Newsgroup: it.lavoro.consulenti
Titolo: Privacy e dati sensibili

salve a tutto il ng,
siamo alle prese, nel nostro Studio, con la redazione del DPS ed è sorto 
il dubbio sul concetto di dato sensibile applicato all'origine razziale 
od etnica. Se l'origine razziale è dato sensibile allora tutte la banche 
dati contengono questo dato sensibile !! o no ? boh ...
ciao, Ruggero


Perchè? L'anagrafica fornitori di un'Azienda contiene un dato sull'origine 
"razziale" dell'Azienda fonitrice? :-)
Diverso, ma non troppo, se parliamo di un'anagrafica dipendenti. Il luogo 
di nascita dice qualcosa sull'origine razziale del dipendente? NO. Posso 
essere nato a Pechino da padre e madre italiana ed essere nato a Milano da 
genitori asiatici....
Tuttavia (faccio il consulente in questo settore) una parte dei miei 
colleghi ed io riteniamo che una base dati dei dipendenti contenga SEMPRE 
dati sensibili, ma per un altro motivo (attenzione, per onestà devo dire 
che alcuni miei colleghi non sono d'accordo). La definizione di legge dei 
dati sensibili parla di dati che siano "idonei a rivelare" origine 
razziale, stato di salute, etc. etc. Perchè il legislatore si è preso la 
briga di declinare una simile sottigliezza e non ha detto semplicemente 
"dati che contengano informazioni" su origine razziale, stato di salute, 
etc. etc.?
Perchè in letteratura classica della InfoSec (Sicurezza delle Informazioni) 
esiste il fenomeno della "aggregazione": tante informazioni poco 
importanti (assenze per malattia, permessi sindacali, log di sistema con 
gli accessi del dipendente al web) sommate possono farne una importante 
(stato di salute, opinioni sindacali, etc.). 
Provo a fare un esempio pratico: posso (o riesco) ad accedere agli archivi 
(carta o database non importa) aziendali ed incrocio il fatto che il 
"classico" Sig. Rossi è stato molto assente per malattia negli ultimi sei 
mesi, che la mensa aziendale è stata istruita di preparare per lui una 
dieta rigorosamente in bianco e che ha acceduto (rigorosamente in orario di 
pausa, perchè il SIg. Rossi è un impiegato coscienzoso ed onesto) con 
continuità a siti WEB specializzati in gastrite e patologie dell'apparato 
digerente. 
Singolarmente ognuna di queste informazioni non è un dato sensibile, ma 
messe assieme non fanno un dato sensibile? Messe assieme non sono 
informazioni "idonee a rivelare" che il Sig. Rossi soffre di gastrite? 
Certo, non ne posso essere certo in modo assoluto, ma le probabilità sono 
buone e a "pensar male si fa peccato, ma di solito ci si piglia" (Copyright 
1947 - 2004 Giulio Andreotti).
-- 
Alessandro

 
ed è qui che io continuo a non capire: cosa vuol dire "origine razziale" 
? che se ho un database di soli italiani non è dato sensibile ? non 
siamo anche noi italiani una razza? e se invece all'interno c'è un 
extracomunitario allora il dato è sensibile ? sarebbe triste fosse così. 
francamente è una cosa che non riesce ad entrarmi in testa ...
scusate la mia "testaduraggine"
ciao, Ruggero

 ciao, Ruggero
Sarň un pochetto stordita ma non capisco che cosa vuoi sapere esattamente.
Vuoi sapere se i consulenti del lavoro "maneggiano" dati sensibili?
La risposta č si.
Vuoi sapere se devono fare la notifica al garante?
La risposta č no.
Se volevi sapere un'altra cosa... ritenta... :-))
A.Z.

A.Z. ha scritto:

ciao,
quello che volevo sapere lo leggi in risposta ad alessandro ... in 
effetti non sono stato chiarissimo, ma anche il dlgs non aiuta !
ciao, Ruggero (pure lui stordito da 'sta benedetta privacy)
p.s. ma voi per i clienti fate qualcosa (sempre riguardo agli 
adempimenti che loro devono adottare)?

 adempimenti che loro devono adottare)?
Continuo a non capire che cosa vuoi sapere esattamente... č ora che me ne
vada a casa.
Personalmente comunque compilo tutta una serie di moduli, in quanto le
aziende che mi affidano le buste paga mi "nominano" responsabile del
trattamento e come tale mi devo comportare.
Tieni presente che i dati sensibili che passano fra le mani di un Cdl non
richiedono il consenso (con la nuova normativa) in quanto servono per
ottemperare ad obblighi di legge.
In piů noi abbiamo pure una autorizzazione del garante.
Ovviamente dobbiamo adottare tutte quelle misure per impedire la
distruzione, la divulgazione ecc. ecc.
A.Z.

 ha scritto nel messaggio
news:c4c48t$8r8$1...@newsread.albacom.net...

Sei sicura che i CDL non devono fare la comunicazione al Garante...?
in fin dei conti... dati sensibili riguardo a malattie oppure a iscrizioni a
sindacati li trattiamo....!

