Newsgroup: it.discussioni.ingegneria
Titolo: Ma sto maledetto DPS

Si deve fare o no il Documento Programmatico di Sicurezza?
Siamo una societa' di ingegneria ed un consulente per due anni ce lo ha 
fatto fare, anche se trattiamo solo dati personali e non dati sensibili.
Insomma, si deve fare o no sto DPS?
Bisogna davvero mandare un fax ad ogni cliente e fornitore per chiedere 
l'autorizzazione al trattamento dei dati personali?
Ma qualcuno risponde davvero a questi fax? :D
Ciao ... Dino

"ginopilotino" <gi...@pilotino.invalid> ha scritto nel messaggio 
news:48564359$0$35959$4faf...@reader2.news.tin.it...

Si, il DPS deve essere redatto entro il 31/3 di ogni anno.
Per quanto riguarda i consensi, non sono necessari se il trattamento si 
limita al necessario per lo svolgimento del contratto; è sufficiente inviare 
l'informativa (e magari mettersi in condizione di dimostrare di averlo 
fatto, vedi invio per fax). 

ciccio ha scritto:

Mi sono andato a leggere la 196/2003. E non mi sembra si debba fare il 
dps. All'art.34 comma1 infatti:
"Il trattamento di dati personali effettuato con strumenti elettronici 
e' consentito solo se sono adottate, nei modi previsti dal disciplinare 
tecnico contenuto nell'allegato B), le seguenti misure minime:"
L'allegato B, al punto 19, parla di dps solo in caso di dati sensibili o 
giudiziari.
Certo, all'art.34 comma1 tra gli adempimenti minimi si parla anche di 
dps, ma le modalita' specificate all'allegato B punto 19 spiegano 
precisamente che:
"19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di 
dati sensibili o di dati giudiziari redige anche attraverso il 
responsabile, se designato, un documento programmatico sulla sicurezza 
contenente idonee informazioni riguardo:"
Quindi nel caso di dati personali ma non sensibili ne giudiziari, non e' 
richiesta la redazione del dps.
Ciao ... Dino

ginopilotino ha scritto:

La contraddizione tra l'art.34 e il punto 19 dell'allegato B è nota e 
risolta da tempo a favore del primo.
Il DPS va redatto anche per i dati personali.

 Il DPS va redatto anche per i dati personali.
Hai qualche riferimento in proposito? Mi sembra una soluzione un po' 
singolare.
Ciao ... Dino

ginopilotino ha scritto:

Secondo quanto scritto qui:
http://www.garanteprivacy.it/garante/doc.jsp?ID=771307
Al punto 2.2 si legge:
2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora 
adottata dal titolare di un trattamento di dati sensibili o giudiziari 
effettuato con strumenti elettronici, attraverso l'organo, ufficio o 
persona fisica a ciò legittimata in base all'ordinamento aziendale o 
della pubblica amministrazione interessata (art.  34, comma 1, lett. g), 
del Codice;  regola 19 dell'Allegato B)).
Si conferma quindi la tesi opposta ed anche piu' logica, ossia che sia 
il disciplinare tecnico "DISCIPLINARE TECNICO IN MATERIA DI MISURE 
MINIME DI SICUREZZA" costituito dall'allegato B a stabilire cosa fare, 
non l'indicazione di massima dell'articolo 34, che non distingue quali 
delle misure minime vanno adottate nei vari casi.
Ciao ... Dino

 Il DPS va redatto anche per i dati personali.
esatto, il primo è un articolo del decreto con forza di legge, il 
secondo fa parte di un allegato sulle modalità di redazione.
http://www.consulentelegaleprivacy.it/approfondimentidett.asp?id=20

ginopilotino ha scritto:

http://www.consulentelegaleprivacy.it/approfondimentidett.asp?id=20

 
http://www.consulentelegaleprivacy.it/approfondimentidett.asp?id=20
Questa e' solo una opinione di un consulente, condivisibile o meno. Che 
non mi trova d'accordo in diversi punti.
Intendevo invece un parere autorevole, del garante ad esempio o qualche 
sentenza.
Ciao ... Dino

scintilla ha scritto:

