Newsgroup: it.lavoro.prevenzione
Titolo: documenti 626/94 e legge sulla privacy

buonasera a tutti mi chiamo luigi e sono nuovo sia delle news che della
sicurezza, non posso negare che oltre ad i corsi che ho fatto molte nozioni
le ho apprese grazie a voi.
Una domanda vorrei fare.
Una azienda da me "assistita"in qualita di RSPP mi contesta dopo un anno la
mancata consegna dei documenti; in particola modo le  schede da me usate per
intervistare i dipendenti(parere sulla sicurezza ed i rischi verificati
dagli stessi dipendenti), le chk list oltre al già consegnato dvr, so che il
tutto si riduce al fatto che loro da un anno non mi hanno ancora versato
nulla, ma vorrei sapere quali documenti realmente sono obbligato a dare
all'azienda. Vi informo di avere comunque distrutto, non avendo archivio che
possa essere chiuso in ufficio, le chklist e le relazioni di dipendenti,
(questa è un'azienda che pur di mandare via gli operai VA CONTRO A QUALSIASI
REGOLA) ora sto entrando in causa e mi dovrò cercare un buon avvocato il
loro mi contesta la mancata presentazione dei documenti ai sensi dell'art. 8
della 626/94 mah!!! forse intendeva il 9.
Vi ringrazio per tutto l'aiuto che ogni giorno mi date per crescere, sono in
attesa di una facolta qui a cagliari in materia di sicurezza e prevenzione,
per crescere un po di più.

 ha scritto nel messaggio
news:c591hq$2cp$1...@lacerta.tiscalinet.it...


 per crescere un po di più.
Se accetti un consiglio: bada a crescere anche sotto gli aspetti gestionali
e di autoorganizzazione perché da quello che esponi mi sembra che tu ti sia
mosso un po' a casaccio.
-- 
Marcello Mattioli
Paradigmi Sas

 ha scritto nel messaggio
news:xQsec.44310$hc5.1...@news3.tin.it...


 medico C.
Chiunque di noi (consulenti, RSPP interni ed esterni ecc.) ha a che fare con
dati personali in qualche modo, per cui non si farebbe male a studiare la
normativa (D. Lgs. 196/2003) in particolare la Parte I e l'Allegato B
(misure minime di sicurezza)
Saluti
MM

 ha scritto nel messaggio
news:0lMec.46749$hc5.2...@news3.tin.it...

Concordo pienamente con Marcello, soprattutto nella veste di RSPP esterni.
Infatti si viene a conoscenza di molti dati personali (es.: curriculum, n°
tel, inidoneità, incarichi, ecc.)
oltre a dati specifici dell'azienda (rischi, mansioni, fornitori, clienti,
ecc.).
Con l'avvento della 196 che aggiorna e regolamenta il 675, anche il libero
professionista è chiamato a descrivere come gestisce i dati che viene a
conoscenza. Importante pertanto è, oltre a conoscere la normativa, stendere
una procedura interna e definire già a contratto come verrà gestito
l'argomento. Ricordo che anche la distruzione dei dati deve essere
regolamentata.
Bye
Norberto

 ha scritto nel messaggio
news:0lMec.46749$hc5.2...@news3.tin.it...


 (Casi nei quali puo' essere effettuato il trattamento senza consenso)
Anche se non è richiesto il consenso vanno applicate le misure minime di
sicurezza per il trattamento dei dati.
MM

 ha scritto nel messaggio
news:7LRec.65846$rM4.2...@news4.tin.it...


 sarebbe meglio sapere qualcosa da chi è più esperto nella materia.
Se posso: seguo la questione gestione banche dati da circa 15 anni, mi
occupo anche di questioni relative alla sicurezza dati, dal '96 svolgo
docenza sulla privacy, adesso puoi fidarti?
Bye
Norberto

