Newsgroup: it.discussioni.geometri
Titolo: Privacy dal 31-03-2006

Per la Privacy, come avete pensato di fare dal 31-03-2006.
Ciao 


non ho ancora fatto nulla, nemmeno il DPS in quanto essendo da solo basta 
quello. 

 Ciao
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

DGE ha scritto:

Secondo la legge non serve, quindi non l'ho fatto. Questo non vuol dire 
che non vadano cmq prese precauzioni e misure di sicurezza varie.
-- 
Ciao, Tigers
[cit.] .. perchè la curva d'apprendimento di google è storicamente tra
le più ripide ... e.
www.tigers.3000.it

 
Ciao Tigers
mi ero appena riguardato la normativa prima di leggere questo post, 
rileggendo anche i precedenti interventi in tema su questo NG.
Questo perché ad oggi non ho ancora fatto niente :-(
Ti chiedo un parere (anche a chiunque altro voglia rispondere, 
ovviamente), visto che mi sembra che tu abbia le idee molto chiare in 
proposito (e non solo su questo argomento :-)))
Il fatto che uno lavori da solo o con colleghi/soci/collaboratori, è 
ininfluente ai fini della redazione del DPS? IMHO direi di sì, visto che 
si continua a non trattare dati sensibili.
Dovranno essere ovviamente adottate delle precauzioni/procedure diverse, 
più attente rispetto ad un "single", ma il DPS resta sempre un documento 
non obbligatorio.
Che mi dici?
Ciao
Maci

 Maci


 
OK, grasssssie per l'intervento
Ciao
Maci

Fatemi capire meglio, io divido un appartamento adibito a studio con un
altro collega, ognuno di noi lavora per conto proprio e ha la sua
camera, dividiamo solo le spese per l'affitto e l'energia elettrica.
Ogni stanza è ovviamente dotata di porta e relativa serratura (anche
se non la chiudiamo mai), secondo voi, cosa sono obbligato a fare per
essere in regola con la legge sulla privacy ?
Grazie.
Ciccio.

ffu...@libero.it
 ha scritto:

Da quel che ho capito finora (sicuramente poco), si possono individuare 
questi adempimenti principali:
- la redazione del DPS, se si trattano dati sensibili;
- la comunicazione delle informative, precisando che si stanno trattando 
dati, in quale modalità, da chi ed i riferimenti di legge a tutela del 
trattamento; l'informativa può anche essere resa verbalmente;
- l'adozione di procedure che garantiscano che il trattamento viene 
effettuato con la dovuta correttezza.
L'ultimo punto è certamente il più importante e deve essere attuato da 
tutti, anche se non è formalizzato in modo evidente (a meno che si 
rediga il DPS).
Nel tuo caso mi viene da dire, semplificando molto, che devi fare tutto 
quanto impedisca un illecito accesso ed uso dei dati in tuo possesso; 
quindi computers protetti, porte chiuse quando non sei presente nelle 
tue stanze, evitare di lasciare in giro (a vista) informazioni sui tuoi 
clienti. Per quest'ultimo punto c'è chi ritiene che lasciare i classici 
faldoni sugli scaffali con in bella evidenza il nome del committente sia 
  già violazione della privacy: occorrerebbe sostituire con un codice, 
attraverso il quale solo tu puoi risalire al cliente.
Mi fermo qui, aspetto altri contributi.
Ciao
Maci

 che non vadano cmq prese precauzioni e misure di sicurezza varie.
Mah... Da come la vedo io, invece, secondo la legge, il DPS serve, in
quanto è previsto dall'art. 34 al comma g). Cito:
D.Lgs. 30-06-2003, n. 196 Codice in materia di protezione dei dati
personali
Art. 34 - (Trattamenti con strumenti elettronici) 
1. Il trattamento di dati personali effettuato con strumenti elettronici
è consentito solo se sono adottate, nei modi previsti dal disciplinare
tecnico contenuto nell'allegato B), le seguenti misure minime:
/cut/
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
/cut/

