Newsgroup: it.discussioni.geometri
Titolo: DPS - è fatta!!!!

Vengo ora dalla posta: penso di essere l'ultimo (come al solito?)
Ringrazio pubblicamente tutti quanti
per i consigli raccolti nel NG ed
in particolare l'ing. A. Sommaruga per
il DPS che ho potuto scaricare dal sito del
Collegio Geometri di Milano.
Roberto (TV)
--
Per rispondere all'email togliere le XXX dall'indirizzo;
----------------------------------------------------
In order to answer not to use the key "reply": cut the XXX from
address email in order to write to me. Thanks.

 Collegio Geometri di Milano.
Una curiosità: quanto corto sei riuscito a farlo?
zac....zac.... zac..... zac....zac.... zac.....
 togli questo, toglie quello....
zac....zac.... zac..... zac....zac.... zac.....
...io 11 facciate (compresa l'inutile copertina)!! :-D
Bye
MioMao

Non l'ho accorciato di molto, la copertina
l'ho lasciata per rispetto alla licenza :-))))
Diciamo che la parte riguardante l'Amministratore di sistema
lo saltata e come pure quella dei dipendenti (non ne ho)
Per eccesso di zelo ho fatto firmare a mia moglie
l'informativa come "impresa delle pulizie" e questa
mi ha detto che ora vuole essere pagata (ovviamente
in contanti ..... ormai in natura non si accontenta più
nessuno!!): naturalmente se non lo faccio mi ha minacciato
di fare un pomeriggio di shopping extremo.
Hhaaaaaaggggg.... W la privacy
Roberto (TV)


 ha scritto nel messaggio 
news:tk7Xf.57994$PR2.9...@twister2.libero.it...


 scusa ma cosa bisogna portare alla posta  perchè?

Devi portare il DPS alla posta per avere una data certa!
Ciao Massimo.

Vero, altrimenti come fai a dimostrare che al
31/03/2006 avevi fatto il DPS???
Ciao Robeto


 ha scritto nel messaggio 
news:7dbXf.58818$A83.1...@twister1.libero.it...

Bene andate pure in posta.
Ma non avete lette in giro che non serve la data certa se non per ottenere 
eventualmente un'ulteriore proroga (qualche mese) in merito all'applicazione 
delle misure minime!
Saluti
plinio

 ha scritto nel messaggio
news:e0jl0t$bpd$1...@area.cu.mi.it...



