Source: http://www.privacy.it/archivio/garanteprovv200801171.html
Timestamp: 2018-02-18 10:42:09+00:00

Document:
Provvedimenti a carattere generale - 17 gennaio 2008: Sicurezza dei dati ditraffico telefonico e telematico
Provvedimento del 17 gennaio 2008
(Pubblicato sulla GU n. 30 del 5-2-2008)
Visto il Codice in materia di protezionedei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito,"Codice");
Visti in particolare gli artt. 17, 123 e132, comma 5, del Codice;
Vista la deliberazione del 19 settembre 2007 con la qualel'Autorit� ha avviato una procedura di consultazione pubblica suun documento, adottato in pari data, riguardante "Misure eaccorgimenti a garanzia degli interessati in tema di conservazione di dati ditraffico telefonico e telematico per finalit� di accertamento e repressione direati" e pubblicato,unitamente alla medesima deliberazione;
Visti i commenti e le osservazionipervenuti a questa Autorit� a seguito della consultazione pubblica per la qualeera stato fissato il termine del 31 ottobre 2007;
Considerate le risultanze dei diversiincontri, anche di carattere tecnico, intercorsi con alcune associazioni dicategoria che lo avevano richiesto;
1. Considerazioni preliminari Iltrattamento dei dati di traffico telefonico e telematico presenta rischispecifici per i diritti e le libert� fondamentali, nonch� per la dignit�dell'interessato.
Tali informazioni hanno una naturaparticolarmente delicata e la loro impropria utilizzazione pu� avere importantiripercussioni sulla sfera personale di pi� soggetti interessati; possono avereun'"accentuata valenza divulgativa di notizie caratterizzanti lapersonalit� dell'autore" e laloro conoscibilit� richiede adeguate garanzie (cfr., fra l'altro, Cortecost. 11 marzo 1993, n. 81 e 14 novembre 2006 n. 372).
I dati relativi al traffico telefonico etelematico dovrebbero peraltro riguardare solo alcune caratteristiche esterioridi conversazioni, chiamate e comunicazioni, senza permettere di desumerne icontenuti.
Inoltre, le stesse caratteristicheesteriori permettono di individuare analiticamente quando, tra chi e come sonointercorsi contatti telefonici o per via telematica, o sono avvenutedeterminate attivit� di accesso all'informazione in rete e persino il luogodove si trovano i detentori di determinati strumenti.
L'intensit� dei flussi di comunicazionecomporta la formazione e, a volte, la conservazione di innumerevoliinformazioni che consentono di ricostruire nel tempo intere sfere di relazionipersonali, professionali, commerciali e istituzionali, e di formare anchedelicati profili interpersonali. Ci�, specie quando i dati sono conservatimassivamente dai fornitori per un periodo pi� lungo di quello necessario perprestare servizi a utenti e abbonati, al fine di adempiere a un distintoobbligo di legge collegato a eccezionali necessit� di giustizia.
Per le comunicazioni telematiche, poi, sipongono ulteriori e pi� specifiche criticit� rispetto alle comunicazionitelefoniche tradizionalmente intese, in quanto il dato apparentemente"esterno" a una comunicazione (ad es., una pagina web visitata o un indirizzo Ip di destinazione) spessoidentifica o rivela nella sostanza anche il suo contenuto: pu� permettere,quindi, non solo di ricostruire relazioni personali e sociali, ma anche didesumere particolari orientamenti, convincimenti e abitudini degli interessati.
Eventuali abusi (quali quelli emersi nelrecente passato, allorch� sono stati constatati gravi e diffusi fatti diutilizzazione illecita di dati), possono comportare importanti ripercussionisulla sfera privata degli individui o anche violare specifici segreti attinentia determinate attivit�, relazioni e professioni.
Emerge quindi la necessit�, in attuazionedi quanto previsto per legge, di assicurare che la conservazione di tali datida parte dei fornitori, laddove essa sia necessaria per prestare un servizio oin quanto imposta dalla legge, avvenga comunque in termini adeguati pergarantire una tutela maggiormente efficace dei diritti e delle libert� dellepersone.
Per tali motivi, a prescindere dallegaranzie previste in termini pi� generali nell'ordinamento anche sul pianocostituzionale e processuale, il legislatore all'art. 132 del Codice hademandato al Garante per la protezione dei dati personali l'individuazionedelle misure e degli accorgimenti che i fornitori dei servizi di comunicazioneelettronica devono adottare a fronte della conservazione dei dati di trafficotelefonico e telematico, allo stato prescritta per finalit� di accertamento erepressione dei reati.
Il presente provvedimento � rivoltoappunto a individuare le elevate cautele che devono essere osservate daifornitori nella formazione e nella custodia dei dati del traffico telefonico etelematico.
Prima di indicare quali cautele risultanonecessarie a seguito del complesso procedimento di accertamento curato dalGarante, sono opportune alcune altre premesse sull'attuale quadro normativo,sui fornitori e sui dati personali coinvolti.
2.1. Normativa comunitaria La direttiva europea n. 2002/58/Ce, relativa al trattamento dei dati personali e allatutela della vita privata nel settore delle comunicazioni elettroniche, imponeagli Stati membri di proteggere la riservatezza delle comunicazionielettroniche e vieta la conservazione dei dati relativi al traffico generatinel corso delle comunicazioni, a eccezione della conservazione espressamenteautorizzata per i fini indicati nella direttiva medesima.
La direttiva riguarda (art. 3) iltrattamento dei dati personali connesso alla fornitura di servizi dicomunicazione elettronica accessibili al pubblico su reti pubbliche dicomunicazione. I dati relativi al traffico sono definiti, in questa sede, qualiquelli sottoposti a trattamento "ai fini della trasmissione di unacomunicazione su una rete di comunicazione elettronica o della relativafatturazione" (cfr. art. 2 econsiderando n. 15 della direttiva 2002/58/Ce).
La medesima direttiva, nell'imporre agliStati membri l'adozione di disposizioni di legge nazionali che assicurino lariservatezza delle comunicazioni effettuate tramite la rete pubblica dicomunicazione e i servizi di comunicazione elettronica accessibili al pubblico,pone l'accento sui dati di traffico generati dai servizi medesimi (art. 5);tali dati, trattati e memorizzati dal fornitore della rete pubblica o delservizio pubblico di comunicazione elettronica, devono essere cancellati o resianonimi quando non sono pi� necessari ai fini della trasmissione dellacomunicazione, fatte salve alcune tassative eccezioni (cfr. art. 6, par. 2 ,3 e 5 e art. 15, par. 1; v., fra gli altri, il Parere n. 1/2003 sulla memorizzazione ai fini di fatturazionedei dati relativi al traffico, adottato il 29 gennaio 2003 dal Gruppo deigaranti europei per la tutela dei dati personali).
L'art. 15, par. 1, della direttivaconsente che gli Stati membri possano adottare disposizioni legislative volte alimitare i diritti e gli obblighi di cui ai predetti articoli 5 e 6 solo quandotale restrizione costituisca "una misura necessaria, opportuna eproporzionata all'interno di una societ� democratica per la salvaguardia dellasicurezza nazionale (cio�della sicurezza dello Stato), della difesa, della sicurezza pubblica e laprevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell'usonon autorizzato del sistema di comunicazione elettronica". A tal fine, gli Stati membri possono, tral'altro, adottare misure legislative le quali prevedano che, per tali motivi, idati siano conservati per un periodo di tempo limitato.
2.2. Normativa nazionale La direttiva 2002/58/Ce � stata recepita con il Codice in materia diprotezione dei dati personali (Titolo X ("Comunicazioni elettroniche"); cfr. art. 184). Nel Capo I di tale Titolo,intitolato "Servizi di comunicazione elettronica", � stata introdotta una nuova disciplina sullaconservazione dei dati di traffico telefonico.
Da un lato, l'art. 123 del Codice haridotto a sei mesi il previgente limite temporale per la conservazione dei datidi traffico telefonico per finalit� di fatturazione, pagamenti in caso diinterconnessione e di commercializzazione di servizi, termine che era inprecedenza individuabile nella misura massima di cinque anni in base a quantoprevisto dal d.lg. n. 171/1998.
Dall'altro, l'art. 132 del medesimoCodice, modificato prima della sua entrata in vigore (d.l. 24 dicembre 2003,n. 354, convertito in l., con modificazioni, dall'art. 1 l. 26 febbraio 2004, n. 45) ha introdotto un distinto obbligo per i fornitoridi servizi di comunicazione elettronica di conservare per finalit� diaccertamento e repressione dei reati dati di traffico telefonico relativi aiservizi offerti.
