Newsgroup: it.lavoro.informatica
Titolo: gdpr

qualcuno di voi è coinvolto? intendo dire con responsabilità, come dpo o 
collaboratore di questo.
 

 
 
Penso che un informatico rientri nei casi di "conflitto di interessi".
 
-- 
The three most dangerous things in the world are a programmer with a 
soldering iron, a hardware type with a program patch and a user with an 
idea.

 Penso che un informatico rientri nei casi di "conflitto di interessi".
 
non penso, anzi. il dpo è una figura operativa diversa dal responsabile 
del trattamento, tipicamente se non è informatico deve comunque avvalersi 
della collaborazione di informatici.


Che ti devo dire.....ho letto una dispensa pubblicata da una certa CWS 
Digital Solutions che nella parte conclusiva recita così:
 
"Per ovvie ragioni è bene evitare di nominare DPO figure come il CIO 
(responsabile informatico dell’azienda) in quanto si andrebbe 
normalmente in conflitto di interesse."


 
 
sì, grandi rotture di coglioni e tante incognite visto che nessuno sa 
cosa accadrà veramente dopo il 25 di maggio

Il 27/04/2018 14:53, rootkit ha scritto:

Da quello che so io:
 
1) Nella stessa azienda un DPO NON può essere contemporaneamente 
"Amministratore di Sistema"
 
2) Il "Titolare del trattamento dei dati" di un azienda NON può essere DPO per 
la stessa azienda
 
3) un "informatico" può ricoprire l'incarico di:
- DPO, se lo sa fare, per una o più aziende, ma per QUELLE aziende non può 
ricoprire anche l'incarico di "Amministratore di Sistema", (vedi punto 1)
al contempo
- può essere "Amministratore di Sistema" per ALTRE aziende, se lo sa fare.....

 ha scritto nel messaggio 
news:lZqdnZxdMpLy_XnH...@brightview.co.uk...

Una PMI che  ha sempre tenuto "i piedi per terra" ,
riuscendo a districarsi fra lacci e lacciuoli delle leggi
in maniera  imvho abbastanza pratica,
ha incaricato uno dei suoi "controllori" di studiare il GDPR.
 
Ufficiosamente  mi hanno gia' fatto sapere che si tratta
di "cosa molto complessa". Brutto  segno  :-(
 
 
ciao
fm 
 
 


spero abbiano cominciato anche a muoversi, perché comincia ad essere 
tardino...
 

Intanto
 
https://www.polygon.com/2018/4/28/17295498/super-monday-night-combat-shutting-down-gdpr
 
 
(la prima di molte altre)
 
Comunque, dare la colpa a GDPR quando c'hai un pugno di customer sembra 
un po' tirata...

 collaboratore di questo.
 
Nell'azienda dove lavoro vorrebbero che mi occupassi del ruolo di DPO, sto 
cercando di capire se nel caso di GROSSI casini questa figura può essere 
perseguibile in maniera penale

 collaboratore di questo.
 


 collaboratore di questo.
 


 collaboratore di questo.
 
scusate le risposte multiple, mi si è piantato il browser


da quello che per ora mi è dato sapere: in linea di principio no, ma non 
si può escludere.
 
in particolare la figura del dpo non è considerata di garanzia al pari 
del titolare del trattamento e l'obbligo di vigilanza non ha rilevanza 
penale. però se il "casino" è dato non dalla violazione delle procedure, 
ma dall'inadeguatezza delle stesse, lì temo che il coinvolgimento sia 
inevitabile.
 
questo da quello che mi è dato di sapere.
 

 normalmente in conflitto di interesse."
 
su questo siamo d'accordo, ma il conflitto di interessi è sulla 
responsabilità del cio, non sul mero fatto di essere un informatico (o 
meglio di estrazione informatica).

 della collaborazione di informatici.
 
Art. 37:
"The data protection officer shall be designated on the basis of professional qualities and, in particular, *expert knowledge of data protection law and practices* and the ability to fulfil the tasks referred to in Article 39."
 
E l'art. 39 elenca le attivita` di "advisory" che tipicamente ricopre qualcuno che abbia un background in legge.
 


mah forse in un contesto anglosassone. qui da noi mentre riesco ad 
immaginarmi un esperto di sicurezza informatica che si forma sugli 
aspetti giuridici, non riesco proprio a vedere un giurista che si forma 
sulla sicurezza informatica. 

 sulla sicurezza informatica.
 
