Source: https://www.civile.it/internet/visual.php?num=78972
Timestamp: 2019-11-22 04:44:23+00:00
Document Index: 50701809

Matched Legal Cases: ['art. 4', 'art. 4', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 13', 'art. 4', 'art. 154', 'art. 11']

Voip, email, web e amministratori di sistema: interviente il Garante Privacy
Email 21.09.2011 Pdf Appunta Letti Post successivo
Al link indicato il provvedimento
5. I trattamenti effettuati dagli ammini
Dalla Newsletter 351 del 2011 del Garante privacy:
Poligrafico: più tutele per i lavoratori
Troppe violazioni, servono più tutele per i dipendenti dell’Istituto Poligrafico. E’ quanto ha stabilito il Garante privacy che con un recente provvedimento ha vietato all’Istituto alcuni trattamenti illeciti effettuati sui dati personali dei dipendenti. La decisione è stata adottata dall’Autorità a seguito di accertamenti effettuati per verificare la corretta applicazione da parte dell’Istituto della normativa in materia di protezione dei dati personali riguardo all’utilizzo di Internet, posta elettronica aziendale, sistemi di telefonia su Internet (Voip), nonché per verificare la correttezza dell’operato degli amministratori di sistema. Il provvedimento del Garante è stato trasmesso alla magistratura per le valutazioni di competenza.
I dati trattati dall’Istituto in violazione di legge non potranno quindi essere più utilizzati. Il Poligrafico potrà conservare le informazioni finora raccolte solamente in vista di una eventuale acquisizione da parte dell’autorità giudiziaria. Contestualmente al divieto, l’Autorità ha ordinato al Poligrafico di informare dettagliatamente i propri dipendenti sulle modalità d’uso e di archiviazione della posta elettronica e di rendere conoscibili all’interno della società le identità degli amministratori di sistema, le cui operazioni dovranno essere tracciabili. Con riferimento ai fatti accertati è stato infine avviato un procedimento sanzionatorio per violazione degli obblighi di informativa e inosservanza dei provvedimenti dell’Autorità.
ESAMINATE le risultanze istruttorie degli accertamenti in loco effettuati in data 12 e 13 maggio 2011 presso la sede dell'Istituto Poligrafico e Zecca dello Stato s.p.a. in Roma;
In data 12 e 13 maggio 2011 sono stati effettuati presso la sede dell'Istituto Poligrafico e Zecca dello Stato s.p.a. (interloquendo con i responsabili dell'area "ICT e business solutions", "Risorse umane", con il "responsabile privacy" e con il responsabile "Information security e assicurazione qualità" nonché con alcuni amministratori di sistema) accertamenti finalizzati alla verifica dell'osservanza dei principi e delle disposizioni in materia di protezione dei dati personali relativi all'utilizzo dei sistemi di comunicazione elettronica, in particolare:
2.1. L'uso di Internet da parte degli utenti (per lo più dipendenti della società) - disciplinato dalla società nell'ambito di più ampie istruzioni impartite ai propri dipendenti per il tramite di un opuscolo (in larga misura incentrato sulle diverse misure di sicurezza da adottare) denominato "Istruzioni agli Incaricati al trattamento di dati personali", consegnato agli stessi e reso disponibile sulla rete intranet dell'Istituto, nelle quali si prevede che "l'attività in internet dei singoli utenti viene registrata in appositi log mantenuti dai Sistemi Informativi" (cfr. all. 5 al verbale delle attività del 12.5.2011, p. 16) - è regolato da appositi filtri di navigazione. Questi ultimi sono implementati mediante uno specifico software, denominato XY, che opera congiuntamente a un sistema proxy/web gateway, "per finalità di tutela aziendale e per poter eventualmente riferire all'Autorità Giudiziaria comportamenti anomali registrati dai sistemi" (cfr. verb. 12.5.2011, p. 7). In tal modo la società intende prevenire il libero accesso ai siti presenti in rete da parte della generalità dei lavoratori, confinandolo ai soli siti web ritenuti conferenti con lo svolgimento delle attività lavorative (salva diversa valutazione da effettuarsi caso per caso).
