Newsgroup: it.lavoro.informatica
Titolo: privacy e manutenzione assistenza sistemi informatici

salve,
mi occupo di privacy e sto cercando di "certificare" alcune aziende nella
mia zona.
Ho riscontrato il seguente problema pratico, non solo interpretativo della
legge 196/2003, giro a voi la problematica.
PROBLEMA:
Le aziende si affidano spesso per la gestione dei loro sistemi informatici
ad aziende esterne che curano, oltre alla fornitura dell'hardware e del
software, anche la manutenzione e l'assistenza.
All'interno di questo rapporto contrattuale di fatto si verificano casi che
a rigor di logica dovrebbero essere sempre considerati "trattamento di dati
personali", visto la definizione piuttosto estesa riportata nella legge.
Ad esempio:
- ritiro di un pc guasto per la riparazione (vanno a spasso i trattamenti di
dati personali del cliente)
- assistenza su software dal cliente (magari su un gestionale paghe o altro)
- teleassistenza
- attività di backup anche remote
penso che sia difficilmente dimostrabile che i casi qui sopra non rientrino
nella definizione di "tratttamento di dati personali".
Il problema è: a che titolo il dipendente della ditta esterna accede ai dati
personali trattati dal cliente?
Teoricamente la persona dovrebbe essere nominata incaricata dall'azienda
Cliente, assieme a tutti i suoi colleghi, ma la strada più semplice sembra
quella di nominare l'azienda informatica "Responsabile del trattamento di
dati" (essendo persona giuridica, gli incaricati possono essere solo persone
fisiche) e a cascata far nominare gli incaricati dal Titolare del
trattamento dei dati della società informatica.
Ebbene, dopo aver consigliato in questo senso alcuni miei clienti, questi si
sono visti recapitare una raccomandata dall'azienda con la quale hanno in
corso un contratto di manutenzione ed assistenza, nella quale questi si
rifiutavano di accettare la nomina a Responasbile del trattamento dei dati e
le condizioni indicate (nomina degli incaricati e rispetto della normativa
196/2003 in particolare l'allegato B).
Vorrei sapere se altri hanno avuto lo stesso problema e come lo hanno
affrontato.
grazie
Diego


Hanger, non prendertela. Troppi informatici si sono messi in testa che
l'adempienza alla legge sulla privacy possa essere un loro mestiere e
dubito che ormai ci si possa far qualcosa... tranne limitare i 
danni :-)
-- 
A.B.

 
Ci sono altri articoli del d.lgs.196/2003 e punti dell'all. B utilizzabili
in questi casi, ma la situazione di ogni specifico cliente va
studiata più dal punto di vista dell'organizzazione e del diritto che
dal punto di vista informatico!
-- 
A.B.

 196/2003 in particolare l'allegato B).
e ci mancherebbe! la responsabilità in outsourcing non se la puo' e non 
deve prendersela nessuno.. tranne il titolare!

 
Se vogliamo, si potrebbe ironizzare con il concetto del "medico"..
Quello generico ed il cardiologo sono entrambi "medici".. ma il bypass 
da chi te lo fai fare? dal "medico" o dal "medico specializzato in bypass"?
ora sebbene la differenza tra "aspirina", "frattura", "colica", "cuore" 
o "reumatismo" è ai piu' ormai chiara, diverso è per "ERP", "J2EE", 
"SERVER", "SYSADMIN", "PRIVACY", "PICCI'"...
che? chiama il tènnico va... :-)
non si capisce perchè pero' la iso9000 se la fanno fare dagli "esperti"..
Forse è solo questione di tempo?
Mah, speriamo anche nella selezione naturale..
Notte a tutti,
Dirk


Cosě completamente allineato con te... che non so cosa aggiungere! :-)
-- 
A.B.

 
La selezione naturale č un ottimo meccanismo, ma prende tempi 
biblici e lascia molte vittime lungo il suo lento percorso...
:-)
-- 
A.B.

