Aspetti legali, privacy e responsabilità.

Transcript

1 esperienze, metodologie e strumenti di diagnosi e contrasto delle nuove minacce informatiche: consapevolezza e prevenzione Roma, 10 Ottobre 2014 h Aspetti legali, privacy e responsabilità. Avv. Massimiliano Brugnoletti cybersecurity month.eu

2 Le responsabilità dei dipendenti della PA Responsabilità generali Responsabilità specifiche Ammini strativo - contabile civile penale Contrattuale disciplinare dirigenziale 2

3 La responsabilità contabile Gli elementi: Il soggetto (membro PA) la condotta antigiuridica, che consiste in ogni azione e/o occasione posta in essere da uno o più soggetti legati all ente pubblico da un rapporto di servizio in violazione di norme giuridiche il danno erariale, che può consistere nel A) deterioramento o nella B) perdita di beni o denaro o nella C) mancata acquisizione di incrementi patrimoniali che la PA avrebbe potuto realizzare 3

4 L elemento psicologico il nesso di causalità tra evento dannoso e condotta antigiuridica La responsabilità amministrativa e contabile è limitata ai soli comportamenti posti in essere con dolo (piena consapevolezza della possibilità del danno) o colpa grave e massima negligenza (non conforme alla diligenza media di un dipendente o amministratore pubblico medio). 4

5 Responsabilità contabile in caso di omessa o non adeguata protezione dei sistemi informatici della P.A. A causa dell omessa protezione dei dati la PA subisce un danno. Ne può derivare la configurazione di un danno erariale. Es. Risarcimento della PA a terzi Perdita di finanziamenti, ecc. 5

6 La responsabilità civile: Si configura nel caso in cui il pubblico di pendente, nell esercizio delle proprie funzioni, arrechi danni a: TERZI (sia interni che esterni alla PA) Pubblica Amministrazione 6

7 Responsabilità civile in caso di omessa o non adeguata protezione dei sistemi informatici della P.A. A causa dell omessa protezione dei dati un terzo subisce un danno. Ne può derivare la configurazione di un danno risarcibile (esempio: tutela della privacy= cartella sanitaria). 7

8 La responsabilità penale: Si configura se il pubblico dipendente pone in essere comportamenti qualificati dalla legge come reato 8

9 Reati generali (esempi) - Rivelazione ed utilizzazione di segreti d ufficio (art. 326) - Accesso abusivo ad un sistema informatico (art. 615 ter) - Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici (art. 65 quater) 9

10 Reati connessi alla violazione della sicurezza informatica 10

11 635-bis. Danneggiamento di informazioni, dati e programmi informatici. (reato informatico generale) Chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui è punito, a querela della persona offesa, con la reclusione sino a tre anni (querela). Se con violenza o minaccia, o con abuso della qualità di operatore del sistema, la pena è sino a quattro anni (d ufficio). 11

12 635-ter. Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità. (reato informatico vs PA) Chiunque commette un fatto diretto a informazioni, dati o programmi informatici utilizzati dallo Stato o da altro ente pubblico o ad essi pertinenti, o comunque di pubblica utilità, è punito con la reclusione da uno a quattro anni. Se effettiva distruzione la pena e sino ad otto anni. Se violenza, minaccia o «operatore sistema», la pena è aumentata. 12

13 Peculato Esempio tipico (appropriazione bene pubblico: energia, telecomunicazioni): navigazione su internet per scopi personali (sia etici che «non etici»). Peculato proprio Peculato d uso 13

14 Peculato proprio (art. 314 comma 1) Il pubblico ufficiale o l'incaricato di un pubblico servizio, che, avendo per ragione del suo ufficio o servizio il possesso o comunque la disponibilità di denaro o di altra cosa mobile altrui, se ne appropria (es. energia per navigazione), è punito con la reclusione da quattro a dieci anni. 14

15 Il peculato d uso (art. 314 comma 2) Si applica la pena della reclusione da sei mesi a tre anni quando il colpevole ha agito al solo scopo di fare uso momentaneo della cosa, e questa, dopo l'uso momentaneo, è stata immediatamente restituita (es. abbonamento flat - canone) 15

16 «danneggiamento» concorso dipendente pubblico per mancata protezione Concorso solo con dolo del dipendente pubblico (per aiutare amico hacker) No reato di omissione di misure protezione - no responsabilità penale (omissione atti d ufficio?) (solo civile / contabile). 16

17 Obblighi specifici su protezione dati DPCM 1 aprile 2008 «regole tecniche e di sicurezza per il funzionamento del sistema pubblico di connettività» (cfr. art. 71, comma 1 bis, d.lgs. n.82/2005 c.a.d.) Performances Responsabilità 17

