Source: http://docplayer.it/1150832-Bring-your-own-device-analisi-legale-linee-guida-in-material-di-byod-corporate-policy.html
Timestamp: 2018-06-20 23:32:02+00:00

Document:
BRING YOUR OWN DEVICE. Analisi legale & Linee guida in material di BYOD corporate Policy - PDF
BRING YOUR OWN DEVICE. Analisi legale & Linee guida in material di BYOD corporate Policy
Download "BRING YOUR OWN DEVICE. Analisi legale & Linee guida in material di BYOD corporate Policy"
1 BRING YOUR OWN DEVICE Analisi legale & Linee guida in material di BYOD corporate Policy
2 Sommario 1. Che cos è il BYOD? 2. Benefici e rischi del BYOD in Italia e in Europa 3. BYOD e Policies aziendali in uso 4. Aspetti legali e Privacy da tenere in considerazione nell implementazione di una Politica di BYOD 5. Suggerimenti pratici in materia di Politiche BYOD Abstract Questo documento vuole fornire una panoramica giuridica sull attuale fenomeno del cd. BYOD (Bring your own Device), alla luce della normativa comunitaria in materia di privacy e protezione dei dati personali. Lo scopo è duplice: (i) evidenziare le principali questioni legali emergenti in materia di BYOD e tutela delle informazioni personali (ii) e mostrare i principali elementi da tenere in considerazione nel corso della stesura di una efficace BYOD Corporate Policy. In tal modo, si forniscono alle Imprese gli strumenti di base necessari per valutare con cognizione gli effetti di un applicazione del BYOD nella singola azienda o a livello di Gruppo, partendo da un analisi praticaoperativa dei rapporti tra vantaggi economici e rischi legali. Autori Domenico Converso, LL.M. Senior Associate at ICT Legal Consulting Paolo Balboni, Ph.D. Founding Partner at ICT Legal Consulting BYOD 2
3 1. COS E IL BYOD? I dispositivi mobili sono prodotti di consumo che ormai dominano il mondo del commercio internazionale e che di fatto hanno determinato drastici cambiamenti nella gestione delle relazioni interpersonali e nel modo di fare affari. Si registra, infatti, una smisurata crescita nella popolarità, nell utilizzo e nelle capacità tecniche d uso di simili dispositivi, i quali sono ormai in grado quantomeno per capacità computazionali - di sostituire qualsivoglia tipologia di personal computer o altro elaboratore. Per queste ragioni molti datori di lavoro si trovano a gestire, sempre con maggiore frequenza, richieste provenienti dai loro dipendenti i quali chiedono di poter utilizzare i propri dispositivi mobili sul posto di lavoro per lo svolgimento delle loro mansioni loro assegnate. Questo trend è comunemente conosciuto come Bring Your Own Device (BYOD), espressione con la quale si fa riferimento all utilizzo da parte dei dipendenti dei propri dispositivi mobili al fine di accedere, conservare e trattare informazioni e applicazioni aziendali. In altre parole, il termine BYOD allude all utilizzo, da parte dei dipendenti, dei propri apparecchi per accedere alle reti e ai contenuti di proprietà dell azienda. Tale definizione del fenomeno in analisi, tuttavia, necessita di alcuni chiarimenti interpretativi, specie in relazione al significato ed al perimetro concettuale dei suoi 3 elementi costitutivi, ovvero: 1. dispositivi mobili; 2. dipendenti; 3. informazioni aziendali; 1. La definizione di BYOD è innanzitutto strettamente connessa al concetto di dispositivo mobile, da intendersi quale dispositivo di elaborazione portatile dotato di sistema operativo proprio (O.S.), funzionalità e capacità informatiche di diversa natura (Wi-Fi, Bluetooth, GPS, fotocamera etc.) ed in grado di supportare applicazioni software, meglio conosciute come Apps. Nonostante la molteplicità di dispositivi mobili attualmente presenti sul mercato ed aventi le suesposte caratteristiche, una corretta interpretazione della definizione di BYOD impone di restringere il campo d applicazione a telefoni cellulari, smartphone, PDA e tablets. 2. La definizione di BYOD, inoltre, poggia sul concetto di dipendente, in relazione al quale si rende necessario qualche breve cenno chiarificatore. Questo termine, infatti, non è utilizzato in maniera corretta poiché implica BYOD 3
