Newsgroup: it.diritto.internet
Titolo: DPS e Privacy - AIUTO

Salve
qualcuno può aiutarmi a capire esattamente cosa devo fare per la questione
DPS e privacy.
La mia attività è quella di studio di promozione pubblicitaria (ditta
individuale senza dipendenti o collaboratori).
In aggiunta gestisco un sito dove si trovano servizi quali forum, mailing
list e via dicendo.
Che cosa devo fare secondo voi?
Il DPS è obbligatorio nel mio caso?
Potete indicarmi la procedura da seguire per la compilazione del DPS e di
tutte le altre amenità sulla privacy.
E' corretto quello che scrivo sotto:
- compilazione DPS
- notifica al garante del trattamento dati (ma se come privato prima non
avevo fatto alcuna notifica, e non sapevo nemmeno che fosse necessario,
posso farlo ora? mi riferisco ai dati raccolti con il mio forum o il mio
sito in genere dove per accedere ad alcune aree è necessario registrarsi)
- invio ad ogni persona di una lettera (l'email va bene?) in cui si
specifica la titolarità dei dati etc... e si rimanda alla lettura sul mio
sito dell'informativa
Devo mettermi come Titolare e Responsabile del trattamento?
aiutatemi ... magari indicandomi qualche link (eventualmente anche ad un
DPS di esempio).
grazie
S.


Sarebbe opportuno smettere di pensare che il DPS sia l'adempimento unico e 
sufficiente per tutelarsi in materia di privacy.
Il DPS e' solamente uno del 29 (leggesi: ventinove) adempimenti 
indispensabili chiamati Misure Minime suddivise per trattamenti elettronici 
e non.
Oltre ai vari adempimenti burocratico-documentali quali Informativa, 
Consenso, Procedure, Istruzioni, ecc. ecc. ecc. 

 
Mi associo al commento di guanche di cuore e di testa. 
La redazione del DPS e' la Misura Minima 19 (di 29) per alcuni e' dovuta,
per altri e' opportuna, per altri ancora e' ignorabile (non applicabile).
Questo vale per ognuna delle Misure Minime: dovuta, opportuna, non
applicabile. (Il Non Applicabile deve essere naturalmente documentabile e
documentato...).
Le Misure Minime, tranne la 19 che e' stata di volta in volta posticipata al
31 Marzo 2006, sono da rispettare dal 1/1/2004.
Al di la del fatto che poi vendano un servizio per redarre il DPS (e quindi
cercheranno di convincerti che il DPS se non e' obbligatorio e'
opportuno...) una analisi della conformita' alle Misure Minime ed una
versione ipertestuale (e quindi navigabile) della normativa, la trovi sul
sito della Camera di Commercio di Milano:
 
http://www.cedcamera.it/index.phtml?Id_VMenu=199
-- 
AB


Trovo assolutamente fuorviante che un'organizzazione ufficiale quale la 
CCIAA proponga un servizio del genere. Non fa altro che consolidare il 
pensiero dei molti di cui gia' si e' detto (sistema DPScentrico).
E allora e' giunto il momento di dare una svolta decisiva alla questione.
Oltre alle questioni burocratico-documentali, che forse (e dico forse) 
qualche software sofisticato piu' o meno risolve, chi sviluppa le procedure 
ed istruzioni richieste dalla legge? Chi ne verifica la congruita' con il 
contesto aziendale? Tutti specialisti in organizzazione? Tutti cultori della 
SADT? del BPR? del BS?
Per favore, non inventiamoci la conoscenza che non abbiamo (se non 
l'abbiamo).
Visto che siamo in argomento, vi elenco i riferimenti del Codice circa le 
istruzioni e procedure da sviluppare, nel dettaglio e senza ambiguita' di 
sorta, come sa fare ogni professionista consulente di organizzazione.
Altro che antivirus, firewall, UPS, e "password e morta li'".
Procedura di gestione delle credenziali di autenticazione (ex D.LGS. 
196/2003 - art. 34/1/b)
Procedura di autenticazione per trattamento (ex D.LGS. 196/2003 - all. B - 
art. 1)
Disposizioni per accedere ai dati in assenza o impedimento dell'incaricato 
(ex D.LGS. 196/2003 - all. B - art. 10)
Procedura per il salvataggio dei dati (ex D.LGS. 196/2003 - all. B - art. 
18)
Procedura per la custodia delle copie di sicurezza (ex D.LGS. 196/2003 - 
art. 34/1/f)
Procedura per il ripristino di dati e sistemi (ex D.LGS. 196/2003 - art. 
34/1/f)
Istruzioni per la segretezza e custodia delle credenziali (ex D.LGS. 
196/2003 - all. B - art. 4)
Istruzioni per evitare di lasciare incustodita la postazione di lavoro (ex 
D.LGS. 196/2003 - all. B - art. 9)
Istruzioni per la custodia ed uso dei supporti rimovibili - dati sensibili 
(ex D.LGS. 196/2003 all. B - art. 21)
Procedura per la custodia di atti e documenti senza strumenti elettronici 
(ex D.Lgs. 196/2003 - art. 35/1/b)
Procedura per la custodia di atti in fase di trattamento  (ex D.Lgs. 
196/2003 - all. B - art. 27)
Procedura di accesso e registrazione fuori orario di lavoro - dati sensibili 
(ex D.Lgs. 196/2003 - all. B - art. 29)

