Newsgroup: it.diritto.internet
Titolo: E-Commerce e DPS

Ciao a tutti esperti del diritto.
Qualcuno di voi mi spiega se la mia ditta individuale è soggetta al DPS?
Mi occupo di un piccolo E-commerce, ci lavoro solo io, non ho dipendenti, ho
semplicemente una sede legale, ovvero la mia residenza, e un magazzino in
affitto dove tengo la merce, dal quale partono le spedizioni.
Il lavoro avviene tramite il mio pc portatile ed occasionalmente da quello
fisso, ma nessun dato è presente sul pc fatta eccezzione per le fatture di
vendita, dove ovviamente sono indicati i dati dei clienti.
Il pc è accessibile esclusivamente con la password di windows.
Nel mio sito sono registrati i clienti, con i loro dati personali, che mi
servono per la fatturazione e spedizione.
Il sito non risiede sul mio pc ma su un server dove risiede il dominio,
quindi in realtà i dati dei clienti sono accessibili solo da me e
eventualmente dal provider, con relativa password!
Le vendite avvengono dal mio sito internet, e da Ebay occasionalmente.
IL DPS mi riguarda oppure no? Cosa devo fare per essere in regola?
Grazie

 Grazie
Prego.
L

 ha scritto nel messaggio
Hai un indirizzo di posta elettronica?
Io ti mando una mail con un curriculum è riportato il mio stato di
salute.
Arriva la GdF. Tu ancora non l'hai cancellato.
Direi che potrebbe contestarti qualcosa...
=============================
Ok grazie per la preziosa risposta.
Io non devo assumere nessuno, nessuno mi deve inviare dei Curriculum, fino a
che punto sono soggetto al DPS?
La mia posta elettronica è protetta da password di accesso, nessun altro
all'infuori di me, accede al PC, gli unici dati, sono i dati personali che
mi servono per la fatturazione e la spedizione.
Cosa mi si potrebbe contestare?

poveroscalzo ha scritto:

Mi sembra un po' eccessivo.. allora chiunque ha un indirizzo di posta 
elettronica deve fare il dps perché qualcuno potrebbe inviargli dati sulla 
sua salute?
"Ciao, allora va bene per la cena di stasera ma ricordati che sono allergico 
alle quaglie..."
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Si dice che gli americani buoni quando muoiono vanno a Parigi mentre
quelli cattivi rimangono in america.
		-- Oscar Wilde


Ammesso che tu non debba fare il DPS sei comunque soggetto al
d.lgs.196/2003. Quindi qualunque Autorita' Costituita puo' scegliere fra
altre 28 misure "minime" ed un numero non dico infinito, ma almeno non
misurabile a priori, di misure "idonee" (che saranno valutate caso per caso
in sede di giudizio).
Giusto a titolo di esempio: ti entrano in ufficio e ti rubano il PC o le
fatture o le bolle di spedizione (o tutte e tre le cose) e il buontempone
ci fa qualcosa di "buffo" con i dati personali che sono sul PC o sulla
carta. 
Oppure a causa del furto (o incendio o allagamento) non riesci a far
ripartire la tua attivita' in tempi "idonei" a proteggere i diritti dei
tuoi clienti o fornitori. Per esempio non riesci a spedire o fatturare o
pagare. Perche' attenzione, la riservatezza dei dati e solo un aspetto e
non il piu' importante. La loro disponibilita' e integrita' lo e' di piu'.
Potrebbe essere che qualcuno entri nel merito se avevi rispettato le misure
minime e se avevi preso misure "idonee" a proteggerti da furti, incendi,
allagamenti, errori materiali, guasti del PC, etc. etc.
Con o senza un DPS.
-- 
AB

 sua salute?
Io ho il raffreddore.
Adesso siete tutti fregati! Tutti gli utenti di usenet devono fare il
DPS perché scaricando questo messaggio stanno trattando un mio dato
sensibile! Ho appena assunto una pastiglia di Tachipirina!
Etciù!
-- 
 Candido - 
http://candido2k.blogspot.com/

