Newsgroup: it.diritto.internet
Titolo: DPS e sito ecommerce

Ho un piccolo sito ecommerce (oscommerce) per intenderci che lavora su
server in hosting.
Non tratto dati particolari: nome, cognome, codice fiscale, indirizzo,
email e numero di telefono e note agli ordini.
Sui pc da cui mi collego al sito ho win xp con antivirus e firewall. I
backup li salvo (ogni tanto) su cd crittati 128 bit.
Sui pc locali ho un normale gestionale con cui faccio le fatture per le
vendite "fisiche".
La ditta da cui prendo i programmi mi propone il dps (e vuole soldi),
il commercialista traccheggia...
Che devo fare nella mia situazione?? E' obbligatorio il dps? Devo
adottare altre misure di sicurezza? Visto che i dati li tiene il
provider del sito... devo chiedergli qualcosa?
Mi sapete aiutare?
Grazie a tutti...
disperata nina


Che i dati li tenga il provider sul sito e' irrilevante, ne sei titolare tu
quindi devono comparire nel *tuo* DPS (se fai il DPS). Comunque SI, devi
chiedergli qualcosa: Punto 25 dell'Allegato B (o Disciplinare Tecnico):
  Misure di tutela e garanzia
25. Il titolare che adotta misure minime di sicurezza avvalendosi di
soggetti esterni alla propria struttura, per provvedere alla esecuzione
riceve dall'installatore una descrizione scritta dell'intervento effettuato
che ne attesta la conformità alle disposizioni del presente disciplinare
tecnico.
In altre parole SE il provider e' effettivamente colui che interviene
tecnicamente sulla macchina, sara' il provider a dover certificare la
conformita' della macchina o meglio dei propri interventi alla normativa
(almeno per la parte di sua competenza).
In generale questo link della Camera di Commercio di Milano dovrebbe darti
una carrellata generale sulla problematica conformita' al d.lgs.196/2003 (e
se vuoi anche un servizio per la generazione e manutenzione nel tempo del
DPS):
 
http://www.cedcamera.it/index.phtml?Id_VMenu=199
-- 
AB

 Grazie a tutti...

 
Ni: in realta' art. 34 punto g del codice dice che il DPS va tenuto 
da chi tratta dati personali con strumenti elettronici (non distingue fra
comuni e sensibili).  E' il punto 19 dell'allegato B che poi sembra
indicare che tale obbligo sia riferito solo a chi tratta dati sensibili o
giudiziari... e quindi la cosa va interpretata (adoro i legislatori!).
Analisi piu' dettagliata di questa incongruenza sul sito della Canera di
Commercio di Milano:
 
http://www.cedcamera.it/index.phtml?Id_VMenu=251
-- 
AB

       
http://www.cedcamera.it/index.phtml?Id_VMenu=251
Come già detto milioni di volte, questa diatriba è stata risolta da un
parere del Garante, ed ha ragione guanche.
Quelli che sostengono l'obbligatorietà del DPS per tutti sono gli stessi che
ci lucrano sopra.



Ma se io gestisco un Forum, dove per registrarsi bisogna fornire alcuni
dati personali, e lo gestisco per vendere spazi pubblicitari, sono tenuto a
seguire questa normativa?
Il sito sarebbe in hosting.
Ho letto il documento sul sito della CC di Milano, ma mi sembra più che
altro una pubblicità al servizio NetPrivacy :-) ... in concreto che cosa
bisogna fare?
Questo DPS che cos'è ? si tratta di quella informativa legale che si trova
in alcuni siti, da leggere, prima di aderire a certi servizi? E' una cosa
simile a queste?
In concreto quali sono i passi da seguire? si tratta di scrivere un testo o
di registrare, autenticare, notificare etc... qualcosa a qualcuno?
saluti
S.

 di registrare, autenticare, notificare etc... qualcosa a qualcuno?
leggi il post di guanche

 giudiziari... e quindi la cosa va interpretata (adoro i legislatori!).
Ormai il punto è abbastanza confermato, DPS solo per dati sensibili
trattati con strumenti elettronici, l'interpretazione è decisamente
prevalente.
-- 
 Candido - 
http://candido2k.blogspot.com/

Fotografando un lampione il Wed, 11 Jan 2006 12:44:00 GMT, Candido ha
scritto:

cosa si intende per dati sensibili?
ciao
S.

 leggi il post di guanche
grazie
ma secondo te sono cose che posso seguire io, o come è scritto nel sito
della CC di Milano, sono talmente complesse e specialistiche da richiedere
chissà quali competenze tecnico giuridiche e da doversi rivolgere a
qualcuno esternamente (ovviamente loro consigliano caldamente il loro
servizio a pagamento)?
Per DPS cosa si intende precisamente? si tratta di un'informativa da
predisporre e rendere visibile agli utenti del sito?
ciao
S.

 parere del Garante, ed ha ragione guanche.
avresti un riferimento?
grazie
Ciao
-- 
Stefano Zamboni - 
zam...@freemail.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.

