Newsgroup: it.diritto.internet
Titolo: sempre dps...

allora, sono un (piccolo) internet provider ed un cliente mi chiede un 
server in housing dove però dovrà inserire dati sensibili 
(principalemnte buste paga): se io do solo la banda devo comunque fare 
il dps come gestore di dati sensibili oppure no?
E se io gli metto il server in casa sua ma gli faccio la manutenzione da 
remoto?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Il leone e il vitello giaceranno insieme, ma il vitello dormira' ben poco.
		-- Woody Allen

 
Il DPS lo deve fare il TITOLARE dei dati, quindi il cliente.
Un DPS lo dovrai fare anche tu comunque (sarai titolare di dati personali 
no? Dipendenti, soci, collaboratori, clienti, fornitori, etc), ma
certamente non per quel server in housing presso di te.
Se il server è in casa del cliente e tu lo gestisci, nel DPS del tuo cliente
sarà indicato che su quei dati la tua ditta è INCARICATA di un trattamento
(la gestione dello strumento informatico) - quindi un incaricato esterno.
Ma, ribadisco, sul DPS del *cliente*, non nel tuo.
-- 
AB


Ok, grazie.
Il problema è che io non gestisco (fino ad ora) dati sensibili 
informatici in quanto le buste sono fatte non da me, non ho mensa ecc 
ecc ecc mentre in questo caso avrei dati sensibili in casa.
Fra un dps per dati personali ed uno per dati sensibili c'è un po' di 
differenza :-)
(non per il dps in se ma per le misure effettivamente da adottare)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Ho letto nel "Reader's Digest" che le sigarette fanno male.
Cosi' ho subito smesso di leggere il "Reader's Digest".
		-- Anonimo


Warning: stesso ragionamento di prima rovesciato (ora il cliente sei tu) 
Non gestisci tu quei dati, ma ne sei *titolare* (se i dipendenti,
collaboratori, soci, clienti, fornitori, ...) sono i tuoi. Dovrebbero
comparire nel *tuo* DPS per poi dire che il loro TRATTAMENTO è affidato
all'esterno (e non apparire nel DPS dell'azienda che ne effettua il
trattamento per tuo conto perchè NON sono loro titolari di quei dati).
Questo perchè se io tuo cliente, dipendente o altro vedo violato un mio
diritto sui miei dati personali vengo da *te* a rivalermi, non me ne frega
niente del tuo commercialista che ha dato la mia busta paga / contratto /
fattura ai giornalisti o della ditta che gestisce la mensa per tuo conto
che ha pubblicato sul web che sono allergico alla noce moscata :-) Quei
dati io li avevo dati a te!
Se questi "trattamenti" non compaiono nemmeno nel *tuo* DPS sei fregato in
partenza!
-- 
AB


Denghiù very mucc
Meno male che c'è la proroga..
(A proposito: a quando la prossima?)
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Se gli operai tedeschi volessero occupare una stazione, prima,
bravi bravi, comprerebbero il biglietto.
		-- Lenin

 
Okkio. La proroga è un fatto formale, non sostanziale.
Proroga o non proroga, a far data dal 01/01/2004 se fai casino con i miei
dati personali e non rispetti le misure minime (e l'onere della prova è
*tuo* e cosa provi senza un DPS o qualcosa che anche se non chiami DPS non
ci assomigli?) sei nel guano....
-- 
AB

 ci assomigli?) sei nel guano....
non *proveresti* nulla nemmeno con
dieci DPS.
Con l'inversione dell'onere della
prova sei sempre e comunque nel guano
e devi solo pregare che le tue CTP
vengano lette (e, di norma, questo
viene fatto solo dal riesame o dalla
cassazione).

 
Sono d'accordo. Mi sono spiegato male. Il DPS (o comunque un piano /
procedure interne / circolari / prassi / ...) è condizione *necessaria* ma
certamente non sufficiente per almeno provare a galleggiare nel
guano... :-(
-- 
AB

 guano... :-(
il problema vero e' che il
dlgs 196/2003 ha rovesciato
sopra la testa di tutti una
tonnellata di guano, e
nessuno sembra essersene
ancora accorto


