Source: https://www.maragines.com/articoli-e-notizie/
Timestamp: 2020-01-21 21:53:04+00:00
Document Index: 115979957

Matched Legal Cases: ['art. 22', 'art. 2', 'art. 8', 'art. 2', 'art. 8', 'art. 22', 'art. 2', 'sentenza ', 'sentenza ', 'sentenza ', 'art. 3', 'art. 8', 'art. 84', 'art. 167', 'art. 168', 'art. 169', 'art. 170', 'art. 13', 'art. 13', 'art. 4']

Articoli e Notizie -
Identità digitale, diritto e sicurezza: facciamo chiarezza
Il 24 luglio all’interno della Trasmissione Zapping in onda su Radio 1, l’onorevole Alessandro Morelli, presidente della commissione parlamentare Trasporti, Poste e Telecomunicazioni ha brevemente illustrato la proposta di legge C.2016 con la quale lui e altri due suoi colleghi deputati si propongono di modificare l’art. 22 della Costituzione per inserire in questo articolo anche il principio che la persona (quindi non solo i cittadini italiani) ha diritto anche alla tutela della propria identità digitale.
L’onorevole in questo intervento ha anche detto:
che sarebbe utile valorizzare il patrimonio di dati che la pubblica amministrazione tratta;
che sarebbe utile consentire il cloud ai rami della pubblica amministrazione creando un unico cloud nazionale sicuro “come Fort Knox”;
che è doveroso creare una autorità indipendente slegata dalla politica, ma rappresentata da tutti gli organi costituzionali che abbia lo scopo di proteggere le identità digitali dei cittadini.
Le informazioni disponibili e le dichiarazioni dell’on. Morelli fanno emergere il sospetto che il legislatore stia proponendo soluzioni a problemi ipotetici , senza conoscere forse in modo approfondito i principi fondamentali della protezione dei dati personali e i meccanismi del diritto costituzionale e comunitario.
Nelle righe che seguono cercherò di illustrare brevemente che l’identità digitale da ormai oltre quarant’anni è ritenuta una parte dell’identità personale di un individuo e perché nelle norme, nelle decisioni delle Autorità e dei giudici si parli quindi non di tutela dell’identità digitale, ma di tutela dell’identità personale e dei dati personali che contribuiscono a formarla.
Per questo fornirò cenni su quale sia il quadro normativo di tale materia, quali siano le Autorità che già oggi sono preposte alla tutela dei dati personali, e quali siano gli aspetti fortemente critici di quanto ha dichiarato l’on. Morelli, riferendosi al progetto di legge citato.
1 Identità digitale, identità personale, protezione dei dati personali
1.1 Le norme codificate
2 Le Autorità Indipendenti
2.1 Il Codice per l’Amministrazione digitale e AGid
3 Perplessità su alcune dichiarazioni
Identità digitale, identità personale, protezione dei dati personali
Il concetto di identità digitale sia in informatica che nell’informatica giuridica è legato alla gestione di credenziali di autenticazione in un sistema informatico. Riguarda quindi l’insieme delle operazioni compiute e registrate con quel profilo e il livello di abilitazioni riconosciute da chi amministra il sistema.
Il passaggio importante compiuto dalla legislazione in Europa (Francia e Germania) negli anni ‘70 è stato quello di riferire a persone fisiche queste informazioni, riconoscendone il diritto alla tutela analogamente agli altri diritti personali.
Da allora gli strumenti elettronici si sono raffinati, evoluti e potenziati e la legislazione si è evoluta di conseguenza. In Italia, dopo alcuni infruttuosi tentativi del legislatore abbiamo iniziato a regolare la materia su direttive dell’Unione Europea e gli interpreti del diritto (Corte Costituzionale e Cassazione) hanno riconosciuto che:
il diritto all’identità, alla libertà, e alla dignità, che sono sanciti dalla costituzione (art. 2) comprendono il diritto alla protezione dei propri dati personali;1
il diritto alla tutela della propria identità comprende anche la tutela di quella digitale.2
Le norme codificate
In altre parole il diritto alla tutela della propria identità non è riconosciuto come un diritto secondario ma fondamentale e questo avviene in coerenza con quanto ha deciso l’Unione Europea scrivendo la così detta Carta di Nizza che comprende i diritti fondamentali applicati dagli stati membri, tra cui vi è il diritto alla protezione dei propri dati personali sancito dall’art. 8.
