Newsgroup: it.diritto.internet
Titolo: Controllo log su richiesta dell'azienda.

Ciao a tutti,
Se mi trovassi ad  affrontare una richiesta di analisi dei log di un
proxy server su richiesta del titolare di una azienda titolare della
rete adsl, in qualità di amministratore di rete e consulente
informatico, come devo difendermi al fine di non essere denunciato dal
dipendente (sospettato di utilizzo personale del computer e internet
durante l'orario di lavoro) per violazione della privacy?
Avete un articolo o un sito che parla di questo argomento in
particolare? Ossia l'analisi della navigazione in internet addirittura
eseguita da personale non autorizzato all'uso del pc?
Ciao

 durante l'orario di lavoro) per violazione della privacy?
Non è violazione della privacy. E' violazione della L.300/70, il cui
articolo 4 recita:
"ART. 4 - Impianti audiovisivi. -- È vietato l'uso di impianti audiovisivi e
di altre apparecchiature per finalità di controllo a distanza dell'attività
dei lavoratori.
Gli impianti e le apparecchiature di controllo che siano richiesti da
esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma
dai quali derivi anche la possibilità di controllo a distanza dell'attività
dei lavoratori, possono essere installati soltanto previo accordo con le
rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la
commissione interna. In difetto di accordo, su istanza del datore di lavoro,
provvede l'Ispettorato del lavoro, dettando, ove occorra, le modalità per
l'uso di tali impianti........"
Non so se sia meglio o peggio.

 Non so se sia meglio o peggio.
Vero. Tuttavia la Cassazione ha recentemente rivoluzionato la portata
dell'art. 4 affermando la piena liceità dei controlli difensivi, volti cioè
ad accertare eventuali illeciti da parte dei dipendenti nell'utilizzo degli
strumenti messi a disposizione dal datore. Inoltre lo stesso art. 4 al
secondo comma, anche con una interpretazione restrittiva ammette il
controllo preterintenzionale (con l'accordo delle rsu o della Commissione o
in mancanza su provvedimento della Direzione del lavoro su istanza del
datore).
Ai fini della privacy non c'è un indirizzo sicuro ma secondo le indicazioni
del Garante una privacy policy chiara, che sia comunicata ai dipendenti e
antecedente al controllo dovrebbe legittimare il controllo (forse è +
corretto dire l'ultilizzo che a sua volta permette il controllo) degli
strumenti aziendali (discorso che non vale per la mail personale del
dipendente che rimane nella esclusiva titolarità dello stesso).
Paolo


Ok. Ma  il consulente incaricato allo spulcio dei log,
indipendentemente dal fatto che il datore di lavoro abbia o non abbia
rispettato le procedure di cui sopra, se autorizzato per iscritto
dalla società richiedente il controllo, si trova anch'egli in difetto?
Geppetto

 cioè ad accertare eventuali illeciti da parte dei dipendenti nell'utilizzo 
Potrsti fornire gli estremi di questa sentenza?
Fabio

 Potrsti fornire gli estremi di questa sentenza?
Con riferimento all'utilizzo del  telefono aziendale: Cass. sent. 4746 del
2002.
Paolo

 Cass. sent. 4746 del 2002.
Grazie, dopo la cerco.
Fabio

 dalla società richiedente il controllo, si trova anch'egli in difetto?
Eh... su questo penso che l'Avv. Minotti possa essere + preciso (io mi sono
appena laureato)...
Per quanto inerisce la legge sulla privacy dovresti essere considerato un
semplice incaricato (cioè chi svolge materialmente l'attività di
trattamento), come tale agisci sotto la direzione e in base alle istruzioni
impartite dal titolare del trattamento (in questo caso il datore):
nonostante l'art. 35 della 675/96 con riferimento alle sanzioni in caso di
trattamento illeggittimo fa riferimento a "chiunque , al fine di trarne per
sé o per altri profitto o di recare ad altri un danno, procede al
trattamento di dati personali in violazione di quanto disposto dagli
articoli 11...." (sempre che si possa ritenere l'attività dell'incaricato
rientrante nel campo di applicazione della norma).
penso che la responsabilità sia esclusivamente del titolare del trattamento
e non anche del semplice incaricato su cui non si può ipotizzare un obbligo
di indagine in ordine al rispetto delle norme di cui la legge 675 da parte
del datore di lavoro .
Paolo

