Newsgroup: it.diritto.internet
Titolo: [Privacy] Misure minime.

Ho letto che per il 1° gennaio 2006 devono essere applicate le "misure 
minime" della legge sulla Privacy.
La domanda:
Come posso sapere se chi mi tiene la mail o il sito adotta tali misure 
minime?
Grazie 1k.
C.

Glielo chiedi.
E' tuo diritto poter sapre in qualsiasi momento quali dati sono in loro
possesso, la provenienza (se hai dubbi che il possesso sia illecito, ad
esempio) e le modalità di trattamento.
Da parte loro già da un annetto sono tenuti a informarti del regime di
trattamento quando ti richiedono i dati e a farti firmare il consenso.

 
ERRORE. Le "misure minime" sono entrate in vigore il e sono legge dello
Stato dal 1/1/2004. 
UNA misura minima (il Documento Programmatico sulla Sicurezza o DPS per gli
intimi) è stata via via prorogata ed ora, forse, scade il 31/12/2005. Il
fatto che non debba essere redatto il DPS non esonera dall'applicare le
altre misure minime...
-- 
AB

ab ha scritto:

se non sbaglio e' stato prorogato al 31/03/06...
qualcuno ne sa di piu' ?
-- 
Napolux
Bombing for peace is like fucking for virginity
http://napolux.altervista.org
http://napolux.deviantart.com

 
no, però uff.. non si può fare cosi, ogni volta rimandano. Non ho 
capito il perchè di queste proroghe..
-- 
LABORATORI CRIMINALI: 
http://www.laboratoricriminali.cjb.net/
Ogni volta che avete fatto qualche cosa per uno dei più piccoli 
di questi miei fratelli, l'avete fatta a me.(Matteo, 25, 40)
---------------------------------------------------------------
X-PRIVAT FREE NEWS AND MAIL SERVER: 
http://www.x-privat.org/

 
Per il momento è una "vox populi". Poi si sa che spesso queste ci mettono un
ottimo a diventare "vox dei" :-)
In ogni caso se succederà dovrebbe riguardare i soli Enti Pubblici, perchè
il razionale è che non sono ancora approvati i c.d. "regolamenti" che
disciplinano i trattamenti dei dati personali sensibili e giudiziari da
parte di questi tipi di organizzazioni. Tutti gli altri non dovrebbero
subire proroghe (condizionale d'obbligo...).
A questo punto ormai il mio consiglio è di fregarsene di quando lo Stato lo
vuole o lo vorrà 'sto benedetto pezzo di carta. Le altre misure minime sono
da fare, prima di tutto perchè servono alla mia Azienda (prima che agli
ispettori del Garante o alla GdF). E come cavolo le pianifico senza un DPS
o un documento di pianificazione talmente simile ad un DPS che tanto vale
che lo chiamo DPS e mi metto il cuore in pace?
-- 
AB

 mettono un ottimo a diventare "vox dei" :-)
http://www.studiobernieri.com/index.php?modname=login&op=readnews&idNews=128
E' all'o.d.g. di domani
http://www.governo.it/Presidente/Comunicati/dettaglio.asp?d=26857
 

 se non sbaglio e' stato prorogato al 31/03/06...
Domani lo sara' (salvo sorprese).
E' importantissima la proroga
perche' sara' proprio il DPS a
fare da grimaldello alle
ispezioni a tappeto della GdF,
che si autofinanzieranno grazie
a quanto verra' contestato (con
buona pace del conflitto di
interessi).
-------------------------------
12/12/2005 16:04 >> CdM: mercoledi'' all''odg milleproroghe -2-
(...)
Ma il milleproroghe non comprende solo la questione 
Eni-Snam R.G., visto che sono molte le cose che, al 
momento, non cambieranno nell''ordinamento italiano. 
Per esempio, slittera'' dal 31 dicembre 2006 allo 
stesso giorno del 2008 l''avvio del digitale 
terrestre, mentre dal lato della privacy viene 
rinviata di tre mesi la presentazione del Documento 
programmatico sulla sicurezza da parte di imprese, 
professionisti e pubbliche amministrazioni, che 
slitta al 31 marzo 2006, e di due mesi il termine 
per le P.A., che potranno presentare i nuovi 
regolamenti sui dati sensibili entro il 28 
febbraio 2006. (...) MF-DJ NEWS 1216:04 dic 2005


Se adottasse "SOLO" le misure minime i cracker di mezzo mondo gli 
avrebbero gia' aperto i server in due "come 'na cozza".
Quindi: se il tuo provider riesce a restare in piedi, hai la certezza 
matematica che ha adottato misure idonee atte a contrastare le peggiori 
minacce circolanti in rete.
 >A<