4 letteralmente l esistenza di un rapporto di lavoro cd. subordinato. Le Politiche di BYOD, al contrario, interessano la ben più ampia categoria dei lavoratori, da intendersi quali individui che lavorano per conto di un soggetto, indipendentemente dall esistenza di un contratto di lavoro subordinato. Si pensi, a titolo esemplificativo, alle figure professionali rientranti all interno delle varie forme di rapporto di lavoro parasubordinato (co.co.pro, contratti a progetto, etc.) o autonomo, quali: lavoratori a progetto; freelance; consulenti; professionisti; etc. 3. Infine, l ultimo elemento costitutivo della definizione di BYOD è rappresentato dal concetto di informazione aziendale, il quale si è soliti riferire a quelle informazioni/dati relativi e/o comunque connessi in modo funzionale all organizzazione aziendale. Si noti bene, tuttavia, che in caso di dati e/o informazioni (aziendali) qualificabili come personali 1, l azienda agirà in qualità di Titolare del trattamento 2, con la conseguenza che la stessa sarà tenuta a rispondere dei trattamenti illegittimi di dati posti in essere dai propri dipendenti su dispositivi mobili di proprietà dei medesimi. 2. BENEFICI E RISCHI DEL BYOD IN ITALIA E IN EUROPA Sia in Italia che in tutta Europa il BYOD rappresenta sempre più un fenomeno in grado di generare al contempo enormi benefici e rischi considerevoli. Benefici Con riferimento ai benefici, le Imprese devono seriamente considerare che il BYOD è in grado di determinare un grande aumento della produttività e 1 Ai sensi dell art. 4, comma 1, lett. B) del D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) per dato personale si intende qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. 2 Ai sensi dell art. 4, comma 1, lett. F) del D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) per titolare del trattamento si intende la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. BYOD 4
5 dell innovazione aziendale. I dipendenti, infatti, si trovano più a loro agio e sono più efficienti nell utilizzo di dispositivi mobili di loro proprietà. Oltretutto gli utenti hanno oggigiorno generalmente acquisito una significativa abilità tecnicoinformatica nell uso di simili dispositivi, i quali sono spesso sottoposti (dai legittimi proprietari/lavoratori) a continui aggiornamenti software, con indubbi vantaggi in termini di innovazione per l azienda beneficiaria. Inoltre, permettere ai dipendenti di utilizzare i propri dispositivi per svolgere le proprie mansioni lavorative evita loro di dover gestire e portar con sé più dispositivi (quello personale e quello aziendale), con rilevanti conseguenze anche in termini di soddisfazione dei propri dipendenti. Dal punto di vista del contenimento dei costi, invece, il fenomeno del BYOD permette alle Imprese ampi margini di risparmio semplicemente traslando i costi sull utente/lavoratore, il quale si farà carico delle spese relative all acquisto, alla gestione e all aggiornamento del dispositivo mobile e delle relative applicazioni e servizi connessi. Infine, il BYOD offre la possibilità di porre la protezione dei dati personali al centro dei propri affari e di elevare gli standard e le best practice aziendali (Privacy as an Asset), ad esempio specificando espressamente quali tipologie di dati personali possono essere conservati sui dispositivi mobili di proprietà del lavoratore e quali invece no (si pensi, a titolo esemplificativo, alla conservazione di dati sensibili). Rischi Quanto ai rischi, invece, si consideri che il fattore di maggior problematicità è rappresentato dall utilizzo promiscuo e per finalità differenti (lavorative e personali) dei dispositivi mobili da parte dei lavoratori. Analizzando il concetto in ottica privacy e protezione dei dati personali la conseguenza inevitabile è che il dipendente/lavoratore gestisce ed utilizza per fini aziendali il dispositivo di sua stessa proprietà, mentre il datore di lavoro/impresa è il soggetto obbligato a conformarsi alle prescrizioni e regole di cui al D.Lgs. 196/2003 (cd. Codice della Privacy) e a ogni altro obbligo previsto dalla normativa in materia di protezione dei dati personali. In particolare, come chiarito dall Information Commissioner s Office (la prima Autorità europea per la protezione dei dati personali ad aver emanato delle linee BYOD 5
