Ripasso sulla Privacy. Dr. Antonio Piva

Transcript

1 Ripasso sulla Privacy Dr. Antonio Piva 1

2 Tema: Evoluzione della Privacy Conoscere l'origine del diritto alla privacy, l'origine del concetto: the right to privacy ; (dalla nascita alla Direttiva Europea 95/46/CE) La nozione di Privacy nasce nel 1890 negli USA, grazie o a causa di un innovazione tecnologica! Due Avvocati S. D. Brandeis e L. D. Warren pubblicarono un articolo The Right to Privacy nella rivista Harward Law Review. La privacy fu allora definita come il Diritto di essere lasciati soli, a non subire nella propria sfera privata le interferenze provenienti dall esterno soprattutto con l avvento del progresso tecnologico (mezzi di informazione). Gli obiettivi della tutela della privacy (diritti personalissimi dell individuo), di fatto oggi sono: - interesse a non fare circolare informazioni personali (senza consenso); - interesse a controllare l utilizzazione delle informazioni personali, quando sono state acquisite da terzi; -interesse a fare cessare l utilizzazione dei dati acquisiti; La nascita e l evoluzione della privacy sono strettamente connesse allo sviluppo tecnologico e all utilizzo dei nuovi mezzi messi a disposizione all interno della società e quindi tale evoluzione tecnologica impone un continuo aggiornamento dei principi e delle modalità di protezione dei dati personali. 2

3 Tema: Evoluzione della Privacy : Comprendere le principali linee guida e interventi legislativi internazionali, il ruolo dell'o.c.s.e. e del Consiglio d'europa, la Convenzione di Strasburgo Si sviluppa poi una nuova concezione della privacy, quale diritto della persona di avere dominio esclusivo sulle informazioni che la riguardano, anche quando vengono condivise da altre persone o raccolte in banche dati. Questo concetto di privacy trova il suo riconoscimento già all inizio degli anni ottanta in: - linee guida dell OCSE (Organizzazione per la Cooperazione e per la Sicurezza in Europa) del 1980; - Convenzione del Consiglio d Europa del 28 gennaio 1981 sulla protezione delle persone. A ciò si aggiungono i concetti sviluppati in Francia e soprattutto in Germania per arrivare al concetto, in tema di privacy, di: Autodeterminazione informativa da intendersi come: il diritto di un individuo di decidere da se circa la cessione e l uso dei propri dati personali Negli anni novanta si svilupparono così le moderne legislazioni a tutela del trattamento (anche automatizzato) dei dati personali. 3

4 Tema: Evoluzione della Privacy : Conoscere l evoluzione del diritto alla privacy in Italia La Direttiva Europea 95/46, recepita dall Italia dalla legge 675 del , rappresenta il primo intervento legislativo in materia di privacy in Italia, dove la protezione dei dati personali è soggetta ad un evoluzione costante con continue integrazioni e modifiche ad opera del legislatore. Questa legge era anche necessaria per rispettare gli accordi di Shengen e ratificare la Convenzione di Strasburgo e permise inoltre di istituire la figura del Garante per la protezione dei dati personali. La direttiva è intesa a proteggere i diritti e le libertà delle persone, stabilendo i seguenti principi: - Legittimazione del trattamento dei dati, ovvero trattamento effettuato solo con il consenso esplicito dell interessato; - Informazione delle persone interessate dal trattamento dei dati da parte del titolare; - Diritto di accesso ai dati, ovvero gli interessati hanno il diritto di ottenere da parte del responsabile: -la conferma dell esistenza o meno dei trattamenti di dati che lo riguardano e la comunicazione dei dati; - la rettifica, cancellazione o blocco dei dati il cui trattamento non è conforme alla direttiva; - Diritto di opposizione ai trattamenti dei dati, ovvero l interessato ha il diritto di opporsi per ragioni legittime, al trattamento dei dati che lo riguardano. 4

5 Tema: La Normativa nazionale sulla Privacy : Sapere quali sono i principi fondamentali (finalità, necessità, liceità, correttezza, proporzionalità, completezza, non eccedenza) Il nuovo testo unico Principi fondamentali Dal 1 gennaio 2004 è in vigore il Codice in materia di protezione dei dati personali, D.Lgs. 196 del 30 giugno Finalità, Necessità, Liceità, Correttezza, Proporzionalità. Finalità Principio di necessità Il Codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà personali, nonché della dignità dell interessato con particolare riferimento alla riservatezza, all idoneità personale e al diritto alla protezione dei dati personali. Il tutto deve avvenire secondo principi di armonizzazione, semplificazione ed efficacia delle modalità previste per la tenuta dei dati. I sistemi operativi e i programmi informatici sono configurati riducendo al minimo l utilizzazione dei dati personali e di dati identificativi, in modo di escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. 5

6 Tema: La Normativa nazionale sulla Privacy : Conoscere le principali definizioni Si definisce «trattamento»: qualunque operazione o complesso di operazioni, svolti con o senza l ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati. Si definisce «dato personale»: qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Si definiscono «dati identificativi»: i dati personali che permettono l identificazione diretta dell interessato. 6

