Source: http://www.privacy.it/archivio/garanteprovv200807242.html
Timestamp: 2018-02-25 15:15:56+00:00
Document Index: 10389331

Matched Legal Cases: ['art. 132', 'art. 3', 'art. 2', 'art. 5', 'art. 6', 'art.15', 'art. 15', 'art. 184', 'art. 132', 'art. 1', 'art. 123', 'art.123', 'art. 132', 'art. 132', 'art. 132', 'art. 407', 'art.132', 'art. 132', 'art. 4', 'art. 132', 'art. 121', 'art. 132', 'art. 4', 'art. 2', 'art. 132', 'art. 1', 'art. 132', 'art. 4', 'art. 6', 'art. 3', 'art. 132', 'art. 2', 'art. 7', 'art. 132', 'art. 132', 'art. 132', 'art. 132', 'art. 31', 'art. 132', 'art. 7', 'art. 132', 'art. 7', 'art. 7', 'art. 132', 'art. 8', 'art. 9', 'art. 132', 'art. 123', 'art. 7', 'art. 132', 'art. 7', 'art. 7', 'art. 8', 'art. 9', 'art. 132', 'art. 157', 'art. 17', 'art. 123', 'art. 157', 'art. 123']

Sicurezza dei dati di traffico telefonico e telematico - 24 luglio 2008
SICUREZZA DEI DATI DITRAFFICO TELEFONICO E TELEMATICO
(Integrazione e modifica del Provv. 17 gennaio 2008, di pari oggetto)
VISTA la deliberazione del 19 settembre2007 con la quale l'Autorit� ha avviato una procedura di consultazione pubblicasu un documento, adottato in pari data, riguardante "Misure e accorgimentia garanzia degli interessati in tema di conservazione di dati di trafficotelefonico e telematico per finalit� di accertamento e repressione direati" e pubblicato, unitamente alla medesima deliberazione, sulsito web dell'Autorit�;
Il trattamento dei dati di traffico telefonico e telematico presenta rischispecifici per i diritti e le libert� fondamentali, nonch� per la dignit�dell'interessato.
Per tali motivi, a prescindere dallegaranzie previste in termini pi� generali nell'ordinamento anche sul pianocostituzionale e processuale, il legislatore all'art. 132 del Codice hademandato al Garante per la protezione dei dati personali l'individuazionedelle misure e degli accorgimenti che i fornitori dei servizi di comunicazioneelettronica devono adottare a fronte della conservazione dei dati di trafficotelefonico e telematico, allo stato prescritta per finalit� di accertamento erepressione dei reati. Il presente provvedimento � rivolto appunto aindividuare le elevate cautele che devono essere osservate dai fornitori nellaformazione e nella custodia dei dati del traffico telefonico e telematico.
La direttivaeuropea considerando n. 15 della n. 2002/58/Ce, relativaal trattamento dei dati personali e alla tutela della vita privata nel settoredelle comunicazioni elettroniche, impone agli Stati membri di proteggere lariservatezza delle comunicazioni elettroniche e vieta la conservazione dei datirelativi al traffico generati nel corso delle comunicazioni, a eccezione dellaconservazione espressamente autorizzata per i fini indicati nella direttivamedesima.
La direttiva riguarda (art. 3) iltrattamento dei dati personali connesso alla fornitura di servizi dicomunicazione elettronica accessibili al pubblico su reti pubbliche dicomunicazione. I dati relativi al traffico sono definiti, in questa sede, qualiquelli sottoposti a trattamento "ai fini della trasmissione di unacomunicazione su una rete di comunicazione elettronica o della relativafatturazione" (cfr.art. 2 e considerando n. 15 della direttiva 2002/58/Ce). La medesima direttiva, nell'imporre agli Stati membril'adozione di disposizioni di legge nazionali che assicurino la riservatezzadelle comunicazioni effettuate tramite la rete pubblica di comunicazione e iservizi di comunicazione elettronica accessibili al pubblico, pone l'accentosui dati di traffico generati dai servizi medesimi (art. 5); tali dati,trattati e memorizzati dal fornitore della rete pubblica o del serviziopubblico di comunicazione elettronica, devono essere cancellati o resi anonimiquando non sono pi� necessari ai fini della trasmissione della comunicazione,fatte salve alcune tassative eccezioni (cfr. art. 6, par. 2 , 3 e 5 e art.15, par. 1; v., fra gli altri, il Parere n. 1/2003 sullamemorizzazione ai fini di fatturazione dei dati relativi al traffico, adottatoil 29 gennaio 2003 dal Gruppo dei garanti europei per la tutela dei datipersonali).
L'art. 15, par. 1, della direttivaconsente che gli Stati membri possano adottare disposizioni legislative volte alimitare i diritti e gli obblighi di cui ai predetti articoli 5 e 6 solo quandotale restrizione costituisca "una misura necessaria, opportuna eproporzionata all'interno di una societ� democratica per la salvaguardia dellasicurezza nazionale (cio� della sicurezza dello Stato), della difesa, dellasicurezza pubblica e la prevenzione, ricerca, accertamento e perseguimento deireati, ovvero dell'uso non autorizzato del sistema di comunicazione elettronica". A tal fine, gli Stati membri possono, tra l'altro,adottare misure legislative le quali prevedano che, per tali motivi, i datisiano conservati per un periodo di tempo limitato.
La direttiva 2002/58/Ce � stata recepita con ilCodice in materia di protezione dei dati personali (Titolo X ("Comunicazionielettroniche"); cfr. art. 184).Nel Capo I di tale Titolo, intitolato "Servizi di comunicazioneelettronica", � stataintrodotta una nuova disciplina sulla conservazione dei dati di trafficotelefonico.
Dall'altro, l'art. 132 del medesimoCodice, modificato prima della sua entrata in vigore (d.l. 24 dicembre 2003,n. 354, convertito in l., con modificazioni, dall'art. 1 l. 26 febbraio 2004,n. 45) ha introdotto un distintoobbligo per i fornitori di servizi di comunicazione elettronica di conservareper finalit� di accertamento e repressione dei reati dati di trafficotelefonico relativi ai servizi offerti.
