Newsgroup: it.comp.reti.locali
Titolo: documento sulla privacy

Ciao, domanda secca.
Supponiamo io abbia un'associazione che conserva alcuni dati 
personali/sensibili su file doc o database.
Questi file si trovano sparsi per i vari pc dei dipendenti dell'ufficio.
Tutti i dipendenti dell'ufficio vi possono accedere per politica 
dell'ufficio (perchï¿œ non ï¿œ detto che un file con i dati di Tizio non 
passi per un collaboratore o una segretaria).
Che cavolo di documento "sulla privacy" devo stilare ????
Chi ï¿œ il responsabile, chi lo deve stilare, chi deve vigilare ???
Io le leggi non le capisco proprio come sono scritte, dagli aggettivi ai 
sostantivi, per cui chiedo aiuto.
Cos'ï¿œ questo documento ? Cosa devo scriverci ? Esistono modelli 
precompilati ?
Grazie a chi mi farï¿œ un po' di luce.


Forse nel tuo caso ï¿œ opportuno rivolgerti ad un consulente che si occupa 
di Privacy.
 
Cmq fino a qualche anno fa (prima di una modifica di Monti) occorreva 
preparare il DPS (Documento Programmatico sulla Sicurezza) entro il 31 
marzo di ogni anno, dove occorreva indicare varie informazioni sui 
sistemi, gli incaricati, i sistemi di sicurezza adottati, le misure 
minime di sicurezza etc, informativa sulla privacy a Clienti, Fornitori 
e Dipendenti.
 
Con le modifiche del Governo Monti, il DPS non occorre piï¿œ redigerlo 
ogni anno, ma tutte quello che ï¿œ indicato nella legge va comunque fatto, 
in particolare per quanto riguarda le "Misure minime di sicurezza", 
l'informativa sulla privacy e l'individuazione degli incaricati.
 
 
-- 
Daniele Pinna
DAPINNA.COM
 
(leva oops per rispondere)
-----
Utente Skype: dapinna
DAPINNA.COM
        :  
http://www.dapinna.com
 
Il Docfa in Pillole:  
http://www.ildocfainpillole.it
 - Sito Aggiornato!!!
DAPINNA.COM
 su Facebook: 
www.facebook.com/pages/Sassari-Italy/DAPINNACOM/110085322371199
 
 

 e Dipendenti.
[cut]
 
Ah ok, leggo anche che ï¿œ stato abrogato, ne deduco che non devo tenere 
nessun documento a riguardo...
Grazie!
 

 Grazie!
 
senti, da imprenditore dubito fortenemente che tu non debba fare il 
documeto per la privacy secondo la legge Dlgs 30 giugno 2003 nï¿œ196 (e 
successive modifiche)
 
oltre ai documenti valutazione del rischio (legge 81) e glia ltri 
inerenti sicurezza igiene e compgania.
 
un occhio daglielo almeno alla legge prima di rischiare
 
-- 
[ b a z ]
"Scettico io? Ne dubito!"
" La coerenza ï¿œ l'ultimo rifugio delle persone prive di immaginazione"
- socio MSTC - Responsabile Gruppi Antanati Gomito/Piede
- Mister Vistracï¿œonpetto
 
 

 sicurezza igiene e compgania.
 
Esatto. La normativa dice che colui che tratta i dati a titolo 
professionale, ï¿œ titolare del loro trattamento. Di conseguenza ï¿œ 
richiesta la nomina di un *responsabile* del trattamento dei dati, che 
avrï¿œ questi compiti:
 
- audit interno della conformitï¿œ SGSI
- documentazione e aggiornamento SGSI
- supporto all'applicazione del SGSI
- interventi di formazione e consapevolezza
- comunicazioni inerenti la privacy con gli interessati
- richieste informazione, cancellazione dati degli interessati
- sorveglianaza degli obblighi normativi e sentenze in materia
 
E' anche il motivo per cui si tende a dare in outsourcing questo 
servizio.
 
cfr. 
http://www.uninform.com/pdf/pdf_news/sis_gest_sicurezza.pdf
 
 
Ciao
Luca
 
 


 
Leggo la legge ?
182 articoli ?
Ma non esiste niente di giï¿œ fatto ?
Ora tutti gli esercizi commerciali, associazioni, studi legali, ecc. 
hanno questo documento ? Esisterï¿œ un modello...
(grazie)
 

 (grazie)
 
esiste e non esiste, perchï¿œ dipende da come ï¿œ stratturata la tua 
azienda, dal tipo di dati e dai supporti.
 