Pertanto si può dire che oggi il diritto delle persone alla tutela dei dati personali collegati e riferiti alla propria identità digitale è tutelato:
dall’art. 2 della costituzione;3
dall’art. 8 della Carta di Nizza (o CDFUE);4
dal Regolamento Europeo 2016/679;
dal d.lg. 196/2003, come novellato nel 2018, che definisce i reati connessi alla violazione di tali diritti.5
Come si può notare il quadro normativo è ben complesso ed esso prevede anche (nel caso del Regolamento) una interdizione o limitazione del potere legislativo nazionale.
La modifica dell’art. 22 della costituzione risulta quindi non solo non necessaria, ma potenzialmente dannosa perché introdurrebbe differenze nazionali che sarebbe difficile giustificare rispetto al diritto comunitario; si tratterebbe inoltre di una sovrapposizione di norme che renderebbe più complesso il lavoro interpretativo degli operatori del diritto.
Tali norme hanno istituito, come noto, una autorità indipendente6
in ogni Paese dell’Unione Europea7.
In Italia si tratta dell’Autorità Garante dei Dati Personali, che opera tramite un proprio collegio e di cui si attende per altro il rinnovo da parte del Parlamento. L’Autorità Garante ha competenza su tutte le questioni che riguardano la protezione dei dati personali, in particolare:
ha emesso pareri sugli schemi regolamentari e tecnici per l’abilitazione della SPID, il servizio pubblico di identità digitale;
ha fornito prescrizioni e indicazioni all’Agenzia delle Entrate per la tutela dei dati dei contribuenti;
impone il rispetto di misure tecniche per impedire che i dati siano trattati in modo poco sicuro.
Il Codice per l’Amministrazione digitale e AGid
Per quanto riguarda il lento processo di digitalizzazione della pubblica amministrazione, esso è oggetto di una norma molte volte modificata, il Codice per l’Amministrazione Digitale, (d.lg. 82/2005), che ha anche istituito l’Agenzia per l’Italia digitale con il compito di fornire regole tecniche alla pubblica amministrazione per l’adozione di servizi digitali. L’Agenzia, inoltre, seleziona e certifica fornitori di servizi ed opera in stretta coordinazione con l’Autorità Garante per la protezione dei dati personali, fornendo tra l’altro indicazioni ai rami della pubblica amministrazione che si vogliano dotare di servizi in cloud.
Nuovamente non si comprende quali siano i meriti della proposta legislativa illustrata dall’onorevole Morelli, dal momento che abbiamo già una autorità indipendente con competenze relative alla tutela della identità digitale, che è un aspetto specifico della più generale tutela dei dati personali.
Perplessità su alcune dichiarazioni
A latere destano qualche perplessità le dichiarazioni e le considerazioni dell’onorevole Morelli quando
ipotizza che la p.a. possa “valorizzare” i dati dei propri cittadini.. Da sempre infatti si è invece imposto alla p.a. il trattamento di dati personali solo ed unicamente per fini istituzionali e con divieti espliciti di perseguire fini di lucro;
ipotizza la costruzione di un « data center » centralizzato. sicuro “come Fort Knox”. In realtà, la concentrazione dei dati, da molti anni ormai, è ritenuta un fattore di moltiplicazione del rischio e non una diminuzione dello stesso: i sistemi distribuiti sono infatti più sicuri e più efficienti;
afferma che questo disegno di legge renderà possibile il cloud per la p.a. In questo caso infatti i servizi in cloud sono già possibili e sono già usati da alcuni rami della p.a. Come già si è detto, per la supervisione di tali servizi e per le relative regole tecniche è competente l’Agenzia per l’Italia Digitale.
La complessità degli ordinamenti moderni impone al legislatore estrema prudenza e grande attenzione: prima di abbozzare progetti di legge che rischiano di essere incauti occorre documentarsi con cura, dato che le norme non necessarie finiscono sempre con l’essere dannose.