 
Che mi risulti, essere "italiani", marocchini, francesi o lituani è una 
nazionalità, non una "razza".
Il concetto di "razza" applicato alla specie "homo sapiens", se ti può 
essere di consolazione, non è così chiaro neanche alla comunità 
scientifica. Questo concetto fu "inventato" per la prima volta da un 
naturalista francese di nome Buffon nel XVIII secolo e da allora non ha mai 
smesso di creare polemiche e confusione (e qualche guerra...). La comunità 
scientifica moderna preferisce parlare di *sotto-specie* caratterizzata non 
tanto da diversità biologiche (abbiamo tutti due occhi, sangue, due gambe, 
etc....) ma morfologiche (differenze di forme, colore dei capelli, statura, 
etc.).
Tornando all'argomento specifico: se il database specifica, o permette di 
rilevare anche indirettamente, la "razza" (o sotto-specie) dell'homo 
sapiens a cui si riferisce (caucasico, medio-orientale, negroide, asiatico, 
etc.) il database contiene dati sensibili.
Per i motivi già esposti nel mio precedente post, COMUNQUE un database di 
dipendenti o comunque persone fisiche ritengo *sia sempre sensibile* con o 
senza i riferimenti diretti o indiretti alla razza (o sotto-specie).
-- 
Alessandro

 
Noi ci siamo trovati bene con questi signori che forniscono uno strumento 
ed una metodologia proprio a Consulenti del Lavoro e Dottori Commercialisti:
 
http://www.axamonline.net
-- 
Alessandro

 senza i riferimenti diretti o indiretti alla razza (o sotto-specie).
grazie mille per la esaurientissima risposta e comunque sono del parere 
anch'io che i dati di un dipendente sono sempre dato sensibile ...
ciao, Ruggero
p.s. cosa siamo noi? caucasici ? :-))

 p.s. cosa siamo noi? caucasici ? :-))
Io si. E tu? :)))
(visto che ti ho risposto, ora dovrai trattare questo messaggio come 
contenente "dati sensibili"............)
-- 
Alessandro


Io sono sicura e tu? :-))
Leggi nel decreto la casistica di soggetti obbligati alla notifica....
A.Z.

 ha scritto nel messaggio
news:c4em58$kbt$2...@newsread.albacom.net...

non troppo.... sinceramente.!


Però per la NOTIFICA non vi è alcuna esclusione.
I datori di lavoro o i CDL (in caso siano essi stessi titolari e non solo
responsabili) oggi come oggi non dovranno chiedere il consenso agli
interessati (dipendenti).
Non dovranno chiedere l'autorizzazione al garante perchè c'è una
autorizzazione generale (la n. 1). Se non ci fosse dovrebbe chiedere una
specifica autorizzazione in quanto il c. 4 esonera solo dal consenso
dell'interessato ma non dall'autorizzazione del garante.
Ma se dovessero effettuare uno dei trattamenti previsti dall'art. 37
dovrebbero comunque notificare quel particolare trattamento.
Il non obbligo alla notica, a mio parere, non deriva dal fatto che non sia
previsto l'obbligo di richiedere il consenso dell'interessato o dal fatto
che vi sia una autorizzazione generale al trattamento ("generico") dei dati
sensibili.
Ma deriva dal fatto che i trattamenti effettuati non rientrino tra quelli
previsti dall'art. 37.
Ciao
Ermanno


Giusto.
Ciao :-))


cortesemente mi poteresti dire esattamente dove posso trovare, nel dl
196/2003
questa esenzione per i CDL e per le ditte che non rientrano nell'art 37....
grazie mille.


Qui trovi diverse cose fra cui l'autorizzazione per i CDL
http://www.garanteprivacy.it/garante/navig/jsp/index.jsp
Fra l'altro dovrebbe essere inserito un documento che semplifica
ulteriormente le notifiche:
Questo il comunicato del Garante:
Comunicato stampa - 31 marzo 2004
Dal Garante nuove semplificazioni: pochi i casi in cui è veramente
necessaria la notificazione
L'Autorità Garante per la protezione dei dati personali (Stefano Rodotà,
Giuseppe Santaniello, Gaetano Rasi, Mauro Paissan) ha adottato il previsto
provvedimento per individuare i trattamenti di dati personali (raccolta,
uso, conservazione etc.) che non dovranno essere oggetto di notificazione al
Garante.
Già il  Codice in materia di protezione dei dati personali, entrato in
vigore il 1 gennaio scorso, aveva introdotto una robusta semplificazione in
materia, riducendo a pochi casi essenziali l'obbligo di notificare
preventivamente all'Autorità l'avvio di un trattamento di dati.
Fin dalle prime settimane di applicazione del Codice, e in vista del termine
transitorio del 30 aprile per la presentazione delle notificazioni, il
Garante ha ritenuto necessario individuare, a date condizioni, nuove
semplificazioni che interessano società, enti locali, operatori sanitari (in
particolare medici di medicina generale e pediatri), liberi professionisti,
datori di lavoro e gestori di impianti di videosorveglianza.
Il provvedimento sarà pubblicato in Gazzetta Ufficiale e diffuso anche sul
sito Internet del Garante 
www.garanteprivacy.it
 a partire da domani.
Roma, 31 marzo 2004