Sicurezza sul web, una questione legale

di Gianni Rusconi

http://ilsole24ore.com

Le minacce per la sicurezza dei dati aziendali sono una priorità assoluta per i responsabili dei sistemi informativi. A maggior ragione perché le stesse non arrivano solo dal Web, ma anche da comportamenti incauti, abusivi e talvolta anche volutamente scorretti dei dipendenti. Esiste quindi un modello perfetto per tutelarsi da appropriazioni indebite di bit salvaguardando nel contempo i diritti dei lavoratori? Ribadito il concetto, e lo affermano tutti report delle principali società del settore, che gli attacchi informatici perpetuati attraverso la Rete sono oggi finalizzati a catturare informazioni a scopo di lucro o di estorsione, non va dimenticato che la problematica della security si allarga anche alla sfera normativa, alle implicazioni legali che l’adozione o meno di particolari policy aziendali possono generare.

Vi sono, per essere concreti, limiti o divieti circa il controllo dell’utilizzo di Internet e della posta elettronica da parte dei lavoratori?

L’ordinamento italiano regolarizza l’adozione di soluzioni o apparati dediti alla protezione dei sistemi informativi aziendali da attacchi informatici o da altre violazioni?

Domande a cui può rispondere solo un esperto di diritto informatico e per questo il Sole24ore.com ha chiesto lumi in materia a Gabriele Fagioli, avvocato di Milano, nonché docente al Mip – Politecnico di Milano e presidente dell’Angap (Associazione Nazionale Garanzia della Privacy), che con lo specialista Websense ha prodotto un dettagliato “white paper” inerente le implicazioni legali della Web security.

In Italia abbiamo una legislazione ad hoc dedicata alla sicurezza informatica?
Dal 1993, quando furono introdotte le prime normative in materia di crimini informatici (L. 547/93, ndr), a oggi è avvenuta una vera e propria rivoluzione nel settore del diritto delle nuove tecnologie. Nel corso degli anni l’evoluzione tecnologica ha determinato l’introduzione di nuovi concetti giuridici e relativi nuovi articoli del codice penale dedicati a frode informatica, virus, posta elettronica, nuove forme di licenza del software.

L’ordinamento giuridico italiano è, secondo lei, adeguato rispetto alla complessità del problema?
Premesso che tecnologie e mercati si evolvono molto più velocemente del diritto e che i possibili danni derivanti da problematiche legate all’It sono difficilmente quantificabili con criteri certi, ritengo che la legge del 1993, con tutti gli interventi di modifica apportati, sia attuale. Qualcosa da rivisitare c’è ma di fatto si è raggiunta la quadratura del cerchio e siamo anche in linea con il quadro normativo internazionale, a sua volta evolutosi con le direttive in materia di Information Technology emanate dal 2000 in poi.

Per un’azienda è un fattore prioritario conoscere i risvolti legali legati all’adozione di soluzioni di sicurezza?
Innanzitutto è vitale che comprendano i comportamenti informatici dei propri addetti e che individuino le eventuali falle del sistema. Al momento di implementare una policy di sicurezza è bene che conoscano anche le sfumature di legge.

Quali sono le maggiori difficoltà che incontrano le aziende italiane circa gli aspetti legali della security?
Sono varie e variegate. Dalla scarsa conoscenza delle norme applicabili all’esistenza di errate prassi consolidate, dalla limitata attenzione verso alcune previsioni contrattuali alla mera paura delle sanzioni penali, dalla scarsa percezione del rischio di infezioni alla carenza di gestione strutturata da parte dei fornitori di soluzioni It e di servizi di telecomunicazione.

Cosa dice la legge in fatto di misure minime di sicurezza da adottare?
La normativa in materia di dati personali impone ai titolari del trattamento degli stessi l’adozione di misure idonee a ridurre al minimo i rischi di distruzione o perdita anche parziale dei dati. È prescritto l’utilizzo di sistemi di autenticazione, di autorizzazione, di soluzioni antivirus e di protezione da intrusioni maligne e anche di soluzioni di sicurezza volte a evitare o prevenire la commissione di reati da parte dei dipendenti, come il download di file a contenuto pedopornografico o lo scambio di file audio e video protetti da diritto d’autore. In linea generale si può affermare che un’azienda può controllare il pc di un dipendente per prevenirne gli abusi ma non può fare di questa attività un utilizzo distorto e finalizzato al monitoraggio della prestazione lavorativa.