Sembra insomma che una parte dei Parlamentari nazionali sia riuscita a non apprendere le lezioni e indicazioni che gli esperti del settore hanno illustrato per mesi e mesi nell’anno passato, tra cui ricordo vivamente quella del prof. Pizzetti che a gran voce ricordava come, essendo il RGPD una norma di rango comunitario non sarebbero più state possibili quelle attività incoerenti del legislatore italiano viste in passato, di modifiche sistematiche del Codice Privacy.
1 Si è osservato che l’art. 2 tutelando la personalità degli individui tutela tutti gli aspetti che la proteggono e che consentono la sua realizzazione il suo esercizio, dapprima si possono controllare le opere di Piero Calamandrei Crisafulli e Nania, ma anche la Corte di Cassazione con la sentenza 990/1963 e la Corte Costituzionale con la sentenza 2129 del 1975. Il Giudice Costituzionale è poi tornato sul punto anche estendendo la tutela con la sentenza n. 271/2005. In diverse occasioni si è inoltre citato anche l’art. 3 che tutela la dignità e l’uguaglianza sostanziale dei cittadini.↩
2 Questo principio è integralmente accolto al Regolamento 2016/679, si citi in ordine di apparizione il considerando 57 della norma.↩
3 Dal momento che l’articolo 2 tutela la personalità degli individui e che questa non può essere protetta se non proteggendo quella che un tempo era la “riservatezza” e che oggi è anche **un vero diritto dispositivo degli uomini che possono scegliere come regolarlo e come concedere o rendere pubblico i dati personali che li riguardano.↩
4 L’articolo recita: “Protezione dei dati di carattere personale 1.Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. 2.Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica. 3.Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente.”↩
5 Il d.lg. 101/2018 ha provveduto, anche se in ritardo, a modificare il Codice Privacy che è così divenuto la norma di adeguamento dell’ordinamento nazionale all’entrata in vigore del Regolamento Europeo promulgato nel 2016. Il nuovo Codice Privacy è così privato di tutte le norme che imponevano definizioni e prescrizioni generali rimanendo efficace per i settori riservati agli stati nazionali, e per le figure di reati relative al trattamento dei dati, anche queste infatti non sono materia di competenza del diritto comunitario.↩
6 Che è già richiamata dall’art. 8 sopra citato.↩
7 E seguendo le scelte di Francia e Germania che hanno istituito tali autorità già con le prime leggi, molti Paesi extra Europei hanno adottato modelli analoghi.↩
On line il modulo per comunicare i dati del DPO-RPD
È finalmente online il Modulo per la comunicazione dei dati di contatto del DPO/RPD (Data Protection Officer – Responsabile Protezione Dati) all’Autorità Garante della Privacy in Italia.
Lo avevamo aspettato per mesi e negli ultimi giorni ho più volte detto ai miei clienti che, non essendoci ancora, dovevamo pazientare un poco, ma ora è qui, lo possiamo iniziare ad usare o possiamo prepararci di corsa per iniziare ad usarlo.
1 Cosa serve per compilarlo
1.1 Per i gruppi imprenditoriali
2 Chi può compilare il modulo
3 Come si fa
4 Osservazioni sul modulo: tutto a posto così o no?
Ci sono le istruzioni ma in effetti è una operazione molto semplice.
Per compilarlo servono tutte le informazioni del titolare dei trattamenti, la sua esatta denominazione, il codice fiscale (se ne ha uno), la sede legale, un numero di telefono (è obbligatorio), un indirizzo fisico e un indirizzo PEC.
Servono anche tutte le informazioni del Responsabile cognome, il suo nome (come fossimo al servizio militare) il suo numero di telefono/cellulare un suo indirizzo di posta elettronica, e un indirizzo PEC.
Chi può compilare il modulo
Il modulo dati non può compilarlo, apparentemente, per sé, il DPO – RPD. Anche se questa è una mera deduzione personale che potrebbe essere sbagliata, poichè niente vieta che il Responsabile per la Protezione Dati inserisca due volte il proprio nome: come persona che effettua la comunicazione su delega del titolare dei trattamenti.