Tutto ci�, sullo sfondo del principiocardine in materia secondo cui i dati non devono essere formati se non sononecessari e proporzionati ai fini della funzionalit� della rete o dellaprestazione del servizio (artt. 3 e 11 del Codice).
Dal contesto sopra riassunto emerge che �stata nel complesso vietata una conservazione generalizzata dei dati relativial traffico (art. 123, comma 1, cit.), con le seguenti eccezioni:
a. � stato consentito il trattamentodi dati strettamente necessario a fini di fatturazione per l'abbonato, ovverodi pagamenti in caso di interconnessione (nei limiti e con le modalit� dicui all'art. 123, comma 2) o, previoconsenso dell'abbonato o dell'utente, a fini di commercializzazione diservizi di comunicazione elettronica o per la fornitura di servizi a valoreaggiunto (art. 123, comma 3);
b. � stata per� prescritta intermini distinti la conservazione temporanea dei dati di traffico telefonicoper esclusive finalit� di accertamento e repressione dei reati per due periodidi ventiquattro mesi ciascuno (art. 132 del Codice).
Un successivo provvedimento d'urgenza del2005 (d.l. 27 luglio 2005, n. 144, convertito in l., con modificazioni,dall'art. 1 della l. 31 luglio 2005, n. 155) ha poi introdotto, tra l'altro:
a) l'obbligo di conservare i dati ditraffico telematico, escludendone i contenuti, per due periodi di sei mesiciascuno;
b) l'obbligo di conservare dati relativialle chiamate telefoniche senza risposta;
c) con riferimento ai primi ventiquattromesi di conservazione dei dati del traffico telefonico e ai primi sei mesi diconservazione dei dati del traffico telematico, la previsione che la richiestagiudiziaria volta ad acquisirli, rivolta al fornitore, venga effettuata dal"pubblico ministero anche su istanza del difensore dell'imputato, dellapersona sottoposta alle indagini, della persona offesa e delle altre partiprivate e non gi� dal giudice su istanza del pubblico ministero";
d) un regime transitorio in virt� delquale � stata sospesa temporaneamente l'applicazione di qualunque disposizioneche prescriva o consenta la cancellazione dei dati di traffico, anche se nonsoggetti a fatturazione (termine originariamente stabilito al 31 dicembre 2007,ma successivamente prorogato al 31 dicembre 2008 con l'art. 34 del recente d.l.31 dicembre 2007, n. 248, in fase di conversione in legge);
e) per i titolari e i gestori di esercizipubblici o di circoli privati di qualsiasi specie, che si limitino a porre adisposizione del pubblico, dei clienti o dei soci apparecchi terminaliutilizzabili per le comunicazioni, anche telematiche, esclusi i telefonipubblici a pagamento abilitati esclusivamente alla telefonia vocale, alcunispecifici obblighi di identificazione e monitoraggio delle operazioni compiutedai clienti (cfr. anche il d.m. 16 agosto 2005, in G.U. 17 agosto 2005, n. 190, attuativo di taleprevisione).
Il decreto legge del 2005 ha quindi, daun lato, emendato l'art. 132 del Codice (punti a), b) e c) sopra indicati) e, dall'altro, ha introdotto un regime transitorioper la conservazione dei dati, nonch� la predetta disciplina specialeapplicabile solo a determinati soggetti.
Fermo restando il predetto regime, cheprevede temporaneamente la conservazione (lett. d) sopra citata), lavigente normativa di riferimento prescrive ai fornitori di servizi dicomunicazione elettronica di conservare comunque, per finalit� di accertamentoe repressione di reati, i dati relativi al traffico telefonico (inclusi quelliconcernenti le chiamate senza risposta) e quelli inerenti al trafficotelematico (esclusi i contenuti delle comunicazioni), rispettivamente perventiquattro e sei mesi (art. 132, comma 1, del Codice).
La stessa normativa prescrive inoltre, aimedesimi fornitori, di conservare tali dati per un periodo ulteriore, rispettivamentedi ventiquattro e sei mesi, per l'accertamento e la repressione dei delittitassativamente individuati dall'art. 407, comma 2, lett. a), c.p.p., nonch� dei delitti in danno di sistemiinformatici o telematici (art. 132, comma 2).
Infine, prevede che la conservazione deipredetti dati sia effettuata nel rispetto di specifici accorgimenti e misure agaranzia degli interessati. L'individuazione di tali cautele, oggetto delpresente provvedimento, � stata appunto demandata al Garante per la protezionedei dati personali (cfr. artt. 17 e 132, comma 5, del Codice).
2.3. Altra disciplina comunitaria: ladirettiva 2006/24/Ce Al fine di armonizzare le disposizioni degli Statimembri sul tema della conservazione dei dati di traffico per finalit� diaccertamento e repressione di reati � poi intervenuta la direttiva n. 2006/24/Ce del Parlamento europeo e del Consiglio del 15marzo 2006, che doveva essere recepita entro il 15 settembre 2007.
Tale direttiva contiene specificheindicazioni sul risultato convenuto a livello comunitario con riferimento siaai tempi di conservazione dei dati di traffico (minimo sei mesi e massimo dueanni), sia alla corretta e uniforme individuazione delle "categorie didati da conservare" (analiticamente elencate nell'art. 5 della direttivamedesima); ci�, in relazione agli specifici servizi ivi enucleati, ovvero ditelefonia di rete fissa e di telefonia mobile, di accesso a Internet, di postaelettronica in Internet e di telefonia via Internet.
In questo quadro risulta necessariotenere conto di tali indicazioni anche nell'ambito del presente provvedimento.Ci�, anche in considerazione del fatto che nell'attuale quadro normativointerno, pur sussistendo una definizione generale di "dati relativi altraffico" (art. 4, comma 2, lett. h) del Codice), tali dati non vengono enumerati, n� vengonodistinti espressamente i dati relativi al traffico "telefonico" daquelli inerenti al traffico "telematico".
Tale distinzione risulta, invece,necessaria in considerazione del fatto che il legislatore italiano,diversamente da quello comunitario, ha individuato due diversi periodi diconservazione in relazione alla natura "telefonica" o"telematica" del dato da conservare.
Ci� comporta l'esigenza di specificarel'ambito soggettivo di applicazione del presente provvedimento rispettoall'obbligo di conservazione dei dati.
3. I fornitori tenuti a conservare i datidi traffico Il "fornitore" sul quale incombe l'obbligo diconservare i dati di traffico ai sensi del citato art. 132 del Codice � quelloche mette a disposizione del pubblico servizi di comunicazione elettronica sureti pubbliche di comunicazione; per "servizi di comunicazioneelettronica" devono intendersi quelli consistenti, esclusivamente oprevalentemente, "nella trasmissione di segnali su reti dicomunicazioni elettroniche" (art.4, comma 2, lett. d) e e), del Codice).
Ci�, deriva:
a) dalla collocazione del menzionato art.132 all'interno del titolo X, capo I, del Codice e da quanto disposto dall'art.121 del medesimo Codice il quale, nell'individuare i "Serviziinteressati", chiarisce che ledisposizioni del titolo X "si applicano al trattamento dei datipersonali connesso alla fornitura di servizi di comunicazione elettronicaaccessibili al pubblico su reti pubbliche di comunicazioni";
b) da quanto stabilisce il citato decretolegge 27 luglio 2005, n. 144 nella parte in cui, nell'imporre la conservazionedei dati per il predetto regime transitorio, si riferisce ai "fornitoridi una rete pubblica di comunicazioni o di un servizio di comunicazioneelettronica accessibile al pubblico".
Devono ritenersi quindi tenuti allaconservazione dei dati ai sensi del medesimo art. 132 i soggetti che realizzanoesclusivamente, o prevalentemente, una trasmissione di segnali su reti dicomunicazioni elettroniche, a prescindere dall'assetto proprietario della rete,e che offrono servizi a utenti finali secondo il principio di nondiscriminazione (cfr. anche direttiva 2002/21/Ce del Parlamento europeo e del Consiglio, cheistituisce un quadro normativo comune per le reti e i servizi di comunicazioneelettronica (c.d. direttiva quadro) e d.lg. n. 259/2003 recante il Codice dellecomunicazioni elettroniche).