I comportamenti dei dipendenti chiamano in causa il fattore privacy: la normativa abbraccia tutti i possibili aspetti della questione?
Il decreto legislativo 196/2003, denominato anche Codice della privacy, disciplina in dettaglio le misure minime e idonee di sicurezza a protezione dei dati personali trattati con sistemi informatici, la responsabilità civile in capo all’azienda quale persona giuridica, le sanzioni penali e amministrative, le procedure di controllo dei lavoratori. Va detto in aggiunta che la casistica penale è ancora limitata e che la generalizzata scarsa competenza nell’utilizzo del computer è spesso fonte di violazioni involontarie. Entrano in gioco quindi valutazioni e interpretazioni differenti circa le lesività o meno di alcuni comportamenti, il fatto che siano dolosi, la soglia etica dell’accesso a Internet, le dinamiche di utilizzo di gruppo degli strumenti informatici.

Potrebbe sintetizzare l’atteggiamento ideale che le aziende dovrebbero avere verso il problema nel suo complesso?
Il legislatore e il garante fissano diritti e doveri per lavoratori e aziende. Ciò che è auspicabile e opportuno è una linea di condotta equilibrata fra corretta interpretazione delle norme e utilizzo delle risorse e funzionalità tecnologiche.

Come potrebbe cambiare il quadro normativo esistente fra tre/cinque anni?
In futuro è lecito pensare che vi saranno ancora più restrizioni a livello di misure di sicurezza da adottare ma difficilmente le nuove norme fisseranno nuove previsioni penali. Occorrerà garantire sempre e comunque massima corrispondenza fra i parametri regolatori e i dettami che regolano i diritti del lavoratore.

Comments(0)

Call center e privacy dei cittadini

da un comunicato stampa del Garante Privacy del 28 dicembre 2006

Sono numerosi i cittadini che si rivolgono al Garante per lamentare l’offerta di servizi e prodotti prevalentemente da parte di società telefoniche (linee veloci Internet, segreterie telefoniche, tariffe particolari, instradamento automatico della linea verso altro operatore), o che protestano per i continui disturbi arrecati alla loro vita privata da call center che li contattano, spesso negli orari meno opportuni, per proporre offerte commerciali.

Dopo una serie di interventi e l’indicazione delle regole per i nuovi elenchi telefonici, per arginare il fenomeno il Garante ha da ultimo adottato, nel marzo di quest’anno, un provvedimento a carattere generale con il quale ha prescritto ai gestori telefonici di attuare, entro maggio, specifiche misure per contrastare prassi illegittime come appunto l’attivazione di contratti, schede o servizi telefonici non richiesti dagli utenti e per evitare le telefonate di disturbo.

In particolare, veniva stabilito che i gestori telefonici e call center devono contattare persone solo se queste hanno manifestato un preventivo consenso a ricevere chiamate e comunicazioni promozionali (consenso indicato da appositi simboli sugli elenchi telefonici); devono sempre spiegare agli interessati da dove sono stati estratti i dati personali che li riguardano; devono rispettare la volontà degli utenti di non essere più disturbati con offerte promozionali. Gli utenti possono comunque esigere di far cancellare i loro dati dal data base del call center nel quale siano stati indebitamente inseriti.
 
Sulla base delle segnalazioni pervenute, ma anche del monitoraggio effettuato dalla stessa Autorità in questi mesi, non risulta tuttavia che il fenomeno si sia significativamente ridotto.

Il Garante Privacy ha deciso pertanto di intraprendere un’articolata serie di nuovi interventi. Innanzitutto proseguirà sulla strada delle sanzioni amministrative nei casi di violazione, dopo le 20 sanzioni applicate di recente. Avvierà poi, in collaborazione con la Guardia di Finanza, accertamenti ispettivi. E, nei casi in cui emergesse che società telefoniche e call center raccolgono dati in violazione delle norme o contattano utenti in modo illecito (specie quando sia stata registrata la loro volontà di non esser più disturbati), l’Autorità adotterà anche provvedimenti di divieto del trattamento dei dati.

Comments(0)

Regolamento dati sensibili nelle pubbliche amministrazioni

E’ stato differito il termine di adozione del regolamento sui dati sensibili e giudiziari. Il D.l. pubblicato nella Gazzetta Ufficiale del 28/12/2006, n. 300, differisce al 28 febbraio 2007 il termine di adozione di tale regolamento da parte di soggetti pubblici.

