Source: https://lucadegrazia.wordpress.com/
Timestamp: 2015-08-04 07:21:48+00:00
Document Index: 86420493

Matched Legal Cases: ['art.34', 'art.34', 'art.34', 'art.47', 'art.36', 'art. 169', 'art.76', 'art.47', 'art.168', 'art.15', 'art.615', 'art.640', 'art.167', 'art.617', 'art.617', 'sentenza ', 'art.2050', 'art.15', 'art.2050']

Luca de Grazia Weblog | Avv. Luca-M. de Grazia Weblog
Breve analisi delle modifiche dell’art.34 del D.Lgs.196-2003
domenica 16 novembre 2008 — lucadegrazia 1. Premessa 2. Descrizione del modus operandi 3. Alcune precisazioni preliminari 4. Analisi generale della situazione 5. Possibili rischi 6. Conclusioni In questa sintesi verrà analizzata, in via sintetica, la reale portata delle modifiche recentemente introdotte all’art.34 del D.Lgs. n.196/2003, anche alla luce delle varie notizie riportate dai media.
La questione fondamentale è quella della applicabilità della modifica non solamente ai soggetti organizzati in maniera semplice e di dimensioni piccole e medio piccole, ma – se del caso – anche a soggetti di dimensioni maggiori e comunque più articolati da un punto di vista organizzativo.
L’ analisi si baserà fondamentalmente sul dettato della normativa
Fermo restando quanto in precedenza scritto, la posizione assunta è, in linea di massima, quella del consulente che, in “scienza e coscienza”, debba consigliare ad un proprio Cliente, se adottare o meno la dichiarazione sostitutiva prevista dalla normativa così come modificata, ovvero continuare ad agire come se la modifica non fosse avvenuta.
Ovviamente una cosa è valutare il rapporto costi/benefici, nel senso che nel prosieguo verrà meglio spiegato (rapporto tra omissioni / risparmio organizzativo / costo delle sanzioni pecuniare / costo delle sanzioni non pecuniarie / danni di immagine indiretti).
Per una completa comprensione del presente documento si presuppone la conoscenza dei concetti di base collegati alla applicazione dell’art.34 del D.Lgs. n.196/2003, alle responsabilità connesse alla mancata adozione delle regole da esso poste, sia in sede civile, sia in sede penale, sia in sede “amministrativa”, intendendo in questo caso le responsabilità amministrative nei confronti del Garante.
Per comodità di lettura, riporto qui di seguito il testo degli articoli ai quali fa riferimento la norma in esame:
D.Lgs. n.196/2003 Art. 34 Trattamenti con strumenti elettronici
«1-bis. Per i soggetti che trattano soltanto dati personali non sensibili e che trattano come unici dati sensibili quelli costituiti dallo stato di salute o malattia dei propri dipendenti e collaboratori anche a progetto, senza indicazione della relativa diagnosi, ovvero dall’adesione ad organizzazioni sindacali o a carattere sindacale, la tenuta di un aggiornato documento programmatico sulla sicurezza e’ sostituita dall’obbligo di autocertificazione, resa dal titolare del trattamento ai sensi dell’articolo 47 del testo unico di cui al decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto tali dati in osservanza delle altre misure di sicurezza prescritte. In relazione a tali trattamenti, nonche’ a trattamenti comunque effettuati per correnti finalità amministrative e contabili, in particolare presso piccole e medie imprese, liberi professionisti e artigiani, il Garante, sentito il Ministro per la semplificazione normativa, individua con proprio provvedimento, da aggiornare periodicamente, modalità semplificate di applicazione del disciplinare tecnico di cui all’Allegato B) in ordine all’adozione delle misure minime di cui al comma 1».
D.Lgs. n.196/2003 – Punto 19 dell’allegato B
D.P.R. 445/2000 – Articolo 47 (R) Dichiarazioni sostitutive dell’atto di notorietà
D.P.R. 445/2000 – Articolo 76 (L) Norme penali
D.Lgs. n.196/2003 Art. 168 Falsità nelle dichiarazioni e notificazioni al Garante
1. Chiunque, nella notificazione di cui all’articolo 37 o in comunicazioni, atti, documenti o dichiarazioni resi o esibiti in un procedimento dinanzi al Garante o nel corso di accertamenti, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni.
