Newsgroup: it.lavoro.professioni.webmaster
Titolo: DPS 30 giugno: devo farlo anch'io? HELP!!!

Ragazzi, mi togliete un po' della confusione che ho riguardo a 'sto dps
sulla sicurezza che bisogna fare entro il 30 giugno? Io gestisco da 2 anni
un sito internet amatoriale (con suffisso .com preferito al .it solo per
risparmiare tempo) che si occupa di fornire agli autori (nel senso più ampio
del termine) notizie su corsi, concorsi, eventi e roba del genere. Alcune
pagine del sito ospitano inoltre una specie di database (ma il termine è
alquanto improprio) in cui qualsiasi autore voglia segnalare la propria
attività può farlo gratis indicandomi il suo nome, la categoria autoriale in
cui opera, un sito internet o un'e-mail di riferimento e fornendomi una
scheda da pubblicare. La cosa si è sempre svolta in modo molto "amatoriale",
tanto che non ho mai neanche richiesto un'autorizzazione alla pubblicazione
dei dati (forse avrei dovuto farlo?) ed io non ho mai riportato su un file
del mio computer nè i nominativi segnalati sul sito nè gli indirizzi e-mail.
Praticamente... se volessi creare una newsletter per gli autori che vengono
segnalati nella pagina dovrei andare sul mio sito e rintracciarmi uno ad uno
gli indirizzi, per dirvi il livello non professionale della cosa!!! Ciò che
ora non riesco a capire se questo dps riguarda anche me e quello che nel
caso devo fare, mi spiacerebbe tanto eliminare quelle pagine dal sito. Mi
rendo conto che forse non ci ho capito niente e sto prendendo una grossa
cantonata, comunque se qualche anima gentile mi dà delucidazioni in merito
avrà la mia profonda gratitudine.

 scheda da pubblicare. La cosa si è sempre svolta in modo molto
"amatoriale",
Problema simile al mio. Probabilmente non ho capito niente ma leggendo qui
mi sono venuti i brividi : 
http://www.scint.it/appr_new.php?id=109
Gestisco un sito, anch'io in modo assolutamente amatoriale, contenente
offerte di lavoro e curricula. Che devo fare?
Aiuto!


ma il trattamento vero e proprio chi lo fa'?
Che misure hai preso contro l'intrusione o la distruzione, anche
accidentale, dei dati?
il server di chi e'?
chi lo gestisce vi ha fornito uno straccio di Service Level Agreement?
E lui come si e' organizzato ai fini della nuova legge?
il DPS alla fine (che e' solo UNA delle misure minime previste, non cert
l'unica) non e' che sia sta gran difficolta'. Alla fine e' una serie di
tabelle dove viene riportata la fotografia della vostra situazione.
Ma appunto... bisogna vedere se anche le altre misure minime sono state
pianificate e attuate. Compresa la situazione in cui nel trattamento
siano coinvolte strutture esterne.
Claudio


Avrai senz'altro ragione, non lo metto in dubbio e apprezzo il tentativo di
spiegarmi le cose ma non dimentichiamo che il mio è un sito amatoriale. L'ho
fatto solo per passatempo, non è il mio lavoro, ci metto mano una volta al
secolo ecc. Un po' come la stragrande maggioranza dei siti in circolazione.
Possibile che non ci sia una distinzione tra un sito amatoriale e uno
gestito dall'azienda x che investe un sacco di soldi?
Ciao


Lungi da me il volerti terrorizzare eh
il fatto che qualcuno rubi o distrugga i dati che sono presenti sul tuo
sito, sicuro che non rappresenti un danno per gli utenti?


Non vorrei sembrare superficiale ma non credo che sia un danno... Ti
spiego.. sul mio sito c'č una pagina con un form da compilare per inserire
il curriculum e la classica informativa sulla privacy da accettare, se si
vuole inviare il modulo. Credevo che fosse sufficiente... Non sono dati
privati, i curricula sono e devono essere disponibili alla lettura di tutti,
altrimenti che senso ha? Da quello che ho capito adesso non c'č piů la
distinzione tra dati personali e sensibili. Correggimi se sbaglio (magari!!)
Ciao


no la distinzione c'e' sempre. Il concetto "nuovo" e' che e' tenuto alla
redazione del DPS e dell'adozione di una serie di misure minime
(illustrate nell'allegato B della nuova norma) CHIUNQUE compia un
qualsiasi trattamento, a mezzo elaboratore, di dati personali
Nel tuo caso specifico non so darti una risposta su cio' che devi o non
devi fare. Pero' il lucro non credo rappresenti un elemento per
discriminare quando si parla di dati personali