Comments(0)

Antivirus versus Virus: come assicurare la nostra privacy online

di Gabriele Tasselli     
http://pratoblog.it  
Un detto popolare recita “Chi produce gli antivirus fabbrica anche i virus”. Allora potremmo aggiungere “Chi graffia le auto fa il carrozziere” oppure “Chi fa il sicario ha come parente un becchino” e così via. La realtà invece è ben diversa; purtroppo le software-house che producono i sistemi di difesa contro gli attacchi informatici sono alle prese ogni giorno con sfide sempre più impegnative nei confronti degli “hacker”, ovvero i mostri ingegnosi che producono i virus e che tentano di introdursi nei PC posti all’altro capo del doppino telefonico.

Ad oggi esistono diverse tipologie costituenti la famiglia dei virus: tra i più conosciuti troviamo i Worm e i Trojan, che in definitiva sono quelli più dannosi e fanno bloccare il sistema, cancellano i dati e a fanno andare in tilt i programmi di protezione. A ruota troviamo gli Spyware e gli Adware, veri e propri script che si autoeseguono alla partenza di Windows e che talvolta sono costituiti da connessioni remote che lanciano collegamenti attraverso numeri telefonici privati o internazionali, facendo lievitare poi i costi della bolletta (ciò non avviene se si dispone della banda ADSL). Si aggiungono poi i Phishing (tecnica per ottenere dati personali tipo i numeri delle carte di credito), i Rootkit (possibilità di accedere sul proprio PC e navigare nelle risorse senza che l’utente se ne accorga) e i tanto odiati Spam, ovvero i messaggi di posta elettronica indesiderata contenenti pubblicità e spot pornografici.

Come lottare allora contro queste malvagità informatiche? E soprattutto, come si fa a scegliere un antivirus efficace? La risposta non è delle più semplici, anche perché ogni sistema protettivo offre delle peculiarità più o meno esclusive. Cosa molto importante è una consulenza di un tecnico qualificato, il quale dopo aver analizzato l’esigenza legata all’attività, sia domestica che aziendale, pone un verdetto su quale possa essere il pacchetto ideale da installare sul proprio PC. Tenete conto che al tecnico non ne viene in tasca niente perché non è lui a produrre il software antivirus, ma sicuramente vi chiederà la parcella relativa al suo lavoro d’installazione e, cosa più importante, della configurazione legata al sistema di difesa. Non esiste infatti antivirus al mondo in grado di proteggere al massimo il sistema se non è ben configurato e mantenuto poi aggiornato scaricando le ultime definizioni dal sito del produttore.

Comments(0)

Garante privacy : richiamo alla legge sulle adozioni e al codice dei giornalisti

di Mauro W. Giannini

http://www.osservatoriosullalegalita.org

L’Autorita’ garante per la privacy ha ribadito che non si può pubblicare senza il consenso dei genitori la notizia che un minore è stato adottato. Lo vietano - ricorda il Garante - la normativa sulla privacy, il codice deontologico dei giornalisti e la legge sulle adozioni.

Come evidenziato in piu’ occasioni, il Garante ha ribadito infatti che le informazioni sullo stato di adozione sono oggetto di una speciale protezione. Per tutelare la personalità dell’adottato e la sua famiglia la legge, infatti, stabilisce che siano i genitori adottivi a decidere i modi e i tempi per informare il minore della sua condizione. E a garanzia degli interessati la normativa individua limiti rigorosi, anche penali, riguardo alla diffusione di questa informazione.

L’autorita’ presieduta da Francesco Pizzetti non dimentica il delicato problema del bilanciamento tra diritto di cronaca e diritti dei cittadini, ma sottolinea che nelle cronache riguardanti minori, i giornalisti devo rispettare con particolare rigore la regola dell’essenzialità dell’informazione. Il codice deontologico prescrive infatti una forte tutela della personalità dei minori, giungendo ad affermare che il loro diritto alla riservatezza deve essere sempre considerato come primario rispetto al diritto di cronaca.

L’esigenza di una particolare cautela da parte del giornalista trova conferma anche in altre disposizioni del Codice della privacy, laddove si prevede che in caso di pubblicazione di sentenze o altri provvedimenti su riviste giuridiche siano omesse le generalità o altre informazioni che rendano identificabili i minori.

