Newsgroup: it.lavoro.professioni.webmaster
Titolo: Compilazione DPS: chi è obbligato a farla?

Buongiorno a tutti e scusate se vi pongo questa domanda ma, dando
un'occhiata al sito del garante i miei dubbi sono aumentati anziché
diminuiti.
Ho creato qualche anno fa un sito di offerte e ricerca lavoro.
La mia situazione è la seguente:
1) I dati sono conservati su un database mysql su server remoto (di
proprietà di una hosting company), mai sul mio pc.
2) Ogni curriculum inserito è reso visibile solo alle aziende per le
cui offerte di lavoro il candidato sceglie di proporsi.
3) Anche quando un candidato si propone per un'offerta di lavoro le
aziende non possono accedere a dati quali indirizzo email, indirizzo
"reale", numeri di telefono, ecc.
4) Non sono presenti in alcun modo dati riguardanti scelte politiche,
religiose, sessuali o dati giudiziari.
5) L'iscrizione al sito deve essere confermata attraverso link su email
inviata all'indirizzo specificato in fase di registrazione.
6) Ogni candidato può iscriversi ad un servizio di "Allerta" per
ricevere via email nuovi annunci secondo criteri stabiliti dal
candidato stesso.
7) Ovviamente, sia i privati che le aziende, prima di iscriversi devono
dare il consenso al trattamento dei dati personali secondo la legge
675/96.
Detto tutto ciò, devo compilare anch'io il dps o no? E, sia in un
caso, sia nell'altro, devo adottare ulteriori misure per essere in
regola con la legge ed in pace con la mia coscienza?
Grazie anticipatamente per la vostra attenzione.

regola con la legge ed in pace con la mia coscienza?
Dai una letta qui: 
http://www.e-dps.it/home/chidevefarlo.asp
E' MOLTO stringato ma rende l'idea.
Qui 
http://www.siscas.net/dps/index.php?Compilazione_del_DPS
 un
esempio di DPS.
emmedģ


Ho dato una lettura al link ma nasce spontanea una domanda, a cui non ho 
trovato risposta: č obbligatoria la stesura di un DPS anche nel caso in cui 
i _dati_ sono di natura volatile?
Un esempio banale, consideriamo un sito di annunci in cui gli unici dati 
richiesti sono l'indirizzo email ed un eventuale recapito telefonico.
Questi dati, ovviamente sarebbero memorizzati in un database per tot giorni, 
oltre il quale definitivamente distrutti dal sistema stesso in automatico.
Nel caso di un sito di annunci, la distruzione del dato avverrebbe 
ovviamente con la scadenza dell'annuncio stesso.
Ripeto in una circostanza del genere sussiste l'obbligo? considerando una 
archiviazione di breve durata del sistema (solamente per la validitą 
dell'annuncio stesso).
Grazie in anticipo, Cooper.
-- 
www.blueware.it


nel momento in cui fai un trattamento e una archiviazione di quei dati 
devi documentare
- quali
- quanti
- perche'
- chi sono gli interessati dal trattamento
- dove sonomantenuti i dati
- le caratteristiche dei locali
- i rischi cui sono sottoposti (furto, distruzione da failure del 
sistema, ecc.)
- le misure che intendi adottare per prevenire i rischi e i danni
- il tipo di "manutenzione", e la sua periodicita, che fai ai dati e ai 
dispositivi che li memorizzano/trattano
- le procedure e le istruzioni operative che hai predisposto e 
distribuito ai collaboratori avendo la certezza che le hanno comprese e 
che le adottano
in sostanza la normativa dice che TUTTI coloro effettuano un trattamento 
DEBBONO redigere il DPS e adotta le Misure Minime (firewall, antivirus, 
back-up, ecc.)
ti basta o proseguiamo?


