Newsgroup: it.discussioni.iso9000
Titolo: [Lungo e barboso] Privacy e audit

Ciao a tutti.
Magari sto ponendo un quesito un po' stupido, ma il dubbio mi sorge
spontaneo.
Supponiamo che un Ente di Certificazione voglia verificare le attività di
addestramento effettuate in un'azienda. Il baldo RAQ gli mostra la scheda
di addestramento del dipendente Pinco Pallo, matricola ABC, riportante
l'elenco dell'addestramento ad egli somministrato. L'auditor riporta le
evidenze oggettive del caso sulla sua checklist (esistono ancora, eccome
se esistono...), cioè l'elenco dei corsi cui Pinco ha partecipato, o
magari l'elenco delle competenze acquisite. 
Ebbene, se anche l'auditor rilevasse la matricola del dipendente (e non il
nome), ha comunque archiviato un dato direttamente riconducibile ad un
soggetto fisico; e quindi, per usare la terminologia del D. Lgs. 196/2003
sulla privacy, sta "trattando un dato personale". 
Poiché (verosimilmente) il dipendente non ha fornito all'auditor alcun
consenso per fare ciò, l'azienda sta rischiando grosso.
Magari mi sbaglio, ma ho l'impressione di non essere troppo lontano dalla
verità.
In tal caso, cosa dovremmo fare, noi "poveri" RAQ? Impedire che l'auditor
non abbia accesso a tali informazioni. E poi? Provo a rispondermi da solo:
produrre delle elaborazioni "anonime" dalle varie schede di addestramento,
in modo da sottoporre all'auditor dati che non siano riconducibili
direttamente ad un soggetto fisico, ma che comunque diano l'evidenza
oggettiva richiesta. Che fatica essere RAQ! :-)
Che ne pensate di tutto ciò?
Cordialmente,
     Lovell
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


Ciao a tutti.......
anche se non scrivo mai come vedete leggo, e ne approfitto di 5 min. 
liberi per provare a rispondere...
Dunque, la legge è veramente allucinante sotto alcuni punti di vista, e 
lascia ampio spazio alle interpretazioni; per quanto riguarda questo 
aspetto, però, è *abbastanza* chiara, e cioè occorre che il *titolare 
del trattamento* (tipicamente il titolare dell'azienda) dichiari via 
lettera che il *responsabile della sicurezza dei dati* per quanto 
riguarda il tipo di archivio di interesse è il Resp. Qualità.
Occorre specificare il tipo di archivio, le modalità di accesso, i 
permessi di accesso, ecc... (rimando alla legge).
La stessa cosa va effettuata nei confronti di coloro che possono 
accedere come *esterni* ai tuoi dati; in questo caso può essere 
effettuata una delega generica all'ente di certificazione, magari nella 
persona del responsabile *dell'agenzia di zona*, che figurerà come 
*responsabile della sicurezza dei dati* dell'azienda esterna, 
dichiarando quindi di conoscere tutti gli obblighi blablabla...
Andrebbero anche specificati altri parametri sulla conservazione dei 
dati (backup), sulle modalità di accesso attraverso credenziali 
(passwords), ecc...
Quando arriva l'ispettore occorrerebbe fargli firmare una dichiarazione 
simile, attribuendogli il titolo di *responsabile del trattamento dei 
dati* della tua azienda.
A questo punto puoi evitare strane elaborazioni anonime della tua banca 
dati.
Consiglio: seguire quanto prescritto dalla legge significa produrre una 
quantità di carta assolutamente impressionante, anche perchè i dati 
gestibili sono veramente tanti.
La parte *sporca* del lavoro (la redazione di tabelle, lettere di 
incarico, definizione degli accessi, definizione dei permessi, ecc...) 
l'ho effettuata utilizzando il software "Privacy 2004" (google aiuta 
parecchio) che con una spesa più che accettabile può sgravare di molto 
la gestione della documentazione.
Spero di essere stato utile.
Saluti a tutti
Biassanott
-- 
Per il reply togliere NOSPAM dall'indirizzo o scrivere a 
biass...@libero.it

 Saluti a tutti
Quoto!


    Lovell
Ciao!