 > disciplina i casi di esclusione
Ciao Norberto, mi affido alla tua esperienza in materia, dunque correggimi
se sbaglio:
Il Codice della Privacy prevede norme generali per il trattamento dei dati
personali (articolo 11) e per il trattamneto dei dati con elaboratori
elettronici (allegato B) comuni per tutti.
E' prevista l'informativa (articolo13) al proprietario dei dati personali,
che deve essere data, anche oralmente, prima del trattamento dei dati
medesimi.
Per il trattamento dei dati personali è necessario il consenso
dell'interessato, ad esclusione, tra gli altri, dei dati necessari  per
adempiere ad un obbligo previsto dalla legge, da un regolamento o dalla
normativa comunitaria, per eseguire obblighi derivanti da un contratto,
riguarda dati provenienti da pubblici registri, elenchi, atti o documenti
conoscibili da chiunque, riguarda dati relativi allo svolgimento di
attivita' economiche, trattati nel rispetto della vigente normativa in
materia di segreto aziendale e industriale (articolo 24).
Per il trattamento dei dati sensibili (dati personali idonei a rivelare
l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di
altro genere, le opinioni politiche, l'adesione a partiti, sindacati,
associazioni od organizzazioni a carattere religioso, filosofico, politico o
sindacale, nonche' i dati personali idonei a rivelare lo stato di salute e
la vita sessuale), è necessaria l'autorizzazione del garante, ad esclusione,
tra gli altri, dei dati relativi agli aderenti alle confessioni religiose e
ai soggetti che con riferimento a finalita' di natura esclusivamente
religiosa hanno contatti regolari con le medesime confessioni, effettuato
dai relativi organi, ovvero da enti civilmente riconosciuti, dei dati
riguardanti l'adesione di associazioni od organizzazioni a carattere
sindacale o di categoria ad altre associazioni, organizzazioni o
confederazioni a carattere sindacale o di categoria (E QUI RIENTRA IL CASO R
LS DI PRIMA), quando il trattamento e' effettuato da associazioni, enti od
organismi senza scopo di lucro, anche non riconosciuti, a carattere
politico, filosofico, religioso o sindacale, ivi compresi partiti e
movimenti politici, per il perseguimento di scopi determinati e legittimi
individuati dall'atto costitutivo, dallo statuto o dal contratto collettivo,
relativamente ai dati personali degli aderenti o dei soggetti che in
relazione a tali finalita' hanno contatti regolari con l'associazione, ente
od organismo, quando il trattamento e' necessario per la salvaguardia della
vita o dell'incolumita' fisica di un terzo, quando il trattamento e'
necessario ai fini dello svolgimento delle investigazioni difensive, quando
e' necessario per adempiere a specifici obblighi o compiti previsti dalla
legge, da un regolamento o dalla normativa comunitaria per la gestione del
rapporto di lavoro, anche in materia di igiene e sicurezza del lavoro e
della popolazione e di previdenza e assistenza (E QUI RIENTRANO GLI ALTRI
CASI DEL CONSULENTE 626 e RSPP- articolo 26).
Ogni anno, chi tratta dati sensibili (allegato B, punto 19), con
l'esclusione di chi rientra nei casi citati dalla deliberazione 31/3/04 del
Garante, deve produrre il DPS.
Tutto ok? Allora siamo a posto come il 90% delle aziende italiane...
Cordialmente.
AG

 ha scritto nel messaggio
news:UC7fc.51421$hc5.2...@news3.tin.it...



Secondo me (nell'ambito del discorso "sicurezza del lavoro") dovrebbe essere
il DL a adempiere gli obblighi di informativa/raccolta di consensi nei
confronti dei soggetti coinvolti (personale, imprese esterne, ecc.)
specificando che per il trattamento dei dati potrà fare uso di soggetti
terzi (RSPP esterno, consulente...).
LB

 Dobbiano fare la Denuncia al Garante?
Solo se i dati particolari che raccogli vengono usati anche per scopi
diversi (es.: vendi i nominativi degli RSPP e o RLS a chi vuol organizzare
corsi, ecc.)
Riporto dalle faq del sito già citato una risposta (per SCAI)
Domanda: Sono un ragioniere iscritto all'albo e mi occupo principalmente di
amministrazione del personale. Pur essendoci la autorizzazione generica per
i professionisti iscritti agli albi, trattando dati sensibili (iscrizioni ai
sindacati dei lavoratori) ho l'obbligo di fare la notifica al garante?
Risposta: No, la notifica ormai (dopo l'entrata in vigore del Codice della
Privacy) non è più un obbligo generale. E' importante evidenziare, però, che
restano fermi tutti gli altri obblighi imposti dalla legge.
Per il resto consiglio nuovamente la lettura di quanto presente nel sito già
citato.
Bye
Norberto

 ti ringrazio o meglio ringrazio a tutti quelli che mi hanno risposto

 ha scritto nel messaggio
news:E5sfc.77259$rM4.3...@news4.tin.it...


 giusta riflessione anche se azienda e studio sono due entità ben distinte)
Mi sembra chiaro che gli adempimenti dell'azienda se li cura il DdL e gli
adempimenti dello studio del professionista li cura il medesimo. Se leggi
bene la risposta io dico cosa deve fare lo studio. Poi alcuni documenti
potranno essere in comune, pertanto le liberatorie serviranno allo studio
con benificio anche all'impresa. Poi non m'importa se il Cliente non sa
nemmeno di cosa si stia parlando. Mi interessa evitare pasticci come il
nostro sfortunato collega LUIFAN, dovuta sicuramente a inesperienza, buona
fede, e impreparazione (nel campo della contrattualistica commerciale).
Bye
Norberto


Scusa Norberto, ma mi sfugge una cosa.
Dove sta scritto sul nuovo Codice (che abroga la vecchia 675), che devo
redigere un documento che descriva le metodiche che uso per tutelare i dati
personali che utilizzo?
Cordialmente
AG