D.Lgs. n.196/2003 Art. 169. Misure di sicurezza
2. All’autore del reato, all’atto dell’accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l’oggettiva difficoltà dell’adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l’adempimento alla prescrizione, l’autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell’ammenda stabilita per la contravvenzione. L’adempimento e il pagamento estinguono il reato. L’organo che impartisce la prescrizione e il pubblico ministero provvedono nei modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, e successive modificazioni, in quanto applicabili.
In linea di principio, il combinato disposto degli articoli appena riportati può essere sinteticamente letto nel seguente modo “Se il titolare tratta soltanto dati personali non sensibili e l’unico dato sensibile e’ costituito dallo stato di salute o malattia dei propri dipendenti o collaboratori senza indicazione della relativa diagnosi, può non redigere il documento programmatico della sicurezza e sostituire tale redazione con una autodichiarazione effettuata ai sensi dell’art.47 del DPR 445/2000”.
Il discorso relativo alle possibili future semplificazioni per i soli trattamenti appena menzionati e per trattamenti comunque effettuati “per correnti finalità amministrative e contabili” verrà effettuato brevemente alla fine del presente documento.
Pertanto, dovranno ricorrere contemporaneamente e contestualmente le seguenti condizioni affinché la norma possa essere applicabile:
a. Il titolare, direttamente ovvero attraverso i responsabili del trattamento, deve trattare esclusivamente dati non sensibili (ma non “non giudiziari”);
b. l’unico dato sensibile e’ costituito dallo stato di salute o malattia dei propri dipendenti o collaboratori senza indicazione della relativa diagnosi
Si tratta ora di analizzare quali potrebbero essere le categorie dei soggetti che possano usufruire della “semplificazione”, mentre nel prosieguo si effettueranno dei cenni alle conseguenze di una errata analisi della propria situazione; l’analisi e le relative esemplificazioni si baseranno oltre che sui dati comunemente reperibili anche sulla personale esperienza del sottoscritto.
La premessa indispensabile è che il titolare che decida di accedere alla procedura di semplificazione sia ben a conoscenza dei dati trattati dalla propria organizzazione.
A. PROFESSIONI LIBERALI:
a. Medici ed assimilabili: esclusi per definizione in relazione all’attività svolta
b. Ingegneri / Architetti / Geometri: potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma (in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
c. Commercialisti / Consulenti del Lavoro / ecc.: potrebbero usufruire della semplificazione solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione]. Ovviamente potranno, in proprio, accedere alla semplificazione solamente dopo aver accertato che anche le tipologie di dati trattati per conto dei terzi (i propri clienti) siano totalmente e pienamente contenuti nella previsione normativa
d. Avvocati: esclusi per definizione in relazione all’attività svolta
e. Consulenti in generale: potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma (in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
B. IMPRESE:
a. Artigiane: potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma (in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
b. Piccole imprese (sino a 15 dipendenti): potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma (in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
c. Medie imprese: a causa della complessità organizzativa ben difficilmente potranno ricadere nell’ipotesi prevista per le piccole imprese;
d. Grandi imprese: a causa della complessità organizzativa ben difficilmente potranno ricadere nell’ipotesi prevista per le piccole imprese;
e. Imprese emanazione di soggetti giuridici non italiani: esclusi per definizione in relazione all’attività svolta
C. ASSOCIAZIONI:
a. Onlus ed assimilabili: in linea di massima escluse per definizione (potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
b. Associazioni ex art.36 C.C.: in linea di massima escluse per definizione (potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
c. Partiti politici: in linea di massima esclusi per definizione (potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
d. Altre tipologie di associazioni: in linea di massima escluse per definizione (potrebbero usufruire della semplificazione a patto di rispettare pienamente il disposto della norma in sostanza, solamente per i propri dipendenti e purché, per esempio, non trattino anche dati giudiziari [esclusi dalla semplificazione])
Il punto sul quale occorre riflettere molto bene è l’esatta definizione e conseguentemente l’esatta portata della norma in esame; in effetti, nella vita di tutti i giorni, è ben difficile che un titolare tratti solamente dati non sensibili (in sostanza solamente dati “normali”, non sensibili e non giudiziari); è sufficiente avere una foto di un soggetto perché la possibilità di usufruire della semplificazione sia posta nel nulla.