 Biassanott
Ciao
Lore nzo
Inviato da 
www.mynewsgate.net

 non ricordo esattamente in questo momento)
30 giugno.
Ciao
Lorenzo
Inviato da 
www.mynewsgate.net

Se posso permettermi (ma non sono un esperto in materia) la legge parla di
dati "sensibili" e i corsi di formazione non mi sembrano tali, comunque
basterebbe un informativa in cui si informano i dipendenti che le schede
contenenti competenze ed addestramenti saranno oggetto di valutazione da
parte dell'OdC (i requisiti di riservatezza vengono comunque salvaguardati
da accordi sottoscritti contrattualmente e dal fatto che nessun documento
aziendale può essere portato al di fuori dell'azienda, manuale a parte) i
dati devono essere incrociati con le persone che occupano determinati
incarichi per verificare se le aziende hanno analizzato le competenze
necessarie e stabilito opportuni addestramenti per colmare gli eventuali
fabbisogni (per questo le matricole da sole non bastano se non sono
riconducibili alle persone).
Personalmente ho auditato centinaia di aziende e in una sola occasione non
volevano mostrarmi le schede (non per la privacy ma in realtà per mascherare
alcune carenze sulla formazione), di norma infatti un'azienda che richiede
la certificazione sa che questo requisito deve essere ottemperato, posso
eventualmente suggerire se sussistono difficoltà di contattare l'auditor per
tempo e trovare una soluzione accettabile.
--
Mauri
E-mail: 
mtu...@tele2.it
Home Page: ATLAS UFO ROBOT Home Page (sezione trame episodi)


 alcune carenze sulla formazione), 
Questo perchè il discorso privacy è stato sino ad ora alquanto "snobbato",
sebbene la legge 675 esista da sette anni. 
Sino ad ora quasi nessuno s'è posto il problema; la maggior parte delle
persone ingora persino l'esistenza di un Garante, e le sanzioni hanno
riguardato sempre ambiti circoscritti (es. banche). Spero di sbagliarmi,
ma credo che in futuro la situazione non sarà altrettanto semplice, in
quanto esiste il rischio che il D. Lgs. 196/03 abbia i medesimi impatti
che ha avuto la legge 626.
Tutto quanto IMHO, ovviamente!
Saluti,  


 aziendale può essere portato al di fuori dell'azienda, manuale a parte)
Esatto in parte, secondo me.
Vero che l'informativa è obbligatoria ai sensi dell'articolo 13 del DLgs 
196/2003. 
Ma è anche vero che ogni persona o gruppo di persone che trattano i dati 
devono essere indicati dal titolare. Inoltre il dipendente ai sensi 
dell'articolo 7 ha tutta una serie di diritti. Riporto parte del comma 2 del 
detto articolo:
2. L&#8217;interessato ha diritto di ottenere l&#8217;indicazione:
   a) dell&#8217;origine dei dati personali;
   b) delle finalità e modalità del trattamento;
   e) dei soggetti o delle categorie di soggetti ai quali i dati personali 
possono essere comunicati o che possono venirne a conoscenza in qualità di 
rappresentante designato nel territorio dello Stato, di responsabili o 
incaricati.
Ti faccio innanzitutto notare che si parla di "dati personali". 
L'articolo spiega che il dipendente deve sapere come, perché e da chi il dato 
viene trattato. Per poter garantire questa cosa, è necessario che ogni 
persona oppure ogni classe omogenea di persone che trattano i dati siano 
incaricate del trattamento, con relativa impartizione di tutte le istruzioni 
dovute. 
Quindi la soluzione è dare l'incarico alla classe omogenea di "ispettori 
dell'OdC" e (NON dimentichiamoli!!!) alla classe omogenea "auditor dei 
clienti", oppure alla classe omogenea "auditor esterni del SGQ" che comprende 
sia gli ispettori dell'OdC sia gli auditor dei clienti, consegnando ad ogni 
persona fisica che effettua l'audit le istruzioni per il trattamento (con 
relativa registrazione  della consegna, firmata dall'auditor che così accetta 
le regole del trattamento).


     Lovell
Ciao,


 annue su un sistema a regime? 
Anche qui, non credo sia un problema di scriver moduli. 
Tieni conto che, a fronte di violazioni commesse anche in proprio da
questi Incaricati (sui quali peraltro puň esercitare un controllo
relativo), il Titolare sarebbe *sempre* chiamato in causa. Non so quanti
direttori d'azienda ed amministratori delegati sarebbero contenti di
saperlo...
Per assurdo, sarebbe quasi meglio individuare Titolari distinti, ognuno
per la propria parte di competenza, sě che ciascuno risponda autonomamente
per le violazioni commesse in proprio.
Questo Decreto 196/2003 mi fa tornare in mente il principio di
indeterminazione per i sistemi microscopici: piů lo studi, e meno ne
conosci! :-)
Ciao,
  Lovell
PS - Trovo comunque molto interessante e costruttiva questa discussione,
anche se č limitata a due/tre frequentatori del NG...