Al contrario non rientrano, ad esempio,nell'ambito applicativo del presente provvedimento:
a. i soggetti che offronodirettamente servizi di comunicazione elettronica a gruppi delimitati dipersone (come, a titolo esemplificativo, i soggetti pubblici o privati checonsentono soltanto a propri dipendenti e collaboratori di effettuarecomunicazioni telefoniche o telematiche). Tali servizi, pur rientrando nelladefinizione generale di "servizi di comunicazione elettronica", nonpossono essere infatti considerati come "accessibili al pubblico".Qualora la comunicazione sia instradata verso un utente che si trovi al difuori della c.d. "rete privata", i dati di traffico generati da talecomunicazione sono invece oggetto di conservazione (ad es., da parte delfornitore di cui si avvale il destinatario della comunicazione, qualora sitratti di un messaggio di posta elettronica; cfr. documento di lavoro "Tutela della vita privata suInternet–Un approccio integrato dell'EU alla protezione dei dation-line", adottato dal Gruppo di lavoro per la tutela dei dati personaliil 21 novembre 2000);
b. i soggetti che, pur offrendoservizi di comunicazione elettronica accessibili al pubblico, non generano otrattano direttamente i relativi dati di traffico;
c. i titolari e i gestori diesercizi pubblici o di circoli privati di qualsiasi specie che si limitino aporre a disposizione del pubblico, di clienti o soci apparecchi terminaliutilizzabili per le comunicazioni, anche telematiche, ovvero punti di accesso aInternet utilizzando tecnologia senza fili, esclusi i telefoni pubblici apagamento abilitati esclusivamente alla telefonia vocale;
d. i gestori dei siti Internet chediffondono contenuti sulla rete (c.d. "content provider"). Essi non sono, infatti, fornitori di un"servizio di comunicazione elettronica" come definito dall'art. 4,comma 2, lett. e) del Codice.Tale norma, infatti, nel rinviare, per i casi di esclusione, all'art. 2, lett. c) della direttiva 2002/21/Ce cit., esclude essa stessa i "serviziche forniscono contenuti trasmessi utilizzando reti e servizi di comunicazioneelettronica [�]". Deverilevarsi, inoltre, che i dati di traffico relativi alla comunicazione (come,ad esempio, la c.d. "navigazione web" e le pagine visitate di un sito Internet) spesso identificano orivelano nella sostanza anche il suo contenuto e pertanto l'eventualeconservazione di tali dati si porrebbe, in violazione di quanto dispostodall'art. 132 del Codice (come modificato dal citato d.l. n. 144/2005), laddoveesclude dalla conservazione per finalit� di giustizia i "contenuti"della comunicazione (cfr., in talsenso, anche l'art. 1, comma 2, della direttiva 2006/24/Ce, nella parte in cui esclude dal proprio ambito diapplicazione la conservazione del "contenuto delle comunicazionielettroniche, ivi incluse le informazioni consultate utilizzando una rete dicomunicazioni elettroniche");
e. i gestori di motori di ricerca. Idati di traffico telematico che essi trattano, consentendo di tracciareagevolmente le operazioni compiute dall'utente in rete, sono, comunque,parimenti qualificabili alla stregua di "contenuti".
4. I dati di traffico che devono essereconservati L'obbligo di conservazione riguarda i dati relativi altraffico telefonico, inclusi quelli concernenti le chiamate senza risposta,nonch� i dati inerenti al traffico telematico, esclusi comunque i contenutidelle comunicazioni (art. 132 del Codice). In particolare, sono oggetto diconservazione i dati che i fornitori sottopongono a trattamento per latrasmissione della comunicazione o per la relativa fatturazione (art. 4,comma 2, lett. h), del Codice).
Pertanto, i fornitori (come individuatinel precedente paragrafo 3) devono conservare, per esclusive finalit� diaccertamento e repressione di reati, solo i dati di traffico che risultinonella loro disponibilit� in quanto derivanti da attivit� tecniche strumentalialla resa dei servizi offerti dai medesimi, nonch� alla loro fatturazione. Ci�,in ossequio anche ai princ�pi di pertinenza e non eccedenza stabiliti dagliartt. 3 e 11 del Codice.
In tal senso, si esprime anche il citatodecreto legge 27 luglio 2005, n. 144 che, all'art. 6, riconduce l'obbligo di conservazionealle "informazioni che consentono la tracciabilit� degli accessi,nonch�, qualora disponibili, dei servizi". La direttiva 2006/24/Ce ribadisce che tale obbligo sussiste soltanto sei dati sono stati "generati o trattati nel processo di fornitura dei [�] servizi di comunicazione" del fornitore (cfr. considerando 23 e art. 3,par. 1, della direttiva 2006/24/Ce cit.).
L'art. 5 di tale direttiva contiene, poi,un'elencazione specifica delle informazioni da conservare e individua diversecategorie di dati di traffico, specificandone i contenuti a seconda che sitratti di traffico telefonico o telematico.
Nell'ambito dei servizi di comunicazioneelettronica, occorre infatti distinguere i servizi "telefonici" daquelli "telematici".
a. le chiamate telefoniche, inclusele chiamate vocali, di messaggeria vocale, in conferenza e di trasmissione datitramite telefax;
b. i servizi supplementari, inclusil'inoltro e il trasferimento di chiamata;
c. la messaggeria e i servizimultimediali, inclusi i servizi di messaggeria breve-sms.
a. l'accesso alla rete Internet;
b. la posta elettronica;
c. i fax (nonch� i messaggi sms e mms)via Internet;
d. la telefonia via Internet (cd. Voiceover Internet Protocol–VoIP).
Per quanto concerne specificamente laconservazione dei dati di traffico telefonico relativo alle "chiamatesenza risposta", fermo restando allo stato quanto indicato dalla direttiva 2006/24/Ce al considerando 12 (laddove esclude dal proprioambito di applicazione i "tentativi di chiamata non riusciti"), il fornitore, in forza delle modificheapportate dal d.l. n. 144/2005 all'art. 132 del Codice, deve conservare solo idati generati da chiamate telefoniche che sono state collegate con successo, manon hanno ottenuto risposta oppure in cui vi � stato un intervento del gestoredella rete (cfr. art. 2, comma 2, lett. f), direttiva 2006/24/Ce).
5. Finalit� perseguibili Il vincolosecondo cui i dati conservati obbligatoriamente per legge possono essereutilizzati solo per finalit� di accertamento e repressione di reati(individuati specificamente per legge in riferimento al predetto, secondoperiodo di conservazione) comporta una precisa limitazione per i fornitorinell'eventualit� in cui essi ricevano richieste volte a perseguire scopidiversi.
a) i medesimi fornitori non possonocorrispondere a eventuali richieste riguardanti tali dati formulate nell'ambitodi una controversia civile, amministrativa e contabile;
b) sono tenuti a rispettare il menzionatovincolo di finalit� anche l'interessato che acceda ai dati che lo riguardanoesercitando il diritto di accesso di cui all'art. 7 del Codice (e che pu�utilizzare quindi i dati acquisiti solo in riferimento alle predette finalit�penali), nonch�, nel procedimento penale, il difensore dell'imputato, dellapersona sottoposta alle indagini, della persona offesa e delle altre partiprivate (art. 132, comma 3, del Codice).
6. Modalit� di acquisizione dei dati IlCodice individua le modalit� con le quali possono essere acquisiti i dati ditraffico conservati dai fornitori prescrivendo, con riferimento al primoperiodo di conservazione (i primi ventiquattro mesi e sei mesi, rispettivamenteper il traffico telefonico e telematico), che la richiesta sia formulata con"decreto motivato del pubblico ministero anche su istanza del difensoredell'imputato, della persona sottoposta alle indagini, della persona offesa edelle altri parti private"(art. 132, comma 3, del Codice).
Al difensore dell'imputato o dellapersona sottoposta alle indagini � riconosciuta la facolt� di richiedere,direttamente, al fornitore i dati di traffico limitatamente ai dati che siriferiscano "alle utenze intestate al proprio assistito". La richiestadeve essere effettuata "con le modalit� indicate dall'articolo391-quater del codice di procedura penale, ferme restando le condizioni di cuiall'articolo 8, comma 2, lettera f), per il traffico entrante" (art. 132, comma 3, cit.). Tale ultimo riferimentoai presupposti previsti dal Codice per l'accesso alle chiamate in entratacomporta, anche per i fornitori, la necessaria valutazione preliminare dellacircostanza che dalla mancata conoscenza dei dati richiesti possa derivare unpregiudizio effettivo e concreto per lo svolgimento delle investigazionidifensive di cui alla legge 7 dicembre 2000, n. 397. A tale riguardo sirichiama quanto rilevato nel provvedimento adottato dal Garante in materia il 3novembre 2005.
