Newsgroup: it.discussioni.ingegneria.civile
Titolo: DPS privacy

Secondo voi è obbligatorio per gli ingegneri redarre il DPS previsto dalla
legge sulla privacy o sono sufficienti le misure minime relative al
trattamento dei dati personali, per esempio far firmare ai clienti il
consenso per il trattamento dei dati personali.
Molti consulenti dicono che l'obbligo è anche per gli ingegneri, altri che
non c'è obbligo perchè non trattiamo dati "sensibili" (salute, preferenze
sessuali, convinzioni religiose, etc. come definite dalla legge) ma solo
dati personali.
Voi cosa state facendo?
Ciao, Antonio De Giorgi

ciao Antonio, la risposta è no! non è necessario redigere il DPS per
noi professionisti in quanto trattiamo solo "dati comuni". Per maggiori
dettagli puoi leggere dal sito 
www.biblus.net
 (della acca software) la
news letter n.30.

TOPO ha scritto:

Mi dispiace dirtelo ma la risposta in effetti e' si', come dice anche la 
newsletter che citi tu.
Il fatto che non trattiamo dati sensibili ci esime solo dall'obbligo di 
far firmare informative specifiche.
Riporto la Newsletter e sottolineo il punto 3:
Per assolvere a tutti gli adempimenti riportati BibLus-net ha 
predisposto la seguente modulistica, redatta recependo le indicazioni 
della normativa, liberamente scaricabile ed utilizzabile:
     * un modello di informativa, con acquisizione del consenso al 
trattamento dei dati;
     * i modelli per il conferimento della mansione di “incaricato del 
trattamento” dei dati e di “responsabile del trattamento”;
     * un documento, definito “Documento interno per la sicurezza dei 
dati e dei sistemi”, che contiene tutte le informazioni per rispettare 
le misure minime di sicurezza previste dal “Codice della Privacy”, più 
approfonditamente descritte nel seguito.
-- 
Ciao, Tigers
[cit.] .. perchè la curva d'apprendimento di google è storicamente tra
le più ripide ... e.
www.tigers.3000.it

 
www.tigers.3000.it

 NO.
[snip]
Dacci i riferimenti, please, perche' al di la' della newsletter Acca a 
me risulta proprio di si'.
Vedi anche il sito dell'ordine ingegneri di Milano che da' anche un 
fac-simile di DPS.
-- 
Ciao, Tigers


Scusate se riprendo...... Ho fatto riferimento al sito della software
house (non ripeto il nome x evitare "ancora" pubblicità!!) sol perchè
la news alla quale ho fatto riferimento (la n.30) è stata redatta in
tempi non sospetti, cioè molto tempo prima che la stessa
commercializzasse il SW dedicato, per cui quanto veniva detto era del
tutto "non di parte"........ a dimostrazione di ciò il fatto che
dicesse che nulla di particolare (tranne le informative ai clienti)
doveva essere attuato dagli studi professionali in cui il titolare è
l'addetto al trattamento dei dati.

 fac-simile di DPS.
Mica si può escludere a priori che tu non abbia dati sensibili!
Magari hai dipendenti e tratti i loro dati sensibili in modo elettronico

 software) la news letter n.30.
Il DPS non è richiesto se non si trattano dati sensibili o giudiziari; 
art.19 allegato B al DLgs 196/03
P.S.: lasciate perdere biblus, che prende enormi strafalcioni. 

 art.19 allegato B al DLgs 196/03
Quindi, se non ho capito male, nel caso di consulenze tecniche per il
tribunale (come tecnico di parte o di ufficio) in pratica si dovrebbe
rientrare in questa casistica ?
-- 
Ciao da Francesco B.