ï¿œ un po' come la legeg della sicurezza, non puoi avere un documento 
precompilato essendo una valutazione.
 
comunque, mio suggerimento spensierato, se non vuoi affidarti ad 
esterni DEVI leggere la legeg e DEVI anche COMPRENDERLA, allora potrai 
fare anche da solo (io alle volte lo faccio...)


 questo documento ? Esisterï¿œ un modello...
 
Un modello serve giusto a informare, ma non ï¿œ sufficiente.
Il guaio ï¿œ che sono in via di attuazione normative internazionali, per 
le quali ci si aspetta che le aziende si adeguino; la materia ï¿œ 
piuttosto ampia, anche perchï¿œ l'insieme dei dati personali si sta 
allargando su piï¿œ fronti.
 
In USA ï¿œ stata giï¿œ introdotta la figura del CDO - Chief Data Officer - 
che spiega *perchï¿œ* l'azienda utilizza informazioni, dove si trovano, 
chi puï¿œ accedervi, cosa succede in caso di divulgazione non autorizzata 
e/o danni ai dati.
 
Consiglio spassionato: un corso/seminario sulla sicurezza.
 
Ciao
Luca
 
 

 Consiglio spassionato: un corso/seminario sulla sicurezza.
 
Ringrazio tutti per le risposte.
Luca, ci stavo pensando al seminario, ora vediamo...
[sfogo]
Ma non staremo diventando troppo maniaci con 'sta privacy?
Complica la vita a tutti e ci costa un sacco di soldi.
Abbiamo vissuto secoli senza, ora tutta questa attenzione ai dati 
personali. Nell'era di facebook.
[fine sfogo]
Saluti
 
 
 

 Nell'era di facebook.
 
Credo che i vari social network fra poco avranno un bel po' di rognette 
da sistemare.
 
Ciao
Luca
 
 

 giusto per mettere a fuoco le cose che servono.
 
Posso chiederti dove l'hai fatto ?
Ordine ing ? Altro ?
 
 

 Posso chiederti dove l'hai fatto ?
 
L'ha organizzato un nostro fornitore, distributore nazionale di 
prodotti per la sicurezza; ma vedo che ne vengono istituiti diversi un 
po' ovunque.
 
Ciao
Luca
 
 

 hanno questo documento ? Esisterï¿œ un modello...
 
Si.
Perï¿œ una buona parte delle aziende che conosco non lo ha fatto. Alcune 
lo hanno fatto scopiazzando (male) qua e la. Altre aziende lo hanno 
fatto per uno o due anni, poi non hanno rinnovato.
Infine ï¿œ arrivato monti con l'abolizione della REDAZIONE del DPS ogni anno.
Non penso perï¿œ che vada interpretato (come pensano in molti) che non va 
piï¿œ fatto. Va fatto e mantenuto aggiornato.
 
In rete troverai sicuramente i modelli da 10 paginette. HIMO non vanno bene.


 da sistemare.
 
E' la testa della gente che deve cambiare!!!
Senza andare a scomodare i "dati personali", ho visto un post su G+ di 
una foto presa da Twitter di una ragazza contenta per aver ritirato la 
sua nuova carta di credito e quindi ha postato la foto, con i numeri in 
chiaro e ha indicato anche il codice di sicurezza!
 
https://plus.google.com/114646553113388296396/posts/KdyL2qbnsfj
 


 sforzi per rientrare nelle normative.
 
vero ï¿œ che epr come ï¿œ strutturata diventa solo un finanziamento ai 
consulenti o poco piï¿œ... ;)


 o poco piï¿œ... ;)
 
Nella situazione in cui siamo, ï¿œ cosï¿œ.
 
Ma vogliamo parlare - ad esempio - del deposito cartaceo del catasto di 
Roma, che si trova in un sotterraneo nell'area di esondazione del 
Tevere? :-D
 
Ciao
Luca
 
 


Ma giï¿œ capire chi ï¿œ il responsabile del trattamento, il responsabile 
della sicurezza informatica ed il titolare sarebbe un passo avanti.
In pratica se io avessi uno studio legale e fossi in associazione con 
altri avvocati chi sarei io ?
Supponiamo che chiami uno che si occupi di redigere il dps, chi sarebbe 
lui ?
Che responsabilitï¿œ ho io ? E che responsabilitï¿œ ha lui ?
 
Posso scrivere sul DPS che c'ï¿œ una cartella condivisa con dati personali 
e sensibili a cui accedono solo i dipendenti (e chi sarebbero i 
dipendenti? titolari o responsabili tratt?)
 