 
Ottima deduzione per le misure *tecniche* -- non e' detto che sia cosi' per
le misure di natura organizzativa e amministrativa (quelle con cui piu'
facilmente ispettori, GdF e magistrati andranno a nozze...).
-- 
AB

 
Altra considerazione: lo DEVI sapere e ne DEVI avere evidenza formale
semplicemente *chiedendo*.
Punto 25 del Disciplinare Tecnico (All. B) al D.Lgs.196/2003:
25. Il titolare che adotta misure minime di sicurezza avvalendosi di
soggetti esterni alla propria struttura, per provvedere alla esecuzione
riceve dall'installatore una descrizione scritta dell'intervento effettuato
che ne attesta la conformita' alle disposizioni del presente disciplinare
tecnico.
In altre parole. Il sito e' tuo e sei titolare dei dati personali contenuti
nel tuo sito. Ti affidi al provider per alcune o tutte (probabilmente
alcune -- quelle di natura tecnica) "misure minime", lui ti deve dare
relazione scritta di cosa fa, come lo fa e garanzia  che quello che fa e'
conforme al dlgs.196/2003 (auguri!).
-- 
AB

 
Mi sembra un po' drastico affermare che l'unica misura minima in 
scadenza al 31/12 sia solo il DPS.
Nel 318/99 non si parla ad esempio di antivirus né di backup dei dati, e 
le misure minime richieste sono descritte in maniera più chiara e 
dettagliata, nel 318/99 si cita inoltre il DPS anche se non come misura 
di sicurezza...inoltre il 318/99 si riferisce alla L 675/96, di fatto 
abrogata...


Esatto. Infatti il d.lgs.196/2003 e' detto anche "Testo Unico" proprio
perche' fa piazza pulita di quanto detto e scritto in precedenza in tema di
Privacy. 
Dal 01/01/2004 hai 20 "misure minime" in Allegato B. Dimenticati la 318/99. 
Da vari Decreti dei Consigli dei Ministri la misura 19 (il DPS) e' stata via
via prorogata e ad oggi va al 31/12/2005.
Poi siamo in Italia e possiamo filosofeggiare quanto si vuole. Da un punto
di vista pratico, finche' non andra' in scadenza il DPS, la GdF e gli
ispettori del garante, a meno di casi eclatanti o denunce di parte, non
busseranno alle porta delle aziende e quindi potremo anche non perderci il
sonno. Da un punto di vista strettamente tecnico-legale, gli altri 19 punti
sono tutti buoni da 23 mesi e mezzo.
-- 
AB

 sonno. Da un punto di vista strettamente tecnico-legale, gli altri 19 punti
e ti pare poco, visto che dopo si 
*dovra'* perdere il sonno anche
avendo adempiuto non a 19 (alcuni
dei quali tecnicamente inconsistenti)
ma a 190 punti e si potra' solo
sperare di non avere dato fastidio
a qualcuno e/o di non "vincere" la
lotteria di ispezioni che si 
autofinanziano con quanto
contestato???
Questa proroga, come tutte le altre,
sarebbe sacrosanta (attendiamo il
22), cosi' come lo sarebbe una 
revisione critica dei 19 punti che 
tu dici, alcuni dei quali nulla hanno 
che fare con una reale messa in 
sicurezza delle proprie macchine ma 
sono solo uno spottone pro-M$.
Ma non c'e' molto da sperare in un
rinsavimento di fine o nuova 
legislatura (visto che il DPR del 
'99 era anche scritto peggio, con 
l'unica attenuante di non vessare i 
piccoli) anche riguardo altre leggi
(vedasi la Biagi).
Come se i giudici e la GdF non 
avessero anche cose serie da fare...

 
Forse lo sono perche' il 98% dell'installato e' Microsoft? Forse, ma dubito
che fosse nelle intenzioni del legislatore e in ogni caso il legislatore
poco ci puo' fare -- nonostante i capelli grigi continuo a credere nella
buona fede della gente, come dice il mio socio forse un giorno
crescero'... ;-) . 
Poche, ma esistono aziende con altre infrastrutture tecnologiche. Noi siamo
una di queste e abbiamo clienti (pochi, ma ne abbiamo) nella stessa
situazione. Noi e loro non daremo un Eurocent al Sig. Gates nonostante il
d.lgs.196/2003. 
-- 
AB

 
Beh, il filosofeggiare si incentra tutto sul dimenticarsi o meno del 
318/99 oppure no.
Da una parte il 318/99 viene richiamato dall'art. 180 come se le misure 
minime da adottare fossero quelle nuove rispetto al 318 (che tra l'altro 
parla anche di DPS), dall'altra nell'art. 183, al punto "o", il 318/99 
viene abrogato...
Ma chi ha scritto questo Decreto?
Evviva l'Italia!
Saluti