Ok intanto ti ringrazio per la risposta ma quanto hai detto sopra è già 
chiaro, io posto la domanda in modo diverso. Intanto quoto quanto hai 
scritto:
<quote>
nel momento in cui fai un trattamento e una archiviazione di quei dati
devi documentare
</quote>
abbiamo: "trattamento" E "conservazione".
La conservazione ipotizziamo sia di 7 giorni all'interno di un database, e 
allo scadere del 7imo giorno il dato viene distrutto dal database.
Nel caso di un sito di annunci "il trattamento" in cosa consiste? dal 
momento in cui l'azienda che gestisce detto sito internet non ha necessità 
di analizzare questi ultimi?
In poche parole, il sito internet lavora in modo del tutto autonomo, 
l'inserzionista tramite form inserisce l'annuncio con il suo recapito 
telefonico (o email) per essere contattato.
Tale annuncio viene memorizzato per 7 giorni nel database e visualizzato nel 
sito internet e al termine dei 7 giorni eliminato dal sito internet, in modo 
del tutto automatico e trasparente per l'azienda che tiene detto sito 
internet.
In sostanza l'azienda è in una condizione di poter non essere a conoscenza 
dei dati inseriti dal momento che non è tenuta a monitorare gli annunci 
inseriti.
Alla luce di questo, ripeto, è obbligatorio?
Cooper.
PS: La tua risposta è generale, e ok perfettamente chiara, ma ho chiesto una 
risposta alla situazione specifica che non è la stessa che nella 
consuetudine, in altre parole sto chiedendo se è obbligatorio o no in questo 
caso particolare, dal momento che tutto avviene in automatico e chi gestisce 
non è tenuto a monitorare.
Resta salva ovviamente la legge sulla privacy e i diritti relativi 
dell'inserzionista.
-- 
www.blueware.it

 back-up, ecc.)
Falso, il DPS è obbligatorio SOLO per quelli che trattano con strumenti
elettronici dati sensibili o giudiziari.
Resta l'obbligo di adeguamento alle misure minime e la definizione eventuale
dei responsabili.

 non è tenuto a monitorare.
NON è un caso particolare.
Fosse anche per un microsecondo, i dati sono sul server a cui tu hai
accesso, quindi devi adeguarti al D.Lgs


puo' essere ma mi pare di aver seguito proprio ieri sera una 
documentazione che diceva proprio TUTTI
comunque nel caso di Cooper e' tenuto, senza se e senza ma (come gli hai 
fatto notare anche tu) 


quoto 


Esatto, ma possono anche essere a mia insaputa, dal momento che non 
controllo quali dati vengono inseriti nel server stesso.
Il "trattamento" non presume che chi li gestisce ne venga a conoscenza? 
Altrimenti come fa a gestire qualcosa che non conosce?
Voglio dire, una cosa è che un utente compila un form lo invia alla azienda 
e si registra da qualche parte; un altra cosa è non registrarsi da nessuna 
parte e inserire il dato affinchè sia pubblicato sul sito per tot giorni e 
automaticamente cancellato dopo 7 giorni dal sistema.
La differenza è questa nella sostanza.
Cooper.
-- 
www.blueware.it

XXXX ha scritto:

Appena era uscito il decreto (ormai due anni fa) mi ero interessato e al 
momento la questione era assai controversa (nel senso che c'erano 
autorevoli pareri su entrambe le interpretazioni - se non ricordo male, 
il punto focale era che seguendo quanto scritto nel decreto si giungeva 
ad una conclusione mentre il regolamento attuativo (ha un'altro nome ma 
in sostanza è quello) faceva pensare il contrario (da qui le due 
interpretazioni, anche se, di norma, ha predominanza la legge sul 
regolamento, ma in questo caso ci si troverebbe con un regolamento 
incompleto, veramente un capolavoro).
Sei a conoscenza di questa controversia e sai che è stata data per 
acclarata l'interpretazione che hai riportato?
Anche se, rileggendo quanto hai scritto mi sa di no, visto che i 
responsabili sono sempre e comunque obbligatori e il dps sicuramente è 
obbligatorio anche per chi tratta i dati sens e giud senza strumenti 
elettronici.
Paolo
-- 
=====================
L'indirizzo riportato come reply non è valido. Per contattarmi in 
privato rispondere al presente messaggio nel newsgroup, indicando 
l'indirizzo a cui si desidera essere contattati.