Inoltre, l’unico dato sensibile del proprio dipendente deve essere necessariamente (e solamente) quello relativo “allo stato di salute o malattia dei propri dipendenti o collboratori senza indicazione della relativa diagnosi”; conseguentemente, solamente i certificati inviati per le assenze dal lavoro (anche se materialmente detenuti dal commercialista, dal consulente del lavoro o soggetto ad essi assimilabille).
Pertanto, appare abbastanza evidente come le ipotesi di applicazione della norma in esame siano marginali o, più esattamente, limitate solamente ai soggetti con organizzazione e strutturazione estremamente semplice e con un numero comunque limitato di dipendenti.
Per quanto concerne le possibili future semplificazioni che il Garante potrà emanare – a prescindere dalla legittimità della rimessione ad una Autorità Amministrativa della possibilità di decidere quali siano i casi di esenzione dal rispetto di normative statali – occorrerà ovviamente attendere che il Garante medesimo si pronunci, ed occorrerà soprattutto “controllare” che le tanto annunciate semplificazioni siano, alla resa dei conti, veramente tali.
Un discorso a parte merita l’analisi delle conseguenze di una eventuale errata interpretazione della propria situazione al fine di usufruire della procedura semplificata.
Come è noto, il D.P.S. è solamente uno degli obblighi relativi alla sicurezza, e la mancata o pesantemente incompleta redazione del medesimo integra, con ogni probabilità, il reato previsto dall’art. 169 del D.Lgs. n.196/2003 (Omessa adozione di misure di sicurezza), reato che, per la formulazione e per la connessione sistematica con i principi generali del diritto penale, ben a ragione può non essere limitato al solo titolare ma anche a tutti i soggetti che, materialmente, abbiano concorso nella mancata adozione delle prescritte misure [minime] di sicurezza.
Orbene, la dichiarazione effettuata ai sensi del comma 1-bis del novellato articolo 34 del D.Lgs. n.196/2003, se scientemente effettuata, quanto meno integra i reati previsti dall’art.76 del D.P.R. 445/2000 (a causa del richiamo espresso dell’art.47 del medesimo D.P.R.) e contemporaneamente costituisce – comunque – una omessa adozione delle misure [minime] di sicurezza, con le conseguenze in precedenza evidenziate.
In effetti, laddove fosse accertabile (e/o accertata) la volontà di effettuare delle dichiarazioni, per così dire “non vere”, potrebbe agevolemnte scattare anche il reato (probabilmente specifico rispetto a quello generale previsto dal D.P.R. 445/2000) previsto dall’art.168 del D.Lgs. n.196/2003.
In ambedue i casi saremmo nell’ipotesi di concorso di reati (con possibile concorso di più persone nella commissione di tali reati); ritengo che la conclusione sia talmente chiara che non meriti ulteriore approfondimento.
Ovviamente non è detto che le ipotesi di reato si debbano poi necessariamente “convertire” in condanne, dipende anche dall’insieme di quello che potrebbe emergere a seguito di una denuncia, una indagine, un esposto, ma è un elemento di rischio che deve necessariamente essere adeguatamente valutato.
Come sempre, diffidare dalle soluzioni semplici ed affidarsi a soggetti di provata capacità ed esperienza e, soprattutto, con elevate capacità di visione complessiva del problema; si tratta di una materia nella quale non è assolutamente possibile inventare alcunché, ma occorre avere solide basi e soprattutto conoscenze approfondite ed interdisciplinari.