In relazione al secondo periodo diconservazione, l'art. 132, comma 4, prevede che i dati conservati possanoessere acquisiti soltanto in presenza di un decreto motivato del giudice cheautorizzi l'acquisizione qualora ritenga sussistenti sufficienti indizi di unoo pi� delitti previsti dall'art. 407, comma 2, lettera a), c.p.p. o in danno di sistemi informatici otelematici.
7. Misure e accorgimenti da prescrivere Comepremesso, il Garante � stato preposto per disposizione di legge a individuareaccorgimenti e misure da porre a garanzia degli interessati nell'ambito dellaconservazione dei dati di traffico telefonico e telematico per finalit� diaccertamento e repressione di reati (art. 132, comma 5, del Codice).
A tal fine, il Garante ha curatopreliminarmente diversi approfondimenti tecnici con esperti del settore, nonch�numerosi accertamenti ispettivi presso primari fornitori di servizi dicomunicazione elettronica; ha, infine, indetto una specifica consultazionepubblica su un articolato documento indicante le misure e gli accorgimentiritenuti idonei per la conservazione dei dati di traffico per finalit� digiustizia.
Le cautele ipotizzate in sede diconsultazione pubblica hanno trovato conforto all'esito della stessa, nonessendo pervenuti all'Autorit� sostanziali rilievi critici da parte deisoggetti interessati.
Tutte le riflessioni e commenti pervenutisono stati comunque oggetto di specifica analisi e considerazionenell'elaborazione del presente provvedimento.
Nell'individuare le seguenti cautele cheil Garante prescrive ai fornitori interessati al presente provvedimento,l'Autorit� ha tenuto conto dei parametri indicati negli artt. 17 e 132, comma5, del Codice, nonch�:
a) dell'esigenza normativa volta aprevedere specifiche cautele rapportate alla quantit� e qualit� dei dati daproteggere e ai rischi indicati nell'art. 31 del Codice, rischi che i fornitoridevono gi� oggi prevenire rispettando i comuni obblighi di sicurezza collegatialle misure non solo minime previste dal Codice (artt. 31 e ss.; AllegatoB);
b) dell'opportunit� di individuare, allostato, misure protettive per i trattamenti svolti da tutti i fornitoriinteressati che siano verificabili anche in sede ispettiva, ai fini di una pi�incisiva messa in sicurezza dei dati di traffico telefonico e telematico;
c) della necessit� di tenere inconsiderazione i costi derivanti dall'adozione delle misure e degliaccorgimenti prescritti con il presente provvedimento, anche in ragione dellavariegata capacit� tecnica ed economica dei soggetti interessati;
d) del contesto europeo di riferimento,specie alla luce dei pareri resi dal Gruppo per la tutela dei dati personali (cfr. pareri nn. 4/2005 sulla proposta di direttiva del Parlamentoeuropeo e del Consiglio riguardante la conservazione di dati trattatinell'ambito della fornitura di servizi pubblici di comunicazione elettronica eche modifica la direttiva 2002/58/Ce; 3/2006 sulla direttiva 2006/24/Ce del Parlamentoeuropeo e del Consiglio riguardante la conservazione di dati generati otrattati nell'ambito della fornitura di servizi di comunicazione elettronicaaccessibili al pubblico o di reti pubbliche di comunicazione che modifica ladirettiva 2002/58/Ce; 8/2006 sulla revisione del quadro normativo per lereti ed i servizi di comunicazione elettronica, con particolare attenzione alladirettiva relativa alla vita privata e alle comunicazioni elettroniche) ;
e) dello stato dell'evoluzionetecnologica, alla luce del quale le seguenti prescrizioni devono pertantoritenersi soggette ad aggiornamento periodico.
Di seguito, sono indicati gliaccorgimenti e le misure prescritti dal Garante.
7.1. Sistemi di autenticazione Iltrattamento dei dati di traffico telefonico e telematico da parte dei fornitorideve essere consentito solo agli incaricati del trattamento e unicamente sullabase del preventivo utilizzo di specifici sistemi di autenticazione informaticabasati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno duedifferenti tecnologie di autenticazione, qualunque sia la modalit�, locale oremota, con cui si realizzi l'accesso al sistema di elaborazioneutilizzato per il trattamento, evitando che questo possa aver luogo senza che l'incaricatoabbia comunque superato una fase di autenticazione informatica nei terminianzidetti.
Per i dati di traffico conservati peresclusive finalit� di accertamento e repressione dei reati (cio� quelligenerati da pi� di sei mesi, oppure la totalit� dei dati trattati per questefinalit� se conservati separatamente dai dati trattati per le altre finalit�fin dalla loro generazione), una di tali tecnologie deve essere basatasull'elaborazione di caratteristiche biometriche dell'incaricato, in modo taleda assicurare la presenza fisica di quest'ultimo presso la postazione di lavoroutilizzata per il trattamento.
Tali modalit� di autenticazione devonoessere applicate anche a tutti gli addetti tecnici (amministratori di sistema,di rete, di data base) chepossano accedere ai dati di traffico custoditi nelle banche dati del fornitore.
Limitatamente a tali addetti tecnici,circostanze legate a indifferibili interventi per malfunzionamenti, guasti,installazioni hardware e software, aggiornamento e riconfigurazione dei sistemi,possono determinare la necessit� di accesso informatico a sistemi dielaborazione che trattano dati di traffico in assenza di autenticazionebiometrica o di strong-authentication per operazioni che comportano la presenza fisica dell'addetto cheprocede all'intervento in prossimit� del sistema di elaborazione (per esempio,per lo svolgimento di operazioni di amministrazione da console locale che implichino la disabilitazione dei servizidi rete e l'impossibilit� di gestire operazioni di input/output tramite dispositivi accessori come quelliutilizzabili per la strong authentication).
In caso di accesso da parte degli addettitecnici nei termini anzidetti, fermo restando l'obbligo di assicurare le misureminime in tema di credenziali di autenticazione previste dall'Allegato B) alCodice e, per quanto concerne i trattamenti di dati di traffico telefonico peresclusive finalit� di giustizia, quanto specificato al successivo paragrafo7.3, dovr� essere tenuta preventivamente traccia in un apposito "registrodegli accessi" dell'evento, nonch� delle motivazioni che lo hannodeterminato, con una successiva descrizione sintetica delle operazioni svolte,anche mediante l'utilizzo di sistemi elettronici. Tale registro deve esserecustodito dal fornitore presso le sedi di elaborazione e messo a disposizionedel Garante nel caso di ispezioni o controlli, unitamente a un elenconominativo dei soggetti abilitati all'accesso ai diversi sistemi dielaborazione con funzioni di amministratore di sistema, che deve essere formatoe aggiornato costantemente dal fornitore.
7.2. Sistemi diautorizzazione Relativamente ai sistemi di autorizzazione devono essereadottate specifiche procedure in grado di garantire la separazione rigida dellefunzioni tecniche di assegnazione di credenziali di autenticazione e diindividuazione dei profili di autorizzazione rispetto a quelle di gestionetecnica dei sistemi e delle basi di dati. Tali differenti funzioni non possonoessere attribuite contestualmente a uno stesso soggetto.
I profili di autorizzazione da definire eda attribuire agli incaricati devono differenziare le funzioni di trattamentodei dati di traffico per finalit� di ordinaria gestione da quelle per finalit�di accertamento e repressione dei reati distinguendo, tra queste ultime, gliincaricati abilitati al solo trattamento dei dati di cui al primo periodo diconservazione obbligatoria (art. 132, comma 1, del Codice), dagli incaricatiabilitati anche al trattamento dei dati di cui al secondo periodo diconservazione obbligatoria (art. 132, comma 2, del Codice) e, infine, dallefunzioni di trattamento dei dati in caso di esercizio dei dirittidell'interessato (art. 7 del Codice).