 allergico alle quaglie..."
Secondo l'art. 5 punto 3 essendo una persona fisica e trattando i dati 
solo per fini personali non sarebbe oggetto del disposto del codice...e 
uno tira un bel sospirone di sollievo :) ma...
ma si applicano comunque le disposizioni in tema di responsabilità (art. 
15) in caso di danni cagionati per effetto del trattamento e di obbligo 
di utilizzare idonee misure di sicurezza (art. 31).
Se un amico ti manda un SMS in cui ti comunica che ha preso la sifilide 
e tu perdi o ti rubano il telefonino è meglio se ti dai alla macchia.
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 IL DPS mi riguarda oppure no? Cosa devo fare per essere in regola?
Applica le misure minime di sicurezza, IMHO non sei obbligato a redigere 
il DPS.


 allagamenti, errori materiali, guasti del PC, etc. etc.
E se mi sparano e mi rubano il pc? Ma che idiozie sono?
Se fanno un attentato e io passo di li con il portatile? Il portatile salta
in aria come faccio a fare le spedizioni, io miracolosamente mi salvo eh!
Ma ci rendiamo conto che siamo ai limiti dell'idiozia?
Come faccio a impedire che qualcuno mi rubi il pc? Se entra un commando di 7
uomini armati in casa e mi ruba le fatture, cosa succede? Arriva la Gdf e mi
fa la multa? Ma dai...

 succede? Arriva la Gdf e mi fa la multa? Ma dai...
Vigilantibus, non dormientibus, jura succurrunt.
Tradotto: l'imprenditore non lo si fa alla sperindio. 

 Cosa mi si potrebbe contestare?
Mancate misure minime di sicurezza.
Decreto legislativo 30 giugno 2003, n. 196 - Codice in materia di
protezione dei dati personali
PARTE I  - DISPOSIZIONI GENERALI
Titolo V - SICUREZZA DEI DATI E DEI SISTEMI
CAPO II - MISURE MINIME DI SICUREZZA
Art. 34. Trattamenti con strumenti elettronici
1. Il trattamento di dati personali effettuato con strumenti
elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure
minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di
autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del
trattamento consentito ai singoli incaricati e addetti alla gestione o
alla manutenzione degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a
trattamenti illeciti di dati, ad accessi non consentiti e a determinati
programmi informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il
ripristino della disponibilità dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per
determinati trattamenti di dati idonei a rivelare lo stato di salute o
la vita sessuale effettuati da organismi sanitari.

la vita sessuale effettuati da organismi sanitari.
Nessuno lavora con me, lavoro da solo.
Posso scrivere IN CHIARO che a volte soffro di diarrea o č un illecito??

 succede? Arriva la Gdf e mi fa la multa? Ma dai...
Devi avere delle misure di protezione (i dati devono stare sotto chiave).
Non ti fanno la multa se dimostri che avevi provveduto a tutelare i dati 
adeguatamente. Se non hai neppure l'antivirus ed il firewall nel PC 
allora...
-- 
Saluti.
Stefano.
mailto:
scardovi
(a)
gmail.com
http://scardovi.blogspot.com
 


-- 
AB

 procedure di sicurezza??
E deve avere data certa.


 Ho appena assunto una pastiglia di Tachipirina!
Io preferisco la supposta (se proprio non si puo' lo sciroppo) perche' non 
riesco a deglutire le pastiglie. Una volta per farmi la vaccinazione 
antitifica provarono con un'ostia tipo quelle consacrate per la Comunione 
che ricevo tutte le domeniche in Chiesa.
Ora oltre allo stato di salute ci sono anche indicazioni riguardo alla 
religione. Google deve criptare tutti i server e dare accesso solo con 
username e passwerd!


