Newsgroup: it.lavoro.consulenti
Titolo: [privacy] Titolari - Responsabili - Incaricati

Salve,
una semplice domanda:
Come studio esterno che gestisce paghe e contributi e che quindi di fatto tratta dati
sensibili, siete stati nominati co-titolari, responsabili o incaricati al trattamento dei
dati da parte dei vostri clienti?
Facendo un po di ricerche non ho trovato informazioni chiare su questo punto.
La domanda č importante anche perchč il consulente del lavoro č, insieme al legale, l'unico
soggetto giuridico che tratta dati sensibili per piccole imprese.
Grazie in anticipo delle risposte
GA

 dati da parte dei vostri clienti?
Il co-titolare non esiste. Bisognerebbe essere nominati responsabili
relativamente ai dati che vengono consegnati, ma dubito che l'abbiano fatto
tutti.

 tutti.
Verissimo...
intendevo co-titolare nel senso di essere nominati titolari dei dati in modo "congiunto" con
i clienti.
Quindi fare una informativa ai dipendenti indicando come titolari del trattamento sia
l'azienda che l'ufficio paghe.

 l'azienda che l'ufficio paghe.
Il cdl è titolare dei dati relativamente alla sua attività. In questo senso
è discutibile se sia necessario essere nominati responsabili dai clienti (e
questo non sia implicito nel rapporto professionale). Dato che di cose
discutibili nella legge sulla privacy ce ne sono a iosa tanto vale fare due
righe e farsi nominare responsabili.

 righe e farsi nominare responsabili.
Un mio cliente, del quale gestiamo le paghe, ha come consulente fiscale
un altro commercialista. Nel DPS del cliente sono nominati due
responsabili: noi (area paghe e consulenza paghe) e l'altro
commercialista (contabilità e consulenza fiscale). Quest'ultimo però si
rifiuta di essere nominato "responsabile del trattamento" perchè,
citando l'art. 4 del D. Lgs. 196/2003, dovrebbe in soldoni essere in
grado di avere il controllo "totale" dei dati trattati dal titolare,
compresa la distruzione degli stessi. Non riuscendo a garantire questo,
dice di non poter essere nominato responsabile. La cosa bella è che non
accetta neanche la nomina di incaricato (ancora più assurda visto che il
titolare dovrebbe, secondo me, "vigilare" sui dipendenti dello studio).
Sto prendendo un abbaglio io o l'altro commercialista?
 
Christian
-- 
Obstacles are inefficient, follow your intuition, 
free your inner soul and break away from tradition

 ha scritto nel 
messaggio news:GuMDf.61239$av6....@tornado.fastwebnet.it...


 Sto prendendo un abbaglio io o l'altro commercialista?
Il problema della nomina quale responsabile esterno non risiede in quanto
affermato dal commercialista.
Il citato art 4 (o meglio art 29) non indica che il responsabile del
trattamento ha TUTTE le responsabilità sulla gestione dei dati ma solo
quelle indicate dal titolare.
Comunque questi solleva una questione (da qui la mia domanda - rilievo) per
cui un responsabile del trattamento è soggetto ad un vincolo rispetto al
titolare. Inoltre se designato deve essere scelto in base al fatto che possa
adempere ai compiti stabiliti ovvero deve essere controllato il suo operato
mediante verifiche periodiche.
Per questo ho visto in giro indicare gli studi esterni TITOLARI del
trattamento (in quanto tali a tutti gli effetti) e quindi la gestione in
outsourcing dei dati avviene mediante comunicazione scritta con queste
credenziali.
Inoltre nessuno oggetto giuridico può esimersi dal nominare un titolare del
trattamento
la legge indica:
Art. 28. Titolare del trattamento
1. Quando il trattamento è effettuato da una persona giuridica, da una
pubblica amministrazione o da un qualsiasi altro ente,associazione od
organismo, titolare del trattamento è l'entità nelsuo complesso o l'unità od
organismo periferico che esercita un potere decisionale del tutto autonomo
sulle finalità e sulle modalità del trattamento, ivi compreso il profilo
della sicurezza.
Art. 29. Responsabile del trattamento
1. Il responsabile è designato dal titolare facoltativamente.
2. Se designato, il responsabile è individuato tra soggetti che per
esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno
rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso
il profilo relativo alla sicurezza.
3. Ove necessario per esigenze organizzative, possono essere designati
responsabili più soggetti, anche mediante suddivisione di compiti.
4. I compiti affidati al responsabile sono analiticamente specificati per
iscritto dal titolare.
5. Il responsabile effettua il trattamento attenendosi alle istruzioni
impartite dal titolare il quale, anche tramite verifiche periodiche, vigila
sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle
proprie istruzioni.
Art. 30. Incaricati del trattamento
1. Le operazioni di trattamento possono essere effettuate solo da incaricati
che operano sotto la diretta autorità del titolare o del responsabile,
attenendosi alle istruzioni impartite.
2. La designazione è effettuata per iscritto e individua puntualmente
l'ambito del trattamento consentito. Si considera tale anche la documentata
preposizione della persona fisica ad una unità per la quale è individuato,
per iscritto, l'ambito del trattamento consentito agli addetti all'unità
medesima.