 P.S.: lasciate perdere biblus, che prende enormi strafalcioni.
Dovro' tirare le orecchie al mio commercialista allora. Mi aveva detto 
che dal 31/12 decorreva l'obbligo anche per chi non tratta dati sensibili.
Chiedero' chiarimenti.
-- 
Ciao, Tigers


*Francesco B.* ha scritto:

Se si tratta di aspetti meramente tecnici, imho no. La definizione di 
dati giudiziari del DLgs 196/03 č:
<<e) "dati giudiziari", i dati personali idonei a rivelare provvedimenti 
di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del 
d.P.R. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di 
anagrafe delle sanzioni amministrative dipendenti da reato e dei 
relativi carichi pendenti, o la qualita' di imputato o di indagato ai 
sensi degli articoli 60 e 61 del codice di procedura penale;>>

 sensibili. Chiedero' chiarimenti.
Può darsi che il tuo commercialista sia anche lui vittima degli 
speculatori sulla privacy, che approfittano della fumosità della legge.
Però il garante per il trattamento dei dati personali, con parere del 
22.03.04, ha chiarito che "In base al nuovo Codice, la misura minima del 
DPS deve essere ora adottata dal titolare di un trattamento di dati 
sensibili o giudiziari effettuato con strumenti elettronici..."
http://www.garanteprivacy.it/garante/doc.jsp?ID=771307
Attenzione però che le misure minime vanno comunque adottate. Sono 4 
cose semplici, ma se non si fanno è reato penale e le sanzioni sono 
pesantissime (da 10.000 E in su)
In merito alla posizione degli ordini professionali, ho anch'io una 
bozza di DPS predisposto da un ordine degli ing (ora non ricordo quale, 
poi ti do il link) che esordisce più o meno così:
"Il sottoscritto ing, pur non essendo obbligato alla redazione del DPS 
in quanto non tratta dati sensibili o giudiziari, adotta il presente 
DPS..."

 art.19 allegato B al DLgs 196/03
tu caro DOC, come ti stai comportando per la privacy? Che misure minime 
adotti? Che carte hai compilato? Sei l'ancora di salvezza di molti del ng.. 
In studio stanno compilando il DPS, (che tu dici che non serva in caso non 
si trattino dati giudiziari o sensibili), ma poi non hanno fatto altro. Cosa 
c'è da fare? Un link?
Grazie 1000 

SuperP ha scritto:

Il DPS tipo che trovi sul sito dell'ordine ing. di Milano spiega 
abbastanza bene le procedure principali da attuare. Anche se non lo vuoi 
redigere puoi usarlo come mini-guida.
-- 
Ciao, Tigers


 Attenzione perņ che le misure minime vanno comunque adottate.
Aggiungo: non affrettatevi, che domani sarą approvato un decreto legge 
che prorogherą di tre mesi la scadenza del 31.12 per gli adempimenti 
relativi alla privacy. 


Scusa la domanda, ma ti risulta che gli studi profesionali debbano 
installare un sistema di allarme antintrusione? A me sembra una fesseria, 
però mi ha messo la pulce nell'orecchio il commercialista :-( 

Grazie a tutti per gli apporti alla discussione.
Facendo un pò di ricerche su internet in effetti la questione è non è chiara
al 100%, ma secondo me l'interpretazione più diffusa è quella di rifarsi
all'art.19 allegato B al DLgs 196/03 (Il DPS non è richiesto se non si
trattano dati sensibili o giudiziari).
Quindi salvo che non si trattino dati di questo tipo il DPS non è richiesto.
Naturalmente le società di consulenza e tutti "gli speculatori della
privacy" come giustamente sottolineato non hanno alcun interesse a fare
chiarezza su questi limiti e propongono di redigere il DPS in ogni caso.
Rimane comunque l'obbligo di far firmare il consenso per il trattamento dei
dati personali e le altre misure minime.
Ciao, Antonio De Giorgi

 quale, poi ti do il link)
Ordine degli ingegneri di padova
http://tinyurl.com/9whyz
http://www.pd.ordineingegneri.it/OrdineIngPD/Document.nsf/6be6d75447f84f70c1256a78004f400d/7d3903a65c2ff74fc1256f5000559569/$FILE/FAC%20SIMILE%20DI%20DOCUMENTO%20PROGRAMMATICO%20SULLA%20SICUREZZA.doc
 