Ricordiamo sempre la definizione di dato sensibile: d) “dati sensibili”, i dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale;
Che, si rammenta, sono da considerarsi come “misure minime di sicurezza”, e nulla hanno a che vedere con quelle previste dall’art.15 del medesimo D.Lgs. n.196/2003
lunedì 15 marzo 2010 — lucadegrazia 1. Introduzione.
2. La definizione dell’attività.
3. Riflessi penalistici sui c.d. “reati informatici”
4. Riflessi penalistici con riferimento al trattamento di dati personali
5. Riflessi civilistici
Cercherò di chiarire alcuni degli aspetti giuridici dell’attività conosciuta come “fishing”, anche al fine di evidenziare quali siano le risposte “legali” e legate ai reati c.d. “informatici”, che possano essere messe in atto da chi subisca un “attacco” di tal genere. Al termine di questa breve disamina cercherò anche di evidenziare le eventuali corresponsabilità dei soggetti che eroghino un servizio soggetto a tali “attacchi” nei confronti della propria clientela.
2. La definizione dell’attività
Quella che segue è la definizione di http://www.webopedia.org:
fish´ing) (n.)
The act of sending an e-mail to a user falsely claiming to be an established legitimate enterprise in an attempt to scam the user into surrendering private information that will be used for identity theft. The e-mail directs the user to visit a Web site where they are asked to update personal information, such as passwords and credit card, social security, and bank account numbers, that the legitimate organization already has. The Web site, however, is bogus and set up only to steal the user’s information. For example, 2003 saw the proliferation of a phishing scam in which users received e-mails supposedly from eBay claiming that the user’s account was about to be suspended unless he clicked on the provided link and updated the credit card information that the genuine eBay already had. Because it is relatively simple to make a Web site look like a legitimate organizations site by mimicking the HTML code, the scam counted on people being tricked into thinking they were actually being contacted by eBay and were subsequently going to eBay’s site to update their account information. By spamming large groups of people, the “phisher” counted on the e-mail being read by a percentage of people who actually had listed credit card numbers with eBay legitimately.
Vediamo come viene definito il reato tentato nel codice penale:
Art. 56 Delitto tentato.
[I]. Chi compie atti idonei, diretti in modo non equivoco a commettere un delitto, risponde di delitto tentato, se l’azione non si compie o l’evento non si verifica.
[II]. Il colpevole del delitto tentato è punito: con la reclusione non inferiore a dodici anni, se la pena stabilita è l’ergastolo; e, negli altri casi, con la pena stabilita per il delitto, diminuita da un terzo a due terzi.
[III]. Se il colpevole volontariamente desiste dall’azione, soggiace soltanto alla pena per gli atti compiuti, qualora questi costituiscano per sè un reato diverso.
[IV]. Se volontariamente impedisce l’evento, soggiace alla pena stabilita per il delitto tentato, diminuita da un terzo alla metà.
Per il diritto italiano, in particolare per il diritto penale, sono pertanto ipotizzabili (quanto meno a livello di tentativo che, ricordo, è punito in maniera più blanda rispetto al reato consumato, ma costituisce pur sempre attività criminale in senso stretto) attività che potrebbero essere ricondotte ai seguenti reati:
Se l’acquisizione di informazioni è finalizzata solamente ad un successivo accesso abusivo a sistema informatico, il riferimento sarà l’art.615-ter C.P.
Se l’acquisizione di informazioni è finalizzata ad una successiva truffa nei confronti del soggetto che incautamente fornisca le informazioni richieste, il riferimento sarà l’art.640 c.p. (Truffa)
[I]. Chiunque, con artifizi o raggiri, inducendo taluno in errore, procura a sè o ad altri un ingiusto profitto con altrui danno, è punito con la reclusione da sei mesi a tre anni e con la multa da 51 euro a 1.032 euro
Se l’acquisizione di informazioni è finalizzata ad un successivo trattamento illecito di dati personali, il riferimento sarà l’art.167 del D.Lgs.n.196/2003
Con ogni probabilità non potrebbe essere contestata né l’art.617-quater c.p. (intercettazione)
“Art. 617-quater. – (Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche). –
Chiunque fraudolentemente intercetta comunicazioni relative a un sistema informatico o telematico o intercorrenti tra più sistemi, ovvero le impedisce o le interrompe, è punito con la reclusione da sei mesi a quattro anni.
in quanto non si tratta propriamente di “conoscenza fraudolenta del contenuto di comunicazioni tra sistemi informatici” ma piuttosto di “induzione alla comunicazione di informazioni in maniera fraudolenta”.