Comments(0)

Privacy in Europa: il caso degli SWIFT

http://www.giuristitelematici.it
Un grave deficit di trasparenza nei confronti della clientela, l’assenza di un’adeguata base giuridica per il trasferimento di dati personali ad autorità USA, la mancata consultazione delle autorità di protezione dati: sono queste le principali critiche espresse dai Garanti europei rispetto al caso Swift - la Società per le Telecomunicazioni Finanziarie Interbancarie Mondiali con sede in Belgio - e all’inosservanza delle normative sulla protezione dei dati. I Garanti hanno invitato tutti i soggetti responsabili (Swift, Banche centrali, istituzioni bancarie e finanziarie) a porre rapidamente rimedio alla situazione attuale, onde evitare possibili sanzioni da parte delle autorità nazionali per la protezione dei dati.

Swift è la società, con sede in Belgio, di cui si servono da decenni le banche ed i soggetti operanti nel settore finanziario di tutti i Paesi europei per i trasferimenti internazionali di valuta. Tali trasferimenti riguardano anche Paesi al di fuori dell’Ue, come gli Usa, con tutti i problemi che ciò comporta in termini di adeguato rispetto per i dati personali dei soggetti coinvolti (ad esempio, i soggetti che effettuano il pagamento, o i beneficiari del pagamento stesso).

I Garanti europei, riuniti nel Gruppo di lavoro “Articolo 29″, hanno affrontato questi problemi il 22 e 23 novembre scorso a Bruxelles dopo un’attenta analisi della documentazione e delle informazioni fatte pervenire da Swift, sollecitati anche da articoli di stampa comparsi negli ultimi mesi. In particolare, si trattava di capire in che modo avessero operato Swift e le istituzioni finanziarie che di Swift si servono rispetto alle richieste formulate da autorità federali Usa che, nel quadro della lotta contro le attività terroristiche, più volte avevano chiesto ed ottenuto da Swift di accedere ad informazioni contenute nelle transazioni finanziarie. L’analisi condotta dal Gruppo dei Garanti europei ha portato a stabilire che Swift e le istituzioni finanziarie sono contitolari del trattamento in questione, seppure per aspetti distinti. Entrambi hanno, pertanto, la responsabilità di assicurare il rispetto delle norme europee e nazionali in materia di protezione dei dati.

Swift e le istituzioni finanziarie hanno violato le disposizioni della Direttiva 95/46 in materia di protezione dei dati personali, poiché non hanno informato adeguatamente i clienti della possibilità che i loro dati fossero trasferiti negli Usa per le finalità sopra ricordate. In particolare, Swift ha proceduto a fornire le informazioni richieste dalle autorità Usa senza consultare le autorità nazionali di protezione dati né altri soggetti competenti, mentre le istituzioni finanziarie che di Swift si servono hanno omesso di vigilare adeguatamente sul rispetto delle norme di protezione dati da parte di Swift. I Garanti hanno sottolineato che il trasferimento dei dati personali dei clienti alle autorità federali Usa è stato effettuato senza alcun valido fondamento giuridico e con un grave deficit di trasparenza che non ha consentito il controllo indipendente da parte delle autorità europee per la protezione dei dati.

I Garanti hanno invitato Swift e le istituzioni finanziarie ad adottare rapidamente tutte le misure necessarie, nei rispettivi ambiti, per porre rimedio alla situazione. In caso contrario, si sono riservati l’applicazione di tutte le sanzioni previste dalle norme nazionali in materia. Inoltre, anche le Banche centrali dei singoli Stati membri dovranno fare chiarezza sul proprio ruolo in quanto autorità di vigilanza rispetto all’operato di Swift.

Comments(0)

Sicurezza internet: un filo comune lega malware e spam
 
di Andrea Gelpi 

http://interlex.it
 
 
I disservizi che da parecchi giorni affliggono l’internet in Italia riguardano la posta elettronica, i server DNS e forse la larghezza di banda disponibile sul cosiddetto backbone, cioè la spina dorsale dell’internet italiana. Molti cercano di spiegare questi malfunzionamenti dando la colpa al numero di malware (programmi maligni che affliggono la rete), aumentati in questo periodo.
Proviamo ad analizzare i problemi in modo distinto.
E’ un dato di fatto che i server addetti allo scambio di posta elettronica di alcuni grossi provider italiani sono in crisi. Dai codici di errore che ritornano quando si cerca di inviare un messaggio, viene da pensare che questi server siano saturi. Infatti da un po’ di tempo i server di alcuni di questi provider rispondono con un messaggio di errore, chiedendo di re-inviare il messaggio in un secondo tempo, perché sono troppo occupati. Sembra chiaro che su questi server la quantità di messaggi in arrivo e/o in partenza è molto più alta che in passato. Ma questo è abbastanza normale nel periodo pre-natalizio. Ci deve essere anche qualche cosa d’altro. Sicuramente ci sono molti più messaggi del cosiddetto spam (posta-spazzatura) e generati da malware e worm che purtroppo ancora attecchiscono sulle postazioni di troppi utenti.