 
AHHHHH! Bellissima questione che hai tirato fuori. Infatti (sempre
tecnicamente parlando) la proroga del DPS riguarda SOLO ed UNICAMENTE
coloro che già non vi erano obbligati ai sensi del 318/99. In altre parole
chiunque fosse tenuto ad avere il DPS prima (vedi il 90% delle PP.AA.) le
proroghe non lo riguardano -- anche se poi fanno orecchie da mercante... 
Bene ora mi fischieranno le orecchie per un po' ... non lo sapessi ;-)
-- 
AB

ab ha scritto:

Riassumendo: se oggi (cioè prima della scadenza del 31/12) si 
presentasse in un'azienda un controllo, che sanzioni potrebbero elevare 
a chi non ha alcuna misura di sicurezza?
Per come la vedo io nessuna, dato che il 318/99 è abrogato, e il 196/03 
(per la parte inerente le misure minime di sicurezza) non è ancora in 
vigore...
...mica si possono elevare sanzioni ai sensi di un Decreto abrogato, 
anche se quando era in vigore non vi si è adempiuto?


Infatti. Te li _ora_ contestano ai sensi del _196_
Mettiamola cosi'. Sei un Comune che tratta dati sensibili e sei
interconnesso a reti esterne -- eri tenuto " gia' da mo' " :-) ad avere il
DPS. Oggi 17/12 ti bussano alla porta? Non ti puoi appellare al rinvio,
perlomeno per il DPS (misura gia' prevista per te e riconfermata dal 196) e
per tutto quello che era gia' previsto ed e' stato riconfermato dal 196.
Spero di essere stato piu' chiaro di prima.
-- 
AB

 
Ho capito quello che stai dicendo...
Faccio un esmpio: io (azienda, P.A., etc.) ero obbligato da tempo ma non 
ho fatto ne DPS ne implementato misure di sicurezza... e mi è sempre 
andata bene... Un bel giorno esce un decreto che abroga il DPR che mi 
obbligava alla stesura del DPS, e mi dice che ho tempo per farlo entro 
il 31.12.2005... che faccio? mi sembra scontato che l'obbligo non c'è 
più e che posso aspettare il 31.12.05 a farlo...
o mi stai dicendo che si possono elevare sanzioni ai sensi di un decreto 
abrogato?
hmmm...
Di fatto,oggi 17 dicembre 2005, nessuna legge dello Stato Italiano 
obbliga la tenuta del DPS e la messa a punto delle misure di sicurezza...


Allora non sono stato chiaro o "ci provi anche tu!" :-)))
I rinvii riguardano le misure previste dal 196 che sono _nuove_ rispetto al
318. Le misure del 196 gia' previste dal 318 sono gia' in vigore PERCHE'
PREVISTE DAL 196. Dimmi che ce l'ho fatta dai!  ;-)
Quindi si che c'e' una legge (196) che prevede misure minime ADESSO (quelle
che erano gia' previste dal 318 che e' stato abrogato -- ma il 196 e' vivo
e vegeto). 
Vero che ce l'ho fatta? :-)))
-- 
AB

ab ha scritto:

Si, ho capito come la vedi tu: le misure già previste dal 318 sono già 
in vigore perché previste anche dal 196.
Ma allora che senso ha considerare le misure minime del 196, visto che 
anche il DPS era previsto dal 318??
...dal 1/1/04 con questo ragionamento, sarebbe stato obbligatorio anche 
il DPS non trovi? (era previsto dal 318 e lo è anche dal 196).
Io invece la vedo diversamente: il 318 è abrogato, i termini per 
applicare le misure minime del 196 non sono ancora scaduti, per cui ad 
oggi nessuno è tenuto a metterle a punto.
Si sta sfruttando un vuoto normativo, ma tant'è...
Una cosa è certa, dal 1 gennaio tutto sarà più chiaro... (a meno che 
nella riunione del Consiglio de 21 dicembre....)

 Io invece la vedo diversamente: il 318 è abrogato
Ex nunc o ex tunc?

