Newsgroup: it.diritto.internet
Titolo: DPS e responsabile esterno

Ho un dubbio: per voi, secondo il decreto sulla privacy e la
sicurezza, un ente pubblico, nella fattispecie un comune, potrebbe
nominare una ditta di vendita e assistenza hardware/software
in qualita' di responsabile della sicurezza della rete e dei propri
dati e dei backup degli stessi? Se no, mi si potrebbe cortesemente
indicare il punto del decreto in cui si capisce che non sarebbe
possibile?
Grazie,
Gian Luca Sole

 Gian Luca Sole
Sě, certo che puň. Deve perň verificare che la ditta sia in regola con gli
adempimenti dettati dal D.Lgs. 196/2003, in particolare, la formazione
degli addetti. E sarebbe meglio avere una dichiarazione della ditta in cui
attesta di essere in regola (chiedere di leggere il DPS mi sembrerebbe
troppo...)
Immagini di mandare in assistenza un hard-disk contenente dati personali o
sensibili. Oltre a tutte le procedure di sicurezza che devono porre in
essere, gli addetti dell'assistenza devono sapere che non possono accedere
ed utilizzare (copiare, diffondere, cancellare volontariamente) i dati che
vi trovano.
saluti,
zeno
-- 
dura lex sed lex
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 vi trovano.
In primis, grazie per la risposta.
Io parlavo pero' di un discorso "un po' piu' avanti".   :-)
Dunque, il comune, oltre a richiedere l'assistenza hardware/software
per una rete di pc e un server dove risiedono tutti i dati riguardanti
l'area finanziaria, l'area segreteria, l'area servizi demografici, etc.,
richiede che la ditta vada due volte la settimana da loro per effettuare
i backup periodici (non chiedetemi il perche': non vogliono farli fare
dal server in automatico, non vogliono cambiare i nastri, non vogliono
assolutamente mettere mano sul server per nessun motivo ne' nominare
allo scopo un responsabile all'interno dell'ente), e che garantisca
loro che non vengano in nessun caso persi i dati in caso di disastro,
oltre a, visto il compito richiesto, rendere responsabile in solido la
ditta con il comune in merito alla privacy e alla salvaguardia dei dati
stessi.
bye G.L.


Parliamo di "responsabile dei trattamenti di dati personali"? Allora
la risposta è NI. Alcune interpretazioni fanno pensare che questo 
tipo di responsabile ( se nominato ) debba essere una persona 
"fisica" (quindi non una ditta).
Parliamo di responsabile della sicurezza (quindi non dei dati
personali)? Allora la risposta è SI. Questa figura non è regolamentata, 
e comunque agisce sotto la responsabilità del "responsabile dei 
trattamenti di dati personali" di cui sopra (se nominato, se no del 
titolare, quindi del comune).
-- 
A.B.

dati e dei backup degli stessi?
Secondo me ha poco senso, la PA ha ancora larga parte dei documenti su
carta e il problema della privacy è principalmente
organizzativo/regolamentare. Ha pochissimo senso incaricare una ditta
di HW/SW, ha in caso più senso incaricare un esperto di
organizzazione/legale, interno. Il comune che ha fatto il miglior
lavoro che abbia visto ha operato così, con un approccio integrato tra
i trattamenti, i regolamenti (anche sull'uso degli strumenti
informatici) l'organizzazione, l'informatica  e la sicurezza fisica.
Andrea


Sono d'accordo. Esiste un equivoco di fondo qui. Renaissance ha scritto
"responsabile della sicurezza" che non è sinonimo di "responsabile 
del trattamento dei dati personali". Quello che non so è se 
quando l'ha scritto intendeva proprio "responsabile della sicurezza" o 
è lui per primo caduto nell'equivoco.
-- 
A.B.

