Newsgroup: it.comp.sicurezza.varie
Titolo: privacy e aziende: assistenza e manutenzione sistemi informatici

salve,
mi occupo di privacy e sto cercando di "certificare" alcune aziende nella
mia zona.
Ho riscontrato il seguente problema pratico, non solo interpretativo della
legge 196/2003, giro a voi la problematica.
PROBLEMA:
Le aziende si affidano spesso per la gestione dei loro sistemi informatici
ad aziende esterne che curano, oltre alla fornitura dell'hardware e del
software, anche la manutenzione e l'assistenza.
All'interno di questo rapporto contrattuale di fatto si verificano casi che
a rigor di logica dovrebbero essere sempre considerati "trattamento di dati
personali", visto la definizione piuttosto estesa riportata nella legge.
Ad esempio:
- ritiro di un pc guasto per la riparazione (vanno a spasso i trattamenti di
dati personali del cliente)
- assistenza su software dal cliente (magari su un gestionale paghe o altro)
- teleassistenza
- attività di backup anche remote
penso che sia difficilmente dimostrabile che i casi qui sopra non rientrino
nella definizione di "tratttamento di dati personali".
Il problema è: a che titolo il dipendente della ditta esterna accede ai dati
personali trattati dal cliente?
Teoricamente la persona dovrebbe essere nominata incaricata dall'azienda
Cliente, assieme a tutti i suoi colleghi, ma la strada più semplice sembra
quella di nominare l'azienda informatica "Responsabile del trattamento di
dati" (essendo persona giuridica, gli incaricati possono essere solo persone
fisiche) e a cascata far nominare gli incaricati dal Titolare del
trattamento dei dati della società informatica.
Ebbene, dopo aver consigliato in questo senso alcuni miei clienti, questi si
sono visti recapitare una raccomandata dall'azienda con la quale hanno in
corso un contratto di manutenzione ed assistenza, nella quale questi si
rifiutavano di accettare la nomina a Responasbile del trattamento dei dati e
le condizioni indicate (nomina degli incaricati e rispetto della normativa
196/2003 in particolare l'allegato B).
Vorrei sapere se altri hanno avuto lo stesso problema e come lo hanno
affrontato.
grazie
Diego

196/2003 in particolare l'allegato B).
Il caso e' diffuso. Se la societa' esterna non aderisce alla legge
sulla privacy e quindi non si comporta come Responsabile, e non ne
accetta le relative imposizioni, significa che quella societa' non e'
adeguata per mantenere la correttezza richiesta dalla legge. 
Attenzione al fatto che qualora il Titolare mantenesse comunque aperto
il contratto con la societa' esterna, sarebbe lui stesso a commettere
un reato in violazione di legge.
O la Societa' esterna si adegua, oppure e' necessario trovare un altro
interlocutore che accetti di comportarsi come Responsabile esterno.

 196/2003 in particolare l'allegato B).
Rifiutarsi di accettare la "nomina" ????
I responsabili dei dati non devono essere "nominati" bensì semplicemente
avvisati che lo sono "di fatto" in quanto sono a contatto dei dati personali
di terzi. ... Punto... Non è possibile rifiutare una condizione come questa.
Quello che uso io è una comunicazione del tipo:
"spettabile azienda,
in relazione alla legge 196/03 vi comunichiamo che la vostra attività è
parte integrante del processo di gestione dei dati personali, sensibili e/o
giudiziari affidati alla PIPPO srl.
In qualità di entità giuridica, potete essere indicati a richiesta degli
interessati quale "responsabile del trattamento" in ottemperanza della legge
citata.
[descrizione dei dati e modalità del trattamento]
distinti saluti"
Se la controparte dice "io non voglio avere nulla a che fare" gli si
risponde: non è possibile... è la legge! :o)
Non possono far finta che la legge sulla tutela dei dati non esista.
Anche se ti rispondono il contrario, una volta avvisati non possono fare
niente di diverso, al limite chidere (solo chiedere) una rescissione del
contratto di manutenzione.
Ciao

di terzi. ... Punto... Non è possibile rifiutare una condizione come questa.
Non la vedrei proprio cosi' semplice.
Il comma 2 dell'art. 29 specifica che il Resposnabile e' scelto tra
coloro che "forniscano idonea garanzia del pieno rispetto delle
vigenti disposizioni". Per questo motivo il Titolare non puo'
semplicemente avvisare, ma verificare che vi siano le condizioni per
l'incarico di Responsabile.
Tant'e' che al comma 5, sempre dell'art. 29, si specifica che il
Titolare "vigila sulla puntuale osservanza delle disposizioni di cui
al comma 2", e quindi anche del rispetto delle leggi in materia.
Ne consegue che rimane comunque a carico del Titolare verificare i
comportamenti del Responsabile, pur esterno che sia.

