Newsgroup: it.discussioni.iso9000
Titolo: E dopo l'ITC ...

la privacy (sob!)
Decreto legislativo 30 giugno 2003, n. 196
(link da qui
http://www.garanteprivacy.it/garante/navig/jsp/index.jsp
?
folderpath=Normativa%2FItaliana%2FIl+Codice+in+materia+di+protezione+dei+dati+personali 
)
qualcuno per caso ha già implementato in procedura questa bella magagna?
suggerimenti utili? (a parte l'osservazione postaci dal CSQ/IMQ durante 
l'ultima ispezione di riconferma).
grazie
-- 
ciao,
      snail
* L'obbedienza non è più una virtu` (d. Lorenzo Milani) *

 l'ultima ispezione di riconferma).
CUT...
Sto seguendo un corso sull'argomento e dovrò occuparmi della faccenda (al 
tempo della 675 avevo redatto il documento programmatico sulla sicurezza dei 
dati).
Per il momento sono solo all'inizio, ma a parte le solite difficoltà 
interpretative della legge, non vedo grosse difficoltà (forse la mia realtà 
è molto semplice?) nel dover predisporre quanto richiesto.
Cosa intendi per "implementare in procedura"? Vuoi scrivere una procedura 
specifica?
Non è sufficiente produrre la documentazione prevista dalla legge, scrivendo 
semplicemente nel manuale o nelle tue procedure che il trattamento dei dati 
avviene in conformità alle prescrizioni legislative?
Che tipo di osservazione ti è stata posta dall'ente? Quali sono i tuoi 
dubbi?
Ciao, moreno. 

Quali sono i tuoi dubbi?
beh, uno grosso per cominciare (ci stiamo rivolgendo anche ad un 
avvocato per capire meglio): fino a che punto una onluss (è il mio caso) 
deve rispondere a questa normativa?
la legge non mi pare molto chiara su questo punto poiché, mentre per 
talune tipologie (ad es. pubbliche amministrazioni, o gestori di 
telefonia) esistono intere sezioni dedicate, per le nonprofit trovo solo 
alcuni commi all'interno di un articolo che parla di tutt'altro!
voglio dire: che io debba tutelare "fino alla morte" :) i dati della mia 
utenza, non ci piove (era così anche prima del resto), ma è necessario, 
chessò, tutelare i dati dei miei fornitori? (esempio banale, spero serva 
a rendere l'idea).
purtroppo, siamo alle solite temo: non essendoci in Italia una precisa 
regolamentazione nel codice civile di "organizzazione nonprofit", tutto 
quello che ne discende è solo per estensione/analogia o, al contrario, 
per assenza/negazione



Su questo non sono d'accordo. Esistono tutta una serie di disposizioni che 
valgono per qualsiasi soggetto e qualsiasi trattamento. Non si tratta di 
andare per estensioni/analogie come tu dici, ma di appicare delle 
prescrizioni, tutto sommato abbastanza chiare.
Se posso permettermi un consiglio, non fasciarti la testa prima di essertela 
rotta, e cerca di fare un'analisi della tua realtà cercando di capire quali 
sono le misure minime che devi adottare per essere in regola con la legge. 
Non è poi così difficile.
Se cerchi di trovare nella legge la soluzione ad hoc per la tua realtà 
perderai tempo e denaro, perchè ovviamente una legge non può contenere 
questo.
Buon lavoro,
Moreno 

 per assenza/negazione
Quando vedrò un verificatore dell'EdC argomentare e investire tempo
prezioso della sua verifica ispettiva, con il solo scopo di coprire le
carenze della legislazione vigente in materia di privacy ecc., cambierò
certamente Ente.
Sono (quasi) sicuro che non lo vedrò mai.
SL

 Moreno Mojana ha scritto:













-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

lo riscrivo bene:
http://www.csvpadova.org/pballegati/privacy_versione%20per%20il%20pdf.pdf


 Buon lavoro,
grazie per le utili precisazioni.
messaggio stampato, ed inoltrato a chi di dovere :-)


 Monica
molto, molto interessante!
grazie per la dritta :-)
ma il punto sette di questa FAQ mi perplime ancor di più ...


 personali che tratterai nella tua organizzazione.
concordo su tutta la linea...
Penso comunque che sia da tenere in conto che quanto richiesto dal 
Legislatore per il DPS sia in qualche caso ridondante con quanto già fatto 
nel Sistema Qualità (per le aziende che hanno un SGQ, ovviamente).
Ad es. per la privacy è prevista la formazione (quindi definizione di chi, 
come, quanto e quando formare, alias piano della formazione), è previsto che 
il Titolare del trattamento vigili sull'osservanza di quanto prescritto e 
sull'operato dei Responsabili/Incaricati del trattamento (a mio parere 
questo va ben fatto a mezzo audit, e quindi pianificazione degli stessi), 
gli Incaricati devono ricevere istruzioni e procedure ove necessarie (direi 
che almeno quelle del backup sono necessarie, e quindi la consegna va 
registrata su apposito modulo), organigramma per ben comprendere ruoli e 
responsabilità.
Tutto questo *dovrebbe o potrebbe* essere realizzando integrando queste 
incombenze nel SGQ (quindi integrazione dei due piani audit, dei due piani 
formazione, utilizzo dei registri di distribuzione dei documenti del SGQ, 
etc.).
L'ente quindi potrebbe richiedere (pretendere probabilmente è troppo) 
l'integrazione dei due sistemi, per le parti che ho indicato ed 
eventualmente poche altre che ancora non mi vengono in mente (ho appena 
iniziato a procedere); d'altronde, anche nello stesso DPS, si deve (o 
dovrebbe) fare riferimento al sistema prevenzione incendi attuato per la 
626/94 (se esistente) quale misura di sicurezza contro la distruzione da 
fuoco.
Senza contare che questo a me sembrerebbe il metodo più efficiente (che 
senso ha avere ad es. due piani formazione distinti?).
Resta il fatto che, ad oggi, non mi pare che esistano linee guida degli EdC, 
e quindi, nel caso di SGQ certificati,  tutto è lasciato alla 
interpretazione degli EdC.
Saluti
Massimo