polito.it
     |
| ITALY                           | 
http://www.polito.it/~maino/
    | 
+---------------------------------+---------------------------------+
|PGP fingerprint = 5F AC CB 4D 66 14 8E 6A  F7 D7 F6 FD 99 9F C3 5B |
+---------------------------------+---------------------------------+

Pochi giorni fa io e mia moglie abbiamo dovuto firmare due 
lunghi fogli in cui autorizzavamo la banca a fare tutto quello
che voleva coi nostri dati personali.
L'alternativa era chiara: avevamo il pieno diritto di non
firmare, ma la banca si riservava il diritto di interrompere
il nostro rapporto.
Si tratta della DEUTSCHE BANK. Vatti a fidare dei tedeschi.
Sono subito pronti ad approfittare delle scappatoie legali
	Remo
Ing. Remo Petritoli - 65122 Pescara - Via N.Fabrizi, 42

 
Ciao,