Ancorché la società disponga dei dati relativi alla navigazione Internet riconducibili ad ogni singolo utente - la cui conservazione riguarda circa 1200 persone ed oscilla tra "un periodo minimo di sei mesi e massimo di un anno", essendo vincolata "alla disponibilità di spazio per l'archiviazione" predefinito dalla società nella misura di circa 1500 MB (cfr. verb. 12.5.2011, p. 7) -, gli stessi non sono stati mai richiesti dall'autorità giudiziaria, né la società ha effettuato segnalazioni sulla base di tali dati o se ne è altrimenti avvalsa per finalità disciplinari (cfr. verb. 12.5.2011, p. 4).
Peraltro, dalla documentazione acquisita in atti, e segnatamente dal documento dedicato all'"Utilizzo delle risorse informatiche e di rete" - redatto dalla funzione interna deputata al "Sistema di gestione per la qualità" e approvato dal direttore ICT (all. 12, 2 al verb. 12.5.2011), nonché richiamato nel documento programmatico sulla sicurezza - DPS (all. 6 al verb. 12.5.2011, punto 6.5, p. 122) -, risulta che, con l'intento di "provvedere ad un'efficiente attività di monitoraggio e controllo", "si rende necessario attivare una serie di norme, restrizioni e controlli per garantire la sicurezza dei sistemi e definire le responsabilità degli utilizzatori delle risorse" (cfr. all. 6, p. 4). In questa prospettiva, tra le varie misure previste, si precisa che "gli amministratori di sistema sono obbligati [...] a garantire la massima riservatezza nella trattazione dei dati personali anche desunti dal software di analisi di traffico, a mantenere riservate le informazioni relative al collegamento degli utenti fatti salvi i casi di interessamento della Magistratura a fronte di ipotesi di reato" (all. 6, p. 7).
È stato infine accertato che rispetto alle operazioni di raccolta, memorizzazione e conservazione dei dati relativi alla navigazione web dei dipendenti non è stato stipulato "nessun accordo con le organizzazioni sindacali [...], né esiste un'autorizzazione della Direzione provinciale del lavoro" (cfr. verb. 12.5.2011, p. 4). Tale circostanza è stata confermata anche dal responsabile delle risorse umane della società, il quale ha ulteriormente precisato (cfr. verb. 13.5.2011, p. 5) che:
2.2. In base ad una complessiva valutazione degli elementi sopra indicati, deve ritenersi che il trattamento di dati personali riferito a ciascun utente ed effettuato dalla società mediante la sopra descritta configurazione del sistema di filtraggio - con funzionalità tali da consentire la memorizzazione sistematica (per un arco temporale assai ampio) dei domini web richiesti dagli utenti, la cui visualizzazione sia stata consentita o meno dal sistema - presenti più profili di violazione di legge, e in particolare della disciplina di protezione dei dati personali (ed inoltre si discosti dalle indicazioni fornite dal Garante nelle menzionate Linee guida; v. altresì il Provv. 2 aprile 2009, doc. web n. 1606053).
Inoltre, anche a volere, in ipotesi, far confluire la fattispecie in esame in quella astrattamente prevista dal secondo comma del menzionato art. 4, l. n. 300/1970 - in relazione a funzionalità che, ricorrendo "esigenze organizzative e produttive", legittimamente potrebbero essere perseguite mediante il sistema di filtraggio opportunamente installato e configurato - egualmente l'installazione del sistema di filtraggio (e il conseguente trattamento di dati) sarebbe vietata, in quanto la società non ha provveduto a dare attuazione agli adempimenti previsti dalla disposizione richiamata (nel senso della violazione dell'art. 4, l. n. 300/1970 per il tramite di software che consentono il monitoraggio della posta elettronica e degli accessi a internet cfr. anche Cass., Sez. lav., 23 febbraio 2010, n. 4375).