� stato consentito il trattamentodi dati strettamente necessario a fini di fatturazione per l'abbonato, ovverodi pagamenti in caso di interconnessione (nei limiti e con le modalit� dicui all'art. 123, comma 2) o, previoconsenso dell'abbonato o dell'utente, a fini di commercializzazione di servizidi comunicazione elettronica o per la fornitura di servizi a valore aggiunto (art.123, comma 3);
� stata per� prescritta intermini distinti la conservazione temporanea dei dati di traffico telefonicoper esclusive finalit� di accertamento e repressione dei reati per due periodidi ventiquattro mesi ciascuno (art. 132 del Codice).
b) l'obbligo di conservare dati relativi alle chiamatetelefoniche senza risposta;
c) con riferimento ai primi ventiquattromesi di conservazione dei dati del traffico telefonico e ai primi sei mesi diconservazione dei dati del traffico telematico, la previsione che la richiestagiudiziaria volta ad acquisirli, rivolta al fornitore, venga effettuata dal "pubblicoministero anche su istanza del difensore dell'imputato, della personasottoposta alle indagini, della persona offesa e delle altre parti private enon gi� dal giudice su istanza del pubblico ministero";
e) per ititolari e i gestori di esercizi pubblici o di circoli privati di qualsiasispecie, che si limitino a porre a disposizione del pubblico, dei clienti o deisoci apparecchi terminali utilizzabili per le comunicazioni, anche telematiche,esclusi i telefoni pubblici a pagamento abilitati esclusivamente alla telefoniavocale, alcuni specifici obblighi di identificazione e monitoraggio delleoperazioni compiute dai clienti (cfr. anche il d.m. 16 agosto 2005, in G.U.17 agosto 2005, n. 190, attuativo di tale previsione).
Il decreto legge del 2005 ha quindi, daun lato, emendato l'art. 132 del Codice (punti a), b) e c) sopra indicati) e, dall'altro, ha introdotto un regime transitorioper la conservazione dei dati, nonch� la predetta disciplina speciale applicabilesolo a determinati soggetti.
Fermo restando il predetto regime, cheprevedeva temporaneamente la conservazione (lett. d) sopra citata), la normativa di riferimento prescriveva ai fornitori di servizi dicomunicazione elettronica di conservare comunque, per finalit� di accertamentoe repressione di reati, i dati relativi al traffico telefonico (inclusi quelliconcernenti le chiamate senza risposta) e quelli inerenti al trafficotelematico (esclusi i contenuti delle comunicazioni), rispettivamente perventiquattro e sei mesi (art. 132, comma 1, del Codice).
La stessa normativa prescriveva inoltre,ai medesimi fornitori, di conservare tali dati per un periodo ulteriore,rispettivamente di ventiquattro e sei mesi, per l'accertamento e la repressionedei delitti tassativamente individuati dall'art. 407, comma 2, lett. a),c.p.p., nonch� dei delitti in danno di sistemi informatici o telematici (art.132, comma 2).
Infine, introduceva la prescrizione,tutt'ora vigente, che la conservazione dei predetti dati fosse effettuata nelrispetto di specifici accorgimenti e misure a garanzia degli interessati.L'individuazione di tali cautele, oggetto del presente provvedimento, � stataappunto demandata al Garante per la protezione dei dati personali (cfr.artt. 17 e 132, comma 5, del Codice).
2.3. Altra disciplina comunitaria: ladirettiva 2006/24/Ce
Al finedi armonizzare le disposizioni degli Stati membri sul tema della conservazionedei dati di traffico per finalit� di accertamento e repressione di reati � poiintervenuta la direttiva n. 2006/24/Ce delParlamento europeo e del Consiglio del 15 marzo 2006, che doveva essererecepita entro il 15 settembre 2007.
La direttiva � stata recepita con ild.lg. 30 maggio 2008, n. 198, che ha previsto un periodo unico di conservazionepari a 24 mesi per i dati di traffico telefonico, a 12 mesi per i dati ditraffico telematico e a 30 giorni per i dati relativi alle chiamate senzarisposta, senza ulteriori distinzioni in base al tipo di reato.
La legge 18 marzo 2008, n. 48, diratifica della Convenzione del Consiglio d'Europa sulla criminalit� informaticafatta a Budapest il 23 novembre 2001 ha poi previsto una specifica ipotesi diconservazione temporanea dei dati relativi al traffico telematico a fini disvolgimento di investigazioni preventive o di accertamento e repressione direati.
3. I fornitori tenuti a conservare i datidi traffico
Il "fornitore" sul quale incombe l'obbligo diconservare i dati di traffico ai sensi del citato art. 132 del Codice � quelloche mette a disposizione del pubblico servizi di comunicazione elettronica sureti pubbliche di comunicazione; per "servizi di comunicazione elettronica"devono intendersi quelli consistenti, esclusivamente o prevalentemente, "nellatrasmissione di segnali su reti di comunicazioni elettroniche" (art. 4,comma 2, lett. d) e e), del Codice).
a) dalla collocazione del menzionatoart. 132 all'interno del titolo X, capo I, del Codice e da quanto dispostodall'art. 121 del medesimo Codice il quale, nell'individuare i "Serviziinteressati", chiarisce che ledisposizioni del titolo X "si applicano al trattamento dei datipersonali connesso alla fornitura di servizi di comunicazione elettronicaaccessibili al pubblico su reti pubbliche di comunicazioni";
b) da quanto stabilisce il citatodecreto legge 27 luglio 2005, n. 144 nella parte in cui, nell'imporre laconservazione dei dati per il predetto regime transitorio, si riferisce ai "fornitoridi una rete pubblica di comunicazioni o di un servizio di comunicazioneelettronica accessibile al pubblico".
