Newsgroup: it.comp.sicurezza.varie
Titolo: DPS, mah...

Salve, scrivo per avere una delucidazione in merito al subj. Se ho ben
capito chi tratta solamente dati personali e non sensibili o giudiziari non
č tenuto a redarre il DPS entro il 30 giugno. Dunque io, come immagino
migliaia di altre partite IVA, che detengo un database di clienti, fornitori
e dipendenti (ma non redigo io la busta paga, ci pensa un consulente esterno
dunque a parte lo stipendio "ufficialmente" non so altro di loro) non sono
obbligato a redarre il documento. E questa sarebbe la delucidazione
richiesta ;)
Immagino (e spero) che la cosa si risolva cosi' come descritto sopra
altrimenti non riesco a pensare l'infinita' di artigiani clienti miei che
sono nelle mie condizioni ma che non hanno nessunissima competenza (e vabbe'
c'č gente pagata per risolvere certi problemi) ma nemmeno le procedure di
lavorazione o al limite un po' d'ordine in ufficio per "sostenere" il DPS.
Ritengo giusto lo spirito della legge ma non si puo' nemmeno ragionare come
se tutti quelli che lavorano in proprio in Italia siano certificati ISO con
procedure e balle varie.
Scusandomi per eventuali inesattezze (non essendo io un esperto di
informatica ma solo un umile utilizzatore) ringrazio anticipatamente chi
chiarirą i miei dubbi.
ciao

 richiesta ;)
[...]
Da quello che ne so, anche io mi trovo nella tua stessa situazione, se hai
un database clienti, hai dei dati sensibili e quindi devi ottemperare al
Dlgs 196/2003
Io, per non incorrere in equivoci l'ho compilato, viste le sanzioni
economiche e penali che vai incontro: se sai come compilarlo non ti costa
nulla ;-)
Luigi

 Italia siano certificati ISO con procedure e balle varie.
Ricordati però che nonostante tu non abbia data di scadenza per il DPS, non
vuol dire che tu non debba applicare nessuna misura di sicurezza ai tuoi
database.
Non sono dati sensibili, ma sono cmq dati personali e un minimo di sicurezza
con annesso documento programmatico (senza la scadenza del 30 Giugno) li
devi applicare (accesso ai computer con password, backup di enetuali
database, ecc...).

 database, ecc...).
[...]
Se non erro, per dati sensibili si intendono quei dati riconducibili alla
persona, ossia P.Iva, Codifce fiscale, etc, etc quindi a meno che nel data
base vi è solo nom e cognome e basta, devi ottemperare.
Luigi


Il vero problema non č compilarlo, ma attuare quelle che sono le misure
minime di sicurezza, che nel piů dei casi implicano la consulenza di tecnici
informatici...e poi il DPS impone l'obbligo dell'autoformazione.
Tale obbligo č esteso dicono gli esperti " il sole 24 ore , inserto maggio
la mia privacy" che č esteso a chiunque abbia una banca dati anche non
sensibili o giudiziari... quindi occhi
Viaco

 richiesta ;)
Secondo me sei ottimista.
I tuoi dipendenti si ammalano?
Ti mandano i certificati di malattia?
Gli passi assegni familiari per figli, nonostante, ad esempio, siano
nubili?
Ne hai qualcuno iscritto al sindacato per cui applichi la trattenuta
sulla busta paga?
Hai qualcuno che ha chiesto permessi per la presenza ai seggi?
...
Beh, se e' vero almeno uno dei punti qui sopra, tu i dati sensibili li
tratti.
Forse non informaticamente, ma li tratti.
Pertanto, il DPS e' un tuo incubo necessario.
E, a scanso di equivoci, il DPS non si deve limitare agli aspetti legati
all'elaborazione dei dati, basta avere in un cassetto il certificato di
malattia per dover pensare al DPS, a limitare l'accesso a quel cassetto,
alla stanza, etc.etc.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 alla stanza, etc.etc.
qui volevo arrivare. come fa il carrozziere, il falegname, l'idraulico tutta
sta gente che ha uno o due dipendenti, alfabetizzazione informatica zero (ma
anche organizzativa) ad ottemperare alla 196. E' impossibile.
ciao

 nulla ;-)
dove trovo un fac simile che non sia dello spammer qui sotto ;)???
ciao

