Newsgroup: it.lavoro.informatica
Titolo: Contratto consulenza legge privacy

Salve a tutti.
Sono stato incaricato da un mio cliente di fornire consulenza completa
al fine di adeguare il suo sistema informativo e la sua struttura
organizzativa alla legge per la tutela della privacy.
Ho studiato la legge, l'allegato b, le misure minime di sicurezza, fatto
un preventivo, il preventivo e' stato approvato.
So cosa devo fare dal punto di vista informatico (installazione di un
antivirus, di un firewall, aggiornamento del sistema operativo), so le
linee guida da fornire al mio cliente circa gli aggiornamenti periodici
(semestrali!) ed il cambio delle password (trimestrali!).
Il mio dubbio riguarda la resposabilita' (per l'attestato che io alla
fine devo/posso rilasciare, e sulla compilazione del dps, marzo 2005) e
il tipo di contratto da stipulare, e con esso tutte le clausole.
Per responsabilita' intendo la facolta' del titolare di avvalersi di
consulenti esterni (io) che deve fornire al termine del lavoro una
attestazione dell'avvenuto adeguamento.
qualcuno ha risolto in qualche modo queste problematiche?
ps: ho gia' sfogliato diversi newsgroup a riguardo ma tutti dibattevano
interpretazioni dela legge o soluzioni informatiche. Se ho perso qualche
post che risponde alle mie domande, me li passate?
grazie a tutti...
Giuseppe Napolitano
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 post che risponde alle mie domande, me li passate?
ti consiglio vivamente, se non ti è già capitato, di dare uno sguardo agli
archivi di SikuLex, ottima lista :
http://www.sikurezza.org/archivio.html#lex/
ci sono stati numerosi thread sulle figure degli "attori" che concorrono
all'adeguamento normativo e loro relative responsabilità, anche se ciò che
chiedi non è del tutto chiaro..credo non sia tanto un attestare formalmente
"l'avvenuto adeguamento in toto" dell'Azienda, quanto il percorso che hai
richiesto venisse adottato, le misure messe in essere e quelle che lo
dovranno, nonchè individuare puntualmente chi e quando lo esegue, chiarire
il tuo ruolo di Consulenza e delimitarne le prerogative e
responsabilità,etc.
Anche l'indice su Interlex ti puo' essere di qualche utilita'. Buon lavoro
http://www.interlex.it/675/indice.htm

dimenticavo: grazie!


 wrote in message
news:32g31lF...@individual.net

allora il punto e' questo (vediamo se riesco a farmi capire):
*faccio questo lavoro al cliente, ovvero 
1)gli aggiorno windows xp, gli installo in antivirus (freeware che porto
io col mio bel ciddi'),
gli installo un firewall (come per l'av, freeware, fornisco io la
copia);
2)configuro username e password per ogni incaricato a trattare i dati
sia per windows che per gli screen saver
3)istruisco il personale su come effettuare il backup dei dati
settimanalmente
4)fornisco un documento con linee guida alla sicurezza e gestione delle
password (l'azienda provvedera' a mantenere copia
di queste password di ogni dipendente, in luogo sicuro)
5)aiuto (fornisco assistenza) alla compilazione del dps (entro marzo
prossimo)
6) produco moduli prestampati relativi ad informative (per clienti e per
dipendenti), moduli per comunicazioni interne da titolare a incaricato
per l'assegnamento della user id+ password, per la nomina
dell'incaricato; poi, documento che va da incaricato a titolare, quando
incaricato cambia password (almeno ongi tre mesi)
7) promemoria su frequenze di aggiornamento di sistema
operativo+aintivirus+firewall e di password
8)rilascio dichiarazione di quanto io ho eseguito.
domanda:
punto 8) la mia attestazione come deve essere? solo tecnica? o puo'
contenere una clausola tipo:
l'azienda richiedente solleva da ogni responsabilita' il consulente
informatico (cioe' il sottoscritto)???
poi quali clausole deve contenere il contratto che stipulo tra cliente e
sottoscritto?
ci sono cose da evitare? da includere? qualosa che misollevi da
responsabilita?
esempio: io completo il lavoro, e rilascio dichiarazione che dice: ok
l'azienda e' a norma (ovvero io ho eseguito in nome e per conto
dell'aziena tutto qiuello che serve per essere a norma) ora l'azienda
disabilita l'antivirus o il firewall o tra 6 mesi non aggiorna il
sistema operativo o l'antivirus, e' ovvio (e' ovvio?!?!) che io non sono
responsabile!!!
opure perdono i fogli con le password (e qualche individuo non
autorizzato accede ai dati) io non osn responsabile...
come faccio a fare un contratto PERFETTO???
e cmq per il punto 8) di cui sopra: cosa posso dichiarare io per fare un
lavoro professionale???