Devono ritenersi quindi tenuti allaconservazione dei dati ai sensi del medesimo art. 132 i soggetti che realizzanoesclusivamente, o prevalentemente, una trasmissione di segnali su reti dicomunicazioni elettroniche, a prescindere dall'assetto proprietario della rete,e che offrono servizi a utenti finali secondo il principio di nondiscriminazione (cfr. anche direttiva 2002/21/Ce del Parlamento europeo edel Consiglio, che istituisce un quadro normativo comune per le reti e iservizi di comunicazione elettronica (c.d. direttiva quadro) e d.lg. n.259/2003 recante il Codice delle comunicazioni elettroniche).
i soggetti che offronodirettamente servizi di comunicazione elettronica a gruppi delimitati dipersone (come, a titolo esemplificativo, i soggetti pubblici o privati checonsentono soltanto a propri dipendenti e collaboratori di effettuarecomunicazioni telefoniche o telematiche). Tali servizi, pur rientrando nelledefinizione generale di "servizi di comunicazione elettronica", nonpossono essere infatti considerati come "accessibili al pubblico".Qualora la comunicazione sia instradata verso un utente che si trovi al difuori della c.d. "rete privata", i dati di traffico generati da talecomunicazione sono invece oggetto di conservazione (ad es., da parte delfornitore di cui si avvale il destinatario della comunicazione, qualora sitratti di un messaggio di posta elettronica; cfr. documento di lavoro "Tutela della vita privata suInternet–Un approccio integrato dell'EU alla protezione dei dation-line",adottato dal Gruppo di lavoro per la tutela dei dati personali il 21 novembre2000);
i soggetti che, pur offrendoservizi di comunicazione elettronica accessibili al pubblico, non generano otrattano direttamente i relativi dati di traffico;
i titolari e i gestori diesercizi pubblici o di circoli privati di qualsiasi specie che si limitino aporre a disposizione del pubblico, di clienti o soci apparecchi terminaliutilizzabili per le comunicazioni, anche telematiche, ovvero punti di accesso aInternet utilizzando tecnologia senza fili, esclusi i telefoni pubblici apagamento abilitati esclusivamente alla telefonia vocale;
i gestori dei siti Internet chediffondono contenuti sulla rete (c.d. "content provider"). Essi non sono, infatti, fornitori di un"servizio di comunicazione elettronica" come definito dall'art. 4,comma 2, lett. e) del Codice. Tale norma, infatti, nel rinviare, per i casi diesclusione, all'art. 2, lett. c) della direttiva 2002/21/Ce cit., esclude essastessa i "servizi che forniscono contenuti trasmessi utilizzando reti eservizi di comunicazione elettronica[�]". Deve rilevarsi,inoltre, che i dati di traffico relativi alla comunicazione (come, ad esempio,la c.d. "navigazione web"e le pagine visitate di un sito Internet) spesso identificano o rivelano nellasostanza anche il suo contenuto e pertanto l'eventuale conservazione di talidati si porrebbe, in violazione di quanto disposto dall'art. 132 del Codice(come modificato dal citato d.l. n. 144/2005), laddove esclude dallaconservazione per finalit� di giustizia i "contenuti" dellacomunicazione (cfr., in tal senso, anche l'art. 1, comma 2, della direttiva2006/24/Ce, nella parte in cui esclude dal proprio ambito di applicazione laconservazione del "contenuto delle comunicazioni elettroniche, iviincluse le informazioni consultate utilizzando una rete di comunicazionielettroniche");
i gestori di motori di ricerca. Idati di traffico telematico che essi trattano, consentendo di tracciareagevolmente le operazioni compiute dall'utente in rete, sono, comunque,parimenti qualificabili alla stregua di "contenuti".
4. I dati di traffico che devono essereconservatibr>L'obbligo di conservazione riguarda i dati relativi altraffico telefonico, inclusi quelli concernenti le chiamate senza risposta,nonch� i dati inerenti al traffico telematico, esclusi comunque i contenutidelle comunicazioni (art. 132 del Codice). In particolare, sono oggetto diconservazione i dati che i fornitori sottopongono a trattamento per latrasmissione della comunicazione o per la relativa fatturazione (art. 4,comma 2, lett. h), del Codice).
In tal senso, si esprime anche il citatodecreto legge 27 luglio 2005, n. 144 che, all'art. 6, riconduce l'obbligo di conservazionealle "informazioni che consentono la tracciabilit� degli accessi,nonch�, qualora disponibili, dei servizi". La direttiva 2006/24/Ce ribadisce che tale obbligosussiste soltanto se i dati sono stati "generati o trattati nelprocesso di fornitura dei [�] servizidi comunicazione" del fornitore(cfr. considerando 23 e art. 3, par. 1, della direttiva 2006/24/Ce cit.).
le chiamate telefoniche, inclusele chiamate vocali, di messaggeria vocale, in conferenza e di trasmissione datitramite telefax;
servizi supplementari, inclusil'inoltro e il trasferimento di chiamata;
la messaggeria e i servizimultimediali, inclusi i servizi di messaggeria breve-sms.
i fax (nonch� i messaggi sms e mms)via Internet;
la telefonia via Internet (cd. Voiceover Internet Protocol–VoIP).
Per quanto concerne specificamente laconservazione dei dati di traffico telefonico relativo alle "chiamatesenza risposta", fermo restando allo stato quanto indicato dalla direttiva2006/24/Ce al considerando 12 (laddove esclude dal proprio ambito di applicazionei "tentativi di chiamata non riusciti"), il fornitore, in forza delle modifiche apportatedal d.l. n. 144/2005 all'art. 132 del Codice, deve conservare solo i datigenerati da chiamate telefoniche che sono state collegate con successo, ma nonhanno ottenuto risposta oppure in cui vi � stato un intervento del gestoredella rete (cfr. art. 2, comma 2, lett. f), direttiva 2006/24/Ce).
5. Finalit� perseguibili
Il vincolosecondo cui i dati conservati obbligatoriamente per legge possono essereutilizzati solo per finalit� di accertamento e repressione di reati comportauna precisa limitazione per i fornitori nell'eventualit� in cui essi ricevanorichieste volte a perseguire scopi diversi.
b) sono tenuti arispettare il menzionato vincolo di finalit� anche l'interessato che acceda aidati che lo riguardano esercitando il diritto di accesso di cui all'art. 7 delCodice (e che pu� utilizzare quindi i dati acquisiti solo in riferimento allepredette finalit� penali), nonch�, nel procedimento penale, il difensoredell'imputato, della persona sottoposta alle indagini, della persona offesa edelle altre parti private (art. 132, comma 3, del Codice).