 titolare dovrebbe, secondo me, "vigilare" sui dipendenti dello studio).
Benissimo. Lasciamolo fare e gli ricordiamo che, se non accetta alcuna delle
proposte, allora sara' considerato Titolare dei dati che gli vengono
passati, con tutti i relativi adempimenti.
Dovra' quindi consegnare agli Interessati (che sono i dipendenti, i clienti,
i fornitori, i consulenti e quant'altro del cliente di SunBurned)
un'opportuna Informativa e chiedere il Consenso, qualora il Codice lo
richieda.
In caso contrario incorrera' in un Trattamento non autorizzato e
conseguentemente incorrera' in sanzioni penali.
Naturalmente il cliente di SunBurned segnalera' ai suoi clienti che i suoi
dati personali saranno passati a ... (e qui citare espressamente il
commercialista) che trattera' tali dati in qualita' di Titolare
indipendente.
E' opportuno ricordare che qualsiasi Trattamento effettuato esternamente
alla struttura del Titolare, qualora questo non avvenga per obbligo di
legge, richiede il Consenso dell'Interessato. Non vi e' legge che obbliga il
cliente di SunBurned a consegnare i dati personali da lui trattati ad altri
per questioni contabili o amministrative. Questa e' la questione piu'
difficile da risolvere.
Prendiamo un esempio. Il cliente di SunBurned passa i dati personali,
sensibili compresi, dei suoi dipendenti a SunBurned perche' proceda con
Trattamenti legati alla gestione delle paghe e dei contributi. Il cliente di
SunBurned e' obbligato a chiedere il Consenso al Trattamento (in questo caso 
si tratta di
Comunicazione). Ne potrebbe avere diniego. Nel qual caso dovra' trattare in
proprio il procedimento paghe per l'Interessato che ha negato il Consenso.
Brutta storia.
.

