Newsgroup: it.diritto.internet
Titolo: dps, informativa, ecc, solo per chi gestisce dati personali?

Scusate una domanda credo stupida, ma a questo punto d'obbligo.
Poichè c'è anche gente che dice in giro che il dps lo devono fare tutti
indiscriminatamente, se hanno un attività, anche se non gestiscono dati
personali. Chiedo chiarimento in proposito. 
Ho un sito internet, con una certa ufficialità, senza fini di lucro e non
gestisco dati personali, uso cockies di sessione nel forum e non li
accosto a nessun dato poichè non ho iscritti al forum.
Finora ho creduto di non essere tenuto a niente e quindi non indico che
tratto i dati poichè non li tratto e specifico agli utenti di inviarmi
solo quanto essi ritengono necessario per stabilire un contatto, qualora
lo vogliano stabilire, perchè da parte mia non c'è interesse a riguardo.
Se ricevo delle e-mail in cui qualcuno ha deciso di inserirvi dei dati
personali devo fare il dps? O qualche cosa? .. o basta semplicemente che
le cancello? O non cè bisogno neanche di cancellarle?
Svolgo attività di monitoraggio senza controllo IP su alcuni link ed ho
come quasi tuti i siti due contatori che controllano gli accessi unici
(con log degli IP) di due diverse sezioni del sito (eventualmente potrei
anche toglierli). 
Ciò non toglie che il server analizza i log dei dati, ma in quel caso sono
loro a dover gestirli, no?
In definitiva non conservo, nè detengo sul sito dati altrui. lo facevo
fino a 7 mesi a ora non più. Ho qualche obbligo?
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 gestiscono dati personali.
Il DPS deve essere fatto solo da chi tratta dati personali SENSIBILI,
ovvero attinenti alla salute, alla religione, alla razza, alle vicende
giudiziarie, all'appartenenza politica-sindacale degli interessati.

E aggiungo: con strumenti elettronici. 

E aggiungo: con strumenti elettronici. 
E vi siete dimenticati anche le convinzioni filosofiche.
Andrea Soms

 E aggiungo: con strumenti elettronici.
Esiste forse qualche sfigato che non usa ancora strumenti elettronici?

 Esiste forse qualche sfigato che non usa ancora strumenti elettronici?
Moltissimi e non sono affatto sfigati, te lo posso assicurare. ;) 

 ha scritto nel messaggio 
news:u63l221vb5ieuuf1g...@4ax.com...

Sinceramente non ho capito...è un disposto di legge. Punto. 

 ha scritto nel messaggio 
news:442aae87$0$29098$5fc...@news.tiscali.it...

Ah scusa, adesso ho capito!
Se è per quello anche le convinzioni su qualunque argomento (esistenza degli 
extraterrestri per esempio) le preferenze sessuali ed altre... diciamo che 
la definizione di dato "sensibile" e "giudiziario" si trova nell'art. 4 par. 
d) ed e)
Mi premeva far notare che devono essere trattati con strumenti elettronici. 

 
...questa mi pare un'interpretazione di comodo, nel testo della legge 
(art. 34) si dice che chi tratta dati con strumenti elettronici deve 
tenere un aggiornato documento programmatico sulla sicurezza.
Nell'allegato B si dice invece che il DPS è necessario quando si 
trattino dati sensibili. (ma al paragrafo 19.7 si parla di misure minime 
da adottare nel caso di trattamento di dati personali semplici).
Tra le due fonti va data priorità al testo del DLgs, quindi si è 
esonerati dalla redazione del DPS solo in caso di trattamento di dati 
non sensibili effettuato esclusivaemnte per via cartacea... (ed in 
questa ipotesi sono comunque da mettere a punto delle procedure per il 
trattamento dei dati, per cui tanto vale redarre il DPS anche in quei 
casi...)
qui viene affrontata la questione:
http://www.consulentelegaleprivacy.it/approfondimentidett.asp?id=20
http://www.consulentelegaleprivacy.it/approfondimentidett.asp?id=81


Non capisco cosa vuoi confutare.
ipotesi 1. il DPS è necessario solo per trattamento con strumenti 
elettronici:
Nell'allegato B il punto 19.7 è parte del paragrafo "trattamenti con 
strumenti elettronici" ed è un sottopunto del punto 19 che recita: "19. 
Entro il 31 marzo di ogni anno, il titolare di un trattamento di dati 
SENSIBILI o di dati GIUDIZIARI redige anche attraverso il responsabile, se 
designato, un documento programmatico sulla sicurezza contenente idonee 
informazioni riguardo: [omissis]"
Al punto 34, l'hai scritto tu stesso, si fa esplicito riferimento agli 
strumenti elettronici.
QDE
ipotesi 2. il DPS è necessario anche per il trattamento elettronico di dati 
semplicemente personali
Potrebbe essere sostenibile, interpretando alla lettera l'art. 34, che sia 
necessario redigere un DPS anche per il trattamento dei soli dati personali. 
In questo caso però se ritieni che il dettato dell'allegato B sia solo una 
ulteriore specificazione da applicare in casi specifici, i contenuti del 
documento sono indeterminati e quindi, IMO, si tratterebbe di capire cosa 
contiene un DPS se si prescinde dall'all. B visto che questo è un acronimo 
che non rappresenta nulla se non si impone un contenuto.
Il Garante spiega che "le misure minime sono diverse a seconda che il 
trattamento sia effettuato o meno con strumenti elettronici, oppure riguardi 
dati sensibili o giudiziari" e "Le modalità di applicazione" sono infatti 
"stabilite analiticamente nell'allegato B" (vedi "Parere del Garante del 
22/03/2004" e "Guida alla compilazione del DPS").