6 guida 3 in merito), l Impresa interessata all implementazione del BYOD sarà tenuta a considerare, in ottica preventiva, i seguenti aspetti: la tipologia e la natura dei dati trattati; il luogo di conservazione dei dati; le modalità di trasferimento e il flusso dei dati; le possibilità di perdita/alterazione dei dati; il livello di commistione/promiscuità tra finalità personali e aziendali nei trattamenti dei dati; il livello di sicurezza dei singoli dispositivi mobili; gli effetti di una potenziale conclusione del rapporto lavorativo tra Impresa e lavoratore; e le modalità di gestione di eventuali perdite, furti, malfunzionamenti e/o rotture di un dispositivo. È pertanto opportuno sottolineare che l Impresa interessata all implementazione di politiche di BYOD sia ampiamente consapevole della sua qualifica di Titolare del trattamento, con la conseguenza di porre in essere soluzioni in grado di controllare e quindi regolamentare i flussi e i trattamenti di dati personali, a prescindere dalla proprietà e/o disponibilità materiale del dispositivo mobile sul quale avvengono. Il paradosso del BYOD, pertanto, è quello di un fenomeno estremamente interessante in termini di analisi costi/benefici ma che comporta per l Impresa una perdita significativa di controllo sulle proprie risorse informatiche (le quali vengono di fatto mutuate dal patrimonio del lavoratore) con contestuale incremento di obblighi e responsabilità in materia di privacy e protezione dei dati personali. Ed è proprio sulla scorta di tali considerazioni che trova ragione il presente documento, il quale intende fornire suggerimenti pratici e linee guida operative alle Imprese interessate al fenomeno in modo tale da permettere alle stesse di beneficiare delle enormi opportunità del BYOD, gestendone al contempo i relativi rischi. 3 Cfr., sul punto, Information Commissioner s Office, Bring your own devices rotection/practical_application/ico_bring_your_own_device_byod_guidance.ashx BYOD 6
7 3. BYOD E POLICIES AZIENDALI IN USO L Impresa, come accade di frequente, ha già in essere determinate Policies aziendali, le quali sono in qualche modo connesse o comunque relative, seppur indirettamente, al fenomeno in analisi (si pensi, ad esempio, alle policies sui dispositivi aziendali, alle Social media policies, alle Policies sull accesso alle reti wireless dell azienda o a quelle sull utilizzo dell e della rete Internet da parte dei dipendenti). E di fondamentale importanza, tuttavia, che vi sia coerenza e uniformità regolamentare nell integrazione delle politiche di BYOD con le policies aziendali già esistenti! La maggior parte delle Policies attualmente in vigore, infatti, regolamentano l utilizzo e le misure di sicurezza delle risorse informatiche aziendali sul presupposto che tali risorse siano di fatto di proprietà dell Impresa e quindi di conseguenza soggette in quanto tali ad un potere di controllo della stessa. Tali Politiche aziendali, pertanto, regolamentano qualsivoglia tipologia di strumentazione informatica o dispositivo mobile aziendale, senza distinzione alcuna tra risorse di proprietà dell azienda e risorse di proprietà del lavoratore. È tuttavia un grave errore stabilire le medesime regole per i dispositivi personali e per quelli cd. aziendali ; ma altrettanto inutile appare la predisposizione di politiche differenti per le due tipologie (d uso) dei dispositivi, dal momento che un simile intervento correrebbe il rischio di generare solo confusione e inutile proliferazione di documenti all interno dell azienda. Pertanto, a prescindere dalla scelta fatta dall azienda in relazione all architettura delle politiche interne in materia di corretta gestione delle risorse informatiche, si raccomandano interventi clinici sulle Policies aziendali già esistenti in modo tale da determinare i giusti perimetri applicativi tra dispositivi personali e dispositivi aziendali. BYOD 7