3.1. Le modalità di utilizzo dei sistemi di posta elettronica non hanno formato oggetto di apposito disciplinare da parte della società - che tuttavia nelle menzionate Istruzioni agli incaricati ha previsto che non debba essere utilizzata "la casella postale assegnata per fini privati e personali" (p. 15) -, né specifica informativa ai sensi dell'art. 13 del Codice è stata fornita all'utenza in ordine al funzionamento del servizio e alle modalità di archiviazione ed eventuale accesso da parte di incaricati o responsabili del trattamento ai messaggi di posta elettronica.
Nel corso delle verifiche volte ad accertare l'eventuale archiviazione dei messaggi di posta elettronica presso il server della società (e le modalità attraverso cui ciò avviene) - circostanza che uno degli amministratori del servizio di posta elettronica, peraltro quello incaricato di assicurare l'ordinaria funzionalità del servizio, ha dichiarato di non conoscere (verb. 13.5.2011, p. 3) -, è emerso che:
Rilevata la presenza della cartella contenente i messaggi di posta elettronica, un altro amministratore di sistema partecipante alle verifiche ha precisato che "la memorizzazione e l'archiviazione dei messaggi di posta elettronica sul server non è regolata da alcuna policy specifica della società, al di là di quelle predisposte per lo spazio massimo occupato dalle caselle, e pertanto ogni utente può liberamente scegliere di mantenere la propria posta elettronica nel disco del server [...] o in alternativa di cancellarla dal server memorizzandola sul disco fisso locale del computer usato per accedere alla posta [...]" (cfr. verb. 13.5.2011, p. 4).
3.3. Alla luce degli accertamenti effettuati, deve ritenersi che la società non abbia fornito agli utenti un'informativa conforme alla previsione contenuta nell'art. 13 del Codice con riguardo all'utilizzo del servizio di posta elettronica atteso che la stessa si è limitata a rendere noto ai dipendenti il divieto di "utilizzare la casella postale per fini privati e personali" (cfr. all. 5, verb. 12.5.2011, Istruzioni agli incaricati, p. 15), senza esplicitare però né le modalità del trattamento (art. 13, comma 1, lett. a) del Codice), non essendo stato chiarito agli stessi che la società, qualora l'utente si avvalga di programmi configurati per mantenere la posta permanentemente archiviata sul server, conserva tutti i messaggi di posta elettronica scambiati, né quali siano i soggetti che, in qualità di incaricati o responsabili, a tali messaggi possono (come dimostrato) accedere (art. 13, comma 1, lett. d) del Codice). Tanto, anche alla luce della prescrizione impartita dal Garante nel menzionato provvedimento del 27 novembre 2008 (al n. 2, lett. c), del dispositivo) secondo cui "qualora l'attività degli amministratori di sistema riguardi anche indirettamente servizi o sistemi che trattano o che permettono il trattamento di informazioni di carattere personale di lavoratori, i titolari pubblici e privati nella qualità di datori di lavoro sono tenuti a rendere nota o conoscibile l'identità degli amministratori di sistema nell'ambito delle proprie organizzazioni, secondo le caratteristiche dell'azienda o del servizio, in relazione ai diversi servizi informatici cui questi sono preposti. Ciò, avvalendosi dell'informativa resa agli interessati ai sensi dell'art. 13 del Codice nell'ambito del rapporto di lavoro che li lega al titolare, oppure tramite il disciplinare tecnico la cui adozione è prevista dal provvedimento del Garante n. 13 del 1° marzo 2007 [...]; in alternativa si possono anche utilizzare strumenti di comunicazione interna (a es., intranet aziendale, ordini di servizio a circolazione interna o bollettini)".