Tuttavia le istruzioni e la modulistica non accennano nemmeno incidentalmente a questa ipotesi; questo ha quindi provocato la deduzione che il soggetto che effettua la dichiarazione non possa essere il DPO/RPD delegato dal titolare, ma, hai visto mai…
Semplice: si compila online il modulo in ogni parte con i dati necessari dell’RPD, si compila anche il “Codice di sicurezza” e si “Invia“, ricevendo a questo punto un messaggio di posta elettronica con un file allegato che dovrà essere firmato (e l’Autorità raccomanda di firmarlo persino senza aprirlo, già…).
Il file firmato con estensione .p7m deve a questo punto essere inviato e il soggetto che effettua la comunicazione riceverà un ID provvisorio di comunicazione.
L’Autorità effettuerà i controlli formali, verificherà tra l’altro che il file inviato e il file firmato siano identici (per questo raccomanda persino di non aprirlo).
Osservazioni sul modulo: tutto a posto così o no?
Finalmente è arrivata! È qui, la possiamo usare e la possiamo segnalare, è stato importante ed è certamente una procedura fatta in modo abbastanza snello. Tuttavia alcune cose fanno storcere un poco il naso, non tanto il fatto che nel modulo si indichi prima il cognome e solo dopo il nome (è poco elegante, ma è una quisquilia), penso invece l’uso della firma digitale con riferimento ad uno standard normativo nazionale, e all’uso della PEC come strumento di comunicazione.
Se da un lato è comprensibile la scelta di adottare lo strumento della firma digitale che velocizza le operazioni e che è uno strumento riconosciuto in ambito europeo, invece non è apprezzabile la scelta di rendere obbligatorio l’uso di una PEC.
La PEC è uno strumento limitato, non riconosciuto fuori dall’Italia e quindi è – secondo me – sconsigliabile adottarlo in un contesto internazionale, e, almeno, comunitario. Personalmente ero sempre riuscito a non adottarlo ma a questo punto obtorto collo saremo costretti a farne uso.
Da ultimo, mi sono messo a rileggere l’informativa per questa comunicazione adottata dal Garante, e ironicamente mi chiedo se non si poteva fare uno sforzo maggiore per adottare un linguaggio chiaro, adottando l’indicazione della Autorità stessa che raccomandava termini semplici usando, persino, l’italiano colloquiale.
Il 25 maggio entra in vigore il regolamento per la protezione dei dati personali, da quando lo abbiamo letto, noi professionisti del settore, abbiamo capito che pur essendo il Regolamento pienamente (e automaticamente) efficace, c’erano alcuni interventi per cui l’Autorità di Controllo (il Garante) non poteva bastare, perché serviva un’azione del legislatore (che, ovviamente non può essere scavalcato).
Il legislatore nazionale è chiamato in causa innanzitutto dall’art. 84 del Regolamento:
1. Gli Stati membri stabiliscono le norme relative alle altre sanzioni per le violazioni del presente regolamento in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell’articolo 83. Tali sanzioni devono essere effettive, proporzionate e dissuasive.
In altre parole, viene imposto agli stati dell’UE di adottare delle sanzioni penali per le violazioni più gravi del regolamento, esattamente come già prevede il d.lg. 196/2003. Tuttavia, la traslazione dal Codice Privacy al Regolamento non può essere una operazione automatica, infatti queste sono le figure di reati previste ad oggi in tema:
art. 167 – Trattamento illecito dei dati;
art. 168 – Falsità nelle dichiarazioni e notificazioni al Garante;
art. 169 – Misure di sicurezza;
art. 170 – Inosservanza di provvedimenti del Garante;
Violazioni delle norme sul controllo dei lavoratori.
Di queste norme, nessuna viene facilmente trasportata da un regime ad un altro perché, se non altro, cambiano tutti i riferimenti normativi (e quindi bisogna fare un intervento redazionale non automatico), ma in più alcune necessitano di un vero e proprio adattamento.
In concreto (ma in maniera non esaustiva) questo vuol dire che:
1 Trattamento illecito
2 Falsità al Garante
4 Inosservanza di provvedimenti del Garante
5 Violazioni delle norme sui lavoratori
Il trattamento illecito prevede una condotta, che, in linea generale, è in effetti facilmente trasportata salvo la necessità di variare alcuni aspetti e riflettere al fatto che le norme nel 2003 la cui violazione era ritenuta così grave da fare scattare l’illecito penale, nel 2018 non hanno più la gravità invocata, nell’ambito della moderna società dell’informazione.
