Source: http://docplayer.it/72709796-Lezione-4-la-sicurezza-informatica-e-i-reati-informatici.html
Timestamp: 2018-06-21 15:16:17+00:00
Document Index: 29366579

Matched Legal Cases: ['art. 33', 'art. 33', 'art. 34', 'art. 123', 'art. 6', 'art. 130', 'art. 130', 'art. 171', 'art. 171', 'art. 635', 'art. 420', 'art. 635', 'art. 635', 'art. 635', 'art. 635', 'art. 635', 'art. 635', 'art. 635', 'art. 420', 'art 615', 'art. 491', 'art. 10', 'art. 640', 'art. 640', 'art. 623', 'art. 617', 'art. 617', 'art. 617', 'art. 615', 'art. 19', 'art. 33', 'art. 24', 'sentenza ']

Lezione 4 La sicurezza informatica e i reati informatici - PDF
Lezione 4 La sicurezza informatica e i reati informatici
Download "Lezione 4 La sicurezza informatica e i reati informatici"
1 Percorso B Mercato del lavoro, sicurezza e tutela della privacy Lezione 4 La sicurezza informatica e i reati informatici Conoscenze Conoscere le misure minime di sicurezza per il trattamento dei dati effettuato con strumenti elettronici. Comprendere le tutele riconosciute nel caso in cui si stipulano contratti via Internet. Abilità Saper riconoscere i reati informatici e le tutele previste dal nostro ordinamento. 1 Il rapporto fra privacy e nuove tecnologie Il progressivo sviluppo delle comunicazioni elettroniche ha comportato, da un lato, indiscutibili vantaggi in termini di semplificazione e rapidità nel reperimento e nello scambio di informazioni fra utenti della rete Internet ma, dall altro, ha provocato un enorme incremento di dati personali trasmessi e scambiati, nonché dei pericoli connessi al loro illecito utilizzo da parte di terzi non autorizzati. Si è così diffusa l esigenza di assicurare una forte tutela dei diritti e delle libertà delle persone, con particolare riferimento all identità personale e alla vita privata degli individui che utilizzano le reti telematiche. Il Codice per la protezione dei dati personali ha compiuto una ricognizione delle preesistenti norme sul trattamento dei dati nel settore delle telecomunicazioni, completando nello stesso tempo il recepimento della direttiva 2002/58/CE, relativa alla tutela della vita privata nel settore delle comunicazioni elettroniche. La disciplina introdotta, riproponendo un criterio già presente nella normativa comunitaria, adotta un approccio tecnologicamente neutro, ossia valido ed applicabile a tutte le forme di comunicazione elettronica a prescindere dal mezzo tecnico utilizzato. Naturalmente rimane il rischio che la diffusione dei documenti elettronici e l interconnessione di archivi informatici possano comportare una riduzione dei diritti della persona e della riservatezza dei dati personali. Al riguardo, il Garante ha più volte segnalato, negli anni precedenti, la necessità di individuare con maggiore attenzione e proporzionalità la tipologia dei dati da inserire nei documenti elettronici, i soggetti che possono eventualmente accedere alle varie categorie di dati e le garanzie per gli interessati. Lo sviluppo della rete ha inoltre contribuito, secondo il Garante, alla concezione di un «corpo elettronico» della persona ripartito in diverse banche dati. 1
2 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy La persona elettronica Le caratteristiche personali di un individuo possono essere ormai scisse e fatte confluire in diverse banche dati, ciascuna contraddistinta da una specifica finalità. Su tale presupposto può essere facilmente ricostruita la cd. persona elettronica attraverso le tante tracce che lascia negli elaboratori che annotano e raccolgono informazioni sul suo conto. L evoluzione tecnologica se, da un lato, ha reso semplici ed accessibili i meccanismi attraverso i quali comprimere la pretesa di solitudine dell individuo, dall altro offre forme di protezione e di prevenzione dalle intrusioni indesiderate che consentono di risolvere, o quanto meno di attenuare, questo fenomeno. È quindi essenziale non tanto evitare che altri violino il diritto fondamentale di essere lasciati soli, quanto consentire che ogni individuo possa disporre di un agile diritto di controllo rispetto alle tante informazioni di carattere personale che altri possano aver assunto. 2 La sicurezza informatica e il Codice per la protezione dei dati personali L art. 33 del Codice per la protezione dei dati personali prevede le cd. misure minime di sicurezza, che consistono in una serie di misure da adottare per garantire la sicurezza minima al trattamento dei dati. L art. 33 obbliga i titolari del trattamento ad adottare le misure minime di sicurezza ed è, quindi, il titolare del trattamento destinatario fondamentale della disciplina della sicurezza. Le misure minime sono elencate dagli artt. 34 e 35, rispettivamente per i trattamenti a mezzo elaboratore elettronico e per i trattamenti senza elaboratore elettronico. Riguardo ai trattamenti effettuati con strumenti elettronici il codice richiede che: il sistema utilizzato per il trattamento disponga di un sistema di autenticazione degli utenti incluse, oltre alla password, anche valide funzioni di autenticazione più robuste, come ad esempio, la firma digitale o le impronte digitali; il titolare deve adottare appropriate procedure periodiche per mantenere aggiornate le utenze ed i relativi profili di accesso sia per gli utenti normali, sia per quelli che sono addetti alla gestione o manutenzione dei sistemi; deve essere definito un sistema di autorizzazione per abilitare gli utenti all accesso