 /cut/
Ciao Aladino
in effetti sembrerebbe.
Però, da come la vede il garante:
---------
.  IL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA
2.1 Anche la redazione del DPS è una "misura minima", prevista 
dall’Allegato B).
Si tratta di una misura non nuova, sebbene sia aumentato il numero dei 
soggetti che deve redigere il DPS e sia parzialmente diverso il suo 
necessario contenuto.
Infatti, la precedente disciplina prevedeva già l’obbligo di predisporre 
e aggiornare il DPS, almeno annualmente, in caso di trattamento di dati 
sensibili o relativi a determinati provvedimenti giudiziari effettuato 
mediante elaboratori accessibili mediante una rete di telecomunicazioni 
disponibili al pubblico (artt.  22 e  24 l. n. 675/1996; art. 6 d. P.R. 
n. 318/1999).
I soggetti tenuti a predisporre il DPS hanno potuto redigerlo per la 
prima volta entro il 29 marzo 2000 o, al più tardi, entro il 31 dicembre 
2000 (artt.  15, comma 2 e  41, comma 3 l. n. 675/1996;  l. n. 
325/2000); dovendo rispettare l’obbligo di revisione almeno annuale, 
hanno dovuto aggiornare il DPS negli anni successivi, anche nel 2003.
2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora 
adottata dal titolare di un trattamento di dati sensibili o giudiziari 
effettuato con strumenti elettronici, attraverso l’organo, ufficio o 
persona fisica a ciò legittimata in base all’ordinamento aziendale o 
della pubblica amministrazione interessata (art.  34, comma 1, lett. g), 
del Codice;  regola 19 dell’Allegato B)).
Come accennato, il DPS deve essere redatto da alcuni soggetti che non vi 
erano precedentemente tenuti (ad esempio, da chi trattava dati sensibili 
o giudiziari, ma con elaboratori non accessibili mediante una rete di 
telecomunicazioni disponibili al pubblico).
Inoltre, a differenza del passato, la categoria dei dati giudiziari è 
oggi rappresentata anche da altri dati personali, riferiti ad esempio a 
provvedimenti giudiziari non definitivi o alla semplice qualità di 
imputato o indagato (v.  art. 4 del Codice).
Infine, il contenuto stesso del DPS è arricchito da nuovi elementi che 
si aggiungono a quelli necessari in base alla precedente disciplina o ne 
specificano alcuni aspetti. Ad esempio, nel DPS occorre descrivere ora i 
criteri e le modalità per ripristinare la disponibilità dei dati in caso 
di distruzione o danneggiamento delle informazioni o degli strumenti 
elettronici; occorre individuare poi i criteri da adottare per cifrare o 
per separare i dati idonei a rivelare lo stato di salute e la vita 
sessuale trattati da organismi sanitari ed esercenti le professioni 
sanitarie (regole 19.8 e 24 dell’Allegato B)).
-------
il tutto beccato da questo link, discretamente attendibile:
http://www.garanteprivacy.it/garante/doc.jsp?ID=771307
Ciao
Maci

E' necessario secondo voi installare un rilevatore antintrusione? E la porta 
blindata? Io non ci sto capendo piů niente. Parlando con colleghi 
sembrerebbe di si, perň secondo me č un eccesso, almeno per i liberi 
professionisti nel campo tecnico.
E' vero che bisogna adottare delle procedure per salvaguardare la privacy 
(ad es. porte e fascicolatori chiusi, password di accesso ecc.) ma 
sinceramente mi sembra un po' troppo. E poi non vorrei spendere dei soldini 
in questo momento :-) 