Falsità al Garante
Decisamente è necessario un intervento di adattamento, perché la notificazione non è più prevista e perché il Garante è oggi una delle Autorità di controllo competenti ad agire per verifiche e controlli.
L’illecito penale riguardante le misure di sicurezza dovrà essere completamente variato, infatti su questo punto il RGPD ha eliminato le “Misure minime di sicurezza” sostituendo la doverosità delle stesse, non già dipendenti da un Allegato Tecnico (oggi l’Allegato B), ma da una Analisi del rischio elaborata dal titolare dei trattamenti.
Se prima era quindi semplice collegare l’esistenza di un illecito penale al mancato rispetto di una norma cogente, oggi è difficile valutare che le misure di sicurezza sono così inefficaci da fare scattare una condotta penalmente rilevante, visto che l’efficacia o meno dipende da un documento elaborato autonomamente dal titolare.
Ancora una volta l’illecito non è penalmente adattabile per via automatica, perché la struttura delle Autorità di controllo e l’emanazione di norme specifiche è profondamente diversa nel passaggio verso il Regolamento.
Violazioni delle norme sui lavoratori
È questa la norma, forse, più facilmente trasportabile nel nuovo regime perché dipende dallo Statuto del Lavoratori (non modificato dal Regolamento UE) e perché ancora oggi è vietato (e penalmente rilevante) controllare l’attività dei lavoratori a distanza e fare indagini sulle loro opinioni politiche.
La CNIL (Commission Nationale de l’Informatique et Libertés) ha pubblicato una mappa mondiale dove ciascun Paese è classificato sulla base delle norme esistenti sulla protezione dei dati personali, queste le opzioni possibili:
Paese membro dell’UE o appartenente allo Spazio Economico Europeo (EEE);
(Paese) Riconosciuto adeguato dall’UE;
(Con) Autorità Indipendente e leggi;
(Con) legislazione;
Nessuna legge (sul tema).
Cliccando su ogni Paese si possono avere i dettagli specifici e link per l’accesso alle Autorità di controllo eventualmente presenti. È anche apprezzabile che la mappa sia stata compilata usando OpenStreetMap.
PlusPrivacy: guadagnare coi propri dati conviene?
Conoscete già PlusPrivacy? Tra minacce, attacchi, virus e vulnerabilità varie, cresce in modo spesso doloroso la consapevolezza che i propri dati personali (per chi volesse sul Glossario esiste la relativa definizione) siano un patrimonio da proteggere.
Libero Tecnologia ci segnala con grande enfasi l’esistenza di un progetto chiamato, appunto, Plus Privacy, che ha lo scopo (addirittura!) di consentirci di guadagnare vendendo i nostri dati personali:
Come è noto, le informazioni raccolte dai vari siti sono utilizzate per ottenere profitto. La funzione cerca di dare agli utenti un tool con cui provare a monetizzare i dati personali rilasciati su Internet gratuitamente.
Un’affermazione così roboante, equivalente quasi a quella dei biglietti Alitalia in regalo (una truffa recente ne potete leggere qui). E forse, PlusPrivacy non è una truffa, ma certamente è qualcosa che appare estremamente sfuggente e prima che vengano consegnati i nostri dati personali a qualcuno (non è chiarissimo chi) è quasi impossibile avere informazioni precise.
PlusPrivacy: tutti i dubbi in merito
Ecco alcune cose che non vengono chiarite o che dovrebbero sollevare qualche sospetto:
Chi ha realizzato l’applicazione? Libero Tecnologia con sicurezza afferma che si tratta di OPERANDO project, tuttavia non evidenzia che questo è solo il nome del consorzio, sul negozio di iOs l’applicazione risulta sviluppata da Romsoft Srl, società rumena di software che, incidentalmente dice anche di avere sviluppato PlusPrivacy;
Il dominio PlusPrivacy.com non dice in alcun modo chi è l’intestatario del dominio, non lo dicono le politiche per la protezione dei dati personali (formale violazione dell’art. 13 del d.lg. 196/2003) e non lo dice nemmeno il database whois, che al riguardo è molto scarno di informazioni;
In più, selezionando la pagina dei contatti, sul dominio PlusPrivacy non ci viene presentata alcuna informativa, a fronte comunque della raccolta dei nostri dati personali (seconda formale violazione dell’art. 13 del d.lg. 196/2003);
I cookie sospetti
Tra le altre cose tra il curioso e lo sgradevole, c’è la indicazione immancabile sui cookies adottati:
During the initial beta period of this service, Google Analytics will know that you visited this site. No other information about you and your clicks on buttons/links on this site will be transferred to Google or another 3rd party.