per fabio:
la sentenza richiamata la trovi qui
http://www.filodiritto.com/notizieaggiornamenti/30maggio2002/senCassusopriva
totelefonoaziendale.htm
poi il transcrime di trento si occupa spesso di questi problemi, prova a
vedere
http://www.questotrentino.it/2001/21/Trans_Cyberslacking.htm
oppure puoi dare un'occhiata
http://www.privacy.it/garantenew20020205.html
mentre
su 
http://www.privacy.it/queprild.html
 ho estratto:
Domanda: Un'azienda che fornisce ai dipendenti un collegamento ad Internet
per esigenze di servizio, può poi servirsi del "log" che registra gli
accessi ai singoli siti ed usarlo contro il dipendente stesso nel caso di
accessi ritenuti non di pertinenza aziendale?
Risposta: In linea generale tale tipo di controllo non è permesso, posto che
lo Statuto dei lavoratori stabilisce i divieti dell'installazione di
impianti audiovisivi o altri strumenti di controllo a distanza e di indagini
sulle opinioni, a tutela del diritto alla riservatezza del dipendente sul
luogo di lavoro, al fine di tutelare la libertà e la dignità dello stesso
(privacy compresa).
L'impiego di strumenti di controllo a distanza (nella specie i logs, ma
anche i bookmarks o la cache memory) deve rispondere a precise esigenze di
sicurezza e organizzazione del lavoro e deve essere comunque concordato con
le rappresentanze sindacali, come previsto dallo Statuto dei Lavoratori.
Nel caso in cui tali strumenti di controllo a distanza vengano installati,
sarà anche necessario rispettare i principi sanciti dalla legge n. 675/1996
e, in particolare, sarà, necessario fornire ai dipendenti l'informativa di
cui all'art. 10, richiedere loro il consenso al trattamento dei dati (ex
art. 11) e, infine, rispettare l'art. 9 della stessa legge.
invece per la mail aziendale
http://www.ricercagiuridica.com/sentenze/visual.asp?num=458
ciao by carlo

 art. 11) e, infine, rispettare l'art. 9 della stessa legge.
Vero ma il problema prospettato da fabio è l'eventuale responsabilità
dell'incaricato in caso di trattamento illegittimo. Cosa pensi al
riguardo(soprattutto nell'eventuale conoscenza dell'illegittimità del
trattamento)?
Ciao
Paolo

> http://[...]
Grazie per i link, mi hai risparmiato un po' di tempo :-)
Con # quoto i contebuti del sito citato:
# esigenze di sicurezza e organizzazione del lavoro e deve essere 
# comunque concordato con le rappresentanze sindacali, come previsto 
# dallo Statuto dei Lavoratori.
Secondo me un dei problemi e' qui, come avevo gia' commentato in
passato: non mi sembra che bastino le informative ai dipendenti.
 
# Nel caso in cui tali strumenti di controllo a distanza vengano 
# installati, sarà anche necessario rispettare i principi sanciti 
# dalla legge n. 675/1996 e, in particolare, sarà, necessario 
# fornire ai dipendenti l'informativa di cui all'art. 10, richiedere 
# loro il consenso al trattamento dei dati (ex art. 11) e, infine, 
# rispettare l'art. 9 della stessa legge.
Questa necessita', invece, non l'ho mai compresa appieno, sia in
termini di trattamento (si puo' configurare un "trattamento" nel
tipo di attivita' che puo' essere eseguito in quest'ambito?) sia
in termini di "dato personale" (chiaramente mi sfuggono numerose
implicazioni riguardati il concetto di "dato personale": qual'e'
il dato personale che viene trattato? Cosa dovrebbe contenere la
informativa?).
Fabio

 trattamento)?
Veramente e' mastrogeppetto che ha posto il quesito ;-) Anche se
un eventuale parere interessa anche a me, ovviamente.
Fabio