 sensibili o giudiziari... quindi occhi
nel mio piccolissimo:
1 server con un gestonale
1 client con gestionale
esco in internet con router e nat e firewall impostato sul router
password nel bios sui due computer
backup un paio di volte la settimana facendo l'immagine di tutto il
programma gestionale (100MB una cagatina di bakup)
copia cartacea di fatture etc dove ovviamente appaiono i nomi di clienti e
fornitori.
il tutto chiuso in un locale (lo stabile) protetto con antifurto volumetrico
e a contatto magnetico collegato con telesorveglianza.
dunque se metto per iscritto la mia  ricca dotazione e le misure che (da
sempre perchè le reputo di buon senso a prescindere da leggi) ho adottato
secondo una significativa percentuale del NG dovrei essere a posto. :)))
grazie e ciao


abilitiamo l'accesso ai locali solo previo riconoscimento delle impronte
digitali e, a scanso di equivoci, bruciamo i polpastrelli di tutti i
dipendenti che non devono avervi accesso ;)

 anche organizzativa) ad ottemperare alla 196. E' impossibile.
Esattamente come ottemperano ai dettami del DLgs 626/94, del DPR 203/88, della
L 46/90 ecc ecc ecc: pagano un consulente.
Fabio

 cognome e basta, devi ottemperare.
No, quelli sono dati personali.
Per sensibili si intendono dati medici/politici/religiosi/sessuali e
giudiziari.

 implicano la consulenza di tecnici informatici.
Vero, non puoi fare a meno di tecnici informatici (altrimenti che sicurezza
informatica sarebbe?).
Allo stesso modo quando hai un problema di salute ti rivolgi a medici.

 significativa percentuale del NG dovrei essere a posto.
Si, in pratica sei messo abbastanza bene.
Magari aggiungerei qualche piccolo dettaglio tipo "gruppo di continuità per
il server", antivirus e poco altro.

 seggi? ...
Veramente ha specificato che tutta la gestione delle buste paghe viene
effettuata esternamente.
Adesso non esageriamo con tutta questa mania che chiunque debba per forza
fare il DPS.

 il server", antivirus e poco altro.
li ho ma avevo solo dimenticato di scriveli.
ciao


Ho come l'impressione che ne vedremo delle belle, a livello di cause in cui
non si potra' dimostrare il dolo ma "dato che il DPS non e' stato
compilato"... <g>


Mica vero, io vado dal guaritore vudu' ;)

 li ho ma avevo solo dimenticato di scriveli.
Non dimenticare di scriverli sul DPS :-)

 dipendenti che non devono avervi accesso ;)
Ehi, non l'ho mica scritta io, la legge.
Io l'avrei fatta molto piu' bastarda. ;-)
Seriamente, il problema c'e'.
Il trattamento e' una definizione vastissima, e il solo fatto di
ricevere il certificato medico e poi passarlo al consulente paghe
e' gia' fonte di preoccupazione.
E se lo perdo durante il trasporto?
E se lo affido ad una agenzia di servizi di segreteria che lo deve
consegnare e quello lo legge?
E se mi faccio male in azienda, devo firmare il consenso prima
che i colleghi mi possano soccorrere? ;-)
E se mi sono rotte entrambe le braccia, mi lasciano li' per terra
facendo finta di non aver visto nulla che possa rivelare il mio
stato di salute?
Chiedere all'amico: " Luigi come sta? " e' istigazione a delinquere?
E se ...
E se si cercasse di non varare leggi che cerchino disperatamente
di regolamentare il buon senso? :-(


 effettuata esternamente.
Ok, io sono il tuo dipendente.
Se mi ammalo, a chi lo devo inviare, il certificato?
Se lo devo inviare a te, tu tratti dati sensibili.



Tipo il decreto Urbani, per esempio, eh ? ;-)

 ha scritto nel messaggio
news:MPG.1b327eb391d59c54989b78@localhost...

come no!
in teoria è come dici tu nella realta' significherebbe multare praticamente
tutti. Parlo di micro realtà, sia ben inteso.
ciao

 ha
scritto nel messaggio 
news:2ir6d3F...@uni-berlin.de

Ok, hai ragione in effetti era meglio mettere un generico "professionisti
della salute" :-)


non e' questione di multe.
e' questione politica, leggi pararsi-il-culo.
Nel senso che, se io pago una ditta autorizzata a mettermi in regola, loro
devono sbattersi per mettermi in regola.
E se poi per caso non lo sono, so' cazzi loro.

 di regolamentare il buon senso? :-(
Bella idea.

 Se lo devo inviare a te, tu tratti dati sensibili.
No, io non li tratto, il vero "TRATTAMENTO" è gestito esternamente.
Riguardanti la definizione di trattamento dati, non corrisponde al mero
"possesso temporaneo" o alla sola "titolarità" ma è qualcosa di ben più
specifico e sistematico.