 
Per quanto riguarda l'accesso allo studio nella norma trovi i seguenti 
riferimenti:
Art. 35. Trattamenti senza l’ausilio di strumenti elettronici
1. Il trattamento di dati personali effettuato senza l’ausilio di 
strumenti elettronici è consentito solo se sono adottate, nei modi 
previsti dal disciplinare tecnico contenuto nell’allegato B),
le seguenti misure minime:
(...)
c) previsione di procedure per la conservazione di determinati atti in 
archivi ad accesso selezionato e disciplina delle modalità di accesso 
finalizzata all’identificazione degli incaricati.
Allegato B:
29. L’accesso agli archivi contenenti dati sensibili o giudiziari è 
controllato. Le persone ammesse, a qualunque titolo, dopo l’orario di 
chiusura, sono identificate e registrate.
Quando gli archivi non sono dotati di strumenti elettronici per il 
controllo degli accessi o di incaricati della vigilanza, le persone che 
vi accedono sono preventivamente autorizzate.
Quindi non mi sembra proprio il caso di pensare a anti-intruisone, porta 
blindata, videosorveglianza, ecc.
Sì alla pwd per i PC. Prova in ogni caso a leggerti la norma, 
considerando, come è stato detto più volte, che in genere trattiamo dati 
personali e non sensibili.
Ciao
Maci

 quanto č previsto dall'art. 34 al comma g). Cito:
[snip]
E' una cosa che confonde molti a quel che vedo, perche' la legge non e' 
chiarissima: prima sembra che serva, ma poi di seguire l'allegato B, che 
specifica meglio come.
Tu citi cuttando, pero' faresti meglio a leggerti COME l'allegato B 
descrive i modi.
-- 
Ciao, Tigers
[cit.] .. perchč la curva d'apprendimento di google č storicamente tra
le piů ripide ... e.
www.tigers.3000.it

 in questo momento :-) 
Ricordiamoci che il problema e' salvaguardare la privacy: se fosse come 
dici tu mi converrebbe NON tenere nessun dato dei clienti: ogni volta 
telefono e glieli chiedo... Sono anche disposto a dimenticarne i nomi da 
una volta con l'altra... :)


 
E poi, sottolineo ancora, il fatto che  il DPS serva solo per i dati 
sensibili e giudiziari non deriva da un'interpretazione delle norme 
soggettiva più o meno corretta, ma l'ha chiarito proprio il garante sul 
suo sito.
Ciao
Maci


I nomi si possono pure dimenticare, però non dimenticare di cancellare i 
nomi dei committenti dalle relazioni e dal cartiglio :-)

 Però, da come la vede il garante:
Io continuo a non vederci una deroga per chi non ha dipendenti:
ovviamente molte procedure si semplificano, ma il DPS serve a
fare/dimostrare di aver fatto un'analisi dei rischi, che per molti
aspetti ci sono tanto per il singolo che per l'azienda da 100
dipendenti: esempio virus, intrusioni informatiche e non, ma anche
documenti a vista dei clienti, integrità dei dati, ecc... I rischi ci
sono, anche se chiaramente non dovrò gestire diversi livelli di
protezione per questo o quel dipendente che potrebbero avere permessi di
accesso diverso, ma da come la vedo io, per la legge, le misure minime e
il DPS devono essere adottate da chiunque tratti dati personali su
supporto elettronico.  Poi ogiuno fa quello che crede...

 ha scritto nel messaggio 
news:b7729798a0d6c034fda...@mygate.mailgate.org...


 Poi ogiuno fa quello che crede...
Su questo sono perfettamente d'accordo.
Sul documento che ti ho inviato è detto che non tutti devono fare il 
DPS, ma solo quelli che trattano dati sensibili e giudiziari (punto 2.2).
E non è interpretazione mia o di Tigers, ma del garante.
Non fare il DPS non vuol dire adottare le misure minime di sicurezza da 
te citate.
Ciao
Maci

 DPS, ma solo quelli che trattano dati sensibili e giudiziari (punto 2.2).
Il fatto è che la distinzione di dato sensibile è ancora poco chiara: le
dichiarazioni fiscali sono un dato sensibile? e le eventuali spese
mediche? La scelta dell'8 per mille? E le perizie per il tribunale e/o
di parte sono da considerarsi dati giudiziari ai sensi della legge sulla
privacy? Ma anche una semplice successione o nota per una compravendita,
potrebbe in qualche modo contenere dati sensibili?
Siccome queste cose rientrano nell'attività dello studio, ritengo che il
DPS non sia un optional, sempre ai sensi della legge, eh... ;-) 