 E deve avere data certa.
Come la certifico? Me lo spedisco con una raccomandata? :-)

 motivo).
Le fatture, stanno dalla commercialista e sono cartacee, poi non ti
preoccupare! Se non le pago, il fornitore si lamenta e l'importo me lo dice
lui.
Il legislatore lo sa questo? .-)


Ah io non mi preoccupo sai? 
Tu hai fatto una domanda, ti abbiamo (io ed altri) fornito risposte
mediamente competenti e per di piu' "agratis". Non ti piace la risposta e
ti lamenti con noi per una legge oltretutto che e' l'implementazione
nazionale di una direttiva europea?  Ma guarda te!
Un ultimo spunto di meditazione e poi qui "ti mollo" vista la scarsa
gratitudine:
- dove stiano i documenti poco importa (dal commercialista, sul server
XYZ, ...). Il "titolare del trattamento" e' la tua impresa, tu ne rispondi
davanti alla Legge.
- che i dati personali siano su supporti cartacei od elettronici sempre dati
personali sono ed esposti a rischi di diversa natura, ma pur sempre a
rischi.
- I documenti prima di arrivare dal tuo commercialista passano da te. Se
sono compromessi prima di arrivarci dal commercialista? O gli succede
qualcosa dal tuo commercialista? Che differenza ti fa? Il tuo
commercialista e' perfetto?
- Poi ti prego: fammi diventare un tuo fornitore! Fra 60/90 giorni ti dico
io di quanto era la fattura che mi dovevi pagare!!!!!!! ;-)))
Addio.
-- 
AB

 Addio.
E' troppo presto per morire, credo.

 E deve avere data certa.
Questo non mi pare proprio sia previsto.


 e tu perdi o ti rubano il telefonino č meglio se ti dai alla macchia.
Sě, buona notte.
Aggiungete una crocetta al Comitato di Liberazione dalla "Legge sulla
praivasi", per favore. :-P


 che ricevo tutte le domeniche in Chiesa.
Io le pastiglie le prendo anche senz'acqua... :-)


 Come la certifico? Me lo spedisco con una raccomandata? :-)
La affranchi, vai in posta e ti fai annullare i francobolli. E' la piu' 
semplice ed economica.


 Questo non mi pare proprio sia previsto.
Cosi' dissero a me.


 Io le pastiglie le prendo anche senz'acqua... :-)
Beato te.


 ha accesso ai dati ed e' responsabile della manutenzione del server.
E cosa si dovrebbe verificare con loro?
Se poi alla fine sono io il responsabile loro se ne lavano le mani? O devono
fare anche il loro il DPS?

 Cosi' dissero a me.
Lo so, sono in molti a dirlo, però non è prevista da nessuna parte. Se
la data certa fosse stata necessaria, sarebbe stata espressamente
richiesta. Ove non è espressamente richiesta essa non è necessaria. :-)


 Grazie
Brevissimamente (vedo che hai già ricevuto molte risposte): il dlgs
196/2003 riguarda praticamente tutti coloro che svolgono un'attività
economica, quindi non gli amici che si informano riguardo il proprio
stato di salute/allergie; ad ogni modo, riguarda anche te.
Sul fatto che il DPS sia realmente obbligatorio o no ci sono alcune
finezze che puoi leggere in giro sui forum, fatto sta che ti conviene
farlo comunque, per tua tutela e perchè se ti fai fare una consulenza
al riguardo da chiunque questo chiunque DEVE rilasciarti una
documentazione scritta e a questo punto tanto vale che sia quella
prescritta invece che una a caso. Idem per la data certa: non è
strettamente prescritta, o quantomeno la cosa è controversa, ma ci
vuole un attimo per andare in Posta ed averla a modicissimo prezzo...
Per quanto riguarda infine i trattamenti dei dati svolti da soggetti
terzi (come il commercialista o il tuo provider) è evidente che questi
trattamenti dovranno ricadere sotto la responsabilità dei terzi, i
quali a loro volta dovranno dotarsi delle misure minime (e di quelle
idonee... come descritto nel testo della legge può essere quasi
tutto). Su questo punto ti sottolineo ancora come è tuo interesse
avere il tuo DPS con scritto dettagliatamente come fai le cose a norma
TU, compresa la trasmissione dei dati ai terzi (ovviamente lo farai a
norma): da questo punto in poi non è più una tua responsabilità,
anche se sarebbe un'ottima cosa avere una letterina da ogni fornitore
il quale ti assicura che applicherà la legge a sua volta. Letterina da
archiviare insieme al DPS. A proposito, il DPS va rinnovato ogni anno
entro il 31 marzo: hai tutto il tempo per provvedere senza patemi
d'animo.
ciao

 devono fare anche il loro il DPS?
Se loro ricevono l'incarico da te non possono lavarsene le mani.