6. Modalit� di acquisizione deidati
Il Codice individua le modalit� con le quali possono essereacquisiti i dati di traffico conservati dai fornitori prescrivendo che larichiesta sia formulata con "decreto motivato del pubblico ministeroanche su istanza del difensore dell'imputato, della persona sottoposta alleindagini, della persona offesa e delle altri parti private" (art. 132, comma 3, del Codice).
Al difensore dell'imputato o dellapersona sottoposta alle indagini � riconosciuta la facolt� di richiedere,direttamente, al fornitore i dati di traffico limitatamente ai dati che siriferiscano "alle utenze intestate al proprio assistito". Larichiesta deve essere effettuata "con le modalit� indicatedall'articolo 391-quater del codice di procedura penale, ferme restando lecondizioni di cui all'articolo 8, comma 2, lettera f), per il trafficoentrante" (art. 132, comma 3,cit.). Tale ultimo riferimento ai presupposti previsti dal Codice per l'accessoalle chiamate in entrata comporta, anche per i fornitori, la necessariavalutazione preliminare della circostanza che dalla mancata conoscenza dei datirichiesti possa derivare un pregiudizio effettivo e concreto per lo svolgimentodelle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397. Atale riguardo si richiama quanto rilevato nel provvedimento adottato dalGarante in materia il 3 novembre 2005).
Come premesso, il Garante � stato preposto per disposizione di legge a individuareaccorgimenti e misure da porre a garanzia degli interessati nell'ambito dellaconservazione dei dati di traffico telefonico e telematico per finalit� diaccertamento e repressione di reati (art. 132, comma 5, del Codice).
a) dell'esigenza normativa volta aprevedere specifiche cautele rapportate alla quantit� e qualit� dei dati daproteggere e ai rischi indicati nell'art. 31 del Codice, rischi che i fornitoridevono gi� oggi prevenire rispettando i comuni obblighi di sicurezza collegatialle misure non solo minime previste dal Codice (artt. 31 e ss.; Allegato B);
c)della necessit� di tenere in considerazione i costi derivanti dall'adozionedelle misure e degli accorgimenti prescritti con il presente provvedimento,anche in ragione della variegata capacit� tecnica ed economica dei soggettiinteressati;
d) del contesto europeo di riferimento, specie alla luce deipareri resi dal Gruppo per la tutela dei dati personali (cfr. parerinn. 4/2005 sulla proposta di direttiva del Parlamentoeuropeo e del Consiglio riguardante la conservazione di dati trattatinell'ambito della fornitura di servizi pubblici di comunicazione elettronica eche modifica la direttiva 2002/58/Ce; 3/2006 sulla direttiva 2006/24/Ce del Parlamentoeuropeo e del Consiglio riguardante la conservazione di dati generati otrattati nell'ambito della fornitura di servizi di comunicazione elettronicaaccessibili al pubblico o di reti pubbliche di comunicazione che modifica ladirettiva 2002/58/Ce; 8/2006 sulla revisione del quadro normativo per lereti ed i servizi di comunicazione elettronica, con particolare attenzione alladirettiva relativa alla vita privata e alle comunicazioni elettroniche); e) dello stato dell'evoluzione tecnologica,alla luce del quale le seguenti prescrizioni devono pertanto ritenersi soggettead aggiornamento periodico.
Tali misure e accorgimenti devono essereadottati dai fornitori di comunicazione elettronica anche in caso diconservazione temporanea dei dati relativi al traffico telematico a fini disvolgimento di investigazioni preventive o di accertamento e repressione direati, ai sensi del menzionato art. 132, comma 4 ter, del Codice.
Il trattamento dei dati di traffico telefonico etelematico da parte dei fornitori deve essere consentito solo agli incaricatidel trattamento e unicamente sulla base del preventivo utilizzo di specificisistemi di autenticazione informatica basati su tecniche di strongauthentication, consistenti nell'usocontestuale di almeno due differenti tecnologie di autenticazione, qualunquesia la modalit�, locale o remota, con cui si realizzi l'accesso alsistema di elaborazione utilizzato per il trattamento, evitando che questopossa aver luogo senza che l'incaricato abbia comunque superato una fase diautenticazione informatica nei termini anzidetti.
Tale fase di autenticazione pu� essererealizzata con procedure strettamente integrate alle applicazioni informatichecon cui il fornitore tratta i dati di traffico, oppure con procedure per laprotezione delle singole postazioni di lavoro che si integrino alle funzioni diautenticazione proprie dei sistemi operativi utilizzati. Nel secondo caso, ilfornitore deve assicurare che non esistano modalit� di accesso alleapplicazioni informatiche da parte dei propri incaricati di trattamento checonsentano di eludere le procedure di strong authentication predisposte per l'accesso alla postazione di lavoro.
Limitatamente a tali addetti tecnici,circostanze legate a indifferibili interventi per malfunzionamenti, guasti,installazioni hardware e software, aggiornamento e riconfigurazione dei sistemi,possono determinare la necessit� di accesso informatico a sistemi dielaborazione che trattano dati di traffico in assenza di autenticazionebiometrica o di strong-authentication per operazioni che comportano la presenza fisica dell'addetto cheprocede all'intervento in prossimit� del sistema di elaborazione (per esempio,per lo svolgimento di operazioni di amministrazione da console locale cheimplichino la disabilitazione dei servizi di rete e l'impossibilit� di gestireoperazioni di input/output tramite dispositivi accessori come quelliutilizzabili per la strong authentication).
Relativamente ai sistemi di autorizzazione devonoessere adottate specifiche procedure in grado di garantire la separazionerigida delle funzioni tecniche di assegnazione di credenziali di autenticazionee di individuazione dei profili di autorizzazione rispetto a quelle di gestionetecnica dei sistemi e delle basi di dati. Tali differenti funzioni non possonoessere attribuite contestualmente a uno stesso soggetto.
