tutto risolto o quasi.

Come ? spero soddisferai la nostra curiosità

in settimana lo pago per quasi tutto quello che gli dobbiamo ancora cosi la finiamo.

per cronaca ho sentito un avvocato per me e basta e me l'ha messa giù davvero dura.

il capo sicuro prenderebbe una multa del 2% del fatturato per non aver segnalato la perdita dei dati entro 72 ore agli utenti e forse di un altro 2% per non avere mai attuato procedure idonee alla conservazione e protezione dei dati.
il resto è impossibile da provare a colpa o favore del webmaster diceva, quindi è facile che un giudice decida di non esprimersi rimandando tutti a casa
improbabile che il capo possa rifarsi di quella multa su di lui. l'unica cosa certa qua è una multa del 2% del fatturato. il resto è da vedere ma sarebbe tutto incerto dopo 1-2 anni di cause.

io fra l'altro sono li da anni in maniera non del tutto regolare quindi se venisse fuori qualcosa sia io che il capo rischieremmo. ovvio sarebbe improbabile anche questo ma non si sa mai.
aggiungiamo che il vecchio sito è stato pagato a metà in nero e personalmente avrei paura che il webmaster chiamasse il vecchio per rubargli qualche informazione del genere di cui gli avevo stupidamente parlato.

vi ringrazio per l'aiuto che mi avete dato comunque. grazie specialmente a hub che mi ha detto il nome della legge che parla dei backup. ovviamente anche gli altri sono stati fondamentali!

diciamo che la morale è che anche nella ragione se si hanno scheletri nell'armadio è meglio non fare casino. ovvio comunque che qua non siamo noi quelli nella ragione, su questo non voglio fare l'arrogante e lo ammetto senza problemi.....

Veramente io proverei a contattare il garante e farei subito la segnalazione... la legge è vero che è già attiva ma anche da poco tempo ed inoltre si parla di 72 dal momento in cui se ne viene a conoscenza....

per farsi fare una multa gigantesca? ma anche no! le 72 ore sono passate da mesi in ogni caso. problemi loro adesso comunque, io non lavoro piu li e non rischio niente.
il webmaster è pagato e soddisfatto. problemi della societa se verra multata o meno. di certo non verranno a chiedere nulla a me che non figuro neanche come assunto regolare.

Beh ci hai guadagnato a "cambiare aria"!

Nessun obbligo. Dovevate farlo voi o chi per voi.

La perdita dei dati che non comporta dati sensibili non ha assolutamente alcuna ripercussione. Dato che perdita è diversa da sottrazione.

@ManagedServer.it said:

La perdita dei dati che non comporta dati sensibili non ha assolutamente alcuna ripercussione.

Ciao, attenzione perché non è proprio così, il nuovo regolamento GDPR "unifica" dati personali e dati sensibili.

Assolutamente no. Ripeto un conto è la sottrazione e furto di dati, un conto una perdita dovuta ad esempio ad una cancellazione. La prima equivale ad un data breach, la seconda no. La prima procedibile obbligatoriamente tramite segnalazione al garante, la seconda no.

Ribadisco : perdere un DB piuttosto che farselo fregare non ha nulla a che vedere con il garante.

@ManagedServer.it said:

Ripeto un conto è la sottrazione e furto di dati, un conto una perdita dovuta ad esempio ad una cancellazione.

Ho commesso anche io lo stesso errore in un post precedente dove ho affermato la stessa cosa, ma è appunto un errore.
Il GDPR "unifica" qualsiasi evento che comporta la perdita di dati che siano questi persi o cancellati accidentalmente o appunto rubati, l'articolo 4, paragrafo 12, dice infatti:

la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati.

privacy-regulation.eu/it/4.htm

Il correlato articolo 33 specifica poi:

*In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo. *

privacy-regulation.eu/it/33.htm

Non c'è molto da interpretare, ma è chiaro che è molto più grave non comunicare entro i termini previsti il furto di dati piuttosto che la cancellazione accidentale.

Riguardo i dati personali o sensibili, anche questi sono "unificati" dal nuovo regolamento. Chiaro che un conto è trattare un Nome associato a un indirizzo email, un conto è trattare dati che contengono idee politiche o religiose etc.
Ma anche per quanto riguarda i dati personali, se io ti scrivo una mail dal tuo sito devi fare molta attenzione a come tratti il mio nome e il mio indirizzo email, se inoltri la mia mail a persona estranea alla tua attività commetti un reato, se perdi la chiavetta USB di backup che contiene i miei dati personali e non denunci la cosa commetti un reato.
E dovrai anche giustificare il motivo per cui conservavi su questo supporto i miei dati senza che io fossi un tuo cliente.

