Newsgroup: it.diritto.internet
Titolo: Documento programmatico sulla sicurezza

Ciao a tutti,
una ditta individuale (senza dipendenti) è obbligata a stilare il 
Documento Programmatico sulla Sicurezza?
Gli unici dati che vengono trattati sono quelli relativi alla 
fatturazione verso i clienti, privati ed aziende.
Grazie mille
Mattia.


** Se non vengono trattati dati sensibili o giudiziari, no.
Ferma restando la necessita' di predisporre tutte le altre misure di
sicurezza.
Un saluto.
-- 
Daniele Minotti
dan...@minotti.net

 sicurezza.
Ok, allora non mi è chiaro quali sono i dati sensibili...
Io tengo solo nome, cognome (ragione sociale), indirizzo, cap, città, 
codice fiscale (partita IVA)...
Ciao,
Mattia.

 codice fiscale (partita IVA)...
** La definizione e' questa (art. 4, lett. d), d.lgs. 196/2003)
* "dati sensibili", i dati personali idonei a rivelare l'origine razziale ed
etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni
politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a
carattere religioso, filosofico, politico o sindacale, nonché i dati
personali idonei a rivelare lo stato di salute e la vita sessuale;*
Il caso concreto non rientra in questa definizione.


 personali idonei a rivelare lo stato di salute e la vita sessuale;*
Questa distinzione pare chiara e semplice e per quanto rigurda la
semplice tenuta di dati contabili risolve il problema posto, però mi è
sorto questo dubbio: la dicitura "idonei a rivelare" è sinonimo di
"supporre" o "riconducibili a"?
Si può collegare questa definizione al lungo thread di tempo fa sull'IP ?
Ossia: sul mail server vedo che il signor Pino riceve sempre una
newsletter chiamata, ad es, "superfetish", quindi io immagino le
inclinazioni del signore in questione.
A sto punto, qualunque mail server (anche aziendale) tratterebbe dati
*sensibili* ?
E se uno mette su una mailing list politica ?
Spero di no !
Gabriele

sicurezza.
In effetti è obbligatoria l'adozione delle misure minime entro il 30
giugno, se uno non è in grado di rispondere a tutte le condizioni deve
redigere un documento con le ragioni da conservarsi presso la
struttura e ha un altro anno di tempo per adeguarsi.
Sto facendo una sintesi della legge e stavo proprio in questo momento
valiando le disposizioni transitorie. Da quello che si evince
dell'articolo 180 sembra che una sorta di documento programmatico,
limitato alle misure minime, sia obbligatorio se non si rispettano i
livelli minimi.
Andrea
 

 giugno
Quali sono esattamente queste "misure minime"?
Sono documentate?
Ciao
Mattia

E se uno mette su una mailing list politica ?
In questo caso rimane assodato che i dati che trattera' si
classificheranno come *sensibili*, ed essendo questi trattati con
strumenti elettronici, allora necessita la redazione del *documento
programmatico*.
E' opportuno ricordare che il documento piu' importante e comunque
indispensabile e' la cosidetta *informativa*, cioe' un documento da
consegnare (anche telematicamente) all'*interessato* dove si
esplicitano chiaramente gli scopi per i quali si raccolgono i dati
personali, ed a quali *trattamenti* vengono sottoposti.
Se si tratta di *dati sensibili*, allora nella stragrande maggioranza
dei casi e' indispensabile ottenere il *consenso* scritto.
Un'attenta lettura del decreto legislativo, anche limitatamente alla
PARTE I - DISPOSIZIONI GENERALI (dall'art. 1 all'art. 45) puo' essere
sufficiente per comprendere l'essenza della norma.
Le voci che ho riportato tra * sono dettagliate sia in definizione che
in modalita'.

avv. Daniele Minotti ha scritto:

Non mi sembra così:
Art 34 punto "g" della 196/03.
Da questo articolo si evince che basti un trattamento di dati personali 
per far scattare l'obbligo dell'adozione di un DpS.
Ciao

 Ciao
Ovviamente sto dando per scontato che tale trattamento avvenga con 
strumenti elettronici, altrimenti l'obbligo del DpS per i dati personali 
decade.
Ciao

per far scattare l'obbligo dell'adozione di un DpS.
E' una delle due letture, quella che fa prevalere l'articolo 34
sull'allegato tecnico. Chi propende per questa lettura dice che il
corpo della legge ha la prevalenza su un allegato tecnico (es uff
privacy CCIAA di PD).
Io per prudenza lo farei comunque, infatti si dice, come fai a sapere,
e dimostrare,  di non avere dati sensibili se non fai un inventario ?
Gli stessi che fanno una lettura restrittiva dicono di fare attenzione
alla "data certa".
Io mi sto concentrando anche sull'art 27 dell'allegato B che obbliga
nelle misure minime a dare compiti scritti per i trattamenti e
incarichi di custodia. Non ho capito se nessuno ne parla perché è
ovvio o perché sta passando inosservata. in parte sto integrando il
DPS e in parte è in una relazione allegata.
Andrea