ai dati o ai trattamenti; gli strumenti elettronici e i dati devono essere protetti da accessi non autorizzati da parte di utenti, programmi informatici e da trattamenti illeciti; il titolare deve adottare appropriate procedure per il back-up dei dati, il loro recupero, nonché il ripristino della disponibilità dei sistemi e dei dati; il titolare deve adottare un documento programmatico sulla sicurezza; devono essere adottate tecniche di cifratura per i trattamenti atti a rivelare lo stato di salute o la vita sessuale rilevati da organismi sanitari. Le modalità tecniche indicate sono da adottare a cura del titolare, del responsabile dei trattamenti e degli incaricati. Nel caso in cui le misure minime di sicurezza siano affidate dal titolare a una struttura esterna, questi è tenuto a fornire per iscritto una descrizione dell intervento effettuato che ne attesti la conformità al disciplinare tecnico. L autenticazione informatica È obbligatorio utilizzare, oltre ad una funzione di identificazione, con l assegnazione di un codice identificativo per ogni incaricato, anche una successiva funzione di autenticazione, basata su credenziali di accesso, che ne confermi l identità. Le credenziali possono essere costituite da una parola chiave o password, caratteristiche biometriche, o 2
3 Lezione 4 La sicurezza informatica e i reati informatici altro meccanismo. Il dispositivo utilizzato deve essere univocamente assegnato a ogni incaricato e da questi mantenuto segreto. A tale proposito agli incaricati devono essere impartite le opportune istruzioni perchè possano adottare le cautele necessarie al fine di mantenere riservate le credenziali e i dispositivi in loro possesso. Anche la parola chiave, se utilizzata, deve essere lunga almeno 8 caratteri e, nel caso il sistema di autenticazione non preveda questa lunghezza, deve essere usata la lunghezza massima consentita. È richiesto anche un meccanismo per evitare l utilizzo di password comunque riconducibili all incaricato. Il documento programmatico sulla sicurezza Tra le misure minime di sicurezza previste dall art. 34 del Codice assume una particolare rilevanza il Documento Programmatico sulla Sicurezza (DPS). La previsione di un obbligo di stesura di un documento sulla sicurezza non è una novità introdotta dal Codice, in quanto la precedente normativa faceva riferimento all obbligo di predisporre ed aggiornare, con cadenza annuale, un documento programmatico sulla sicurezza dei dati. L obbligo gravava su chiunque operasse il trattamento di dati sensibili e giudiziari mediante elaboratori elettronici accessibili in rete pubblica. Venuta meno la distinzione tra elaboratori in rete accessibili al pubblico, o meno, l obbligo è previsto per tutti gli elaboratori (sia singolo, che in rete) che trattino dati personali di natura sensibile o giudiziaria. Il DPS deve essere redatto ogni 31 marzo, la sua redazione è l occasione per indurre a fare, almeno una volta all anno, il punto sul sistema di sicurezza adottato e da adottare nell ambito della propria attività. Informazioni essenziali indicate nel DPS Nel DPS, riguardo ai trattamenti di dati personali, tra le informazioni essenziali, devono essere indicati: una descrizione sintetica dei trattamenti indicando la finalità perseguita o dell attività svolta e delle categorie di persone cui i dati si riferiscono; la natura dei dati trattati specificando se, tra i dati personali, sono presenti dati sensibili o giudiziari; la struttura di riferimento: l ufficio, la funzione all interno della quale viene effettuato il trattamento. In caso di strutture complesse, è possibile indicare la macro-struttura (ad esempio la direzione, il dipartimento o il servizio del personale), oppure gli uffici specifici all interno della stessa: l ufficio contratti, lo sviluppo risorse, le controversie sindacali, l amministrazionecontabilità; le altre strutture che concorrono al trattamento, nel caso in cui un trattamento, per essere completato, comporta l attività di diverse strutture è opportuno indicare, oltre quella che cura primariamente l attività, le altre principali strutture che concorrono al trattamento anche dall esterno; una descrizione degli strumenti elettronici utilizzati specificando la tipologia di strumenti elettronici impiegati (elaboratori o personal computer anche portatili, collegati o meno in una rete locale, geografica o Internet; sistemi informativi più complessi). 3 La privacy e le transazioni on line La tutela della riservatezza nello specifico settore informatico e telematico viene in evidenza con riguardo a quattro aspetti fondamentali: la raccolta dei dati personali; la tutela del cd. data log; i cookie; lo spamming. 3