7 Tema: La Normativa nazionale sulla Privacy : Comprendere le tipologie di dati (personali, sensibili, quasi sensibili, giudiziari, anonimi) Si definisce «dato anonimo»: il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile. Si definiscono «dati sensibili»: i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Si definiscono «dati giudiziari»: i dati personali idonei a rivelare provvedimenti di cui all articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale. Si definiscono «dati quasi - sensibili»: i dati personali diversi da quelli sensibili e giudiziari il cui trattamento può comportare rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dell interessato, in relazione alla natura dei dati o alle modalità di trattamento o agli effetti che può determinare. 7

8 Tema: La Normativa nazionale sulla Privacy : Identificare e riconoscere i ruoli delle figure previste (interessato, titolare, responsabile, incaricato), redigere e valutare le nomine Si definisce «Titolare del trattamento»: la persona fisica o giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo, cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. Si definisce «Responsabile del trattamento» : la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali. Il Responsabile non è una funzione obbligatoria per legge, ma è una figura molto importante, in quanto affianca il titolare per compiti e responsabilità, in grado di soddisfare esigenze tecnico-pratiche connesse al trattamento. Il profilo imposto dalla legge conduce necessariamente il responsabile a rispondere nella stessa misura del titolare, alle manchevolezze del suo operato. 8

9 Tema: La Normativa nazionale sulla Privacy : Identificare e riconoscere i ruoli delle figure previste (interessato, titolare, responsabile, incaricato), redigere e valutare le nomine Si definisce «Incaricato del trattamento»: è la persona fisica autorizzata a compiere operazioni di trattamento dal titolare o dal responsabile. È dunque il soggetto che materialmente esegue le singole operazioni di trattamento. L incaricato non ha alcuna responsabilità di fronte la legge e le conseguenze di un eventuale inadempimento ricadono sempre sui soggetti alla cui autorità è sottoposto, i quali in un secondo momento potranno rivalersi sull incaricato in questione. Pertanto è consigliata una selezione particolare per la loro identificazione ed inoltre la loro sensibilizzazione in merito alla riservatezza delle informazioni anche tramite adeguato addestramento e formazione. La nomina è disciplinata dall art. 30, comma 2, il quale stabilisce che la designazione deve essere fatta per iscritto e deve individuare l ambito del trattamento consentito per ciascun incaricato. Si definisce «Interessato del trattamento»: la persona fisica cui si riferiscono i dati personali. 9

10 Tema: La Normativa nazionale sulla Privacy : Conoscere e valutare l'informativa (definizione, funzione, contenuti minimi obbligatori, le modalità di rilascio, i casi particolari) Contenuti: Finalità e modalità del trattamento; Funzione della Normativa Essa costituisce lo strumento principale a disposizione dell interessato per esercitare il controllo sul flusso dei dati. Natura obbligatoria o facoltativa di conferimento dei dati; Conseguenze di un eventuale rifiuto di rispondere; Soggetti o categorie di soggetti a cui i dati sono comunicati o che possono venire a conoscenza in qualità di responsabili o incaricati o l ambito di diffusione degli stessi; I diritti dell interessato, indicati all art. 7 del Codice; Nome, denominazione sociale, residenza o sede del titolare e di almeno un responsabile; Le categorie di dati trattati, se questi sono raccolti presso terzi; Indicazioni specifiche per categorie di soggetti. 10

11 Tema: La Normativa nazionale sulla Privacy : Comprendere il significato della comunicazione e diffusione dei dati. Si definisce «comunicazione»: il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. Osserviamo che non è considerata comunicazione la conoscenza dei dati personali da parte delle persone incaricate, per iscritto, a compiere operazioni di trattamento. Si definisce «diffusione»: il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. A differenza della comunicazione, l ambito di diffusione è più vago in quanto i soggetti terzi non sono identificabili singolarmente. 11

12 Tema: La Normativa nazionale sulla Privacy : Conoscere il consenso (funzione, contenuti e forma, il consenso nel trattamento dei dati sensibili, il rapporto tra consenso e informativa, i casi di esclusione) Il consenso è un altro elemento fondamentale introdotto a livello internazionale per la protezione dei dati personali. Il trattamento dei dati è ammesso in via generale solo con il consenso espresso dell interessato. Ciò significa che deve essere manifestata una volontà chiara ed esplicita da parte dell interessato (non basta il consenso implicito). Il consenso può riferirsi sia all intero trattamento dei dati, sia ad una o più operazioni dello stesso (comma 2); pertanto i dati trattati dal titolare dell operazione di raccolta, ma oggetto di comunicazione a terzi, necessitano della richiesta sia del consenso per la raccolta sia di quello per la comunicazione a terzi. Il consenso può considerarsi valido solo se espresso liberamente, in forma specifica e documentata per iscritto e se è stata resa l informativa. Si conferma quindi il principio di sovranità dell interessato. In alcuni casi di trattamento di dati sensibili, il titolare viene esonerato dal richiedere il consenso: - quando il trattamento è effettuato da associazioni, enti od organismi senza scopo di lucro; - quando il trattamento è necessario per la salvaguardia della vita o dell incolumità fisica di un terzo; - quando il trattamento è necessario ai fini di svolgimento delle investigazioni difensive; - quando è necessario per adempiere a specifici obblighi o compiti previsti dalla legge. 12