 
Col 318 era previsto in meno casi che col 196. Coloro che si trovano in quei
casi sono gia' obbligati al DPS dal 1/1/2004 e anche da prima. Gli altri
vedremo dopo la riunione del Consiglio dei Ministri del 22.
-- 
AB

 
ex nunc...
sul decreto specifica "Dalla data di entrata in vigore del presente 
codice sono abrogati:"...
quindi mi sfugge qualcosa (sono solo un povero ingegnere...) se una 
legge è abrogata ex nunc, possono essere elevate delle sanzioni anche a 
Decreto abrogato, per il periodo in cui era attivo?
Ad esempio la GdF si presenta in un'azienda per un controllo oggi ed 
attesta che nel 2002 (quindi con il 318 attivo ma con il 196 ancora non 
entrato in vigore)non erano presenti le misure di sicurezza (difficile 
da attestare...) che fa?
Se fosse stato abrogato ex tunc invece era come se il decreto abrogato 
non fosse mai esistito giusto? ...ed in questo caso non ci sarebbero 
stati dubbi...

"ab" <abo@TOGLI_QUESTOaxis-net.it> ha scritto nel messaggio
news:43a48a7d$0$7324$4faf...@reader4.news.tin.it...

Esattamente.
Tra l'altro nelle P.A. che mi è capitato/capita di seguire, uno straccio di
documento sulla sicurezza ai sensi del 318 esisteva già (o per lo meno in
quasi tutti i casi). In queste amministrazioni il DPS che redigo, anche se
ex-novo, lo faccio approvare con delibera di giunta come integrazione e
modifica dei precedenti documenti. Si segue un filo storico ininterrotto e
non si incappa in "vacanze" di decreti.
Tra l'altro un dubbio che mi è stato sollevato più volte e di cui al decreto
non ho trovato traccia di risposta:
Ipotesi
Approvazione delibera di giunta a dicembre 2005 di avvenuta revisione del
DPS
"niente" tra il 2000 ed il 2005 (esisteva già con la 318 l'obbligo di
revisione almeno annuale)
Possono contestare i 4 anni passati? a mio parere si, ma non esistono
sanzioni collegate.
Ma gradirei riscontri :)
ale

 giunta
Delibera di giunta?
Testo unico delle leggi sull'ordinamento degli enti locali:
"Articolo 107
Funzioni e responsabilta' della dirigenza
1. Spetta ai dirigenti la direzione degli uffici e dei servizi secondo i
criteri e le norme dettati dagli statuti e dai regolamenti. Questi si
uniformano al principio per cui i poteri di indirizzo e di controllo
politico-amministrativo spettano agli organi di governo, mentre la gestione
amministrativa, finanziaria e tecnica e' attribuita ai dirigenti mediante
autonomi poteri di spesa, di organizzazione delle risorse umane, strumentali
e di controllo".
Ecc.
C'è chi finisce in galera per prendere come organo di governo provvedimenti
che spettano agli uffici.
E anche giustamente, dico io.

 E anche giustamente, dico io.
ti copio incollo la definizione di Titolare del trattamento
Art. 28. Titolare del trattamento
1. Quando il trattamento è effettuato da una persona giuridica, da una
pubblica amministrazione o da un qualsiasi altro ente,associazione od
organismo, titolare del trattamento è l'entità nelsuo complesso o l'unità od
organismo periferico che esercita un potere decisionale del tutto autonomo
sulle finalità e sulle modalità del trattamento, ivi compreso il profilo
della sicurezza.
e di seguito quella di Responsabile del trattamento
Art. 29. Responsabile del trattamento
1. Il responsabile è designato dal titolare facoltativamente.
2. Se designato, il responsabile è individuato tra soggetti che per
esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno
rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso
il profilo relativo alla sicurezza.
3. Ove necessario per esigenze organizzative, possono essere designati
responsabili più soggetti, anche mediante suddivisione di compiti.
4. I compiti affidati al responsabile sono analiticamente specificati per
iscritto dal titolare.
5. Il responsabile effettua il trattamento attenendosi alle istruzioni
impartite dal titolare il quale, anche tramite verifiche periodiche, vigila
sulla puntuale osservanza delle disposizioni di cui al comma 2 e delle
proprie istruzioni.
ed infine chi è preposto alla redazione del trattamento
(allegato B punto 19)
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati
sensibili o di dati giudiziari redige anche attraverso il responsabile, se
designato, un documento programmatico sulla sicurezza contenente idonee
informazioni riguardo:
imho: delibera di giunta
del resto è un Documento Programmatico sulla Sicurezza.
Vedilo anche come "indirizzo"
ale

 Vedilo anche come "indirizzo"
Indirizzo politico?
Quando smetto di ridere t'avverto.
Spero solo che la prossima volta tu possa incontrare un segretario comunale
che sappia il suo mestiere e non si sottragga alle sue responsabilità.
E infine: "criteri generali in materia di ordinamento degli uffici e dei
servizi" spettano al consiglio, mentre chi rappresenta il comune e
sovrintende al funzionamento dei servizi e degli uffici e all'esecuzione
degli atti è il sindaco.  La giunta non c'entra proprio.