      Il falso dilemma della data certa del documento programmatico sulla 
sicurezza
      In vista della nuova imminente scadenza al 31 Marzo 2006 per l’adozione 
delle misure minime di sicurezza, è bene far luce su un falso dilemma, che 
continua a perpetuarsi come un rituale nel tempo: “il Problema della Data 
Certa del Documento Programmatico sulla Sicurezza”. Nonostante le più 
svariate teorie e tendenze scaramantiche, che impongono a molti l’applicazione 
del principio relativo che “nel dubbio tra fare e non fare, è sempre meglio 
fare”, vorrei finalmente ed in maniera esaustiva risolvere la questione 
della data certa, partendo da argomentazioni storiche e giuridiche, per 
delineare poi, il quadro normativo e le linee guida da seguire. I – DECRETO 
LEGGE 273/05: LE MISURE MINIME DI SICUREZZA PROROGATE Il D.L. 30 dicembre 
2005, n. 273 differisce i termini, previsti nell’ art. 180 del D.lgs 196/03 
(Codice Privacy), relativi alle scadenze per l’adozione delle “nuove misure 
minime di sicurezza” per soggetti pubblici e privati. Le misure minime di 
sicurezza, a cui si riferisce il Decreto Legge, sono quelle previste dagli 
articoli 33, 34 e 35 indicati analiticamente nelle 29 regole incluse nell’Allegato 
B) del Codice Privacy ovvero: Ø Per il trattamento di dati personali con 
strumenti elettronici: a) autenticazione informatica; b) adozione di 
procedure di gestione delle credenziali di autenticazione; c) utilizzazione 
di un sistema di autorizzazione; d) aggiornamento periodico 
dell'individuazione dell'ambito del trattamento consentito ai singoli 
incaricati e addetti alla gestione o alla manutenzione degli strumenti 
elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a 
trattamenti illeciti di dati, ad accessi non consentiti e a determinati 
programmi informatici; f) adozione di procedure per la custodia di copie di 
sicurezza, il ripristino della disponibilità dei dati e dei sistemi; g) 
tenuta di un aggiornato documento programmatico sulla sicurezza; h) adozione 
di tecniche di cifratura o di codici identificativi per determinati 
trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale 
effettuati da organismi sanitari. Ø Per il trattamento di dati personali 
senza l’ausilio di strumenti elettronici: a) aggiornamento periodico 
dell'individuazione dell'ambito del trattamento consentito ai singoli 
incaricati o alle unità organizzative; b) previsione di procedure per 
un'idonea custodia di atti e documenti affidati agli incaricati per lo 
svolgimento dei relativi compiti; c) previsione di procedure per la 
conservazione di determinati atti in archivi ad accesso selezionato e 
disciplina delle modalità di accesso finalizzata all'identificazione degli 
incaricati. II – DECRETO LEGGE 273/05: I NUOVI TERMINI DI SCADENZA Per 
quanto riguarda, i termini di scadenza per l’adozione delle misure minime di 
sicurezza, il Decreto Legge fa riferimento al su citato articolo 180 del 
Codice Privacy. Questo articolo prevede due ipotesi di termini di scadenza: 
Ø 31 Marzo 2006 – per l’adozione delle misure minime previste dagli articoli 
33, 34 e 35 del Codice Privacy (tra cui la redazione del Documento 
Programmatico sulla Sicurezza) Ø 30 Giugno 2006 – per l’applicazione delle 
misure minime previste dall’articolo 34 del Codice Privacy (esclusivamente 
per i titolari che comprovino di essere impossibilitati per obiettive 
ragioni tecniche all’applicazione entro il 31 Marzo 2006) III - EXCURSUS 
STORICO Con l’introduzione del “Decreto legislativo 30 giugno 2003, n. 196 - 
Codice in materia di protezione dei dati personali (Codice Privacy)”, il 
legislatore ha provveduto ad aggiornare l’elenco delle "misure minime" 
previste dagli articoli 15 e 41 della legge n. 675/1996, dal D.P.R. n. 
318/1999 e dalla legge n. 325/2000. Analogamente a quanto avveniva in 
passato, per le nuove misure minime, ha inoltre previsto dei termini 
transitori per la loro adozione, specificati nell’articolo 180 del Codice 
Privacy. Il termine transitorio inizialmente previsto per l’adeguamento alle 
nuove misure minime era stato fissato entro il 30 giugno 2004; Il 
legislatore aveva però previsto anche la possibilità di avvalersi di un 
periodo più ampio (fino al 1° gennaio 2005) in caso di obiettive ragioni di 
natura tecnica, tali da non consentire l’applicazione immediata, in tutto o 
in parte, delle nuove misure minime; il titolare che voleva avvalersi di 
tale possibilità doveva documentare le motivazioni in un atto a data certa 