13 Tema: La Normativa nazionale sulla Privacy : Essere consapevoli del diritto alla protezione dei dati personali e dei diritti degli interessati Il codice ha riservato un intero articolo (Art. 7) per definire i diritti di cui l interessato gode per poter controllare la correttezza e liceità dei trattamenti dei suoi dati da parte dei soggetti che li hanno direttamente o indirettamente raccolti. In sintesi i diritti dell interessato sono: -Diritto di accesso, ossia il diritto di ottenere la conferma dell esistenza o meno dei dati personali che lo riguardano e in particolare ha il diritto di conoscere: - l origine dei dati; - le finalità e le modalità del trattamento; - la logica applicata in caso di trattamento automatizzato (criterio di elaborazione); - gli estremi identificativi del titolare e degli eventuali responsabili; - i soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati; - Diritto di interdizione, ovvero la facoltà di ottenere l aggiornamento, la rettifica e l integrazione dei dati; - Diritto di inibizione, ovvero la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione della legge; - Diritto di opposizione ai trattamenti leciti in presenza di motivi legittimi e nel caso di invio di materiale pubblicitario o vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale. 13

14 Tema: L'Autorità Garante per la tutela dei dati personali : Conoscere funzioni del Garante della privacy, segnalazioni, reclami e ricorsi, controlli, provvedimenti, notifica al Garante L Autorità Garante per la protezione dei dati personali, nasce in quanto espressamente richiesta dalla Direttiva Europea 95/46/CE. Si sottolinea l indipendenza e autonomia di giudizio e valutazione del Garante, dotato infatti di propria soggettività giuridica e slegato da influenze politiche. Tale organo esercita il suo potere di vigilanza e i suoi compiti di garanzia e controllo sull attuazione della norma in materia di privacy agendo in piena libertà, autogovernandosi e decidendo autonomamente le proprie linee di condotta. In particolare le competenze sono: - controllare se i trattamenti sono effettuati nel rispetto della disciplina applicabile; - segnalare ai titolari le modificazioni per ottemperare alla norma; - esaminare i reclami e le segnalazioni e provvedere sui ricorsi presentati dagli interessati; - adottare provvedimenti; - vigilare sui casi di cessazione; - vietare, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco; - segnalare al governo l opportunità di provvedimenti; - predisporre annualmente la relazione sull attività e stato di applicazione delle norme; - esercitare il controllo sui trattamenti mediante visita ed ispezioni; - occuparsi delle autorizzazioni individuali e generali per esempio sul trattamento dei dati sensibili; - emettere pareri consulenziali offerti in caso di situazioni inerenti la privacy. 14

15 Tema: Specifici settori di trattamento : Comprendere il trattamento dei soggetti pubblici e le finalità di rilevante interesse pubblico; il trattamento in anagrafi ed elettorale; scopi storici e scientifici L art. 18, relativamente ai principi di trattamento applicabili ai soggetti pubblici, precisa che il trattamento dei dati personali è consentito solo per lo svolgimento delle funzioni istituzionali osservando i presupposti e limiti sanciti dal Codice; vieta così ai soggetti pubblici di inventarsi nuove finalità e trattamenti che non trovino giustificazione in una legge o regolamento. Il trattamento dei dati diversi da quelli sensibili e giudiziari è consentito per quelle attività di minore impatto, anche in mancanza di una legge o regolamento; mentre per il trattamento di dati sensibili è necessaria un espressa disposizione di legge in cui siano specificati i tipi di dati trattati, le operazioni eseguibili e le finalità di rilevante interesse pubblico perseguite. Le finalità di rilevante interesse pubblico sono: - accesso a documenti amministrativi al fine di favorire la partecipazione e di assicurarne l imparzialità e la trasparenza; - tenuta degli atti e dei registri dello stato civile, delle anagrafi della popolazione residente in Italia e dei cittadini italiani residenti all estero, delle liste elettorali; - rilascio e rinnovo di visti, permessi, attestazioni, autorizzazioni e documenti di tipo sanitario per cittadinanza ed immigrazione, riconoscimento del diritto di asilo o dello status di rifugiato, obblighi dei datori di lavoro o dei lavoratori e applicazione delle norme in materia di istruzione e alloggio; - elettorato attivo e passivo, di esercizio di altri diritti politici e documentazione dell attività istituzionale di organi pubblici; - riconoscimento dei benefici economici, concessione di contributi e riconoscimento di esoneri o agevolazioni fiscali; - rapporti istituzionali con enti di culto, confessioni religiose e comunità religiose. 15

