Re: [OT] GDPR e Debian

Il 02/01/26 23:32, Ceppo ha scritto:
> On Fri, Jan 02, 2026 at 05:26:29PM +0100, Alessandro Baggi wrote:
>> Un saluto a tutta la lista.
> 
> Un saluto anche a te!
> Provo a risponderti per quello che so, ma premetto che so qualcosa per 
> interesse personale ma non ho competenze professionali.
> 
> On Fri, Jan 02, 2026 at 05:26:29PM +0100, Alessandro Baggi wrote:
>> Mi sono ritrovato con un server sul quale gira Debian 12 e un software 
>> dove vengono memorizzati e gestiti vari dati sanitari. A questo punto 
>> la prima cosa che mi viene da pensare, essendo dati molto sensibili, 
>> che il GDPR è la prima cosa a cui guardare. Premetto che non ho 
>> esperienza al riguardo, ma devo comunque adottare le pratiche richieste.
> 
> Se tratti dati sanitari ma non hai esperienza conviene sicuramente 
> rivolgersi a qualche professionista specializzato. Con il GDPR gli 
> errori costano cari, credo che per quelli che riguardano dati di 
> "categorie particolari" (vedi art. 9 GDPR) di fatto le multe partano dal 
> centinaio di migliaia di euro.
> Mettersi e tenersi in regola è un lavoraccio e una grossa responsabilità 
> anche legale, ti sconsiglio assolutamente di lavorarci da solo come 
> informatico. Se sei un dipendente chiedi (pretendi) che come minimo ti 
> facciano assistere da qualcuno dell'ufficio legale o da un avvocato e 
> che sia chiaro dove finisce la tua responsabilità e inizia la sua.
> 
> On Fri, Jan 02, 2026 at 05:26:29PM +0100, Alessandro Baggi wrote:
>> Non ho ancora letto per intero il GDPR (cosa che farò a breve) ma 
>> leggendo in rete si parla di
>> [...]
>> Cosa manca per la conformità?
> 
> Di per sé il GDPR non richiedere *direttamente* di adottare alcuna 
> misura specifica, si limita a imporre genericamente di "garantire 
> un'adeguata sicurezza dei dati personali [...] mediante misure tecniche 
> e organizzative adeguate" (art. 5). Vero che probabilmente con questa 
> formulazione certe misure diventano obbligatorie di fatto, ma è una 
> sottigliezza che potrebbe fare la differenza.
> Per avere un'idea di cosa si fa e quindi ci si aspetta in un certo 
> settore puoi leggere qualche codice di condotta o regolamento di 
> certificazione (art. 40 e seguenti), ma il titolare del trattamento ha 
> sempre la responsabilità di valutare cosa è necessario nel proprio caso 
> specifico (principio di responsabilizzazione, art. 5).
> 
> In ogni caso, se parti da zero nel migliore dei casi ci vorrà qualche 
> mese per mettere a punto tutto quanto.
> Ora come ora non saprei dirti molto altro, se non buon lavoro!
> 
> 

Grazie mille per i consigli.

Saluti.