 DPS non sia un optional, sempre ai sensi della legge, eh... ;-) 
mmmmmm, credo che sia il caso di interrompere qui.
Certo non fai nulla di male a redigere il DPS, che altro non è se non la 
formalizzazione delle procedure che comunque sei tenuto ad adottare (e 
molto di più se sei convinto di trattare dati sensibili).
Il punto è: trattiamo nella ns. professione dati sensibili e/o giudiziari?
Io se guardo il mio lavoro e leggo le relative definizioni di legge mi 
rispondo: no.
Tu rispondi sì. e allora buon DPS :-)))
Ciao
Maci

 nomi dei committenti dalle relazioni e dal cartiglio :-)
Se l'alternativa sono le porte blindate, i DPS e perdere piu' tempo per 
quello che per lavorare sono disposto a farlo: stampe in bianco da 
compilare a mano ogni volta. :)


 Io continuo a non vederci una deroga per chi non ha dipendenti:
Dimmi il punto in cui lo dice allora, perche' non basta "vederlo" tipo 
madonna di Lourdes... La parola dipendenti non e' presente nemmeno una 
volta nel testo.
[snip]
-- 
Ciao, Tigers


 DPS non sia un optional, sempre ai sensi della legge, eh... ;-) 
E chi ha mai detto il contrario? E' ovvio (e l'ho detto fin dall'inizio) 
che se i dati sensibili li hai il DPS lo devi fare. Dipendenti o non 
dipendenti.


Ho notato che alcuni faranno il DPS, altri no.
Per quelli che lo fanno (tra i quali mi metto anch'io), cosa c***o ne 
facciamo!! Alcuni mi hanno detto che bisognerebbe spedirlo con raccomandata 
a sč stessi entro il 31 marzo!!
Voi che ne dite? 

 raccomandata a sè stessi entro il 31 marzo!!
Rodota' il 5/12/00 scrisse il suo "Parere - 05 dicembre 2000":
8<-----
In questa prospettiva, senza pretesa di indicare in modo esauriente
tutti i possibili strumenti idonei ad assegnare al documento una data
certa, il Garante richiama l'attenzione dei titolari del trattamento
sulle seguenti possibilità che appaiono utilmente utilizzabili:
a) ricorso alla c.d. "autoprestazione" presso uffici postali prevista
dall'art. 8 del d.lg. 22 luglio 1999, n. 261, con apposizione del
timbro direttamente sul documento avente corpo unico, anziché
sull'involucro che lo contiene;
b) in particolare per le amministrazioni pubbliche, adozione di un atto
deliberativo di cui sia certa la data in base alla disciplina della
formazione, numerazione e pubblicazione dell'atto;
c) apposizione della c.d. marca temporale sui documenti informatici
(art. 15, comma 2, legge 15 marzo 1997, n. 59; d.P.R. 10 novembre 1997,
n. 513; artt. 52 ss. d.P.C.M. 8 febbraio 1999);
d) apposizione di autentica, deposito del documento o vidimazione di un
verbale, in conformità alla legge notarile; formazione di un atto
pubblico;
e) registrazione o produzione del documento a norma di legge presso un
ufficio pubblico.
8<-----
Ulteriori info sul sito del garante. Cerca "autoprestazione".
-- 
(_  _)/ __  )/ __  )/\ ò  |user@slackwarebox:~$ info Top
 / / / /_/ // /_/ ///\\/\ |MTBclimber-AlpineArtilleryMan
( / (_____// ____////\\\/ |mail: totomar-AT-libero-DOT-it
 colm(FUR)/ /vrh(SLO) \\\ |"Nobis incedentibus rupes ruunt"