16 Tema: Specifici settori di trattamento : Essere consapevoli degli aspetti del trattamento delle informazioni nella scuola e istruzione; essere consapevoli delle implicazioni e delle responsabilità per quanto riguarda i minori e gli studenti Il trattamento è consentito solo per lo svolgimento delle funzioni istituzionali e viene riconosciuto alla finalità di istruzione e formazione in ambito scolastico, professionale, superiore o universitario, il rilevante interesse pubblico richiesto ai soggetti pubblici per il trattamento di dati personali. Non è richiesto il consenso se non per gli esercenti le professioni sanitarie e gli organismi sanitari pubblici. La comunicazione e la diffusione a soggetti pubblici sono ammesse quando siano previste da norme di legge o di regolamento o risultino comunque necessarie per lo svolgimento delle funzioni istituzionali. In quest ultimo caso, deve essere data comunicazione al Garante e le operazioni possono iniziare decorsi 45 giorni dalla comunicazione. La comunicazione e la diffusione di dati personali da parte di soggetti pubblici a privati o a enti pubblici economici sono ammesse solo se previste da norme di legge o di regolamento. E vietata la comunicazione e la diffusione di dati di cui è stata ordinata la cancellazione o per finalità diverse da quelle indicate nella notifica se prescritta. Per trattare i dati sensibili o giudiziari degli alunni, gli istituti scolastici devono adottare un regolamento che disciplina il trattamento di tali dati in conformità alle indicazioni del Garante. 16

17 Tema: Specifici settori di trattamento : Sapere le disposizioni sul trasferimento dei dati all'estero Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all Unione Europea. - Le disposizioni del Codice NON si possono applicare al fine di restringere o vietare la libera circolazione dei dati personali fra gli stati dell Unione Europea. - Il trasferimento di dati verso un Paese non appartenente all Unione Europea è vietato qualora l ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato. - Sono valutate anche le modalità del trasferimento e dei trattamenti previsti, le relative finalità, la natura dei dati e le misure di sicurezza. Applicata ad Internet questa disposizione può portare a delle conseguenze paradossali: infatti la semplice immissione in rete di un dato equivale al suo trasferimento in tutto il mondo senza avere la possibilità a priori di conoscere neppure il percorso seguito e se i paesi nei quali il dato è transitato (o transiterà) sono dotati o meno di una normativa adeguata. La Commissione dell Unione Europea ha siglato una decisione C(2001) 1539 relativa alle clausole contrattuali tipo per il trasferimento di dati verso Paesi terzi. Vengono definite regole di comportamento, che assumono la formula di clausole contrattuali su base volontaria, che costituiscono una salvaguardia per i soggetti coinvolti (titolare, responsabile ed interessato) 17

18 Tema: La Sicurezza delle Informazioni : Conoscere e valutare le misure minime di sicurezza per i trattamenti con l'ausilio di strumenti elettronici GLI ARTT. 33 e 34 si occupano di MISURE MINIME DI SICUREZZA Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico nell allegato B, le seguenti misure minime di sicurezza: - Autenticazione informatica; - Procedure di gestione delle credenziali di autentificazione; - Sistema di autorizzazione; - Aggiornamento periodico dell individuazione dell ambito di trattamento consentito ad incaricati e addetti alla gestione o manutenzione degli strumenti elettronici; - Protezione di dati rispetto a trattamenti illeciti, accessi non consentiti; - Procedure per la custodia di copie di sicurezza (backup) e ripristino della disponibilità dei dati; -Adozione di cifratura o codici identificativi per determinati trattamenti idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari; 18

19 Tema: La Sicurezza delle Informazioni : Comprendere l'autenticazione informatica, le credenziali di autenticazione e le procedure di gestione Sistema di autenticazione informatica 1. Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa ad uno specifico trattamento o a un insieme di trattamenti. 2. Le credenziali di autenticazione consistono in un codice per l identificazione dell incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell incaricato, eventualmente associata a un codice identificativo o a una parola chiave. 3. Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell incaricato. 4. Esistono diversi criteri e modalità per autenticare i soggetti che accedono ad un sistema, ad esempio tramite tratti biometrici, smart card, certificati, token, 19

20 Tema: La Sicurezza delle Informazioni : Comprendere l'autenticazione informatica, le credenziali di autenticazione e le procedure di gestione 5. La parola chiave, quando è prevista dal sistema di autenticazione, è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili all incaricato ed è modificata da quest ultimo al primo utilizzo e, successivamente, almeno ogni sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è modificata almeno ogni tre mesi. 6. Il codice per l identificazione, laddove utilizzato, non può essere assegnato ad altri incaricati, neppure in tempi diversi. 7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica. 8. Le credenziali sono disattivate anche in caso di perdita della qualità che consente all incaricato l accesso ai dati personali. 9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento. 10. Le disposizioni sul sistema di autenticazione non si applicano ai trattamenti di dati personali destinati alla diffusione. 20

21 Tema: La Sicurezza delle Informazioni : Saper definire il sistema di autorizzazione, l'aggiornamento periodico dell ambito di trattamento consentito dai singoli incaricati e le classi omogenee di incarico (autorizzazioni) Sistema di autorizzazione 1. Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione. 2. Un sistema di autorizzazione è l insieme degli strumenti e delle procedure che permettono di stabilire quali siano i dati e le operazioni di trattamento su di essi consentite a ciascuna persona che potrà accederli. 3. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all inizio del trattamento, in modo da limitare l accesso ai soli dati necessari per effettuare le operazioni di trattamento. 4. Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. 21