Tuttavia, un veloce controllo ci informa che tramite la visita a questo dominio non viene salvato alcun cookie di Google Analytics, ma uno differente che, per quanto generico, scade solamente il primo gennaio 2099 (fra più di ottantun anni!).
Possiamo/dobbiamo quindi supporre (ma nessuna informazione chiara ci viene fornita), che Romsoft ha sviluppato il software insieme (o come parte) del consorzio Operando, tuttavia anche quest’ultimo soggetto non è molto chiaro circa la sua identità:
la Privacy policy si limita ad indicare il titolare dei trattamenti come “Operando Consortium”, senza alcuna indicazione geografica, giuridica ulteriore, e il modulo contatti ci invita a scrivere ad una persona che ha un indirizzo di posta elettronica con differente dominio (presso Oxford Computer Consultants), ovviamente nessuna informativa rilevabile;
per confondere ulteriormente le idee, il dominio operando.eu non è registrato dal consorzio Operando, ma è intestato a Progetti d’impresa Srl, società italiana che dice di avere una sede legale in Modena (whois eurid).
PlusPrivacy conviene o no?
Insomma, ci viene presentato un software che in maniera abbastanza insinuante ci fa credere che per il solo fatto di avere un account Facebook potremmo guadagnarci, che si propone di raccogliere tutti i dati personali correlati alla nostra identità digitale, che si propone di gestire questi dati personali in modo accentrato e unico.
MA A FRONTE DI TUTTO QUESTO:
non ci viene detto chi è il contraente;
non ci viene detto chi effettuerà il servizio;
non ci vengono presentate le condizioni generali del servizio (!);
e non ci viene presentata alcuna informativa sulla protezione dei dati personali (formale violazione di legge).
Magari il servizio fornito è eccellente e rivoluzionario (francamente ne dubito profondamente), ma al momento, così presentandosi la situazione, pare di vedere il Lupo che si propone di aiutare Cappuccetto Rosso a portare le cose buone alla nonna.
2 #Wannacry ma non solo
3 Il backup, non una scelta: un obbligo
4 Obbligo vuol dire sanzioni per l’inadempimento
Smettete subito di lavorare con Windows XP, ecco perchè
1 Windows XP, uso professionale e dati personali
2 Tutti trattiamo dati personali
3 Tutti dobbiamo rispettare le misure di sicurezza
4 Windows XP rispetta l’Allegato B?
4.1 Risorse esterne
La cosa straordinaria successa negli ultimi giorni è che Microsoft ha rilasciato un aggiornamento di sicurezza persino per il suo sistema operativo più longevo, Windows XP. In questa pagina la lista degli aggiornamenti.
Questo è successo per colpa (o merito) di Wannacry che sta, tutt’ora, minacciando molti sistemi informativi comportandosi come le più moderne minacce informatiche sanno fare. E la minaccia è stata presa così seriamente da spingere Microsoft all’aggiornamento persino di Windows XP, sistema operativo di cui la società produttrice aveva dichiarato cessata l’assistenza (o “supporto” come amano dire loro e gli informatici in genere) nel 2014 (qui un comunicato di Microsoft).
Windows XP, uso professionale e dati personali
Anni fa, all’inizio della mia professione, seppi di una deliziosa direttrice di banca che sosteneva con forza di non trattare dati personali: spero che oggi sappia di avere sostenuto una solenne corbelleria: tutto nel 2017 tende ad essere “dato personale”, un numero di targa, un indirizzo IP, un cookie, un log di sessione, e ovviamente una scheda cliente, gli estremi identificativi di un conto corrente e via dicendo.
I dati anonimi sono solo quelli che non non possono “essere associati ad un interessato identificato o identificabile” (cfr. art. 4, comma 1, lettera n).
Windows XP rispetta l’Allegato B?