Nello stesso senso non dovrebbe poter essere applicabile l’art.617-sexies c.p. (che generalmente sanziona le varie attività riconducibili al c.d. “spoofing”:
in quanto non viene formato falsamente, né alterato, né soppresso, alcun contenuto di comunicazione.
Come si vedrà nell’esempio che segue, il condizionale è obbligatorio anche in questo caso, in quanto si potrebbe sempre argomentare che, nell’attività successiva alla “induzione a false comunicazioni”, il soggetto che effettui il fishing sopprime il contenuto di una comunicazione, sempre tenendo presente quale era il destinatario, per così dire “istituzionale”, della comunicazione medesima (ovvero il sito che il cliente “crede” di raggiungere).
Anche nell’ipotesi del 617-quater c.p. il condizionale è d’obbligo, in quanto si potrebbe anche sostenere che, rispetto alla comunicazione che il soggetto passivo del reato (ovvero il soggetto che artatamente sia indotto a fornire informazioni al potenziale criminale [perché di questo si tratta da un punto di vista legale]) “crede” di operare, il terzo si porrebbe come “intercettatore” o, quanto meno, come “soggetto che interrompe la comunicazione”, qualora si consideri che la comunicazione sarebbe dovuta avvenire tra l’utente ed il sito web che – legalmente e correttamente – avrebbe formulato la richiesta di acquisizione di dati, di qualunque genere essi siano.
In questo senso esiste una sentenza della Corte di Cassazione che potrebbe applicarsi anche al caso in esame, la cui massima così recita:
Cassazione penale, sez. V, 14 ottobre 2003, n. 44362 in Riv. pen. 2004, 416
In relazione al reato di trattamento illecito di dati personali, per i quali recentemente la giurisprudenza della Cassazione ha ribadito come occorra necessariamente il c.d. “nocumento”, ovvero un danno quantificabile, perché possa configurarsi il reato, probabilmente non si è in presenza solamente di un tentativo, ma anche del reato compiuto.
Infatti l’articolo 167 recita:
Uno degli articoli citati concerne la mancanza del consenso e pare sufficientemente chiaro che nell’ipotesi in esame tale consenso non possa esistere, in quanto – per definizione – è stato “estorto”. Il problema rimane quello di individuare il c.d. “nocumento”, ma poiché il Codice sui dati personali definisce come risarcibile anche il danno morale, non dovrebbe essere troppo difficile individuare come esistente tale tipologia di danno e, conseguentemente, ritenere punibile il reo.
In ogni caso sarebbe possibile agire con un giudizio civile per il risarcimento del danno causato, ma sicuramente a questo potrebbe essere di ostacolo la “cittadinanza” del “pescatore”…
Se a questo punto cerchiamo di inquadrare brevemente l’eventuale corresponsabilità, soprattutto nel campo del diritto civile, del “fornitore di servizi” nei confronti del proprio Cliente, probabilmente – come si suole dire – ne potremmo “vedere delle belle”.
Infatti, a prescindere da qualunque riferimento alle ipotesi penali sopra descritte, con ogni probabilità – qualora tale responsabilità non fosse stata preventivamente esclusa attraverso la sottoscrizione di apposite e chiare clausole contrattuali – si può individuare una responsabilità da parte del “fornitore di servizio” qualora questi non abbia adottato, anche ai sensi dell’art.2050 richiamato dall’art.15 del D.Lgs n.196/2003, tutte le cautele possibili affinché il danno non avvenisse.