:-))))
non lo so. Dal mio punto di vista, ti dirò che qualcuno che se ne è accorto
ed è preoccupato l'ho conosciuto, al punto che ha messo mano al portafoglio
e ci ha commissionato non solo il DPS, ma pure i relativi piani di
sicurezza. Quindi non posso onestamente lamentarmi.
Questi sono soprattutto grandi aziende e Pubbliche Ammistrazioni. Sono però
d'accordo che tanti altri della fascia media e medio-piccola nella migliore
della ipotesi vivono la questione privacy come un "fastidio" da risolvere
al minor costo possibile solo nella forma e nella peggiore della ipotesi
hanno deciso di ignorarlo in attesa di vedere "come va a finire" (sigh!).
Va anche detto che la credibilità di certe richieste del dlgs.196/2003 e di
certe sanzioni non è proprio immediatamente percebile da chi non si occupi
professionalmente di sicurezza. Tendenzialmente lo capisco un imprenditore
o un manager che nella vita fa altro e che non capisce la logica di certi
principi del 196/2003... e che quindi ha difficoltà a capire perchè
spenderci soldi dietro. Capisco un po' di meno il loro consulente legale...
-- 
AB

 spenderci soldi dietro. Capisco un po' di meno il loro consulente legale...
io invece lo capisco benissimo, 
perche' parte dal triste ma corretto
presupposto che - se finisci nel
mirino - che tu sia piu' o meno in
regola pagherai salato ugualmente.
E - dopo una miriade di capri 
espiatori - la legge verra'
finalmente rivista.
Perche' e' indegno che oggi si
rischi molto di piu' ad avere un
PC spento in ufficio piuttosto che
a travolgere in automobile gli
avventori di un bar.

 Capisco un po' di meno il loro consulente legale...
Non sono un consulente legale, pero' spesso, per quanto ne so, si tratta
di una mera valutazione costi/benefici.
Il consulente legale fa il conto di quanto si spende ad essere in regola
e quanto, invece, senza fare nulla. Poi l'azienda decide cosa e' meglio
fare.
E la possibilita' che la messa in regola sia piu' onerosa di una
violazione non la vedo cosi' remota...
-- 
 Candido - 
http://candido2k.blogspot.com/

 violazione non la vedo cosi' remota...
Si sta parlando di una legge vigente in 25 paesi dell'Unione europea ed
anche in Svizzera e Turchia.
Come fanno all'estero?


Ma nel resto d'europa c'è anche il ribaltamento della prova?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
E' un cretino illuminato da lampi di imbecillita'.
		-- Ennio Flaiano

 Ma nel resto d'europa c'è anche il ribaltamento della prova?
Non lo so. So che la legge è identica.


Pensando al ribaltamento della prova mi è venuto in mente questo esempio
(che non c'entra nulla col caso ma rende l'idea):
caso a: provare che gli extraterrestri esistono
caso b: provare che gli extraterrestri *non* esistono
direi che l'attuale legge vuole il caso b
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Pensa che quand'ero piccolo ero talmente povero che anche l'arcobaleno
lo vedevo in bianco e nero.
		-- Silvio Orlando

 direi che l'attuale legge vuole il caso b
Anche le normali regole scientifiche, mi sembra.

 anche in Svizzera e Turchia.
E quindi?


 E quindi?
Come fanno all'estero?
L'avevo già scritto.
Se risultasse che gli imprenditori italiani mancano di professionalità, la
cosa sarebbe più preoccupante. O no?


no.. per provare l'esistenza degli extraterrestri basta che tu  ne trovi 
1, per provarne l'inesistenza dovresti scandagliare l'intero unniverso..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
(Parlando di un naso grosso)  Si potrebbe sdrammatizzare il naso con
qualcosa di piu' ampio...  l'Australia, per esempio.
		-- Steve Martin

 cosa sarebbe più preoccupante. O no?
A parte il fatto che e' un errore pensare che la privacy riguardi solo
gli imprenditori, visto che i dati piu' a rischio sono quelli sensibili
(sanitari, giudiziari ecc.), rimane il fatto che dobbiamo vedere se la
tutela risulta adeguata rispetto al nostro ordinamento, non a quello
degli altri.
Uno studio comparato, IMHO, ha senso se si prendono in considerazione
piu' sistemi nel loro complesso, non in una loro minima parte.


 ha scritto

Mi preoccupo. Abbiamo una moneta europea, operiamo in un mercato europeo,
regolato da normative europee.
Il nostro ordinamento è questo, e sarebbe ora di liberarsi dai residui
dell'italietta del ventennio.
Senza andare a scomodare svedesi, finlandesi e svizzeri, la mia domanda è se
per le imprese portoghesi, greche, slovene o di Cipro l'identica legge è un
problema o è un modus operandi normale. Si può non saperlo e io non lo so.
M'informerò la prossima volta che andrò in uno di quei paesi. So che in
Olanda non è un problema, ma si dice che lì la mentalità sia molto diversa
(si dice).

 Non lo so. So che la legge è identica.
l'hai letta?
Dire che "e' identica" mi sembra
un'affermazione un po' forte...

 Anche le normali regole scientifiche, mi sembra.
ti sembra, ma e' proprio
l'opposto

 1, per provarne l'inesistenza dovresti scandagliare l'intero unniverso..
infatti.
L'inversione dell'onere della
prova e' un abominio logico.
E mi meraviglia non poco che
gli "esperti di sicurezza"
non se ne rendano conto.