Tuttavia la mia impressione è che dal mese di settembre si siano intensificati i tentativi di trovare indirizzi di posta elettronica inviando messaggi e provando, con una ricerca che si potrebbe definire di forza bruta, tutte le possibili combinazioni di lettere che compongono il nome di una mailbox.
Una tecnica usata da alcuni spammer è inviare il messaggio ad un server di posta qualsiasi con un destinatario inesistente, ma un mittente valido, per costringere il server a inviare una e-mail di errore al finto mittente. Lo scopo di questa tecnica è quello di oltrepassare i filtri antispam basati sugli IP dei mittenti.

I maggiori provider soffrono di un ulteriore potenziale problema. Proprio a causa delle loro dimensioni hanno più server dedicati alla posta, in modo di distribuire il carico. In altre parole, quando si invia un messaggio, questo viene immesso sulla rete da un server scelto secondo certi criteri; il messaggio successivo utilizzerà quasi sicuramente un altro dei server disponibili.
Una tecnica di difesa dallo spam, chiamata greylisting, prevede di rifiutare temporaneamente i messaggi se l’indirizzo IP e il mittente non sono inseriti in un apposito elenco creato automaticamente dal filtro. In pratica, la prima volta che il server di posta di un certo mittente manda un messaggio, questo viene rifiutato dal server del destinatario e si chiede al server del mittente di rispedirlo dopo un po’ di tempo.

Quando il server di partenza trova server di ricezione che si difendono, molto efficacemente a dir la verità, con questa tecnica, è costretto a tentare di inviare lo stesso messaggio molte volte, in quanto ad ogni tentativo di invio viene usato un server e quindi un indirizzo IP differente; solo quando il messaggio verrà inviato una seconda volta dallo stesso server sarà accettato dal destinatario. In questi casi il messaggio impiega anche molte ore (durante le quali rimane parcheggiato sul server del mittente) per essere spedito, e più numerosi sono i server che inviano, più aumenta la probabilità che il messaggio sia ritardato sempre più. Questa potrebbe essere una delle cause dei tempi lunghi per l’invio di posta elettronica che gli utenti di alcuni grandi provider riscontrano.

Il problema del gran numero di malware che girano per la rete in questo periodo è indice ancora una volta di scarsa attenzione ai problemi della sicurezza, soprattutto da parte di utenti collegati all’internet mediante ADSL con IP dinamico. Infatti la quantità di virus e worm proveniente da tali IP è ancora troppo alta nonostante di queste cose si parli ormai da molti anni. Tuttavia dare la colpa solo agli utenti non sarebbe giusto.

A mio avviso una grossa responsabilità la hanno anche tutte quelle case di software, le grandi ma anche molte di quelle piccole, che costringono gli utenti ad fare gli amministratori delle proprie postazioni per poter eseguire qualche applicativo, fornendo così un terreno molto fertile a malware che non hanno difficoltà ad installarsi e così tentare poi di propagarsi. Se gli utenti potessero utilizzare le loro postazioni con permessi limitati, molti malware non potrebbero installarsi e i danni alle postazioni degli utenti e i disagi di tutta la rete sarebbero sicuramente minori.
Agli amministratori delle reti invece, va imputata una ancora non sufficiente attenzione al traffico in uscita dalle reti da loro gestite. Impedire che malware vadano in giro per internet cercando di fare danni dovrebbe essere una preoccupazione di tutti gli addetti ai lavori.

I provider segnalano un’esplosione nelle chiamate fatte verso i servizi DNS, al punto da mettere in ginocchio la “risoluzione” dei nomi a dominio e quindi il funzionamento dell’internet stessa. Come ricorda molto bene Claudio Allocchio (Il DNS è l’internet stessa: non si tocca!) il DNS è l’anima dell’internet, nel senso che senza DNS l’internet si ferma, come purtroppo stanno sperimentando molti utenti.
Questo però potrebbe essere solo un effetto secondario, come ipotizza Stefano Chiccarelli (uno dei maggiori esperti di sicurezza dell’internet italiana). Secondo Chiccarelli potrebbe semplicemente trattarsi di un malware scritto male che, invece di scandagliare la rete usando i numeri IP come i suoi predecessori, sta usando i nomi, e quindi per arrivare a destinazione deve necessariamente inviare le proprie richieste ai servizi DNS, saturandoli.