 E se poi per caso non lo sono, so' cazzi loro.
non son mica convinto di questo. credo che la responsabilità resti del
committente.
ciao

 E se poi per caso non lo sono, so' cazzi loro.
No, in nessuno dei casi citati, ed anche in molti altri, funziona in
questo modo: il responabile sei sempre tu. Se poi vuoi intentare una
causa per rivalerti in sede civile nei confronti del consulente, sei
liberissimo.
Fabio


Si, e' vero. La prossima volta mi devo informare meglio ;)

 praticamente tutti. Parlo di micro realtà, sia ben inteso.
L'adeguamento al 196/03, soprattutto nelle microrealta', non e'
ne particolarmente problematico, ne particolarmente costoso. Se
non hanno il denaro per ottemperare a quel poco richiesto dalla
196/03 non avranno, tantomeno, i soldi per gli adeguamenti alle
altre norme, ben piu' costosi da ottemperare e con sanzioni che
sono piu' gravi. Non vedo perche' tanto clamore per la praivasi
quando, in fondo in fondo, l'adeguamento e la documentazione da
esibire richiesti da molte altre norme sono molto piu' onerosi,
in termini economici.
Fabio

 ha scritto nel messaggio
news:2ir5qaF...@uni-berlin.de...

[...]
Secondo me sbagli, allora chi ha controllo sulle buste paga di un impiegato
secondo il tuo modo di "vedere i dati sensibili" non è soggetto in quanto la
busta paga non ha dati medici/politici/religiosi/sessuali etc etc?
Leggi bene che per sensibili si intende quello che ho scritto su.
Luigi

... e senza contare che in molti casi le misure minime richieste
dall'allegato B e un minimo di procedurizazzione e analisi delle
problematiche di sicurezza (chiamalo DPS se vuoi) sono il minimo
che qualsiasi persona sana di mente dovrebbe implementare, anche
senza una norma cogente che lo imponga.
Fabio (oggi un po'polemico :-P)

 Fabio (oggi un po'polemico :-P)
e anche un po' cogente, direi :-P

 Leggi bene che per sensibili si intende quello che ho scritto su.
Leggilo meglio tu, il decreto sulla privacy.
I dati sensibili sono quelli che possono indicare lo stato di salute, le 
abitudini sessuali, l'orientamento politico, l'appartenenza a sindacati,
le convinzioni religiose, e alcuni dati giudiziari.
Il resto sono dati personali.


 Tipo il decreto Urbani, per esempio, eh ? ;-)
E sai chi e' stato il destinatario della prima denuncia basata
sul decreto Urbani?
Il ministro Urbani, o meglio, il sito del ministero:
http://punto-informatico.it/p.asp?i=48552
Come diceva, quello la', sulla trave e sulla pagliuzza?


 Bella idea.
Gia', ma io mica ci sono, al governo. :-(



Ma chi ? Quello dell' acqua, del vino, dei pani e dei pesci ? ;-)

Icestorm ha scritto:

L'articolo 31 del codice riprende pari pari l'articolo 15 comma 1
precedente, e nello specifico:
sancisce in proposito l'obbligo di custodia e controllo dei dati ...
in modo da ridurre al minimo, mediante l'adozione di idonee e preventive 
misure di sicurezza, questi rischi specifici:
- distruzione o perdita anche accidentale dei dati
- accesso non autorizzato
-
-
Ora, qui non si parla specificatamente di base dati, informatica,
archivio, o altro.
Si parla dei dati in quanto tali.
E un certificato medico e' di fatto, un record pieno di dati personali
e sensibili.
E il consegnarlo ad un terzo e' comunicazione, e rientra nella
definizione di trattamento.
Oh, come dico sempre, questi miei scritti hanno lo stesso valore
di consigli legali avuti da un macellaio, un perito elettronico, un 
geometra o un centravanti.
E questo e' uno degli altri problemi:
Ma perche' il normale cittadino non deve essere messo in grado di
capire le leggi che deve rispettare, e deve per forza chiedere
pareri autorevoli (e spesso onerosi) a professionisti
dell'interpretazione leguleia?


 abitudini sessuali [...]
Ne consegue che, se sul documento c'e' scritto che sono coniugato, 
questo esprime le mie preferenze sessuali, e quindi e' un dato 
sensibile, giusto?
-- 
ciao            |visita
                 |
http://www.sifor.it
gelty           |
http://www.sifor.com
-------------------------------------
E' esplicitamente vietato usare l'indirizzo e-mail di questo messaggio
per fini diversi dalla risposta al messaggio stesso (Art. 10 DL. 171/98).

