Salve, ho il caso di un'assistente virtuale libera professionista che è stata nominata dal suo titolare Responsabile Trattamento. Nella nomina l'assistente viene denominata in questo documento come "Fornitore"e vi è un punto che dice così:
Il Fornitore si impegna a conformarsi al Provvedimento generale del Garante per la protezione dei dati personali del 27 novembre 2008 “Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema”, così come modificato dal Provvedimento del Garante del 25 giugno 2009, e ad ogni altro pertinente provvedimento dell’Autorità.
Il Fornitore si impegna, in particolare, a:
i) designare quali amministratori di sistema le figure professionali dedicate alla gestione e alla manutenzione di impianti di elaborazione o di loro componenti con cui vengono effettuati trattamenti di Dati personali;
ii) predisporre e conservare l’elenco contenente gli estremi identificativi delle persone fisiche qualificate quali amministratori di sistema e le funzioni ad essi attribuite;
iii) comunicare periodicamente al Titolare l’elenco aggiornato degli amministratori dei sistemi;
iv) verificare annualmente l'operato degli amministratori di sistema, informando il Titolare circa le risultanze di tale verifica;
v) mantenere i file di log previsti in conformità a quanto previsto nel suddetto provvedimento
Quindi tocca a lei nominare gli amministratori di sistema???? non è il titolare che deve comunque fare questa nomina così come l'ha fatta a lei?
Poi come secondo punto:
11.2 È fatto divieto al Responsabile di ricorrere, per l'esecuzione delle attività di trattamento di Dati Personali oggetto del presente atto, ad ulteriori responsabili (di seguito, “Sub-responsabili”) senza la preventiva autorizzazione scritta del Titolare.
A tal fine, il Responsabile sarà tenuto a comunicare per iscritto alla Società:
i. la denominazione e la sede legale dei Sub-responsabili di cui intende avvalersi;
ii. il luogo in cui essi svolgono la loro attività se diverso dalla sede legale;
iii. informazioni dettagliate circa le attività di trattamento che, con riferimento ai Servizi, verranno ad essi affidate.
Io, come consulente che l'ho seguita per la redazione delle SUE informative e del SUO registro trattamenti comunque non rientro in questi sub -responsabili, corretto? Perchè non sono venuta a contatto con i dati dell'azienda per cui lavora.
AMMINISTRATORI DI SISTEMA. Se si ritiene che la figura esista (io ritengo di no) allora è il titolare che deve procedere, anche per il tramite del Responsabile, a acquisirne le informazioni e a nominarli.
SUB-RESPONSABILI: quanto descritto è corretto. Il GDPR consente al titolare di rifiutare la nomina di sub-responsabili.
Il consulente che non tratta dati NON è nè responsabile nè amministratore di sistema
Lei comunque li tratta i dati dell'azienda (e anche alcuni dati particolari) essendo assistente virtuale, quindi sarebbe errato definirla Consulente (poi non so, non me ne intendo)...
A parte questo, la nomina di amministratore sistema (concordo con te della "non esistenza" di questa figura, ma capisci anche che lei non è che può andare dal titolare e dirgli "guardi che la figura non esiste" :D quindi deve per forza fare quello che le viene detto) la deve fare direttamente lei? cioè deve scrivere "la sottoscritta Pippa in qualità di resp. tratt. dati NOMINA Pippo come amministratore di sistema" oppure aiuta solamente il titolare e quindi è il titolare che deve firmare il documento? grazie
Aggiungo : nella nomina compare una clausula: " Eventuali evoluzioni e/o modifiche delle misure di sicurezza resesi necessarie a causa di modifiche e aggiornamenti della normativa in materia di protezione dei dati personali saranno adottate ed implementate dal Fornitore (cioè lei) e/o suoi eventuali subappaltatori a onere e spese del Fornitore stesso. ":
Ok per quanto riguarda le misure che deve adottare lei per il suo lavoro, ma da responsabile trattamento visto che in realtà è lei che nomina nomina l'amministratore di sistema non è che si deve anche accollare le spese di quest'ultimo per sistemare la rete? No, vero?
Riflettendo su quanto scritto nella nomina (la parte dell'amm.sistema che ho postato nel primo messaggio) lei comunque è responsabile del trattamento per i servizi erogati da Lei all'azienda e quindi Lei praticamente chi nomina come amministratore di sistema se lei fa tutto on line utilizzando Dropbox e simili?? Deve nominare per forza un amministratore che metta " in regola" il suo pc???? (lei questa cosa praticamente l'ha già fatta a sue spese, ovviamente per la sua attività in generale, chiamando un tecnico).
Cosa deve fare quindi nel dettaglio?