Sulla mailing list di sikurezza.org Marco d’Itri scrive che il problema è generato dal messaggio della finta diffida da parte di un avvocato, che è circolato nei giorni scorsi. Il link incluso contiene un “cavallo di Troia” che una volta installato (se l’utente fa clic sul link incluso nel messaggio), scarica dalla rete un sistema per inviare spam, utilizzando i server di posta degli ISP. Il tutto è gestito, sempre secondo D’Itri, dalla criminalità organizzata russa con la probabile complicità di personaggi che in passato hanno sfruttato spam e dialer.

Può anche darsi che il problema sia legato al backbone italiano, che non è più in grado di sostenere tutto il traffico che su esso converge, ma il fatto che i piccoli provider, che si appoggiano sullo stesso backbone, riescano ad offrire servizi più che accettabili sembra dimostrare il contrario. Il problema dovrebbe essere legato più all’ultimo miglio, dove si sta spingendo per l’ampliamento della banda con ADSL2; manovra più commerciale che altro, visto che la qualità di questi collegamenti è almeno in certe ore della giornata piuttosto scadente, come lamentano molti utenti. Ma il backbone italiano è realmente in grado di supportare il notevole incremento di traffico che la banda larga sull’ultimo miglio permette? Per avere la banda larga, su cui poi veicolare servizi, è necessario innalzare la banda minima garantita, oltre alla banda massima, il che significa allargare di molto la capacità trasmissiva del backbone nazionale.

I problemi potrebbero quindi essere non direttamente collegati l’uno all’altro, anche se il filo comune porta ai malware e allo spam. Le statistiche ci dicono che questi fenomeni sono in aumento e questo potrebbe essere l’inizio di un periodo difficile per la rete in Italia.
Per dovere di cronaca va ricordato che i periodi critici non sono una novità. Basta ricordare le difficoltà di usare la rete agli inizi del 1996, quando decollò l’internet in Italia, o alcuni anni dopo, quando iniziarono a diffondersi le linee ad alta velocità. Ora tuttavia i problemi sembrano diversi, non sono più i fili ad essere incriminati, ma i servizi che sui fili corrono. 

Comments(0)

Garante Privacy: linee guida sul posto di lavoro

http://www.garanteprivacy.it

No ad archivi centralizzati per i dati biometrici, dati sanitari conservati in fascicoli separati, cartellini identificativi a prova di privacy, lavoratori informati sui loro diritti. Il Garante ha definito, per la prima volta in un quadro unitario, misure ed accorgimenti per disciplinare la raccolta e l’uso dei dati personali nella gestione del rapporto di lavoro. Il provvedimento generale, relatore Mauro Paissan, è stato adottato anche in seguito a numerose istanze di lavoratori, organizzazioni sindacali e imprese. A questo provvedimento ne seguiranno altri che affronteranno specifiche tematiche, come l’uso delle e-mail e la navigazione in Internet.

Queste in sintesi i punti principali delle linee guida.
Principi generali 
Il datore di lavoro può trattare informazioni di carattere personale strettamente indispensabili per dare esecuzione al rapporto di lavoro. Deve individuare il personale che  può trattare tali dati e assicurare idonee misure di sicurezza per proteggerli da indebite intrusioni o illecite divulgazioni.

Il lavoratore deve essere informato in modo puntuale sull’uso che verrà fatto dei suoi dati e  gli deve essere consentito di esercitare agevolmente i diritti che la normativa sulla privacy gli riconosce (accesso ai dati, aggiornamento, rettifica, cancellazione etc). Entro 15 giorni dalla richiesta il datore di lavoro è tenuto a comunicare in modo chiaro tutte le informazioni in suo possesso
Cartellini identificativi, Intranet, bacheche aziendali
Nelle aziende private può essere eccessivo indicare sul cartellino identificativo del dipendente dati anagrafici o generalità: a seconda dei casi può bastare un codice identificativo o il solo nome o solo il ruolo professionale.

