concordo con quanto detto da AleB, personalmente ritengo necessaria la notifica solo su situazioni molto grandi come enti pubblici, chi fa ricerche di mercato prettamente su dati sensibili e non comuni, e chi ovviamente tratta dati giuridici.

Sempre personalmente ritengo che la ditta comune, è esonerata quasi sempre dal dare notifica, alla fine sei sul confine tra autocertificazione e dps, la notifica la vedo obbligatoria solo per determinate categorie di cui per me non fai parte

Premetto di aver già preso una mia decisione che comunque non riporterò in questo forum... però ragazzi, scusate ma, a questo punto la domanda è davvero lecita perchè la confusione in tale senso è a dir poco elevata:

ho interrogato diversi esperti nel settore ponendo loro la domanda secca:

chi deve avere il dps?
chi tratta dati personali come ... e qui ci ho spiaccicato i dati che tratto io con la mia attività ... ha l'obbligo del dps?

La risposta è stata data credo senza poter sbagliare interpretazione:

Il DPS deve essere in possesso delle realtà che trattano dati sensibili non semplici dati personali per i quali è sufficiente l'informativa (come alla fine mi era stato detto anche dall'operatrice del Garante) e l'autocertificazione (da compilare al momento dell'eventuale controllo). Autocertificazione che non va creata prima nè conservata ma consegnata al controllo...

Tali modifiche sono state portate in essere dal 2008 dopo che le prime disposizioni sul DPS avevano portato non pochi disagi (chiamiamoli così qui sul forum)... La questione DPS è che dal 2008 solo chi tratta dati sensibili (notare sensibili e non personali) deve avere questo dps.

Queste sono le parole alla fine tutte condivise da chi interrogato... adesso (senza chiedermi di fare nome e cognome o numero di telefono): spade in mano e spezzetiamoci per preparare lo spezzatino per la cena? Una soluzione e parere condiviso è impossibile trovarlo o raggiungerlo?

Chi dice si, chi dice no... chi dice secondo me...
Ora non prendetela come polemica o altro ma in questo momento, mettendomi nei panni di un utente che entra in questa discussione e legge tutti questi dati, che magari è la prima volta che entra in questo forum magari per averlo trovato su google, credo che ciò che si chiederà è: ma questi sono tutti ubriachi?:?

Adesso, provo a buttare li una cosa:
cosa è un dato sensibile?
cosa è un dato personale?

dato personale, preso dal sito del garante, è: qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale.

dato sensibile: secondo il Codice sulla protezione dei dati personali (d.lgs. 196/2003), art.4, sono considerati dati sensibili i dati personali idonei a rivelare:

le convinzioni religiose, filosofiche o di altro genere,
le opinioni politiche,
l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale,
lo stato di salute e la vita sessuale

altri dati interessanti su it.wikipedia.org/wiki/Dati_sensibili

Ora mi chiedo per il mio caso personale: visto che anche nell'informativa sul nostro portale viene chiaramente riportato che nessun dato sensibile viene richiesto nè trattato o conservato... perchè dovrei io fare il dps trattando esclusivamente dati personali?

Le definizioni che dai di dati sensibili e personali sono corrette e tratte dall'art 4 del D.Lgs. 196/03.
L'art.34 dello stesso D.Lgs recita:
" Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:
[...]
g) tenuta di un aggiornato documento programmatico sulla sicurezza;"

L'Allegato B, art 19 invece stabilisce che debba fare il DPS solo chi tratta dati Sensibili e Giudiziari.

Quale delle due si applica? Nell'incertezza e per cercare di tener fede alla ratio della legge, che vorrebbe tutelare l'utente e non l'azienda, si tende a considerare il sottogruppo più ampio, cioè i dati personali. Forse chi hai interpellato non la pensa così. (Legittimo per carità. Speriamo però che l'ispettore sia d'accordo perchè è lui ad avere l'ultima parola).

Nel 2007 poi (se non erro) c'è stato il primo chiarimento ufficiale che attestava che se i dati raccolti erano solo quelli utili alla fatturazione e l'uso che se ne faceva (trattamento) era effettivamente solo quello allora e solo in quel caso si poteva fare l'autocertificazione. Infine a luglio 2008 è stata aggiunto il comma 1 bis all'art 34 che introduceva ufficialmente l'autocertificazione anche per "i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall'adesione ad organizzazioni sindacali o a carattere sindacale [...] In relazione a tali trattamenti, nonché a trattamenti comunque effettuati per correnti finalità amministrative e contabili [...]" Qui si parla di trattamenti oltre che di dati e tu i dati non li utilizzi ai soli fini della fatturazione, quindi ti collochi decisamente al di fuori dell'ambito dell'autocertificazione.

