Newsgroup: it.lavoro.prevenzione
Titolo: 626 e legge sulla privacy - corso di formazione e check-list

Buongiorno a tutti.
Il 4 e 5 maggio andrò a un corso di formazione sul nuovo codice tenuto
dall'Unione Industriale di Pisa.
Il docente é Ing. Luigi Baffigo, Resp. Sicur. Inform. di IBM
Vi dò l'agenda:
Verifica adempimenti normativi
Censimento dei trattamenti dei dati personali
Valutazione del rischio cui sono soggetti i dati
Bozza di stesura del documento analisi dei rischi
Definizione delle misure di sicurezza adeguate
Definizione delle misure di sicurezza obbligatorie
Bozza di stesura del DPS
Cercherò di chiarirmi le idee.
Vi chiedo di inviarmi le domande alle quali vi piacerebbe avere risposte in
modo da poterle proporre e inviare al newsgroup le risposte avute.
Ciao e grazie.
Luca.
PS.
Se volete scrivetemi pure in privato
lpa...@interfreeNOSPAM.it

 ha scritto nel messaggio
news:c6nvgj$dp5$1...@balena.cs.interbusiness.it...

Grazie per la disponibilità, appena riesco a mettere giù in modo organico
tutti i miei dubbi, ti sommergo di quesiti.
Sai per caso se è prevista la distribuzione di materiale informativo
relativo ai vari argomenti trattati e se è possibile richiederne una copia
anche se non si partecipa al corso?
Saluti, Paolo


Ciao Paolo,
riguardo al materiale, non ci sono problemi per me fartene una copia in pdf
e spedirtela via email, a meno che non siano 250 pagine....
Ciao.
Luca.

 ha scritto nel messaggio
news:c6qb4o$bq3$1...@balena.cs.interbusiness.it...

Ri-grazie!
Venendo ai quesiti, ecco cosa sono riuscito a mettere giù per ora (in parte
sono settoriali, relativi ad internet)
Premetto che alle stesse domande che scrivo qui, sto cercando risposta anche
attraverso altri canali, ovviamente internet, liste di discussione, e poichè
parteciperò anch'io a diversi corsi tra il 7 e il 21 Maggio, anche in quelle
occasioni.
Veniamo alle domande.
Art. 15 Danni cagionati per effetto del trattamento.
Se il danno è imputabile ad un comportamento volontariamento scorretto da
parte dell'addetto al trattamento, cosa succede? Ne risponde il titolare che
poi si rivale sul proprio dipendente?
Punto 19.7 Allegato B (criteri da adottare per garantire l'adozione delle
misure minime in caso di trattamenti affidati all'esterno)
Quali sono questi criteri? (come si fa a garantire per il trattamento
effettuato dal soggetto esterno? In questo caso il soggetto esterno viene
definito contitolare del trattamento?)
Quale differenza esiste tra il rischio di intrusione di cui al punto 16
dell'allegato B e l'accesso abusivo di cui al punto 20? Ovvero, è corretto
affermare che in entrambi i casi la misura da adottare è l'utilizzo di un
firewall?
Come si può stabilire se i dati trattati sono semi-sensibili (Art. 17 del
codice)?
Quesiti vari sull'utilizzo della posta elettronica e di internet.
1) L'e-mail assegnata al dipendente può essere utilizzata per fini
personali?
2) In quali casi l'azienda può leggere la posta di un dipendente?
3) Quali documenti è possibile inviare senza utilizzare la crittografia?
4) L'azienda è responsabile se dall'interno viene inviata una e-mail che
contiene un virus e questo provoca danni a terzi?
5) Come possono essere archiviate in modo corretto le e-mail?
6) E' consentito utilizzare software che tenga traccia delle attività in
internet (tempo di connessione, siti visitati) dei dipendenti? In caso, come
presumo, non lo sia, come può essere affrontato questo problema?
Digressione sulle problematiche della privacy nei siti internet.
In relazione allo 'sfoltimento' dei trattamenti di dati soggetti a notifica,
effettuato dal garante nella delibera del 31 marzo scorso (pubblicato in
g.u. 81 del 6 Aprile), avrei bisogno di un chiarimento relativo al punto 4
comma c che riporto (sono i trattamenti esclusi dall'obbligo di notifica):
4) con riferimento ai casi di cui al comma 1, lett. d), i trattamenti di
dati personali:
<...omissis...>
c) relativi all'utilizzo di marcatori elettronici o di dispositivi analoghi
installati, oppure memorizzati temporaneamente, e non persistenti, presso l'
apparecchiatura terminale di un utente, consistenti nella sola trasmissione
di identificativi di sessione in conformità alla disciplina applicabile, all
'esclusivo  fine di agevolare l'accesso ai contenuti di un sito Internet;
Cosa significa? Forse che, se per il riconoscimento di un utente uso un
cookie di sessione non devo fare la notifica, mentre se uso un cookie
normale, con all'interno (volendo cifrate) informazioni sulle preferenze di
navigazione (relative al sito in questione, tipo layout, lingua) allora devo
fare la notifica?
Possibile?
Altra questione:
Come faccio ad applicare le misure minime ad un sito internet? Ovvero,
limitandosi ad una delle varie problematiche: un form di raccolta dati che
li invia via mail, a meno che non sia in un'area https (area in cui lo
scambio di dati tra una pagina e l'altra avviene in modalità criptata) e che
la mail venga costruita criptando i dati, non rispetta la legge (in
riferimento alle misure minime)? Possibile che sia così?
Tutti i login che non stanno in https sono fuori legge (sempre per quanto
riguarda le misure minime)?
Saluti, Paolo