 
 > In rete troverai sicuramente i modelli da 10 paginette. HIMO non vanno
 > bene.
 
Non va bene perchï¿œ secondo te la legge chiede altro ?
E sui software per la compilazione che opinione hai ?
 

 titolari o responsabili tratt?)
 
Se la cartella ï¿œ gestita con i diritti del caso, e se l'accesso ai 
permessi ï¿œ esclusivo degli amministratori, sï¿œ. Naturalmente gli aventi 
diritto debbono essere caricati in qualche anagrafica, con dati di 
abitazione, telefono, nascita, codice fiscale... e vanno a far parte 
dei dati da proteggere.
 
Comunque, come ï¿œ stato detto, il DPS non ï¿œ piï¿œ obbligatorio; alcune 
aziende lo mantengono perchï¿œ, tutto sommato, ï¿œ un luogo organizzato per 
gestire la sicurezza.
 
Ciao
Luca
 
 

 Qualche differenza ci sar� con quella da 10 pagine.
Non � che la quantit� faccia qualit�. IMHO, meglio 10 pagine ben fatte e
comprensibili che una pappardella di 100 pagine che nessuno legger� mai.
 
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.

 fatto per uno o due anni, poi non hanno rinnovato.
Eccoci. Io l'ho fatto per un paio d'anni per lo studio con il quale
collaboravo. Forse non erano 10 pagine ma poco di pi�. Per� a ragion
veduta... ma poi il titolare ha deciso che era tempo e denaro specato, e
mi ha detto di non aggiornare pi�. Ormai le cose sono talmente cambiate
(tra l'altro io non collaboro pi�), che sarebbe da rifare.
Mi viene un dubbio... il fatto che non collaboro pi�, chiude
automaticamente le mie responsabilit�? Altrimenti cosa dovrei fare?
Adesso proprio non ho voglia di rimettermi a studiare l'argomento...


 comprensibili che una pappardella di 100 pagine che nessuno legger� mai.
 
Anche questo � vero.
Ma in quelle 10 pagine non venivano trattate in modo esaustivo il DPS, 
non c'era ad esempio un riferimento ai rischi sulla sicurezza.
 
Poi sicuramente quelle 100 e passa pagine che mi faceva stampare il 
software erano esagerate, anche perch� includeva estratti dalla 
normativa... anche se, con un uso corretto, era utile averle li.


Il 02/12/2013 20:40, Aladino ha scritto:

No, ogni anno occorreva individuare gli incaricati e tenere aggiornati 
nuovi collaboratori che arrivano e quelli che vanno via.
Nonostante il DPS non vada pi� fatto, l'elenco degli incaricati va cmq 
redatto.
 
Nella mia ditta esisto solo io. Dati all'esterno sono solo quelli di 
legge per la commercialista, quindi personalmente non ho pi� fatto nulla.
Non ho rinnovato nemmeno il programma perch� l'ultimo hanno ha pagato la 
licenza senza fare nessun DPS esterno.


normativa... anche se, con un uso corretto, era utile averle li.
 
Con la speranza che chi controlla lasci perdere per sfinimento ;-)
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 sicurezza.
 
uhmmm, su questa affermazione vorrei fare un controllo, a me risulta 
ceh TUTTI debbano fare il DPS, casomai non ï¿œ obbligatorio 
l'aggiornamento annuo....


 annuo....
 
Mi pare non sia piï¿œ obbligatorio iniziarlo, ma va mantenuto.
 
Ciao
Luca
 
 

 normativa... anche se, con un uso corretto, era utile averle li.
 
E meno male che lo ammetti anche tu. Fare un DPS di 100 pagine � una 
vaccata pazzesca.

 da sistemare.
 
I principali social network se ne fottono della nostra normativa. 
Rispondono solo a NSA e basta.
 
Piuttosto dovrebbe cominciare a preoccuparsi anche chi ha un semplice blog.
 


 
i vari social neteork ti fanno firmare un CONTRATTO al momento 
dell'iscrizione. Vuoi sapere cosa c'ï¿œ scritto a proposito della 
privacy!?
;)


 una mano e che poi mi ha accusato di avergli rovinato la vita in ufficio.
 