scusate, ma siete tutti bravi a tirare merda sugli altri, ma nessuno ha 
risposto al mio quesito, divagando su aspetti generali, informative, 
consensi, allegati B , aspirine, bypass e coliche renali.
Specifico meglio il caso: non si tratta di ditte esterne che fanno fornitura 
di hardware e basta, ma aziende esterne che effettuano la teleassistenza sul 
sistema gestionale e curano anche in sede del cliente tutti gli aspetti di 
manutenzione del software, installazione, upgrade, ecc.
Trovatemi una buona scusa per la quale tale azienda fornitrice di servizi 
può dichiarare di non partecipare al trattamento di dati del suo Cliente.
Leggete bene la definizione di trattamento di dati personali contenuta nella 
legge e trovatemi un solo motivo per il quale le attività svolte da questo 
tipo di aziende per i loro clienti possano ritenersi escluse da tale 
definizione.
Non è semplicemente un fornitore di software che vende una scatola con un 
cd...
Avete citato art.24 che esclude di fatto solo dall'obbligo del consenso 
scritto, questo va benissimo per il fornitore che vende scatole di scarpe al 
suo cliente, e all'interno di questo rapporto di natura contrattuale decade 
l'obbligo del consenso. MA l'azienda esterna che fornisce servizi secondo me 
va inquadrata sotto una diversa ottica.
Il Titolare del t.d.d. (cioè il Cliente che usufruisce dei servizi della 
società che fa l'assistenza) non può permettere a mio avviso che un estraneo 
di una ditta esterna metta il naso nel suo sistema gestionale e quindi nella 
sua contabilità e in generale in tutti i suoi trattamendi di d.p.
Mi sembra chiaro che questi "estranei" vanno in qualche modo autorizzati, si 
tratta di fatto comunque di un servizio dato in out-sourcing, limitatamente 
alla manutenzione e all'assistenza dei sistemi informatici, quindi in 
generale limitatamente alla sola consultazione.
Non vedo quindi perchè sia un errore nominarli responsabili del trattamento 
dei dati limitatamente alle loro mansioni.
Se afferminamo che non è corretto nominarli Responsabili del t.d.d.p. allora 
significa che qualsiasi fornitore è di fatto autorizzato ad accedere ai 
trattamenti di d.p. dei loro clienti. Ma stiamo scherzando?
comunque vi invito a dare una letta anche su it.comp.sicurezza.varie a 
quanto pare non sono l'unico a pensarla a questo modo.
diego

 
Dovrei impressionarmi? Guarda che le opinioni vanno *pesate* e 
non *contate* ...... io comunque credo che i tuoi quesiti erano stati
già ben risposti nel thread, ma per qualche motivo non hai 
apprezzato. Sempre a causa del mangiare pesante o chiedi opinioni solo
per apprezzare solo quelle che confermano delle risposte che ti
sei dato da solo?
-- 
A.B.

 
Ah dimenticavo, è un errore anche per un altro motivo: il responsabile
deve essere una persona fisica (non può esserlo una persona giuridica).
-- 
A.B.


art. 4
g) "responsabile", la persona fisica, la persona giuridica, la pubblica 
amministrazione e qualsiasi altro ente, associazione od organismo preposti 
dal titolare al trattamento di dati personali;
è l'incaricato che può essere solo una persona fisica.
diego

 diego
art.29, comma 2
"Se designato, il responsabile è individuato tra soggetti che per esperienza, 
capacità ed affidabilità forniscano idonea garanzia del pieno rispetto
delle vigenti disposizioni in materia di trattamento, ivi compreso il
profilo relativo alla sicurezza."
Interpretazione del ns. ufficio legale (non nostra): un soggetto "esperto", 
"capace" ed "affidabile" non può essere che una persona fisica, tenuto anche
conto del fatto che il d.lgs.196/2003 prevede reati penali e pertanto, 
essendo la responsabilità penale personale, si riconduce comunque ad una
persona fisica.
Ripeto, interpretazione di un ufficio legale con cui abbiamo lavorato su
Ministeri, Forze Armate, Compagnie Aeree e Amministrazioni Regionali con
a loro volta uffici legali di tutto rispetto che finora hanno magari
digrignato i denti a certe interpretazioni che gli andavano un po' 
strette, ma che non ci hanno ancora mai cacciato (anzi hanno sempre
pagato le fatture con solerzia). E' vero che c'è sempre una prima 
volta... ;-) ma al momento non è successo...
-- 
A.B.

più ne parliamo più aumentano i dubbi.
Io ho avuto a che fare esclusivamente con pubbliche amministrazioni locali, 
e mi rifaccio alle scelte fatte da parte di questi enti, a partire dalla più 
grossa che è Provincia Autonoma di Trento, che nella guida distribuita ai 
propri dirigenti spiega come le società di IT che collaborano con la PAT 
siano state nominate Responsabili del trattamento. Potete visionare tale 
guida a questo indirizzo 
http://www.provincia.tn.it/uffgiuridico/pdf04/privacy2004.pdf
Quando spiegano la figura di Resposanbile si fa chiaramente riferimento alla 
possibilitàdi nominare le figure giuridiche esterne "Responsabili" in caso 
di collaborazione di soggetti esterni per l'espletamento dei compiti 
d'istituto (concessioni, appalti, convenzioni, consulenze, collaborazioni, 
tirocini, ecc).
L'altro caso pratico a cui faccio riferimento è il caso di una grossa 
società di servizi che fornisce sia il software che il servizio per 
l'elaborazione delle paghe alla maggiorparte dei comuni trentini. Tale 
società ha inviato preventivamente a tutte le p.a. interessate una richiesta 
di nomina a responsabile del trattamento dei dati, fornendo un fac-simile 
per tale operazione.
diego