8 4. ASPETTI LEGALI E PRIVACY DA TENERE IN CONSIDERAZIONE NELL IMPLEMENTAZIONE DI UNA POLITICA DI BYOD Al fine di redigere un efficace Politica BYOD, le problematiche da affrontare appaiono numerose e diversificate. Si consideri, infatti, che: o l azienda non è proprietaria e non controlla fisicamente i dispositivi mobili; o la mole di dati personali coinvolti nelle operazioni di trattamento poste in essere dai lavoratori è solitamente molto ampia; o i dati personali e le informazioni possono potenzialmente essere allocati in diverse sedi/datacenter; o il recupero/rimozione dei dati personali dai dispositivi mobili molto spesso si rivela operazione estremamente complessa. Dagli elementi sinora richiamati origina un significativo numero di problematiche legali e considerazioni relative alla tutela della privacy e alla protezione dei dati personali, che qui di seguito si andranno a sviluppare con approccio pratico e maggiore profondità. La distinzione dei ruoli privacy È importante innanzitutto sottolineare che, in fase di implementazione aziendale di politiche di BYOD, le Imprese opereranno in ottica privacy (nazionale e/o comunitaria) in qualità di Titolari del trattamento. Con la conseguenza che saranno tenute, per legge, a porre in essere su dispositivi mobili non-aziendali (bensì di proprietà dei singoli lavoratori) le appropriate misure tecniche di sicurezza previste dalla normativa a tutela dei dati personali dei soggetti interessati. A questo proposito, la Direttiva EU in materia di protezione dei dati personali (art Direttiva 95/46/EC) prescrive espressamente quanto segue: il Titolare del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall'alterazione, dalla diffusione o dall'accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all'interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia BYOD 8
9 e dei costi dell'applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere. Il punto, d altronde, trova una conferma anche all interno dell ordinamento giuridico italiano, dove il Codice della privacy (D.Lgs. 196/2003) agli artt. 31 e ss. si preoccupa di prescrivere ai Titolari del trattamento il rispetto delle misure di sicurezza, minime e/o idonee, da porre in essere prima di effettuare determinati trattamenti di dati. La gestione di diverse categorie di dati personali Un altra fondamentale questione giuridica relativa al trattamento dei dati personali da tenere in seria considerazione in caso di implementazione aziendale di politiche di BYOD è rappresentata dal trattamento, attraverso il dispositivo di proprietà del lavoratore, di molteplici tipologie di dati personali. In ottica BYOD, si è soliti procedere a una categorizzazione iniziale dei medesimi distinguendoli sin da subito in due macro-aree: da una parte le informazioni aziendali (ovvero quelle rientranti nel perimetro di competenza dell Impresa poiché funzionalmente connesse all organizzazione e/o agli interessi aziendali); dall altra le informazioni non aziendali (ovverosia tutte quelle tipologie di dati personali trattati per finalità non rientranti in quelle propriamente lavorativo-professionali). Per esemplificare, si pensi (con riferimento alla prima macro-area) alle aziendali, ai documenti e ai messaggi di testo scambiati con colleghi, clienti, potenziali clienti e/o fornitori, etc. Quanto invece alla seconda macro-area (ovvero quella composta dalle informazioni non aziendali) si pensi invece a tutti quei dati trattati dall utente