Noi abbiamo elaborato una "Clausola di garanzia per trattamento di dati
personali da parte di soggetti esterni alla ditta" inviando una lettera
con il seguente testo:
La Ditta XconsulenteX alla quale il XsocietàX ha affidato l'attività
di "...consulenza del lavoro, fiscale e tributaria per la gestione ed
amministrazione del personale...", nell'effettuare le operazioni ed i
compiti ad essa affidati dovrà osservare le norme di Legge in materia
di protezione dei dati personali, attenendosi alle eventuali decisioni
del Garante per la Protezione dei Dati Personali e dell'Autorità
Giudiziaria e provvedendo ad evaderne le richieste.
La Ditta XconsulenteX è altresì tenuta ad informare l'azienda circa
l'avvenuta adozione delle misure minime di sicurezza.
In ogni caso la Ditta XconsulenteX si impegna espressamente a non
comunicare nè a diffondere dati personali sottoposti al trattamento a
soggetti terzi, senza preventiva autorizzazione da parte della
XsocietàX
La Ditta XconsulenteX, inoltre, dichiara espressamente:
·	di impegnarsi a relazionare in ordine alle misure di sicurezza
adottate, in particolare circa le situazioni di pericolo per i dati;
·	di riconoscere il diritto della XsocietàX alla verifica periodica
dell'applicazione delle norme di sicurezza adottate;
·	a comunicare i nominativi dei responsabili e degli incaricati
addetti al trattamento oggetto dell'incarico.
Rientrata firmata per accettazione.
Questo documento è stato inviato al consulente delle paghe/gestione
personale, al commercialista, al consulente informatico, quello per la
sicurezza e quello per l'autocontrollo e all'occorrenza ad ogni altro
eventuale consulente esterno che venga a contatto con dati sensibili.

eventuale consulente esterno che venga a contatto con dati sensibili.
Secondo me non hai ottemperato a quanto specifica la legge. Una semplice "informativa" (che
significa Clausola di garanzia???) non è sufficente.
Il decreto stabilisce di identificare e nominare titolari, responsabili ed incaricati del
trattamento, con tutti gli obblighi del caso.
Con una comunicazione come la tua che cosa hai realizzato?
Le responsabilità organizzative sulla gestione dei dati devono essere chiare e precise.
Il consulente esterno (paghe) come è inquadrato? Che dati tratta? In che forma? Come li
protegge?
A me (IMHO) sembra che sia un approccio un po' troppo superficiale, soprattutto in relazione
alla natura SENSIBILE dei dati trattati.

 eventuale consulente esterno che venga a contatto con dati sensibili.
Ed i consulenti non ti hanno abbondantemente spernacchiato?

no, me l'hanno cortesemente rimandata firmata per accettazione ! tutti
quanti ! e tenete conto che sia il consulente dell'autocontrollo che
quello della sicurezza lavorano a livello internazionale, anche per
grosse società (esempio: Crai, Coop, ex Pellicano, etc...)
Non vedo perchè li dovrei nominare Responsabili, è il loro lavoro
esplicito trattare dati personali sensibili ! pertanto gli dico di
attenersi alla Legge e di farmi sapere quali accorgimenti hanno
adottato.
Responsabili abbiamo nominato, indicando le varie aree di interesse,
tutti gli impiegati, tutti i soci e tutti gli autisti.

 significa Clausola di garanzia???) non è sufficente.
Ciao,
sono d'accordo con te, ma in effetti non Jo non è l'unico, guarda cosa 
propongono gli avvocati:
Lettera a professionisti esterni:
http://www.ordineavvocatitrani.it/pubblica/articolo.php?articolo=204
Comunicazione al tecnico informatico
http://www.ordineavvocatitrani.it/pubblica/articolo.php?articolo=196
Io per quanto riguarda i professionisti esterni sono fortemente indeciso se 
nominarli come responsabili esterni o incaricati esterni... non si ha 
infatti il controllo diretto dell'operato come richiesto per gli incaricati 
e inoltre mi pare di capire che gli incaricati sono (tendenzialmente?) le 
persone fisiche che eseguono materialmente il trattamento. Ma se così fosse 
posso incaricare "lo studio del commercialista" (che magari è uno studio 
associato) devo incaricare tutti i soggetti che ci lavorano, perchè 
altrimenti corro il rischio che se incarico il mio commercialista persona 
fisica, e poi la pratica la gestisce la sua segretaria..?
Partecipando ad un corso mi hanno fatto nominare i professionisti come 
incaricati ma ho molti dubbio ora, mi pare che il ruolo di responsabile sia 
forse più corretto...
Boh, mi sembra tutto così contorto e al tempo stesso assurdo che ci facciamo 
tante seghe mentali..
-- 
Ciao
Piero
Leva LEDITADALNASO prima di mandarmi una e-mail 

tutti gli impiegati, tutti i soci e tutti gli autisti.
perchè "responsabili" e non incaricati? Se hai nominato ed identificato come responsabili
gli autisti, mi dici chi hai nominato come incaricati?
Se hai nominato come responsabili gli autisti, come fai a fare in modo che:
Art. 29 comma 2:
Se designato, il responsabile è individuato tra soggetti che per esperienza, capacità ed
affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in
materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
Non mi dire che questo profilo si addice ad un camionista!
Scusa se te lo chiedo ........ e ti prego di non offenderti..... sei un troll per caso?