 poi non hanno fatto altro. Cosa c'è da fare? Un link?
Il DPS non serve a niente se poi non si fa quello che c'è scritto, anzi 
è addirittura controproducente come un PSC in cui si diano delle 
prescrizioni particolari e poi queste non vengano attuate.
Il DLgs 196/03 è una sorta di testo unico, basta leggere quello, anzi 
basta l'allegato B, interpretando il quale è necessario, in caso di 
trattamento di dati personali non sensibili né giudiziari, effettuato 
sia con strumenti elettronici che senza:
1-username diverso e password per ciascun utilizzatore del computer; la 
pwd deve essere di 8 bytes almeno, va cambiata ogni 6 mesi e deve essere 
scritta su busta sigillata da conservare sotto chiave (basta un 
cassetto, ma la chiave va tenuta separatamente ;-)
2-screensaver con password
3-antivirus
4-backup settimanale, da conservare sotto chiave.
5-non scrivere sui dorsi delle cartelle d'archivio il nome del cliente.
5-Se ci sono collaboratori, una volta all'anno impartire le istruzioni 
(verbali e scritte) e far firmare l'attestazione dell'avvenuto 
aggiornamento.
Altre misure, non obbligatorie, potrebbero essere l'ups, il 
distruggidocumenti, la crittografia.
Per il trattamento dei dati non è richiesto il consenso al cliente (art. 
24 c.1 lettera b), che va solo informato verbalmente sulle finalità 
(art. 13 c.1)
Chi tratta dati sensibili, come i commercialisti, deve ad esempio avere 
un firewall, deve fare il DPS con data certa (e aggiornarlo e attuarlo), 
deve cambiare la pwd ogni 3 mesi, deve "proteggere le aree". 
Quest'ultima cosa non è specificata: rientrano l'estintore, l'impianto 
sprinkler, oppure la porta blindata, l'allarme elettronico, la guardia 
giurata residente o qualsiasi altra amenità: va fatta un'analisi dei 
rischi e vanno adottate misure proporzionali al rischio.

 firmare il consenso per il trattamento dei dati personali
No. Art. 24 DLgs 196/03:
1. Il consenso non e' richiesto... quando il trattamento: ... b) e' 
necessario per eseguire obblighi derivanti da un contratto del quale e' 
parte l'interessato o per adempiere, prima della conclusione del 
contratto, a specifiche richieste dell'interessato;

 art.19 allegato B al DLgs 196/03
ma l'art. 34 DLgs 196/03 lo prevede!
1. Il trattamento di dati personali effettuato con strumenti elettronici e' 
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico 
contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del trattamento 
consentito ai singoli incaricati e addetti alla gestione o alla manutenzione 
degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti 
illeciti di dati, ad accessi non consentiti e a determinati programmi 
informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il 
ripristino della disponibilita' dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per 
determinati trattamenti di dati idonei a rivelare lo stato di salute o la 
vita sessuale effettuati da organismi sanitart.

 ma l'art. 34 DLgs 196/03 lo prevede!
[snip]
Anch'io mi ero fermato a quello, ma se guardi l'allegato B richiamato 
dall'art. vedrai che il DPS e' previsto solo se si trattano dati sensibili.


 ma l'art. 34 DLgs 196/03 lo prevede!
Non esattamente: lo prevede "nei modi previsti dal disciplinare tecnico 
contenuto nell'allegato B".
Per fugare tutti i dubbi leggiti un altro mio messaggio in cui ho citato 
un parere del garante il quale, a norma dell'art. 154, ha il compito di 
controllare se i trattamenti sono effettuati nel rispetto della 
disciplina applicabile.


si, si certo.
Anche in ufficio dove si era alle prese con il DPS ringraziano...
Solo che appunto in ufficio si faceva riferimento all'art. 34, anche se poi 
si sono convinti del tuo parere (e di quello del garante) 

 Se si tratta di aspetti meramente tecnici, imho no.
Ti ringrazio per la risposta cosi' precisa.