xxx scrive:
Vero ma il problema prospettato da fabio è l'eventuale responsabilità
dell'incaricato in caso di trattamento illegittimo. Cosa pensi al
riguardo(soprattutto nell'eventuale conoscenza dell'illegittimità del
trattamento)?
carlo risponde:
secondo il mio punto di vista, che è aderente alla giurisprudenza
(avevo riportato nella mail precedente un estratto di un sito
per correttezza di informazione) il controllo è legittimo dal punto di vista
giuridico. il problema, come ho già evidenziato in altro contesto
su questo stesso ng, è stabilire dei "paletti" tecnico-giuridici aderenti
alla legge,
ovvero un "giusto" metodo nel controllo, che deve avere delle garanzie.
ad esempio file di log creati in automatico e criptati, la cui visione deve
essere effettuata con doppia chiave privata oltre quella pubblica (quella
del
sistemista delegato dal responsabile della 675 e dal responsabile stesso) la
cui
visione deve essere cristallizata in un documento
accessibile per successivi controlli di legittimità.
ci sono reti aziendali di serie c dove, a seguito di una perquisizione
per un reato consumato da un dipendente, non si sa neanche chi sia stato!
vorrei ricordare che, ferma la responsabilità dell'autore del comportamento
illecito, il nostro ordinamento penale prevede infatti la categoria dei
cosiddetti
"reati omissivi impropri" (art. 40 cpv c.p.) che si concretizzano nella
violazione
di un generico obbligo giuridico di impedire determinati eventi dannosi.
quindi qui tocchiamo un altro tasto, ovvero la procedura di login
del dipendente, che deve essere tipo badge et similia, con password,
o con doongle, chi più ne ha più ne metta.
è solo un punto di vista...
carlo

x fabio
http://www.fisica.unipg.it/webfisica/sicurreg.htm
questo per me è un ottimo sistema.
carlo

 eventi dannosi.
Questo e' molto interessante.
Fabio

> 
http://www.fisica.unipg.it/webfisica/sicurreg.htm
E' un documento interessante, anche se nella parte tecnica ci sono
alcuni aspetti datati e qualche ingenuita'. 
Dal punto di vista legale son presenti un paio di aspetti che sono
ricorrenti in documenti di questo tipo e che non mi sono chiari:
- ha senso riportare nei documenti di questo tipo una clausola che
  vieta espresamente l'esecuzione di attivita' illegali?
- viene stabilito che la sicurezza dei sistemi del dipartimento e'
  affidata all'ente ma, tra le responsabilita' degli utenti, viene
  riportato che gli utenti sono i responsabili della sicurezza dei
  dati. Quale differenza passa tra la sicurezza di un sistema e la
  sicurezza dei dati che contiene?
- documenti dai contenuti prescrittivi, come questo, che impongono
  o consigliano, al fine di garantire sicurezza, comportamenti che
  possono andare nella direzione opposta, o che non raggiungono lo
  scopo, quale peso hanno, qualora un utente che ne ha accettato i 
  contenuti si comporti diversamente, non seguendo la prescrizione 
  ma perseguendo in modo corretto lo scopo della stessa?
Forse alcuni punti sono troppo generici e temo che non ne esistano
di risposte altrettanto generiche.
Fabio

 Delegato o autorizzato? O non c'e una differenza sostanziale?
""
Le eventuali responsabilità penali per la violazione di alcuni articoli
delle leggi precedentemente indicate potrebbero essere assunte
da un "Delegato alla sicurezza informatica" purché la delega
risulti da atto scritto e sia accettata dal delegato, soggetto tecnicamente
competente, qualificato e idoneo allo svolgimento dei compiti assegnatigli.
Infine il D.P.R. n. 318 del 28 luglio 1999, avente ad oggetto le
"Misure Minime di sicurezza", definisce le stesse come il "complesso
delle misure tecniche, informatiche, organizzative, logistiche e procedurali
di  sicurezza, previste  nel  presente regolamento, che configurano  il
livello
minimo di protezione richiesto in relazione ai rischi previsti dall'articolo
15, comma 1,
della legge (L. 675/96, ndr)".
"""
in questo contesto ci sono i log, la loro "visione", la loro "manutenzione",
la loro
efficacia probatoria e la garanzia di un "anonimato protetto" da parte del
lavoratore.
carlo

   ma perseguendo in modo corretto lo scopo della stessa?
e mette a repentaglio la sicurezza informatica senza danno ci sono le
eventuali
sanzioni disciplinari, se c'è danno c'è il risarcimento, se c'è
reato....etc.
carlo