per scopi puramente personali ( personali, immagini, numeri di telefono, contatti ecc). Il problema che il BYOD pone, tuttavia, è rappresentato dalla gestione promiscua delle due tipologie differenti di informazioni di cui sopra. Ed infatti i dispositivi mobili di proprietà dei lavoratori ed utilizzati dai medesimi anche in contesti aziendali di fatto gestiscono entrambe sia le informazioni aziendali che quelle non aziendali. Ad esempio, tutte le , le immagini e i contatti sia personali che aziendali sono spesso allocati sullo stesso database del dispositivo mobile, il quale tra l altro è posto sotto la responsabilità privacy dell Azienda-Titolare del trattamento. BYOD 9
10 Nonostante gli attuali dispositivi non supportino configurazioni originarie tali da consentire una separazione tra queste differenti tipologie di informazioni e dati personali, è pertanto cura delle Imprese adottare solide Politiche di BYOD capaci di specificare accuratamente quali dati possono essere conservati sul dispositivo e quali invece devono essere trattati in un ambiente più ristretto (ad esempio, attraverso l utilizzo di Mobile Apps dedicate al trattamento di informazioni aziendali ovvero alla conservazione/allocazione delle stesse solo all interno dell infrastruttura informatica dell Aziendale piuttosto che all interno del dispositivo mobile). Mantenere pertanto una netta e chiara separazione tra i dati personali trattati per conto dell Azienda-Titolare del trattamento e quelli trattati per scopi puramente personali del proprietario del dispositivo, può permettere alle Imprese intenzionate all implementazione del BYOD di giovare dei suoi benefici minimizzando al contempo rischi e responsabilità. La gestione di differenti finalità di trattamento L utilizzo del BYOD, inoltre, può accrescere il rischio che i dati personali siano trattati per scopi differenti da quelli per cui sono stati originariamente raccolti, conservati più a lungo del necessario ovvero non aggiornati come richiesto dal soggetto interessato. Se infatti più copie di un medesimo dato sono allocate su dispositivi diversi (mobili e non), il rischio che gli stessi siano trattati per finalità incompatibili rispetto a quelle dichiarate originariamente all interessato, che necessitino di rettifiche e/o aggiornamenti ovvero che vengano conservati per un periodo di tempo più esteso rispetto a quello normativamente previsto, è sempre maggiore. Si aggiunga che se più copie di un medesimo dato sono allocate su più di un dispositivo, risulta di estrema complessità l esercizio da parta dei soggetti interessati dei propri diritti di accesso/ rettifica/cancellazione, dal momento che la disseminazione indistinta di quelle informazioni ne potrebbe seriamente complicare il successivo reperimento. Sulla scorta di quanto sopra, pertanto, si suggerisce di inserire all interno delle proprie Policies di BYOD (ed eventualmente nei contratti di lavoro) elementi tali da vincolare i propri lavoratori/collaboratori a: 1) connettersi ad una infrastruttura informatica aziendale in caso di trattamento di informazioni relative all azienda (informazioni aziendali); BYOD 10
11 2) trattare i dati personali dell azienda solo ed esclusivamente per finalità aziendali. La specificazione del luogo di allocazione dei dati Data location. I dati personali trattati attraverso dispositivi mobili possono risiedere principalmente in tre luoghi: 1) sul dispositivo mobile stesso; 2) su un server interno alla rete IT aziendale o in un cloud privato; 3) in un cloud pubblico. La migliore soluzione appare quella di cui al punto n. 2 (rete aziendale o private cloud): in questo caso, infatti, l Impresa è in grado di adempiere ai necessari obblighi previsti dalla normativa in materia di privacy e protezione dei dati personali senza che sia necessario accedere ai dispositivi mobili dei propri lavoratori/collaboratori. Inoltre, ulteriore accorgimento da tenere in considerazione è rappresentato