 
No un momento Stefano, stiamo facendo un errore "tecnico".
Da d.lgs. 196/2003: 
. un "incarico" puo' essere dato solo a persone fisiche;
. una "responsabilita'" puo' essere data a persone fisiche o giuridiche. 
Quindi ad una ditta come il tuo commercialista (tipicamente una Individuale
o Sas o Snc) o chi ha il server esterno (tipicamente una Srl o una Spa)
puo' essere solo nominato "responsabile" di un trattamento. 
Questo ha una logica (va bene tutto, ma il legislatore del tutto sprovveduto
non e'). Non c'e' un rapporto gerarchico fra te ed il tuo fornitore; non
puoi dargli *ordini* . In qualita' di Responsabile (Esterno) del
Trattamento, il tuo fornitore decidera' in autonomia come essere conforme
alla normativa. Se non lo e', potrai solo decidere di cambiare fornitore.
Non potrai "imporgli" alcunche'.
-- 
AB


Non e' proprio cosi'.
Mi riferisco all'art. 29 del Codice, commi 4 e 5, che dicono:
...
4. I compiti affidati al responsabile sono analiticamente specificati per 
iscritto dal titolare.
5. Il responsabile effettua il trattamento attenendosi alle istruzioni 
impartite dal titolare il quale, anche tramite verifiche periodiche, vigila 
sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle 
proprie istruzioni.
...
Solamente nel caso che il fornitore fosse un Titolare lui stesso e sugli 
stessi dati, allora non si avrebbe possibilita' di imporre alcunche'.
Particolare attenzione, quindi, si deve porre sia alla scelta (comma 2) sia 
al controllo del Responsabile (comma 4 e 5). Questo per evitare di 
incorrere, eventualmente in quella che in termini giuridici si potrebbe 
configurare come "culpa in eligendo" (scelta di un incapace, per esempio) e 
"culpa in vigilando" (lascio fare senza controllo). 

guanche wrote:

Sulla "culpa in eligendo" sono abbastanza con te. Si applica anche ad un
fornitore esterno. Su quella "in vigilando" su un fornitore esterno sono
piu' legato. Posso fare controlli di alto livello, tuttavia se il fornitore
non ottempera tutto quello che posso fare e' cambiare fornitore, non posso 
io piccolo imprenditore dire a Telecom SpA o a FastWeb *come* fare una cosa
o *quale* *server* comprare per darmi un servizio. Posso solo, se non sono
d'accordo, andare da un altro. Era questo che intendevo--niente di piu'
sofisticato. 
Se invece (solo un esempio) il server e' mio, e' in casa mia ed e' gestito
da mio personale, il controllo e' totale. Le procedure le scrivo io, gli
ordini li do io, i controlli li eseguo io. Se non mi va bene la gente la
spedisco a casa io o compro un altro server o un altro software o sposto il
server in un altro posto.
-- 
AB

 decidere di cambiare fornitore. Non potrai "imporgli" alcunche'.
In ogni caso le responsabilita' civili e penali del mancato rispetto saranno 
solo sue vero?


 saranno solo sue vero?
Se hai debitamente informato il proprietario dei dati personali, ed egli non 
si oppone a che i dati siano trattati da un terzo. Il quale terzo dovrà 
informare, direttamente o tramite te, delle modalità di trattamento dei 
dati.
Ma se dimentichi d'informare che i dati sono dal commercialista o da chissà 
chi, chi è il commercialista, ecc. ecc., sei convinto di cavartela a 
posteriori?

 cavartela a posteriori?
Quindi dovrei preventivamente informare il cliente su chi e' il postino che 
prendera' in mano il pacco con il suo nome?


 postino che prendera' in mano il pacco con il suo nome?
Se spedisci una camicia e il postino vende il dato a un'agenzia di
pubblicità per camiciai la responsabilità è tua, se non informi che spedirai
via poste italiane e se non sai quali precauzioni prendano le poste
italiane. Devi preoccuparti dei dati del cliente almeno quanto ti preoccupi
della sua camicia.