In sostanza, di fatto esiste un obbligo nel fare in modo che siano utilizzati tutti gli strumenti messi a disposizione dalla tecnica (e quindi, nel caso specifico di erogazione di servizi a mezzo della rete internet) affinché l’utente – sia esso consumatore o utente professionale, a questo punto la differenza non è sensibile – sia messo in grado di essere “sicuro” che il soggetto che eroghi un servizio sia veramente chi afferma di essere.
Infatti, come è sotto gli occhi di tutti, se adesso quando si paga con una carta di credito l’esercente esige un documento di riconoscimento (in realtà lo richiede perché il soggetto che eroga il servizio P.O.S. non si fa carico di “errori” dovuti alla sbadataggine dell’esercente), non si vede per quale motivo quando la medesima cosa accade per un servizio fornito attraverso internet non debba accadere la medesima cosa.
Conseguenza di ciò è la “necessità” di adottare sistemi di trasmissione cifrati (https), certificati digitali (rilasciati da soggetti che svolgano tale attività per legge, non certamente “fabbricati in casa”) che consentano di controllare che il titolare del sito al quale ci colleghiamo sia veramente chi afferma di essere, conferma incrociata delle informazioni visualizzate, e così via.
In caso contrario, stante anche l’inversione dell’onere della prova sancito dall’art.2050 c.c., vedo come ben difficile da sostenere la difesa di chi eroghi un servizio con modalità difformi da quelle appena individuate.
In conclusione, ancora una volta possiamo vedere come sia possibile tutelare la propria posizione attraverso il ricorso alla legge, in particolare anche a quella penale (il che vuol dire che si può far agire lo Stato invece che agire direttamente) ma è anche altrettanto vero che, mai come in questi casi, sarebbe molto meglio prevenire piuttosto che reprimere, per cui una sana prudenza nelle attività in rete, un preventivo controllo sulla effettiva identità di chi ci richiede delle informazioni (ovvero, certificato digitale del sito e quant’altro sia necessario per “confermare” che il sito sia quello che pretende di essere) potrebbe evitare tante inutili complicazioni.
Pubblicato su Penale. Leave a Comment »
mercoledì 28 gennaio 2009 — lucadegrazia Registrazione degli accessi ed Amministratori di sistema
La premessa ….[…omissis…]
1.	un sistema idoneo alla registrazione degli accessi logici intesi come autenticazione informatica ai sistemi di elaborazione
2.	un sistema idoneo alla registrazione degli accessi logici agli archivi elettronici
a.	in ambedue i casi quando uno degli accessi appena citati venga effettuato da un amministratore di sistema (d’ora in avanti AdS)
In pratica (rinvio ad un altro mio articolo più approfondito sull’intero provvedimento sugli AdS) occorrerà effettuare una bella ricognizione delle figure esistenti, e conseguentemente operare.
mercoledì 28 gennaio 2009 — lucadegrazia BREVE ANALISI DEL PROVVEDIMENTO 27-11-2008 SULLA FIGURA DELL’AMMINISTRATORE DI SISTEMA.DOC
Inoltre, oserei dire finalmente, l’Autorità prende atto della circostanza che lo “skill” professionale e “morale” (o, quanto meno, “etico”) delle persone preposte a determinate attività “dovrebbe” comprendere una analisi a tutto tondo, rifuggendo quindi da persone che abbiano un passato non propriamente limpido. Si tratta di pratiche che le imprese serie già da tempo mettono in atto ma, in questo senso, la circostanza che un provvedimento di un’Autorità Indipendente precisi tali punti non può che essere produttivo per una vera cultura della sicurezza.
A parere del sottoscritto anche in questo caso la locuzione “individuale” non vada intesa come “ad personam” ma riferita ad un (corretto) organigramma funzionale / operativo, che alla luce delle modifiche normative dovrà (se necessario) essere integrato con “…l’elencazione analitica degli ambiti di operatività…”. E’ appena il caso di notare come questo modo di inquadrare i soggetti operanti nell’ambito di serie organizzazioni complesse sia già da tempo operante; nello specifico si tratterà di effettuare un ulteriore controllo dei profili utente (già previsti sin dall’inizio dall’allegato B) ed eventualmente apportare qualche modifica specifica.