Ciao, io continuo un attimo a battere su questo perchï¿œ ï¿œ un punto che 
francamente mi sfugge. Ripeto ï¿œ mia ignoranza, non voglio apparire 
critico nei tuoi confronti.
Ma se il tuo amico aveva il classico caso di avere la necessitï¿œ di usare 
qualunque pc della sede, perchï¿œ gli hai messo un dominio con un pc 
winserver ?
Non era meglio un workgroup ? Poi sul DPS mettevi che ognuno aveva i 
suoi dati personali sul proprio pc oppure che ogni dipendente aveva la 
possibilitï¿œ di accedere a qualsivoglia pc della sede per questioni di 
produttivitï¿œ.
Se poi uno ha proprio bisogno di criptare dei dati -che ne so- o non se 
li porta in ufficio (perchï¿œ ne conosce la politica di privacy) o si fa 
una cartella -criptata con qualche software- sul proprio pc.
In fondo se io ho il mio account su un pc in rete comunque non riesco ad 
accedere ad un altro pc in rete a meno che non condivida delle risorse.
Cmq dal racconto che il tuo ex-amico sia il classico rompiscatole ï¿œ 
indubbio.
 
 
 

 utenti diversi, come era abituato a fare
 
scusa ma con un dominio usa solo UNA credenziale ovunque nel dominio.... 
che significa quel che dici??

meddix on WINSETTETE ha usato la sua tastiera per scrivere :

...significa che il tipo voleva accedere allo stesso PC con lo STESSO 
UTENTE che non ï¿œ lui (un gran casino in caso di responsabilitï¿œ...)


 produttivitï¿œ.
 
C'era qualcuno che prima diceva: "e questo, solo per parlare di password".
Ecco, in un dominio ï¿œ facile essere sicuro che tutti aggiornino la 
propria password entro 180 giorni dalla modifica precedente: li forzi a 
fare questo; del resto, in caso di necessitï¿œ, basta che il responsabile 
vada sul server a resettarne una, se deve accedere per qualsivoglia 
motivo a nome di un certo incaricato assente. E giï¿œ questo ti semplifica 
la vita nella stesura del DPS, alla voce delle misure minime di sicurezza.
Col gruppo di lavoro cosa scrivi? Che ognuno cambia le password nei 
tempi stabiliti? Che qualcuno ï¿œ incaricato periodicamente a controllare 
tale adempimento? Anche se in effetti nessuno lo fa, e tutti gli 
incaricati sono invece istruiti a continuare a usare "pippo" perchï¿œ il 
capo si ricorda solo quella parola? E se poi rubano i file dei 
certificati medici dei dipendenti delle ditte di cui si tiene la 
contabilitï¿œ, hai voglia a giustificarti in termini di "questioni di 
produttivitï¿œ".
Questo, solo per parlare di password.
 
Poi volendo possiamo per esempio parlare di backup. Le norme dicono che 
non solo devi fare regolari copie di salvataggio periodico, ma almeno 
una volta all'anno devi anche simulare il ripristino.
Lo so, ï¿œ un fracassamento di coglioni, ma sai quanta gente c'ï¿œ in giro 
che "crede" di fare il backup e poi quando gli occorre si accorge di 
avere tra le mani supporti vuori, o corrotti, o inutili?
Riconosco che le disposizioni in materia siano per certi versi un po' 
macchinose ed eccessive, ma una loro ragione d'essere in fondo la hanno: 
l'idiozia, la presunzione e la superficialitï¿œ di tutti quelli che 
trattano dati altrui.


 
Esatto, voleva accedere da pc diversi con le credenziali di utenti 
diversi. Comodo eh?

 dati altrui.
 
quotissimo


cursum perficio ha pensato forte :

alle volte ho l'istinto di farlo anche io!!! (ma mi trattengo essendo 
proprietario e responsabile...)
 
ma devo dire che per spiegarloa  gli altri, fra cui mia sorella in 
societï¿œ non ï¿œ stato semplice. (credo che tutt'ora si scambino di 
nascosto le password. ma almeno, con il dominio, sono costretti a 
cambiarle e dubito che in quel momento si ricordino di aggiornarle a 
tutti gli altri ;))


 tutti gli altri ;))
 
Esatto. Io ti configuro lo strumento che facilita la stesura del dps 
(ovvero ti rende piï¿œ semplice adeguarti alle norme, non che la stesura 
del dps sia IL fine), poi se tu vuoi fare diversamente, sono cazzi tuoi. :)
 
 

che significa quel che dici??
 
Secondo me quello era abituato a entrare nei vari PC con le
credenziali dell'utente abituale, cos� trovava ogni volta l'ambiente
pronto.
Ora col suo utente di dominio entra in tutti, ma si trova un ambiente
vuoto.
