Provvedimenti a carattere generale 27 novembre 2008 Bollettino del n. 0/novembre 2008, pag. 0

Transcript

1 Provvedimenti a carattere generale 27 novembre 2008 Bollettino del n. 0/novembre 2008, pag. 0

2 Devono essere adottati sistemi idonei alla registrazione logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo di verifica per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi. Sanzioni: Da fino a un massimo di (Art. 162 comma 2-ter, in riferimento all art.154 Violazione articolo 154 della NUOVA legge sulla privacy n. 166 del 20 novembre 2009 ) (Comma aggiunto dalla legge 27 febbraio 2009, n. 14 di conversione, con modificazioni, del decreto-legge n. 207 del 30 dicembre 2008) In caso di volumi dati di particolare rilevanza si va a (IN TUTTI I CASI NON SONO AMMESSI PAGAMENTI IN MISURA RIDOTTA) REATO PENALE Vi sono anche parecchi casi per i quali sono contemplate imputazioni penali anche molto pesanti. Ad esempio fughe di dati non autorizzate (Prendersi i dati del cliente su chiavetta se non dietro a previa autorizzazione scritta e controfirmata dal management aziendale). In tal caso, se la parte lesa nega di aver rilasciato i dati volontariamente e con debita autorizzazione, ne verrà ritenuto responsabile la terza parte in possesso dei dati trafugati.

3 Dato personale: Qualsiasi informazione che riguardi persone, società, enti, associazioni identificati o che possano essere identificati anche attraverso altre informazioni, ad esempio, attraverso un numero o un codice identificativo. Sono dati personali: Nome e cognome o denominazione; indirizzo o sede; codice fiscale; ma anche una foto, la registrazione della voce di una persona, la sua impronta digitale o vocale. La persona può essere infatti identificata anche attraverso altre informazioni (ad es., associando la registrazione della voce di una persona alla sua immagine, oppure alle circostanze in cui la registrazione è stata effettuata: luogo, ora, situazione).

4 Dato sensibile: Un dato personale che, per la sua delicatezza, richiede particolari cautele: sono dati sensibili quelli che possono rivelare l'origine razziale ed etnica, le convinzioni religiose o di altra natura, le opinioni politiche, l'adesione a partiti, sindacati o associazioni, lo stato di salute e la vita sessuale delle persone. Dato giudiziario: I dati personali che rivelano l'esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale (quali, ad es., i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione). Rientrano in questa categoria anche la qualità di imputato o di indagato. Per una elencazione completa dei dati definiti giudiziari si veda la definizione contenuta nell'art. 4, comma 1, lettera e) del Codice. QUINDI SONO TUTTI DATI PERSONALI CHE RIENTRANO NELLA NORMATIVA E NEGLI OBBLIGHI DI TUTELA SOPRAELENCATI

5 In sostanza si devono loggare : 1. Tutti gli accessi di utenze con deleghe a livello amministrativo a quei sistemi che contengono dati personali relativi a persone fisiche e/o a persone giuridiche. 2. Modalità di accesso: Logon interattivi/batch (Procedure software) Accessi diretti ai dati o per motivi di management a servizi quali: Fileshare, database, etc (Basta che il tipo di accesso effettuato abbia diritti amministrativi).

6 Solo server? Client di server? Pc in rete senza server? PC singoli? Dalle faq 3 e 4 del provvedimento LOG DEGLI ACCESSI SI: Server di rete con dati personali PC client di server di rete con dati personali ( Non serve che i dati risiedano fisicamente sul pc, è sufficiente che se ne abbia l accesso). PC in rete senza server (workgroup) basta che su uno di questi vi siano dati personali e se abbia la possibilità di accesso anche dalle altre postazioni. LOG DEGLI ACCESSI NO (Non sempre però): PC singolo con dati personali con il titolare d impresa come amministratore unico del sistema ove non vi sia una rete locale di alcun tipo. Solitamente in questo caso non vi è l obbligo di applicare il provvedimento. Se vi sono più persone ad accedere al sistema l esonero decade.

7 FAQ Il caso di uso esclusivo di un personal computer da parte di un solo amministratore di sistema rientra nell'ambito applicativo del provvedimento? Non è possibile rispondere in generale. In diversi casi, anche con un personal computer possono essere effettuati delicati trattamenti rispetto ai quali il titolare ha il dovere di prevedere e mettere in atto anche le misure e gli accorgimenti previsti nel provvedimento. Nel caso-limite di un titolare che svolga funzioni di unico amministratore di sistema, come può accadere in piccolissime realtà d'impresa, non si applicheranno le previsioni relative alla verifica delle attività dell amministratore né la tenuta del log informatici. Relativamente all'obbligo di registrazione logici degli AdS, sono compresi anche i sistemi client oltre che quelli server? Si, anche i client, intesi come "postazioni di lavoro informatizzate", sono compresi tra i sistemi per cui devono essere registrati gli accessi degli AdS. Nei casi più semplici tale requisito può essere soddisfatto tramite funzionalità già disponibili nei più diffusi sistemi operativi, senza richiedere necessariamente l'uso di strumenti software o hardware aggiuntivi. Per esempio, la registrazione locale dei dati di accesso su una postazione, in determinati contesti, può essere ritenuta idonea al corretto adempimento qualora goda di sufficienti garanzie di integrità. Sarà comunque con valutazione del titolare che dovrà essere considerata l'idoneità degli strumenti disponibili oppure l'adozione di strumenti più sofisticati, quali la raccolta dei log centralizzata e l'utilizzo di dispositivi non riscrivibili o di tecniche crittografiche per la verifica dell'integrità delle registrazioni.

8