 La differenza è questa nella sostanza.
Cooper, la legge è questa, e non fa nessuna differenza.
Se vuoi capire capisci, sennò spiegalo a quelli che poi ti applicheranno le
giuste sanzioni, che vanno fino a 3 anni di galera e 100mila euro.

 elettronici.
Falso, leggi il documento

 fatto notare anche tu)
Non a fare il dps.
Email e telefono non sono dati sensibili o giudiziari.


non ho capito, devo fare o non devo fare in una circostanza del genere in 
cui ci sono solo email O telefono?
Cooper.
-- 
www.blueware.it


ce l'hai su un computer da qualche parte? Allora sicuramente SI 

 ha scritto nel messaggio 
news:3v926vF...@individual.net...

scusa... allora, dato che la rubrica sul proprio computer è piena di dati 
personali e dato che secondo  l'art. 3 "Al trattamento di cui al comma 1 
(ossia "Il trattamento di dati personali effettuato da persone fisiche per 
fini esclusivamente personali ")
si applicano in ogni caso le disposizioni in tema di sicurezza dei dati di
cui all'articolo 15 (misure minime di sicurezza, tra cui rientra anche la
redazione del dps)" anche mia zia (o mio nipote o  chiunque utilizza un 
computer) deve fare il dps?

> a "Claudio Baldan"
ti chiedo scusa, mi sono accorta ora che la mia risposta poteva sembrare
polemica nei tuoi confronti (cosa che non voglio sicuramente)...
è solo che secondo me c'è molta confusione.... non pensi che - [posto che è
meglio - a questo punto - che TUTTI redigano un adeguato dps - ma che
SOPRATTUTTO - adottino le altre misure minime di sicurezza per evitare che
il proprio lavoro (ed eventuali altri dati personali) vadano in fumo] -
nell'intento del legislatore ci fosse l'esigenza tutelare gli archivi di chi
(come medici, psicologi, scuole, etc.) si trovano a trattare dati SENSIBILI
per evitare che questi possano cadere in mani non autorizzate al loro
trattamento e quindi possa derivare loro un
pregiudizio. [quindi: per difendere il soggetto che ha certe preferenze
religiose,
politiche, sessuali, da eventuali boicottaggi o evitare che  il bimbo che ha
una certa malattia possa essere discriminato.]
Le misure minime di sicurezza (backup dei dati, password, etc. ... posto che
chi lavora in internet penso sia  - da questo punto di vista paranoico -
quindi abbia già adottato tutte le misure minime, e anche di più, per
evitare di vedere il proprio lavoro andare in fumo) servono, IMHO,
soprattutto  per evitare che l'eventuale medico (che immagino sia più
paranoico di noi, dato i dati che tratta) debba ricostruire tutta l'anamnesi
del paziente, rischiando di perdere dati importanti per la sua salute
(generalmente è bene conservare sempre anche il cartaceo)... e il tutto deve
essere tenuto ben segreto (altro che misure minime di sicurezza...)
non pensate che chi ha nome, congnome, partita iva, e-mail di un  sogggetto
(dati personali  ) ha una responsabilità molto diversa da chi ha per le mani
dati che possono rivelare le malattie che ha una persona, le sue preferenze
sessuali o le sue opinioni politiche o religiose?
tutto ovviamente IMHO... in ogni caso, a questo punto, penso che sia bene
che tutti facciano il dps... lo consiglio. è giusto farlo
scusa ancora per eventuale tono polemico di mia mail
ciao
r.

p.s. altra cosa è informativa... che va data a TUTTI... tutti devono sapere 
per quali fini usi la sua e-mail o il suo indirizzo e tutti devo avere la 
possiblità di opporsi al trattamento e chiedere cancellazione dei proprio 
dati...
(il consenso va dato PREVENTIVAMENTE per iscritto nel caso in cui si 
utilizzino i dati per fini diversi da adempimenti di legge)
tutto ovviamanete IMHO...
... ... ... 

p.s. scusate... dopo non posto piů e cancello mio account e mi taglio
connessione...
il fatto č che mi sembra tutto cosě strano e complicato...