Conseguentemente, un incaricato cui siaattribuito un profilo di autorizzazione abilitante ad esempio al trattamentodei dati di cui al primo periodo di conservazione obbligatoria (art. 132, comma1, del Codice) non pu� accedere, per ci� stesso e direttamente, a dati il cuitrattamento richieda il possesso del profilo di autorizzazione relativoall'intero periodo di conservazione obbligatoria (art. 132, comma 2, delCodice).
Questa suddivisione non implica lamoltiplicazione degli addetti ai servizi per scopi di giustizia; i fornitorihanno infatti la facolt� di utilizzare, per i loro incaricati, il profilodi autorizzazione che abilita al trattamento dei dati relativi al primo periodoo quello che abilita al trattamento dei dati relativi all'intero periodo diconservazione per scopi di giustizia.
7.3. Conservazione separata I datidi traffico conservati per esclusive finalit� di accertamento e repressione direati vanno trattati necessariamente tramite sistemi informatici distintifisicamente da quelli utilizzati per gestire dati di traffico anche per altrefinalit�, sia nelle componenti di elaborazione, sia nell'immagazzinamento deidati (storage).
Pi� specificamente, i sistemi informaticiutilizzati per i trattamenti di dati di traffico conservati per esclusivafinalit� di giustizia devono essere differenti da quelli utilizzati anche peraltre funzioni aziendali (come fatturazione, marketing, antifrode) ed essere, altres�, protetti contro ilrischio di intrusione mediante idonei strumenti di protezione perimetrale asalvaguardia delle reti di comunicazione e delle risorse di memorizzazione impiegatenei trattamenti.
I dati di traffico conservati per unperiodo non superiore a sei mesi dalla loro generazione possono, invece, esseretrattati per le finalit� di giustizia sia prevedendone il trattamento con imedesimi sistemi di elaborazione e di immagazzinamento utilizzati per lageneralit� dei trattamenti, sia provvedendo alla loro duplicazione, conconservazione separata rispetto ai dati di traffico trattati per le ordinariefinalit�, per l'elaborazione con sistemi dedicati a questo specifico trattamento.
Questa prescrizione lascia ai fornitorila facolt� di scegliere, sulla base di propri modelli organizzativi e dellapropria dotazione tecnologica, l'architettura informatica pi� idonea per laconservazione obbligatoria dei dati di traffico e per le ordinarie elaborazioniaziendali; permette infatti che i dati di traffico conservati sino a sei mesidalla loro generazione possano essere trattati, per finalit� di giustizia, consistemi informatici non riservati esclusivamente a tali elaborazioni; oppure,che gli stessi dati vengano duplicati per effettuare un trattamento dedicatoesclusivamente al perseguimento delle finalit� di giustizia. In quest'ultimocaso le misure e gli accorgimenti prescritti per i dati conservati peresclusive finalit� di giustizia si applicano sin dall'inizio del trattamento.
Le attrezzature informatiche utilizzateper i trattamenti di dati di traffico per le esclusive finalit� di giustizia dicui sopra devono essere collocate all'interno di aree ad accesso selezionato(ovvero riservato ai soli soggetti legittimati ad accedervi per l'espletamentodi specifiche mansioni) e munite di dispositivi elettronici di controllo o diprocedure di vigilanza che comportino la registrazione dei dati identificatividelle persone ammesse, con indicazione dei relativi riferimenti temporali.
Nel caso di trattamenti di dati ditraffico telefonico per esclusive finalit� di giustizia, il controllo degliaccessi deve comprendere una procedura di riconoscimento biometrico.
Nell'ambito dei trattamenti per finalit�di accertamento e repressione di reati, una volta decorso il termine di cui alcomma 1 dell'art. 132 del Codice, i dati di traffico devono essere trattati conmodalit� che consentano l'accesso differenziato su base temporale, provvedendoa forme di separazione dei dati che garantiscano il rispetto del principio difinalit� dei trattamenti e l'efficacia dei profili di autorizzazione definiti.
La differenziazione pu� essere ottenuta:
a. mediante separazione fisica,predisponendo sistemi del tutto separati nelle componenti di elaborazione e diarchiviazione, oppure
b. mediante separazione logica,ovvero intervenendo sulla struttura delle basi di dati e/o sui sistemi diindicizzazione e/o sui metodi di accesso e/o sui profili di autorizzazione.
Devono essere adottate misure idonee agarantire il ripristino dell'accesso ai dati in caso di danneggiamento deglistessi o degli strumenti elettronici in tempi compatibili con i diritti degliinteressati e comunque non superiori a sette giorni.
7.4. Incaricati del trattamento Gliincaricati che accedono ai dati di traffico conservati per le finalit� di cuiall'art. 132 del Codice, anche per consentire l'esercizio dei diritti di cuiall'art. 7 del Codice medesimo, devono essere designati specificamente inrapporto ai dati medesimi.
Il processo di designazione deveprevedere la frequenza di una periodica attivit� formativa concernentel'illustrazione delle istruzioni, il rispetto delle misure di sicurezza e lerelative responsabilit�. L'effettiva partecipazione al corso deve esseredocumentata.
Per quanto riguarda le richieste perl'esercizio dei diritti di cui all'art. 7 del Codice che comportanol'estrazione dei dati di traffico (menzionate anche nell'art. 132, comma 5,lett. c)), nei limiti in cui ci� � consentito ai sensi dell'art. 8, comma 2,lettera f) del Codice, iltitolare del trattamento deve conservare in forma specifica la documentazionecomprovante l'idonea verifica dell'identit� del richiedente ai sensi dell'art.9 del Codice stesso, e adottare opportune cautele per comunicare i dati al solosoggetto legittimato in base al medesimo articolo.
7.5. Cancellazione dei dati Alloscadere dei termini previsti dalle disposizioni vigenti, i dati di trafficosono resi non disponibili per le elaborazioni dei sistemi informativi e lerelative consultazioni; sono altres� cancellati o resi anonimi senza alcunritardo, in tempi tecnicamente compatibili con l'esercizio delle relativeprocedure informatiche, nei data base e nei sistemi di elaborazione utilizzati per i trattamenti, nonch� neisistemi e nei supporti per la realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione dimisure previste dalla normativa vigente, documentando tali operazioni al pi�tardi entro trenta giorni successivi alla scadenza dei termini di cui all'art.132 del Codice.
7.6. Altre misure Auditlog Devono essere adottatesoluzioni informatiche idonee ad assicurare il controllo delle attivit� svoltesui dati di traffico da ciascun incaricato del trattamento, quali che siano lasua qualifica, le sue competenze e gli ambiti di operativit� e le finalit� deltrattamento. Il controllo deve essere efficace e dettagliato anche per itrattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati.
Tali soluzioni comprendono laregistrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati ditraffico e sugli altri dati personali a essi connessi, sia quando consistono oderivano dall'uso interattivo dei sistemi, sia quando sono svolte tramitel'azione automatica di programmi informatici.
I sistemi di audit log devono garantire la completezza, l'immodificabilit�e l'autenticit� delle registrazioni in essi contenute, con riferimento a tuttele operazioni di trattamento e a tutti gli eventi relativi alla sicurezzainformatica sottoposti ad auditing.A tali scopi devono essere adottati, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto dielaborazione o per datacenter,sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura,i dati o i raggruppamenti di dati devono essere sottoposti a procedureinformatiche per attestare la loro integrit�, basate sull'utilizzo ditecnologie crittografiche.
Le misure di cui al presente paragrafosono adottate nel rispetto dei princ�pi in materia di controllo dei lavoratorisull'uso di strumenti elettronici, con particolare riguardo all'informativaagli interessati (cfr. Provv. 1�marzo 2007).
7.7. Audit interno– Rapporti periodici La gestionedei dati di traffico per finalit� di accertamento e repressione di reati deveessere oggetto, con cadenza almeno annuale, di un'attivit� di controllo internoda parte dei titolari del trattamento, in modo che sia verificata costantementela rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti itrattamenti dei dati di traffico previste dalle norme vigenti e dalprovvedimento del Garante, anche per ci� che riguarda la verifica della particolareselettivit� degli incaricati legittimati.
L'attivit� di controllo deve esseredemandata a un'unit� organizzativa o, comunque, a personale diverso rispetto aquelli cui � affidato il trattamento dei dati per la finalit� di accertamento erepressione dei reati.
I controlli devono comprendere ancheverifiche a posteriori, a campione o su eventuale allarme derivante da sistemidi Alerting e di AnomalyDetection, sulla legittimit� eliceit� degli accessi ai dati effettuati dagli incaricati, sull'integrit� deidati e delle procedure informatiche adoperate per il loro trattamento. Sonosvolte, altres�, verifiche periodiche sull'effettiva cancellazione dei datidecorsi i periodi di conservazione.