22 Tema: La Sicurezza delle Informazioni : Descrivere la protezione di dati rispetto ai trattamenti illeciti, accessi non consentiti e l'aggiornamento periodico dei programmi per elaboratore I dati personali sono protetti contro il rischio di intrusione e dell azione di programmi aventi per scopo o per effetto il danneggiamento di un sistema informatico mediante l attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale. Per tale scopo si possono usare applicativi software come gli antivirus e anti-spyware oppure strumenti hardware e software come i firewall. Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l aggiornamento è almeno semestrale. Gli attacchi ai sistemi informativi sono realizzati sfruttando specifiche vulnerabilità del sistema operativo o delle applicazioni e quindi per adempiere alla norma e per una corretta prevenzione dovrebbero essere adottate almeno le seguenti misure: - installazione e aggiornamento periodico di antivirus; - installazione periodica degli ultimi aggiornamenti (patch, service pack) disponibili per il sistema operativo e le applicazioni. 22

23 Tema: La Sicurezza delle Informazioni : Descrivere l obbligo normativo sulle procedure per le copie di sicurezza (backup) e ripristino della disponibilità dei dati; la corretta gestione dei supporti rimovibili e la cancellazione e sicurezza dei dati Al fine di garantire l integrità e la disponibilità dei dati: Sono impartite istruzioni organizzative e tecniche per la realizzazione e custodia di copie di sicurezza dei dati (che devono prevedere anche periodiche verifiche dei supporti utilizzati per le copie di sicurezza e prove di ripristino) Sono adottate idonee misure per garantire il ripristino dell accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni. Per soddisfare il requisito della norma viene spesso elaborato un piano di emergenza interno, che va inserito nel Documento Programmatico sulla Sicurezza, che viene spesso chiamato anche Piano di Disaster Recovery. Sono impartite istruzioni organizzative e tecniche per la custodia e l uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti. I supporti rimovibili contenenti dati sensibili o giudiziari, se non utilizzati, sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili. 23

24 Tema: La Sicurezza delle Informazioni : Comprendere l adozione di cifratura o codici identificativi per determinati trattamenti, idonei a rivelare lo stato di salute o la vita sessuale, effettuati da organismi sanitari I dati sensibili atti a rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o banche dati, tenuti con l ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o mediante l utilizzazione di codici identificativi o di altre soluzioni che, considerato il numero e la natura dei dati trattati, li rendano temporaneamente inintellegibili anche a chi è autorizzato ad accedervi e permettono di identificare gli interessati solo in caso di necessità; sono inoltre conservati separatamente da altri dati personali trattati per finalità che non richiedono il loro utilizzo. I dati relativi all identità genetica sono trattati esclusivamente all interno di locali protetti accessibili ai soli incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad accedervi. Il trasporto dei dati genetici all esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti di serratura o dispositivi equipollenti. Il trasferimento dei dati in formato elettronico è cifrato, mentre nel caso in cui i dati si trovino su documenti cartacei il servizio di spedizione postale più sicuro è l assicurata. 24

25 Tema: La Sicurezza delle Informazioni : Conoscere responsabilità e compiti degli amministratori dei sistemi e il relativo provvedimento generale del Garante La figura dell Amministratore di Sistema, già disciplinata dal D.P.R. 318/99, è stata reintrodotta, vista la rilevanza di tale figura nell ambito delle operazioni di trattamento, dall Autorità Garante mediante apposito Provvedimento del novembre La sua designazione deve avvenire previa valutazione dell esperienza, della capacità e dell affidabilità del soggetto designato, il quale deve fornire idonea garanzia del pieno rispetto delle disposizioni in materia di trattamento, compreso il profilo relativo alla sicurezza. Le funzioni tipiche dell'amministratore di sistema sono richiamate nell Allegato B e comprendono la realizzazione di copie di sicurezza (operazioni di backup e recovery dei dati), la custodia delle credenziali, la gestione dei sistemi di autenticazione e di autorizzazione. 25

26 Tema: La Sicurezza delle Informazioni : Conoscere responsabilità e compiti degli amministratori dei sistemi e il relativo provvedimento generale del Garante Il Garante ha inoltre introdotto l obbligo di verifiche periodiche dell operato dell amministratore di sistema, a carico del titolare o del responsabile. A tal fine il Garante ha stabilito che debbano essere registrati tutti gli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni, o access log, devono comprendere i riferimenti temporali e la descrizione dell evento che le ha generate ( log-in, log-out, o una condizione di errore) e devono essere conservate per un periodo non inferiore a sei mesi. Il provvedimento NON chiede in alcun modo che vengano registrati dati sull attività degli amministratori una volta ottenuto l accesso al sistema informativo. La norma richiede che gli access log abbiano caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità, adeguate al raggiungimento dello scopo di verifica per cui sono richieste. 26