Senza consenso non si possono comunicare informazioni  ad associazioni di datori di lavoro, di ex dipendenti o a conoscenti, familiari, parenti. Il consenso è necessario anche per pubblicare informazioni personali (foto, curricula) nella Intranet aziendale e a maggior ragione in Internet. Nella bacheca aziendale possono essere affissi solo ordini di servizio,  turni lavorativi o feriali. Non si possono invece diffondere emolumenti percepiti,  sanzioni disciplinari, assenze per malattia, adesione ad associazioni.
Dati sanitari
I dati sanitari vanno conservati in fascicoli separati. Il lavoratore  assente per malattia è tenuto a consegnare al proprio ufficio un  certificato senza la diagnosi ma con la sola indicazione dell’inizio e della durata presunta dell’infermità.  Il datore di lavoro non può accedere alle cartelle sanitarie dei dipendenti sottoposti ad accertamenti dal medico del lavoro. Nel caso di denuncia  di infortuni o malattie professionali all’Inail, il datore di lavoro deve limitarsi a  comunicare solo le informazioni connesse alla patologia denunciata.
Dati biometrici
Non è lecito l’uso generalizzato e incontrollato di dati biometrici, specie se ricavati dalle impronte digitali. L’uso può essere giustificato solo in casi particolari, per presidiare, ad esempio, accessi ad “aree sensibili” (processi produttivi pericolosi, locali destinati a custodia di beni, documenti riservati).  Anche quando l’uso è consentito non è ammessa la costituzione di banche dati centralizzate: è infatti sufficiente la memorizzazione su una smart card in uso esclusivo del dipendente.

Comments(0)

Crimine informatico: in arrivo la Cyberwar nel 2007 

http://www.italiatv.it

Gli hacker lanceranno nel 2007 una nuova campagna della loro “guerra informatica” multimiliardaria che colpirà telefonini, messaggi istantanei e le comunità dei siti Internet di condivisione come MySpace. Lo prevedono esperti di sicurezza informatica. Con la gente diventata sempre più prudente con le truffe via email, le organizzazioni criminali della Rete cercheranno altri metodi per commettere frodi online, vendere beni contraffatti o rubare segreti aziendali. “Gli attacchi stanno diventano sempre più sofisticati”, ha detto a Reuters Dave Rand della società di sicurezza Internet Trend Micro. “E’ tutta una questione di soldi. E (i pirati informatici) ne fanno molti”. Nel 2007, gli hacker attaccheranno i siti di social network come MySpace per raccogliere informazioni personali, in modo da lanciare offensive più mirate ai computer degli utenti. “E’ sicuramente un’area terreno fertile per i malware (software maligni)”, ha detto Ed English, amministratore delegato di Trend Micro per l’anti-spyware. I computer potrebbero venire colpiti da virus che registrano tutte le operazioni principali e inviano milioni di messaggi spam via email. I pirati informatici si infiltreranno nei siti che permettono agli utenti di pubblicare foto e dettagli personali, trovando obiettivi facili per attacchi di “phishing” — email ingannevoli che spingono le persone a fornire i dati delle loro carte di credito. “E’ il modo più facile per i pirati dello spyware per ricostruire il ritratto di un utente”, ha detto English. Gli hacker prenderanno di mira anche le persone che utilizzano servizi di messaggi istantanei o programmi per effettuare telefonate online nel 2007, dice Trend Micro. Anche i telefoni di ultima generazione, insieme ai computer portatili, diventeranno un obiettivo dei pirati informatici che cercano di superare le strette misure di sicurezza per rubare email, documenti o contatti, secondo quanto riferito dalla società di sicurezza informatica McAfee. Secondo Trend Micro anche le nuove versioni dei software di Microsoft, il browser Internet Explorer e il sistema operativo Vista, saranno presi di mira dagli hacker.

Comments(0)

Trasparenza e privacy nella Pubblica Amministrazione
Articolo di Giuseppina Volucello    
Tratto da http://iniziativa.info
La disciplina concernente la tutela dei dati personali si atteggia in modo particolare nei riguardi dei soggetti pubblici e dell’attività amministrativa. In questo settore, il trattamento assume caratteristiche qualitative e quantitative di assoluto rilievo. Il legame tra la pubblica amministrazione e gli organi titolari di poteri politici impone di circondare il trattamento dei dati personali di adeguate cautele, volte a salvaguardare il regolare funzionamento delle istituzioni democratiche.