Anche l'allegato ha valore di legge. E ci mancherebbe pure che non fosse 
cosi' :)
Ciao ... Dino

ginopilotino ha scritto:

Qui per esempio la pensano diversamente:
http://www.giurdanella.it/7396
"Il Dps fa parte delle "misure minime di sicurezza" indicate agli 
articoli 34 e 35 del Codice Privacy e dal Disciplinare tecnico in 
materia di misure minime di sicurezza, contenuto nell'allegato B). La 
sua tenuta è obbligatoria per chi effettua un trattamento di dati 
sensibili e giudiziari con l’ausilio di strumenti elettronici."
Ciao ... Dino

ginopilotino ha scritto:

Non ti ho dato una soluzione, ricordo che il problema si presentò subito 
nel 2004 e venne subito risolto in quanto l'art. 34 parla chiaro:
art. 34
1. Il trattamento di dati personali effettuato con strumenti elettronici 
e' consentito solo se sono adottate, nei modi previsti dal disciplinare 
tecnico contenuto nell'allegato B), le seguenti misure minime:
...
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
...
i dati personali VOGLIONO il dps.
di contro il punto 19 dell'allegato B NON DICE di non fare il DPS per 
chi abbia i soli dati personali
Detto questo non c'è interpretazione che tenga, io non mi fiderei mai di 
  andare contro un articolo esplicito (il 34).

  andare contro un articolo esplicito (il 34).
Non sono d'accordo. L'articolo 34 elenca tutti gli adempimenti minimi 
senza distinzioni tra generici dati personali e dati sensibili e 
giudiziari. Fa pero' riferimento alle modalita' all'allegato B dove si 
spiegano nel dettaglio gli adempimenti nei vari casi. E specifica che il 
dps va fatto solo per i dati sensibili e quelli giudiziari. Non dice 
altro. Cio' non vuol dire che va fatto sempre, altrimenti non avrebbe 
alcun senso esplicitare il tipo di dati personali soggetti.
A conferma di cio', dal punto 20 si parla di "Ulteriori misure in caso 
di trattamento di dati sensibili o giudiziari", a sottolineare come la 
parte precedente "Documento programmatico sulla sicurezza" si riferisca 
proprio a questo tipo di dati.
Vi e' poi il documento del garante della privacy "Obblighi di sicurezza 
e documento programmatico: al 30 giugno la redazione del "dps" in cui si 
spiega che:
"2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora 
adottata dal titolare di un trattamento di dati sensibili o giudiziari 
effettuato con strumenti elettronici, attraverso l’organo, ufficio o 
persona fisica a ciò legittimata in base all’ordinamento aziendale o 
della pubblica amministrazione interessata (art.  34, comma 1, lett. g), 
del Codice;  regola 19 dell’Allegato B)).
Come accennato, il DPS deve essere redatto da alcuni soggetti che non vi 
erano precedentemente tenuti (ad esempio, da chi trattava dati sensibili 
o giudiziari, ma con elaboratori non accessibili mediante una rete di 
telecomunicazioni disponibili al pubblico)."
Il che penso fughi ogni dubbio in merito.
Da parte mia non ho intenzione di pagare per la terza volta a vuoto un 
consulente per fare un dps inutile ed inapplicabile nelle disposizioni.
Ho il sospetto che questo clima da dps a tutti i costi sia stato 
alimentato dagli innumerevoli consulenti sulla privacy che con lo 
spauracchio delle sanzioni si sono messi a fare valanghe di pds 
completamente inutili. E valanghe di soldi.
Ciao ... Dino

ginopilotino ha scritto:

