Newsgroup: it.comp.sicurezza.varie
Titolo: DPS per artigiano

Scusate l'ennesimo post sul DPS.
Volevo chiedere: in un' azienda artigiana (officina meccanica) con:
1 titolare (impresa individuale)
1 impiegato che utilizza l'unico PC dedicato alla contabilità (no rete
aziendale) con WIN 98 e modem per connessione Internet al Remote banking
1 impiegata a libro paga (la figlia del titolare) mai presente.
5 dipendenti
1 socio coadiuvante
devo redigere il dps seguendo i modelli che si trovano in rete, strettamente
strutturati sulla base della guida operativa presente sul sito del garante?
Io pensavo di prendere direttamente gli stralci del dps fatto nel 2000 e
aggiungere la parte sulle password aggiunte al progr. di contabilità
(c'erano già quelle di bios e screen saver)
Dichiaravo in sostanza che io (impiegato) sono resp., il titolare ...
titolare del trattamento :-), la figlia incaricata del trattamento, tutta la
storia del backup e della conservazione dei dischetti ecc.
aggiungo le parti mancanti, insomma (analisi rischi ecc.)
al massimo aggiungerei che la chiave dell'ufficio (luogo di archiviazione
anche cartaceo) e a disposizione della moglie ma che può usarla solo in
presenza mia o degli altri due (titolare e figlia-impiegata).
ciao
cri

 altri due (titolare e figlia-impiegata).
Mi pare quasi scontato che la chiave ce l'abbia anche la moglie :-)


quasi :-).
ciao
Cri

 presenza mia o degli altri due (titolare e figlia-impiegata).
ma detieni dati sensibili??
ciao

 ha scritto nel messaggio
news:2jvb6qF...@uni-berlin.de...

Secondo me solo personali.
Dimenticavo che ho un consulente del lavoro esterno. devo menzionarlo e
fargli firmare qualche cosa? sono i dati che ha già e servono solo per le
paghe.
ciao
acme

 paghe.
Il consulente nel contratto che regola il rapporto con la vostra azienda
deve dichiarare:
1) di essere consapevole che i dati che tratterà nell'espletamento dell'
incarico ricevuto, sono dati personali e, come tali sono soggetti all'
applicazione del codice per la protezione dei dati personali;
2) di ottemperare agli obblighi previsti dal Codice per la protezione dei
dati personali
3) di adottare le istruzioni specifiche eventualmente ricevute per il
trattamento dei dati personali o di integrarle nelle procedure già in
essere.
4) di impegnarsi a relazionare annualmente sulle misure di sicurezza
adottate e di allertare immediatamente il proprio committente in caso di
situazioni anomale o di emergenze
5) di riconoscere il diritto del committente a verificare periodicamente l'
applicazione delle norme di sicurezza adottate.
Ma non sei iscritto a qualche associazione di categoria? Loro sicuramente
sono in grado di darti una risposta certa.
Ciao

 consulente esterno, per cui non hai l'obbligo del DPS
Per quanto attiene al personale dipendente, è stato chiarito che
l'iscrizione a sindacati (rilevabile dalle trattenute in busta paga) e i
certificati medici in caso di malattia (quelli rossi in due copie per il
datore di lavoro e per l'INPS) sono dati sensibili.
Ora, secondo me, è da ritenersi Titolare del trattamento lo stesso datore di
lavoro, anche se i dati vengono affidati, in conformità al codice, a
consulenti esterni.
Il datore di lavoro provvederà a farsi rilasciare dal consulente esterno
idonea dichiarazione di responsabilità nel trattamento di dati c/terzi.
E' corretto secondo voi?
KODOS

 consulente esterno, per cui non hai l'obbligo del DPS
Immagino questa sia una tua supposizione.

 idonea dichiarazione di responsabilità nel trattamento di dati c/terzi.
si questo è corretto.

