Newsgroup: it.diritto.internet
Titolo: privacy e uso illegale dei computer di lavoro

Gradirei un parere legale su questo fatto :
 - un utente di un computer di un istituto del Consiglio Nazionale
   delle Ricerche (CNR) usa tale computer, e la rete del suo
   istituto (connessa al GARR) per scaricare in modo massiccio dei files
   mp3 o DVD o altra cosa NON legata al suo lavoro
 - a prescindere dal fatto se tale utente sia parte del personale
   del CNR (che e' tenuto a non usare dei mezzi dell'istituto se
   non per i fini istituzionali, e deve avere preso visione di
   circolari dell'ente che dicono questo) oppure sia un ospite di
   qualsivoglia natura (studente, contrattista ...), che comunque
   non dovrebbe avere "diritti" maggiori del dipendente
 - considerato che le norme GARR dicono che l'accesso alla rete lo
   si fa per ricerca (
http://www.garr.it/docs/garr-b-aup.shtml
)
 - il network manager dell'area CNR nota il traffico anomalo (che
   e' un sovraccarico della rete e disturba tutti gli altri
   istituti)
 - il network manager, non avendo modo di identificare la persona,
   manda un mail circolare a tutto l'istituto in cui include il
   numero IP e nome della macchina usata illegalmente
Quanto sopra costituisce in qualche modo una violazione della legge
sulla privacy (675/96 sul trattamento dei dati personali) ?
Quanto sopra e' in qualche modo censurabile ?
E se il network manager avesse invece informato solo il direttore
dell'istituto, o il referente del calcolo dell'istituto ?
[la questione e' stata sollevata sulla lista dei referenti dei vari
istituti]
Vi e' qualche differenza tra il fatto di cui sopra, oppure il fatto
(realmente capitato) che la amministrazione di un istituto si accorga di
bollette telefoniche anomale, d'accordo con il direttore faccia
esaminare i tabulati del centralino e scopra un numero di chiamate
internazionali (in Africa) da un interno posto in un locale di una
officina sotterranea fatte in orario notturno. Dopo di che appurato con
le persone che normalmente lavorano in tale officina che ovviamente non
sono stati loro, si conclude che che e' stato un intruso, e si provvede
a disabilitare le internazionali da tale interno.
-- 
----------------------------------------------------------------------
nos...@ifctr.mi.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.


A rigore, la legge 675/96 autorizza a fare uso dei dati personali, 
ammesso che tra essi debba
ricomprendersi l'IP (come personalmente ritengo) per finalità 
strettamente personali, tra le quali deve ritenersi possa rientrare 
anche la facoltà di tutelare un diritto, quello di impedire 
l'appropriazione indebita di un servizio che appartiene al C.N.R., in 
via stragiudiziale. Tuttavia, anche in questo caso i dipendenti dovevano 
essere informati, ai sensi dell'art. 10, che si sarebbero raccolti i 
dati relativi ai loro accessi ai computers, e dovevano essere indicate 
le eventuali finalità dell'uso di questi dati, tra cui se del caso anche 
quella di ricorrere a queste forme anomale da scuola media, del tipo "se 
non si fa avanti chi l'ha fatto ci passano tutti", di giustizia "fai da te".
Il problema cmq sta nel manico, perché siamo pieni di internet providers 
e gestori di reti varie che, con dotte disquisizioni tecniche di cui non 
comprendiamo una mazza, ci dicono che l'IP non è dato personale, anche 
se si scopre poi che tale affermazione discende dalle difficoltà 
tecniche, peraltro, presumo, non insuperabili, che a loro deriverebbero 
dal fatto di non poter pubblicare gli IP, mentre che questo sia dato 
personale nel senso evidenziato dall'art. 1 della legge 675/96, ossia 
che si tratti di un dato idoneo, anche indirettamente, a identificare 
una persona, non ci piove.
Come sanno bene certi hackers delinquenti!

una persona, non ci piove.
No. Gli indirizzi IP identificano zero, uno o più nodi della rete, non
delle persone.
(Io prometto di non insegnarti il codice, tu restituiscimi la cortesia
ed in cambio evita di insegnarmi il networking, soprattutto se "non ne
comprendi una mazza"...)
-- 
ciao,
Marco

 tecniche, peraltro, presumo, non insuperabili, che a loro deriverebbero
beh a me almeno nel nostro caso mi pare ovvio che non si possa fare
associazione IP-persona, per gli esempi di cui sopra.
Come non e' detto che lo si possa fare per un telefono interno (si veda
l'esempio citato dell'officina), o al limite nemmeno per una stanza
(mettiamo che uno si lamenti in pubblico perche' qualcuno nella stanza
47 tiene una radio ad alto volume ... ma magari la stanza 47 e' una
stanza studenti ... violazione della privacy anche li' ?)