4 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy La raccolta dei dati personali via Internet I formulari elettronici predisposti per registrare i dati personali dei contraenti devono osservare le disposizioni previste dal Codice per la protezione dei dati personali. Il contratto, sia se lo stesso è visibile all interno del sito Internet, sia stipulato off line, deve contenere precisi avvertimenti in ordine al trattamento dei dati personali della controparte contrattuale. Le formule utilizzate per tutelare il diritto alla privacy degli utenti telematici sono varie e vanno dalla predisposizione di poche righe esplicative alla formulazione di vere e proprie clausole contrattuali che richiamano analiticamente le disposizioni normative del codice. In ogni caso, a prescindere dalla formula adottata, è essenziale che il soggetto, qualora raccolga i dati in occasione della stipula di un contratto via Internet, provveda a rendere edotto l interessato dell esistenza di un trattamento di dati e che, nel caso in cui intenda utilizzare tali dati per scopi diversi da quelli relativi alla stipula e all esecuzione del contratto, provveda a richiedere il consenso dell interessato. Il data log Il data log è il registro elettronico che il provider custodisce, contenente notizie di carattere personale tali da identificare un navigatore. Il Codice per la protezione dei dati personali impone, indirettamente, al provider di informare l utente dell esistenza di tale registro e della natura dei dati contenuti; l utente dal suo canto deve prestare il proprio consenso, necessariamente per iscritto, qualora si tratti di dati sensibili. In particolare l art. 123 del Codice disciplina il trattamento dei dati relativi al traffico, individuando il periodo di tempo entro il quale il fornitore può trattare i dati strettamente necessari per la fatturazione, a fini di documentazione in caso di contestazione della fattura o per la pretesa del pagamento (non superiore a sei mesi, salvo in caso di contestazione). I cookie I cd. cookie sono dei file di testo generati da programmi che raccolgono informazioni circa i gusti e le abitudini dell utente. Il cookie viola il disposto dell art. 6, lettera e) della Direttiva 95/46/CE secondo cui i dati personali devono essere «conservati in modo da consentire l identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati» e d altra parte, poiché l utente non è informato dell esistenza del dato presso il proprio hard disk, si ipotizza la violazione degli artt. 10, 11 e 12 della stessa Direttiva laddove viene prescritta la necessaria informazione a colui che è oggetto del trattamento del dato e il consenso che deve essere prestato dall utente per il diritto di accesso ai dati che riguardano la sua persona. 4 Opt-out: è la procedura con cui si nega il consenso a ricevere posta elettronica a scopi commerciali o si cancella l abbonamento ad una mailing list, se il destinatario vi è già iscritto. Implicitamente l opt-out comporta la possibilità di inviare promozionali fintanto che l utente non manifesta il proprio dissenso. Lo spamming Lo spamming, cioè l invio di comunicazioni commerciali non sollecitate, è un problema che il legislatore nazionale affronta e regola in maniera parzialmente difforme dal legislatore comunitario. La direttiva comunitaria in tema di spamming adotta il principio del cd. opt-out che esige un comportamento attivo di rifiuto preliminare da parte del destinatario il quale ha l onere di iscriversi in determinati registri i cd. orange-book, per non ricevere messaggi di posta non sollecitata.
5 Lezione 4 La sicurezza informatica e i reati informatici Opt-in: è la procedura con cui si conferisce il consenso La normativa italiana, invece, non è così esplicita ed è più aderente al principio dell opt-in, a ricevere posta elettronica a scopi commerciali; per «double opt-in» si intende la procedura con la quale si disponendo che il destinatario possa identificare immediatamente la comunicazione commer- conferma per la seconda volta che si desidera essere inseriti nella mailing list. Implicitamente l opt-in comporta il divieto di invio di senza il consenso pre- sostanza, la comunicazione commerciale non ciale non sollecitata, senza doverla aprire. In ventivo da parte dell utente. sollecitata deve potersi distinguere dalle altre comunicazioni che il destinatario riceve al proprio domicilio informatico, con la facoltà di poter cestinare il messaggio senza doverlo leggere. L art. 130 del Codice per la protezione dei dati personali prevede che l uso di sistemi automatizzati di chiamata senza l intervento di un operatore (dispositivi automatici di chiamata), del fax e della posta elettronica «a fini di commercializzazione diretta» è consentito solo «nei confronti degli abbonati che abbiano espresso preliminarmente il loro consenso» (cd. opt-in). Tuttavia è stato introdotto nell ordinamento un parziale temperamento al principio del consenso preventivo. In particolare, le aziende potranno, previa idonea informativa, inviare comunicazioni pubblicitarie o commerciali ai propri clienti con i quali già sussistono rapporti contrattuali, qualora questi ultimi abbiano in precedenza fornito, pur sempre previa idonea informativa, le proprie coordinate di posta elettronica nel contesto della vendita di un prodotto o di un servizio. Ciò, purché si tratti di prodotti o servizi analoghi a quelli per i quali era già stato instaurato un rapporto e purché sia offerta esplicitamente e senza ambiguità, all inizio del rapporto e in occasione di ogni singolo invio, la possibilità di rifiutare tale pratica commerciale. La posta elettronica Il Garante ha adottato, in data 29 maggio 2003, un provvedimento generale relativo alla pratica dell inoltro di messaggi di posta elettronica non sollecitati aventi carattere pubblicitario o commerciale, al fine di precisare il quadro normativo di riferimento ed offrire indicazioni utili agli operatori del settore. Il Garante ha, in primo luogo, precisato che il consenso deve essere manifestato liberamente, in modo esplicito e, soprattutto, in forma chiara e differenziata rispetto alle diverse finalità ed alle categorie di servizi e prodotti offerti, prima dell inoltro del messaggio commerciale. Tale disciplina non può essere peraltro elusa inviando una prima che, pur chiedendo il consenso, presenti un contenuto comunque promozionale o pubblicitario, oppure riconoscendo in concreto al destinatario un mero diritto di opposizione a ricevere in futuro altri messaggi pubblicitari (sistema cd. opt-out). Simili precisazioni sono coerenti con la disciplina generale in materia di comunicazioni commerciali non sollecitate dettata dal codice che, all art. 130, ha recepito e rafforzato il principio della necessità del consenso preventivo ed informato (sistema cd. opt-in). 