Non è una violazione di sicurezza. Ribadisco. E' irrilevante quello che c'è scritto ogni testo è interpretabile ... e nessuno può dire che sia una distruzione accidentale, dato che per quel che mi riguarda la cancellazione è stata fatta volutamente e non in modo accidentale.

@ManagedServer.it said:

la cancellazione è stata fatta volutamente e non in modo accidentale.

Certo, ma lo sai da chi è stata fatta? Dal webmaster (terza persona) che ha costruito il nuovo sito. Tu lo sai con certezza se il webmaster ha realmente cancellato i dati aziendali? E forse ti è sfuggito ma stexxx ha parlato di parecchi dati non di qualche nome cognome e indirizzo email.
Questo è uno dei tanti motivi per cui è nato il nuovo regolamento europeo e che impone nelle azienda la figura del DPO, proprio per evitare i classici "e ma io credevo che".

Se vuoi tu puoi interpretare a tuo comodo il GDPR, mi permetto solo di dirti di fare attenzione perché il Garante lo sa interpretare molto meglio di chiunque altro.

@criceto said:

Vediamo di mettere un punto fermo ...
a) contrariamente a quanto affermato all'inizio dall'autore del post di dati nel vecchio sito ce ne stavano ... il database degli utenti per esempio, quindi era soggetto alla regolamentazione delle "misure minime".
b) la legge parlava chiaro! era compito del responsabile aziendale (nella fattispecie il boss "pirla" che ovviamente non avrà mai nominato nessuno a norma di legge in tal senso, assumendo quindi l'incarico di system administrator "ad interim") accertarsi di salvaguardare i dati in questione.
c) alla luce di quanto sopra l'azienda ha "torto marcio".

Il dlgs 196/03 risolve il problema? è quello che dici? o la gdpr comunque. giusto per averne la conferma e mettere davvero un punto fermo.

@ManagedServer.it said:

Non è una violazione di sicurezza. Ribadisco. E' irrilevante quello che c'è scritto ogni testo è interpretabile ... e nessuno può dire che sia una distruzione accidentale, dato che per quel che mi riguarda la cancellazione è stata fatta volutamente e non in modo accidentale.

visto l'andazzo e possibile che venga detto di tutto. anche e facilmente il falso. gia il capo nega che la cancellazione era concordata quindi puoi immaginare.

@hub said:

Certo, ma lo sai da chi è stata fatta? Dal webmaster (terza persona) che ha costruito il nuovo sito. Tu lo sai con certezza se il webmaster ha realmente cancellato i dati aziendali? E forse ti è sfuggito ma stexxx ha parlato di parecchi dati non di qualche nome cognome e indirizzo email.
Questo è uno dei tanti motivi per cui è nato il nuovo regolamento europeo e che impone nelle azienda la figura del DPO, proprio per evitare i classici "e ma io credevo che".

Se vuoi tu puoi interpretare a tuo comodo il GDPR, mi permetto solo di dirti di fare attenzione perché il Garante lo sa interpretare molto meglio di chiunque altro.

centinaia se non migliaia di nomi, cognomi, mail e numeri di telefono di sicuro. quasi sicuramente anche molti indirizzi parziali o totali.

adesso il capo vuole dei danni da qualcuno. pensavo che fosse chiusa e invece...
li chiede a me oppure al webmaster. io ho pagato il webmaster di tasca mia per chiuderla e andarmene. il capo mi ha fregato insomma visto che vuole dei danni da me o lui. non ho parole...

Che brutta situazione!E si che stavo cercando informazioni come nuovo iscritto al forum sul gdpr per un sito finito da un pezzo mai aperto e con il dominio di recente scaduto proprio perchè non sò applicare la privacy...cookie...etc
Mi spiace per la tua vicenda Stexx! Come sta andando?Come procede?

Stexxx cambia azienda, al massimo prima fagliela pagare al "capo", basta un app per registrare

A questo punto una letterina da un avvocato la farei scrivere all' ex capo.... che elemento!!!

Ma chiedere all'Hosting un ripristino? E' un servizio che si può richiedere (a meno che non abbiate il sito su un server interno all'azienda) fino a qualche tempo prima riesco a risalire.... avevo un cliente che metteva le mani sul suo sito e quando faceva danni aprivo un ticket all'hosting e chiedevo un ripristino a qulche giorno indietro... adesso è passato un po' di tempo.. ma chissà magari...