27 Tema: La Sicurezza delle Informazioni : Descrivere le misure minime di sicurezza per i trattamenti senza l'ausilio di strumenti elettronici Il trattamento di dati personali effettuato senza l ausilio di strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell allegato B), le seguenti misure minime: a) aggiornamento periodico dell individuazione dell ambito del trattamento consentito ai singoli incaricati o alle unità organizzative (i.e. preventiva autorizzazione delle persone che accedono ai dati); b) previsione di procedure per un idonea custodia di atti e documenti affidati agli incaricati per lo svolgimento dei relativi compiti; c) previsione di procedure per la conservazione di determinati atti in archivi ad accesso selezionato e disciplina delle modalità di accesso finalizzata all identificazione degli incaricati. Agli incaricati sono impartite istruzioni scritte finalizzate al controllo e alla custodia di atti e documenti contenenti dati personali, per l intero ciclo necessario allo svolgimento delle operazioni di trattamento. Quando i documenti contengono dati personali sensibili o giudiziari vengono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, sono restituiti al termine delle operazioni affidate e l accesso agli archivi è controllato. 27

28 Tema: Il Documento Programmatico sulla Sicurezza : Identificare i contenuti del DPS, i suoi scopi e i tempi per gli adempimenti Il titolare di un trattamento di dati sensibili o giudiziari può redigere anche attraverso il responsabile, se designato, un Documento Programmatico sulla Sicurezza, ovvero un documento che ha lo scopo di ottemperare alle misure minime di sicurezza e gestire la politica aziendale in tema di sicurezza, partendo dall analisi dei rischi propri del sistema informativo. Il Documento Programmatico sulla Sicurezza, con il Decreto Semplificazioni, emanato il 9 Febbraio 2012, non è più obbligatorio. Questo documento rappresenta un valido strumento organizzativo utile all azienda per avere un quadro preciso della sicurezza posseduta e di quella programmata. Le informazioni in esso contenute riguardano: 1. l elenco dei trattamenti di dati personali, mettendo in evidenza i dati trattati e le modalità di trattamento; 2. la distribuzione dei compiti e delle responsabilità nell ambito delle strutture preposte al trattamento dei dati; 3. l analisi dei rischi che incombono sui dati; 4. le misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; 28

29 Tema: Il Documento Programmatico sulla Sicurezza : Identificare i contenuti del DPS, i suoi scopi e i tempi per gli adempimenti 5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o danneggiamento; 6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. La formazione è programmata già al momento dell ingresso in servizio, nonché in occasione di cambiamenti di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati personali; 7. la descrizione dei criteri da adottare per garantire l adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all esterno della struttura del titolare; 8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto 24, l individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali dell interessato. 29

30 Tema: Tipologie rilevanti di trattamento : Conoscere gli aspetti della privacy nel mondo del lavoro I datori di lavoro nel trattare i dati personali dei lavoratori devono sempre tenere presente i principi fondamentali della riservatezza e della protezione dei dati stabiliti dal Codice e quanto indicato dallo Statuto dei Lavoratori. È necessaria l adozione di un regolamento aziendale che stabilisca il corretto utilizzo ai quali sono destinati i beni e gli strumenti aziendali e quali forme di controllo il datore di lavoro intende applicare per verificarne il giusto uso. Il datore di lavoro è chiamato ad adottare ogni misura in grado di prevenire il rischio di utilizzi impropri, così da ridurre controlli successivi sui lavoratori: - individuare preventivamente i siti considerati correlati o meno con la prestazione lavorativa; - utilizzare filtri che prevengano determinate operazioni, quali l acceso a siti inseriti in una black list o il download di file musicali o multimediali; - rendere disponibili indirizzi condivisi tra più lavoratori, rendendo chiara la natura non privata della corrispondenza; - attribuire al lavoratore un altro indirizzo destinato ad uso personale; - prevedere, in caso di assenza del lavoratore, messaggi di risposta automatica con le coordinate di altri lavoratori cui rivolgersi; - permettere al dipendente di delegare un altro lavoratore a verificare il contenuto dei messaggi a lui indirizzati e ad inoltrare al titolare quelli ritenuti rilevanti per l ufficio. 30

31 Tema: Tipologie rilevanti di trattamento : Comprendere le disposizioni sulla videosorveglianza Presupposti rispetto privacy E possibile se Principio di proporzionalità dei mezzi usati. Indicazione presenza di impianti di videosorveglianza. Indicazione periodo di conservazione dati (max 24h) Riconoscimento diritto di accesso. Apparecchiature poste per finalità produttive. Apparecchiature poste per finalità di controllo e di sicurezza. Informativa ben visibile, nella quale vanno esposte con chiarezza le finalità del trattamento. Prima di procedere all installazione di sistemi di videosorveglianza, il titolare deve sottoporre a verifica preliminare del Garante i casi in cui tale sistema sia agganciato a sistemi per: il riconoscimento della persona sulla base del confronto di immagini; indicizzare le immagini per ricerche automatizzate; rilevare automaticamente comportamenti o eventi anomali, segnalarli e registrarli. Deve essere escluso ogni impiego non necessario, superfluo o eccessivo ed è d obbligo valutare se la videosorveglianza sia realmente proporzionata agli scopi prefissati e legittimamente perseguibili, quindi l impiego di tali sistemi può risultare eccedente qualora siano già adottati altri efficaci sistemi di controllo o vigilanza. 31

