Newsgroup: it.lavoro.consulenti
Titolo: Privacy: nomine Responsabili del Trattamento

L'Azienda A trasmette i suoi dati a Studio A (paghe) e Studio B
(contabilità).
A livello di nomine, è necessario che, per quanto di rispettiva
competenza, A e B vengano nominati Responsabili del Trattamento dei dati
di A?
Christian
-- 
Obstacles are inefficient, follow your intuition, 
free your inner soul and break away from tradition


In realta' esistono tutte le possibilita' di incarico previste dal Codice 
(D. Lgs. 196/03), ossia:
1)    incaricare come Incaricato/a una persona fisica di STUDIO A o STUDIO B
2)    incaricare come Responsabile la persona giuridica STUDIO A o STUDIO B
3)    lasciare che STUDIO A o STUDIO B operino queli Titolari indipendenti
I divesi casi previsti implicano adempimenti e doveri diversi, naturalmente.
Nessuno, comunque, e' automatico; il Titolare di AZIENDA A deve scegliere.
La soluzione 2) e' la piu' praticata. 

 1)    incaricare come Incaricato/a una persona fisica di STUDIO A o STUDIO B
?
Come fai a nominare incaricato una persona fisica che non dipende gerarchicamente da te,
ovvero che è un collaboratore di un oggetto giuridico esterno?
C'è un vicolo gerarchico / organizzativo fra il titolare (o responsabile) e gli incaricati.
Art. 30. Incaricati del trattamento
1. Le operazioni di trattamento possono essere effettuate solo da incaricati che operano
sotto la diretta autorità del titolare o del responsabile, attenendosi alle istruzioni
impartite.
Quindi, IMHO, solo la 2 è praticabile in quanto realizzare la 3 significherebbe per gli
studi esterni fare informativa ed eventuale consenso (se previsto) direttamente ai clienti /
fornitori della AZIENDA A cosa che francamente ritengo impossibile nonchè inutile.
ricapitolando:
AZIENDA A nomina come responsabile esterno gli studi
AZIENDA A richiede (agli studi) e mette agli atti l'informativa sul trattamento dei dati
affidati, nonche eventuali note sulla protezione dei dati sensibili (ufficio paghe)
AZIENDA A inserisce nella propria informativa che come classi di soggetti identificati quali
responsabili esterni vi sono UFFICIO PAGHE e COMEMRCIALISTA
AZIENDA A mantiene aggiornato un elenco dei responsabili esterni identificati in caso
chicchessia richieda da quali soggetti sono trattati i propri dati.
AZIENDA A (responsabile se delegato o direttamente il "titolare") effettua una verifica
presso gli studi per controllare che facciano i bravi bambini. [questo aspetto è quello +
particolare in quanto presumo che ad oggi di verifiche periodiche come previsto art. 29
comma 5 ne siano state fatte 10 in tutta Italia :-| ]

 ha scritto nel 
messaggio news:TZfPf.19734$ou2....@tornado.fastwebnet.it...

Mah, consentimi un mio modesto commento:
ho seguito il tuo discorso e non fa una grinza. Tanto è che anche io 
(rispetto alle prime convinzioni) ho nominato responsabili esterni i 
soggetti tipo commercialista, consulente del lavoro, medico del lavoro ecc.
Seguendo però anche altri forum con persone autorevoli, ho letto che molti 
non fanno tutto ciò ma si limitano a indicare nel DPS che i dati sono 
comunicati ai soggetti di cui sopra, senza fare troppi ulteriori formalismi. 
Tanto poi il discorso che anche loro sono già in regola con la privacy (si 
spera) e il fatto che molti studi facciano firmare un documento di incarico 
al cliente, dovrebbe essere sufficiente...
Cosa ne pensate?
(domani leggerò eventuali commenti)
-- 
Ciao
Piero
Leva LEDITADALNASO prima di mandarmi una e-mail 

 (domani leggerň eventuali commenti)
Io penso che... quello che hai detto č la cosa che mi ha fatto sergere
il dubbio e mi ha fatto rivolgere qua (e sul sito del Garante) la
domanda.
Io mi sono mosso nel modo indicato da Gate Array, ma parlandone con un
avvocato č emerso quanto hai detto tu. Sono entrambe vie corrette, ma io
preferirei la prima in quanto piů prudenziale.


 domanda.
Beh, allora facci sapere come ti risponderanno... abbiamo ancora qualche 
settimana per cambiare idea!
A me quello che fa più paura è in fase di una eventuale verifica: si 
tratterà di giudicare se l'interpretazione fatta da Noi di questi e altri 
problemi sia o meno uguale a quella fatta dalla GdF..? e se Loro la pensano 
diversamente? Boh...!!!
Buona giornata a tutti..


 diversamente? Boh...!!!
Infatti il problema è (e soprattutto) dare "in pasto" ad eventuali verificatori esterni
documentazione tangibile che attesti quanto fatto in seno all'azienda.
Sul discorso dei responsabili e sul fatto di formalizzare gli obblighi è espressamente
richiamato dalla norma:
---------------------
Art. 29. Responsabile del trattamento
4. I compiti affidati al responsabile sono analiticamente specificati per "ISCRITTO" dal
titolare.
---------------------
anche se sono d'accordo con voi che sarebbe sufficente inserirlo nel DPS, e che quindi
questo è un formalismo inutile...... inutile come molti altri adempimenti normativi per le
microimprese.
Putroppo in questo momento abbiamo il grosso problema che ancora non abbiamo storico su come
si muoverà il Garante e chi per esso durante i controlli.
Non avendo storico ne giurisprudenza sufficente, il mio approccio è MOLTO prudenziale, e
quindi la preparazione del sistema diviene folle e logorroica inutilmente.
La "follia" e la dispersione di energie in tal senso le concordo sempre con il Cliente....
così come di base io faccio la redazione del DPS anche se il Cliente non gestisce dati
sensibili mediante strumenti elettronici. (oltrettutto non si può essere sicuri che
indicazioni sensibili sui dipendenti non siano inviate per posta elettronica... anche in
futuro)
Qualcuno potrà anche dire che lo faccio per spillare + sodli al Cliente, ma tutto queste
considerazioni le faccio  con il Cliente e quindi è lui a decidere che strada intraprendere.
Inoltre la mia paura è che viste le sanzioni pecuniarie applicabili, qualcuno in futuro
possa usare la privacy per battere cassa..... con le conseguenze nefaste che potete
immaginare  se gli auditor useranno un filtro molto stretto.
GA


Io uso la 3.
StudioA e StudioB operano indipendentemente, non vengono incaricati ma gli 
viene richiesto di comunicare per iscritto che hanno adottato tutte le 
misure relative alla 196/2003.
All'atto pratico ovviamente non cambia nulla, è praticamente come la 2.
Ho solo qualche dubbio sulla 1, non mi sembra un grna che come soluzione.