> Immagino questa sia una tua supposizione.
immagino, perchè lui parla di consulente esterno.... e i dati sono dal
consulente, al massimo da lui ci sono in forma cartacea... quando li
consegna al dipendente
se ogni artigiano che si affida per le paghe ad un consulente esterno
dovesse redigere il DPS sarebbe troppo....
io sono responsabile di un'associazione di categoria per gli artigiani, e
gestiamo oltre 1400 artigiani per quanto riguarda le buste paga, e nessuno
di loro è tenuto ad effettuare il DPS.
ciao

 massimo il datore di lavoro le trattiene in forma cartacea.
Giusto, infatti secondo l'allegato B e la circolare del garante del
22/03/2004, è tenuto a redigere il DPS chi effettua trattamento di dati
sensibili o giudiziari con strumenti informatici (anche se l'art. 34 del
D.Lgs fornisce una diversa indicazione...)
Fin qui siamo d'accordo, però il datore di lavoro è comunque il Titolare del
trattamento dei dati (per trattamento non si intende solo la conservazione)
e come tale ha nei confronti dei dipendenti l'obbligo dell'informativa e
della raccolta del consenso scritto.
Se così non fosse, varrebbe a dire che il Titolare del trattamento di quei
dati dei dipendenti è direttamente lo studio esterno, con la conseguenza che
quest'ultimo dovrebbe consegnare l'informativa a tutti i dipendenti di tutti
i propri assistiti, indicando come Titolare lo stesso studio esterno e
raccogliendone in aggiuta il consenso.
A supporto di questa tesi c'è il fatto che è il datore di lavoro a nominare
(in qualità di Titolare) lo studio esterno, il quale assume l'incarico di
Responsabile.
Mi piacerebbe confrontare le diverse opinioni anche perché lavoro presso un
CED e mi è stata affidata la patata della privacy, ma dire che è una legge
assurda è dire poco.
Grazie, Kodos.

 assurda è dire poco.
sono responsabile CED anchio e concordo sull'assurdità di questa legge

di loro č tenuto ad effettuare il DPS.
Se non hanno la rilevazione delle presenze su PC, allora niente DPS.
Ma l'applicazione delle Misure Minime dalla 27 alla 29 dell'all. B,
quelle si'.
Piu' importante il fatto che comunque, ogni artigiano (Titolare),
invii una lettera di Responsabile esterno al vostro CED ed inoltre
consegni ai dipendenti un'Informativa con consenso alla comunicazione
di dati sensibili specificando il vostro CED.
Infatti non vi e' l'esimente nel fatto che la Paghe e Contributi
vengano trattati per legge, se questi dati sono affidati ad altri al
di fuori della struttura del Titolare od ai suoi Incaricati (sempre da
lui dipendenti).

 invii una lettera di Responsabile esterno al vostro CED
Concordo con Guanche: il Titolare del Trattamento rimane il datore di
lavoro. Il CED assume la figura di Responsabile esterno, non di autonomo
titolare.
Questo non significa che l'artigiano deve fare il DPS, ma che, come detto
prima, è comunque sottoposto agli altri obblighi a esso imposti dal codice.
A dire il vero, la possibilità di assumere natura di Titolare di autonomo
trattamento è fatta salva dal D.Lgs. 196/2003, ma è un onere in più, dal
momento che è sufficiente essere nominati Responsabili, con le minori
responsabilità che ne derivano.

 tutti i dipendenti degli assistiti...
Io pure gli ho comunicato i nominativi del consulente del lavoro e del
commercialista e gli ho fatto firmare un'autorizzazione all'utilizzo dei
dati strettamente riguardanti il lavoro dei suddetti.


Essendo officina meccanica ho le buste sigillate con il responso selle
visite mediche. Si trova in armadio con chiave. Perň e solo cartaceo. Il DPS
devo farlo comunque.... credo.

 devo farlo comunque.... credo.
non devi fare DPS
cmq, perchč detieni tu il responso delle visite mediche?
ciao


sono le versioni sigillate a disposizione per un eventuale controllo
ciao,
acme
PS: aneddoto
E' venuto qui un cliente (Officina piccole dim. come la nostra, ma S.r.l.)
dicendomi: sei a posto? va che chiudi la ditta se ti prendono. ho speso 700
euro per farmi installare il disco per fare stampare il *libro* (LOL). Hai
win98? allora non sei in regola. ecc.
Effettivamente ho notato una campagna al terrore gratuito da parte di molti
sedicenti assistenti tecnici e Sw.
Il mio datore di lavoro che ascoltava mi dice: fallo se non ti fa perdere
troppo tempo; un mito.

 sono le versioni sigillate a disposizione per un eventuale controllo
E fai bene, ma non hai nessun obbligo in questo, perchè non devi essere tu a
consegnarlo a chi fa i controlli, ma l'interessato
Ciao

