Newsgroup: it.diritto.internet
Titolo: Chiarimenti misure minime Privacy

Ciao ragazzi,
premetto che mi occupo di altro (sviluppo software), ma avrei bisogno di 
una serie di informazioni.
Due amici mi hanno chiesto di aiutarli a verificare se le misure minime 
che loro hanno adottato sono conformi a quanto previsto dalla 196/03.
La situazione è questa:
1) Studio tecnico-ingegneristico con un solo titolare.
Si avvale della collaborazione di persone esterne (che gli emettono 
regolare fattura) ed occasionalmente di praticanti all'esercizio della 
professione di geometra e simili.
Nello studio sono presenti 4 computers collegati in rete.
I dati sono rappresentati dai documeti prodotti nell'abito del lavoro 
richiesto dai clienti (visure, progetti, fatture ecc...) e sono presenti 
su uno dei computer in una cartella condivisa dalla rete.
I miei dubbi sono i seguenti (ovviamente parecchi vertono sul lato 
informatico per il quale mi hanno chiesto un significativo aiuto):
-Il trattamento non avviene con mezzi specifici, ma i dati sono presenti 
sui documenti prodotti, quindi diciamo che lo strumento elettronico per 
il trammamento è un Elaboratore di Testi.
In merito ai punti dall'1 all'11 dell'allegato B  è sufficiente per i 
collaboratori la password di Windows? In pratica ogni collaboratore ha 
un account con associata la sua password e questo non gli consente di 
accedere alle cartelle degli altri account. Ma ha necessariamente 
bisogno di accedere alla cartella condivisa.
Individuando dei profili di accesso, (per esempio, il praticante 
potrebbe accedere solo ai disegni e non alle fatture) come vi 
comportereste voi? Dividereste in due l'archivio? La un progetto è 
comunque un dato personale in qaunto su di esse sono presenti il nome, 
cognome, indirizzo dello stabile e, in qualche misura, si potrebbe anche 
intuire la situazione patrimoniale del titolare della costruzione.
Riassumendo: non hanno un software che gestisce i dati, una Elaboratori 
di Testo e programmi CAD. Le password le hanno messe a Windows. E' 
sufficiente? Proteggere l'accesso al sistema operativo e poi lascire la 
possibilità di accedere all'archivio è con controsenso?
-Le password dei collaboratori. Le devono conosce solo loro? O il 
titolare le può sapere? In fondo i computer ed i dati trattati sono i 
suoi, possibile che non può puù accedere ai suoi dati? Come ci si 
comporta in questo caso?
-La contabilità dello studio viene tenuta, a titolo gratuito, dal papà 
del titolare (ormai in pensione). Questa cosa và in qualche modo 
regolarizzata? Il suo nome và quindi incluso nel DPS?
-Informativa sulla Privacy. Questa doveva essere già presente da tempo. 
Come ci comporta con i vecchi clienti? Vanno chiamati per fargliela 
firmare? Se si, per le pratiche fino a che data?
Questo è primo scenario.
2) Questo è l'altro amico, ma la situazione è più facile.
Studio geometra. Un computer solo, un titolare solo, i dati gestiti sono 
come quelli sopra.
Le misure di sicurezza devono essere le stesse? Anche se nessun 
collaboratore o dipendente accede ai dati?
Grazie mille per l'aiuto.
Delvy


Perche' solo i clienti? Tutti coloro di cui tratti dati personali hanno
diritto all'informativa (clienti, potenziali clienti a cui fai proposte e
magari non diventano clienti, fornitori, collaboratori). Perche' vuoi
fargliela firmare?
-- 
AB

 fargliela firmare?
Loro la fanno firmare per evitare l'eventuale contestazione di "mancata 
informativa" da parte degli addetti ai controlli. Se non è obbligatorio 
farla firmare, ma solo informarli non c'è problema.
A questo punto mi sonorge un dubbio: se uno li chiama per telefono e 
lascia il suo recapito ed il numero devo avvertirlo del fatto che i suoi 
dati bla bla bla..... o no?
Grazia ancora per le risposte

 fargliela firmare?
Giusto bene, mi aggancio qui per fare una domanda a tal proposito.
Ho mio fornitore, col quale ovviamente già mi scrivo via e-mail da tempo
e hanno tutti i miei dati, ieri mi ha mandato una e-mail con un allegato
da rispedire firmato per via di un ordine che ho fatto.
Ma ha senso ? serve davvero? con sto sistema c'è un aumento allucinante
di e-mail, lettere, fax, perché tutti stanno spedendo ste informative e
alcuni anche chiedono di rispedirle firmate. Mi pare sinceramente
esagerato, perfino inutile...
Gabriele