???
Eventualmente le due ipotesi sono "trattamento elettronico di qualsiasi tipo
di dato personale" e "trattamento di dati sensibili con strumenti
elettronici".
Nel testo del decreto la condizone è trattamento con strumenti elettronici
(ovviamente si parla di dati personali, sensibili e non) e nell'allegato si
parla di trattamento di dati sensibili per via informatica.
La seconda ipotesi è ricompresa nella prima, con la piccola differenza che
la prima è sancita dal testo di un decreto, la seconda da un allegato che
deve essere osservato per le modalità di redazione (nel senso che il testo
del decreto ti dice quando redigerlo, l'allegato come redigerlo) e non per
il campo di applicazione.
Se ci metti che anche chi tratta dati solo per via cartacea deve mettere a
punto delle procedure per le operazioni di trattamento, e che non approntare
un DPS quando si trattano dati sensibili anche se solo per via cartacea mi
sembra un'assurdità, ecco che redarre il DPS per tutti diventa la soluzione
più semplice!

Ma il parere del Garante del 22/03/2004 lo hai letto?
In particolare guarda il punto 2. 

 
si, ma come fonte normativa il DLgs è prioritario, e l'art. 34 mi sembra 
chiaro.

 tenere un aggiornato documento programmatico sulla sicurezza.
che non è la stessa cosa del DPS.
qui dove lavoro io (un'associazione di categoria con qualche migliaio di
soci), ci siamo mossi in questo modo:
per chi tratta DATI PERSONALI con strumenti informatici abbiamo
approntato una serie di moduli in qui il socio autocertifica il proprio
essere in regola con la normativa;
per chi tratta DATI SENSIBILI, a prescindere dello strumento con cui si
effettua il trattamento, si fa il DPS.
così dopo aver lungamente ragionato coi nostri legali e i nostri
consulenti.
-- 
I videogame  non influenzano  i bambini: infatti  se da  piccoli fossimo
stati  plagiati  da  Pac-man,  adesso   passeremo  il  nostro  tempo  in
ambienti semibui, mangiando pillole  magiche, ed ascoltando della musica
elettronica ripetitiva.             Kristian Wilson, Nintendo Inc., 1989

 consulenti.
Si? E per curiositŕ: chi usa solo il cartaceo nella tabella 1.1 prevista 
dalla guida emessa dal Garante cosa ci metti nel campo: "strumenti 
elettronici utilizzati"?


sarcasmo on/
ci puo' mettere sempre telefono, fax, cellulare, fotocopiatrice, ...
sarcasmo off/
tornando seri, un bel "nessuno" o "non applicabile" ci puo' stare anche
bene. All'atto pratico mi sembra raro che oggi un'azienda non abbia (lei
direttamente o uno dei suoi outsourcer, per esempio il suo commercialista)
uno straccio di trattamento elettronico e se non lo ha tanto meglio o tanto
peggio (dipende dai punti di vista).
-- 
AB

suppongo che io, che ho come attività una ditta di hosting, debbo fare
il DPS perche tratto/conservo dati PERSONALI/AZIENDALI per fini
fatture??
-- 
epson
------------------------------------------------------------------------
epson's Profile: 
http://hostingforum.it/member.php?userid=8
View this thread: 
http://hostingforum.it/showthread.php?t=5957

 
Spero che tu abbia dati personali (di persone fisiche o giuridiche) NON SOLO
per fini di fatturazione, ma pure per:
 -> per pagare dipendenti o collaboratori (gestionali)
 -> per cercarti/coccolarti i clienti (commerciali)
 -> per onorare i tuoi contratti (operativi)
 -> per comprare beni e servizi che ti servono (operativi)
 -> per pagare i tuoi fornitori (gestionali)
 
 e solo se sei riuscito a fare tutto questo; trovarti clienti, fare loro
quello che hai detto avresti fatto, trovarti beni e servizi che ti
servivano per farli contenti, fare contenti i tuoi fornitori, magari
fatturi pure... a e non dimentichiamoci che DOPO aver fatturato non sarebbe
male INCASSARE ;-)
Quindi sicuro che hai un solo trattamento ad una sola finalita'? 
-- 
AB

 sarcasmo off/
Volevo solo precisare che a fronte di interpretazioni dubbiose preferisco 
fidarmi di quello che dice il Garante piuttosto che del Famoso Studio di 
Avvocati Riuniti interpellato dalla Confederazione delle Imprese con 250000 
iscritti poi, sai che c'è di nuovo? Ognuno fa quel che gli pare...
PS: alcune di queste organizzazioni mi hanno interpellato per la Privacy e 
ti posso assicurare che sono in alto mare... 