dalla necessità per l Azienda di dotarsi (regolamentandone i relativi aspetti nella BYOD Policy) di idonee procedure di back-up e sincronizzazione dei dati del dispositivo mobile sulla rete aziendale o sul cloud privato aziendale. Ciò essenzialmente per due ordini di ragioni: 1) Alcune tipologie di dati, infatti, sono tecnicamente irrecuperabili all interno del mobile device dell utente. Si pensi, a titolo esemplificativo, al fatto che gli attuali smartphone non consentono spesso di conservare lo storico delle chiamate, i messaggi di testo, la cronologia e/o la cache del browser in modo illimitato (ovvero sin dal principio). 2) Gli operatori di telecomunicazioni, inoltre, non sempre sono legittimati a fornire tali dati su richiesta. Pertanto, l internalizzazione (anche in modo automatico) delle procedure di trattamento dei dati e delle informazioni aziendali costituisce elemento imprescindibile per mantenere quel controllo operativo-funzionale sul dato, necessario non solo per l adempimento degli obblighi previsti dal Codice Privacy ma anche per garantire all Impresa una migliore gestione dei flussi informativi aziendali. BYOD 11
12 Accessi abusivi Nel caso in cui il dispositivo mobile venga rubato e/o comunque sottratto alla disponibilità del legittimo proprietario (lavoratore), l Azienda è tenuta ad adottare appropriate misure tecniche e organizzative volte a proteggere i dati da accessi non autorizzati e/o comunque illegittimi. Come già indicato dal Garante inglese 4, tali misure possono consistere: nel controllo degli accessi ai dati ovvero al dispositivo attraverso l uso di apposite credenziali (es: password o PIN) (o) nella cifratura dei dati. Fondamentale, inoltre, appare la sicurezza delle credenziali di accesso dal momento che se un dispositivo è utilizzato per accedere ad un servizio cloud o a una rete IT aziendale, un ipotetico smarrimento potrebbe costituire un serio problema nel momento in cui la configurazione del dispositivo è tale da consentire all utente di rimanere loggato nella sessione per un lungo arco temporale. Controllo del dispositivo Nel caso (non consigliato) in cui dati personali siano conservati all interno del dispositivo mobile stesso, è importante quantomeno prevedere procedure di sicurezza tali da prevedere la cancellazione/anonimizzazione irreversibile di tutti i dati processati durante il ciclo vitale del dispositivo, specie in circostanze quali la vendita, la cessione, il trasferimento o il furto del dispositivo stesso. L Azienda, pertanto, deve garantire la massima riservatezza di qualunque operazione di trattamento avente ad oggetto un determinato dato personale (aziendale). Ad esempio, i dispositivi più moderni offrono la possibilità di localizzare i dati anche a distanza e, se richiesto, di cancellarli. Tali operazioni potrebbero rivelarsi di estrema importanza nell implementazione di una gestione virtualizzata dei dispositivi mobili (cd. Mobile Device Management, MDM ). I servizi MDM, tuttavia, consentendo alle Imprese (datori di lavoro) di tenere traccia ( a distanza ) delle operazioni poste in essere dall utente su un determinato dispositivo, pongono un ulteriore questione giuridica di estrema 4 Cfr. Information Commissioner s Office, Bring your own devices ata_protection/practical_application/ico_bring_your_own_device_byod_guidance.ashx BYOD 12
13 delicatezza: il cd. controllo a distanza dell attività lavorativa, operazione non consentita salvo in determinati casi previsti dalla legge (cfr. art. 4, commi 2 e 3, L. n. 300/1970, cd. Statuto dei Lavoratori ). D altronde la problematica delle apparecchiature informatiche richieste da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro ma comunque in grado di controllare a distanza l'attività dei lavoratori, è questione disciplinata pressoché uniformemente in tutti gli Stati Membri sull assunto che i lavoratori vantano un aspettativa legittima riguardo alla possibilità di godere di un