 
Anche il Responsabile puň essere solo una persona fisica (e sotto il
controllo gerarchico del titolare...).
-- 
A.B.

 comportamenti del Responsabile, pur esterno che sia.
Sono d'accordissimo, anche se l'articolo da te menzionato è rivolto in
particolare (ma non solo) ai responsabili interni all'azienda. Oltretutto il
"verificare" è soggetto a differenti valutazione in base ai contesti
preesistenti. (il comma 5 parla anche di verifiche periodiche....iso9001
docet)
Per quello che concerne la gestione di responsabili esterni la legge ha un
buco legislativo notevole.. IMHO
Per gran parte dell'approccio di base si rifà (a spizzichi e bocconi) a
standard quali il BS7799, ma tralascia la definizione di cose importanti
come questa.
Io sostengo che il responsabile non è solamente "designato" come riportato
dal primo comma dell'art29, ma che in situazioni organizzative normali vi
sono dei responsabili (o incaricati) "naturali" i quali sono OBBLIGATI al
trattamento dei dati personali.
I un 3d precedente veniva sollevato il problema se un dipendente si rifiuta
di essere "nominato" (il morbo del grande fratello impazza) quale incaricato
del trattamento.
Se un dipendente tratta dati non puo rifiutarsi di accettare una condizione
obbligata per lo svolgimento del suo lavoro, così come una azienda esterna
che gestisce in qualsiasi modo i dati personali non può rifiutarsi di essere
"responsabile" (nelle limitazioni previste dal dpr) dei dati gestiti. Io
come azienda semplicemente ti comunico la condizione di fatto, non chiedo
nessuna autorizzazione di nessun genere.
Non importa se dopo la mia comunicazione l'azienda mi manda una raccomandata
che dice "no"..... io che ti ho comuncato per iscritto le modalità di
trattamento dei dati sono a posto con la legge (sempre nel limite della
verifica dell'art 29).... tu se mi rispondi di no, semplicemente non lo sei.
Il concetto di base è che una azienda informatica che ripara sistemi di
elaborazione dati viene a contatto (e quindi tratta) dati personali al 100%
La legge mi impone di analizzare la mia struttura e capire quali siano i
dati e quali le modalità di trattamento degli stessi.
In questo contesto semplicemente avviso l'azienda esterna che lui sta
"trattando" dati personali di cui io sono il titolare del trattamento e di
cui io dovro rispondere in caso di contestazione...indi per cui ti comunico
come voglio che tu tratti i dati di cui vieni in possesso.
Ovvio che questa mia lugubrazione e IMHO........ed è la modalità che attuo
con i miei clienti.
Saluti
D


Non credo sia questo il caso, poiché il trattamento in oggetto avviene 
'esternamente' ovvero in un un rapporto cliente/fornitore.
Quindi  a mio parere il titolare del trattamento 'cliente' del suo 
fornitore di servizi hardware/software deve comunicare ai titolari dei 
dati personali che egli tratta dell'eventuale trasmissione a terzi 
(fornitori hd/sw)  dei dati stessi e le finalità connesse.
Contemporaneamente informa (concordo quindi con 'guanche') il proprio 
fornitore hd/sw che per svolgere il lavoro assegnatogli esso tratterà in 
forma diretta o non dati personali secondo le finalità del caso.
A questo punto il fornitore diventa automaticamente "Titolare del 
trattamento" nei confronti del proprio cliente.
Saluti e buone feste.

 Contemporaneamente informa (concordo quindi con 'guanche') il proprio 
Contemporaneamente informa (concordo quindi con 'David Romagnoli') il 
proprio