Source: http://degrazia.info/altro/scritti-vari/d-lgs-n-1962003/breve-analisi-del-provvedimento-27-11-2008-sulla-figura-dellamministratore-di-sistema
Timestamp: 2018-01-21 16:23:08+00:00
Document Index: 101350155

Matched Legal Cases: ['art. 29', 'art. 34', 'art. 154', 'art. 29', 'art. 34', 'art. 13', 'art. 154', 'art. 154', 'art. 29', 'art. 34', 'art. 13']

Breve analisi del provvedimento 27-11-2008 sulla figura dell’Amministratore di Sistema | Il blog di Luca-M. de Grazia, Avvocato
2. Alcune precisazioni preliminari 1
3. Analisi generale della situazione 2
4. Analisi particolare del provvedimento 3
5. Possibili conclusioni 6
6. Il testo del provvedimento 8
In questa sintesi verrà analizzata, in via sintetica, la portata del Provvedimento del Garante per la Protezione dei dati personali del 27.11.2008, pubblicato nella G.U. del 24.12.2008 (reperibile, tra l’altro, alla url: <http://www.privacy.it/garanteprovv200811272.html>
Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196) e, in particolare, gli articoli 31 ss. e 154, comma 1, lettera c) e h), nonché il disciplinare tecnico in materia di misure minime di sicurezza di cui all’allegato B <http://www.privacy.it/codiceprivacy.html> al medesimo Codice;
Ritenuto che i titolari di alcuni trattamenti effettuati in ambito pubblico e privato a fini amministrativo-contabili, i quali pongono minori rischi per gli interessati e sono stati pertanto oggetto di recenti misure di semplificazione (art. 29 decreto-legge 25 giugno 2008, n. 112, convertito, con modifiche, con legge 6 agosto 2008, n. 133; art. 34 del Codice; provv. Garante 27 novembre 2008 <http://www.privacy.it/garanteprovv200811271.html>), debbano essere allo stato esclusi dall’ambito applicativo del presente provvedimento;
Il Codice non ha invece incluso questa figura tra le proprie definizioni normative. Tuttavia, le funzioni tipiche dell’amministrazione di un sistema sono richiamate nel menzionato allegato B <http://www.privacy.it/codiceprivacy.html>, nella parte in cui prevede l’obbligo per i titolari di assicurare la custodia delle componenti riservate delle credenziali di autenticazione. Gran parte dei compiti previsti nel medesimo allegato B spettano tipicamente all’amministratore di sistema: dalla realizzazione di copie di sicurezza (operazioni di backup e recovery dei dati) alla custodia delle credenziali alla gestione dei sistemi di autenticazione e di autorizzazione.
Di seguito sono indicati gli accorgimenti e le misure che vengono prescritti ai sensi dell’art. 154, comma 1, lettera c) del Codice <http://www.privacy.it/codiceprivacy.html>, a tutti i titolari dei trattamenti di dati personali effettuati con strumenti elettronici, esclusi, allo stato, quelli effettuati in ambito pubblico e privato a fini amministrativo-contabili che, ponendo minori rischi per gli interessati, sono stati oggetto delle recenti misure di semplificazione (art. 29 decreto-legge 25 giugno 2008, n. 112, convertito, con modifiche, con legge 6 agosto 2008, n. 133; art. 34 del Codice; provv. Garante 27 novembre 2008 <http://www.privacy.it/garanteprovv200811271.html>).
Gli estremi identificativi delle persone fisiche amministratori di sistema, con l’elenco delle funzioni ad essi attribuite, devono essere riportati nel documento programmatico sulla sicurezza, oppure, nei casi in cui il titolare non é tenuto a redigerlo, annotati comunque in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti anche da parte del Garante. Qualora l’attività degli amministratori di sistema riguardi anche indirettamente servizi o sistemi che trattano o che permettono il trattamento di informazioni di carattere personale di lavoratori, i titolari pubblici e privati nella qualità di datori di lavoro sono tenuti a rendere nota o conoscibile l’identità degli amministratori di sistema nell’ambito delle proprie organizzazioni, secondo le caratteristiche dell’azienda o del servizio, in relazione ai diversi servizi informatici cui questi sono preposti. Ciò, avvalendosi dell’informativa resa agli interessati ai sensi dell’art. 13 del Codice nell’ambito del rapporto di lavoro che li lega al titolare, oppure tramite il disciplinare tecnico la cui adozione é prevista dal provvedimento del Garante n. 13 del 1° marzo 2007 <http://www.privacy.it/garanteprovv20070301.html> (in Gazzetta Ufficiale 10 marzo 2007, n. 58); in alternativa si possono anche utilizzare strumenti di comunicazione interna (ad es., intranet aziendale, ordini di servizio a circolazione interna o bollettini).
1. Ai sensi dell’art. 154, comma 1, lettera h) del Codice <http://www.privacy.it/codiceprivacy.html>, nel segnalare a tutti i titolari di trattamenti di dati personali soggetti all’ambito applicativo del Codice ed effettuati con strumenti elettronici la particolare criticità del ruolo degli amministratori di sistema, richiama l’attenzione dei medesimi titolari sull’esigenza di valutare con particolare attenzione l’attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di amministratore di sistema (system administrator), amministratore di base di dati (database administrator) o amministratore di rete (network administrator), laddove tali funzioni siano esercitate in un contesto che renda ad essi tecnicamente possibile l’accesso, anche fortuito, a dati personali. Ciò, tenendo in considerazione l’opportunità o meno di tale attribuzione e le concrete modalità sulla base delle quali si svolge l’incarico, unitamente alle qualità tecniche, professionali e di condotta del soggetto individuato.
2. Ai sensi dell’art. 154, comma 1, lettera c) del Codice prescrive l’adozione delle seguenti misure ai titolari dei trattamenti di dati personali soggetti all’ambito applicativo del Codice ed effettuati con strumenti elettronici, anche in ambito giudiziario e di forze di polizia (articoli 46 e 53 del Codice), salvo per quelli effettuati in ambito pubblico e privato a fini amministrativo-contabili che pongono minori rischi per gli interessati e sono stati oggetto delle misure di semplificazione introdotte di recente per legge (art. 29, decreto-legge 25 giugno 2008, n. 112, convertito, con modifiche, con legge 6 agosto 2008, n. 133; art. 34 del Codice; provv. Garante 27 novembre 2008 <http://www.privacy.it/garanteprovv200811271.html>):
Qualora l’attività degli amministratori di sistema riguardi anche indirettamente servizi o sistemi che trattano o che permettono il trattamento di informazioni di carattere personale dei lavoratori, i titolari pubblici e privati sono tenuti a rendere nota o conoscibile l’identità degli amministratori di sistema nell’ambito delle proprie organizzazioni, secondo le caratteristiche dell’azienda o del servizio, in relazione ai diversi servizi informatici cui questi sono preposti. Ciò, avvalendosi dell’informativa resa agli interessati ai sensi dell’art. 13 del Codice nell’ambito del rapporto di lavoro che li lega al titolare, oppure tramite il disciplinare tecnico di cui al provvedimento del Garante n. 13 del 1° marzo 2007 <http://www.privacy.it/garanteprovv20070301.html> (in Gazzetta Ufficiale 10 marzo 2007, n. 58) o, in alternativa, mediante altri strumenti di comunicazione interna (ad es., intranet aziendale, ordini di servizio a circolazione interna o bollettini). Ciò, salvi i casi in cui tali forme di pubblicità o di conoscibilità siano incompatibili con diverse previsioni dell’ordinamento che disciplinino uno specifico settore;