Newsgroup: it.diritto.internet
Titolo: Re: Mancata protezione archivi

preda di criminali?
Cosa si intende per "proteggere adeguatamente"?
Quali sono le misure minime previste dalla Legge?
E quali le massime previste, aggirate le quali, si possa sollevare il
"servizio commerciale" da ogni responsabilità?
--
BLOG: 
http://www.vt75ge.splinder.com/
MERCATINO MANGA/CENSIMENTO NINTENDOGS: 
http://xoomer.virgilio.it/vt75ge/
NINTENDO VIP: 
http://www.nintendo-europe.com/NOE/it/IT/register/index.jsp?m=l&a=Vittorio1975GE

C'è un imbroglio linguistico... non possono esistere "misure massime"...
Ma quand'è che si può dire che c'è stata negligenza di chi offre il
servizio oppure che è merito dell'abilità dell'hacker di turno?


 servizio oppure che è merito dell'abilità dell'hacker di turno?
se l'hacker ha usato un metodo nuovo per attaccare è abilità sua
se invece sono state usate vulnerabilità già note è negligenza degli 
amministratori 

 adeguatamente gli archivi dei corrispondenti; 
Vanno capite un po' di cose:
- la giurisdizione: italiana? (in rete non è scontata)
- dati personali / non personali ( si applica la data privacy e/o altro? )
In ogni caso un principio di fondo (data privacy e non) sia del diritto
internazionale che italiano è quello noto come:
- "reasonable man" (internazionale)
- "buon padre di famiglia" (italiano)
ovvero cosa farebbe una persona ragionevole per proteggere i dati dei propri
clienti. Il diritto anglosassone (common law) quasi esclusivamente basato
sulla giurisprudenza giudicherà sui precedenti e sul caso specifico. In
Italia sul codice (civile, penale o leggi se e quali applicabili) e solo in
parte sulla giurisprudenza.
Prendiamo il caso che si applichi il dlgs 196/2003 (data privacy). Bene, hai
applicato le "misure minime" dell'allegato B. Il decreto abbonda (in linea
col principio del reasonable man/buon padre di famiglia) anche del concetto
di "misura idonea" e "misura preventiva". Ergo le "misure minime" sono
necessarie, ma non sufficienti a scagionarti dalla possibile accusa (o
perlomeno "fumus") di aver fatto tutto quanto in tuo potere per prevenire
l'incidente.
Il dlgs.196/2003 è recente. La giurisprudenza è scarsa. Cosa farà un
giudice? Boh? Lascio ai giuristi del newsgroup eventuali elucubrazioni in
merito. Credo che i primi casi saranno molto in mano all'abilità dei periti
nel dimostrare la "adeguatezza" o "inadeguatezza" (a seconda da che parte
stanno) delle misure di protezione.
Se poi non parliamo solo di dati personali, ma di dati in genere. La cosa si
fa ancora più interessante. La data privacy va di moda di questi tempi, ma
spesso ci si dimentica che il d.lgs.196/2003 non è l'unico
regolamento/legge/decreto a cui fare riferimento nel trattare dati propri
ed altrui (esistono anche i segreti industriali, i brevetti, i diritti di
terzi, i copyright,. Per citare solo i principali:
Codice Civile,
Codice Penale,
Codice di Procedura Penale,
Regolamenti Banca d'Italia,
il Diritto d'Autore,
L. n. 547 del 1993- Modificazioni ed integrazioni alle norme del codice
penale e del codice di procedura penale in tema di criminalità informatica,
L. n. 626 del 1994- Miglioramento della sicurezza e della salute dei
lavoratori sul posto di lavoro (fra l’altro: inviolabilità email in quanto
equiparata alla posta cartacea),
L. n. 675 del 1996- Tutela delle persone e di altri soggetti rispetto al
trattamento dei dati personali (superato dal dlgs.196/2003),
D.P.R. n. 445 del 2000- Testo unico delle disposizioni legislative in
materia di documentazione amministrativa,
D.Lgs n. 10 del 2002- Attuazione della direttiva 1999/93/CE relativa ad un
quadro comunitario per le firme elettroniche, 
D.P.R. n 173 del 2003-Regolamento recante disposizioni di coordinamento in
materia di firme elettroniche a norma dell’articolo 13 del decreto,
legislativo n. 10 del 2002
-- 
AB

 
Secondo me se uno non aggiorna il sistema operativo (diciamo
mensilmente, almeno per essere sicuri), se usa versioni vecchie dei
client di posta, del browser, dell'antivirus, già così è fuori norma.
Altro che hacker, nel 90% dei casi è imbecillità o ignoranza!
Mi collego a ciò per fare un esempio più blando: le bufale stile catena
di s. antonio. Ieri ne ho ricevute due (già cazziato il mio mittente
diretto) con *centinaia* di nomi, cognomi, funzione aziendale ed e-mail!
Ho ora le e-mail di direttori di banche (elenchi interi di reparti
interni), direzioni Telecom e altre società di telecomunicazioni,
perfino una delle agenzie delle entrate, oltre a svariati comuni
privati. Sai che ridere se io fossi infetto ?!
Per fortuna uso Mac e comunque con internet ci lavoro, ma chi l'ha
mandata mi ha detto 'verifica se è vera, xché negli elenchi di inoltro
ci sono persone importanti' !
Gabriele Polidori

 preda di criminali?
Mah, da profano delle aule di giustizia (sono uno studente), penso che
come prima cosa si debba distinguere il profilo penale da quello civile.
Per il profilo penale si deve guardare al testo unico, che se non
sbaglio prevede la responsabilita' penale solo in caso di danno
aprezzabile. Quindi, come prima cosa, si dovrebbe provare il danno
subito, quindi la violazione del testo unico per quanto riguarda misure
minime di sicurezza ecc.
Per quanto riguarda il civile, va provato il danno e la connessione con
il comportamento o le omissioni di chi pone in essere il servizio.
Il nodo, comunque, penso sia la quantificazione del danno economico
subito, poiche' potrebbe essere decisamente inferiore alla spesa
necessaria per vederlo ripristinato.
Le questioni "di principio", in genere, costano un botto..
My two cents.
-- 
 Candido - 
http://candido2k.blogspot.com/