4 I reati informatici Negli ultimi anni i reati commessi a mezzo dell elaboratore sono cresciuti di numero, in parallelo con la diffusione dell informatica e della telematica. I reati informatici sono quei reati compiuti per mezzo o nei confronti di un sistema informatico, cioè un personal computer, o di un sistema telematico, cioè una rete di computers. Il computer, infatti, può essere bersaglio di un reato, ed in questo caso l obiettivo di colui che commette l illecito si ravvisa nel sottrarre o distruggere le informazioni contenute nella memoria dello stesso personal computer; in altri casi, invece, il computer può costituire un mezzo per la commissione di reati, ad esempio nel caso di chi utilizzi lo stesso per commettere frodi. Malgrado la tutela dei beni «immateriali» non sia del tutto estranea al sistema sanziona- 5
6 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy torio vigente, tuttavia è evidente che, nel campo informatico gli oggetti del reato hanno natura e caratteristiche diverse da quelli tradizionali. Le maggiori difficoltà si sono riscontrate per le condotte criminose che aggrediscono direttamente beni immateriali quali il software o i dati informatici. In tali ipotesi, viene meno il dato della «materialità» su cui si incentrano, ad esempio, le fattispecie incriminatrici tipiche di furto, appropriazione indebita, danneggiamento e truffa. Riguardo a queste il dato normativo è evidente: oggetto materiale della condotta è la «cosa mobile». A detto concetto non appare facilmente riconducibile l informazione contenuta nel dato immagazzinato nel computer né il dato o il programma in se stesso. Il bene immateriale non può quindi appartenere al concetto di cosa mobile sottesa dalle norme del codice penale. Nelle ipotesi in cui la condotta da reprimere cade, invece, su dati e programmi per elaboratori e non su «cose mobili» ben definite, il legislatore è quindi necessariamente intervenuto per creare nuove fattispecie delittuose introdotte con leggi speciali. In altri casi, invece, il legislatore si è ispirato alle figure criminose già delineate estendendone espressamente l applicazione al settore dell attività informatica. Tra i fondamentali interventi legislativi, vanno ricordati: il D.Lgs. 518/1992, «Attuazione della direttiva 91/250/CEE relativa alla tutela giuridica dei programmi per elaboratore»; la legge 547/1993, «Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica»; la L. 248/2000, «Nuove norme di tutela del diritto d autore»; il D.Lgs. 68/2003, «Attuazione della direttiva 2001/29/CE sull armonizzazione di taluni aspetti del diritto d autore e dei diritti connessi nella società dell informazione»; la L. 48/2008, «Ratifica ed esecuzione della convenzione del Consiglio d Europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001 e norme di adeguamento dell ordinamento interno». Le più importanti innovazioni introdotte da tali provvedimenti sono l applicazione al software delle difese e sanzioni penali di cui alla L. 633/1941 (legge sul diritto d autore). Sono poi intervenute la L. 547/1993 e la L. 48/2008 che, nel prevedere nuove figure di crimini informatici prende in considerazione alcune tipologie di aggressione ai dati e programmi informatici, intesi come «patrimonio». La tutela penale del software e di sistemi informatici L art. 171bis della legge 633/1941 (legge sul diritto d autore) prevede una pluralità di ipotesi di reato, distinguibili con riferimento all oggetto materiale della tutela penale, e caratterizzate ciascuna da una pluralità di condotte penalmente rilevanti. Più precisamente, sono puniti con la reclusione da sei mesi a tre anni e con la multa da euro a euro : la duplicazione abusiva di programmi per elaboratore, al fine di trarne profitto; l importazione, la distribuzione, la vendita, la detenzione a scopo commerciale o imprenditoriale, la concessione in locazione di programmi contenuti in supporti non contrassegnati dalla SIAE; le predisposizioni o utilizzazioni o qualsiasi altro fatto concernente mezzi intesi «unicamente a consentire o facilitare la rimozione arbitraria o l elusione funzionale di dispositivi applicati a protezione di un programma per elaboratore»; 6