Inoltre l'autocertificazione è la prova dell'avvenuta valutazione del rischio (per rubare un'espressione alla sicurezza) e non può essere in alcun modo prodotta davanti all'ispettore. Non avrebbe neanche senso, non trovi? A che servirebbe farlo con lui? Dimostrerebbe solo che non hai fatto NIENTE per essere in regola, neanche verificare in quale regime rientri. E sempre a rigor di logica se sostituisce il DPS ne segue i tempi e la periodicità annuale.
Non so e non voglio sapere a chi hai chiesto ma IO come consulente preparo i clienti all'interpretazione più restrittiva della legge da parte dell'Ispettore. Cioè nel dubbio faccio la cosa che lo protegge di più dall'andare in contestazione. Il DPS. (nota bene: lo faccio per scrupolo e non per soldi, perchè alla fine facendo anche sicurezza nel conto finale che presento al cliente incide ben poco.)
Però aggiungo che, per me, da te non ci sono dubbi, anzi!!
Torno a dire che non mi spiego come hai potuto avere queste risposte. Per me sono a dir poco assurde. Non sono però la massima autorità in materia e non pretendo di avere la verità in tasca. Anzi se potessi indicarmi le fonti normative di queste opinioni magari potrei scoprire che sono io a sbagliare.

P.S. Scusa se ho riportato in modo un pò pedante le fonti ma mi serviva per chiarire il concetto.

Premettendo che concordo al 110% con AleB anche a questo giro, il problema fondamentale di questa legge è uno, ovvero che la legge è piuttosto strimizzita e i casi di applicabilità esagerati e capillari.

Inoltre non c'è a livello proprio statale un minimo di formazione, non viene fatto un corso anche minimo che dia linee guida, e pertanto si è costretti a dare interpretazione quanto mai personale della legge, senza avere la certezza di qualcosa.

Mi sembra inoltre veramente assurdo il discorso dell'autocertificazione da fare sul momento davanti all'accertatore, a quel punto, che senso avrebbe? Sarebbe come dire che non pago l'iva o le tasse, e poi quando ti viene un controllo, prepari l'assegno e paghi tutto...

Sulla data certa sono d'accordo, infatti la storia della data certa "sembra" sia da attribuire ad un non ricordo quale precisato evento di avvocati dal quale uscì fuori la storia della data certa.

La domanda però è: te la sentiresti di non far fare al cliente una bischerata come una semplice raccomandata o l'invio sulla pec, che magari gli evita ricorsi e cose varie, invece di farlo andare incontro a perdite di tempo? Io personalmente la data so bene che non serve, ma ho sempre sentito dire che "quello che avanza, è quello che toglie la fame" per cui con 2€ di raccomandata e data certa, passa la paura

Sulla data certa abbiamo detto tutto ormai e Bryan_Fury ha sintetizzato bene il problema. Non è un obbligo. E' l'unico mezzo che attesta sicuramente la data del DPS, che comunque una data la deve avere per forza.
Sulla "Probabile" assenza della sanzione per il DPS in ritardo possiamo essere d'accordo (e l'ho anche detto in precedenza) ma devo smentire criceto quando dice che l'ispettore non ha l'ultima parola. Purtroppo per il cliente invece ce l'ha. La legge la fa e la chiarisce (non sempre) il garante ma la applica l'ispettore. Se al cliente non sta bene quanto scritto sul verbale può sempre contestare ma penso che sappiamo tutti cosa significhi. Per questo rinnovo la domanda di Bryan_Fury: te la sentiresti di evitare una semplice PEC?

Dal punto di vista strettamente legale: che l'autocertificazione possa essere fatta sul momento è quanto di più illogico a mio avviso ci possa essere, proprio perchè va a sostituirsi ad un atto che segue tempistiche ben precise. Normalmente, quando si modifica qualcosa in una legge, si mantiene fermo ciò che non è stato espressamente cambiato. Perchè qui dovrebbe essere diverso? E poi: se non la fai sei sanzionabile (e qui penso che siamo tutti d'accordo) ma se puoi tranquillamente farla davanti all'ispettore allora sarebbero sanzionabili solo coloro che si rifiutano di farla al momento. Onestamente non vedo come ciò sia possibile. (mie opinioni s'intende)

P.S. Criceto scrive "la baggianata della data certa che si continua terroristicamente a proporre al volgo."
Faccio notare che a sostenere l'opportunità della data certa siamo due consulenti con una propria professionalità e che non abbiamo nessun fine terroristico al riguardo. Seppur con pochi messaggi all'attivo sto cercando di dare un contributo senza offendere nessuno e mi sembra che Bryan_Fury stia facendo lo stesso. Per me la cosa finisce qui ma non vorrei che i toni si alzassero nuovamente.

