Newsgroup: it.diritto.internet
Titolo: I miei dati sono in balia di chiunque

Salve a tutti, complimenti per la "trasmissione", vi seguo da un po' e
dalle discussioni ho imparato molte cose interessanti :-) Ho un
quesito da porvi. Ho scoperto che un ente X detiene su un database i
dati di un gruppo di soggetti appartenenti ad una certa categoria.
Tale database, per un (probabile) errore di configurazione dei server,
è accessibile con un "trucco neppure troppo sporco" dall'esterno. In
parole un po' piu' tecniche, mi basta collegarmi con un client Oracle
al loro database server e accedo a tutti i dati (sensibili?) di tutti
gli utenti, avendo possibilità (ma questo non mi è ancora chiaro) di
poterli anche modificare e manipolare. Posto di essere in grado di
dimostrare il buco di sicurezza presente sui server dell'ente X, posso
denunciarli? Avrei diritto ad un risarcimento di qualche tipo? Va
anche detto che non bisogna essere "particolarmente smaliziati" per
trovare la via di accedere a questo database da internet. Non ho
ancora messo al corrente i dirigenti dell'ente del problema, prima
volevo sentire voi :-)
Un saluto,
Dino.
P.S.: potreste mandarmi una copia della vostra risposta anche in
email? con Google è un po' difficile ultimamente accedere ai
messaggi...

 ha scritto nel messaggio
news:5ef14405.03040...@posting.google.com...

** Domanda complessa, risposta non compressissima (pur nei termini
proposti dal quesito).
L'omessa adozione di misure di sicurezza (quelle previste dal
regolamento d.P.R. 318/99) costituisce reato ex art. 36 l. 675/96. Poi
c'e' il *classico* trattamento illecito ex art. 35 l. 657/96 (pero'
non so se questo sia il caso).
In civile, vale quanto previsto dall'art. 18 l. 675/96 che prevede una
specifica ipotesi di diritto al risarcimento dei danni conseguenti il
trattamento. Da notare che, al pari delle ipotesi di reato, sono
risarcibili anche i danni morali.
Un saluto.
--
Daniele Minotti
email 
dan...@minotti.net

 Un saluto.
La ringrazio per la risposta precisa e chiara. Ho trovato il dpr citato
e l'ho letto con interesse. Dal punto di vista tecnico, ci tengo a ribadirlo,
bastano dei comuni strumenti informatici reperibili gratuitamente in rete
e che non necessitano di "particolare scaltrezza" dell'utente. E' anche vero
che i dati non sono gia' "pubblici" e che solo usando questi strumenti si è
in grado di accederli e (cosa secondo me grave) manipolarli. Riassumendo, dunque,
che azioni e' possibile intraprendere contro l'ente in questione?
Grazie ancora,
Dino.



Occhio a non essere te denunciato per accesso abusivo a sistema
informatico.. Purtroppo può succedere (so che è successo negli usa che
hanno leggi diverse dalle nostre, ma teoricamente può succedere) anche se
forse chi ci rimette è l'ente. 
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Il paese da dove veniva non era un paese di geni.
	Loro lo chiamavano computer umano perchè sapeva contare fino a 20.
	Nudo fino a 21

 volevo sentire voi :-)
se io conservo i tuoi dati in ufficio e chiudo la porta a chiave,
vieni a scassinarmelo, secondo te puoi denunciarmi perche'
non ho installato due blindati, tre serrature di sicurezza e quattro
impianti di antifurto?
la stessa cosa vale per un sistema del genere.
Ovviamente se si tratta di dati estremamente delicati,
si presume un minimo di sicurezza in piu' rispetto
all'elenco degli iscritti al club della pipa.
Al limite puoi chiedere all'ente quali criteri adotta
per salvaguardare i tuoi dati, ma nulla di piu'.
Cmq, ribadisco, e' un discorso troppo generico
e per una risposta piu' approfondita servirebbe qualche
dato in piu (tipo di ente, tipo di dati, sistemi di
sicurezza presenti...)
alberto

 impianti di antifurto?
Dalla descrizione sembra che la porta sia chiusa ma senza giro di chiave.
Insomma, basta abbassare la maniglia per entrare.
Di sicuro si tratta di una grave negligenza se neppure una PW viene
richiesta.
Saluti.
Stefano.