L'attivit� di controllo deve essereadeguatamente documentata in modo tale che sia sempre possibile risalire aisistemi verificati, alle operazioni tecniche su di essi effettuate, allerisultanze delle analisi condotte sugli accessi e alle eventuali criticit�riscontrate.
L'esito dell'attivit� di controllo deveessere:
a. comunicato alle persone e agliorgani legittimati ad adottare decisioni e a esprimere, a vari livelli in baseal proprio ordinamento interno, la volont� della societ�;
b. richiamato nell'ambito deldocumento programmatico sulla sicurezza nel quale devono essere indicati gliinterventi eventualmente necessari per adeguare le misure di sicurezza;
c. messo, a richiesta, adisposizione del Garante o dell'autorit� giudiziaria.
7.8. Documentazione dei sistemiinformativi I sistemi informativi utilizzati per il trattamento dei datidi traffico devono essere documentati in modo idoneo secondo i princ�pidell'ingegneria del software,evitando soluzioni documentali non corrispondenti a metodi descrittivi standard o di ampia accettazione.
La descrizione deve comprendere, perciascun sistema applicativo, l'architettura logico-funzionale, l'architetturacomplessiva e la struttura dei sistemi utilizzati per il trattamento, i flussidi input/output dei dati ditraffico da e verso altri sistemi, l'architettura della rete di comunicazione,l'indicazione dei soggetti o classi di soggetti aventi legittimo accesso alsistema.
La documentazione va corredata condiagrammi di dislocazione delle applicazioni e dei sistemi, da cui deverisultare anche l'esatta ubicazione dei sistemi nei quali vengono trattati idati per le finalit� di accertamento e repressione di reati.
La documentazione tecnica deve essereaggiornata e messa a disposizione dell'Autorit� su sua eventuale richiesta,unitamente a informazioni di dettaglio sui soggetti aventi legittimo accesso aisistemi per il trattamento dei dati di traffico.
7.9. Cifratura e protezione deidati I dati di traffico trattati per esclusive finalit� di giustiziavanno protetti con tecniche crittografiche, in particolare contro rischi diacquisizione fortuita o di alterazione accidentale derivanti da operazioni dimanutenzione sugli apparati informatici o da ordinarie operazioni diamministrazione di sistema. In particolare, devono essere adottate soluzioniche rendano le informazioni, residenti nelle basi di dati a servizio delleapplicazioni informatiche utilizzate per i trattamenti, non intelligibili a chinon disponga di diritti di accesso e profili di autorizzazione idonei,ricorrendo a forme di cifratura od offuscamento di porzioni dei database o degli indici o ad altri accorgimenti tecnicibasati su tecnologie crittografiche.
Tale misura deve essere efficace perridurre al minimo il rischio che incaricati di mansioni tecniche accessorie aitrattamenti (amministratori di sistema, data base administrator e manutentori hardware e software) possano accedere indebitamente alle informazioni registrate, anchefortuitamente, acquisendone conoscenza nel corso di operazioni di accesso aisistemi o di manutenzione di altro genere, oppure che possano intenzionalmenteo fortuitamente alterare le informazioni registrate.
Eventuali flussi di trasmissione dei datidi traffico tra sistemi informatici del fornitore devono aver luogo tramiteprotocolli di comunicazione sicuri, basati su tecniche crittografiche, ocomunque evitando il ricorso alla trasmissione in chiaro dei dati. Protocollidi comunicazione sicuri devono essere adottati anche per garantire, pi� ingenerale, la sicurezza dei sistemi, evitando di esporli a vulnerabilit� e arischio di intrusione (a titolo esemplificativo, l'accesso interattivo inmodalit� "emulazione di terminale", anche per scopi tecnici, non deveessere consentito su canali non sicuri, cos� come deve essere evitatal'attivazione di servizi di rete non necessari che si possono prestare allarealizzazione di forme di intrusione).
7.10. Tempi di adozione delle misure edegli accorgimenti Valutato il complesso delle misure e degliaccorgimenti, tenuto conto del quadro delle cautele che emergono dallerisultanze ispettive essere gi� in atto presso i fornitori, nonch� dei tempitecnici necessari per completarne l'attuazione, anche alla luce di quantoemerso dalla consultazione pubblica, risulta dagli atti congruo fissare untermine transitorio per i trattamenti di dati in essere, prevedendo che tuttigli adempimenti di cui al presente punto 7 siano completati al pi� presto edentro, e non oltre, il termine che � parimenti congruo stabilire per tutti ifornitori al 31 ottobre 2008. Entro tale termine, i fornitori dovranno dareconferma al Garante attestando formalmente l'integrale adempimento al presenteprovvedimento.
8. Applicazione di alcune misure a datitrattati per altre finalit� Le considerazioni svolte sulla naturaparticolarmente delicata dei dati di traffico, sulla necessit� di garantire unatutela maggiormente efficace dei diritti e delle libert� delle persone e diprescrivere una pi� incisiva messa in sicurezza di dati rilevano anche per ognialtro trattamento di dati di traffico telefonico e telematico effettuato daifornitori di cui al paragrafo 3.
Ci�, comporta l'improrogabile esigenza diassicurare che almeno alcuni tra gli accorgimenti e le misure di cui alprecedente punto 7, limitatamente a quelli adattabili al caso di specie, sianoapplicati comunque dai predetti fornitori nell'ambito di analoghi trattamentidi dati di traffico telefonico e telematico effettuati per finalit� non digiustizia, ma di fatturazione, pagamento in caso di interconnessione ecommercializzazione di servizi, nel pi� breve periodo temporale indicato nelmenzionato art. 123.
Per tali ragioni il Garante,contestualmente e distintamente da quanto va disposto ai sensi dell'art. 132,comma 5, del Codice, prescrive ai fornitori di cui al paragrafo 3, ai sensidell'art. 17 del medesimo Codice, di adottare nel termine e con la modalit� dicui al paragrafo 7.10. le misure e gli accorgimenti indicati nella lettera c)del seguente dispositivo.
Copia del presente provvedimento verr�trasmessa al Ministero della giustizia, anche ai fini della sua pubblicazionesulla Gazzetta Ufficiale dellaRepubblica italiana a cura dell'Ufficio pubblicazione leggi e decreti, nonch�,per opportuna conoscenza, all'Autorit� per le garanzie nelle comunicazioni.
a) ai sensi degli artt. 17, 123 e 132,comma 5, del Codice, prescrive ai fornitori di servizi di comunicazioneelettronica individuati nel paragrafo 3 di adottare nel trattamento dei dati ditraffico telefonico e telematico di cui al paragrafo 4 le misure e gliaccorgimenti a garanzia degli interessati individuate nel presenteprovvedimento, provvedendo a (par. 7):
1. adottare specifici sistemi di autenticazioneinformatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno duedifferenti tecnologie di autenticazione, che si applichino agli accessi aisistemi di elaborazione da parte di tutti gli incaricati di trattamento, nonch�di tutti gli addetti tecnici (amministratori di sistema, di rete, di database) che possano accedere ai datidi traffico custoditi nelle banche dati del fornitore, qualunque sia lamodalit�, locale o remota, con cui si realizzi l'accesso al sistema dielaborazione utilizzato per il trattamento, evitando che questo possa averluogo senza che l'incaricato abbia comunque superato una fase di autenticazioneinformatica nei termini anzidetti. Per i dati di traffico trattati peresclusive finalit� di accertamento e repressione dei reati, una di talitecnologie deve essere basata sull'elaborazione di caratteristiche biometrichedell'incaricato, in modo tale da assicurare la presenza fisica di quest'ultimopresso la postazione di lavoro utilizzata per il trattamento. Tali modalit� diautenticazione devono essere applicate anche a tutti gli addetti tecnici(amministratori di sistema, di rete, di data base) che possano accedere ai datidi traffico custoditi nelle banche dati del fornitore. Relativamente ai soliaddetti tecnici indicati al presente punto 1, qualora circostanze legate aindifferibili interventi per malfunzionamenti, guasti, installazioni hardware e software, aggiornamento e riconfigurazione dei sistemi, determinino la necessit�di accesso informatico a sistemi di elaborazione che trattano dati di trafficoin assenza di strong authentication,fermo restando l'obbligo di assicurare le misure minime in tema di credenzialidi autenticazione previste dall'Allegato B) al Codice, deve essere tenuta tracciadell'evento in un apposito "registro degli accessi", nonch� dellemotivazioni che li hanno determinati, con una successiva descrizione sinteticadelle operazioni svolte, anche mediante l'utilizzo di sistemi elettronici. Taleregistro deve essere custodito dal fornitore presso le sedi di elaborazione emesso a disposizione del Garante nel caso di ispezioni o controlli, unitamentea un elenco nominativo dei soggetti abilitati all'accesso ai diversi sistemi dielaborazione con funzioni di amministratore di sistema, che deve essere formatoe aggiornato costantemente dal fornitore.