I profili di autorizzazione da definire eda attribuire agli incaricati devono differenziare le funzioni di trattamentodei dati di traffico per finalit� di ordinaria gestione da quelle per finalit�di accertamento e repressione dei reati e, infine, dalle funzioni ditrattamento dei dati in caso di esercizio dei diritti dell'interessato (art. 7 delCodice).
I dati di traffico conservati per esclusive finalit�di accertamento e repressione di reati vanno trattati necessariamente tramitesistemi informatici distinti fisicamente da quelli utilizzati per gestire datidi traffico anche per altre finalit�, sia nelle componenti di elaborazione, sianell'immagazzinamento dei dati (storage).
Pi� specificamente, i sistemi informaticiutilizzati per i trattamenti di dati di traffico conservati per esclusivafinalit� di giustizia devono essere differenti da quelli utilizzati anche peraltre funzioni aziendali (come fatturazione, marketing, antifrode) ed essere, altres�, protetti contro ilrischio di intrusione mediante idonei strumenti di protezione perimetrale asalvaguardia delle reti di comunicazione e delle risorse di memorizzazioneimpiegate nei trattamenti.
I dati di traffico conservati per unperiodo non superiore a sei mesi dalla loro generazione possono, invece, esseretrattati per le finalit� di giustizia sia prevedendone il trattamento con imedesimi sistemi di elaborazione e di immagazzinamento utilizzati per lageneralit� dei trattamenti, sia provvedendo alla loro duplicazione, conconservazione separata rispetto ai dati di traffico trattati per le ordinariefinalit�, per l'elaborazione con sistemi dedicati a questo specificotrattamento.
Gli incaricati che accedono ai dati di trafficoconservati per le finalit� di cui all'art. 132 del Codice, anche per consentirel'esercizio dei diritti di cui all'art. 7 del Codice medesimo, devono esseredesignati specificamente in rapporto ai dati medesimi.
Per quanto riguarda le richieste perl'esercizio dei diritti di cui all'art. 7 del Codice che comportanol'estrazione dei dati di traffico (menzionate anche nell'art. 132, comma 5,lett. c)), nei limiti in cui ci� � consentito ai sensi dell'art. 8, comma 2,lettera f) del Codice, il titolare del trattamento deve conservare in formaspecifica la documentazione comprovante l'idonea verifica dell'identit� delrichiedente ai sensi dell'art. 9 del Codice stesso, e adottare opportunecautele per comunicare i dati al solo soggetto legittimato in base al medesimoarticolo.
Allo scadere dei termini previsti dalle disposizionivigenti, i dati di traffico sono resi non disponibili per le elaborazioni deisistemi informativi e le relative consultazioni; sono altres� cancellati o resianonimi senza alcun ritardo, in tempi tecnicamente compatibili con l'eserciziodelle relative procedure informatiche, nei data base e nei sistemi dielaborazione utilizzati per i trattamenti, nonch� nei sistemi e nei supportiper la realizzazione di copie di sicurezza (backup e disaster recovery) effettuatedal titolare anche in applicazione di misure previste dalla normativa vigente,documentando tali operazioni al pi� tardi entro trenta giorni successivi allascadenza dei termini di cui all'art. 132 del Codice.
7.6. Altre misure Auditlog
Devono essere adottatesoluzioni informatiche idonee ad assicurare il controllo delle attivit� svoltesui dati di traffico da ciascun incaricato del trattamento, quali che siano lasua qualifica, le sue competenze e gli ambiti di operativit� e le finalit� deltrattamento. Il controllo deve essere efficace e dettagliato anche per itrattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati.
Le misure di cui al presente paragrafosono adottate nel rispetto dei princ�pi in materia di controllo dei lavoratorisull'uso di strumenti elettronici, con particolare riguardo all'informativaagli interessati (cfr. Provv. 1� marzo 2007, doc. web n. 1387522).
7.7. Audit interno–Rapportiperiodici
La gestione dei datidi traffico per finalit� di accertamento e repressione di reati deve essereoggetto, con cadenza almeno annuale, di un'attivit� di controllo interno daparte dei titolari del trattamento, in modo che sia verificata costantemente larispondenza alle misure organizzative, tecniche e di sicurezza riguardanti itrattamenti dei dati di traffico previste dalle norme vigenti e dalprovvedimento del Garante, anche per ci� che riguarda la verifica della particolareselettivit� degli incaricati legittimati.
comunicato alle persone e agliorgani legittimati ad adottare decisioni e a esprimere, a vari livelli in baseal proprio ordinamento interno, la volont� della societ�;
richiamato nell'ambito deldocumento programmatico sulla sicurezza nel quale devono essere indicati gliinterventi eventualmente necessari per adeguare le misure di sicurezza;
messo, a richiesta, adisposizione del Garante o dell'autorit� giudiziaria.
7.8. Documentazione dei sistemiinformativi
I sistemiinformativi utilizzati per il trattamento dei dati di traffico devono esseredocumentati in modo idoneo secondo i princ�pi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti ametodi descrittivi standard o diampia accettazione.
7.9.Cifratura e protezione dei dati
I dati di traffico trattati per esclusivefinalit� di giustizia vanno protetti con tecniche crittografiche, inparticolare contro rischi di acquisizione fortuita o di alterazione accidentalederivanti da operazioni di manutenzione sugli apparati informatici o daordinarie operazioni di amministrazione di sistema. In particolare, devonoessere adottate soluzioni che rendano le informazioni, residenti nelle basi didati a servizio delle applicazioni informatiche utilizzate per i trattamenti,non intelligibili a chi non disponga di diritti di accesso e profili diautorizzazione idonei, ricorrendo a forme di cifratura od offuscamento diporzioni dei database o degliindici o ad altri accorgimenti tecnici basati su tecnologie crittografiche.
