Newsgroup: it.diritto.internet
Titolo: DPS

Ciao a tutti,
ma è vero che una ditta che raccoglie solamente i dati dei clienti 
necessari alla fatturazione (quindi nome, cognome [ragione sociale], 
indirizzo, cap, città, provincia, codice fiscale [partita IVA]) non ha 
l'obbligo di redarre il Documento Programmatico sulla Sicurezza?
Io non ci ho capito niente, nè se devo farlo e nè come farlo...
Grazie mille!
Ciao.

l'obbligo di redarre il Documento Programmatico sulla Sicurezza?
Sicuro che la ditta in questione non abbia dipendenti che si ammalano?
E i certificati di malattia?
Se veramente non avesse ne' dipendenti ne' trattamento di dati
sensibili tantomeno con strumenti elettronici (leggi PC), allora il
DPS non e' obbligatorio.


I dipendenti li può anche avere, ma se le buste paga le fanno fuori 
all'azienda arriva solo il "cartaceo", quindi niente dps
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 l'obbligo di redarre il Documento Programmatico sulla Sicurezza?
E se aggiungo solo email e telefono?
Saluti.
Stefano.

 DPS non e' obbligatorio.
Me lo potresti documentare, per cortesia? Io leggendo la legge mi sono 
perso... Ma in pratica, chi è obbligato alla redazione del DPS?
Grazie mille!
Ciao
Mattia

decibel ha scritto:

D.Lgs 196/03 Art 34 lettera "g" > trattamento  dati *peronali* con 
strumenti elettronici
D.Lgs 196/03 Allegato B punto 19 > trattamento dati *sensibili e 
giudiziari* con strumenti elettronici
Comunicato del garante in data 22/03/04 
http://www.garanteprivacy.it/garante/doc.jsp?ID=772126
"Anche il documento programmatico sulla sicurezza, che in base al nuovo 
Codice deve essere adottato da chiunque effettua un  trattamento di dati 
sensibili o giudiziari con strumenti elettronici,  rientra tra le misure 
minime."
Articolo di Luca Maria De Grazia su Altalex del 08/04/04
http://www.altalex.com/index.php?idstr=30&idnot=7122
Articolo di Andrea Lisi su Altalex del 14/01/04
http://www.altalex.com/index.php?idstr=29&idnot=6869
Interpretazioni di varie associazioni di categorie: solo dati sensibili 
e giudiziari trattati con strumenti elettronici
In ordine di importanza delle fonti varrebbe quanto disposto dall'art. 
34 lettera "g" (vedi commento di De Grazia). Il problema nasce dal 
comunicato del Garante che sembrerebbe voler indicare un obbligo di 
stesura solo per i titolari di dati sensibili e giudiziari trattati con 
strumenti elettronici, in apparente contraddizione con quanto scritto 
all'art.34 del Testo Unico. Giuridicamente il Garante non potrebbe 
modificare quanto scritto nel testo del Decreto, ma è anche vero che le 
ipezioni le manda lui...
Morale: in mancanza di giurisprudenza e in mezzo a tutta questa 
confusione, forse vale la pena farlo.
Ciao


Il Garante, in un Parere (documento reperibile sul sito
http://www.garanteprivacy.it
) del 22/2/2004, specifico sul DPS, cosi'
diceva al punto 2.2:
"In base al nuovo Codice, la misura minima del DPS deve essere ora
adottata dal Titolare di un trattamento di dati sensibili o giudiziari
effettuato con strumenti elettronici,...".
In altro post sul medesimo argomento, johnny obiettava che un
documento *parere* del Garante non puo' modificare la legge. Pero'
ritengo che sia la legge stessa ad introdurre elementi di ambiguita'.
Infatti mentre in art. 34 si legge:
"Art. 34 (Trattamenti con strumenti elettronici)
1. Il trattamento di dati personali effettuato con strumenti
elettronici è consentito solo se sono adottate, nei modi previsti dal
disciplinare tecnico contenuto nell'allegato B), le seguenti misure
minime:
...<omissis>...
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
...<omissis>..."
e quindi indistintamente "senza se e senza ma" tutti coloro che
trattano in modalita' elettronica, in realta' in allegato B) si legge:
"Documento programmatico sulla sicurezza
19. Entro il 31 marzo di ogni anno, il titolare di un trattamento di
dati sensibili o di dati giudiziari redige anche attraverso il
responsabile, se designato, un documento programmatico sulla sicurezza
contenente idonee informazioni riguardo:
...<omissis>..."
e quindi limitando la redazione al solo trattamento di dati sensibili
o giudiziari.
Personalmente sono propenso a considerare l'art. 34 come un rimando
generico all'allegato B), che viceversa detta le modalita' precise e
quindi richiede il DPS solo in caso di trattamento elettronico di dati
sensibili.