2. adottare specifiche procedure ingrado di garantire la separazione rigida delle funzioni tecniche diassegnazione di credenziali di autenticazione e di individuazione dei profilidi autorizzazione rispetto a quelle di gestione tecnica dei sistemi e dellebasi di dati. Il fornitore deve definire e attribuire agli incaricati specificiprofili di autorizzazione differenziando le funzioni di trattamento dei dati ditraffico per finalit� di ordinaria gestione da quelle per finalit� diaccertamento e repressione dei reati e distinguendo, tra queste ultime, gliincaricati abilitati al solo trattamento dei dati di cui al primo periodo diconservazione obbligatoria (art. 132, comma 1, del Codice) dagli incaricatiabilitati anche al trattamento dei dati di cui al secondo periodo diconservazione obbligatoria (art. 132, comma 2, del Codice) e, infine, dallefunzioni di trattamento dei dati in caso di esercizio dei dirittidell'interessato (art. 7 del Codice);
3. adottare, per la conservazionedei dati di traffico per esclusive finalit� di accertamento e repressione direati, sistemi informatici distinti fisicamente da quelli utilizzati pergestire dati di traffico anche per altre finalit�, sia nelle componenti dielaborazione, sia di immagazzinamento dei dati (storage). I dati di traffico conservati per un periodo nonsuperiore ai sei mesi dalla loro generazione possono, invece, essere trattatiper le finalit� di giustizia sia prevedendone il trattamento con i medesimisistemi di elaborazione e di immagazzinamento utilizzati per la generalit� deitrattamenti, sia provvedendo alla loro duplicazione, con conservazione separatarispetto ai dati di traffico trattati per le ordinarie finalit�. Le attrezzatureinformatiche utilizzate per i trattamenti di dati di traffico per le esclusivefinalit� di giustizia di cui sopra devono essere collocate all'interno di areead accesso selezionato (ovvero riservato ai soli soggetti legittimati adaccedervi per l'espletamento di specifiche mansioni) e munite di dispositivielettronici di controllo o di procedure di vigilanza che comportino laregistrazione dei dati identificativi delle persone ammesse, con indicazionedei relativi riferimenti temporali. Nel caso di trattamenti di dati di trafficotelefonico per esclusive finalit� di giustizia, il controllo degli accessi devecomprendere una procedura di riconoscimento biometrico. Inoltre,nell'ambito dei trattamenti per finalit� di accertamento e repressione direati, una volta decorso il termine di cui al comma 1 dell'art. 132 del Codice,il fornitore deve trattare tali dati con modalit� che consentano l'accessodifferenziato su base temporale, tramite forme di separazione dei dati chegarantiscano il rispetto del principio di finalit� dei trattamenti el'efficacia dei profili di autorizzazione definiti. Tale differenziazione pu�essere ottenuta mediante separazione fisica, predisponendo sistemi del tuttoseparati nelle componenti di elaborazione e di archiviazione, oppure medianteseparazione logica, ovvero intervenendo sulla struttura delle basi di dati e/osui sistemi di indicizzazione e/o sui metodi di accesso e/o sui profili diautorizzazione. Infine, il fornitore deve adottare misure idonee a garantire ilripristino dell'accesso ai dati in caso di danneggiamento degli stessi o deglistrumenti elettronici in tempi compatibili con i diritti degli interessati ecomunque non superiori a sette giorni;
4. designare specificamente gliincaricati che possono accedere ai dati di traffico conservati per le finalit�di cui all'art. 132 del Codice, anche per consentire l'esercizio dei diritti dicui all'art. 7 del Codice medesimo. Il processo di designazione deve prevederela documentata frequenza di una periodica attivit� formativa concernentel'illustrazione delle istruzioni, il rispetto delle misure di sicurezza e lerelative responsabilit�. Per quanto riguarda le richieste per l'esercizio deidiritti di cui all'art. 7 del Codice che comportano l'estrazione dei dati ditraffico, nei limiti in cui ci� � consentito ai sensi dell'art. 8, comma 2,lettera f) del Codice, ilfornitore deve conservare in forma specifica la documentazione comprovantel'idonea verifica dell'identit� del richiedente ai sensi dell'art. 9 del Codicestesso, e adottare opportune cautele per comunicare i dati al solo soggettolegittimato in base al medesimo articolo;
5. rendere i dati di trafficoimmediatamente non disponibili per le elaborazioni dei sistemi informativi alloscadere dei termini previsti dalle disposizioni vigenti. Il fornitore devecancellare o rendere anonimi senza ritardo tali dati, in tempi tecnicamentecompatibili con l'esercizio delle relative procedure informatiche, nei database e nei sistemi dielaborazione utilizzati per i trattamenti nonch� nei sistemi e nei supporti perla realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione dimisure previste dalla normativa vigente e, al pi� tardi, documentando taleoperazione entro i trenta giorni successivi alla scadenza dei termini di cuiall'art. 132 del Codice;
6. adottare soluzioni informaticheidonee ad assicurare il controllo delle attivit� svolte sui dati di traffico daciascun incaricato del trattamento, quali che siano la sua qualifica, le suecompetenze e gli ambiti di operativit� e le finalit� del trattamento. Ilcontrollo deve essere efficace e dettagliato anche per i trattamenti condottisui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono laregistrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati ditraffico e sugli altri dati personali a essi connessi, sia quando consistono oderivano dall'uso interattivo dei sistemi, sia quando sono svolte tramitel'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilit�,l'autenticit� delle registrazioni in essi contenute, con riferimento a tutte leoperazioni di trattamento e a tutti gli eventi relativi alla sicurezzainformatica sottoposti ad auditing.A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto dielaborazione o per datacenter,sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura,i dati o i raggruppamenti di dati devono essere sottoposti a procedureinformatiche per attestare la loro integrit�, basate sull'utilizzo ditecnologie crittografiche;
7. svolgere, con cadenza almenoannuale, un'attivit� di controllo interno per verificare costantemente larispondenza alle misure organizzative, tecniche e di sicurezza riguardanti itrattamenti dei dati di traffico previste dalle norme vigenti e dalprovvedimento del Garante, anche per ci� che riguarda la verifica dellaparticolare selettivit� degli incaricati legittimati. Tale attivit� dicontrollo deve essere demandata a un'unit� organizzativa o, comunque, apersonale diverso rispetto a quelli cui � affidato il trattamento dei dati perla finalit� di accertamento e repressione dei reati. I controlli devonocomprendere anche verifiche a posteriori, a campione o su eventuale allarmederivante da sistemi di Alertinge di Anomaly Detection, sullalegittimit� e liceit� degli accessi ai dati effettuati dagli incaricati,sull'integrit� dei dati e delle procedure informatiche adoperate per il lorotrattamento. Sono svolte, altres�, verifiche periodiche sull'effettivacancellazione dei dati decorsi i periodi di conservazione. L'attivit� dicontrollo deve essere adeguatamente documentata in modo tale che sia semprepossibile risalire ai sistemi verificati, alle operazioni tecniche su di essieffettuate, alle risultanze delle analisi condotte sugli accessi e alleeventuali criticit� riscontrate. L'esito dell'attivit� di controllo deveessere: comunicato alle persone e agli organi legittimati ad adottare decisionie ad esprimere, a vari livelli in base al proprio ordinamento interno, lavolont� della societ�; richiamato nell'ambito del documento programmatico sullasicurezza nel quale devono essere indicati gli interventi eventualmentenecessari per adeguare le misure di sicurezza; messo, a richiesta, adisposizione del Garante o dell'autorit� giudiziaria;
8. documentare i sistemi informativiutilizzati per il trattamento dei dati di traffico in modo idoneo secondo iprinc�pi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivistandard o di ampia accettazione.La descrizione deve comprendere, per ciascun sistema applicativo,l'architettura logico-funzionale, l'architettura complessiva e la struttura deisistemi utilizzati per il trattamento, i flussi di input/outputdei dati di traffico da e verso altri sistemi, l'architettura della rete dicomunicazione, l'indicazione dei soggetti o classi di soggetti aventi legittimoaccesso al sistema. La documentazione va corredata con diagrammi didislocazione delle applicazioni e dei sistemi, da cui deve risultare anchel'esatta ubicazione dei sistemi nei quali vengono trattati i dati per lefinalit� di accertamento e repressione di reati. La documentazione tecnica deveessere aggiornata e messa a disposizione dell'Autorit� su sua eventualerichiesta, unitamente a informazioni di dettaglio sui soggetti aventi legittimoaccesso ai sistemi per il trattamento dei dati di traffico;