4.1. Con riguardo all'utilizzo di sistemi di comunicazione elettronica, la società ha altresì rappresentato che è in corso di realizzazione un piano di migrazione della rete telefonica dalla tecnologia tradizionale (a circuito) a quella su protocollo IP (VoIP): allo stato, circa 300 utenze (su 1800) - parte delle quali configurate anche a beneficio di altri enti e società (allo stato Editalia, Bimospa e Ministero dell'economia e delle finanze) - si avvalgono di questa tecnologia.
a. una piattaforma di gestione delle utenze telefoniche (MX-ONE Manager) usata per la configurazione di nuove utenze, con l'attribuzione dei servizi di telefonia decisi dalla società per ciascuna tipologia di utente;
b. un secondo sistema grazie al quale la "società effettua il trattamento dei dati di traffico generati dalle centrali telefoniche" nel quale gli stessi sono conservati (denominato srv-docaddebiti) ed ai quali è possibile accedere "attraverso un'applicazione web denominata XZ", sistema di analisi e controllo del traffico telefonico tramite il quale sono visualizzati i dettagli delle chiamate in uscita che il sistema, in fase di implementazione, provvede a memorizzare per un intervallo temporale non ancora stabilito. Con l'eccezione di una perdita di informazioni nella fase iniziale di implementazione del sistema, tutti i dati relativi alle chiamate effettuate sono quindi conservati a far data dalla sua installazione (avvenuta nel dicembre 2010). Considerato che la società fornisce un servizio di telefonia VoIP anche a soggetti terzi, in relazione ad essi si è ravvisata la "necessità di conservare tali dati per finalità di fatturazione sulla base della periodicità di fatturazione stabilita" (su base trimestrale e, in un caso, annuale: cfr. verb. 13.5.2011, p. 6).
d. può in astratto avvalersi, in relazione al sistema di telefonia VoIP installato, di una funzione di "alert" - che si è dichiarato non essere stata utilizzata - in grado "di configurare l'invio automatico di un messaggio di posta elettronica ad un indirizzo e-mail a scelta ogni qual volta un numero interno effettua una chiamata verso determinati numeri esterni configurabili dall'amministratore" (cfr. verbale 13.5.2011, p. 7).
Resta salvo il loro eventuale trattamento ricorrendo ad opportune tecniche di anonimizzazione - con modalità da comunicare a questa Autorità - per eventuali esigenze di analisi statistica delle direttrici di chiamata (ad es. verso particolari archi di numerazione o verso determinati operatori), finalità per la quale non è necessario disporre di dati (direttamente o indirettamente) nominativi, specie se per tempi prolungati e, come nel caso di specie, non ancora definiti.
Con riguardo infine, alla funzionalità di "alert" sopra descritta al punto c) - che allo stato, in base alle dichiarazioni rese, non ha formato oggetto di utilizzo da parte della società -, risolvendosi la stessa nella possibilità di un controllo a distanza dei lavoratori, la stessa si pone in contrasto con la disposizione contenuta nell'art. 4, comma 1, l. n. 300/1970.
5.1. Nell'ambito delle complessive attività di verifica correlate all'utilizzo dei sistemi di comunicazione elettronica in uso presso l'Istituto è stata altresì verificata la modalità di attuazione delle misure prescritte ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema, acquisendo le dichiarazioni dei rappresentanti della società (punto a) nonché effettuando verifiche dirette - aventi ad oggetto il sistema KW, sistema di registrazione appositamente configurato per il tracciamento degli accessi degli amministratori di sistema ed installato dalla società per dare attuazione al provvedimento del Garante del 27 novembre 2008 citato in premessa (punto b) - e indirette - mediante opportuni riscontri sui sistemi oggetto di monitoraggio (punto c) -.
a) In proposito la società ha dichiarato che "vengono registrati in un apposito sistema [...] i dati relativi a login, logout, timestamp e utenza di accesso (username); non viene, invece, registrato il dettaglio dell'attività svolta dagli amministratori (attività sistemistica) successivamente al login" (cfr. verb. 12.5.2011, p. 5).