Il Privacy Act inglese (che conosco per motivi professionali) si basa sugli
stessi principi delle direttive UE, ma l'implementazione è profondamente
diversa: misure minime? Queste sconosciute....
-- 
AB


Parla per te... :-) non so i miei colleghi, io me ne rendo perfettamente
conto. E come direbbero oltre oceano / oltre manica "So what?". 
Guarda comunque che l'art. 2050 del Codice Civile è li da "decinaia" e
"decinaia" :-) di anni, ve ne accorgete adesso.......?
-- 
AB

 dell'italietta del ventennio.
No, il nostro ordinamento comprende entrambi.


Viaggiavo per l'oceano della rete,
mentre:43495961$0$20502$
4faf...@reader4.news.tin.it
,
ab <abo@TOGLI_QUESTOaxis-net.it> ebbe l'ardire di dire:

Mi permetto di intervenire.
Sono ambedue le cose: un ''consulente incaricato'' ed un ''legale''
Vi porto la mia esperienza:
Incaricato da un ente pubblico locale di redigere il suo DPS, fin'ora non ho
potuto far... nulla!
Motivo?
parliamoci chiaro: tirar su un DPS è lavoro di mezza giornata, su un
privato, di un paio di settimane in un comune, basta che la gente che ci
lavora dentro non ti remi contro (come nel mio caso, in ui il mio
''questionario'' sullo stato dell'adozione delle misure di protezione minime
è finito nei cess..ehm ..tini) e, con in software gestionali messi a punto
negli ultimi mesi, BENE O MALE lo può fare anche un totalmente incompetente
in materia...
Ma: il DPS questo sconosciuto.
C'è gente che mi domanda ''ma lo spedisce lei al garante?''...
C'è gente che mi dice ''3 o 4 rinvii, ce ne sarà un'altro''
c'è gente che fa: ''non ho soldi da spendere nelle cavolate di berlusconi''
(sostituire con ''prodi'' o a piacere, a seconda della ''fede sportiva''
dell'interlocutore)
Infine, mi trovo davanti personaggi alampanati che mi RIMPROVERANO di
richiedere somme per la prestazione, o per l'oferta: ''tanto su internet lo
faccio gratis''...
Cosa si può dire? Consulenti legali?
Sarebbero più adatti dei confessori, credetemi...
Un saluto
-- 
 qu
 qu[levami]@
x-planet.org
 (elimina [levami] per scrivermi)
''se la gente che inculatasi reciprocamente formasse un anello, la Terra
sarebbe Saturno"

 
Se quella di prima era pericolosa, almeno questa è risibile. Quando me la
dicono, la mia risposta è "si accomodi..." -- tanto a questo punto non è
lui che non vuole me come fornitore, sono io che non voglio lui come
cliente.
-- 
AB

 privato,
Bel consulente!
E tu in mezza giornata impianti 14 (quattordici) procedure ed istruzioni 
scritte a misura del Cliente?
Ed anche l'analisi dei rischi?
Nemmeno all'artigiano solo e sconsolato, e speriamo che non abbia un 
dipendente, magari diversamente abile. 

 Ma, ribadisco, sul DPS del *cliente*, non nel tuo.
Salve :)
per amore di discussione e di chiarimenti (e di confronto che non mi fa mai
male), che anche la mia testolina oggi è intortata niente male.
Se non ho capito male, la situazione è:
ditta X in housing da Provider Y
(solo esclusivamente housing?)
ditta X Titolare del trattamento  --->ok
Provider Y effettua comunque un trattamento (anche l'archiviazione es.
housing ricade come definizione nei trattamenti)
Se la ditta X ti nomina come Incaricato (ma sarebbe meglio una nomina a
Responsabile) devi sottostare alle misure minime di sicurezza stabilite dal
Titolare ovvero dalla ditta X stessa, per quello specifico trattamento, su
istruzioni scritte e dettagliate del titolare.
Spiego perchè secondo me è meglio la nomina a Responsabile:
1- Effettui il trattamento (housing) in una struttura che non è quella del
Titolare
2- Hai sotto di te (sei una società presumo) una struttura organizzata.
3- hai la possibilità (in delega) di nominare gli incaricati del trattamento
relativamente ai dati della ditta X
Poi rimane la faccenda dell'accesso alle banche dati ospitate sul server in
hosting, anche se si tratta di semplice manutenzione. Vedi di fartelo
definire per bene che i casini saltano fuori non ora ma quando
effettivamente succede qualcosa.
Per quanto riguarda invece il tuo di DPS, occhio che i dati sensibili
(adesione a sindacati, stati di salute, ecc) saltano fuori quando meno te lo
aspetti dalle buste paga :)
my 2 cents
ale