Ma... praticamente una buona parte dei siti italiani si troverà fuorilegge!
Ok, mi sa che tra 15 giorni la mia avventura sul web si chiude... Azz, avevo
appena comprato il servizio antivirus e antispam da Aruba... -)))

::: spiego.. sul mio sito c'č una pagina con un form da compilare per
::: inserire il curriculum e la classica informativa sulla privacy da
::: accettare, se si vuole inviare il modulo. Credevo che fosse
::: sufficiente... Non sono dati privati, i curricula sono e devono
::: essere disponibili alla lettura di tutti, altrimenti che senso ha?
nel curricula quali sono i dati sensibili che richiedi?
come fai a verificare che chi inserisce il curriucula sia il reale autore?
:: non devi fare. Pero' il lucro non credo rappresenti un elemento per
:: discriminare quando si parla di dati personali
mi accodo.


Non posso sapere in alcun modo se chi invia il curriculum è il reale autore.
Ma, del resto, se parliamo di un sito "un po'" più grande (bancalavoro,
cercalavoro, ecc) la situazione è uguale. Anche loro non possono sapere chi
è che scrive il curriculum.
Ciao


Infatti, è quello che penso anch'io. Il bello di internet, finora, è stato
che chiunque poteva fare qualcosa d'interessante (ma anche tante baggianate,
lo ammetto). Adesso molti semplici appassionati come me lasceranno perdere.
Chi non lavora con internet non può stare dietro a leggi e leggine che mi
sembrano francamente assurde. Penso anche all'obbligo di comunicare alle
biblioteche di Roma e Firenze il contenuto dei siti. Vi sembra una legge
normale? Ne vogliamo parlare? Mi sa che prenderò la cittadinanza congolese,
forse sarò libero di coltivare i miei hobby senza preoccuparmi di comprare
la Gazzetta Ufficiale.
Ciao

:::
:::
:::
::
:: Non posso sapere in alcun modo se chi invia il curriculum è il reale
dovresti almeno verificare che l'email ad  esempio  di chi si iscrive,
chiedono la conferma via email all iscrizione.

Ma non dovevi venire a Firenze ? Ti sei perso un evento a dir poco
*bellissimo*...
-- 
Lino Mari [mod - it.economia.e-commerce]
http://www.ebow.it
 - e-business on web!
http://www.ebow.it/blog/
 - Mktg Log
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004


Se io mi creo l'e-mail rigo@....  e mi spaccio per te, nessuno mi scopre...
se devo mandare solo un curriculum!

::: dovresti almeno verificare che l'email ad  esempio  di chi si
::: iscrive, chiedono la conferma via email all iscrizione.
:::
:::
::
:: Se io mi creo l'e-mail rigo@....  e mi spaccio per te, nessuno mi
:: scopre... se devo mandare solo un curriculum!
certo.
tu puoi creare l'email rigoņvattellapesca ed essere chi vuoi.
non puoi perņ inserire la mia mail 
ri...@despammed.com
 perchč se il sito in
cui la immetti la registra nel suo db commette una violazione alla 196/03

 la Gazzetta Ufficiale.
Basta acquistare hosting all'estero.
Ci perderanno purtroppo i fornitori di hosting italiano, ma se fanno 
leggine assurde........
Aldo
-- 
ø¤º°`°º¤ø,¸¸,ø¤º°`°º¤ø,¸¸,ø¤º°`°º¤ø,¸¸,ø¤º°`°º¤ø,¸¸,ø¤º°`°º¤ø,¸
http://www.HyperPublish.com/ita/
  Cataloghi, CD e siti con un
                                   solo strumento!
http://www.EasyWebEditor.com/ita/
 Crea il tuo sito Web, subito.
http://www.CDFrontEnd.com/ita/
    Realizza CD autopartenti
http://www.PaperKiller.com/ita/
   Edita manuali o HTMLHelp
http://www.EBooksWriter.com/ita/
  Esprimi il tuo talento!
Visual Vision - 
http://visualvision.it/
 
http://visualvision.com
Software versatile e facile da usare.         [ASP, ESC member]


Aspetta, questa non l'ho capita. Ma la legge si applica a chi ha il sito
fisicamente in Italia? Non credo. Credo che si applichi a chi, cittadino
italiano e quindi sottoposto alla legge italiana, gestisca un sito
indipendentemente dalla collocazione dei server. Giusto o sbaglio?