Ho diversi colleghi che hanno fatto proprio il percorso di prepararsi sulla sicurezza informatica provenendo da studi giuridici.
 
Debbo dirti che IMHO per questo tipo di attività hanno una marci in più.
 
Ciao
  Francesco

 Per contro partita cosa ti offrono in piu'?
 
lasciamo perdere va...

 mah forse in un contesto anglosassone.
 
Quelli sono gli articoli che si applicano a tutti. Che il DPO debba essere un esperto di legge e delle sue pratiche e` una requisito esplicito (nota il "shall be" che indica obbligatorieta`). Non so come un'azienda riesca a giustificare l'esperienza richiesta per un esperto di informatica. Credo che si debba stare attenti a non finire nell'esercizio abusivo della professionale legale.

 nell'esercizio abusivo della professionale legale.
 
credo che questa sia una tua personale interpretazione quantomeno 
bizzarra :-)
 

 collaboratore di questo.
 
Fino a l'altra settimana la mia struttura doveva collaborare con la 
struttura del DPO, ma sul fronte GDPR siamo piu' operativi di loro, in 
quanto siamo noi i responsabili della "prevenzione" di data breach.
Adesso nuovo mandato, e nuovi vertici, vedremo cosa succede ...
 
M.
-- 
Credo che l'unica cosa da fare sia non prendersi troppo sul serio,
ridersi addosso, e sorridere spesso, così le rughe andranno nei posti 
giusti....
(A. Vincenzi)

 sulla sicurezza informatica.
 
http://stefanomele.it/aboutme/
 
Tra le altre cose mi sono interfacciato un paio di volte, mi e' sembrato 
in gamba.


 di "cosa molto complessa". Brutto  segno  :-(
 
E' qualche mese che me lo studio, insieme ad un collega avvocato, 
perche', secondo me e per fortuna anche secondo il mio responsabile, 
questo argomento va visto e considerato sempre sotto il doppio aspetto 
tecnico e legale.
 
Complesso?
Si.
Brutto segno?
Forse no.
Cambia le carte in tavola?
Decisamente si.
Prima la "compliance" erano una serie di caselle da barrare sul 
moduletto, se avevi tutte le cose richieste eri a posto, adesso il 
discorso non e' piu' una "fotografia statica in un certo momento", ma un 
processo sempre in divenire che deve essere sempre "allo stato dell'arte".
Sicuramente e' un modo di ragionare e lavorare molto diverso da quello 
attuale delle pubbliche amministrazioni e delle grandi imprese.


 collaboratore di questo.
 
Tralasciando le grandi aziende, secondo voi come dovrebbe comportarsi un 
negoziante che vende anche online, per esempio con un semplice 
Prestashop? 
 
Basta mettere un pagina con le privacy policy generata SAS tipo Iubenda, 
o la faccenda è più complicata?
 
g4b0

 questo da quello che mi è dato di sapere.
 
Quoto in pieno, in linea di principio il cerino spetta al responsabile 
del trattamento, salvo l'inadeguatezza delle procedure, ma li' subentra 
anche il CISO e chi redige le policy (qualora cio' non venga fatto dalla 
struttura del CISO).


 mese (?) Whoa, Che cime!
 
"quanto sopra" va anche declinato in azienda, pare.

 mese (?) Whoa, Che cime!
 
Se vai a vedere i vecchi messaggi relativi al GDPR e' la cosa che ho 
detto e scritto dal primo momento, diversi mesi fa.   :)


 collaboratore di questo.
 
Io vorrei capire in concreto cosa deve fare una azienda per essere a norma 
GDPR
Ad esempio dove lavoro io gli unici dati sensibili sono nomi, email e 
indirizzi di clienti e fornitori, salvati sul genstionale e in file 
word/excel sul server, ovviamente è una rete con dominio, e il tutto e 
protetto a monte da un firewall.
 
In una situazione del genere come ci si deve comportare?

 In una situazione del genere come ci si deve comportare?
 