 non è tenuto a monitorare.
Automatico o no, se avviene un trattamento illecito oppure una diffusione non
consentita si crea un danno per l'inserzionista e l'azienda *è tenuta* a
risponderne.
Max Graziani

 Il "trattamento" non presume che chi li gestisce ne venga a conoscenza?
Non è detto. Facciamo un caso banale: smarrimento o perdita dei dati, oppure
trafugamento. Chi li gestisce non li ha mai visti, ma converrai con me che se
se li è fatti sottrarre è *lui* ad essene responsabile? Se io mi iscrivo ad
una banca dati, può anche darsi che la banca dati non li veda neanche i miei
dati, ma se non ne ha cura e finiscono nelle mani di chissà chi (perché non ha
avuto cura di mettere in atto le misure minime previste dal codice e -
ricordiamoci- il DPS *è* una misura minima di sicurezza), permetti che io mi
incazzi? E, ovviamente, mi incazzo con la banca dati.
Max Graziani

 incazzi? E, ovviamente, mi incazzo con la banca dati.
Questa considerazione, dello stesso tenore di quella di Spike, è stata
smentita da un parere rilasciato dal garante, in cui esplicitamente chiariva
che è tenuto a redigere il DPS solo chi tratta dati sensibili e giudiziari
con strumenti informatici.
C'è da dire che il pur autorevole garante può dire quello che vuole: la
legge rimane legge, e l'ambiguità di quel provvedimento consiglia a chi
vuole stare al 100% tranquillo di farlo lo stesso sto benedetto DPS.
Operativamente nelle realtà un po' grandicelle il DPS non è più un lavoro
extra, ma è quasi necessario per adeguarsi alle misure minime: insomma,
comunque si dovrebbe fare un'indagine per capire che tipo di dati si
trattano, quindi tanto vale farlo.

 computer) deve fare il dps?
No, i soggetti destinatari del provvedimento sono quelli che trattano dati
personali per fini diversi da quelli privati.

 vuole stare al 100% tranquillo di farlo lo stesso sto benedetto DPS.
Infatti io ero rimasto all'art.34 della 196 ossia:
Art. 34. Trattamenti con strumenti elettronici
1. Il trattamento di dati personali effettuato con strumenti elettronici è
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico
contenuto nell'allegato B), le seguenti misure minime:
[cut]
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
che poi veniva espresso diversamente nell'allegato B, ossia:
Documento programmatico sulla sicurezza
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati
sensibili o di dati giudiziari redige anche attraverso il responsabile, se
designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo...
Tant'è che, come dici anche tu, il benedetto DPS si finisce col consigliarlo
sempre.
Max Graziani

 sempre.
Io lo consiglio quando la mole dell'azienda/ente è tale che una semplice
indagine consterebbe già della metà del lavoro.

 
http://www.garanteprivacy.it/garante/doc.jsp?ID=771307
Dove, al punto 2.2 dice...
"In base al nuovo Codice, la misura minima del DPS deve essere ora adottata
dal titolare di un trattamento di dati sensibili o giudiziari effettuato con
strumenti elettronici, attraverso l'organo, ufficio o persona fisica a ciò
legittimata in base all'ordinamento aziendale o della pubblica
amministrazione interessata (art.  34, comma 1, lett. g), del Codice;
regola 19 dell'Allegato B))."

"XXXX" <x@x.x> ha scritto nel messaggio news:dmp0d2$66b$1...@nnrp.ngi.it...

Scusa.. allora la ditta che fa hosting e ha dati dell' cliente (nome
cognome, Tel, Part. IVa /Cod. Fiscale indirizoz e-mail ) e lo tiene sull'
computer per redigere le fatture?? Anche loro debbono farlo?? Sono
considerati Dati Sensibili??
E per chi gestisce un forum? Anche loro debbono farlo?
PS:  se tutti quelli soggetti sono costretti a farlo .. avete pensato mail
all' elenco telefonico ! Anche questi sono quind dati sensibili? tanto per
fare un pò di polemica..
Ciao

 considerati Dati Sensibili??
C'è la definizione sul D.Lgs, leggila