 
Posto un articolo (vecchio) del Sole da cui si capisce in primis che il
garante tiene volentieri il piede in due scarpe, ma si capisce anche che
sarebbe tanto contento che tutti quanti facessero il DPS...
Il fatto che il garante "suggerisca", cosa vuol dire in pratica nel caso
di un controllo? Che se uno non ce l'ha parte già col piede sbagliato?
Oppure che si lascia tutto alla discrezionalità dei controllori?
In questo caso possiamo iniziare da subito a metterci le mani nei capelli.
Il Sole 24 Ore - sabato 22 maggio - B.Massara - art. pag. 29
Corsa contro il tempo per la redazione del Documento programmatico sulla
sicurezza dei dati personali (Dps) entro mercoledì 30 giugno. In vista
della scadenza, Garante della privacy e aziende mettono a punto il
fac-simile da utilizzare. I titolari hanno infatti tempo fino a domani,
23 maggio, per formulare on-line all'Autorità osservazioni, richieste di
chiarimento, o suggerimenti sulla "guida operativa" diffusa sul sito del
Garante (si veda «Il Sole-24 Ore» del 15 maggio). Così l'Autorità
intende varare, entro il 1 giugno, una versione aggiornata del
fac-simile che i titolari potranno liberamente decidere di utilizzare
come base per il documento da conservare in azienda. Come ha precisato
il Garante, il modello proposto è indirizzato soprattutto ai titolari di
piccole e medie aziende, in quanto per quelle di grandi dimensioni le
esigenze di analisi e studio sono sicuramente diverse e più complesse.
Il documento.
vvvvvvvvvv
Occorre anzitutto ricordare che sebbene secondo la regola 19 del
disciplinare tecnico allegato B del Dlgs 196/2003 tenuti alla redazione
del Dps sono solo i titolari che trattano dati sensibili e/o giudiziari,
il Garante in diverse occasioni ha suggerito anche ai titolari di "dati
personali comuni" di predisporre il documento. Il Dps rappresenta
infatti per tutti i titolari lo "specchio" che riflette l'intera
organizzazione aziendale osservata sotto il profilo della privacy, e per
coloro che affrontano per la prima volta i nuovi obblighi, il modo più
immediato e sistematico per iniziare. Solo dopo aver fotografato la
propria struttura e aver evidenziato i rischi e le criticità connesse al
trattamenti dei dati effettuati, i titolari saranno in grado di avere
una visione completa della gestione del problema "privacy", delle misure
correttive da adottare e degli investimenti da realizzare. A ciò si
aggiunga che anche in sede ispettiva il Dps può rappresentare un utile
punto di partenza della verifica, in grado di dimostrare la presa di
coscienza da parte del titolare degli obblighi derivanti
dall'applicazione del Codice sulla privacy.
^^^^^^^^^^
-- 
daniela

Il problema sollevato non č trascurabile.
La legge infatti non č chiara e si presta a due diverse interpretazioni.
L'art. 34 del D.Lgs. 196/2003 recita:
1. Il trattamento di dati personali effettuato con strumenti elettronici e'
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico
contenuto nell'allegato B), le seguenti misure minime:
[...]
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
[...]
Ora, da questo art.34 sembra che tutti coloro che trattano dati personali
con strumenti elettronici (quindi non solo quelli sensibili, ma tutti i dati
personali) siano tenuti alla redazione del DPS.
Invece, l'allegato B, nella parte riservata ai trattamenti *con strumenti
informatici* recita alla regola 19:
[...] il titolare di un trattamento di dati sensibili o di dati giudiziari
redige anche attraverso il responsabile, se designato, un documento
programmatico sulla sicurezza contenente idonee informazioni riguardo.
Questo riduce drasticamente il campo di applicazione del DPS ai soli
trattamenti di dati sensibili o giudiziari effettuati con strumenti
informatici.
Di fronte ad una palese contraddizione della legge, secondo alcuni giuristi
č da ritenersi prevalente quanto sancito dall'art.34 del D.Lgs., che
costituisce una fonte di diritto piů alto rispetto ad un semplice allegato
del Decreto, se pure integrante.
Altri sostengono il contrario.
Ecco da dove nasce la confusione, a cui il Garante, nel caos di chiarimenti
e circolari, ha fornito il parere del 22 marzo 2004 che veniva giudicato dai
piů come definitivo e che riporto come al punto 2.2:
2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora
adottata dal titolare di un trattamento di dati sensibili o giudiziari
effettuato con strumenti elettronici, attraverso l'organo, ufficio o persona
fisica a ciň legittimata in base all'ordinamento aziendale o della pubblica
amministrazione interessata (art.  34, comma 1, lett. g), del Codice;
regola 19 dell'Allegato B)).
Nonostante il Garante non sia una fonte legislativa, ma fornisca solamente
un parere, se pure illustre, sembra vada delineandosi la prospettiva che sia
sanzionabile esclusivamente la mancata redazione del DPS da parte dei
titolari di dati *sensibili o giudiziari trattati con l'ausilio di strumenti
informatici*, gli unici tenuti a fare il DPS.