i. i log memorizzati nel sistema di registrazione degli accessi "includono soltanto accessi di tipo sistemistico (accessi fatti da un amministratore al sistema operativo ...), mentre la citata reportistica [...] utilizzata per il controllo degli amministratori non include gli accessi degli amministratori effettuati dal pannello generale di gestione del prodotto XY tramite il quale è possibile controllare la navigazione web effettuata dai dipendenti" (cfr. verb. 12.5.2011, p. 6);
ii. "gli accessi al sistema XY effettuati dagli amministratori in possesso di credenziali interne al sistema stesso non vengono registrati da KW in quanto [...] sussistono ostacoli di natura tecnica nella raccolta di tali log. Diversamente, in caso di accesso al sistema XY da parte degli amministratori tramite credenziale di dominio, il log dell'accesso effettuato viene registrato dal sistema di monitoraggio e raccolta log KW" (cfr. verb. 12.5.2011, p. 8);
iii. identica (anomala) modalità di funzionamento caratterizza anche le attività di tracciamento degli accessi al sistema VoIP e della relativa interfaccia web (denominata MX-ONE Manager) (cfr. verb. 13.5.2011, p. 6): si è al riguardo precisato, infatti, che i "log interni della piattaforma di gestione delle utenze telefoniche (MX-ONE Manager) non confluiscono nel sistema KW per problemi di natura tecnica del sistema stesso" (cfr. verb. 13.5.2011, p. 6).
5.2. Dal complesso delle verifiche così effettuate emerge, pertanto, che la società ha dato solo parziale attuazione alle misure prescritte dal Garante ai sensi dell'art. 154, comma 1, lett. c), del Codice con il provvedimento relativo agli amministratori di sistema del 27 novembre 2008 nel quale, alla lett. f), si è stabilito che "devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste [...]".
Orbene, atteso che gli accessi di tipo applicativo alla strumentazione utilizzata per l'amministrazione dei sistemi informativi della società non vengono censiti sul sistema KW (come descritto al punto 5.1. lett. c), il richiesto requisito della completezza non risulta soddisfatto, con la conseguenza che i soggetti preposti a sovrintendere alla regolarità nello svolgimento delle attività effettuate dagli amministratori di sistema - sia a livello di unità organizzativa, che a livello apicale - hanno potuto disporre di un'informazione incompleta rispetto all'operato degli amministratori di sistema.
Pertanto potrebbero non rappresentare fedelmente l'operato degli amministratori di sistema sia il report inviato dal responsabile dell'area "ICT e Business solutions" al responsabile privacy (cfr. all. 6 al verb. del 13.5.2011) - nel quale si attesta che "dall'analisi dei report dei log prodotti con l'ausilio del sistema KW Logger non è emersa nessuna anomalia né intrusione non autorizzata ai sistemi da parte degli amministratori di sistema, ma solo attività lavorativa nell'ambito della loro professione e del proprio profilo organizzativo" -, sia la conseguente "comunicazione al consiglio di amministrazione" dell'amministratore delegato il quale, alla luce delle informazioni disponibili, ha potuto attestare che "dal primo controllo annuale risulta che tutti gli amministratori di sistema hanno svolto la loro attività nei limiti dei rispettivi profili autorizzativi; pertanto non è stata rilevata nessuna irregolarità" (cfr. all. 7 al verb. del 13.5.2011).
1. dichiara illeciti i trattamenti effettuati dall'Istituto Poligrafico e Zecca dello Stato s.p.a. in violazione degli artt. 11, comma 1, lett. a), c) e d), 113 e 114 del Codice nonché 4 e 8, l. n. 300/1970, con la conseguente inutilizzabilità dei dati trattati in violazione di legge, ai sensi dell'art. 11, comma 2 del Codice;
21.09.2011 Spataro
Email Azienda Lavoro Telecontrollo Amministratore di sistema Voip Email aziendale Navigazione web