7.10. Tempi di adozione delle misure edegli accorgimenti
Valutato ilcomplesso delle misure e degli accorgimenti, tenuto conto del quadro dellecautele che emergono dalle risultanze ispettive essere gi� in atto presso ifornitori, nonch� dei tempi tecnici necessari per completarne l'attuazione,anche alla luce di quanto emerso dalla consultazione pubblica, risulta dagliatti congruo fissare un termine transitorio per i trattamenti di dati inessere, prevedendo che tutti gli adempimenti di cui al presente punto 7 sianocompletati al pi� presto ed entro, e non oltre, il termine che � parimenticongruo stabilire per tutti i fornitori al 30 aprile 2009, ovvero per quantoriguarda la strong authenticationriferita agli incaricati che accedono ai dati di traffico nell'ambitodell'attivit� di call center, al30 giugno 2009. Entro tale termine, i fornitori dovranno dare conferma alGarante attestando formalmente l'integrale adempimento al presenteprovvedimento.
8. Applicazione di alcune misure a datitrattati per altre finalit�
Le considerazioni svolte sulla natura particolarmentedelicata dei dati di traffico, sulla necessit� di garantire una tutelamaggiormente efficace dei diritti e delle libert� delle persone e diprescrivere una pi� incisiva messa in sicurezza di dati rilevano anche per ognialtro trattamento di dati di traffico telefonico e telematico effettuato daifornitori di cui al paragrafo 3.
Ci�, comporta l'improrogabile esigenza diassicurare che almeno alcuni tra gli accorgimenti e le misure di cui alprecedente punto 7, limitatamente a quelli adattabili al caso di specie, sianoapplicati comunque dai predetti fornitori nell'ambito di analoghi trattamentidi dati di traffico telefonico e telematico effettuati per finalit� non digiustizia, ma di fatturazione, pagamento in caso di interconnessione e commercializzazionedi servizi, nel pi� breve periodo temporale indicato nel menzionato art. 123.
a) ai sensi degli artt. 17, 123 e132, comma 5, del Codice, prescrive ai fornitori di servizi di comunicazioneelettronica individuati nel paragrafo 3 di adottare nel trattamento dei dati ditraffico telefonico e telematico di cui al paragrafo 4 le misure e gliaccorgimenti a garanzia degli interessati individuate nel presenteprovvedimento, provvedendo a (par. 7):
adottare specifici sistemi diautenticazione informatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno duedifferenti tecnologie di autenticazione, che si applichino agli accessi aisistemi di elaborazione da parte di tutti gli incaricati di trattamento, nonch�di tutti gli addetti tecnici (amministratori di sistema, di rete, di data base) che possano accedere ai dati di traffico custoditinelle banche dati del fornitore, qualunque sia la modalit�, locale o remota,con cui si realizzi l'accesso al sistema di elaborazione utilizzato per iltrattamento, evitando che questo possa aver luogo senza che l'incaricato abbiacomunque superato una fase di autenticazione informatica nei termini anzidetti.Per i dati di traffico trattati per esclusive finalit� di accertamento erepressione dei reati, una di tali tecnologie deve essere basata sull'elaborazionedi caratteristiche biometriche dell'incaricato, in modo tale da assicurare lapresenza fisica di quest'ultimo presso la postazione di lavoro utilizzata peril trattamento. Tali modalit� di autenticazione devono essere applicate anche atutti gli addetti tecnici (amministratori di sistema, di rete, di data base)che possano accedere ai dati di traffico custoditi nelle banche dati delfornitore. Relativamente ai soli addetti tecnici indicati al presente punto 1,qualora circostanze legate a indifferibili interventi per malfunzionamenti,guasti, installazioni hardware e software, aggiornamento e riconfigurazione dei sistemi,determinino la necessit� di accesso informatico a sistemi di elaborazione chetrattano dati di traffico in assenza di strong authentication, fermo restando l'obbligo di assicurare le misureminime in tema di credenziali di autenticazione previste dall'Allegato B) alCodice, deve essere tenuta traccia dell'evento in un apposito "registrodegli accessi", nonch� delle motivazioni che li hanno determinati, con unasuccessiva descrizione sintetica delle operazioni svolte, anche mediantel'utilizzo di sistemi elettronici. Tale registro deve essere custodito dalfornitore presso le sedi di elaborazione e messo a disposizione del Garante nelcaso di ispezioni o controlli, unitamente a un elenco nominativo dei soggettiabilitati all'accesso ai diversi sistemi di elaborazione con funzioni diamministratore di sistema, che deve essere formato e aggiornato costantementedal fornitore.
adottare specifiche procedure ingrado di garantire la separazione rigida delle funzioni tecniche diassegnazione di credenziali di autenticazione e di individuazione dei profilidi autorizzazione rispetto a quelle di gestione tecnica dei sistemi e dellebasi di dati. Il fornitore deve definire e attribuire agli incaricati specificiprofili di autorizzazione differenziando le funzioni di trattamento dei dati ditraffico per finalit� di ordinaria gestione da quelle per finalit� diaccertamento e repressione dei reati e, infine, dalle funzioni di trattamentodei dati in caso di esercizio dei diritti dell'interessato (art. 7 del Codice);
adottare, per la conservazionedei dati di traffico per esclusive finalit� di accertamento e repressione direati, sistemi informatici distinti fisicamente da quelli utilizzati pergestire dati di traffico anche per altre finalit�, sia nelle componenti dielaborazione, sia di immagazzinamento dei dati (storage). I dati di traffico conservati per un periodo nonsuperiore ai sei mesi dalla loro generazione possono, invece, essere trattatiper le finalit� di giustizia sia prevedendone il trattamento con i medesimisistemi di elaborazione e di immagazzinamento utilizzati per la generalit� deitrattamenti, sia provvedendo alla loro duplicazione, con conservazione separatarispetto ai dati di traffico trattati per le ordinarie finalit�. Leattrezzature informatiche utilizzate per i trattamenti di dati di traffico perle esclusive finalit� di giustizia di cui sopra devono essere collocate all'internodi aree ad accesso selezionato (ovvero riservato ai soli soggetti legittimatiad accedervi per l'espletamento di specifiche mansioni) e munite di dispositivielettronici di controllo o di procedure di vigilanza che comportino laregistrazione dei dati identificativi delle persone ammesse, con indicazionedei relativi riferimenti temporali. Nel caso di trattamenti di dati di trafficotelefonico per esclusive finalit� di giustizia, il controllo degli accessi devecomprendere una procedura di riconoscimento biometrico. Infine, ilfornitore deve adottare misure idonee a garantire il ripristino dell'accesso aidati in caso di danneggiamento degli stessi o degli strumenti elettronici intempi compatibili con i diritti degli interessati e comunque non superiori asette giorni;