::
:: Aspetta, questa non l'ho capita. Ma la legge si applica a chi ha il
:: sito fisicamente in Italia? Non credo. Credo che si applichi a chi,
:: cittadino italiano e quindi sottoposto alla legge italiana, gestisca
:: un sito indipendentemente dalla collocazione dei server. Giusto o
:: sbaglio?
esatto

Salve, da ignorante al max, e disprezzando sempre più l'italia in
quanto ci sono solo casini...
Vorrei chiedere se c'è un sito che spieghi bene e comprensibile quello
che bisogna fare  entro il 30/6.
Io ho una ditta e gestisco vari portali turistici, per cui ho i dati
deglio hotel, aziende eccc.
Oltre a quelli delle richieste disponibilità alberghiera, statistiche
interne dei siti ecc.
Grazie
    Gabriele

 deglio hotel, aziende eccc.
www.garanteprivacy.it

 che bisogna fare  entro il 30/6.
http://www.documentoprogrammaticosicurezza.it
 ;)
ciao
-- 
Kappa [co-mod ICWA]
kappa(at)
webngo.net
www.webngo.net
www.filmscoop.it


In effetti sembra interessante, però anche qui si dice che il DPS è
obbligatorio per tutti (ma essendo il sito di una società che offre
consulenza direi che è di parte perchè questa interpretazione sicuramente
non comporta nessun problema di conformità alla legge per il titolare del
trattamento, però consente a loro di 'vendere' di più).
Ma il 22 Marzo 2004 il Garante, nella persona del Segretario Generale
Buttarelli, ha espresso un parere (sollecitato da Confindustria) in cui, al
punto 2.2 si legge
2.2. In base al nuovo Codice, la misura minima del DPS deve essere ora
adottata dal titolare di un trattamento di dati sensibili o giudiziari
effettuato con strumenti elettronici, attraverso l'organo, ufficio o persona
fisica a ciò legittimata in base all'ordinamento aziendale o della pubblica
amministrazione interessata (art.  34, comma 1, lett. g), del Codice;
regola 19 dell'Allegato B)).
Quindi mi sembra palese che il Garante intenda l'obbligatorietà del DPS solo
per chi tratti con strumenti elettronici dati sensibili o giudiziari. Resta
da vedere quanto ne tenga conto il magistrato.
Paolo

 cui la immetti la registra nel suo db commette una violazione alla 196/0
Praticamente tutti i siti internet e i portali hanno questo problema...
quando inseriranno il controllo biometrico, forse le cose cambieranno.

 quando inseriranno il controllo biometrico, forse le cose cambieranno.
Se intendi la registrazione di utenti che utilizzano mail di altre persone,
questo č facilmente evitabile, utilizzando un double opt-in. Quando l'utente
si registra gli invii una mail con un link da visitare entro tot tempo. Se
lo visita la registrazione viene confermata, se non lo visita viene
eliminata.
Paolo

 da vedere quanto ne tenga conto il magistrato.
In effetti qui si dividono le scuole di pensiero a proposito del DPS.
L’art. 34 del D. Lgs. 196/03 recita testualmente:
1. Il trattamento di dati personali effettuato con strumenti elettronici 
è consentito solo se sono adottate, nei modi previsti dal disciplinare 
tecnico contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del 
trattamento consentito ai singoli incaricati e addetti alla gestione o 
alla manutenzione degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a 
trattamenti illeciti di dati, ad accessi non consentiti e a determinati 
programmi informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il
ripristino della disponibilità dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per
determinati trattamenti di dati idonei a rivelare lo stato di salute o 
la vita sessuale effettuati da organismi sanitari.
Letto in questi termini si evince che il DPS è una misura minima per il
trattamento dei dati (punto), ma essendo realistici non è altro che un
fascicolo che riassume tutti i criteri adottati dall'organizzazione per
sicurezza dei dati personali (quindi semplificato rispetto a chi tratta 
dati sensibili e/o giudiziari).
Va da se che se questo documento organizzativo logistico procedurale 
(così viene descritto il DPS) non va fatto si incorre, in caso di 
fuoriuscita di dati personali incontrollata, nelle sanzioni se non si 
prova che tutte le misure minime siano state adottate (pareri e 
raccomandazioni di esperti in giurisprudenza).
La scadenza del 30/06 è una scadenza che è stata data dal garante per 
far si che le organizzazioni in ritardo si mettano in regola con quanto 
richiesto, per le misure minime invece c'era una scadenza prevista dalla 
vecchia normativa in materia e la scadenza era il 01/01/2004, quindi il 
DPS viene visto come una formalizzazione delle misure minime adottate.



Forse è la volta buona che mi schiarisco un po' le idee. In effetti ho
trovato quello che ha scritto Buttarelli e potete leggerlo tutti qui:
http://www.interlex.it/675/tutela/p040322.htm
 In particolare fate attenzione
al punto 2.2 (come ha scritto Paolo). Leggete e fatemi sapere che ne
pensate.
Ciao