Ragazzi ragazzi... certo che le temperature qui si alzano subito!
E' se vi trovaste in un convegno dove si discute di DPS che fate? Vi menate davanti alla folla?

Su dai.. cercate di chiarirci, almeno voi del settore, cosa è giusto e no... e gli animi bollenti mettiamoli da parte (come dice anche la linea editoriale di GT)

Criceto scusami ma non vorrei essere preciso fino all'eccesso ma, credo di parlare a nome di tutti quelli che - come nel mio caso - fanno ricorso al parere professionale esterno di chi più di noi comprende e tratta questi argomenti:

è vero che il settore Leggi Italiane è tanto complesso quanto facile da interpretare con errori, ma, scusandomi anche per questo "parlare senza peli sulla lingua" mi chiedo ancora una volta:

ma un utente che entra in questa discussione cosa va a pensare? e parlo anche di utenti che magari seguono da tempo il forum di giorgiotave...

E' vero che ad ogni modo non si può considerare il forum, qualsiasi forum, come punto di informazioni certe eventualmente utilizzabili come prova davanti ad eventuali contestazioni da parte di ispettori o altro, ma visto che nel forum sono presenti categorie così delicate, dove è possibile ricevere almeno minime delucidazioni, vorrei capire:

cosa deve arrivare a pensare una persona, che ignorante in materia, si mette completamente nelle vostre mani sperando che almeno qui riceverà qualche risposta alle sue domande? Risposte che se paragonate insieme lasciano comunque il dubbio?

Alla fine come ho detto si discute e si cerca di comprendere quale possa essere la strada migliore e corretta. E non vorrei essere compreso in modo errato ma se in questa discussione intervengono 3 persone che dicono di "trattare questo argomento professionalmente" ma già queste 3 persone arrivano a "litigare sul chi ha ragione o meno"... capirai che tutta la discussione perde completamente serietà...

Non credo sia questo il giusto modo di supportorare chi in ricerca di supporto. Non mi pare corretto nemmeno il "me ne lavo le mani" avanzato ora con il consiglio > suggerire a chi ha dubbi di rivolgersi ad esperti del ramo visto che, non vorrei ricordarlo, già qui voi vi siete firmati come "esperti del ramo offrendo ai vostri clienti un tale supporto". Allora mi chiedo: ma cosa dite ai vostri clienti?

@criceto said:

Non posso quindi che suggerire a chi ha dubbi di rivolgersi ad esperti del ramo e far fare a loro le pratiche relative e seguire scrupolosamente il loro dettato senza dimenticare di far firmare liberatoria e presa di responsabilità ai compilatori della pratica stabilendo in modo chiaro il diritto di rivalsa in caso di sanzioni, allora si che potrete stare tranquilli (almeno finanziariamente).

Partendo dal presupposto che la Responsabilità Penale è personale anche la civile per la legge è in capo al cliente e non al consulente. La prima è non delegabile per definizione , la seconda lo è per quanto scritto nel D.Lgs. 196 (hai trovato qualche passo del decreto che faccia riferimento al consulente? Da quando in qua i documenti della Privacy li firma il consulente?)
A mio avviso quindi non esistono liberatorie e/o diritto di rivalsa ma se mi indichi la fonte normativa mi posso informare.

x one_to_one: hai ragione ad essere confuso.
Neanche il consulente più bravo e rinomato del mondo può darti la certezza di essere a posto al 100%. Secondo me ad articolo si risponde solo ed esclusivamente con articolo e, nel dubbio, tutelo il cliente interpretando nel modo più stringente possibile la legge.
Ma un altro consulente può essere talmente sicuro delle proprie idee da non ritenere di dover attuare quello che per me invece è fondamentale.
Non esiste un modo assoluto di vedere le cose, altrimenti non staremmo qui a parlare. Anzi proprio perchè siamo tre consulenti del settore portiamo avanti ognuno un nostro ragionamento basandoci sulla nostra formazione legale. Tu puoi solo leggerli tutti e tre ed arrivare ad una tua personale conclusione. Supporto migliore non penso si possa dare.
Personalmente ti garantisco che risponderò a tutte le tue domande come fatto fino adesso, ma ricorda sempre che è solo la MIA opinione.

AleB non fraintendere il mio tono o quanto ho scritto.