Ottima domanda ma temo che la risposta non sia semplice perché - a 
quanto ho capito - devi poter dimostrare che hai delle procedure non 
esclusivamente informatiche per il trattamento dei dati, che hai 
istruito gli operatori al trattamento, che hai comunicato che tratti 
quei dati e per quali scopi.
 
Ma è solo per semplificare....
 
 
 
 

 sulla sicurezza informatica. 
 
tu evidentemente ignori fin dove si possono spingere i laureati in
giurisprudenza.
 
 

 ha scritto:

quindi in definitiva gli consigli che può "magnà tranquillo"?
 
 
 

Stefano Galla <stefa...@gmail.com.invalid> ha scritto:

intanto rivedere tutto il discorso che hai scritto poco sopra...
 
 

 In una situazione del genere come ci si deve comportare?
 
per prima cosa deve fare l'analisi dei rischi. non esiste un concetto 
universale di "essere a norma", le aziende hanno una sostanziale 
autonomia nelle procedure di gestione dati, a patto che tali procedure 
siano adeguate ai rischi.
per quanto riguarda il gestionale, ad esempio: per il software delle 
aziende private c'è da verificare una lista di una cinquantina di 
requisiti, non tutti applicabili / obbligatori, allo scopo di valutare se 
va bene cosí, se deve essere adeguato (e in che funzionalità) o se è 
proprio da buttare.
 
 
 

 proprio da buttare.
 
Questo elenco di requisiti è presente nel documento ufficiale GDPR? 
Esiste in una forma adatta ai non addetti ai lavori? Perché temo che 
molti "padroni di piccole aziende" non abbiano capito la cosa riguarda 
potenzialmente pure loro...
 
 

 sanzionare, e' assurdo!
 
non ho capito. i requisiti ci sono e sono fissati nel regolamento, le 
aziende li devono raggiungere declinando le procedure di gestione sulla 
loro realtà, il loro processo e i loro rischi.
dov'è il problema? 
cioè io ti dico: devi essere in grado di eliminare i dati su richiesta 
del titolare. che me ne frega se lo fai perché pigi un bottone o perché 
fai una delete sul database? l'importante è che mi dimostri che 
all'occorrenza chi di dovere sappia quello che deve fare.
 
tutto questo è complicato? certo sí, rispetto all'anarchia. ma se si 
entra nell'ordine dell'idee che il dato non è di chi lo gestisce, ma del 
titolare, capisci bene che l'anarchia non va bene. 
 

 intanto rivedere tutto il discorso che hai scritto poco sopra...
 
Dici il discorso sulla perseguibilità penale del DPO?

 loro realtà, il loro processo e i loro rischi.
 
Potresti indirizzarmi a un documento in cui sono elencati questi 
requisiti? io non sono riuscito a trovare nulla di concreto
 


E' l'obbligo di "accountability" pervisto dal GDPR, in ogni momento devi 
essere pronto a "rendicontare" nel dettaglio del trattamento dei dati e 
delle misure adottate a loro salvaguardia.
Comunque suggerisco agli interessati di leggere il GDPR in lingua madre, 
che (IMHO) e' meno "interpretabile" delal sua traduzione in italiano.



direi il regolamento ue medesimo:
 
https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX
:
32016R0679&from=IT
 
se vuoi una sintesi o una checklist mi sa che è un lavoro da pagare ad un 
consulente :-)
 

 e' assurdo!
 
Forse e' il caso che tu legga il GDPR ...  :D


 consulente :-)
 
Ma che il consulente sia "a pie sospinto"!  :D


 quindi in definitiva gli consigli che può "magnà tranquillo"?
 
Solo se le procedure sono valide, conosciute da tutti gli interessati, 
aggiornate, etc. etc. ...



lascialo perdere, è il nostro tarzanello al culo.

FP wrote on 14/05/18 22:00:

Eh purtroppo il nostrano Garante Privacy non ha fornito esempi pratici, al 
contrario di quello spagnolo e inglese se ho capito bene (quindi conviene 
guardare di là), però c'è una tabella che mostra le differenze tra prima e dopo 
il GDPR. Sempre tutto in teoria.
http://www.gpdp.it/regolamentoue
 
 
Una cosa utile però l'hanno fatta: tradurre in italiano un software francese 
multi piattaforma che ti aiuta a ragionare sulla tua attività e crea il 
documento per l'analisi del rischio (è adatto alle PMI):
https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil
 
 
In quella pagina scendi fino a trovare i link per i vari sistemi, c'è anche come 
servizio web server in ruby; poi l'installazione avverrà nella lingua del tuo 
sistema.
 