 sensibile, giusto?
no. non saresti il primo gay sposato con una donna. ;)
ciao

 la delucidazione richiesta ;)
Il Garante dice che non sei tenuto a redigere il DPS se non tratti dati 
sensibili o giudiziari, ma comunque ti devi attenere alle misure minime. 
Inoltre in base alla complessità della tua struttura informatica devi
adottare 
le misure idonee. Il DPS lo devi vedere come uno strumento utile alla 
verifica della sicurezza della tuo sistema informativo e non un obbligo 
(anche se nel tuo caso non è  un obbligo).
-------------------------------------------
http://www.trinetwork.it
 
http://www.trinetwork.net
Consulenza informatica
------------------------------------------

 ciao
Ma di chi parli? Di quel pazzo spammatore a tutto campo che ha messo dei 
  DPS precompilati scaricabili gratuitamente su 
www.vesema.it
? ;))

   ;)) 
altra occasione buona per pubblicizzare il sito? interessante..
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

 pubblicizzare il suo sito
fatto.


 Si parla dei dati in quanto tali.
Punto Informatico da' ragione alla tua interpretazione:
http://punto-informatico.it/p.asp?i=48571
:-((
Naturalmente come dice Fabio e' vero che le misure minime dovrebbero
essere adottate da un'azienda indipendentemente dagli obblighi di
legge, ma un conto e' usare il buon senso, altro e' cercare di
adempiere a norme spesso fumose anziche' no.
Comincio a intravedere materia per un prossimo condono.
-- 
Jolly

 non ha dati medici/politici/religiosi/sessuali etc etc?
Certo che lui ha i dati sensibili!
Chi gestisce le buste paga ha i giorni di malattia, certificati medici,
iscrizioni a sindacati, ecc...
Non ho mai detto che la gestione delle buste paghe non sia sensibile.

 altra occasione buona per pubblicizzare il sito? interessante..
Allora dimmi, come posso rispondergli dove poter scaricare il DPS 
precompilato?

 dalla pirateria informatica.
Mi sembra che i dati segnalati non siano sensibili.. E poi cosa c'entra 
l'SSL?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 precompilato?
francamente mi sono già stufato ..


 
L'ho letta oggi, ma interlex da un parere diametralmente opposto.
Della serie: non ci capiscono niente neanche gli addetti ai lavori


 addetti ai lavori
Questo č poco ma sicuro.

> anagrafiche (Dati Sensibili) es: Nome, Cognome, Indirizzo, Telefono,
                 ^^^^^^^^^^^^^^^
Questo dovrebbe far buttare nel cesso ogni riferimento al mittente
di questa cosa, visto che lo squalifica completamente e lo pone
in una pessima luce come *specialista* a cui appoggiarsi.
I dati che lui cita sono personali ma non sensibili.
I casi sono due: non lo sa, o ci marcia.
In entrambi i casi, e' poco serio.
Il fatto che ci si cominci a preoccupare di non mandare in giro dati
grezzi in chiaro, pertanto sniffabili, e' cosa buona, ma va valutata
volta per volta per calibrare le misure all'effettivo rischio.


 
Anche perchè i certificati ssl costano qualche euro ed i form classici 
sono giusto per evitare il mailto.
E poi in questo caso ci vorrebbe un certificato per dominio: avrò 
qualche centinaio di form..


Questo è poco ma sicuro.
Un consulente che conosco personalmente mi ha riferito che i controlli
sono gia' in corso! Ma a questa proprio grossa, non ci credo, perche'
altrimenti ne saremmo venuti a conoscienza! Io personalmente credo che
una proroga del DPS comincia a essere sempre piu' credibile. Tanto per
indicare quanti Studi professionali sanno di questo D.Lgs. oggi mi ha
contattato il mio commercialista (a cui sto facendo il DPS) e mi ha
chiesto se poteva dare il mio numero di telefono a 4 studi di
architettura, uno Studio che svolge perizie per il Tribunale (!!!!) e
due aziende di medie dimensioni (circa 40 dipendenti) per valutare se
devono o meno: (cito parole testuali): "fare quel coso per la privacy
e sistemargli i computer!"

 quel coso per la privacy e sistemargli i computer!"
Si, ho visto in giro anche io moltissime situazioni simili.
Pensa che stamattina una scuola era incerta se farlo o no perchè "forse ci
pensa il Ministero a noi" (seee, state freschi...).