Ho scritto all'urp del garante che mi ha invitato a consultare la 
sezione da cui ho tratto quanto sopra riportato.
Ciao ... Dino

 giudiziari. 
Non conta più neanche l'italiano? l'art. 34 parla ESPLICITAMENTE di dati 
PERSONALI
se non sei d'accordo pazienza, sei libero di fare come vuoi

 se non sei d'accordo pazienza, sei libero di fare come vuoi
Dei dati personali fanno parte i dati sensibili, quelli giudiziari e 
quelli che non sono ne l'uno ne l'altro. Nell'allegato b vengono 
specificati, nei vari casi, cio' che si e' tenuto a fare.
Ed il DPS non si deve fare quanto i dati personali non sono ne sensibili 
ne giudiziari.
Questo anche a detta del garante. Ed io mi fido piu' del garante che di 
qualche consulente interessato a farmi fare qualcosa che non e' richiesto.
Ciao ... Dino

ginopilotino ha scritto:

Ecco una bella raccolta di "ragioni" per cui il dps si deve fare solo 
per dati sensibili o giudiziari.
http://www.garanteprivacy.it/garante/doc.jsp?ID=1007280
"Alcune misure, c.d. "misure minime", sono obbligatorie anche sul piano 
penale, e sono diverse a seconda che il trattamento sia effettuato con 
l'ausilio di strumenti elettronici o solo manualmente (artt. 33-36, 
nonché Allegato B) del Codice; v. anche i chiarimenti forniti dal 
Garante con nota n. 6588/31884 del 22 marzo 2004).
In particolare, se sono trattati con strumenti elettronici dati 
sensibili o dati giudiziari, occorre redigere un documento programmatico 
sulla sicurezza (DPS) entro il 31 marzo di ogni anno (nel 2004, entro il 
prossimo 30 giugno come per le altre nuove misure minime; artt. 34, 
comma 1, lett. g) e 180 del Codice; regola 19 dell'Allegato B)."
http://www.garanteprivacy.it/garante/doc.jsp?ID=1007240
"I dati dei clienti, inoltre, devono essere protetti da misure di 
sicurezza idonee e preventive per ridurre al minimo i rischi di 
distruzione, perdita, accesso non autorizzato ecc. Alcune cautele, le 
cosiddette "misure minime" di sicurezza, sono obbligatorie e hanno 
risvolti anche sul piano penale. In particolare, l’avvocato che tratta 
dati sensibili o giudiziari con mezzi informatici è tenuto a predisporre 
un documento programmatico sulla sicurezza (Dps) entro  il 31 marzo di 
ogni anno (per il 2004 entro il prossimo 30 giugno)."
http://www.garanteprivacy.it/garante/doc.jsp?ID=1051395
"Con la recente comunicazione, l'Autorità ha ricordato che tra le 
"misure minime" di sicurezza rientra anche la redazione del documento 
programmatico sulla sicurezza (Dps) da parte dei soggetti che effettuano 
un trattamento di dati sensibili o giudiziari con l'ausilio di strumenti 
elettronici."
Ciao ... Dino

 Ciao ... Dino
Certo in tutti e 3 i casi ha citato l'allegato B al punto 19, non si è 
espresso in merito al dubbio dell'incongruenza.
Per capirci non ha detto (e finchè non lo dirà non ci crederò) che chi 
detiene dati PERSONALI NON DEVE redigere il DPS.

Roberto C. ha scritto:

No, fa riferimento tanto all'art34 quanto al punto 19 allegato b.
E' cmq la stessa cosa. Specifica in quali casi va redatto. Quindi in 
tutti gli altri casi non e' obbligatorio redigerlo.
L'allegato b non e' una norma separata ma e' parte integrante della 
legge. Non fa altro che specificare in dettaglio, in base ai dati 
trattati, quali siano gli adempimenti.
Ciao ... Dino

i disposti di un articolo di legge hanno peso diverso da quelli di un 
allegato, che stabilisce i modi e non i casi in cui si è soggetti alla 
redazione...
quando due disposti sono in contrasto vince "il più forte", ed in questo 
caso ci sono pochi dubbi...