Comunque concordo anch'io con chi si lamenta che non vi siano delle guide 
adeguate; troppe parole, troppi distinguo e decine di pagine di interpretazioni.
Che perfino il Garante a pochi giorni dall'applicazione non abbia tirato fuori 
ad es. le icone ufficiali per le varie sezioni (dato che l'hanno menata che poi 
uasare dei disegnini per aiutare la comprensione) lo trovo allucinante.
 
Conviene guardare cosa stanno facendo i grossi nomi, tipo eBay che ha preparato 
una versione fatta bene della nuova informativa.
Però per quel che riguarda invece la parte di analisi e gestione dei dati è un 
po' tutto fumoso. Se uno già gestiva correttamente i dati personali in realtà 
non deve cambiare quasi niente, al limite verificare la parte di cancellazione e 
esportazione. IMHO :-)
 
Sul sito italiano Mailup.it c'è una sezione apposita per la parte di marketing 
online, newsletter e simili. Fanno anche dei webinar gratuiti.
 
ciao
Gabriele

 ... Okey ... vado.
 
Ok, torna a giocare a tennis.  ;)


 tempo da spendere, 
 
potevi spenderlo meglio, imho.


non te lo so dire. un documento stile checklist ci è stato fornito da un 
consulente con ogni probabilità è stato preparato allo scopo. non penso 
ci sia qualcosa del genere nella documentazione.


Nel papiello ufficiale non c'e' la checklist.
Di solito i consulenti vedono cosa fai ed in base alle tue attività ti 
"desumono" una checklist ...


 lol bauscia? Ligure?
 
Derivato dal latino "testiculus", diminutivo di "testis", cioè 
"testimone", ovvero "colui che assiste senza prendervi parte.


 collaboratore di questo.
 
Giusto per ...
Notare come sia cambiato sul sito di Kaspersky il disclaimer per 
adeguarsi al GDPR:
 
Acconsento esplicitamente alla raccolta e l'elaborazione dei miei dati 
personali, inseriti in questo modulo di contatto (i campi contrassegnati 
con "*"sono obbligatori), da Kaspersky Lab Italia Srl.
Do il consenso a Kaspersky Lab Italia Srl di contattarmi e fornirmi 
informazioni sui prodotti e servizi di Kaspersky Lab tramite posta 
elettronica.
Queste informazioni includeranno offerte promozionali personalizzate e 
asset premium quali whitepapers, webcast, video, informazioni su eventi 
e altri materiali di marketing e offerte correlate.
*Sono libero di ritirare il mio consenso in qualsiasi momento, facendo 
clic sul link di disconnessione incluso in tutte le email promozionali o 
inviando un messaggio di posta elettronica a Kaspersky Lab all'indirizzo 
unsubsc...@kaspersky.com
.
Per informazioni generali sul trattamento dei dati personali da parte di 
Kaspersky Lab, visiona la politica di privacy di Kaspersky Lab:*
 
La fonte e' il link dove scaricare la loro miniguida al GDPR:
https://go.kaspersky.com/IT_GDPR_Journey_SOC_2017.html
 


 facendola in chissa' dove ti trovi
 
ascolta: io ho posto una domanda da persona coinvolta sul gdpr, tu sei 
intervenuto per dire che è tutto inutile, che non serve a un cazzo, che è 
ipocrita non dire a una puttana che è una puttana e altre belinate del 
genere. adesso ti chiedi se io ci sono o ci faccio. bene, anzi male che 
io mi sia fatto trascinare in questa discussione. 