32 Tema: Tipologie rilevanti di trattamento : Essere consapevole delle disposizioni sulla privacy e posta elettronica La posta elettronica o è lo strumento di comunicazione elettronica più utilizzato per lo scambio di comunicazioni via Internet che permette l invio di messaggi elettronici tra un mittente ed uno o più riceventi predeterminati, il cui principale vantaggio è l immediatezza di trasmissione. In alcuni ordinamenti giuridici, tra cui l Italia, è stata estesa anche alla posta elettronica, nonostante la minor riservatezza offerta dovuta al mezzo tecnico e alle soluzioni tecnologiche utilizzate, la rigorosa tutela prevista per la corrispondenza cartacea, secondo la quale la libertà e la segretezza della corrispondenza e di ogni altra forma di comunicazione sono inviolabili. Limiti a libertà e segretezza della corrispondenza possono essere disposti solo con atto motivato dall autorità giudiziaria e con le garanzie stabilite dalla legge. La segretezza della corrispondenza è oggetto di tutela anche in sede penale, dove per corrispondenza si intende quella epistolare, telegrafica, informatica o telematica, ovvero effettuata con ogni altra forma di comunicazione a distanza. Esistono tre ipotesi di reato specifiche per le comunicazioni telematiche: - l intercettazione di comunicazioni telematiche; - l installazione di apparecchiature atte ad intercettare o interrompere comunicazioni telematiche; - la formazione falsa, ovvero l alterazione o la soppressione in tutto o in parte del contenuto di una comunicazione telematica, anche se occasionalmente intercettata. 32

33 Tema: Tipologie rilevanti di trattamento : Descrivere la privacy su Internet: modalità di informative e consensi su web e in via telematica L informativa su web deve avere gli stessi contenuti di quella normale. L informativa deve essere rilasciata al momento della raccolta e cioè preventivamente al conferimento dei dati da parte dell interessato per permettergli una cosciente scelta in merito alla destinazione dei dati che lo riguardano. La forma con cui le informazioni sono rese all interessato può essere scritta o orale (si pensi al caso in cui i dati siano raccolti per via telefonica), ANCHE VIA WEB (mediante Pagina Web ben posizionata). Quindi, per quanto riguarda l informativa, essa può essere resa anche in forma elettronica via Internet - e deve contenere tutte le finalità per le quali i dati personali vengono raccolti. Al momento della raccolta dei dati i siti Internet dovrebbero specificare se i dati raccolti saranno comunicati o resi disponibili a terzi e le relative motivazioni. In questi casi è fondamentale che gli utenti Internet dispongano di un effettiva possibilità di opporsi online a detta comunicazione cliccando su di una casella di spunta ed esprimendo così il proprio favore alla comunicazione dei dati con finalità diverse dalla fornitura del servizio richiesto. 33

34 Tema: Tipologie rilevanti di trattamento : Descrivere la privacy su Internet: modalità di informative e consensi su web e in via telematica Il trattamento dei dati è ammesso in via generale solo con il consenso espresso dell interessato, ciò significa che deve essere manifestata una volontà chiara ed esplicita da parte dell interessato (non basta il consenso implicito). - il consenso si riferisce ad una o più operazioni dello stesso. I form su web, attraverso cui è possibile raccogliere il consenso, devono prevedere la certezza della volontà dell interessato e ciò può avvenire mediante l operazione di selezione di un apposita casella in una pagina del sito (OPTin, OPT- out). - primo requisito è il consenso espresso dell interessato che, secondo le indicazioni fornite dal Garante, si deve esplicitare attraverso specifiche opzioni di tipo positivo (positive option) che consentano all interessato di prestare o negare il proprio consenso. - il consenso deve essere prestato in forma specifica; l interessato deve potersi esprimere separatamente per ogni trattamento, per ogni finalità e per ogni titolare. - l interessato deve ricevere un informativa preventiva che sia chiara ed esaustiva; solo in presenza di questa può ritenersi soddisfatta la condizione di consenso informato. 34

35 Tema: Tipologie rilevanti di trattamento : Comprendere le disposizioni riguardanti la privacy digitale: I log e loro conservazione, identificabilità ed anonimato (anonymous surfing e r ing, cookies) Nell attuale società si individuano due bisogni che si intrinsecano e si contrappongono: il bisogno di identificabilità e il bisogno di anonimato. Internet non è un luogo dove tutto è anonimo e incontrollato, ma come nel mondo reale, anche se con modalità diverse, vi sono possibilità di anonimato, possibilità di identificazione e obblighi di identificazione. Accanto alla scelta cosciente di un utente nel fornire dati identificativi, Internet offre la possibilità di raccogliere informazioni su un utente a sua insaputa. Esistono particolari software che seguono e memorizzano il clickstream di ciascun utente, tra cui log e cookies, i quali forniscono una grande quantità di dati che possono essere elaborati per ottenere informazioni su abitudini e interessi degli utenti (identità sociale). Esistono strumenti tecnologici per proteggersi dalla raccolta dei dati in Internet, che prendono il nome di PET s (Privacy Enahancing Technologies) e permettono di minimizzare o eliminare del tutto l invio dei dati personali: - L anonymous surfing permette all utente di evitare che i server web possano raccogliere informazioni quali l indirizzo IP, il browser per la navigazione o l ultimo server visitato, scaricando la pagina web che si vuole visitare su un server, detto anonimizzatore, il quale scarica il documento e lo invia successivamente al computer dell utente; - L anonymous r ing permette all utente di inviare messaggi di posta elettronica senza rivelare la propria identità utilizzando uno o più server intermedi che assicurano l anonimato cancellando dal messaggio le informazioni che identificano l utente. 35