18 «perfomances» Valutazione ai sensi del D.Lgs. 150/2009 (cd Decreto Brunetta) 18

19 Responsabilità specifica (o contrattuale) Disciplinare Dirigenziale 19

20 Responsabilità disciplinare Dipendente con mansioni qualificate (addetto edp) Dipendente ordinario Violazione compiti specifici violazioni generali (hacker?) 20

21 Esempi responsabilità disciplinare correlata alla gestione dei sistemi informatici Art. 15 d.lgs. 33/2013 (Decreto Trasparenza) La pubblicazione degli estremi degli atti di conferimento di incarichi dirigenziali a soggetti estranei alla PA, di collaborazione o di consulenza a soggetti esterni a qualsiasi titolo per i quali è previsto un compenso sanzione Responsabilità disciplinare (CCNL) + sanzione pari alla somma corrisposta 21

22 Art. 47 d.lgs. 33/2013 (Decreto Trasparenza) La mancata o incompleta comunicazione delle informazioni e dei dati concernenti la situazione patrimoniale complessiva di titolare dell'incarico «politico» al momento dell'assunzione in carica sanzione Da 500 a pubblicazione sanzione su suto internet. 22

23 Art. 47 del Decreto Trasparenza (D.Lgs. N. 33 del 2013): Omessa pubblicazione dei dati degli enti vigilati (ragione sociale, rappresentanti della Pa, bilancio, ecc.) Da 500 a sanzione 23

24 Il dirigente risponde di: Responsabilità dirigenziale (art. 21 del D.Lg.s n. 165 del 2001) Responsabilità disciplinare (art. 55 del D.Lg.s n. 165 del 2001) conseguenze sanzioni Mancato rinnovo Retribuzione di risultato Previste dai CCNL Revoca dell incarico decurtata 24

25 Responsabilità prevista dal CAD Art.12 comma 1ter del CAD I dirigenti rispondono dell'osservanza ed attuazione delle disposizioni di cui al presente decreto ai sensi e nei limiti degli articoli 21 e 55 del decreto legislativo 30 marzo 2001, n. 165, ferme restando le eventuali responsabilità penali, civili e contabili previste dalle norme vigenti. L'attuazione delle disposizioni del presente decreto è comunque rilevante ai fini della misurazione e valutazione della performance organizzativa ed individuale dei dirigenti. 25

26 Art. 46 d.lgs. 33/2013 (Decreto Trasparenza) L'inadempimento degli obblighi di pubblicazione o la mancata predisposizione del Programma triennale per la trasparenza e l'integrità costituiscono elemento di valutazione della responsabilità dirigenziale, eventuale causa di responsabilità per danno all'immagine della PA e valutati ai fini della performance individuale. 26

27 La privacy omessa sicurezza dei sistemi informatici con ripercussioni sui dati di soggetti terzi. Adozione sistemi di sicurezza a tutela privacy 27

28 Le tipologie di DATI DATO PERSONALE qualunque informazione relativa a persona fisica identificata o identificabile mediante qualsiasi informazione, ivi compreso un numero di identificazione personale prima della pubblicazione di un documento che contiene DATI PERSONALI sul WEB, i soggetti pubblici devono verificare l esistenza di una specifica norma di legge o di regolamento* che preveda tale pubblicazione SE ESISTE se NON ESISTE una norma di legge Obbligo di anonimizzazione dei dati personali 28

29 i soggetti pubblici devono distinguere la natura dei dati personali oggetto di diffusione DATI COMUNI es. nome e cognome, sesso, data e luogo di nascita, indirizzo, codice fiscale DATI SENSIBILI E GIUDIZIARI 29

30 Nel caso dei Dati Comuni Principio di pertinenza e non Eccedenza I soggetti pubblici non possono rendere intellegibili i dati personali non necessari, eccedenti o non pertinenti con le finalità della pubblicazione 30

31 Dati inerenti la razza, religione, politica, e giudiziari possono essere diffusi solo se indispensabili per raggiungere le finalità della pubblicazione Nel caso dei dati sensibili Dati sensibili idonei a rivelare lo stato di salute divieto assoluto di diffusione Dati sensibili idonei a rivelare la vita sessuale divieto assoluto di diffusione per finalità di trasparenza. Per altre finalità possono essere diffusi solo se indispensabili 31

32 Anomizzazione Sostituire il nome e cognome dell interessato con le sole iniziali è di per sé insufficiente ad anonimizzare i dati personali contenuti negli atti e documenti pubblicati online Per rendere effettivamente «anonimi» i dati pubblicati online occorre oscurare del tutto il nominativo e le altre informazioni riferite all interessato che ne possono consentire l identificazione anche a posteriori 32