Source: http://lucadegrazia.postilla.it/2010/02/17/analisi-delle-relazioni-tra-pci-dss-e-l%E2%80%99applicazione-del-dlgs-n-2312001-e-del-dlgs-n-1962003-parte-1/
Timestamp: 2019-08-22 03:28:31+00:00

Document:
Analisi delle relazioni tra PCI DSS e l’applicazione del D.Lgs n. 231/2001 e del D.Lgs. n. 196/2003 - parte 1 - Postilla
Postilla » Diritto » Il Blog di Luca De Grazia » Diritto civile » Analisi delle relazioni tra PCI DSS e l’applicazione del D.Lgs n. 231/2001 e del D.Lgs. n. 196/2003 – parte 1
In questa breve analisi cercherò di porre in evidenza le connessioni tra le violazioni di una normativa di origine contrattuale (lo standard PCI DSS, appunto) e le possibili e conseguenti violazioni delle norme di legge indicate nel titolo dell’articolo.
Come è possibile rilevare dall’analisi del sito dedicato al PCI – DSS (https://www.pcisecuritystandards.org/) si tratta di uno standard messo a punto dai principali attori dei pagamenti on line, al fine di ridurre quanto più possibile quelle che comunemente vengono indicate come “frodi”, anche se giuridicamente non sempre rientrano nel concetto di “truffa” ex art.640 c.p. oppure di “frode informatica” ex art.640-ter c.p.
A questo punto probabilmente giova ricordare le strette interrelazioni tra l’applicazione del D.Lgs n.231/2001 (responsabilità amministrativa della persone giuridiche) e del D.Lgs. n.196/2003 (trattamento dei dati personali), troppo spesso dimenticata nella applicazione pratica delle citate normative.
Infatti, prima di tutto, occorre comprendere come il D.Lgs n.231/2001 ed i conseguenti “modelli organizzativi” siano espressamente creati per rispettare SOLAMENTE quanto disposto dal D.Lgs n.231/2001; pertanto, ovviamente, non appare adeguato per essere adottato senza modifiche per quanto concerne il rispetto di quanto disposto dal D.Lgs.196/2003.
Giova in questo senso rammentare che i controlli imposti dal D.Lgs n.231/2001 sono – sostanzialmente – controlli di “processo”, mentre, purtroppo, i controlli previsti dal D.Lgs n.196/2003, avendo come unità di base il “dato personale”, non possono limitarsi al rispetto del solo processo, ma devono, per così dire, scendere molto più in profondità.
Occorre rilevare come la normativa in materia di trattamento dei dati personali (la c.d. “privacy” è infatti solamente un aspetto riflesso della più ampia accezione di trattamento dei dati personali) sia estremamente invasiva e trasversale ad ogni attività compiuta da qualunque soggetto, il che porta come conseguenza sia sul piano logico sia su quello strettamente giuridico che tutto ciò che concerne il trattamento dei dati personali debba costituire lo “strato” omogeneizzante tutti i processi aziendali, che poi troveranno nel rispetto e nel coordinamento con le altre normative specifiche la soluzione ideale affinché il soggetto possa raggiungere, sostanzialmente, i seguenti obiettivi:
1. Pieno rispetto delle normative esistenti in materia di trattamento dei dati personali (D.Lgs 196/2003)
2. Pieno rispetto delle normative esistenti in materia di “diligenza dovuta” (D.Lgs n.231/2001)
3. Pieno rispetto delle normative esistenti in materia di prevenzione e repressione dei reati c.d. “informatici” (da art. 615-ter ad art.615-quinquies c.p., da art. 617-quater ad art. 617-sexies c.p., art.640-ter c.p, art.420 c.p., art.616 c.p.), ora tutti rientrati espressamente nell’ambito di applicazione del D.Lgs n.231/2001
4. Pieno rispetto delle normative esistenti in materia giuslavoristica
Ora, spesso si lamenta da parte delle aziende la mancanza di un canovaccio, di un brogliaccio sul quale lavorare (spesso per pigrizia mentale) e ci si limita a cercare di seguire pedissequamente alcuni modelli e/o fac-simili proposti anche dalle Autorità competenti.
In questo senso gli standard relativi alla sicurezza informatica, nelle varie sfaccettature esistenti, possono essere di valido aiuto per il rispetto della normativa esistente; in pratica, a mio sommesso parere, per esempio, l’applicazione della normativa ISO:27001-2005 sulla sicurezza informatica (ex BS-7799) non solo non è un “plus” rispetto alla esatta applicazione del D.Lgs. n.196/2003, ma dovrebbe costituire lo “schema portante” per la progettazione ed il controllo delle normative in materia (previo adattamento di alcune peculiarità della normativa, nata in ambiente di “common law”, alla struttura giuridica dei paesi di “civil law” come il nostro).
…segue alla prossima….
Letture: 7123 | Commenti: 1 |
Un commento a “Analisi delle relazioni tra PCI DSS e l’applicazione del D.Lgs n. 231/2001 e del D.Lgs. n. 196/2003 – parte 1”
Scritto il 18-2-2010 alle ore 18:28
Sarebbe utile avere un diagramma che descrivesse le interrelazione/sovrapposizioni tra le varie normative in termini di funzionalità coperte avendo magari anche un esempio con dei sistemi di riferimento (es: crm, billing, portale, rete, mondo mobile). Dato il sistema di crm cosa insiste su di esso PCI, Privacy, in che misura e per cosa. Esiste tanta documentazione a riguardo ma niente che dia in un colpo solo un’idea

References: art.640
 art.640
 art. 615
 art.615
 art. 617
 art. 617
 art.640
 art.420
 art.616