36 Tema: Responsabilità e Sanzioni : Conoscere le differenze tra misure minime e idonee per la sicurezza La filosofia del Codice della Privacy è quella di salvaguardare la riservatezza ed i diritti dell interessato. Il titolare è tenuto ad adottare idonee e preventive misure di sicurezza al fine di minimizzare i rischi di: - perdita totale o parziale; - accesso non autorizzato; - trattamento non consentito o non conforme alle finalità della raccolta dei dati personali. Le misure di sicurezza adottate devono tenere conto: - delle conoscenze acquisite in base al progresso tecnico; - della natura dei dati trattati (i dati sensibili necessiteranno di accorgimenti particolarmente severi); - delle caratteristiche del trattamento (manuale o automatizzato, in base alla finalità). Chiunque omette di adottare le misure minime di sicurezza previste dall art. 33 è punito con l arresto sino a due anni. 36

37 Tema: Responsabilità e Sanzioni : Descrivere le sanzioni previste dal codice della privacy Le sanzioni previste in caso di violazione delle norme contenute nel Codice si dividono in sanzioni amministrative e penali. Le sanzioni amministrative si riferiscono a: - Omessa o inidonea informativa all interessato; - Mancata o incompleta notificazione; - Omessa informazione o esibizione al Garante; - Cessione illecita di dati; - Violazione delle norme in materia di conservazione dei dati di traffico telefonico e telematico; - Violazione del diritto di opposizione. Le sanzioni penali si riferiscono a: - Trattamento illecito di dati; - Falsità nelle dichiarazioni e notificazioni al Garante; - Omissione delle misure minime di sicurezza; - Inosservanza dei provvedimenti del Garante. 37

38 Tema: Responsabilità e Sanzioni : Comprendere le disposizioni sui danni cagionati per effetto del trattamento (responsabilità civile e inversione dell'onere della prova) Nel Codice della privacy sono previste sanzioni non solo amministrative ma anche penali. L art 15 nell ambito della sezione sul risarcimento dei danni provocati per effetto del trattamento dei dati, definisce tale attività pericolosa ai sensi dell art c.c. [ (Responsabilità per l esercizio di attività pericolose). Chiunque cagiona danno ad altri nello svolgimento di un attività pericolosa (nel nostro caso il trattamento di dati personali), per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno.] 1. A norma del Codice della privacy chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento, salvo dimostri di aver adottato le misure idonee ad evitarlo (inversione della prova). 2. Il danno non patrimoniale è risarcibile anche in caso di violazione dell art

39 Tema: Privacy e particolari casi di trattamento illecito : Comprendere gli aspetti legati alla frode informatica e al phishing (le sue fasi e i reati) Con il termine phishing si fa riferimento a un attività truffaldina che, sfruttando tecniche di ingegneria sociale, mira al furto delle credenziali d accesso al conto corrente del malcapitato, dal quale vengono prelevate somme di denaro generalmente trasferite all estero. Il phishing è un vero e proprio attacco, condotto soprattutto per mezzo della posta elettronica e viene considerato come reato di frode informatica. Per tutelarsi contro questi rischi si può: - utilizzare appositi programmi che bloccano o collegamenti sospetti, confrontando gli indirizzi reali dei mittenti con le black list presenti in internet; - non rispondere a richieste di informazioni personali ricevute tramite posta elettronica; - visitare i siti internet digitando sempre l indirizzo direttamente nella barra degli indirizzi. 39

40 Tema: Privacy e particolari casi di trattamento illecito : Essere consapevoli degli aspetti di tutela della privacy nei social network I rischi per la privacy nei Social Networks. Nella conferenza internazionale dei Garanti europei a Strasburgo del 2008 è stata approvata una Risoluzione sulla tutela della privacy nei servizi di social network in cui si evidenzia che il principale rischio per la privacy è quello di perdere il controllo dell'utilizzo dei propri dati una volta pubblicati in rete. Quindi le immagini e le informazioni che vengono pubblicate e condivise nei social network, anche se poi vengono cancellate, potranno riemergere a distanza di anni. Le Autorità Garanti hanno impartito alcune precise raccomandazioni anche agli utenti, i quali devono valutare con attenzione se e in quale misura pubblicare dati personali in un profilo creato sui servizi di social network e sono comunque tenuti a rispettare la privacy altrui. 40