7 Lezione 4 La sicurezza informatica e i reati informatici una pluralità di condotte (puntualmente descritte al comma 2 dell art. 171bis) riferite alle banche dati e poste in essere in violazione delle norme di tutela del diritto d autore insistenti sulle medesime, prima fra tutte della norma posta a tutela della preventiva autorizzazione del titolare del diritto alla loro utilizzazione (articoli 64quinquies e 64sexies della legge 633/1941), ovvero di quelle relative ai diritti del costitutore della banca dati (articoli 102bis e 102ter). La L. 547/1993 e la L. 48/2008 hanno sanzionato le condotte di danneggiamento che ab- Il sistema informatico è un insieme di componenti hardware e software che consentono il trattamento automatico dei dati; il sistema telematico si configura biano ad oggetto altrui sistemi informatici o telematici, ovvero programmi, informazioni o quando due o più sistemi informatici vengono collegati dati. fra loro tramite reti di telecomunicazione allo scopo di scambiare dati. In particolare la L. 48/2008 ha modificato nel codice penale sia l art. 635bis che l art. 420 del c.p. È da notare come il legislatore non solo non offra una definizione della maggior parte dei concetti «tecnici» richiamati dalle singole disposizioni, ma addirittura utilizza ed assimila espressioni generiche, quali, ad esempio, «informatica e telematica». Il danneggiamento di informazioni, dati e programmi informatici L art. 635bis così come modificato dalla L. 48/2008 prevede che chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione da sei mesi a tre anni. Se ricorre la circostanza di cui al numero 1) del secondo comma dell articolo 635 ovvero se il fatto è commesso con abuso della qualità di operatore del sistema, la pena è della reclusione da uno a quattro anni e si procede d ufficio. L art. 635ter prevede, invece, il caso in cui ad essere danneggiati siano informazioni, dati o programmi informatici utilizzato dallo Stato, da altro ente pubblico o comunque di pubblica utilità. In questa ipotesi il responsabile è punito con la reclusione da uno a quattro anni. Se dal fatto deriva la distruzione, il deterioramento, la cancellazione, l alterazione o la soppressione delle informazioni, dei dati o dei programmi informatici, la pena è della reclusione da tre a otto anni. Naturalmente anche in tal caso se ricorre la circostanza di cui al numero 1) del secondo comma dell articolo 635 ovvero se il fatto è commesso con abuso della qualità di operatore del sistema, la pena è aumentata. Il danneggiamento di sistemi informatici e telematici L art. 635quater c.p., inserito dalla legge 48/2008, ha adeguato il reato di danneggiamento comune, previsto dall art. 635 c.p., in modo tale che nella fattispecie del danneggiamento comune rientrino anche le condotte incidenti su sistemi informatici e telematici. Le condotte punite, infatti, sono quasi le medesime («distruggere», «deteriorare», «rendere in tutto o in parte inservibili») previste anche dall art. 635 c.p. L oggetto materiale preso in considerazione dalla norma consiste in un bene «immateriale» e pertanto di natura ben diversa dalle cose «mobili o immobili» di cui all art. 635 c.p. Il responsabile di questo reato è punito con la reclusione da uno a cinque anni, salvo le circostanze aggravanti dove la pena è aumentata. L art. 635quinquies prevede, invece, l ipotesi del danneggiamento di sistemi informatici e telematici di pubblica utilità per il quale, a seconda della gravità, sono previste pene che vanno da uno a otto anni di reclusione. 7
8 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy Il sabotaggio informatico L art. 420 c.p. punisce l attentato agli impianti di pubblica utilità, ovvero il fatto «diretto a danneggiare o distruggere impianti di pubblica utilità». Il legislatore ha modificato il testo dell articolo in modo da far rientrare anche il «fatto diretto a danneggiare o distruggere sistemi informatici o telematici di pubblica utilità, ovvero dati, informazioni o programmi in essi contenuti o ad essi pertinenti». La fattispecie costituisce un reato di attentato che, per sua stessa natura comporta una anticipazione della soglia della punibilità: la consumazione del reato, infatti, si verifica quando vengono posti in essere gli «atti diretti a». La diffusione di programmi diretti a danneggiare o interrompere un sistema informatico La diffusione dei cosiddetti «virus informatici» destinati ad alterare od impedire il funzionamento dei sistemi ha sempre destato particolari allarmi. A sanzionare tale condotta provvede l art 615quinquies del codice penale. Il legislatore anticipa la soglia di punibilità rispetto al verificarsi del danno sul programma e delinea alcune figure equivalenti al verificarsi del danno, come la consegna o la comunicazione del programma virus che già vengono considerate degne di sanzione penale anche se non è stato fatto uso del programma virus. La tutela penale dei documenti informatici L articolo 3 della L. 547/1993 ha introdotto l articolo 491bis del codice penale, come modificato dalla L. 48/2008. Si tratta di una norma chiave del nuovo sistema repressivo destinata ad eliminare una grave lacuna di tutela. Prima dell emanazione della legge si era rilevato che i delitti di falso non comprendevano numerose ipotesi di alterazione o cancellazione di dati, capaci di ledere la fede pubblica. In particolare, alla definizione correntemente assunta di documento a fini penali non erano riconducibili i dati memorizzati nell elaboratore o quelli non ancora inseriti, ma soltanto gli elaborati sottoscritti (salva la configurabilità di una ipotesi di tentativo, ove la memorizzazione del dato fosse destinata alla produzione di documento falso). L art. 491bis estende la fattispecie di falso (materiale o ideologico) ai «documenti informatici» pubblici o privati aventi efficacia probatoria. La definizione normativa prevede due requisiti: il dato deve avere efficacia probatoria; il dato informatico, per contenuto e fini, deve essere utilizzato per la produzione di uno degli atti specificamente tutelati dal sistema penale. In questo modo si è evitato di incorrere nel pericolo di proteggere mediante la sanzione penale qualunque dato informatico, anche quello insignificante (BORRUSO). Il reato di frode informatica ha la stessa struttura, e quindi gli stessi elementi costitutivi, della truffa, dalla quale si distingue perché l attività fraudolenta dell agente investe non la persona, ma il sistema informatico. La frode informatica L art. 10 della L. 547/1993 ha inserito nel corpo delle norme penali in tema di truffa una specifica ipotesi di frode informatica. L art. 640ter c.p., punisce con la pena della reclusione da 6 mesi a 3 anni e con la multa da euro 51,65 ad euro 1032,91 chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico, o intervenendo senza 8