9. proteggere i dati di trafficotrattati per esclusive finalit� di giustizia con tecniche crittografiche, inparticolare contro rischi di acquisizione fortuita o di alterazione accidentalederivanti da operazioni di manutenzione sugli apparati informatici o daordinarie operazioni di amministrazione di sistema. Il fornitore deve adottaresoluzioni che rendano le informazioni residenti nelle basi di dati a serviziodelle applicazioni informatiche utilizzate per i trattamenti, non intelligibilia chi non disponga di diritti di accesso e profili di autorizzazione idonei,ricorrendo a forme di cifratura od offuscamento di porzioni dei data base odegli indici o ad altri accorgimenti tecnici basati su tecnologiecrittografiche. Tale misura deve essere efficace per ridurre al minimo ilrischio che incaricati di mansioni tecniche accessorie ai trattamenti(amministratori di sistema, database administrator e manutentori hardware e software) possano accedere indebitamente alle informazioni registrate, anchefortuitamente, acquisendone conoscenza nel corso di operazioni di accesso aisistemi o di manutenzione di altro genere, oppure che possano intenzionalmenteo fortuitamente alterare le informazioni registrate. Eventuali flussi ditrasmissione dei dati di traffico tra sistemi informatici del fornitore devonoaver luogo tramite protocolli di comunicazione sicuri, basati su tecnichecrittografiche, o comunque evitando il ricorso alla trasmissione in chiaro deidati. Protocolli di comunicazione sicuri devono essere adottati anche pergarantire pi� in generale la sicurezza dei sistemi evitando di esporli avulnerabilit� e a rischio di intrusione;
b) ai sensi dei medesimi artt. 17, 123 e132, comma 5 del Codice, nonch� dell'art. 157 del Codice, prescrive ai predettifornitori titolari del trattamento di effettuare tutti gli adempimenti di cuialla precedente lett. a) al pi� presto e, comunque, entro e non oltre iltermine del 31 ottobre 2008, dandone conferma al Garante attestando entro lostesso termine l'integrale adempimento;
c) ai sensi dell'art. 17 del Codiceprescrive ai medesimi fornitori titolari del trattamento di adottare, rispettoai dati di traffico trattati per le finalit� di cui all'art. 123 del Codice,entro e non oltre il termine del 31 ottobre 2008, dandone ai sensi dell'art.157 del Codice conferma al Garante e attestando entro lo stesso terminel'integrale adempimento, i seguenti accorgimenti e misure (par. 8):
1. adottare specifici sistemi diautenticazione informatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno duedifferenti tecnologie di autenticazione, che si applichino agli accessi aisistemi di elaborazione da parte di tutti gli incaricati di trattamento nonch�di tutti gli addetti tecnici (amministratori di sistema, di rete, di database) che abbiano la possibilit�concreta di accedere ai dati di traffico custoditi nelle banche dati delfornitore, qualunque sia la modalit�, locale o remota, con cui si realizzil'accesso al sistema di elaborazione utilizzato per il trattamento, evitandoche questo possa aver luogo senza che l'incaricato abbia comunque superato unafase di autenticazione informatica nei termini anzidetti. Qualora circostanzeeccezionali, legate a indifferibili interventi per malfunzionamenti, guasti,installazione hardware e software, aggiornamento e riconfigurazione dei sistemi,determinino la necessit� di accesso a sistemi di elaborazione che trattano datidi traffico da parte di addetti tecnici in assenza di strong authentication, fermo restando l'obbligo di assicurare le misureminime in tema di credenziali di autenticazione previste dall'Allegato B) alCodice in materia di protezione dei dati personali, deve essere tenuta tracciain un apposito "registro degli accessi" dell'eventuale accesso fisicoai locali in cui sono installati i sistemi di elaborazione oggetto diintervento e dell'accesso logico ai sistemi, nonch� delle motivazioni che lihanno determinati, con una descrizione sintetica delle operazioni svolte, anchemediante l'utilizzo di sistemi elettronici. Tale registro deve essere custoditodal fornitore presso le sedi di elaborazione e messo a disposizione del Garantenel caso di ispezioni o controlli, unitamente a un elenco nominativo deisoggetti abilitati all'accesso ai diversi sistemi di elaborazione con funzionidi amministratore di sistema, che deve essere formato e aggiornatocostantemente dal fornitore;
2. adottare procedure in gradodi garantire la separazione rigida delle funzioni tecniche di assegnazione dicredenziali di autenticazione e di individuazione dei profili di autorizzazionerispetto a quelle di gestione tecnica dei sistemi e delle basi di dati;
3. rendere i dati ditraffico immediatamente non disponibili per le elaborazioni dei sistemiinformativi allo scadere dei termini previsti dalle disposizioni vigenti,provvedendo alla loro cancellazione o trasformazione in forma anonima, in tempitecnicamente compatibili con l'esercizio delle relative procedure informatiche,nei data base e nei sistemi dielaborazione utilizzati per i trattamenti nonch� nei sistemi e nei supporti perla realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione dimisure previste dalla normativa vigente e, al pi� tardi, documentando taleoperazione entro i trenta giorni successivi alla scadenza dei termini diconservazione (art. 123 del Codice);
4. adottare soluzioni informaticheidonee ad assicurare il controllo delle attivit� svolte sui dati di traffico daciascun incaricato del trattamento, quali che siano la sua qualifica, le suecompetenze e gli ambiti di operativit� e le finalit� del trattamento. Ilcontrollo deve essere efficace e dettagliato anche per i trattamenti condottisui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono laregistrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati ditraffico e sugli altri dati personali a essi connessi, sia quando consistono oderivano dall'uso interattivo dei sistemi, sia quando sono svolte tramitel'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilit�,l'autenticit� delle registrazioni in essi contenute, con riferimento a tutte leoperazioni di trattamento e a tutti gli eventi relativi alla sicurezzainformatica sottoposti ad auditing.A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto dielaborazione o per datacenter,sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura,i dati o i raggruppamenti di dati devono essere sottoposti a procedure informaticheper attestare la loro integrit�, basate sull'utilizzo di tecnologiecrittografiche;
5. documentare i sistemi informativiutilizzati per il trattamento dei dati di traffico in modo idoneo secondo iprinc�pi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivistandard o di ampia accettazione.La descrizione deve comprendere, per ciascun sistema applicativo,l'architettura logico-funzionale, l'architettura complessiva e la struttura deisistemi utilizzati per il trattamento, i flussi di input/outputdei dati di traffico da e verso altri sistemi, l'architettura della rete dicomunicazione, l'indicazione dei soggetti o classi di soggetti aventi legittimoaccesso al sistema. La documentazione va corredata con diagrammi didislocazione delle applicazioni e dei sistemi, da cui deve risultare anchel'esatta ubicazione dei sistemi nei quali vengono trattati i dati per lefinalit� di accertamento e repressione di reati. La documentazione tecnica deveessere aggiornata e messa a disposizione dell'Autorit� su sua eventualerichiesta, unitamente a informazioni di dettaglio sui soggetti aventi legittimoaccesso ai sistemi per il trattamento dei dati di traffico;
d) dispone che copia del presenteprovvedimento sia trasmessa al Ministero della giustizia anche ai fini dellasua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana a cura dell'Ufficio pubblicazione leggie decreti, nonch�, per opportuna conoscenza, all'Autorit� per le garanzie nellecomunicazioni.

References: art. 2
 art. 6
 art. 15
 art. 184
 art. 132
 art.132
 art. 132
 art. 3
 art. 2
 art. 123