Newsgroup: it.diritto.internet
Titolo: Questione su DPS

Poichè il DPS riguarda la sicurezza minima che deve essere garantita, 
quest'ultimo è a carico del fornitore di hosting? o del realizzatore di un 
sito internet? Mi aspetto che sia a carico del fornitore di hosting, ma 
attendo conferma.
Eventualmente, per la pubblicazione di quest'ultimo, è possibile richiederlo 
al fornitore stesso di hosting?
Cooper.
-- 
www.blueware.it

 
No, per la ragione di cui sopra. O meglio: e' sempre possibile che il
fornitore di hosting sia anche una azienda che fa consulenza aziendale e
possa redigerti tecnicamente il DPS, ma il documento sara' a nome del
titolare e lo firmera' il legale rappresentante del titolare.
-- 
AB


Il commercialista e' titolare dei dati personali che raccoglie direttamente
dagli interessati, non di quelli raccolti presso gli interessati dalle
aziende che gestisce.
Esempio: io sono un cliente, fornitore o collaboratore della ditta A e per
esserlo fornisco i miei dati personali alla ditta A per una finalità
precisa e sara' la ditta A che ne rispondera'. A me e' del tutto
trasparente se e come i miei dati saranno eventualmente passati dalla ditta
A ad un commercialista (la ditta B) per il trattamento. Se ci saranno
problemi il mio interlocutore non potra' che essere la ditta A. La ditta B,
per quanto mi riguarda, non so neanche che esiste o se esista e, peggio,
non l'ho mai autorizzata implicitamente (perche' non ho un contratto di
alcun tipo con loro) o esplicitamente (perche' non ho firmato loro un
consenso) a trattare i miei dati.
Ergo: la ditta A e' titolare dei dati che raccoglie, per le sue finalita',
dai suoi clienti, fornitori e  collaboratori e quindi questi dati ed i
relativi trattamenti dovranno comparire nel suo DPS. Che alcuni (o tutti)
di questi trattamenti siano affidati all'esterno (per esempio ad un
commercialista, la ditta B) e' irrilevante ai fini del DPS -- o meglio
dovra' essere indicato nel DPS e rispettare le misure minime relative
all'affido all'esterno dei dati e dei trattamenti.
-- 
AB

 e qui sorgerebbero alcuni problemi (omissis):
Sai, il tuo ragionamento ha molti spunti notevoli sul piano tecnico-legale e
mi hai quasi convinto! :-), ma ho detto *quasi* ... :-)))
A parte gli scherzi, mi occupo di privacy dal punto di vista del consulente
di processi aziendali e di sicurezza, non dell'avvocato (e si vede), ma
fino ad adesso (in questi giorni sono chino sull'88esimo DPS) abbiamo
sempre fatto il ragionamento che ti ho esposto prima. 
Non so il tuo commercialista, il nostro ha un mandato ad usare i dati dei
nostri clienti, collaboratori e fornitori per un fine che dovrebbe essere
nostro: farci le registrazioni fiscali e lui lo fa al nostro posto. Lui ha
il dovere di farci questo e solo questo. Se in un giorno di follia prende
il database e ci fa dell'altro i miei clienti, collaboratori, fornitori
denunciano me (in quanto leg. rap.), non lui!!!! Poi sara' un mio problema
dimostrare (DPS in mano) che io avevo preso tutte le precauzioni del caso
(con misure *minime* ed *idonee* ) o come direbbe il mio avvocato che non
c'è stato un "incauto affido" da parte mia dei dati personali di cui ero
titolare.
Sara' anche perche' ci siamo sempre occupati di medie e grandi
organizzazioni, quindi in realta' il "commercialista" non e' mai un singolo
professionista, ma il problema del *nominarlo* in qualche modo non si e'
mai posto. L'azienda o la Pubblica Amministrazione "X" da mandato con
apposito contratto ad un'altra azienda "Y" (anche se poi lo si chiama
"commercialista" per brevita') e nel contratto si mette apposita clausola
che la ditta "Y" si impegna a trattare i dati personali di cui "X" e'
titolare in conformita' al d.lgs.196/2003. I piu' arditi arrivano a
scrivere che si "riservano il diritto di ispezione" rispetto a tale
conformita' (!).
Questo proprio per superare quello che tu dici: non hai diritto di dare
ordini di alcun tipo ad un qualcuno che non e' un tuo dipendente e quindi
il tuo unico strumento e' una clausola contrattuale.
Poi certo che il tuo commercialista non e' un esperto di sicurezza, come non
lo sono molti altri (probabilmente neanche l'azienda che gli ha dato i
dati). Si fara' fare il suo DPS e mettere in conformità i suoi sistemi e le
sue procedure da noi o da uno dei nostri colleghi o dal suo avvocato o da
chi piu' lo aggrada.
Poi, come dice sempre il mio avvocato, questo e' tutto "onanismo
intellettuale" (copyright suo...) finquando non ci sara' un po' di
giurisprudenza o, come dico io, finquando qualcuno non si sara' scottato i
polpastrelli sperando che quel qualcuno sia qualcun'altro e non noi ;-))))
-- 
AB

"Cooper" ha scritto nel messaggio

chiedo scusa fin da ora se la mia domanda può risultare... strana... Ma la
redazione del DPS non è necessario SOLO nel caso di tratti - con strumenti
elettronici - DATI SENSIBILI O GIUDIZIARI  (ossia dati personali idonei a
rivelare l'origine razziale, etcnica, convizioni freligiose/filosofiche,
opinioni politiche, stato di salute e vita sessuale)?
quindi ... nel caso di un realizzatore di un sito internet... una volta che
si è fatto firmare il consenso al trattamento dei  dati personali (cosa
necessaria SOLO nel caso in cui si voglia, ev. tenere informato su eventuali
iniziative promozionali il cliente... ma non necessaria né richiesto nel
caso  in cui si debba adempiere ad un obbligo previsto dalla legge, da un
contratto, dati relativi lo svolgimenti di attività economiche, etc..  -
leggi fattura -  [ossia in questo ultimo caso occorre preventivamente
informare del fatto che i dati saranno trattai solo per lo svolgimento dei
rapporti commerciali, che potranno essere a richiesta essere modiciati,
cancellati, rettificati.... ma detto questo non è neppure necessario
consenso firmato]), non si è a posto così e basta???
scusate se ho fatto consufione.
grazie
r.