Newsgroup: it.lavoro.professioni.webmaster
Titolo: Privacy - Lungo

Saluti al NG,
con questo messaggio mi piacerebbe aprire un dibattito sulle modalità di
attuazione di quanto previsto dal nuovo testo unico sul trattamento dei dati
personali.
Da quanto ho letto, sia ovviamento il testo del decreto sia alcuni articoli
su 
lapraticaforense.it
 e altri siti, ma anche in seguito a colloqui con
alcune associazioni di categoria e alcuni avvocati, mi sembra ci siano molti
dubbi sulla interpretazione di alcuni passaggi della legge.
In alcuni casi magari non specificatamente correlati all'attività di
webmaster (anche se ovviamente anche tali figure sono soggette a quanto
previsto dalla legge nel caso trattino dati personali). Altri casi invece ci
riguardano più nello specifico (mi riferisco in particolare all'analisi
delle statistiche e poi più che al webmaster a chi vende o rivende hosting e
account email, per rimanere in un ambito generico).
Per non fare un discorso troppo lungo, riporto di seguito quelli che, per
quanto mi riguarda, sembrano essere i punti più ostici:
Documento programmatico della sicurezza: l'art. 34 dice che (comma g) è
obbligatoria la redazione per chiunque effettui trattamento mediante
strumenti elettronici, mentre il disciplinare tecnico (allegato B punto 19),
dice che è obbligato solo chi tratti dati sensibili-giudiziari.
La cosa non è banale essendoci poi al punto 26 l'obbligo di riferimento a
tale documento nella relazione accompagnatoria del bilancio di esercizio.
Tale documento deve contenere oltre ad altre informazioni anche l'analisi
dei rischi che incombono sui dati e le misure da adottare per garantire
integrità e disponibilità dei dati.
Essendo stato abrogato il DPR 318/99 bisogna riferirsi esclusivamente a
quanto riportato nel disciplinare tecnico e qui mi vengono i seguenti dubbi:
a) Deve essere protetto con sistema di autenticazione l'accesso ai dati --->
eventuale intervento di adeguamento del software di trattamento dei dati e/o
anche l'accesso al sistema operativo?
b) Non mi è chiara la distinzione tra i punti 16 e 17 dell'allegato B. Nel
punto 16 si intende forse l'adozione di antivirus e firewall? (Da aggiornare
semestralmente?!?! LOL) Bastano questi strumenti? Nel punto 17 di cosa si
parla quindi? Forse di sw che scaricano e installano patch del s.o. e di
qualsiasi sw in grado di connettersi a internet(browser, client email,
newsreader, ecc.)?
Come si fa la valutazione dei rischi? Oltre a quanto riguarda le password,
se ho un firewall ed un antivirus costantemente aggiornati (e se in più,
aggiungo io, installo le patch per i vari sw che uso appena escono, sono a
posto? -Non dal punto di vista pratico, ma da quello legale)
Obbligo di notifica al garante:
punto a) che significa "dati che indicano la posizione geografica di persone
od oggetti mediante una rete di comunicazione elettronica"? Si parla di
registrazione di indirizzi IP? Se si chi è tenuto alla notifica? L'hoster o
il titolare del sito (ma quest'ultimo come potrebbe intervenire sulle misure
di sicurezza?)? Un'eventuale rivenditore di hosting che deve fare? (presumo
che in realtà il legislatore si riferisse ai telefoni cellulari, ma sarà
così?)
punto d) Se un'azienda ha un form nel sito dedicato alla valutazione del
grado di soddisfazione del cliente è possibile che rientri tra i dati che
richiedono la notifica, che ne pensate?
Sempre nel punto d, quali sono i dati volti a "monitorare l'utilizzo di
servizi di comunicazione elettronica"? Rientrano forse in questa definizione
anche le statistiche relative a ciò che fanno gli utenti, registrati o no,
realizzate mediante script lato server? In questo caso chi deve fare la
notifica (la responsabilità in merito alle misure di sicurezza in questo
caso dipenderebbe sia da chi ha realizzato lo script (GNU-GPL e simili a
parte) sia da chi gestisce il database (ad esempio tipicamente per soluzioni
mysql non si ha possibilità di intervenire sulla configurazione di sicurezza
del server di db))?
Infine, per quanto riguarda la parte II del codice, disposizioni relative a
specifici settori, e in particolare il titolo X, comunicazioni elettroniche,
essendoci la distinzione tra capo I (Servizi di comunicazione elettronica) e
capo II (Internet e reti telematiche), quanto presente al capo I non ci
riguarda e dobbiamo aspettare il codice deontologico previsto dal capo II,
giusto?
Per ora mi fermo qui, ho già occupato sufficente banda e magari non frega
niente a nessuno di quanto ho scritto.
Che ne pensate?
Paolo

Sono due giorni che non riesco ad accedere al sito del garante. E' un
problema mio o sono loro?
Come la mettiamo con il fatto che la notifica è possibile farla solo
attraverso il sito?
Paolo

 attraverso il sito?
Guarda non so che dire, anche perchè leggevo stamani che secondo una delle
interpretazioni della legge è obbligatoria la notifica anche se hai
semplicemente un database dei tuoi clienti per la fatturazione...
Quindi è praticamente obbligatorio per tutte le aziende... le sanzioni non
scherzano.
ciao
aria
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Che ne pensate?
Penso che si è passati da un eccesso ad un altro, troppo macchinoso e troppi
alti i rischi (multe e carcere fino a 3 anni) un po' esagerato!!!
Poi la legge non è chiara anche perchè ci sono un sacco di possibilitàè e
sfumature...e ora costringono ad acquistare firewall, antivirus, sistemi di
allarme ecc.  ed a rivolgersi a ditte specializzate alla modica cifra di
circa 2.000 euro (a partire) per un piano di protezione.(questo è il solo
costo del progetto.....e se poi ti dicono devi mettere una porta blindata,
devi blindare tutte le finestre ...impianti di allarme...software aggiuntivi
.... router...ecc. dove andremo a finire????)
KaniV

 aria
Paolo

 KaniV
Paolo

 redazione del DPS.
non concordo
se puo' essere utile in merito:
http://www.i-dome.com/docs/index.phtml?_id_articolo=5547
ciao
--
ff


Ho dato un scorsa veloce, mi sembra un doc interessante e lo leggerò più
attentamente, però lì si parla di notifica e non già di DPS.
Paolo

 scherzano.
Ciao la notifica la devono fare solo quelli che trattano dati
particolarmente sensibili, vedi questo articolo:
http://www.manuali.net/manuali/predownload.asp?id=1372
ciao
Luigi


Ragazzi mi sto incasinando, ho fatto un salto sul sito del garante e
ho fatto delle ricerche in rete ma più leggo e più devo ammettere la
mia ignoranza, non capisco niente di questa legge.
Vi va di darmi una mano se potete?
Il mio esempio:
sito di informazioni turistiche sulla mia città con guestbook, forum
di discussione e mercatino dell'usato, tutti con registrazione utente.
a questo punto che faccio? io sono un privato e il sito non ha scopo
di lucro, chiudo la baracca e lascio perdere oppure sono obbligato a
fare la notifica al garante?
la registrazione di un utente sul forum o mercatino ecc. ecc. è
considerata dato personale?
se ho questo obbligo lascio perdere tutto ma così si uccide il web e
chi fa le cose solo per hobby.
Grazie a tutti
Marco