 decreto.
Questo non è pacifico.
Si potrebbe, come molti fanno, definire il soggetto esterno quale autonomo 
titolare cui i dati sono comunicati (ma ciò deve essere specificato 
nell'informativa).
La nomina di responsabile comporta obblighi di sorveglianza e controllo che 
in concreto potrebbero non essere esperibili.
D'altronde se nominassimo responsabile il commercialista o l'avvocato 
avremmo un potere di accesso ai rispettivi studi per verificare il concreto 
rispetto delle norme in materia di trattamento dei dati personali. Ciò 
creerebbe problemi sia sotto il profilo del segreto professionale sia per 
quanto concerne la privacy medesima posto che il mio commercialista non 
tratta solo miei dati ma anche quelli di altri soggetti.
Meglio, allora, regolare il rapporto con il soggetto esterno con clausole di 
assunzione di responsabilità più che con la nomina di soggetto responsabile.
E poi... avete mai provato a nominare la vs banca responsabile del 
trattamento dei Vs dati?
Ciao
Paolo 

 cosa si intende per dati sensibili?
Direi che ti coviene leggere con calma il decreto, lě troverai molte
risposte alle tua domande, compresa la definizione di dato sensibile.


 rispetto delle norme in materia di trattamento dei dati personali.
Nemmeno per sogno, ci mancherebbe altro che bastasse un nomina ad
capocchiam per poter accedere allo studio di un professionista... :)


 risposte alle tua domande, compresa la definizione di dato sensibile.
ti ringrazio... lo farò.
Ma una semplice denuncia di Tizio formulata nel modo: "la dittà X,
responsabile per i miei dati personali inseriti nel sito Y, non ha messo in
atto tutte le procedure per tutelarli secondo quanto stabilito dal decreto
Z" è sufficiente per fare partire un procedimento giudiziario nei miei
confronti (considerato che il decreto stabilisce che sono io a dover
dimostrare di avere messo in atto tutte le procedure e le verifiche per...
e non Tizio a dover dimostrare il contrario) ?
ciao
S.

> avresti un riferimento?
Già dato anche questo, leggete i vecchi post
http://www.garanteprivacy.it/garante/doc.jsp%3FID%3D771307

 e non Tizio a dover dimostrare il contrario) ?
Non direi... Ti pare che si possa fare una denuncia in quel modo? :)


Fotografando un lampione il Wed, 11 Jan 2006 18:41:21 GMT, Candido ha
scritto:

Beh... a ragion di logica no, ma poichè in giro di logica se ne vede poca e
certe persone hanno la denuncia facile, è meglio preventivare il peggio :)
Se l'onere della prova spetta a me (o al denunciato), di conseguenza Tizio
può denunciarmi anche senza dover dimostrare quello che va affermando 
Es. potrebbe dire che i suoi dati personali sono passati a Caio, in quanto
Caio ne era a conoscenza... mentre magari Caio li ha saputi dall'amico di
Tizio... e in questo caso dovrei dimostrare io l'impossibilità, non
assoluta certo, ma ragionevole, che quei dati non potevano in alcun modo
pervenire a Caio.
S.


Sono d'accordo, infatti il sito della CC di Milano non sostiene
l'obbligatorieta' del DPS, ne sostiene la *opportunita* (che e' una cosa
diversa). E come tutte le cose su base opportunistica ognuno e' poi libero
di fare le sue scelte e ci mancherebbe altro!
-- 
AB

 capocchiam per poter accedere allo studio di un professionista... :)
eheheheh appunto:)
Concordi con me che la nomina indiscriminata di responsabili esterni 
potrebbe non servire a nulla se non a peggiorare la posizione del titolare 
del trattamento?
E poi continuando con gli esempi.... avete mai nominato le diverse società 
di spedizione responsabili del trattamento? Cosa facciamo..... diciamo al 
portapacchi di firmarci la nomina di responsabile?:ppp o faxiamo la nomina 
all'amministratore della società... aspettiamo che firma.... che rimanda il 
fax e poi richiamiamo l'addetto ai trasporti?:ppp
Ciao
Paolo 

 del trattamento?
Mi pare proprio inesistente come nomina.. :) Il commercialista o
l'avvocato avranno dei propri responsabili, non centrano nulla con
l'azienda, mi pare.. :)


 può denunciarmi anche senza dover dimostrare quello che va affermando
 
E rischiare una condanna al pagamento di spese e danni, se non un'accusa
per calunnia? :)
Per raccontare barzellette a un giudice bisogna essere molto (molto)
bravi, oppure non avere nulla da perdere, oppure avere molti soldi e
tempo da perdere...


 l'azienda, mi pare.. :)
Infatti, ma qui c'è una corsa indiscriminata alla nomina di responsabili 
esterni..... senza comprendere gli effetti che ciò può comportare in capo al 
titolare del trattamento.
Candido, visto che anche tu mastichi di privacy... hai letto l'articolo di 
Briganti sulle comunicazioni commerciali che potrebbero non costituire 
spamming senza il previo consenso del destinatario (il mittente indicherebbe 
solo i propri dati generici e al massimo l'attività svolta chiedendo il 
consenso all'invio di successive comunicazioni)?
Che ne pensi?
Ciao
Paolo 

 Che ne pensi?
Che a rigore manca il consenso, perň ci potrebbe stare
un'interpretazione piů rilassata...