da redigere entro il 30 giugno 2004. A seguito delle successive proroghe, i 
suddetti termini sono stati rispettivamente spostati al 31 Marzo 2006 
(Adozione Misure Minime) ed al 30 Giugno 2006 (Applicazione Misure Minime in 
caso di problemi di natura tecnica). IV - DOCUMENTO PROGRAMMATICO SULLA 
SICUREZZA (DPS) Tra le misure minime previste dal Codice Privacy rientra 
anche la redazione del “Documento Programmatico sulla Sicurezza (DPS); il 
DPS è una "misura minima non nuova”, sebbene sia aumentato il numero dei 
soggetti che deve redigerlo e ne sia parzialmente variato il contenuto. 
Infatti, la precedente disciplina già prevedeva l’obbligo di predisporre e 
aggiornare il DPS, in caso di trattamento di dati sensibili o giudiziari 
effettuato mediante elaboratori secondo quanto previsto dagli articoli 22 e 
24 della L. n. 675/1996 e l’articolo 6 del D.P.R. n. 318/1999. I soggetti 
inizialmente tenuti a predisporre il DPS avevano l’obbligo di redigerlo 
entro il 29 marzo 2000 o, al più tardi, entro il 31 dicembre 2000 secondo 
quanto previsto dalla L. n. 325/2000. La legge 325/2000 disponeva, infatti, 
che le misure di sicurezza previste dal decreto del Presidente della 
Repubblica 28 luglio 1999, n. 318, potevano essere adottate entro il 31 
dicembre 2000 solamente da soggetti che avessero documentato per iscritto le 
particolari esigenze tecniche e organizzative che rendeva necessario 
avvalersi di un termine più ampio di quello previsto dall'articolo 41, comma 
3, della legge n. 675 del 1996. Con l’entrata in vigore del Codice Privacy 
il termine transitorio iniziale entro cui redigere il “Nuovo DPS” era stato 
fissato nel 30 giugno 2004. A seguito delle successive proroghe, il suddetto 
termine è stato spostato al 31 Marzo 2006 V – ATTO A DATA CERTA Sia nel 
D.Lgs 196/03 che nella Legge n. 325/2000, il legislatore aveva previsto la 
possibilità per i titolari, di avvalersi di un periodo transitorio ulteriore 
per l’applicazione delle misure minime adottate per il trattamento con 
strumenti elettronici. Al fine di poter disporre di questa opportunità, il 
titolare del trattamento deve redigere un documento “a data certa”, che deve 
contenere una esposizione sintetica delle esigenze tecniche ed 
organizzative, che hanno reso necessario avvalersi, per le misure minime, di 
un termine più ampio rispetto a quello previsto. Il titolare del 
trattamento, a tal fine, deve indicare nel “atto a data certa” le 
informazioni necessarie a definire: Ø "gli accorgimenti da adottare o già 
adottati e gli elementi che caratterizzano il programma di adeguamento, 
nonché le singole fasi in cui esso è eventualmente ripartito"; Ø "le 
linee-guida previste per dare piena attuazione alle misure minime di 
sicurezza, ..., nonché alle più ampie misure di sicurezza previste ". Per 
quanto riguarda le modalità per far risultare una "data certa" si dovrà 
applicare la disciplina civilistica in materia di prova documentale prevista 
dagli articoli 2702 - 2704 del codice civile, i quali recano un'elencazione 
non esaustiva degli strumenti per attribuire data certa ai documenti, 
consentendo di provare tale data anche in riferimento a ogni "fatto che 
stabilisca in modo egualmente certo l'anteriorità della formazione del 
documento" (art. 2704, terzo comma, Codice Civile). I principali strumenti 
idonei ad assegnare al documento una data certa utilizzabili sono: Ø ricorso 
alla c.d. "autoprestazione" presso uffici postali prevista dall'art. 8 del 
d.lg. 22 luglio 1999, n. 261, con apposizione del timbro direttamente sul 
documento avente corpo unico, anziché sull'involucro che lo contiene; Ø in 
particolare per le amministrazioni pubbliche, adozione di un atto 
deliberativo di cui sia certa la data in base alla disciplina della 
formazione, numerazione e pubblicazione dell'atto; Ø apposizione della c.d. 
marca temporale sui documenti informatici (art. 15, comma 2, legge 15 marzo 
1997, n. 59; d.P.R. 10 novembre 1997, n. 513; artt. 52 ss. d.P.C.M. 8 
febbraio 1999); Ø apposizione di autentica, deposito del documento o 
vidimazione di un verbale, in conformità alla legge notarile; formazione di 
un atto pubblico; Ø registrazione o produzione del documento a norma di 
legge presso un ufficio pubblico. In materia di "misure minime", anche 
quando si rediga il documento a data certa, non va effettuata alcuna 
comunicazione al Garante. VI – “ATTO A DATA CERTA” E “DPS” A CONFRONTO La 