9 Lezione 4 La sicurezza informatica e i reati informatici diritto con qualsiasi modalità su dati, informazioni o programmi contenuti in un sistema informatico o telematico ad esso pertinenti, procura a sé o ad altri un ingiusto profitto con altrui danno. Soggetto attivo del reato può essere «chiunque». La L. 48/2008 ha, poi, introdotto l art. 640quinquies c.p. che prevede il caso specifico della frode informatica del soggetto che presta servizi di certificazione di firma elettronica. La pena prevista per il responsabile è quella della reclusione fino a 3 anni e della multa da 51 a euro. Con tale fattispecie di reato si vuole punire, in pratica, la condotta dei cd. haeckers, cioè i pirati dell informatica. La tutela penale della corrispondenza informatica Il legislatore, considerata l obsolescenza dei sistemi di trasmissione delle informazioni e il progresso della tecnologia, si è «cautelato» precisando che le norme contenute nella Sez. V del codice penale, concernente i delitti contro la inviolabilità dei segreti e le norme relative alle comunicazioni e conversazioni telegrafiche, telefoniche, informatiche o telematiche, si applicano a qualunque altra trasmissione a distanza di suoni, immagini o altri dati (art. 623bis c.p.). Le norme riguardano comportamenti che fino ad ora sono stati puniti soltanto in relazione alle comunicazioni o conversazioni telefoniche o telegrafiche. Nel 1993 il legislatore ha introdotto nel codice penale nuove fattispecie parallele incriminanti rispettivamente: la intercettazione, l impedimento e l interruzione illecita di comunicazioni informatiche (art. 617quater c.p. ); la installazione di apparecchiature atte ad intercettare, impedire od interrompere dette comunicazioni (art. 617quinquies c.p. ); la falsificazione, alterazione o soppressione del contenuto di dette comunicazioni (art. 617sexies c.p.). La tutela penale del domicilio informatico L art. 615ter del codice penale sanziona l accesso abusivo ad sistema, un modello di illecito, ignoto alla legislazione previgente. Le condotte punite sono due: l introduzione abusiva nel sistema; il mantenimento in esso contro la volontà espressa o tacita del titolare del diritto di esclusione. La norma ha posto, tuttavia, un limite all intervento penale. Sono difatti meritevoli di tutela penale solo i sistemi «protetti da misure di sicurezza». Il reato di accesso abusivo ad un sistema informatico o telematico è stato inserito all interno della sezione IV, capo III del titolo XII del codice penale dedicata alla disciplina dei delitti contro l inviolabilità del domicilio, inteso come luogo dove si esplica liberamente la personalità del soggetto. Ciò perché i sistemi informatici e telematici non costituiscono più soltanto mezzi attraverso i quali il soggetto può esprimere le proprie idee, capacità professionali ecc. Essi costituiscono dei luoghi di concezione diversa da quelli tradizionali dove l uomo non solo proietta la propria persona fisica, ma addirittura trasferisce alcune facoltà intellettuali. 9
10 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy La pedopornografia Il problema della pedofilia e della pornografia infantile su Internet è particolarmente sentito non solo in Italia ma anche in ambiente comunitario. L uso quotidiano delle tecnologie informatiche da parte di utenti sempre più giovani, infatti, è un fatto ormai accertato, per cui si è sentita l esigenza di predisporre strumenti adeguati di tutela dei minori per contrastare crimini come la pedofilia e la diffusione di materiale pedopornografico a mezzo Internet. In Italia, la legge di riferimento è la legge 38/2006, che ha modificato ed integrato diverse disposizioni del codice penale tra cui gli artt. 600bis, 600ter, 600quater, 600septies ampliandone la portata. In particolare la legge 38/2006 cerca di dotare la magistratura e le forze dell ordine di strumenti sempre più efficaci per contrastare il fenomeno degli abusi sessuali sui minori e dello sfruttamento di questi nella diffusione di materiale pornografico. La legge, in particolare: estende la protezione accordata al minore sino al compimento del diciottesimo anno di età; amplia la nozione di pornografia infantile ed il suo ambito; individua elementi costitutivi del reato di sfruttamento sessuale di minori, comuni a tutti gli Stati dell Unione; prevede sanzioni adeguate nonché imputazione di responsabilità anche a persone giuridiche; ampliando la nozione di «pornografia infantile», incrimina la realizzazione, commercio e detenzione di materiale pornografico anche in caso di «immagini virtuali» di minori; introduce per gli operatori turistici obblighi di