 ^^^^^^^^^^
ma non va bene quello di qualche anno fa allora?
ciao
Cri

 
[cut]
Sei stato molto chiaro, grazie!
-- 
daniela

 > DPS
Cmq io sono responsabile del CED in una struttura della Confartigianato, e
su 1400 associati, quelli che devono fare il DPS sono solo 12... e di questi
12 la maggioranza sono parrucchiere che detengono su pc i dati dei clienti,
come le allergie a certi prodotti e qualche fotografo....
Nessuna azienda metalmeccanica deve farlo nel nostro contesto....
Ciao


ho avuto uno scambio di battute con l'assistenza SW che vuole farmi passare
a Win per la cont.tà.
- tra l'altro le serva per avere gli adeguamenti alla privacy.
 alle obiezioni, riferendomi a quanto scritto da Kodos, mi sono accorto come
non conoscano la normativa.
Vanno da tutti ed installano (gratis) ai loro clienti (quota annuale)
l'aggiornamento.
comunque in 6 mesi credo ci saranno chiarificazioni maggiori dal garante,
no?
ciao e grazie
Cri

 no?
credo di si, anche perchè l'ultima modifca al DPS il garante l'ha fatto il
14 giugno, e non penso sia finito qui....
mi sa che si risolverà come sempre in una bolla di sapone.....
l'unico che ci guadagna è zio Bill, ma per fortuna esistono alternative
:-)))
ciao

> ah! Buoni questi! Una ne pensano e cento ne fanno. Auguri
il tuo nick è molto eloquente :-))
ROTFL

 di confusione ... e altro.
se hai letto bene quello che ho scritto... capirai cosa facciamo fare agli
associati
almeno da noi non c'è nessuna confusione in merito... se mai è la legge che
crea confusione a tutti, perché in molti punti la stessa legge è in
contradizione... cmq in questi, sempre in base alla legge si prende il male
minore :-))
non per questo nel nostro ambito territoriale, abbiamo a disposizione uno
studio legale per l'interpretazione della legge
sicuramente non tutte le associazioni sono cos'ì, percui non fare di tutta
l'erba un fascio :-))
mi sa che tu sei della concorrenza o di qualche società informatica che non
vede l'ora di mettere le mani sulle tasche di qualche artigiano :-))
cmq le tue affermazioni trovano il tempo che fù
Luca

 confusione :-))
se mi conoscessi bene, sono il tipo più calmo di questo mondo :-))
l'unico che ha attacato l'operato degli altri sei stato tu, io ho solo detto
quello che noi facciamo....
come già detto all'inizio il tuo nick rispecchia proprio il tuo carattere
:-))
ciao

vede l'ora di mettere le mani sulle tasche di qualche artigiano :-))
E' un affermazione più veritiera di quanto tu pensi, mi sono fatto
l'idea confrontando informatici e legali, che i primi abbiano un
approccio troppo letterale alla legge.
Scherzando dico che trattano la legge come un linguaggio di
programmazione, o è bianco o è nero.
In realtà l'approccio ipertecnico lascia il tempo che trova e non
individua il giusto livello di applicazione. Tecnicamente quasi tutti
i sistemi sono attaccabili e nessun sistema tecnico rende un
organizzazione perfetta perché dipende sempre dalla diligenza delle
persone.
Un approccio "talebano" come si legge e si trova in molte occasioni
corre il rischio di essere non commisurato alla realtà.
Spero che la situazione si sistemi perché sta generando gli stessi
problemi dell'anno 2000 con una prospettiva di riflusso uguale.
Andrea

> Va bhe' ... com'e' che dicono ... se non son matti non li vogliamo ...
L'unica cosa che sai fare è parlare e parlare, ma di sostanza poca...
ROTFL :-)
Ciao

 Comunque fatti curare hai gravi problemi.
:-)))
ROTFL!!!