 
Il problema è quello della data certa, cioè di poter dimostrare che 
entro il 31.03 il documento era stato redatto.
*Mi pare* che la norma non dica niente al riguardo, penso sia soltanto 
un'ulteriore misura a paramento delle chiappe ;-) (della serie meglio 
qualcosa in più che in meno).
Se qualcuno ha invece un riferimento ben preciso lo faccia presente.
[brutto carattere ON]
Personalmente (ma questo non c'entra niente con la discussione) è un 
atteggiamento che faccio fatica a digerire: se la cosa non è richiesta 
per legge e non migliora la qualità del mio lavoro, perché devo perdermi 
dietro a queste str*****e? Per prevenire una situazione di questo tipo?: 
mi viene un controllo in studio, tra tutto quello che devono cercare mi 
vengono a rompere le ba@@e sulla privacy, trovano il DPS ed ho paura che 
mi dicano: "Ma lei questo documento può averlo scritto il 1 aprile 
anziché il 31 marzo!" ... lasciamo perdere...
[brutto carattere OFF] (anche se di fatto mi rimane ;-)
La raccomandata tradizionale non serve: dimostro di aver ricevuto una 
busta, nulla di più; dovrei fare un plico raccomandato (i timbri sono 
sul documento). In realtà qualcuno ha scritto che si può andare in posta 
e farsi timbrare il documento (credo che sia una procedura che valga 
anche per altre cose), pagando qualche eurozzo. In questo modo sul ns. 
DPS c'è una data apposta dall'ufficio postale.
Ciao
Maci

 
Temevo già di aver fatto l'ennesima figura: mi hai smentito 3 minuti 
prima che inviassi il mio post :-((((
In realtà il garante (anzi la norma, art. 180) prescrive che qualora tu 
per motivate ragioni tecniche non sia in grado di adempiere entro il 
31.03 devi redigere un documento *a data certa* che motivi questa tua 
impossibilità. In questo caso hai tempo per adempiere entro il 30.6.
Per il normale DPS la data certa non è richiesta.
Ciao
Maci

 DPS c'è una data apposta dall'ufficio postale.
Spendi 60 centesimi per un francobollo di posta prioritaria che ti timbrano
subito. Qualcuno sostiene che ci vorrebbe un timbro su ogni pagina del
docunento, ma non saprei dirti di più.

 sul ns. DPS c'è una data apposta dall'ufficio postale.
Fascicolo rilegato con apposto il timbro professionale sulle rilegature
davanti e dietro.
In posta ti invii con raccomandata il "plico aperto" senza busta con
bollo e data di spedizione apposta in prima pagina. Sanno loro come
fare.



Ho letto un po' di risposte e mi sto documentando anche se ammetto di
aver preso la cosa "sottogamba" e di dover correre ai ripari.
Abbiamo uno studio associato con dei collaboratori e dividiamo lo
studio con un'altra società.
Secondo voi dovremmo chiudere a chiave gli armadi?
(li abbiamo già ordinati ma senza chiavi. che famo, li lucchettiamo?)
Mah, capisco che le società che trattano montagne di dati personali
debbano essere controllate ma per i nostri 3 o 4 clienti...
Sono molto perplesso sull'applicazione di questa legge, sono tentato
di considerarla come inutile burocratizzazione anche se nel principio
la trovo corretta.
Aiutatemi ad assolverne i compiti contento, chè attualmente non lo
sono affatto.
--
federico reyneri
LPzR architetti
ICQ 149062387

Il Wed, 22 Mar 2006 15:52:02 +0100, federico.reyneri
<NOS...@NOSPAM.NOSPAM> scrisse:
grazie a gabriele ho letto questo:
http://www.edilbase.com/argomento_news.php?id=1207
che sostiene che non vada fatto nessun DPS.


 che sostiene che non vada fatto nessun DPS.
ok ho letto che non va fatto il DPS, però l'informativa ai clienti e ai 
fornitori ed ai collaboratori va fatta.
ora mi chiedo (meglio Vi chiedo): per quanto riguarda i clienti, solo per 
quelli attuali o anche per i clienti vecchi (cioè per le vecchie e ormai 
concluse pratiche, da notare che i dati personali in archivio ci sono 
sempre). 

 ha scritto nel messaggio 
news:4422685b$0$29092$5fc...@news.tiscali.it...

io è circa 2 anni che faccio l'informativa ai clienti al momento di emettere 
la fattura gliela faccio firmare, x i vecchi non faccio niente. 

 ha scritto nel messaggio 
news:f8uUf.45943$A83.1...@twister1.libero.it...

http://www.geonetwork.it/centrostudi/index.php?option=content&task=view&id=378&Itemid=1

 
Costa meno l'autoprestazione.
-- 
Ciao, Tigers
