Newsgroup: it.diritto.internet
Titolo: obbligo cambiamento passwd per account casella postale

Sono responsabile delle caselle postali di un server posto nell'azienda
dove lavoro.
Ci sono stati problemi di violazione di una casella. Sta intervenendo la
polposta e volevo sapere se per qualche normativa io avrei avuto l'obbligo
di far cambiare la passwd agli utenti, e se si ogni quanto tempo.
Se potete dare riferimento legge.
Please
Grazie a chi mi risponderà
xenam

 Se potete dare riferimento legge.
Legge sulla privacy.

196/03
Password da cambiare ogni 6 mesi (3 se trattate dati sensibili)

Se potete dare riferimento legge.
Nell'allegato B dellalegge sulla privacy trovi:
"La parola chiave, quando è prevista dal sistema di autenticazione, è
composta da almeno otto caratteri oppure, nel caso in cui lo strumento
elettronico non lo permetta, da un numero di caratteri pari al massimo
consentito; essa non contiene riferimenti agevolmente riconducibili
all’incaricato ed è modificata da quest’ultimo al primo utilizzo e,
successivamente, almeno ogni sei mesi. In caso di trattamento di dati
sensibili e di dati giudiziari la parola chiave è modificata almeno
ogni tre mesi."
L'obbigo di cambiamento non è in capo al gestore del sistema, la legge
è generica, non ho trovato nessun riferimento che obblighi il gestore
a forzare la modifica.
Se però non vengono date istruzioni per l'aggiornamento periodico
(regolamento/istruzioni) o se il sistema non lo permette ci possono
essere dei problemi.
Andrea

La responsabilità di un eventuale mancato cambiamento è del
Responsabile del Trattamento dei Dati, che deve essere nominato dalla
dirigenza dell'azienda e a cui deve essere dato il mandato, con firma
per accettazione.
Quindi se non hai firmato per l'incarico, non è un tuo problema

 Se potete dare riferimento legge.
Secondo me non sei tenuto tu. Al massimo avresti potuto informare gli 
utonti di cambiare la password ogni tot, ma sono regole ormai che 
conoscono tutti, anche gli utonti...


Se fai una ricerca su google con "Legge sulla privacy", trovi tutti i
riferimenti normativi

Il responsabile della gestione dati ha l'obbligo di comunicare le
modalità per la gestione della password al conferimento.
Ha anche l'obbligo, sempre secondo la 196/03, di informarli dei rischi
penali e amministrativi a cui vanno incontro in caso di mancanze.
Se sei tu il responsabile, preoccupati.
Sennò, informa chi di dovere (e organizzate la solita burattinata di
regime per far credere che sia tutto ok)

E' stabilita nel disciplinare tecnico per il trattamento dati con mezzi
informatici.
E il buonsenso, nella legge e in particolare in quella italiana, che io
sappia non esiste.


Lo dici a me? :) non sono io che ho chiesto. Io dicevo che se lui è il 
tecnico e non il responsabile allore non ha nessuna responsabilità appunto.

dove lavoro.
Quindi vedi che NON si tratta di caselle private (ad esempio quella che
hai su hotmail) ma al massimo di caselle "personali" per i dipendenti.
In cui evidentemente (rileggiti il messaggio) qualcuno ha fatto casini.
Quanto al buon senso, se una cosa viene richiesta, buon senso o no, la
si fa. punto.

 penali e amministrativi a cui vanno incontro in caso di mancanze.
che rischio penale e amministrativo c'è se uno *per sua spontanea 
volonta'* non cambia la password?  A mio parere nessuno. Non essendoci 
una legge che obbliga l'utonto a cambiare password, non vedo perchè 
debba "inventarsela" qualcuno per mettere nei guai il responsabile della 
gestione dati.
Saluti
RIC

 essere dei problemi.
Esatto

 Quindi se non hai firmato per l'incarico, non è un tuo problema
Non è un suo problema in nessun caso. Non è tenuto per legge a cambiare 
password agli utonti ogni 6 mesi...quindi se anche vuole mantenere a 
tutti gli utenti la stessa password per 10 anni, puo' farlo. 
Saluti
RIC

RIC, belle opinioni, ma opinioni. e sbagliate
non ho con me il disciplinare e scrivo da fuori sede, per cui vado a
memoria
1) L'obbligo di cambiare le password esiste nel caso con quella casella
aziendale si trattino dati riservati. Esempio: Un medico che riceve
prenotazioni via mail, una casella da cui si ricevono mail da
fornitori...
2) Il responsabile del trattamento deve comunicare obblighi, rischi e
sanzioni agli incaricati. C'è per questo una comoda paginetta standard
che ho pure io da qualche parte.
3) Nel caso Xenam fosse il responsabile del trattamento e la casella
fosse stata violata perchè qualcuno si è scritto la password sul
monitor, e lui non può mostrare il foglio per l'accettazione firmato e
in regola, comincia a delinearsi il concetto di "passeri amari"
4) Non dimenticare che qui non si parla di utenti privati ("utonti"
come li chiami tu) ma di una realtà aziendale sottoposta a un regime
obbligatorio per il trattamento dei dati.
5) Il gestore, come ho detto più volte, non deve "forzare la modifica"
della password. Ma è tenuto a comunicare il dovere di cambiarla alla
ricezione da parte dell'utente e ogni 3/6 mesi a seconda dei casi. Non
lo fa perchè è "ovvio" e succedono problemi? Passeri in arrivo.