 Altra conferma che il gdpr e' l'ennesima buffonata.
 
non c'entra nulla, non facciamo confusione.
questi sono ritardi e lacune del nostro codice. è lui che stabilisce cosa 
è reato e cosa no, nonché le relative pene.
d'altra parte i lavori parlamentari ultimamente sono quelli che sono.

 proporre consulenze in tema di gdpr (?)
 
non so dirti perché sono dall'altra parte della barricata. ma a 
sensazione mi viene da dire: perchè no? ragionando in codesto modo in 
italia non sarebbe logico neanche fare i commercialisti o i consulenti 
fiscali.
c'è una scadenza ma ancora non è chiaro cosa si deve fare: dov'è la 
novità? in italia, intendo.

 inutile, solo per spremere i 'tapini', i 'cucchi', i babbei.
 
onestissimamente e col massimo rispetto, io nella parte del babbeo non mi 
ci vedo. e siccome sono anche convinto che tu non abbia la piú pallida 
idea di cosa si stia parlando (non lo dico per ripicca, ma per questi 
discorsi che non stanno insieme neanche legati con lo spago) la cosa mi 
lascia del tutto indifferente.
 

 Non sembra, anyway!
 
ti sto rispondendo, l'alternativa sarebbe ignorarti. certo che se punti a 
farmi sbroccare come una trollata qualsiasi dovrò cambiare atteggiamento.
 
 
 

 Uh, ultima cosa, come scrissi in altro post, se sei convinto tu!
 
conoscendo le persone e valutando (insieme ad altri) professionalità e 
competenze: stai insinuando che non sia in grado di farlo? poi ti chiedi 
cosa frulla in mente per pensare che stai dando di babbeo :-)

 ha scritto:

gli consigli di lasciare i file in word/excel sul server?
 
 
 


gli consiglio di "sciaquarsi fra palle e culo, capito? non so se rendo 
l'idea" (*)(cit.) per lasciar andare quelli come te nello scarico del 
bidet.
 
per il resto se devo parlà di cose serie con una fava parlo con la mia.
 
(*) 
https://www.youtube.com/watch?v=DjeuTeE19tI
 
 

 In una situazione del genere come ci si deve comportare?
 
Intanto distinguere i dati "personali" da quelli "sensibili" ai sensi di 
legge, e poi cercarsi un buon consulente.


 curriculum corredato di dati personali.
 
In Italia, forse anche in altre parti d'Europa, ti chiedono quella merda 
di CV "formato europeo" dove devi indicare pure il numero di peli del 
culo. Perché cavolo devo far girare un CV con TUTTO e DI PIU? Non l'ho 
mai capito. E se lo mandi personalizzato con qualcosina che manca quasi 
che si offendono e te lo richiedono stizziti.
 
In UK, se ci metti una virgola di troppo di chiedono di renderlo più 
anonimo e solo se sei assunto l'anzienda che ti assume ti chiede i dati 
(ma non dal CV).
 
Boh...
 
Speriamo che col GDPR questo vizietto sparisca.

 educazione al liberticidio.
 
Fai come qui. Sulle porte non c'è MAI scritto chi ci abita, mai. Ordini 
la pizza e dici "me la mandi a questo indirizzo" e basta. Al più sanno 
email e/o numero di telefono.
 
In Italia se non scrivi nome e cognome sulla porta sei un fuorilegge, e 
quando passano i vigili non ti danno la residenza. Questo il GDPR mi sa 
che non l'ha previsto.

 email e/o numero di telefono.
 
che sono comunque dati personali :-) nella fattispecie dati 
identificativi indiretti (ma sempre identificativi).

 
 
*Falso*
Il GDPR è già in vigore, resta da stabilire unicamente quali articoli della 
196/03 sono in contrasto (es: le misure minime di sicurezza che non ci sono più, 
per quanto sia una scelta discutibile IMHO) nei limiti della legge nazionale da 
integrare.
https://www.agendadigitale.eu/sicurezza/il-gdpr-e-in-vigore-senza-il-decreto-italiano-che-succede-ora/
 
 
 
Gabriele

 esserci per forza.
 
quello è il meno. in molte metropoli, ma anche in molti residence in italia, 
i palazzi hanno campanelli numerati e tu dici di suonare al tale numero.
ma è la stessa cosa di chi vuole farsi consegnare in albergo, ad esempio.
 
piú che altro la pizzeria chiederà pure un telefono o un qualcosa di
verificabile, se non vuole mandare fattorini a girare a vuoto. 
e il telefono è comunque un dato che identifica indirettamente una persona,
quindi tutelato.