In sostanza, non occorre una elencazione di nominativi (si utilizza appunto la locuzione individuale, non personale e/o nominativa), ma una corretta gestione delle entità logico – organizzative, con annesso elenco delle persone che ricoprano pro-tempore la funzione. In pratica, non il contenuto della variabile (A), ma una corretta individuazione delle funzioni spettanti alla variabile (A); per inciso, mi sembra ovvio che qualora la persona fisica che ricopra un certo ruolo venga magari trasferito ad altro lavoro, ed al suo posto venga inserita persona con caratteristiche simili, il riferimento continui ad essere alla funzione, non alla persona.
Gli estremi identificativi delle persone fisiche amministratori di sistema, con l’elenco delle funzioni ad essi attribuite, devono essere riportati nel documento programmatico sulla sicurezza, oppure, nei casi in cui il titolare non é tenuto a redigerlo, annotati comunque in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti anche da parte del Garante. Norma totalmente inutile per quanto concerne l’inserimento nel DPS; sarebbe stato sufficiente applicare a tutti i casi la necessità di un documento interno. Ricordiamo comunque che il DPS dovrebbe essere classificato come documento riservato, non accessibile a tutti, e che non necessariamente il DPS debba avere la forma monolitica di un romanzo di appendice, ben potendo ricorrere agli allegati.
Si tratta semplicemente di inserire un’altra attività da monitorare in previsione della redazione del DPS. A mio giudizio un termine trimestrale o al massimo quadrimestrale di aggiornamento della situazione, anche per rispettare quanto previsto dal D.Lgs n.231/2001, non potrà che essere utile per il rispetto delle normative citate, anche se la normativa parla di termine annuale.
Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Nulla di nuovo, lo prevedeva già l’Allegato B
Finalmente si fa riferimento alla necessità – peraltro da tempo affermata dalla letteratura “tecnica” – di inalterabilità dei log; i riscontri ed i riferimenti alla c.d. “forensic” mi sembrano del tutto chiari. Come sempre – e correttamente – l’Autorità non “dice” cosa utilizzare, anche perché – ormai – il panorama tecnico – legislativo italiano è sufficientemente esteso per fornire soluzioni “per tutti i gusti e tutte le tasche”.
Si va dalla firma elettronica avanzata alla firma digitale, alla marca temporale, alla conservazione sostitutiva dei documenti, ovvero ad un insieme di tali tecniche / servizi esistenti. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell’evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.
Ritengo che ormai i tempi siano maturi per comprendere che non è “cancellando i dati” che si protegge l’individuo (e non solo, l’interessato per il D.Lgs. n.196/2003 non è solamente la persona fisica) ma, anzi, magari si sottrae al soggetto leso la possibilità di ricostruire cosa sia successo, specialmente in caso di reati e/o abusi perpetrati attraverso il mezzo internet. E’ necessario sanzionare velocemente e pesantemente l’abuso (del trattamento) dei dati, non l’esistenza dei medesimi.
Molto semplicemente i Titolari del trattamento dovranno, entro aprile 2009, adeguare le proprie organizzazioni a quanto stabilito dal provvedimento. Una piccola notazione: il termine di scadenza è successivo a quello di redazione del DPS per cui, per l’anno 2008, quanto previsto dal punto 4.3 non potrà avere sanzione, in quanto il termine massimo di scadenza per l’adozione di queste “nuove” misure di sicurezza è successivo a quello di scadenza per la redazione del DPS.
Va da sé che l’ulteriore layer di codificazione (ora anche necessariamente normativa) della figura analizzata non potrà che essere d’aiuto anche nella corretta applicazione del D.Lgs n.231/2001, tenendo presente che ambedue le normative citate dovrebbero “prevenire” certi accadimenti. (Avv. Luca-M. de Grazia)
6.	Il testo del provvedimento PROVVEDIMENTO DEL 27 NOVEMBRE 2008
| The Garland Theme.	Affari Italiani
Luca de Grazia Weblog	Crea un sito o un blog gratuitamente presso WordPress.com. The Garland Theme.	Iscriviti
Segui “Luca de Grazia Weblog”