Se questi dati li tratti su supporto informatico lo dice l'art. 34.
Purtroppo leggendo l'Allegato B si trova una contraddizione, per cui il DPS
non sembra più obbligatorio.
MM

 non sembra più obbligatorio.
Scusa ma insisto. L'articolo 34 ti obbliga ad adottare alcune cautele:
Art. 34
(Trattamenti con strumenti elettronici)
1. Il trattamento di dati personali effettuato con strumenti elettronici e'
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico
contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del trattamento
consentito ai singoli incaricati e addetti alla gestione o alla manutenzione
degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti
illeciti di dati, ad accessi non consentiti e a determinati programmi
informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il
ripristino della disponibilita' dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per
determinati trattamenti di dati idonei a rivelare lo stato di salute o la
vita sessuale effettuati da organismi sanitart.
Non a redigere un documento programmatico.
Come dici tu, i ppunti g) e h) sono inapplicabili se tratto solo dati
personali (non sensibili).
Resto in attesa...
Cordialmente.
AG

 personali (non sensibili).
Dici che il punto g) è inapplicabile perché non è confermato dall'Allegato B
? Può essere. Io non ho detto questo, la contraddizione esiste ma non mi
sento in grado di scioglierla e come azienda, sapendo che devo allegare il
DPS alla relazione di bilancio mi sentirei scoperto a non redigere il DPS,
che poi è un adempimento non così complesso e che permette (come il
beneamato DVR) di avere un'idea chiara della situazione e delle lacune
interne esistenti.
MM

La mia personale lettura della legge è:
Tutti coloro che trattano dati su supporto informatico sono obbligati a
redigere il documento programmatico della sicurezza indipendetemente dal
trattamento dei dati sensibili
Se i dati sono di tipo sensibile il documento programmatico della sicurezza
deve obbligatoriamente contenere tutte le voci elencate nell'allegato B.


Ma scusate (Francesco e Marcello), recentemente e' uscita una deliberazione
del Garante (n. 1 del 31/03/2004) che addirittura esonera alcune aziende che
trattano dati SENSIBILI, quindi quelle elencate all'articolo 37 comma 1 del
Codice della Privacy, che NON devono essere oggetto di
notificazione...perche' mai dovrebbe imporre il DPS a chi tratta dati
PERSONALI!?!
Peraltro mi sembra molto chiaro il punto 19 dell'allegato B della stesssa
norma: "19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di
dati sensibili o di dati giudiziari redige anche attraverso il responsabile,
se designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo:..."
Non so, ma mi pare che in caso contrario il nostro Garante sarà subissato di
DPS!!!
Cordialmente.
AG

 DPS!!!
Il DPS non va inviato al garante ! ricordo che è un documento interno che
peraltro molte aziende già redigevano in base alla normativa previgente, e
il campo di applicazione si è ampliato.
Saluti
MM

 ha scritto nel messaggio
news:elUgc.75187$hc5.3...@news3.tin.it...


 ha scritto nel messaggio
news:W_Tgc.75073$hc5.3...@news3.tin.it...


 "automatiche non c'entra niente con il fare o in non fare il DPS.
Era un'eseplificazione. Volevo semplicemente sottolineare che se è lo stesso
Garante a semplificare le cose esonerando alcune delle attività soggette a
notificazione (ma anche al DPS, in quanto gestori di dati SENSIBILI), non
vedo perche' andiamo a cercarci il freddo per il letto inserendo
praticamente tutti nei trattamenti soggetti al DPS, quando, in mille modi e
din mille salse il decreto stesso esonera che tratta dai PERSONALI per
obblighi di legge o contrattuali e per scopi industriali!
Cordialmente.
AG

 obblighi di legge o contrattuali e per scopi industriali!
Il concetto di obbligo di legge o contrattuale non è detto che si interpreti
come pensi tu.
Nessuna ditta è obbligata ad avere un consulente esterno del lavoro o un
consulente esterno 626.
Se i dati sensibili sono dati ad una delle due precedenti figure (ad esempio
per fare le buste paga) non si rientra più nel concetto "obblighi di legge"
ed io il consenso dal dipendente lo devo ottenere in forma scritta.

 ed io il consenso dal dipendente lo devo ottenere in forma scritta.
E su questo non ci piove. Infatti la manifestazione di consenso la chiedi.
Ma, visto che non tratti dati SENSIBILI, mi continuo a chiedere perche' vuoi
redigere il DPS!
...a parte che, prendendo spunto dal tuo esempio, i dati PERSONALI possono
essere trattati senza consenso non solo per adempiere ad obblighi di legge e
simili, ma anche per adempiere ad obblighi contrattuali (che e' diverso...).
Cordialmente.
AG