 > addetti ai lavori
Siamo d'accordo :-((
Tanto per gradire, ho chiesto stamattina al mio consulente del lavoro
come si sta attrezzando e cosa dovrei scrivere io sul mio eventuale
DPS a proposito dei nostri dati sensibili che lui detiene
(rif.dipendenti, appunto)... morale: lavora sotto Win98 senza neanche
uno straccio di personal firewall, ed e' tutto contento perche' dalla
rete interna (quella col gestionale per intenderci) si collega solo
con i siti istituzionali (immagino
ministeri, INPS e INAIL), mentre ha adibito un altro pc, non
collegato, alla posta e al surfing. Su questo pc fuori rete ha un
trojan da mesi e ancora non ha fatto niente perche' il "suo tecnico"
gli ha detto che non e' distruttivo.
Il mio assicuratore (x l'azienda) sempre stamattina diceva che per ora
hanno chiesto una proroga (sic!) e la primaria compagnia nazionale "si
sta attrezzando" con userID, intanto lui prevede che dovra' rifare
completamente gli arredi dell'ufficio perche' ha le pratiche
(immaginiamo quanti dati sensibili ha un'assicurazione!) accessibili
dal pubblico.
Pero' una cosa terra terra la sapevano tutti e due, ovvero che
nell'ambiente si domandano "chi" farebbe i controlli e quali
qualifiche dovrebbe avere, per avere qualche speranza di capire quello
che sta controllando. Gia' si favoleggia di verifiche da parte di
"agenti del Garante".
Io sono in una situazione simile ad adtl con meno protezioni, ma non
mi fido per niente dei cosiddetti "tecnici" dopo un paio di esperienze
malefiche che mi hanno fatto decidere a imparare quel poco che so di
sicurezza e reti, e come me chissa' quanti ce ne sono :-((
-- 
Jolly

 Garante".
Si, i MiB: Men in "Boh? E io che ne so?"

 Si, i MiB: Men in "Boh? E io che ne so?"
Scherzi, ma ricordo ancora le orride "bolle di accompagnamento"
fiscali e un verbale da 900.000 L. con relativo ricorso e giornate
perse fino alla sentenza di cancellazione, perche' un tale aveva
scritto 12 (=dicembre) "senza lo zero davanti". Giuro, la bolla
l'avevo scritta io, immagina quante me ne sono sentita dire... Per
dire che prevedo tempi cupi se i controllori sono allo stesso livello
:-((
Continua a sembrarmi un potenziale interessante per il prossimo
condono.
-- 
Jolly

 pensa il Ministero a noi" (seee, state freschi...).
Pero' questo e' interessante e mi fa venire in mente una cosa: secondo
questa interpretazione ogni unita' locale operativa di un'azienda
dovrebbe fare un DPS a parte e conservarlo in loco per poterlo
esibire? E in caso negativo, dovrebbe comunque avere a disposizione
copia con data convalidata del DPS aziendale? mumble...
-- 
Jolly

 sono allo stesso livello :-((
Un attimo, credo di aver capito malissimo.
Tu hai fatto una bolla con una data del tipo "01/12/2003" e ti hanno
contestato che mancava uno zero davanti al 12??? Ma sono scemi oppure ho
veramente capito male?

 conservarlo in loco per poterlo esibire?
Beh, una scuola non è una "unità locale", ma una "azienda" a se stante.

Beh, una scuola non č una "unitą locale", ma una "azienda" a se stante.
Infatti un giorno andando a trovare i miei vecchi professori delle
Superiori (informatica e matematica) ho incontrato la vicepreside (che
ora si chiamano vice dirigenti, incredibile!) e gli ho chiesto se
avevano fatto il DPS, lei: "si, vieni a vedere, entro in segreteria e
i faldoni sono tutti per aria (come al solito quando frequentavo la
scuola) i computer sempre con Win98 e uno con Win95 e la vice mi tira
fuori il DPS (di due pagine!) compilato da una non meglio precisata
azienda di informatica, io gli ho chiesto quanto gli e' costato il
DPS, e quando me lo ha detto ho subito pensato: ho alzo le tariffe o i
miei DPS faccio prima a regalarli! Ho detto: "ok ok carino" e me ne
sono andato.
Allucinante!

 veramente capito male?
Hai capito molto bene: secondo le istruzioni doveva essere "01/12/83"
e il solerte finanziere gli ha contestato la mancanza di uno "0"
davanti al "12" (erano i primi anni di applicazione delle BDA
fiscali). Pensa che, come usava allora, ha dovuto perfino sborsare
900.000 (grossomodo equivalente allo stipendio che ho rischiato!)
prima di presentare il ricorso, che ha vinto, e chissa' se e quando
gliele hanno restituite... quando ho cambiato mestiere, un paio di
anni dopo, ancora aspettava il rimborso. Not bad eh? (la pianto
subito, scusate l'OT)
-- 
Jolly

 l'SSL?
Certo che non lo sono, e direi che SSL non c'entra una mazza.
La cifratura dei dati deve essere adottata in alcuni contesti
(anche se sempre in alternativa ad altre soluzioni e, quindi,
non obbligatoria tout court) che, sebbene un po' poco chiari,
riguardano sempre e solo i dati sensibili.
Va da se che, riprendendo quel che ha detto roberto, quel che
ti scrivo io vale come quello che ti racconta il barbiere :-)
Fabio