Coem ho già detto per quanto riguarda la mia attività, il mio particolare caso ho già preso la decisione che ho ritenuto più giusta.

Però non nego di essere comunque interessato alla questione, anche rifacendomi alla mia passione/hobby di documentarmi anche sotto l'aspetto legislativo/fiscale del paese. Per questo continuo ad intervenire qui facendo altre domande o chiedendo chiarimenti o ancora cercando un punto in comune fra voi tre

So benissimo, infine, che qui si discute e si cerca di aiutare con il proprio parere, che è sempre ben visto ci mancherebbe

No anzi, ti capisco in pieno.
A volte è frustrante per me che sono del settore cercare di capire, figurarsi per chi si avvicina come utente.
Fai benissimo ad informarti e a proporre dubbi e questioni. Inoltre le tue domande sono uno strumento utilissimo per chi come me ha necessità di avere sempre le idee chiare.
Se ne hai la possibilità quando chiedi informazioni fatti dire su cosa basano i loro ragionamenti i tuoi interlocutori. Per quanto sia autorevole chi ti parla, senza un riferimento normativo opponibile in sede di controllo "le chiacchiere stanno a zero".

Una domanda: ma io ho litigato con qualcuno? Perchè a me sembrava di essere in una discussione dove stavo parlando in modo civile e tranquillo

a parte questo, è ovvio che ognuno anche tra chi tratta la cosa come consulente abbia visioni diverse, le hanno i giudici stessi su tanti temi, figuriamoci qua sulla questione privacy che ha una legge anche piuttosto scarna...

io però ripeto quanto ho cercato di dire anche nei precedenti post, ovvero per me i controlli sono pochi e quei pochi sono spesso a discrezione dell'accertatore; ho la sensazione (e ripeto mia e personale) che in caso di controllo, esibendo un dps "reale" che testimoni sia di essere in regola con i termini stabiliti, sia con le norme basilari, l'eventuale accertatore non penso vada a sindacare sulla virgola messa fuori posto... resto tuttavia molto scettico per quanto riguarda l'autocertificazione da produrre sul momento, che dubito fortemente un accertatore sarebbe lieto di accettare.

Purtroppo anche qua i casi sono pochi, leggevo (non ricordo dove però) che su circa 450 controlli in tutta italia lo scorso anno, circa 350 hanno preso sanzioni, quasi totalmente a causa della totale mancanza di dps... è per quello che penso che di fronte ad un dps redatto in tempo e con le giuste modalità, non ci dovrebbero essere problemi, con un'autocertificazione dubito, altrimenti anche i controllati avrebbero potuto farla sul momento...

Ancora una volta quoto in pieno Bryan_Fury.

Purtroppo invece mi trovo a dissentire ancora una volta con Criceto e a chiedergli gentilmente di continuare ad intervenire sulla rivalsa perchè onestamente mi interessa molto.
Perdonami se adesso divento pedante ma devo chiarire la domanda, dato che evidentemente non sono stato in grado di farmi capire.
Una buona definizione di fonte giuridica è questa ""La fonte giuridica è ogni atto o fatto a cui l'ordinamento giuridico riconosce il potere di modificare o abrogare le norme giuridiche". In particolare le fonti sono queste: Costituzione, leggi ordinarie, leggi regionali, regolamenti, usi e consuetudini (in determinate circostanze). Le norme contrattuali non sono tra queste. Su tuo consiglio inoltre ho (ri)aperto il codice civile e ho (ri)letto l'art. 1321 c.c.. Come ricordavo definisce il contratto come l'accordo tra due o più parti per costituire, regolare o estinguere tra loro un rapporto giuridico patrimoniale.
Ha forza di legge [solo] tra le parti quindi definirlo "riferimento normativo" è sbagliato, sia dal punto di vista legale che italiano del termine.
Detto questo se un consulente si accolla volontariamente, nel contratto eventuali sanzioni e spese a carico del cliente sono affari suoi. E' liberissimo di farlo. Certo che IN QUEL CASO il cliente fa rivalsa basandosi su una clausola espressa del contratto. Non in forza di legge.
Quello che chiedevo però era se nel diritto italiano esistesse una norma risalente ad una fonte del diritto (tra quelle tassativamente indicate) che assicuri il diritto di rivalsa. Il libero incontro delle volontà sancito dal contratto è tutt'altra cosa.
Cercherò di essere ancora più chiaro: se nel contratto tra me e il cliente NON c'è la clausola a cui fai riferimento a cosa può attaccarsi il cliente che ha pagato una multa? (premesso che ovviamente non c'è dolo da parte mia).
Non voglio assolutamente spingere oltre il limite questa questione ma esprimere un mio dubbio serio e sarei grato a chiunque volesse aiutarmi a chiarirlo.
L'avvocato ha una obbligazione di prestazione e il commercialista di risultato (non sono sicuro che per lui sia sempre così ma diamolo per scontato).
Noi consulenti che ufficialmente aiutiamo a compilare i documenti senza però sostituirci ai clienti dove ci collochiamo?

