ICT SECURITY N. 49 NOVEMBRE 2006 MISURE IDONEE E MISURE MINIME: QUALE SICUREZZA, QUALI RESPONSABILITA. Autore: Daniela Rocca

Transcript

1 SOMMARIO Misure minime: il livello minimo di sicurezza Misure idonee: il livello opportuno di sicurezza Le responsabilità A tre anni dalla pubblicazione in Gazzetta Ufficiale del D. Lgs. 196/2003 in materia di protezione dei dati personali, si vuole fare ulteriore chiarezza sulla differenza tra le misure idonee e le misure minime di sicurezza. Il concetto è infatti essenziale per capire quale livello di protezione necessitano i dati sottoposti a trattamento. MISURE MINIME: IL LIVELLO MINIMO DI SICUREZZA Le misure minime di sicurezza configurano il livello minimo di protezione dei dati trattati. Esse sono descritte negli artt. da 33 a 35 del D. Lgs. 196/2003 e specificate nell Allegato B al Codice: sono le misure atte a garantire il livello minimo di protezione dei dati trattati, misure che il Legislatore ritiene assolutamente necessarie per dare protezione a dati che assumono rilevanza in quanto dati personali tout court. Le misure minime sono obbligatorie, a pena di sanzioni di carattere amministrativo e penale, anche rilevanti, per coloro che non ottemperano agli obblighi di messa in opera.

2 Il Legislatore non concede alcuna discrezionalità al titolare del trattamento in merito all importanza dei dati: le misure minime del Codice devono essere poste in essere a prescindere da ogni valutazione sull opportunità delle stesse, perché il Legislatore ha già deciso che questo è il livello minimo di protezione richiesto. La prima responsabilità prevista per chi non adempie agli obblighi di realizzazione delle misure minime di sicurezza è di carattere penale e prescinde dal danno causato. Responsabile (penalmente) sarà chi non ha realizzato le misure. Il giudice dovrà valutare le condotte del titolare (legale rappresentante) e del responsabile del trattamento, se nominato. Potranno essere chiamati a rispondere anche coloro che rivestono la qualifica di responsabili esterni del trattamento dei dati (punto 25 dell Allegato B al Codice). La responsabilità penale è infatti sempre personale (art. 27 della Costituzione della Repubblica Italiana) e va valutata nel caso concreto. La sanzione prevista se non si è in regola con le prescrizioni è contenuta dall art. 169 del Codice: Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall art. 33 è punito con l arresto sino a due anni o con l ammenda da diecimila euro a cinquantamila euro. Il Garante, all atto dell accertamento oppure con atto successivo, prescrive all autore del reato un termine per la regolarizzazione, prorogabile in caso di complessità o difficoltà nell adempimento ma mai superiore a sei mesi. Se risulta l adempimento alla prescrizione, l autore del reato è ammesso a pagare una somma pari ad un quarto del massimo dell ammenda stabilita per il

3 reato (quindi Euro). L adempimento e il pagamento estinguono il reato. Se la mancata realizzazione delle misure minime di sicurezza causasse un danno, alla responsabilità penale si affiancherebbe anche una responsabilità civile per il risarcimento, in quanto le misure realizzate non configurerebbero il livello opportuno di sicurezza, che andiamo a descrivere. MISURE IDONEE: IL LIVELLO OPPORTUNO DI SICUREZZA I parametri di valutazione dell idoneità delle misure di sicurezza sono indicati nell art 31 del Codice. Le misure idonee sono quelle che proteggono i dati preventivamente, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, così da ridurre al minimo i rischi concernenti la riservatezza, l integrità e la disponibilità dei dati. Il Legislatore non si è spinto oltre e non ha descritto come valutare l idoneità delle misure: questa determinazione è lasciata al titolare del trattamento, in quanto sua è la responsabilità della sicurezza (nessun dubbio in proposito già dalla definizione di titolare contenuta nell art. 4 comma 1 lett. f)). Qualsiasi decisione in merito all idoneità delle misure è lasciata quindi alla discrezione del titolare del trattamento, il quale risponde civilmente in caso di danno, ai sensi dell art.

4 2050 del Codice Civile 1 (art. 15 del D. Lgs. 196/2003). L adozione, quindi, delle misure idonee mette al riparo il titolare del trattamento dalla responsabilità civile. In particolare, il titolare del trattamento risponde del risarcimento del danno per la distruzione o la perdita del dato o della riservatezza del dato, per l accesso non autorizzato o il trattamento non consentito o non conforme alle finalità della raccolta, se non prova di aver adottato tutte le misure idonee ad evitare il danno. Nel nostro sistema giuridico questa situazione eccezionale è chiamata inversione dell onere della prova. Infatti, l art comma 1 del Codice Civile afferma che chi vuol far valere un diritto in giudizio, deve provarne i fatti che ne costituiscono il fondamento. Cioè: colui che viene chiamato attore deve provare che il convenuto gli ha procurato un danno. In pochi casi il nostro Legislatore attribuisce al convenuto l onere della prova ed uno di questi riguarda proprio ciò che è previsto in materia di responsabilità per l esercizio di attività pericolose, richiamato dall art. 15 del Codice sulla Privacy. Non sarà quindi l interessato (attore) a dover provare di aver subito un danno derivante dall errato trattamento dei dati, bensì sarà il 1 Art c.c.: Chiunque cagiona danno ad altri nello svolgimento di un attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di aver adottato tutte le misure idonee ad evitare il danno.

5 titolare del trattamento (convenuto) a dover dimostrare di aver adottato tutte le misure idonee ad evitare il danno stesso. Per il titolare si prospetta quindi la difficoltà di dover provare l idoneità delle misure di sicurezza poste in essere. Raramente le misure idonee coincidono con le misure minime e, conseguentemente, è opportuno realizzare un livello superiore di sicurezza rispetto a quello indicato dal Codice come livello minimo. L esempio più eclatante è la disciplina dei sistemi antivirus. Secondo l Allegato B, il sistema antivirus deve essere aggiornato con cadenza almeno semestrale. Ma un titolare di trattamento non può considerare l aggiornamento semestrale dell antivirus una misura idonea per la protezione dei dati. Se un virus creasse un danno (una perdita di dati) a distanza di uno, due, tre mesi dall ultimo aggiornamento dell antivirus, nessun giudice considererebbe idonea la misura di sicurezza e quindi non responsabile civilmente il titolare che non ha provveduto ad aggiornare l antivirus con una cadenza al passo con il progresso tecnico e la straordinaria crescita della diffusione di virus. Non sarebbe però sottoposto ad una sanzione penale. Quindi bisogna prestare attenzione. Le misure minime di sicurezza sono essenziali per non incorrere in responsabilità penali, ma sono un sottoinsieme delle misure idonee. Ogni titolare di trattamento deve effettuare a priori una analisi del rischio, anche legale, e provvedere alla realizzazione del livello idoneo di sicurezza, così da essere in ogni caso

6 sollevato dalla responsabilità civile per il risarcimento del danno. Daniela Rocca