 anche se è limitata a due/tre frequentatori del NG...
Perfettamente d'accordo (altrimenti non scriverei!)!
Ciao


 sulla privacy, sta "trattando un dato personale".
Ho seguito sbadatamente lo sviluppo di questo filone; in ogni caso non so se
dico qualcosa ''fuori dal coro''.
Non mi pare che un auditor, in sede di verifica ispettiva debba scrivere sul
suo rapporto il nome del dipendente cui corrisponde la scheda che ha
visionato. Basta che scriva che ha controllato il modulo vattelappesca e che
ha trovato tutto in ordine, oppure che in un paio di queste schede manca,
chesso', la verifica dell'efficacia della formazione. Nel rapporto
consegnato a fine verifica sono segnate solo le osservazioni e le NC e, in
questo caso, credo che nessun valutatore si metta a scrivere i nomi degli
impiegati cui appartengono le schede non in regola (... e magari saro'
smentito di questo).
Se poi ad ogni nome corrisponde un codice ancora meglio: non mi pare che la
trascrizione di un codice possa essere considerato ''trattamento di un dato
personale''.
Imho e ... che palle 'sta privacy.
Santino

 Santino


 Imho e ... che palle 'sta privacy.
In alcuni punti, la legge è sicuramente un po' pesante, o quantomeno
impone degli ulteriori costi alle Aziende. Ma occorre ragionare in
un'ottica di rispetto dei diritti fondamentali. Scriveva il Garante in un
comunicato di qualche anno fa: <<Ogni legge che tutela i diritti
fondamentali ha dei costi: si guardi alla legge sulla tutela degli
infortuni sul lavoro e alle norme sull'uso obbligatorio del casco sui
ciclomotori. Nessuno metterebbe in discussione queste leggi limitandosi a
contabilizzare quanto costano i caschi protettivi per ragazzi ed operai>>.
Saluti,


 Imho e ... che palle 'sta privacy.
Rodotà disse una volta una cosa che suonava: "la Privacy è complicata perché
viene rappresentata così ("non sono cattiva, è che mi disegnano così!" ndr),
invece è solo una questione di buon senso".
Sarà che girano tanti presunti consulenti cui conviene che sia pallosa,
complicata e priva di senso?
--
as

 Inviato da 
www.mynewsgate.net

 > Imho e ... che palle 'sta privacy.
Ribadisco ... e mi adeguo ... di malavoglia.
Ciao
Santino

 complicata e priva di senso?
... sagace ...
Ciao, bello.
Santino

 .... sagace ...
Può essere. Magari i legislatori hanno "privilegiato" i consulenti anche
durante la stesura della legge 626... e allora mi dico che ho sbagliato
lavoro: dovevo fare il consulente, non il RAQ in azienda! :-)
Saluti,


 forse il dettato legislativo non era cosģ inutile...
Non e' proprio cosi' che la intendevo io.
Nell'esempio da te citato il buon Alain fa la figura di Homer Simpson.
Piuttosto, se il semplice curiosone ha aperto il mio cassetto con un piede
di porco, non c'e' giudice che mi possa condannare e in questo senso
ritenevo di poter affermare che se fai le cose con un minimo (se non col
massimo) di professionalita', nelle ''normali'' attivita' quotidiane di
tantissime aziende italiane, il problema della privacy e' ... un falso
problema.
Devi tenere conto che il tuo interessante articolo e' arrivato ai miei occhi
proprio poco dopo che il mio consulente fiscale mi aveva telefonato
allarmandomi di una certa quale notifica al garante che avrei dovuto fare
entro il 31 marzo.
A quel punto cerco di approfondire la questione e che ti ritrovo? Un
provvedimento legislativo di 186 articoli, e non so quanti allegati, che
avrei dovuto studiarmi per verificare se, in qualita' di progettista e
direttore dei lavori di opere pubbliche, sono tenuto a dire al garante che
ho una agenda telefonica con nomi e indirizzi ...
Che faccio?
Cambio consulente? O mi faccio socio del circolo degli anarchici?
... anche per questo mi chiedo spesso: ma non bastava Matteo 19,19 ?
Ciao
Santino


Attento, Pisanu ti legge!
--
as

 Santino
Buona giornata


 Non che io ci riesca...
La mia teoria e' che nel 19,19 ci sta tutto anche quello che dici tu, anche
se in maniera implicita: perfino il codice della strada!
Poi, io sono un pessimo cristiano, e il mio riferimento era esclusivamente
dal punto di vista di un laico che cerca di non chiudersi la mente.
Infine ... anche le Beatitudini non scherzano ...
Ciao
Santino

 Santino
A presto