 
In parte hai ragione. Se uno non legge le pagine del sito con razionalita'
corre il rischio di dire "mi serve il DPS" :-) Pero' se leggi razionalmente
il sito vedrai che e' detto che si tratta della "misura 19 di 29" -- ce ne
sono altre 28... La CCIAA pensa soprattutto alle piccole imprese.
Non so che mestiere fai. Io lavoro per lo piu' con grandi organizzazioni,
che hanno i mezzi e la mentalita' per "grandi strategie" per cui si parte
dall'alto, si parte dagli standard (BS7799, ISO/IEC 27001 e ISO-TR13335 nel
mio caso), dalle leggi e si vede cosa e come applicarlo nell'organizzazione
specifica. Qualche mese e qualche centinaio di migliaia di euro piu' tardi
si esce non solo (forse) con un DPS, ma pure con tutti i piani di
sicurezza, i regolamenti e le deleghe organizzative che ci stanno a valle. 
Nel caso della media e piccola impresa pensi che possa funzionare, anche
solo su piccola scala? Tranne pochi casi la risposta e' "dammi un DPS
'cotto e magnato' senza disturbarmi troppo" (
amm.re
 delegato di una media
azienda del centro italia che voleva un DPS dopo avermi visto dieci minuti
e avermi passato un organigramma della sua azienda...).
-- 
AB

 Non so che mestiere fai. Io lavoro per lo piu' con grandi organizzazioni,
"paro, paro", anche in relazione a quello che poi ha scritto sotto.
La sfortuna vuole che la legge non distingua minimamente tra piccola e 
grande impresa; e' sufficiente dare un'occhiata alle LINEE GUIDA per il DPS 
che ha proposto il Garante dove si afferma che sono rivolte alle piccole 
entita'. Dimmi tu come sia possibile strutturare un'AdR seria in breve tempo 
se il Cliente e' un artigiano del ferro (leggi: maniscalco) che tratta dati 
sensibili perche' la ferratura e' effettuata sulla scorta di alcune 
patologie della colonna vertebrale del cavaliere, e di queste tiene 
registrazione talvolta scritta talvolta sul PC portatile. Sara' piccolo, ma 
di problemi ne ha, e ben complessi.
Io stesso ho scelto di rispondere negativamente a richieste di intervento, 
piuttosto che affrontare il problema in modo superficiale illudendo il 
Cliente di trovarsi coperto.
Anzi, nella maggior parte dei casi passo gratuitamente qualche ora a 
convincerlo che non posso, per etica professionale, affrontare il problema 
cosi' come lui vorrebbe (leggi: mi stampi un DPS).
Peraltro e' altresi' vero che anche le grandi aziende non sempre comprendono 
quale sia la reale portata dell'intervento; e' molto difficile far 
comprendere all'AD di un gruppo multinazionale che il problema e' 
procedurale e comportamentale, e non burocratico e documentale.
Del resto tu stesso ti sarai reso conto che se la consapevolezza non entra 
nel vertice (Titolare), mai si potra' riuscire nello sviluppo di interventi 
sulla base (Incaricato). Quanti esempi abbiamo visto in ambito qualita' 
ISO9000? Stessa "solfa". Mi faccia il MdQ; quanto costa? Poi vedi l'AD che 
gira nei reparti spedizoni stimolando l'evasione rapida per i suoi Clienti 
"amici", procedure o non procedure, completate o non completate.
Io, occupandomi di organizzazione aziendale, naturalmente prediligo 
l'approccio comportamentale, formativo e procedurale, ma non riuscirei a 
fare diversamente nemmeno per il piccolo artigiano di cui abbiamo parlato. E 
del resto io vedo una forte convergenza su questa linea non solo dalla legge 
sulla "privacy", ma da diverse altre azioni legislative o normative, dove si 
chiede la formalizzazione di procedure; vedi, per esempio, il D. Lgs. 
231/01, la SA8000, la ISO/IEC 27001 che hai citato, la ISO 9000, e 
probabilmente ne potremmo aggiungere molte altre. Nella mia esperienza ho 
poi notato che tutti si occupano dei documenti e degli strumenti, come 
certificato dalle domande dei diversi newsgroup, ma la formalizzazione delle 
procedure non l'affronta nessuno. Per esperienza vissuta ho notato che il 
Garante tiene piu' ai comportamenti consapevoli che alla tecnologia 
imperante.
Pazienza.