i dati personali trattati per via informatica vogliono il DPS.
L'unico caso che esonera dalla redazione è il trattamento di dati non 
sensibili solo per via cartacea, ma anche in questo caso vanno messe a punto 
delle procedure per il trattamento dei dati... 

 caso ci sono pochi dubbi...
Nessun contrasto. L'allegato specifica i casi in cui adottare certe 
disposizioni.
Questa non e' solo la mia opinione, ma anche quella del garante.
Ciao ... Dino

ciccio ha scritto:

Sono in tanti a non pensarla cosi', anche il garante in varie comunicazioni.
Ciao ... Dino

Nessun contrasto. L'allegato specifica i casi in cui adottare certe
disposizioni.
Questa non e' solo la mia opinione, ma anche quella del garante.
Ciao ... Dino
In ogni caso: siamo sicuri di non avere proprio nessun dato sensibile sul 
PC? ...siamo sicuri che non ne avremo in futuro?
...rendiamoci conto che anche semplicemente avere un disegno di 
un'abitazione con le rampe di accesso per disabili può essere dato sensibile 
se associato al committente... le buste paga che il consulente del lavoro 
invia per e-mail, ma per anche una e-mail di un amico che confida la sua 
posizione politica (quante ne sono girate sotto elezioni???) o una sua 
malattia!
...e non dimentichiamoci che in caso di querela di parte, il titolare del 
trattamento ha l'onere di dimostrare di aver adottato tutte le misure 
possibili affinché il danno cagionato dal trattamento dei dati non si 
vwerificasse (art. 2050 CC).
...e il DPS rientra tra le misure di sicurezza...
in altre parole il DPS bene o male va fatto... (ma io continuo ad essere 
convinto che sia sufficiente il trattamento di dati non sensibili per via 
elettronica per essere soggetti).

 elettronica per essere soggetti).
No, il dps va fatto solo se necessario. Ricordo inoltre che la normativa 
non prescrive la data certa per il dps.
Ciao ... Dino

 (quante ne sono girate sotto elezioni???) o una sua malattia!
Basta cancellare le email con il formazioni di carattere privato.
Ricevere una e-mail con dei dati sensibili e cancellarla, costituisce 
trattamento di dati sensibilianche
...anche la cancellazione è una tipologia trattamento... (art. 4 - lettera 
a).

 a).
Qualcuno lo verra' mai a sapere? :)
Ciao ... Dino

"ginopilotino" <gi...@pilotino.invalid> ha scritto nel messaggio 
news:485b70e7$0$40152$4faf...@reader1.news.tin.it...
ciccio ha scritto:


...se la buttiamo sul farla franca è un altro discorso...
fare un DPS non porta via tutto questo tempo e fa stare tranquilli, senza 
preoccuparsi troppo di controllare continuamente che il PC sia libero da 
dati sensibili, che spesso sono anche difficili da individuare!
...se poi ci mettiamo che l'interpretazione è quantomeno dubbia, che in ogni 
caso le informative le devi preparare, che gli incaricati li devi nominare, 
che la conformità agli installatori la devi chiedere, che le misure di 
sicurezza le devi mettere in piedi, il DPS fa anche comodo come check-list 
per rendersi conto di aver fatto tutto, o come "fotografia" da esibire in 
caso di controllo, evitando che chi controlla si metta a spulciare tutto e 
trovi chissà cosa...

 trovi chissà cosa...
Chi controlla cmq spulcia tutto.
Ciao ... Dino

 chi controlla si metta a spulciare tutto e trovi chissà cosa...
Chi controlla cmq spulcia tutto.
Non sempre, e parlo per esperienza....
 nei controlli conta tanto la prima impressione, se si esibiscono dei 
documenti ordinati e completi, si respira tutto un altro clima...
Se ci si mette a questionare, si rischia di infastidire il controllore, il 
quale può veramente decidere di passarti al setaccio l'ufficio...
Ciao ... Dino
Ciao 

 quale può veramente decidere di passarti al setaccio l'ufficio...
Senti, e' inutile che insisti, il dps lo devi far fare a chi serve, non 
a tutti "per stare tranquilli". Non farei il furbo eh! :D
Ciao ... Dino