designare specificamente gliincaricati che possono accedere ai dati di traffico conservati per le finalit�di cui all'art. 132 del Codice, anche per consentire l'esercizio dei diritti dicui all'art. 7 del Codice medesimo. Il processo di designazione deve prevederela documentata frequenza di una periodica attivit� formativa concernentel'illustrazione delle istruzioni, il rispetto delle misure di sicurezza e lerelative responsabilit�. Per quanto riguarda le richieste per l'esercizio deidiritti di cui all'art. 7 del Codice che comportano l'estrazione dei dati ditraffico, nei limiti in cui ci� � consentito ai sensi dell'art. 8, comma 2,lettera f) del Codice, il fornitore deve conservare in forma specifica ladocumentazione comprovante l'idonea verifica dell'identit� del richiedente aisensi dell'art. 9 del Codice stesso, e adottare opportune cautele percomunicare i dati al solo soggetto legittimato in base al medesimo articolo;
rendere i dati di trafficoimmediatamente non disponibili per le elaborazioni dei sistemi informativi alloscadere dei termini previsti dalle disposizioni vigenti. Il fornitore devecancellare o rendere anonimi senza ritardo tali dati, in tempi tecnicamentecompatibili con l'esercizio delle relative procedure informatiche, nei data base e nei sistemi di elaborazione utilizzati per i trattamenti nonch� neisistemi e nei supporti per la realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione dimisure previste dalla normativa vigente e, al pi� tardi, documentando taleoperazione entro i trenta giorni successivi alla scadenza dei termini di cuiall'art. 132 del Codice;
adottare soluzioni informaticheidonee ad assicurare il controllo delle attivit� svolte sui dati di traffico daciascun incaricato del trattamento, quali che siano la sua qualifica, le suecompetenze e gli ambiti di operativit� e le finalit� del trattamento. Ilcontrollo deve essere efficace e dettagliato anche per i trattamenti condottisui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono laregistrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati ditraffico e sugli altri dati personali a essi connessi, sia quando consistono oderivano dall'uso interattivo dei sistemi, sia quando sono svolte tramitel'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilit�,l'autenticit� delle registrazioni in essi contenute, con riferimento a tutte leoperazioni di trattamento e a tutti gli eventi relativi alla sicurezzainformatica sottoposti ad auditing.A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto dielaborazione o per datacenter,sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura,i dati o i raggruppamenti di dati devono essere sottoposti a procedureinformatiche per attestare la loro integrit�, basate sull'utilizzo ditecnologie crittografiche;
svolgere, con cadenza almenoannuale, un'attivit� di controllo interno per verificare costantemente larispondenza alle misure organizzative, tecniche e di sicurezza riguardanti itrattamenti dei dati di traffico previste dalle norme vigenti e dalprovvedimento del Garante, anche per ci� che riguarda la verifica dellaparticolare selettivit� degli incaricati legittimati. Tale attivit� dicontrollo deve essere demandata a un'unit� organizzativa o, comunque, apersonale diverso rispetto a quelli cui � affidato il trattamento dei dati perla finalit� di accertamento e repressione dei reati. I controlli devonocomprendere anche verifiche a posteriori, a campione o su eventuale allarmederivante da sistemi di Alertinge di Anomaly Detection, sullalegittimit� e liceit� degli accessi ai dati effettuati dagli incaricati,sull'integrit� dei dati e delle procedure informatiche adoperate per il lorotrattamento. Sono svolte, altres�, verifiche periodiche sull'effettivacancellazione dei dati decorsi i periodi di conservazione. L'attivit� dicontrollo deve essere adeguatamente documentata in modo tale che sia semprepossibile risalire ai sistemi verificati, alle operazioni tecniche su di essieffettuate, alle risultanze delle analisi condotte sugli accessi e alleeventuali criticit� riscontrate. L'esito dell'attivit� di controllo deveessere: comunicato alle persone e agli organi legittimati ad adottare decisionie ad esprimere, a vari livelli in base al proprio ordinamento interno, lavolont� della societ�; richiamato nell'ambito del documento programmatico sullasicurezza nel quale devono essere indicati gli interventi eventualmentenecessari per adeguare le misure di sicurezza; messo, a richiesta, adisposizione del Garante o dell'autorit� giudiziaria;
documentare i sistemi informativiutilizzati per il trattamento dei dati di traffico in modo idoneo secondo iprinc�pi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivistandard o di ampia accettazione.La descrizione deve comprendere, per ciascun sistema applicativo,l'architettura logico-funzionale, l'architettura complessiva e la struttura deisistemi utilizzati per il trattamento, i flussi di input/output dei dati di traffico da e verso altri sistemi,l'architettura della rete di comunicazione, l'indicazione dei soggetti o classidi soggetti aventi legittimo accesso al sistema. La documentazione va corredatacon diagrammi di dislocazione delle applicazioni e dei sistemi, da cui deverisultare anche l'esatta ubicazione dei sistemi nei quali vengono trattati idati per le finalit� di accertamento e repressione di reati. La documentazionetecnica deve essere aggiornata e messa a disposizione dell'Autorit� su sua eventualerichiesta, unitamente a informazioni di dettaglio sui soggetti aventi legittimoaccesso ai sistemi per il trattamento dei dati di traffico;