> E poi in questo caso ci vorrebbe un certificato per dominio:
... e un ip per ogni dominio :-) Non so come li gestisci, ora,
ma direi che anche questo e' un costo.
Fabio

 ti scrivo io vale come quello che ti racconta il barbiere :-)
Oh,  il mio barbiere ha la soluzione per la nazionale di calcio,
la soluzione definitiva per la poverta' nel mondo,
la soluzione per l'economia italiana,
la soluzione per il raffredore,
la soluzione per la calvizie,
Secondo lui.
Forse, l'ultimo punto porebbe anche ... :-)



Ovviamente con 1 ip per n domini


 Fabio
Mi sembra che o son diventati tutti barbieri (avvocati, commercialisti, 
consulenti informatici, spippolatori) oppure hanno scritto la solita 
legge che può essere interpretata a piacere senza grossi problemi.


 Allucinante!
Hai mai visto gli uffici di qualche studio legale, o dei commercialisti,
specialmente in fase di dichiarazione dei redditi?
-- 
Bye by V.

 Se lo devo inviare a te, tu tratti dati sensibili.
Nella copia del certificato medico che si invia in azienda *non* compare
la patologia, ma solo il periodo di malattia.
Ora, che uno stia tre giorni o tre mesi "assente per malattia" non vuole
dire assolutamente niente sul suo stato di salute, tanto più che in ogni
certificato ci può essere anche solo una parte del periodo di malattia e
solo avendo tutti i certificati in mano, si può "dedurre" qualcosa circa
la presunta gravità, ma a mio parere niente di sensibile e, soprattutto,
niente "che possa ricondurre al suo stato di salute".
-- 
Bye by V.(ipera e i cavilli)

 "agenti del Garante".
http://www.gdf.it/stampa/Comunicati/2002/settembre/rm26set.pdf
-- 
Bye by V.

 la soluzione per la calvizie,
Perň!
Un genio il tuo barbiere :-)

 Allucinante!
Ehm... se non sono troppo indiscreto... quanto hanno pagato???

Ehm... se non sono troppo indiscreto... quanto hanno pagato???
Non lo posso dire c'e' la privacy! :)
Se vuoi piangere 2000 euro, ma non ho capito se iva inclusa o esclusa.

gli allegati (note informative, lettere di incarico, ecc...).
Anche io piů o meno 5-6 pagine, dipende. Il mio top e' stato 7 mi pare
(allegati esclusi ovviamente).

 Se vuoi piangere 2000 euro, ma non ho capito se iva inclusa o esclusa.
Argh, piango in entrambi i casi.

 
Domanda (a questo punto mi arrendo perché, come dice guccini, "la
materia di studio sarebbe infinita e soprattutto perché so di non sapere
niente"):
l'art.34 del DLgs dice:
<< Il trattamento di dati *personali* effettuato con strumenti
elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B, le seguenti misure minime:
a) [....]
g) tenuta di un aggiornato documento programmatico sulla sicurezza; >>
Da qui sembrerebbe che non la scampi nessuno; o vi risulta altrimenti?
mille grazie
ciao
-- 
daniela

 "agenti del Garante".
Al corso che ho fatto io ci hanno detto che sono stati nominati un
centinaio di funzionari appositamente addetti a questi controlli, e in
più che costoro si debbono autofinanziare (= fare tante multe per
portare a casa la pagnotta) con il loro lavoro...
Boh, se è così sarebbe la prima volta che devono lavorare davvero!
ciao
-- 
daniela

 Da qui sembrerebbe che non la scampi nessuno; o vi risulta altrimenti?
Apparentemente dal DPS effettivamente non la scampa nessuno, è dalla
comunicazione al Garante che si può essere esonerati.
Quello che secondo me non ha senso è che se per esempio io sono solo
un veterinario (quindi libero professionista, quindi azienda), e per
esempio uso il pc *soltanto* per leggere i newsgroup sugli animali e
scaricarli sul pc, e nient'altro se non qualche mail via web, io sia
tenuto a fare sto £$&ç# di DPS e un privato che faccia col suo pc le
stessissime identiche cose, no.
-- 
Bye by V.