Senti, e' inutile che insisti, il dps lo devi far fare a chi serve, non
a tutti "per stare tranquilli". Non farei il furbo eh! :D
Mi pare che il furbo lo stia facendo qualcun altro, che insiste a cercare 
cavilli nella normativa e ad interpretarla secondo il suo comodo: come già 
detto, se capita anche raramente di trattare dati sensibili per via 
informatica (email con dati sensibili di qualsiasi tipo, buste paga etc, 
anche se subito cancellate), allora devi fare il DPS, è scritto nero su 
bianco nel 196/03.
Poi se mi dici chi se ne frega, non lo faccio, è un altro discorso, e lo 
capisco già di più
Ciao. 

 bianco nel 196/03.
E l'art.5 comma3 dove lo mettiamo?
Ciao ... Dino

 
tra l'art. 4 ed il 6.
...l'art. 5 non c'entra un bel niente, con quello di cui si sta 
discutendo, parla di trattamenti fatti da persone fisiche e per fini 
esclusivamente personali.
Quindi fini non lavorativi...
L'art. 5 dice, te lo traduco, che sei libero di tenere a casa tua 
l'agendina con i numeri di telefono senza dover applicare il 196/03, a 
meno che tu non cominci a farne migliaia di fotocopie e spargerle ai 4 
venti.

 Quindi fini non lavorativi...
Appunto, se l'amico ti manda una email in ufficio dicendoti di essere 
gay quei dati non vanno trattati come dati sensibili. Cancelli l'email e 
  via.
Ciao ... Dino

 o male possono finirci.
Qualora ci finissero, non ne scontanto che cio' accada, e non fossero
comunicazioni private personali, va fatto il dps.
Il confine tra comunicazioni private e non, quando i dati finiscono su un PC 
usato per lavoro (acquistato con fattura o nel libro dei cespiti) o su un 
indirizzo email aziendale, è purtroppo molto labile e pende praticamente 
sempre per far considerare i dati alla stessa stregua di quelli aziendali.
Ci sono sentenze per cui il lavoratore che ha usato il PC 
dell'Amministrazione a scopi privati, sia stato conddannato per peculato... 
(e sentenze simili per le imprese private).
Rimane il fatto che non solo informazioni sul tuo amico gay possono finire 
nel PC (magari è un collega o un dipendente e il suo vizietto te lo confessa 
in una mail di lavoro), ma buste paga con i contributi sindacali, progetti 
per disabili, riferimenti ad infortuni sui luoghi di lavoro, che sono 
decisamente legate all'mabito lavorativo...
Ciao

 decisamente legate all'mabito lavorativo...
Riassumendo, se ci finissero dati di tipo sensibile attinenti 
l'attivita' lavorativa, ben venga il dps. Altrimenti no.
Ciao ... Dino

"ginopilotino" <gi...@pilotino.invalid> ha scritto nel messaggio 
news:485f5c97$0$18151$4faf...@reader3.news.tin.it...
ciccio ha scritto:


Ciao ... Dino
...e visto che ci finiscono praticamente sempre (come ti dicevo, il confine 
tra personale e lavorativo, su un PC aziendale è molto labile...), DPS per 
tutti! ...sono daccordo con te...

 tutti! ...sono daccordo con te...
Questo e' terrorismo psicologico. Non e' vero che ci finiscono sempre. 
Qui da noi non e' mai accaduto. E se qualcuno legge la posta personale 
dal pc dell'ufficio, buon per lui, non riguarda la nostra attivita' 
lavorativa.
Ciao ... Dino