inserire nei materiali propagandistici e documenti di viaggio avvertenze sulla perseguibilità anche in Italia di reati di pedofilia commessi all estero (turismo sessuale). Inoltre, l art. 19 della L. 38/2006: prevede un apposito centro di monitoraggio della Rete Internet presso il Ministero degli Interni definito «Centro nazionale per il contrasto della pedopornografia sulla rete internet», sotto la responsabilità della Polizia Postale e delle Comunicazioni, con il compito di raccogliere tutte le segnalazioni, provenienti anche dagli organi di polizia stranieri e da soggetti pubblici e privati impegnati nella lotta alla pornografia minorile, riguardanti siti che diffondono materiale concernente l utilizzo sessuale dei minori avvalendosi della rete. obbliga i provider di segnalare al Centro, qualora ne vengano a conoscenza, le imprese o i soggetti che, a qualunque titolo, diffondono, distribuiscono o fanno commercio, anche in via telematica, di materiale pedopornografico, nonché a comunicare senza indugio al Centro, che ne faccia richiesta, ogni informazione relativa ai contratti con tali imprese o soggetti. prevede meccanismi che consentono di bloccare la possibilità di pagamento di immagini e filmati disponibili in rete attraverso lo strumento più usato sul web, le carte di credito (l obiettivo è quello di contrastare chi lucra su tali perversioni frapponendo quanti più ostacoli possibili alla veicolazione di materiale pedofilo). obbliga i provider di dotarsi di filtri capaci di ostacolare la diffusione del materiale pedofilo. 10
11 Lezione 4 La sicurezza informatica e i reati informatici Mappa concettuale Misure minime di sicurezza Sono le misure, previste dall art. 33 del Codice della privacy, da adottare per garantire la sicurezza minima al trattamento dei dati personali La privacy in ambito informatico e telematico riguarda La raccolta dei dati personali La tutela del cd. data log I cookie Lo spamming Reati informatici Sono compiuti per mezzo o nei confronti di un sistema informatico o di un sistema telematico 11
12 Percorso B Mercato del lavoro, sicurezza sui luoghi di lavoro e tutela della privacy Riepilogo per la didattica inclusiva 1 Il rapporto tra privacy e nuove tecnologie Lo sviluppo delle comunicazioni elettroniche ha provocato un enorme incremento di dati personali trasmessi e scambiati via Internet, con il pericolo che questi vengano utilizzati da parte di soggetti terzi non autorizzati. 2 La sicurezza informatica e il Codice per la protezione dei dati personali L articolo 33 del Codice per la protezione dei dati personali prevede una serie di misure minime volte a garantire la sicurezza nel trattamento dei dati personali. 3 La privacy e le transazioni online È predisposta anche un accurata tutela della riservatezza nella stipula di contratti via Internet. 4 I reati informatici I reati informatici sono quei reati compiuti per mezzo o nei confronti di un sistema informatico (cioè un personal computer) o di un sistema telematico (cioè una rete di computers). 12
13 Lezione 4 La sicurezza informatica e i reati informatici Area operativa di fine lezione Verifiche 1 Chi è obbligato ad adottare le misure minime di sicurezza per il trattamento dei dati personali? 2 Relativamente ai trattamenti di dati personali, cosa deve essere indicato nel documento programmatico sulla sicurezza? 3 Cosa è il data long? 4 Cosa si intende per spamming? 5 Quali sono le condotte punite dal reato di danneggiamento di sistemi informatici e telematici? 6 Qual è la condotta punita dal reato di frode informatica? 7 Cosa si intende per sabotaggio informatico? 13
Le responsabilità giuridiche dell Amministratore di Sistema Udine 31 maggio 2012
Le responsabilità giuridiche dell Amministratore di Sistema Udine 31 maggio 2012 Chi è l'ads? www.avvocatidagostini.it Avv. David D'Agostini Avv. Luca Zenarolla www.cindi.it Chi è l'ads? Nel nostro ordinamento
Università degli Studi di Foggia Dipartimento di Giurisprudenza Prof. Michele Perilli Conoscenze Informatiche (3 CFU)
Università degli Studi di Foggia Dipartimento di Giurisprudenza Prof. Michele Perilli Conoscenze Informatiche (3 CFU) michele.perilli@unifg.it mlperilli@gmail.com REATI INFORMATICI (Computer Crime) Con
I reati informatici. Tipi di reati informatici. Norme penali e informatica. Esempi. Violenza sulle cose. Legge sulla criminalità informatica
Tipi di reati informatici I reati informatici Corso di Informatica giuridica a.a. 2005/2006 Claudia Cevenini cevenini@cirsfid.unibo.it Reati commessi mediante tecnologie informatiche (es diffamazione via
Tecniche Informatiche di ricerca giuridica Nicolò Ghibellini Università di Ferrara ghbncl@unife.it Quarta Lezione I crimini informatci Normativa di riferimento 1. L. n. 547 del 1993; 2. L. n. 48 del 2008
CyberSecurity. Ancona Università Politecnica delle Marche
CyberSecurity Università Politecnica delle Marche Ransomware Virus informatici che danneggiano il sistema informatico della vittima, cui segue richiesta di riscatto. Di recente massima diffusione di diverse
I DELITTI INFORMATICI ed I DELITTI IN VIOLAZIONE DEL DIRITTO D AUTORE
Modello di Organizzazione, Gestione e Controllo Data: 26.01.2016 Parte Speciale 6 I DELITTI INFORMATICI ed I DELITTI IN VIOLAZIONE DEL DIRITTO D AUTORE STORICO DELLE MODIFICHE Natura della modifica Prima
S.A.F. SCUOLA DI ALTA FORMAZIONE Sicurezza e D.lgs. 231: I reati informatici DAVIDE GRASSANO Membro della Commissione Informatica 26 Novembre 2008 - Milano Agenda 1 Introduzione 2 Il D.Lgs. 231/2001 3