 lo fa perchč č "ovvio" e succedono problemi? Passeri in arrivo.
Puo' anche mantenere la stessa password per sempre. Non esiste alcun 
obbligo legislativo che gli imponga di cambiarla ogni 6 mesi. 
Saluti
RIC

 tutti gli utenti la stessa password per 10 anni, puo' farlo. 
---8<-------------------------------------------------------------------
5. La parola chiave, quando è prevista dal sistema di autenticazione, è
composta da almeno otto caratteri oppure, nel caso in cui lo strumento
elettronico non lo permetta, da un numero di caratteri pari al massimo
consentito; essa non contiene riferimenti agevolmente riconducibili
all'incaricato ed è modificata da quest'ultimo al primo utilizzo e,
successivamente, almeno ogni sei mesi. In caso di trattamento di dati
sensibili e di dati giudiziari la parola chiave è modificata almeno ogni
tre mesi.
---8<-------------------------------------------------------------------
-- 
 Candido - 
http://candido2k.blogspot.com/

 
Capisco che l'email del medico possa contenere dati riservati, ma mail 
da fornitori mi sembra eccessivo
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Guarda, ti do un consiglio spassionato: ogni tanto, quando parli, fai
qualche pausa.  Saranno le parti piu' interessanti del discorso.
		-- Steve Martin

Candido ha scritto:

Ma chi la deve cambiare, l'utente o (diciamo) il sistemista ?


 Ma chi la deve cambiare, l'utente o (diciamo) il sistemista ?
E' evidente che la deve cambiare l'Incaricato, come chiaramente specificato 
dalla citazione di RIC del punto 5 dell'allegato B (Misure Minime) del D. 
Lgs. 196/03.
Quindi cominciamo subito col dire che la legge *impone* all'Incaricato il 
cambio della password; e ripetiamo, all'Incaricato.
Vi e' poi da dire che, in presenza di un account di posta elettronica, 
sussiste (quasi) sempre un trattamento di dati personali, costituiti 
dall'indirizzo email del mittente in accoppiata con la firma dello stesso. 
Qualora vi fosse la certezza assoluta che questo non possa mai avvenire, 
allora non vi sarebbe trattamento alcuno; facciamo l'esempio di un account 
che riceva solamente newsletter contenenti comunicati stampa o rassegna 
stampa; si tratterebbe di dati destinati alla diffusione provenienti da un 
mittente che, sul filo del rasoio, potremmo anche considerare anonimo, nel 
senso che non e' esplicitamente collegato ad un Interessato.
Ritornando al quesito principale, sarebbe opportuno peraltro verificare il 
contesto nel quale avviene il trattamento. Il punto 5 sopra citato e' Misura 
Minima, e quindi obbligatorio per legge. Pero' in molti altri punti del 
Codice si parla di "misure idonee" a proteggere la riservatezza del dato. 
Ecco quindi che una misura posta in atto dal gestore del sistema di posta 
elettronica tale da segnalare all'utente la scadenza della password puo' ben 
essere considerata una misura idonea, escludendo quindi un possibile carico 
al gestore (responsabile) per "culpa in vigilando", cioe' non aver posto in 
atto quanto necessario per evitare che avvenga la violazione di legge.
In pratica, il gestore/responsabile si e' parato il c..... 

Non è eccessivo.
Le mail sono comunicazioni riservate.
Potrebbero contenere offerte di gara, proposte commerciali...
Potrebbero essere relative ad una causa legale in corso o contenere in
allegato documenti progettuali coperti da segreto aziendale
E ho spulciato solo le prime 10 della mia inbox...

paginetta standard ai suoi utenti? Non mi pare proprio.
E ti pare male. Può non proporre la paginetta standard, ma deve
comunque informarli in modo esaustivo delle sanzioni in cui
incorrerebbe in caso di trattamento errato.

jollyroger ha scritto:

Quindi si ritorna ad una questione che è stata dibattuta all'inizio: 
quando fare il dps?
Da mai (perchè ho solo delle email) a sempre (perchè ho delle email).
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Le donne non hanno mai niente da dire.  Ma lo sanno dire cosi' bene.
		-- Oscar Wilde

 
Domanda: io che sono fornitore di servizi di email (internet provider), 
devo inviare la notifica a tutte le email?
Oppure è l'utente che deve essere a conoscenza di tutta la questione?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- I tuoi gattini sono maschi o femmine?
- Maschi.  Non vedi che hanno i baffi?
		-- Jean Charles

 dato personale e quindi come tale deve essere trattato.
Eh, però ancora lo devo ancora leggere un commento contrario solido...


 che sono parte del sistema di trattamento?
Se l'accesso alla mailbox dipende dall'accesso al sistema, si cambia
solo l'accesso al sistema. Se l'accesso alla mailbox è indipendente
dall'accesso al sistema, IMHO si dovranno cambiare periodicamente
entrambi.
La legge riguarda i "dati", non i "sistemi".
A meno di non affermare che tramite la mail non si effettua alcun
trattamento, ma mi pare un po' azzardata come ipotesi..


 richiesto. Puoi indicarmi esattamente il passo?
Sono curioso anche io..
Saluti
RIC

Il passo è già stato citato almeno 2 volte in questo thread.

trattamento, ma mi pare un po' azzardata come ipotesi..
Infatti ad ogni casella deve essere associata una password diversa,
modificata dall'utente al conferimento ecc. ecc.

 diritto italiano* devono essere trattate analogamente...
Come ogni trattamento..