P.S. Stiamo andando OT quindi forse sarebbe meglio aprire un nuovo topic. Ho risposto qui per seguire il filo del ragionamento ma se si intende continuare forse sarebbe meglio spostarsi.

@one_to_one said:

......ma un utente che entra in questa discussione cosa va a pensare? ..........

...........cosa deve arrivare a pensare una persona, che ignorante in materia, si mette completamente nelle vostre mani sperando che almeno qui riceverà qualche risposta alle sue domande? Risposte che se paragonate insieme lasciano comunque il dubbio?

Alla fine come ho detto si discute e si cerca di comprendere quale possa essere la strada migliore e corretta. E non vorrei essere compreso in modo errato ma se in questa discussione intervengono 3 persone che dicono di "trattare questo argomento professionalmente" ma già queste 3 persone arrivano a "litigare sul chi ha ragione o meno"... capirai che tutta la discussione perde completamente serietà...

............. Allora mi chiedo: ma cosa dite ai vostri clienti?

Cerchiamo di capirci, questo è un forum di consigli, dove si discute di problemi di vario tipo, ognuno dando la propria interpretazione sulla problematica oggetto della discussione. Da nessuna parte si dice che qui si forniscono consulenze aventi valore di legge (anche perchè è vietato), l'invito è di appronfondire chiedendo agli esperti della materia contattandoli al di fuori di un forum, nei loro studi, dove parlano utilizzando il loro nome e cognome, e quindi sono responsabili di ciò che dicono, e in certi casi ne rispondono anche civilmente.

Poi, ovvio, se a forza di seguire un utente ritenete che quell'utente sia competente in una certa materia, allora potrebbe anche darsi il caso che finiate per fidarvi delle sue argomentazioni, ma il consiglio principale è sempre quello di approfondire il discorso, specialmente in presenza di attività commerciali, dove si rischiano sanzioni.
Non voglio dire che quello che viene scritto in un forum sono stupidaggini, tutt'altro, ma non può nemmeno essere accettato il discorso che le argomentazioni espresse in un forum possano sostituirsi ad un parere legale od una consulenza personalizzata svolta da un professionista che ci mette la faccia, il nome ed è responsabile di quanto asserisce.

E questo senza nulla togliere ai professionisti e non che forniscono consigli sulla base delle loro esperienze, in maniera del tutto gratuita e disinteressata, pur non essendone tenuti, che vanno senz'altro ringraziati.

Ciao bsaett
Immaginavo ed a dire il vero temevo un intervento simile seppure sono rimasto quasi mezz'ora fermo pensando se salvarlo o meno e ti spiego perchè alla fine ho pensato di salvarlo: come già ho potute vedere dalla risposta di AleB immaginavo che alla fine il significato del mio scrivere in quel modo sarebbe stato inteso, anche perchè non mi pare di aver mai scritto che una consulenza (chiamiamola "un parere" visto che di consulenza su un forum non è mai possibile parlare) potrebbe essere usata con valenza a tutti gli effetti di legge... come hai detto tu, giustamente anche essendo del settore, mi pare un po' assurdo oltre che vietato.

Ad ogni modo che altro dire: un parere tuo per questo argomento intitolato DPS?

Ciao One_to_one,

la mia non era una critica, ma un modo di rimarcare quale differenza esiste tra un semplice consiglio (parere se preferisci) dato su un forum da persone delle quali si sconosce la competenza e l'identità, ed una consulenza effettuata da un professionista con nome e cognome. Sono due cose non paragonabili in alcun modo.
Un semplice parere può andare bene se si tiene presente il suo limite, era questo che intendevo.

In merito al Dps, non essendo materia di mia competenza più di quello che ho già detto in precedenza non ho altro da aggiungere. Ma credo che valutando attentamente quanto scritto da altri, vi sia un'ottima base di partenza.

Novità in arrivo sia proprio per chi deve redarre il dps lato ditta, sia per i consulenti veri e propri, dato che a breve dovrebbe essere inserita una sorta di figura professionale specifica che richieda certificazioni iso e specifici parametri per poter redarre il dps ed essere considerati consulenti a tutti gli effetti anche dalla legge