 tante seghe mentali..
Concordo in pieno sulle seghe mentali, tantopiù se sono ti tipo formale e non sostanziale.
In ogni modo, almeno per quello che mi riguarda, individuo 2 gruppo di "professionisti":
1) coloro che opera ALL'INTERNO della struttura e che quindi svolgono operazioni
parificabili a quelle del personale dipendente. In questo caso visto che utilizzano la mia
struttura e i miei mezzi, li nomino come "INCARICATI" esattamente come se fossero impiegati
normali.
2) Coloro che operano ALL'ESTERNO della struttura ed hanno una loro organizzazione
(strumentale e di RU) e che quindi quale oggetto giuridico a se stante possono essere
nominati solamente come responsabili se non autonomi titolari di trattamento.
Resta chiaro che la nomima di "incaricato" ad un soggetto giuridico (con PI) è una forzatura
(o semi forzatura) in quanto:
Art.4 comma 1:
g) "responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e
qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati
personali;
h) "incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal
titolare o dal responsabile;
Un professionista è sia persona fisica che giuridica, quindi "forzando" un po si può fare il
distinguo di cui sopra.

 Boh, mi sembra tutto cosě contorto e al tempo stesso assurdo che ci facciamo tante seghe mentali..
Ho paura purtroppo che non siano tante seghe mentali.
Poi se ti beccano non in regola ti fanno tanti culi.
Nient'affatto mentali. 

 Nient'affatto mentali.
Non intendo in tal senso, ma sul fatto che c'è un formalismo esasperato che 
può far perdere il senso profondo della legge.
E poi temo che il rischio di contestazioni, anche nelle migliori intenzioni 
delle aziende, siano quasi inevitabili.
La legge parla sempre di misure minime di sicurezza, ma poi bisogna vedere 
se le misure possono essere considerate minime rispetto al tipo di 
informazione.
Ad esempio, la storia degli armadi con possibilità di essere chiusi a 
chiave:
Ma è logico che la riservatezza e la "forza" della misura minima deve essere 
diversa a seconda che io, nell'armadio conservo le fatture emesse e ricevute 
rispetto a un laboratorio di analisi che conserva l'archivio degli esami 
effettuati.
E poi, se non ho l'armadio con possibilità di essere chiuso a chiave, ma ho 
la possibilità di chiudere a chiave la stanza che lo contiene, e la stanza, 
quando è aperta è sempre presidiata da almeno un incaricato al trattamento, 
io potrei coscientemente considerare la chiusura della stanza come misura 
minima idonea. Chi mi dice che invece, la GDF in fase di verifica non 
giudichi questa misura non idonea?
Senza parlare del discorso delle password sui PC:
Capisco in un'azienda strutturata con diverse decine di Pc connessi in rete 
dove è una necessità aziendale interna quella di monitorare i controlli, 
ancor prima che imposta dalla legge; ma (esempio concreto di un'amica...) un 
ottico nel quale non ci sono dipendenti, che ha un solo portatile, e che 
viene utilizzato solo dal titolare e dalla sorella, che è nominata 
responsabile, dovrebbero ogni volta disconnettersi e riconnettersi con il 
proprio login e password anche se devono soltanto consultare il programma 
gestionale?
Credo che le forzature siano tante, soprattutto per quelle aziende medio 
piccole dove gli adempimenti, se applicati tutti, creano più che altro 
rigidità alla gestione e vita quotidiana...