Oh si, questo "by definition" :-)
-- 
AB

> Mi preoccupa solo l'art.2050 del codice civile 
Bravissimo!
Infatti credo sia difficile dimostrare di aver adottato tutte le misure 
di sicuerezza necessarie a non far avvenire il "fatto" senza aver 
redatto un DPS, strumento di analisi e valutazione dei rischi, nonché di 
gestione del rischio residuo...

 nonché di gestione del rischio residuo...
Una mia amica avvocata mi diceva che in teoria all'utente si può
chiedere qualsiasi cosa. Il problema non è la raccolta dei dati, ma la
loro gestione (come in pratica è stato sottolineato). Ad esempio, in uno
studio legale non si potrebbero nemmeno mettere le etichette ai
raccoglitori con i nomi dei clienti: se si dovesse seguire la legge
sulla privacy con annessi e connessi, ci sarebbero un sacco di problemi
di gestione! :|

 "strumenti elettronici utilizzati"?
nessuno.
se l'azienda tiene, per esempio, la contabilità altrove, starà ad
altrove essere in regola da quel punto di vista.
PS
tra i commercianti della provincia in cui vivo e lavoro, non pochi sono
senza pc; e "grazie" a questa nuova e mostruosa legge, non pochi tra
quelli che l'avevano l'hanno tolto.
alla faccia dell'importanza dell'informatizzazione del paese...


 
Si ma "altrove" per conto di chi tiene la contabilita' (ovvero chi e'
titolare del trattamento?). Ti rispondo io, ne e' titolare QUI.
Esempio pratico, io trasmetto a QUI i dati personali della mia azienda
perche' facciamo affari assieme e lui li da ad ALTROVE per fatturarmi. Io
un giorno dico che con i miei dati personali sono stati fatti casini...
bene, me la prendo con QUI, io ALTROVE non so neanche che esista e anche lo
sapessi e' irrilevante. Io i miei dati li avevo dati a QUI per farci una
cosa e ne sono state fatte delle altre cose. Problemi di QUI (che poi QUI
si rivalesse su chi vuole che e' un fatto suo, non mio).
-- 
AB

 titolare del trattamento?). Ti rispondo io, ne e' titolare QUI.
il titolare (commerciante) da incarico ad altrove (associazione di
categoria) di trattare i dati in suo possesso per la gestione della
contabilità (per esempio).
per commerciante è sufficiente avere in bottega un foglio con scritto
quanto sopra, ed è a posto.
così come per tutto il resto (le paghe, se sono gestite altrove, per
esempio).
quanto sopra è sufficiente se il titolare non tratta dati sensibili, ma
solo dati personali (bolle, fatture, elenchi semplici di clienti e
fornitori); altro discorso se tratta dati sensibili.
dopo di che, settimana scorsa sono piombati nel mio ufficio due
avvocati:
1)
"cazzo fate!!!!!!!!!!!! non siete in regolaaaaaaaaaa!
la vostra documentazione è insufficienteeeeeeeeeeeeee!!!!"
e altri urlacci ed insulti a iosa.
2)
"cazzo fate!!!!!!!!!!!! non siete in regolaaaaaaaaaa!
la vostra documentazione è troppa per il mio cliente, che non tratta
dati sensibiliiiiiiiiiiiiiiiiiiiiiiii".
e altri urlacci ed insulti a iosa.
i clienti di 1) e 2) erano sostanzialmente analoghi, da tutti i punti di
vista.



Degli atteggiamenti ineducati ed aggressivi che hai riferito, purtroppo ne
ho visti anch'io e sono un sintomo di una scarsa professionalita' diffusa
fra molte categorie di professionisti, nessuna esclusa.
Premesso che ci sono poi sempre le individualita', e' interessante osservare
alcuni "vizi nazionali" o perlomeno "tendenze di gruppo". Ho avuto
occasione di osservale occupandomi di Sicurezza e Privacy a livello
internazionale:
1) In Italia si tende, se se ne ha l'opportunita', a fare di tutto perche'
il problema sia di qualcun'altro. In subordine, perche' i costi li paghi
qualcun'altro.
2) In Germania e Austria si fa di tutto perche' il problema rimanga in casa
propria (si, non mollano una responsabilita' se non sotto minaccia
armata...)
3) In USA la legge e' una "linea guida" :-) , quelle Europee poi appena
appena sopra il rango di "cortese suggerimento". Si spremono il cervello
per capire se esiste qualche opportunita' di ottimizzare costi o aumentare
profitti mentre si adeguano alla legge. Se si, si adeguano. Se no, fanno
finta di adeguarsi in attesa che qualche concorrente si faccia del male e
poi si regolano di conseguenza alla sentenza inflitta al concorrente...
Insomma se Atene piange, Sparta non ride... 
-- 
AB

 latini) che e' funzione del tipo di azienda di qui stiamo parlando.
certo, certo, questo è evidente, ed è quello che ho detto a tutti coloro
(e non sono pochi, purtroppo...) che mi sono trovato di fronte in
queste settimane.