Questo e' terrorismo psicologico. Non e' vero che ci finiscono sempre.
opinione tua (e come al solito, di comodo).
Per esperienza ti dico che nel 99,9% dei casi ci finiscono, chi non 
invia/riceve buste paga in PDF per e-mail? a chi non capita di comunicare 
informazioni sulle malattie per email?
... e ora che con il Dlgs 81/08 è consentito tenere il documenti che 
riguardano la salute e sicurezza nei luoghi di lavoro in formato 
elettronico, che la comunicazione degli infortuni da fare all'INAIL 
diventerà telematica, si aggiungeranno casi di trattamento di dati sensibili 
via PC.
Siamo nell'era dell'informazione, tutti i documenti prima o poi passano per 
un PC, compresi quelli che contengono dati sensibili.
...aggiungo poi che più volte i dati giudiziari sono stati equiparati a 
quelli sensibili, tanto per ampliare il ventaglio.
Per cui rassegnati, il DPS ti tocca!

 Per cui rassegnati, il DPS ti tocca!
A me no. Come alla maggior parte dei professionisti.
Cio' non toglie che a qualcuno tocca.
Ciao ... Dino

 Per cui rassegnati, il DPS ti tocca!
A me no. Come alla maggior parte dei professionisti.
Cio' non toglie che a qualcuno tocca.
Sul tuo caso non lo so, ma sulla maggior parte dei professionisti non mi 
sbilancerei così tanto.
Ma data la miriade di casi che ti ho più volte elencato, direi proprio il 
contrario!

> fare un DPS non porta via tutto questo tempo e fa stare tranquilli, senza
Certo, se il pds e' solo un foglio messo nel cassetto posso anche essere
d'accordo.
segnalo un modello di DPS con licenza creative-commons, liberamente 
utilizzabile:
http://www.compliancenet.it/content/privacy-un-esempio-di-dps-per-pmi-con-licenza-aperta
 

 contrario!
Non concordo, ma questo lo sia gia' :D
Ciao ... Dino

 certe interpretazioni...)
Dipende, potrei ricevere solo la documentazione tecnica senza
riferimenti alle questioni giudiziarie. Sempre che mi occupi di queste cose.
potresti, usi giustamente il condizionale, perché nessuno si prende la briga 
di depurare questi documenti prima di inviarli....
Non so se tu ti occupi di queste cose, ma il professionista in genere si!
ciao! 

 (leggiti l'art. 29 c. 4 dell' 81/08...)
Non ho capito cosa c'entri. Ma cmq ribadisco, non necessariamente in 
forma elettronica.
La chiudo qui, tanto non si va da nessuna parte :)
Ciao ... Dino


...in effetti con il tempo speso con questo thread, ci facevi 3 DPS!!
ciao 

 ...in effetti con il tempo speso con questo thread, ci facevi 3 DPS!!
Mi hai quasi convinto. Anzi no. :D
Ciao ... Dino

DL 112/2008:
Art. 29.
Trattamento  dei dati personali
  1.  All'articolo 34 del decreto legislativo 30 giugno 2003, n. 196,
dopo il comma 1 e' aggiunto il seguente:
    «1-bis.  Per  i soggetti che trattano soltanto dati personali non
sensibili  e  l'unico  dato  sensibile  e'  costituito dallo stato di
salute  o  malattia  dei  propri  dipendenti  senza indicazione della
relativa  diagnosi, l'obbligo di cui alla lettera g) del comma 1 e di
cui     al     punto     19    dell'Allegato    B    e'    sostituito
dall'autocertificazione,  resa  dal titolare del trattamento ai sensi
dell'articolo 47   del   decreto   del  Presidente  della  Repubblica
28 dicembre  2000,  n.  445,  di trattare soltanto dati personali non
sensibili,  che  l'unico  dato sensibile e' costituito dallo stato di
salute  o  malattia  dei  propri  dipendenti  senza indicazione della
relativa  diagnosi, e che il trattamento di tale ultimo dato e' stato
eseguito  in  osservanza  delle  misure  di  sicurezza  richieste dal
presente codice nonche' dall'Allegato B).».

 Art. 29.
Una delle poche cose sensate fatte da questo governo :)
Ciao ... Dino