 portare a casa la pagnotta) con il loro lavoro...
Scusa, ma da che fonte perverrebbe sta cosa?
Così, tanto per sapere, che a me risulta ancora una vecchia notizia,
giusto nel link che ho messo nel post vicino al tuo


Boh, se è così sarebbe la prima volta che devono lavorare davvero!
Scusa daniela non ti offendere, ma se questa notizia che tu hai dato
fosse vera sarebbe veramente grave, prova a fare questo ragionamento:
io sono l'addetto ai controlli vado in una azienda di 4 dipendenti e 1
impiegato (capoccione escluso) e il primo armadio che trovo che non ha
la chiave e contiene anche solo un fogliettino, un fax, un post-it con
il nome e le ore fatte da un dipendente faccio una mega multa che mi
intasco in parte io personalmente?!?!?!!??!?!
Accidenti dove e' che ci si iscrive alla lista degli addetti? Conosco
almeno una 30ina di aziende che dovrebbero fare il "dipiesse" ma che
non possono farlo per ragioni pratiche e finanziarie (per una azienda
che ha aperto da poco e magari usano i PC di casa per mantenere i dati
contabili, paghe etc) mettere a norma tutto, gli conviene sicuramente
chiudere l'attivita', ed io addetto ai controlli mi compero una bella
Ferrari nel giro di una settimana con i soldi delle multe! 
Daniela te lo ripeto, scusa, ma questa notizia ho problemi a crederci.
Cita per favore la fonte.
Ciao

Argh, piango in entrambi i casi.
Gia' anche io.
Oggi ho visto personalmente un preventivo di non so bene chi per il
DPS e relativa messa a norma di tutto il sistema (informatico e non),
studio legale con 2 sedii (6 computer, un server Linux, etc)
preventivo? Tutto incluso, 200euro +iva (ho scritto giusto 200euro!).
Da un estremo all'altro.

 risulta altrimenti?
Esatto.
Questa è una ulteriore prova che TUTTi sono tenuti a fare il DPS ma solo chi
ha dati sensibili/giudiziari ha la scadenza del 30/06/2004.

 estremo all'altro.
In effetti anche questo mi sembra eccessivo (in difetto ovviamente).
Volendo stare scarsi, anche se ci sono da fare interventi minimi e il solo
DPS, almeno due giornate di lavoro dovrebbero essere messe in preventivo.

 pagnotta) con il loro lavoro...
Se è vera una cosa del genere è quantomeno scandalosa!
L'autofinanziamento è una vera e propria istigazione a fare multe!

 portare a casa la pagnotta) con il loro lavoro...
Mi associo agli altri: la fonte pliiize!
Gia' che ci siamo, puoi dire che corso hai seguito? (mi farebbe comodo
poter fare qualche confronto)
Ciao
-- 
Jolly

 Da un estremo all'altro.
Se fosse realistico (immagino addebiteranno a parte l'eventuale HW-SW
necessario per la messa in sicurezza?) avrei risolto i miei problemi:
mi costa senz'altro di piu' il tempo speso per chiedere e confrontare
i preventivi! :-((
-- 
Jolly /malignazza che pensa subito all'inghippo...