certo livello di riservatezza all interno del proprio ambiente lavorativo. Come è stato anche chiarito dal Gruppo di Lavoro Articolo 29 nell Opinione n.8 del 2001 relativa al trattamento dei dati personali nel contesto lavorativo 5 : - ogni attività di monitoraggio deve costituire una risposta proporzionata del datore di lavoro ai rischi che si trova ad affrontare, tenendo conto della riservatezza e di altri interessi legittimi dei lavoratori; - tutti i dati personali detenuti o utilizzati nel corso delle attività di monitoraggio/controllo devono essere adeguati, pertinenti e non eccedenti rispetto alle finalità che giustificano il controllo. L'attività di monitoraggio deve essere condotta nella maniera meno invasiva possibile. Deve inoltre essere mirata all area di rischio e tenere conto delle norme a tutela dei dati personali e, dove applicabile, al principio della segretezza della corrispondenza; - i lavoratori devono, inoltre, essere informati sui dati che il loro datore di lavoro sta raccogliendo su di loro (direttamente o per altre vie), sugli scopi/finalità di questi trattamenti e devono infine essere previamente consultate (come previsto da ogni singola normativa nazionale) le loro rappresentanze le quali hanno il compito oltreché il diritto di tutelarne i loro legittimi interessi. Il trasferimento di dati personali Un ulteriore argomento da tenere in considerazione nella fase di implementazione di una Politica BYOD riguarda infine il trasferimento dei dati personali tra il dispositivo mobile dell utente/lavoratore e l infrastruttura IT aziendale. Il trasferimento di tali dati, infatti, può presentare notevoli rischi, specie dettati dall intercettazione del dato durante il tragitto informatico di sopra esposto. 5 Cfr. Working Party Article 29, Opinion 8/2011 on the processing of personal data in the employment context. BYOD 13
14 L Azienda dovrebbe pertanto considerare di sviluppare tutto il traffico dati all interno di canali criptati (come VPN o https per i servizi individuali) in modo tale da garantire alti livelli di sicurezza anche nel caso di utilizzo da parte dei lavoratori di connessioni internet non sicure. Su questo punto, una best practice potrebbe consistere nell integrare le BYOD Policies con specifiche linee guida che spieghino ai lavoratori come valutare la sicurezza delle reti Wi-Fi (come ad esempio quelle che si trovano negli hotel, nei bar, nei ristoranti ecc.). Inoltre, conformemente all articolo 25 della Direttiva Privacy (Direttiva 95/46/CE) vale la pena ricordare che il trasferimento di dati personali a un paese terzo esterno all Area Economica Europea (EEA) può avvenire solo nel caso in cui tale paese assicuri un adeguato livello di protezione dei dati stessi. L articolo 26 della medesima Direttiva prevede tuttavia delle deroghe che includono i casi in cui: la persona interessata abbia manifestato il proprio consenso in maniera inequivocabile al trasferimento previsto (o) il trasferimento sia necessario per l esecuzione di un contratto tra la persona interessata e il responsabile (o) il trasferimento avvenga sulla base delle clausole contrattuali standard approvate dalla Commissione Europea quali strumenti in grado di fornire adeguata protezione. Ne consegue che nel caso in cui l Azienda proceda al trasferimento di dati all estero (ad esempio esternalizzando i propri servizi informatici di gestione del personale verso un Cloud Provider cinese 6 ) sarà vincolata, in qualità di Titolare del trattamento, a tenere in considerazione le disposizioni normative di cui sopra e pertanto ad adeguarsi alle medesime. 5. SUGGERIMENTI PRATICI IN MATERIA DI POLITICHE DI BYOD 1. DEFINIZIONI Distinguere tra dispositivi di proprietà aziendale e dispositivi personali. 6 O verso un Provider statunitense aderente ai principi dell approdo sicuro in material di riservatezza (cd. Safe Harbor ). Cfr. BYOD 14