Aziende Italia S.r.l. Politiche di utilizzo dei servizi Aziende Italia
Aziende Italia S.r.l. Politiche di utilizzo dei servizi Aziende Italia Copyright Notice Aziende Italia S.r.l. Via San Godenzo, 109 00189 Rome (RM) Italy Tel.: +39 06 452215460 Fax: +39 06 332 59 862 Copyright
MAPPATURA DELLE ATTIVITA A RISCHIO
Allegato n 3 MAPPATURA DELLE MAPPATURA all incaricato di pubblico servizio (I.P.S.) per l esercizio delle sue funzioni o dei suoi poteri. Rapporti con medici, chirurghi, dirigenti della struttura sanitaria
PUBLIES Energia Sicura S.r.l. MODELLO 231 Modello di organizzazione e controllo ex D. Lgs. 231/2001 PARTE SPECIALE Delitti informatici e trattamento illecito dei dati Ex art. 24 bis D.Lgs. 231/2001 1/13
Le leggi ICT. Doveri di un ISP dettati dalle leggi ICT vigenti riguardanti principalmente la data retention. 12 novembre
Le leggi ICT Doveri di un ISP dettati dalle leggi ICT vigenti riguardanti principalmente la data retention 12 novembre 2004 1 Obiettivi Evidenziare i doveri a cui deve sottostare un fornitore di servizi
PARTE SPECIALE D REATI DI CRIMINALITA INFORMATICA, DELITTI INFORMATICI E TRATTAMENTO ILLECITO DI DATI
PARTE SPECIALE D REATI DI CRIMINALITA INFORMATICA, DELITTI INFORMATICI E TRATTAMENTO ILLECITO DI DATI 1 INDICE PARTE SPECIALE D Pag. 1. Le fattispecie dei reati in materia di reati di criminalità informatica,
A.A. 2014/15 C.L.M. Giurisprudenza Università degli Studi di Teramo
A.A. 2014/15 C.L.M. Giurisprudenza Università degli Studi di Teramo I reati a forma vincolata reati che richiedono specifiche modalità di condotta. Il bene protetto è tutelato solo contro determinate
Parte Speciale H : I reati informatici. Codice documento: MOG PSH
Parte Speciale H : I reati informatici Codice documento: MOG 231 - PSH COPIA CONTROLLATA N 0 REV. BREVE DESCRIZIONE E COMMENTO DATA 0 EMISONE 22/02/2012 1 REVIONE 12/03/2014 2 3 4 5 Tutti i cambiamenti
La notificazione secondo il codice in materia di protezione dei dati personali
La notificazione secondo il codice in materia di protezione dei dati personali Artt. 37, 38, 164, 181 Dlgs n. 196/2003 G.U. 29/7/2003, n. 174 Trattamenti soggetti alla notificazione Aspetti significativi
Il dovere dell identificazione del cliente
1 Il dovere dell identificazione del cliente Corte di Cassazione, Sez. 4 Penale, sentenza n. 46415 pubblicata il 22 novembre 2015, ha ribadito la sussistenza del reato per la violazione degli artt. 15,
REGOLAMENTO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO COMUNALE
COMUNE DI BARZANA Provincia di Bergamo REGOLAMENTO COMUNALE PER L INSTALLAZIONE E L UTILIZZO DI IMPIANTI DI VIDEOSORVEGLIANZA DEL TERRITORIO COMUNALE Approvato con deliberazione del Consiglio Comunale
GLI ALTRI REATI PRESUPPOSTO PREVISTI DAL D.LGS. 231/01
Modello di Organizzazione, Gestione e Controllo Data: 26.01.2016 Parte Speciale 12 GLI ALTRI REATI PRESUPPOSTO PREVISTI DAL D.LGS. 231/01 STORICO DELLE MODIFICHE Natura della modifica Prima stesura APPROVAZIONE
24/04/2009. Nuove tecnologie e diritto. Obiettivi del corso. Perché per un ingegnere è utile conoscere il diritto? Presentazione del corso
Nuove tecnologie e diritto Presentazione del corso a.a. 2008/2009 Università di Bologna II Facoltà di IngegneriaSede di Cesena Claudia Cevenini claudia.cevenini@unibo.it Perché per un ingegnere è utile
Legge 18 marzo 2008, n. 48: Ratifica ed esecuzione della Convenzione del Consiglio d'europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell'ordinamento
C.so Garibaldi, n Roma (RM) Tel Fax ai sensi del D.Lgs. n. 231 del 8 Giugno 2001
MODULO / TABELLA ANALISI DEI RISCHI PER ARTICOLO 231 MOD AR Organizzazione AZIENDA s.p.a. C.so Garibaldi, n. 56-00195 Roma (RM) Tel. 0612345678 - Fax. 0612345678 Web : www.nomeazienda.it E-Mail : info@nomeazienda.it,
LEZIONE 5 TEST A RISPOSTA MULTIPLA. di Vittorio De Chiara. Giugno Scuola Superiore della Pubblica Amministrazione Locale
Scuola Superiore della Pubblica Amministrazione Locale LEZIONE 5 NOZIONI DI DIRITTO PENALE CON PARTICOLARE RIFERIMENTO AI REATI CONTRO LA PA; LIMITATAMENTE AL TITOLO II CAP. I DEI DELITTI DEI PUBBLICI
ENTRATO IN VIGORE: 1 LUGLIO 2015
RIFORMA DEL CODICE PENALE NELL AMBITO DEI REATI SOCIETARI. ENTRATO IN VIGORE: 1 LUGLIO 2015 23 luglio 2015 RIFORMA DEL CODICE PENALE NELL AMBITO DEI REATI SOCIETARI. Entrato in vigore: 1 luglio 2015 Concretizzazione
Articoli del Codice Penale Per rendere più incisiva la repressione della pirateria audiovisiva, accanto ai reati previsti dalla L. 633/41, il codice penale annovera al suo interno ulteriori fattispecie,
(Autorizzazione alla ratifica) 1. Il Presidente della Repubblica e' autorizzato a ratificare la
LEGGE 18 marzo 2008, n. 48 Ratifica ed esecuzione della Convenzione del Consiglio d'europa sulla criminalita' informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell'ordinamento
Legge 6 febbraio 2006, n. 38 "Disposizioni in materia di lotta contro lo sfruttamento sessuale dei bambini e la pedopornografia anche a mezzo Internet" pubblicata nella Gazzetta Ufficiale n. 38 del 15
FIERA DIGITALE SRL FIERA DIGITALE SRL MODELLO DI ORGANIZZAZIONE GESTIONE E CONTROLLO. ai sensi del Decreto Legislativo 8 giugno 2001, n.
FIERA DIGITALE SRL MODELLO DI ORGANIZZAZIONE GESTIONE E CONTROLLO ai sensi del Decreto Legislativo 8 giugno 2001, n. 231 PARTE SPECIALE PARTE SPECIALE 1 INDICE INDICE... 2 PREMESSA... ERRORE. IL INTRODUZIONE