lavorazione o al limite un po' d'ordine in ufficio per "sostenere" il DPS.
Noto che l'attenzione di tutti (anche al di fuori di questo forum) e'
rivolta al DPS ed alla sua redazione. Molti, quindi, ritengono che
questo documento sia il punto focale della legge.
Addirittura qualcuno discute sulla tariffa da applicare per la
redazione del documento.
Forse si e' persa la visione d'insieme della legge.
Io ritengo che il sistema migliore per valutare quanto la legge ponga
importanza ad un suo dettato sia quello di verificare le sanzioni per
omissioni.
Nel caso specifico si scoprirebbe che l'art. 169 dice "Chiunque,
essendovi tenuto, omette di adottare le misure minime previste
dall'art. 33 e' punito con l'arresto sino a due anni o con l'ammenda
da diecimila euro a cinquantamila euro".
Solo da questo io dedurrei che l'insieme delle "misure minime"
rappresenta il punto focale, una cui parte e' relativa al DPS.
Per questo motivo e' opportuno porre attenzione alla necessita' di
predisporre "istruzioni" e "procedure", che non sono semplici
documenti precompilati rilevabili in rete.
Vi riporto un elenco di quanto nella legge si richiede in questi
termini:
· Sistema di autorizzazione - Considerazioni generali
· Procedura di gestione delle credenziali di autenticazione
(ex D. Lgs. 196/2003 - art. 34/1/b)
· Procedura di autenticazione per trattamento
(ex D. Lgs. 196/2003 - all. B - art. 1)
· Disposizioni per accedere ai dati in assenza o impedimento
dell'incaricato 
(ex D. Lgs. 196/2003 - all. B - art. 10)
· Procedura per il salvataggio dei dati
(ex D. Lgs. 196/2003 - all. B - art. 18)
· Procedura per la custodia delle copie di sicurezza
(ex D. Lgs. 196/2003 - art. 34/1/f)
· Procedura per il ripristino di dati e sistemi
(ex D. Lgs. 196/2003 - art. 34/1/f)
· Istruzioni per l'uso sicuro dei Personal Computer
· Istruzioni per la segretezza e custodia delle credenziali
(ex D. Lgs. 196/2003 - all. B - art. 4)
· Istruzioni per evitare di lasciare incustodita la postazione di
lavoro
(ex D. Lgs. 196/2003 - all. B - art. 9)
· Istruzioni per la custodia ed uso dei supporti rimovibili - dati
sensibili
(ex D. Lgs. 196/2003 all. B - art. 21)
· Procedura per la custodia di atti e documenti senza strumenti
elettronici 
(ex D. Lgs. 196/2003 - art. 35/1/b)
· Procedura per la custodia di atti in fase di trattamento 
(ex D. Lgs. 196/2003 - all. B - art. 27)
Come si vede, altro che modello precompilato.
Inoltre, una struttura organizzativa minimamente formalizzata richiede
altre procedure interne a tutela del sistema informativo, per esempio
uan procedura per la gestione della segnalazione di assenza per
malattia.

"Jolly1a8" <CANTAl...@SUONAtin.it.invalid> ha scritto
nel messaggio news:pJyzc.5465$%
l2...@news.edisontel.com

A pensare male mi viene in mente che potrebbe essere uno di quei
"pseudo-corsi" che alcune ditte tengono per informare le aziende su questa
legge e nello stesso tempo vendergli il servizio per la realizzazione del
DPS.
Potrebbero anche aver sparato una cosa simile per fare del "terrorismo".

 Come si vede, altro che modello precompilato.
Vabbé, ma è ovvio che se uno fa il DPS indica queste misure di sicurezza
(altrimenti voi che ci mettete nel DPS? ^_^).
Non è che uno nel DPS scrive "il backup funziona così:..." e poi in realtà
il backup manco esiste.

 Potrebbero anche aver sparato una cosa simile per fare del
"terrorismo".
Eh, perche' credi che sia interessata a saperlo? A me due di queste
hanno *spammato* la pubblicita' dei corsi (indovina l' andazzo della
corrispondenza successiva) :-)))))
-- 
Jolly

daniela wrote:
[...]
Dunque, provo a rispondere in sunto :-)
Purtroppo non posso darvi alcuna fonte, se per fonte intendiamo ad
esempio un URL, in quanto si tratta di informazioni che mi sono state
_dette_ durante il seminario che ho fatto.
Oltre a questi famigerati funzionari, gli altri organi che hanno
citato come addetti per i controlli sono la GdF e la polizia postale.
Il discorso che qualcuno faceva sulla megamulta, diciamo così,
"interessata" credo sia un po' eccessivo perché cmq le sanzioni sono
definite e non è che ci si può inventare le cifre (anche se, ovviamente,
si può essere particolarmente bastardi per trovare tutti i peli
possibili nel classico uovo...).
E poi non sarebbero gli unici ad avere questo tipo di trattamento: anche
gli ausiliari del traffico si "pagano" con le multe che fanno, se non mi
sbaglio.
Invece, per il discorso "terroristico" dei docenti direi proprio di no,
perché la cosa è finita lì, nessuno si è "proposto" come consulente, non
era quello lo scopo.
Mi spiace, ma non so altro.
ciao
-- 
daniela

 sbaglio.
Qui da me sono regolarmente stipendiati dall'Azienda dei Trasporti.
E il loro lavoro è andare in giro a fare controlli e di conseguenza
multe, ma che discorso è che "si pagano" con le multe che fanno?
Quasi quasi un f-up su idlm.
-- 
Bye by V.


Meglio così; io ho sempre sentito parlare di quell'altro metodo ma a
questo punto suppongo che abbia ragione tu.
Resta il fatto che è previsto che i controlli siano fatti in primis da
personale specifico (art.158); poi la "destinazione" delle multe magari
è solo un'estrapolazione di quel docente, non so.
Però vorrei precisare che non ci tengo particolarmente ad avere ragione
(!), visto quello che comporterebbe, solo sarebbe interessante andare a
fondo alla cosa (anche se non saprei dove informarmi, in verità).
ciao
-- 
daniela