del trattamento dei dati personali". 
Credo sia opportuno non confondere le idee al nostro amico
Renaissance.
I termini di legge, per i "soggetti che effettuano il trattamento",
sono solo 3 (tre):
art. 28 - titolare del trattamento
art. 29 - responsabile del trattamento
art. 30 - incaricati del trattamento
Non esiste quindi la figura del "responsabile della sicurezza", a meno
che non sia una definizione interna di tipo organizzativo, che deve
essere pero' ricondotta a quelle di legge (incaricato? responsabile?).
Si puo' aggiungere che il comma 2 dell'art. 29 dice anche che il
*responsabile* e' competente anche per *il profilo della sicurezza*.
Nel caso del comune, come frequentemente accade, l'ente ricerca
all'esterno un servizio completo, chiavi in mano, ipotizzando di
eludere le responsabilita' interne. Di fatto queste responsabilita'
sono identificate dal "mansionario" dei dipendenti (nella P.A. di
legge), e non da ipotetiche riattribuzioni di responsabilita' in fase
di revisione organizzativa.
In buona sostanza, il comune puo' legittimamente incaricare un
*responsabile* esterno, seguendo le modalita' indicate nell'art. 29,
ed in particolare *specificando analiticamente e per iscritto i
compiti* e *vigilando sulla puntuale osservanza delle disposizioni*.
In conclusione, al comune compete la responsabilita' di indicare con
precisione quali siano i limiti d'azione del *responsabile*, non solo
ma al comune compete comunque la responsabilita' del controllo sugli
adempimenti del *responsabile*.
Infine e' opportuno ricordare al comune che la legge identifica con
una particolare specifica i "trattamenti in ambito pubblico" (titolo
IV).
 

 bye G.L.
La mia risposta non cambia.
Si parla da più parte di ... gravosità e adempimenti eccessivi relativi
alla privacy...
il senso di tutta la legislazione relative a dell'attività del Garante,
secondo me, si riduce a 2 elementi:
1) instaurare una "CULTURA" della privacy in modo da sensibilizzare e
responsabilizzare tutti i soggetti coinvolti nella questione (siano essi
gli interessati, vale a dire i soggetti che "concedono i dati", siano essi
i soggetti che "svolgono i trattamenti" sui dati).
2) se il punto 1) non dovesse bastare, allora mettere in piedi un sistema
di responsabilità semplice e quanto più funzionale possibile.
Tutti i soggetti che accedono o hanno la possibilità di accedere
(visualizzano, manipolano, etc. etc.) ai suoi dati  devono essere
individuati ed incaricati. Lei deve sapere in qualsiasi momento chi ha
avuto la possibilità di accedere ai dati per risalire a chi ha, ad es.
cancellato dati che non doveva cancellare ovvero effettuato trattamenti
illeciti etc.
Se non individua questi soggetti, e non riesce a risalire a chi ha causato
il danno, il titolare (e/o responsabile) è "responsabile" in prima
persona, civilmente e penalmente.
Se i sogg. che hanno la possibilitò di accedere ai dati sono dipendenti
del Comune devono essere nominati incaricati di trattamento. Se sono
esterni, non può certo nominarli incaricati il Comune, quindi fa un
incarico esterno individuando la società quale responsabile del
trattamento X (back-up, manutenzione, etc.). A sua volta la società
esterna avrà incaricato al trattamento i propri dipendenti, e qui il
cerchio si chiude.
Tutto il resto è fuffa.


 IV).
quoto
faje včde... perdinci!


 
Sottoscrivo. Renaissance nel suo post originale ha parlato di 
"responsabile della sicurezza", che come è stato fatto notare non 
è una figura prevista (questo non vuol dire che non possa 
esistere, vuol dire solo che non è normata).
Come l'hai reingegnerizzata tu va benissimo (a meno che Renaissance
non intendesse davvero "responsabile della sicurezza").
-- 
A.B.

Renaissance wrote:

Ok, vi ringrazio tutti per i chiarimenti.  :-)
bye G.L.