Un senso ce l'ha per chi vuole mettersi le classiche "mutandine di ghisa" (o
di kevlar se vogliamo essere tecnologici...). Il problema che 1/100 ti
restituisce l'informativa firmata e poi vatti a gestire gli altri 99...
Serve? No. Se la tua informativa è sparsa ovunque (nel sito web, nel tuo
materiale informativo, nelle tue proposte, sulle tue fatture e note, anche
sotto forma di "riferimento a...(per esempio il sito)") difficile per
chiunque sostenere che non aveva avuto occasione di vederla o di
chiedertela.
La firma (e tirata per i capelli...) forse serve per il consenso.
-- 
AB


Soprattutto non serve assolutamente a nulla se l'Informativa non descrive,
con adeguato dettaglio, quali siano i trattamenti cui di dati personali sono
sottoposti, con quale modalita', da chi, chi ne viene a conoscenza e
perche', e altro, cioe' tutto quanto richiede il Codice.
Avete visto quante Informative sono del tipo: "Vi informiamo che trattiamo i
vostri dati nel rispetto del D. Lgs. 196/03"?
Da ridere.
L'art. 13 comma 1 del Codice e' molto chiaro a riguardo, e lo sono anche le
molteplici spiegazioni del Garante.
In pratica, il Garante cerca di costruire un sistema che consenta
all'Interessato di conoscere i percorsi che i suoi dati fanno, in che modo e
con quale scopo. Ed e' evidente, pertanto, che l'Informativa non puo' essere
se non specificamente studiata caso per caso, talvolta addirittura
trattamento per trattamento all'interno dello stesso Titolare.
A mio parere, cosi' come nel caso del DPS, la definizione dell'Informativa
e' un momento significativo di studio e di verifica della capacita'
aziendale di costruire sistemi informativi, e quindi organizzativi, 
efficienti ed efficaci.


Si, ma non esageriamo. Si va dall'estremo che dici tu "trattiamo i tuoi dati
nel rispetto del d.lgs.196/2003" a "li diamo allo studio XY per le pratiche
amministrative, allo studio WZ per le pratiche del Lavoro, alla Azienda PQ
per Hosting dei Sistemi, ...." anche questa e' una follia. Oltre al fatto
che violi la stessa 196/2003 spargendo urbi et orbi i dati personali dei
tuoi fornitori(!), se appena cambi un fornitore o un processo devi cambiare
informativa (e se vuoi essere zelante avvisare tutti!).
Inoltre nome e cognome dei terzi interessano poco, tanto se combini casini
con i suoi dati personali l'interessato se la prendera' con te titolare del
trattamento non col tuo commercialista.
Noi per esempio informiamo che i dati sono trattati da noi, sono trasmessi a
terzi ns. incaricati PER SOLI SCOPI INERENTI ALL'ESECUZIONE DEL CONTRATTO
IN ESSERE O OBBLIGHI DI LEGGE (niente marketing, niente vendita dei loro
dati a terzi) in Italia, UE o extra-UE e precisiamo i recapiti postali,
telefonici, fax ed email del titolare a cui rivolgersi per ogni
delucidazione o per far valere i loro diritti di legge.
-- 
AB

 per Hosting dei Sistemi, ...." anche questa e' una follia.
A me piace e soddisfa l'Informativa di ebay
http://pages.ebay.it/help/policies/privacy-policy.html?ssPageName=f:f:IT


Bello! Un po' lungo per i miei gusti, ma capisco che per la natura del
cliente che ha EBay (consumer) sia la cosa giusta.
Essendo i ns. interlocutori solo PP.AA. e aziende (neanche un consumer)
abbiamo optato per una cosa molto piu' stringata di 15 righe circa (non
sono sprovveduti, hanno un ufficio legale e non hanno problemi ad alzare il
telefono e a fare domande se gli sorge un qualunque dubbio).
Converrai che le cose vanno sempre contestualizzate, se mandassi un papiro
simile all'ufficio legale di un ministero se fosse il mio giorno fortunato
ne ricaverei un sorrisino di sufficienza... :-)
-- 
AB


Ne convengo.
Non parliamo della PA, per favore... :-)