 autorizzato accede ai dati) io non osn responsabile...
ti rigiro la domanda : secondo te, studiandoti la 196/03 il DPS eccetera,
chi è il responsabile? :-)
Per quanto riguarda il contratto "perfetto" , non essendo un giurista non
posso risponderti correttamente, ne' riportarti template particolari.
Non vedo pero' difficolta' a scrivere "il sottoscritto ha collaborato in
qualita' di consulente tecnico alla stesura del piano XXX, dell'applicazione
delle misure Y, utilizzando gli strumenti Z ; si esclude ogni
responsabilita' in merito all'ottemperanza effettiva alle Norme vigenti che
sono completamente a carico dell'Azienda WXZ (o il sig.XX)  e nello
specifico il Titolare del blablabla, i Resp. XXX e gli incaricati YYY per le
rispettive funzioni indicate nel <insert doc>.
Tutto rigorosamente imho.

 wrote in message
news:32gbstF...@individual.net



 
Noi firmiamo, punto e basta. Tuttavia avendo a disposizione informatici,
legali e consulenti organizzativi ce la sentiamo di firmare. Nel tuo
caso (sempre che abbia capito bene che sei un consulente informatico) 
te la senti di firmare? Hai l'avvallo di un legale?
Le conseguenze della firma dipendono molto da che tipo di 
dichiarazione firmi. In generale, se scrivi un DPS e poi il Cliente
non l'ho rispetta sono affari del Cliente, a meno che non ti
abbia pagato anche come supervisore del sistema di sicurezza...
Difficile valutare pro e contro del firmare senza avere dettagli
sul cosa hai firmato o ti appresti a firmare.
Auguri!
-- 
A.B.

 Auguri!
auguri pure a te, e grazie mille del tempo che mi dedichi!


domanda: per fornire questo tipo di consulenza ad un cliente X, c'e'
bisogno di essree iscritti a qualche albo registro o avere
certificazioni precise?
questo tipo di servizi non rientra nella consulenza che un qualunque
tecnico può fornire?
può essere relativa all'adeguamento del sistema informativo aziendale al
dl 193 del 30/6/2003 oppure recupero dati o ripristino sistema operativo
o formattazione dell'hd o installazione di un masterizzatore: e'
consulenza? al piu' manutenzione...
quello che voglio dire, la fattispecie della consulenza specifica non
cambia la natura, la qualita' del nostro servizio.
quello che e' i n dubbio e' la richiesta di quell'attestato che un
consulente esterno deve fornire al cliente X e lui lo usa al momento di
un sopralluogo della gdf.
se gli installo una stampante, l'attestato non serve...
giusto fin qui?


 
Dipende...
-- 
A.B.

 
E proprio a questo servono i soldi dati ad un legale... dammi retta
soldi spesi bene!
-- 
A.B.

 cosa si fa più sottile...
capisco: allora tu consigli di impostare il contratto/rapporto sotto
questo punto di vista:
l'azienda deve adeguarsi - non ha competenze tecniche - chiama un
tecnico - il tecnico lavora -
- se l'azienda avesse chiesto al tecnico di installare una stampante,
l'azienda e' capace di verificare l'avvenuta installazione corretta -
- l'azienda invece mi chiede di installare un antivirus, un firewall, di
aggiornare windows xp, di configurare xp assegnando un
nomeutente+password per ogni incaricato del trattamento dati
- forse verificare il mio lavoro in questo senso per l'azienda e'
difficoltoso, se avesse saputo verificarlo avrebbe anche saputo farselo
da se (sono corretti i condizionali???) - mi chiede un attestato - non
sono cmq responsabile del trattamento in modo solidale con l'azienda -
io i dati neanche li vedo so dove stanno
funziona cosi? che dici? sta in piedi il mio ragionamento? uffa'...
quanto costa un avvocato esperto???