15 2. DATI NON CONSENTITI Specificare quale tipologie di dati personali/informazioni non è consentito allocare/conservare all interno del dispositivo. La politiche di BYOD, ad esempio, possono stabilire che i lavoratori non possono scaricare dati sensibili o informazioni riservate dell azienda all interno dei loro dispositivi personali, a meno che non siano state scaricate all interno di una infrastruttura IT di proprietà dell azienda. 3. INCIDENTI RELATIVI ALLA SICUREZZA IT Stabilire (all interno della Policy ovvero dei contratti di lavoro) un obbligo per il lavoratore/collaboratore di notificare all Azienda, entro un determinato arco temporale, ogni effettivo o sospetto avvenimento di hacking e/o di rivelazione non autorizzata di dati contenuti all interno del dispositivo mobile. 4. SICUREZZA Affrontare in modo completo gli aspetti relativi alla sicurezza dei dispositivi mobili (es. i dispositivi devono essere protetti da password; cifratura dei dati; connessioni sicure, ecc.). 5. TRASFERIMENTO DEI DATI ALL ESTERO Tenere in considerazione il flusso dei dati personali specie in caso di international data transfers o a seguito dell utilizzo di servizi cloud: es. trasferimento dei dati a paesi esterni all EEA che non offrono un adeguato livello di protezione dei dati. 6. CONFIGURAZIONE DEL DISPOSITIVO MOBILE E LIMITAZIONI Richiedere ai lavoratori (per mezzo della Policy) un set di requisiti di sicurezza di base da adottare nella configurazione del proprio dispositivo mobile. Per esempio, la configurazione del dispositivo dovrebbe proibire: - il back-up o il cloud storage automatico; - l utilizzo del dispositivo personale come hotspot mobile; - l installazione di alcune specifiche applicazioni particolarmente intrusive e/o illecite (es: jail-break). BYOD 15
16 7. SOCIAL MEDIA Tenere in considerazione l utilizzo dei social media da parte dei dipendenti e coordinare la BYOD Policy con la Social Media Policy. 8. NORMATIVA A TUTELA DEI LAVORATORI Tenere in considerazione le implicazioni/limiti della normativa a tutela dei lavoratori. Per esempio: - coinvolgere i dipendenti e i loro rappresentati nello sviluppo di una Policy BYOD; - individuare le finalità specifiche e le ragioni che motivano un ipotetico controllo dell attività lavorativa per mezzo di dispositivi mobili; - chiarire che nonostante i dipendenti abbiano legittime aspettative sulla privacy dei loro dispositivi personali, il datore di lavoro ha il diritto di controllare o accedere al dispositivo per specifiche ragioni aziendali (es: sicurezza). 9. APPS Chiarire se i dipendenti possono scaricare, installare e usare Apps (ovvero specificare quali tipologie di Applicazioni sono consentite). 10. COINVOLGIMENTO DEL DIPARTIMENTO IT Le Politiche di BYOD, infine, possono stabilire l obbligo per i lavoratori/collaboratori di consegnare il proprio dispositivo mobile al Dipartimento IT prima di utilizzarlo per finalità aziendali. Sarà cura dei tecnici dell Impresa quindi porre in essere tutti quei protocolli di sicurezza e applicativi software all interno del device in modo tale da tutelare al contempo gli interessi aziendali e quelli dei soggetti interessati. BYOD 16
17 Conclusione Un efficace Politica BYOD può portare alle Imprese numerosi benefici, inclusi una maggiore soddisfazione dei dipendenti nello svolgimento delle proprie mansioni lavorative oltre ad un considerevole aumento dell efficienza lavorativa e della flessibilità aziendale. Considerando, sin dall origine, i fattori di rischio e gli obblighi di compliance relativi alla tutela dei dati personali, le Aziende hanno l opportunità di integrare la privacy all interno delle proprie attività di business, facendone così un fattore distintivo dell Impresa (Privacy as an Asset) in grado di differenziarla sul mercato dai propri competitors. Domenico Converso, LL.M. Senior Associate at ICT Legal Consulting Paolo Balboni, Ph.D. Founding Partner at ICT Legal Consulting BYOD 17

References: art. 4
 art. 4
 art. 4
 Articolo 29
 articolo 25
 articolo 26