Il Garante ha fatto luce sulla questione con un parere del 22/3/2004
"Obblighi di sicurezza e documento programmatico: al 30 giugno la
redazione del dps".
Al punto 2.2 si legge testualmente:
"In base al nuovo Codice, la misura minima del DPS deve essere ora
adottata dal titolare di un trattamento di dati sensibili o giudiziari
effettuato con strumenti elettronici, <omissis>"
Il testo completo e' sul sito del Garante
http://www.garanteprivacy.it

 effettuato con strumenti elettronici, <omissis>"
Quanto hai riportato è perfettamente corretto ma si apre, come già 
segnalato più volte, un problema di fonti giuridiche: un parere del 
Garante non può modificare un articolo del Decreto così come 
giuridicamente non era possibile che il Garante spostasse con un 
semplice comunicato al 30 Giugno una scadenza indicata al 31 Marzo nel 
testo della 196/03.
Alcune interpretazioni vogliono che il testo della legge faccia fede più 
di un allegato tecnico (come scritto due post più in alto) ma una 
lettura alternativa dell'obbligo del DpS vuole che esso venga redatto e 
aggiornato in caso di trattamento di dati personali (art.34) e che sia 
aggiornato periodicamente *entro il 31 Marzo* nel caso di trattamenti di 
dati sensibili (Allegato B punto 19  e sottopunti). L'informazione in 
più tra il punto 19 dell'Allegato B e l'articolo 34, secondo questa 
interpretazione, starebbe nel precisare la data entro cui aggiornare il 
documento.
Mi sembra quindi che il Comunicato del Garante, più che fare chiarezza, 
aggiunga ulteriore confusione.
Segnalo inoltre che non è il Dps a necessitare della data certa ma solo 
il documento in cui si giustifica l'omessa adozione al 30 Giugno delle 
misure minime.
Saluti

Vorrei far notare che per quanto il D.L. sia davvero molto confuso una
cosa importante salta subito all'occhio...il DPS è una delle
cosiddette "misure minime di sicurezza", e come misura minima è
richiesta la sua applicazione a CHIUNQUE tratti dati, sensibili e non.
Sostanzialmente la grossa differenza tra chi tratta dati sensibili e
chi invece tratta dati generici sta nell'obbligo per i primi di
notificare ogni successivo trattamento dei dati sensibili in
questione, con un'apposita procedura (non ho approfondito troppo il
discorso poiché fortunatamente non è il mio caso...ma se sembra
complesso cercare di estrapolare il DPS dal decreto legge, applicare
la procedura per la notifica del trattamento dei dati sensibili sembra
una vera follia...ma insomma...questi pool di esperti che passano le
giornate a inventare i sistemi più complicati e ridicoli per portare
la legge al passo con i tempi da dove li pescano?).
Le misure minime di sicurezza sono a mio avviso una buona idea, e
nella prospettiva di un mercato del lavoro sempre più
"elettronico/informatico" necessarie. E' piuttosto deprecabile la
scelta adottata dal garante della privacy (si, con le lettere
minuscole, perché fino a quando non si decide a far bene il suo lavoro
non merita rispetto!!!! ), che porta un DL confuso e REPRESSIVO in un
ambito che piuttosto aveva la necessità di chiarezza e semplicità.
Mi spiego meglio: SERVIVANO LINEE GUIDA, CONSIGLI e magari almeno UN
MALEDETTO MODULO DA COMPILARE CON RELATIVO PRONTUARIO DI NORME DI
SICUREZZA DA SEGUIRE e invece ad oggi, sul bel sito del garante non
troviamo che farfugliamenti e materiale inutile che condisce un DL
incomprensibile (già stanno parlando di un qualcosa che per la media
dei lavoratori è effettivamente difficile, come crittografia,
autenticazione informatica, firewall e antivirus poi lo mettono in
"legalese" così non ci capisce più nulla nessuno).
Qualcosa si trova effettivamente, ma cavolo, è 2 settimane che cerco
su forum e siti, immagino quante piccole aziende saranno disperate, e
dovranno obbligatoriamente rivolgersi all'esterno con relativo esborso
economico (non tutti possono permettersi "il pool" di esperti ).
Troppe volte ultimamente il governo ci ha fatto vedere che alla
formazione predilige la punizione...


Una domanda: per l'origine razziale ed etnica non basta il cognome???
Oppure (caso concreto): ho un fornitore i cui figli si chiamano isacco, 
samuele e giacobbe (non è uno scherzo...): non vedo nessuna difficoltà a 
capire le tendenze religiose del signore.
Capisco che siano casi limite, però vista la delicatezza della materia 
mi preoccuperei un tantino.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.