proteggere i dati di trafficotrattati per esclusive finalit� di giustizia con tecniche crittografiche, inparticolare contro rischi di acquisizione fortuita o di alterazione accidentalederivanti da operazioni di manutenzione sugli apparati informatici o daordinarie operazioni di amministrazione di sistema. Il fornitore deve adottaresoluzioni che rendano le informazioni residenti nelle basi di dati a serviziodelle applicazioni informatiche utilizzate per i trattamenti, non intelligibilia chi non disponga di diritti di accesso e profili di autorizzazione idonei,ricorrendo a forme di cifratura od offuscamento di porzioni dei data base odegli indici o ad altri accorgimenti tecnici basati su tecnologiecrittografiche. Tale misura deve essere efficace per ridurre al minimo ilrischio che incaricati di mansioni tecniche accessorie ai trattamenti(amministratori di sistema, database administrator e manutentori hardware e software) possano accedere indebitamente alle informazioni registrate, anchefortuitamente, acquisendone conoscenza nel corso di operazioni di accesso aisistemi o di manutenzione di altro genere, oppure che possano intenzionalmenteo fortuitamente alterare le informazioni registrate. Eventuali flussi ditrasmissione dei dati di traffico tra sistemi informatici del fornitore devonoaver luogo tramite protocolli di comunicazione sicuri, basati su tecnichecrittografiche, o comunque evitando il ricorso alla trasmissione in chiaro deidati. Protocolli di comunicazione sicuri devono essere adottati anche pergarantire pi� in generale la sicurezza dei sistemi evitando di esporli avulnerabilit� e a rischio di intrusione;
b) ai sensi dei medesimi artt. 17,123 e 132, comma 5 del Codice, nonch� dell'art. 157 del Codice, prescrive aipredetti fornitori titolari del trattamento di effettuare tutti gli adempimentidi cui alla precedente lett. a) al pi� presto e, comunque, entro e non oltre iltermine del 30 aprile 2009, dandone conferma al Garante attestando entro lostesso termine l'integrale adempimento;
c) ai sensi dell'art. 17 del Codiceprescrive ai medesimi fornitori titolari del trattamento di adottare, rispettoai dati di traffico trattati per le finalit� di cui all'art. 123 del Codice,entro e non oltre il termine del 30 aprile 2009, ovvero per quanto riguarda la strongauthentication riferita agliincaricati che accedono ai dati di traffico nell'ambito dell'attivit� di callcenter, 30 giugno 2009, dandone aisensi dell'art. 157 del Codice conferma al Garante e attestando entro lo stessotermine l'integrale adempimento, i seguenti accorgimenti e misure (par. 8):
adottare specifici sistemi diautenticazione informatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno duedifferenti tecnologie di autenticazione, che si applichino agli accessi aisistemi di elaborazione da parte di tutti gli incaricati di trattamento nonch�di tutti gli addetti tecnici (amministratori di sistema, di rete, di data base)che abbiano la possibilit� concreta di accedere ai dati di traffico custoditinelle banche dati del fornitore, qualunque sia la modalit�, locale o remota,con cui si realizzi l'accesso al sistema di elaborazione utilizzato per iltrattamento, evitando che questo possa aver luogo senza che l'incaricato abbiacomunque superato una fase di autenticazione informatica nei termini anzidetti.Qualora circostanze eccezionali, legate a indifferibili interventi permalfunzionamenti, guasti, installazione hardware e software, aggiornamento e riconfigurazione dei sistemi, determinino la necessit�di accesso a sistemi di elaborazione che trattano dati di traffico da parte diaddetti tecnici in assenza di strong authentication, fermo restando l'obbligo di assicurare le misureminime in tema di credenziali di autenticazione previste dall'Allegato B) alCodice in materia di protezione dei dati personali, deve essere tenuta tracciain un apposito "registro degli accessi" dell'eventuale accesso fisicoai locali in cui sono installati i sistemi di elaborazione oggetto diintervento e dell'accesso logico ai sistemi, nonch� delle motivazioni che lihanno determinati, con una descrizione sintetica delle operazioni svolte, anchemediante l'utilizzo di sistemi elettronici. Tale registro deve essere custoditodal fornitore presso le sedi di elaborazione e messo a disposizione del Garantenel caso di ispezioni o controlli, unitamente a un elenco nominativo deisoggetti abilitati all'accesso ai diversi sistemi di elaborazione con funzionidi amministratore di sistema, che deve essere formato e aggiornatocostantemente dal fornitore;
adottare procedure in grado digarantire la separazione rigida delle funzioni tecniche di assegnazione dicredenziali di autenticazione e di individuazione dei profili di autorizzazionerispetto a quelle di gestione tecnica dei sistemi e delle basi di dati;
rendere i dati di trafficoimmediatamente non disponibili per le elaborazioni dei sistemi informativi alloscadere dei termini previsti dalle disposizioni vigenti, provvedendo alla lorocancellazione o trasformazione in forma anonima, in tempi tecnicamentecompatibili con l'esercizio delle relative procedure informatiche, nei database e nei sistemi di elaborazioneutilizzati per i trattamenti nonch� nei sistemi e nei supporti per larealizzazione di copie di sicurezza (backup e disaster recovery) effettuatedal titolare anche in applicazione di misure previste dalla normativa vigentee, al pi� tardi, documentando tale operazione entro i trenta giorni successivialla scadenza dei termini di conservazione (art. 123 del Codice);
documentare i sistemi informativiutilizzati per il trattamento dei dati di traffico in modo idoneo secondo iprinc�pi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivistandard o di ampia accettazione. La descrizione deve comprendere, per ciascunsistema applicativo, l'architettura logico-funzionale, l'architetturacomplessiva e la struttura dei sistemi utilizzati per il trattamento, i flussidi input/output dei dati ditraffico da e verso altri sistemi, l'architettura della rete di comunicazione,l'indicazione dei soggetti o classi di soggetti aventi legittimo accesso alsistema. La documentazione va corredata con diagrammi di dislocazione delleapplicazioni e dei sistemi, da cui deve risultare anche l'esatta ubicazione deisistemi nei quali vengono trattati i dati per le finalit� di accertamento erepressione di reati. La documentazione tecnica deve essere aggiornata e messaa disposizione dell'Autorit� su sua eventuale richiesta, unitamente ainformazioni di dettaglio sui soggetti aventi legittimo accesso ai sistemi peril trattamento dei dati di traffico;
d) dispone che copia del presenteprovvedimento sia trasmessa al Ministero della giustizia anche ai fini dellasua pubblicazione sulla Gazzetta Ufficiale della Repubblica italiana a cura dell'Ufficio pubblicazione leggi edecreti, nonch�, per opportuna conoscenza, all'Autorit� per le garanzie nellecomunicazioni.