possibilità di avvalersi di questa ulteriore proroga, per l’implementazione 
delle misure minime, ha creato però notevoli problemi interpretativi da 
parte dei titolari, sia relativamente ai termini da rispettare che ai 
documenti da redigere. L’errore più comunemente riscontrato finora, infatti, 
è quello di confondere il DPS con “l’atto a data certa”. Come specificato 
dal Garante in un parere del 5 Dicembre 2000:”il documento previsto dalla 
legge n. 325/2000 va distinto dal documento programmatico sulla sicurezza 
disciplinato dall'art. 6 del d.P.R. n. 318/1999.” La redazione del DPS è un 
obbligo legislativo, la cui violazione costituisce reato, punibile con l’arresto 
sino a due anni o l’ammenda da 10 mila euro a 50 mila euro, come previsto 
dall’articolo 169 del Codice Privacy. La redazione dell’ atto a data certa, 
invece, è facoltativo e non è direttamente rilevante ai fini della 
responsabilità civile per danno derivante da mancata o inidonea adozione di 
misure di sicurezza, essendo utile, solo ai titolari del trattamento che 
intendano beneficiare di un differimento del termine per adottare le misure 
minime di sicurezza. Dal punto di vista normativo i due documenti sono 
differenti ed hanno origine da fonti normative diverse: Ø “L’atto a data 
certa” è previsto dall’ articolo 1 della Legge 3 novembre 2000, n. 325 e 
dall’articolo 180 comma 2 e 3 –del Decreto Legislativo 30 giugno 2003, n. 
196. Ø Il DPS è previsto dall’articolo 6 del Decreto del Presidente della 
Repubblica 28 luglio 1999, n. 318; dall’articolo 34 comma 1 punto g) del 
Decreto Legislativo 30 giugno 2003, n. 196; dalla regola 19 dell’ Allegato 
B) - Decreto Legislativo 30 giugno 2003, n. 196. I due documenti hanno, 
inoltre, anche finalità e modalità di redazione completamente differenti: Ø 
Il DPS serve per definire le misure minime che il titolare intende adottare 
per il trattamento dei dati personali con strumenti elettronici. Esso va 
aggiornato entro il 31 Marzo di ogni anno. Ø “L’Atto a data certa” serve 
invece, per avere ulteriori tre mesi di tempo per implementare quanto 
previsto dal DPS o stabilito in sede di definizione delle misure minime da 
adottare. Esso va redatto una sola volta ed esclusivamente secondo i termini 
e le modalità previste dall’articolo 180 del Codice Privacy. VI – 
CONCLUSIONI Come si evince da quanto finora descritto, il problema della 
data certa nasce da un’errata interpretazione dei testi legislativi. Infatti 
non risulta da alcuna fonte normativa che il Documento Programmatico sulla 
Sicurezza debba avere data certa, mentre è in più parti previsto che l’atto 
necessario a comprovare il differimento per problemi tecnici, necessiti di 
data certa. Il problema della data certa risulta perciò facilmente 
risolvibile, attribuendo questo obbligo esclusivamente al documento che il 
titolare deve redigere per avvalersi del periodo trimestrale di differimento 
per l’implementazione delle misure minime di sicurezza adottate. A supporto 
di questa tesi sono rinvenibili, tra le varie fonti normative, le seguenti 
argomentazioni: Ø Gli articoli 33, 34, 35 e la regola 19 dell’allegato B) 
del D.lgs 196/03 non fanno menzione alcuna della necessità di una data certa 
per il DPS; ma impongono al titolare solo dell’obbligo di redigerlo e 
tenerlo aggiornato. Ø L’articolo 180 del D.lgs 196/03 non cita trai 
documenti che devono avere data certa il DPS. Ø L’articolo 157 del Codice 
Privacy prevede in sede di accertamento ispettivo il titolare debba 
semplicemente esibire i documenti richiesti. Ø Il DPS è un documento che il 
titolare è obbligato a redigere ed aggiornare a dimostrazione delle misure 
minime adottate per il trattamento di dati personali; Il DPS, pertanto sarà 
semplicemente soggetto a quanto previsto dall’articolo 2702 del Codice 
Civile, in materia di efficacia della scrittura privata. Ø La regola 26 dell’allegato 
B) del Codice Privacy prevede che il titolare ha l’obbligo di riferire nella 
relazione di accompagnamento a ciascun bilancio di esercizio circa l’avvenuta 
redazione o aggiornamento del DPS che sia obbligatorio come misura "minima" 
o che sia stato comunque adottato. Pertanto già di per sé questo obbligo può 
dare una connotazione di data certa al fatto che il DPS sia stato redatto od 
aggiornato; questo riferimento può perciò, essere sicuramente utilizzato in 
contenzioso per dimostrare di aver correttamente ottemperato alla norma.
      Visita il sito dell'autore: 
www.eucs.it
      Autore: Eric Falzone