 ma sono pericolosi per gli stessi consulenti...).
tanto per farmi i fatti tuoi (posso?) tu cosa sei?
consulente legale informatico organizzativo tuttofare?
voglio dire: 
"...ma siamo un po' stufi di vedere DPS redatti da informatici ..."
tu non sei un informatico, allora addetto dal garante alle verifiche?
voglio dire: tu facendo parte di un team che provvede a salvare 
un'azienda dall'esporsi a sanzioni per questa cosa qua 
della privacy che ruolo hai?
cmq tornando a cose serie: il dps (lo studio del quale ancora non ho
approfondito)  deve
essere redatto dal titolare dell'azienda; nel dps vanno inserite le
tecniche i metodi e le procedure informatiche adottate, io assisto il
mio cliente in questa parte della redazione: sbaglio? non devo? e lui
che ne sa? forse gli serve a questo ilmio attestato?
e cmq io rilascerei una semplice dichiarazione di quello che ho fatto,
non un "certificato di conformita'"; credo che a mia volta io debba
essere in possesso di una certificazione per farlo.
a questo riguardo ti porto un esempio: se io prendo un certificazione
cisco, posso certificare qualunque rete che installo presso una azienda
come una rete "a norma cisco"!
tornando al nostro discorso: se io avessi una certificazione in
"adeguamento legge privacy" posso rilasciare un certificato di questo
tipo (a prescindere che io sia consulente/assistente legale informatico
o altro)
che te ne pare? sbaglio?


 copia);
scusa ma mi puoi dire quali prodotti freeware di questo tipo esistono per 
uso non personale?
sono solo io il cojone che vuole far spendere migliaia di euro alla propria 
azienda in licenze software?
in ultimo: tutta la parte documentale è solo una minchiata, nessuno adrà mai 
a farti le pulci. per le certificazioni di qualità si fanno le firme false e 
si riportano processi aziendali mai avvenuti (ma del tutto simili a quelli 
reali). l'unico pericolo è dato da eventuali soggetti esterni che espongano 
denuncia per improprio trattamento dei propri dati (cmq ci sono 15 gg. per 
rimediare) magari mosse da altre motivazioni che poco hanno a che fare con 
la privacy. 

 o altro)
Puoi rilasciarlo anche adesso, senza alcuna certificazione. Il
dubbio non è di tipo normativo, ma opportunistico (sai cosa
firmi?).
-- 
A.B.

> quanto costa un avvocato esperto???
Io, che in prima persona lavoro per studi legali i professionali a Milano, 
non fanno niente di più che scrivere un pezzo di carta (il DPS). Le misure 
informatiche tecniche sono un optional. Lo stesso con le licenze.
Sono veramente in pochi ad adottare le misure di sicurezza ad obbligo di 
legge. Cmq non sono in grado di valutare il lavoro fatto; dunque se prendeno 
un consulente esterno (solitamernte tra i suoi stessi clienti a prezzi 
stracciatti o a scambio di favori) depositano il DPS e soltanto sperano che 
non succeda niente di troppo grave...
-- 
Pepe
Milano, Italy

 non succeda niente di troppo grave...
il dps non va depositato (al piu' affiancato al bilancio se il cliente
lo redige!)
il dps va conservato e mostrato in caso di verifiche!
e' dura!!!


 il dps va conservato e mostrato in caso di verifiche!
Esattamente per questo che nessuno vuole fare nulla... considerano il DPS 
soltanto soldi sprecato. La probabilità che vi siano richieste verifiche a 
caste potenti e protette come avvocati, commercialisti e notai sono quasi 
pari a zero... dunque il DPS è un pezzo di carta in una busta che non verrà 
mai mostrato a nessuno!
-- 
Pepe
Milano, Italy