Ma non c’è solo il rischio di abusi da parte del soggetto pubblico. Un trattamento inappropriato dei dati personali da parte delle amministrazioni, le quali detengono una massa ingente di informazioni relative a soggetti determinati, può rappresentare, sul piano della probabilità statistica, la fonte più ricorrente, ancorché correlata ad ulteriori condotte di diffusione svolte da privati, del pregiudizio all’interesse alla riservatezza. Il pericolo deriva dalla circostanza che il trattamento dei dati personali dai soggetti pubblici, pur subordinato ad alcune regole peculiari, non richiede il consenso dell’interessato. Al tempo stesso però, l’esigenza di incoraggiare un controllo diffuso sui comportamenti amministrativi spinge verso un ampliamento della visibilità dei flussi informativi di cui dispone il soggetto pubblico. In questo contesto, articolato e complesso, emerge, inevitabilmente, la contrapposizione tra due principi nettamente distinti, destinati a realizzare una antitesi frontale: a) il criterio portante della trasparenza amministrativa, attuato, con forza, dalle leggi ordinamentali amministrative (legge n. 241/1990; decreto legislativo n. 29/1993; testo unico degli enti locali n. 267/2000), e direttamente correlato al valore costituzionale dell’imparzialità e del buon andamento; b) il canone della protezione della riservatezza, anch’esso presente nella normativa primaria ed espressivo di regole di rango costituzionale, attinenti alla salvaguardia dei diritti inviolabili personali. L’interferenza tra i due principi propone svariati problemi applicativi, derivanti da molteplici fattori: 1) il quadro normativo, pur ricco e variegato, non pare offrire, ancora, opzioni risolutive chiare ed univoche, se non in relazione ad aspetti relativamente marginali del problema; 2) le prassi amministrative risultano ancora molto incerte, anche in relazione alla definizione dell’assetto regolamentare dei singoli settori; 3) la giurisprudenza manifesta atteggiamenti articolati e non sufficientemente consolidati, benché riguardanti un’ampia casistica; 4) in questo ambito, gli stessi interventi del Garante non forniscono indicazioni interpretative del tutto appaganti, oscillando tra l’affermazione di una assoluta prevalenza del valore della riservatezza (almeno con riferimento ai dati sensibili), e la persistente operatività del sistema della trasparenza amministrativa (con riguardo specifico alla disciplina dell’accesso ai documenti). La questione del rapporto tra privacy e trasparenza dei soggetti pubblici si è concentrata, in modo pressoché esclusivo, nella definizione dei limiti del diritto di accesso ai documenti amministrativi. Dal punto di vista della normativa sui dati personali, la conoscenza da parte dei terzi consentita dall’amministrazione rappresenta una specifica forma di “trattamento” dei dati (comunicazione o diffusione), suscettibile di arrecare un notevole pregiudizio alla sfera giuridico patrimoniale dell’interessato. In questa direzione, si spiega la costruzione dell’articolo 27 della legge n. 675/1996, il quale, completando la disciplina applicabile al trattamento effettuato dai soggetti pubblici, detta una disposizione generale ed una speciale. La norma generale subordina il trattamento dei dati alla circostanza che esso sia funzionale allo svolgimento delle attività istituzionali del soggetto pubblico: le norme di legge o di regolamento possono introdurre solo “limiti” (essenzialmente negativi) a tale facoltà. Per l’attività di diffusione e di comunicazione dei dati personali, invece, la specifica norma legislativa o regolamentare rappresenta il necessario presupposto (positivo) legittimante l’attività del soggetto pubblico. La maggiore severità imposta dal legislatore risulta coerente con l’idea che il pericolo di lesione del diritto alla privacy dell’interessato assume la massima dimensione quando il dato personale fuoriesce dalla sfera di controllo dell’amministrazione. D’altro canto, nell’ambito della normativa riguardante l’accesso, la rilevanza della riservatezza come possibile limite alla ostensibilità dei documenti amministrativi è costantemente riconosciuta, a livello sia legislativo che regolamentare, salva la difficoltà interpretativa di precisare l’effettiva misura di questo risalto. Dunque, entrambi i microsistemi normativi, quello della trasparenza amministrativa e quello della protezione dei dati personali, avvertono la sussistenza di un problema di coesistenza (o di opposizione) fra interessi giuridici eterogenei, potenzialmente conflittuali. La giurisprudenza amministrativa (e, in misura meno frequente, quella ordinaria) ha, in primo luogo, affrontato la questione del riparto di giurisdizione. Si tratta di stabilire a quale giudice spettano le controversie in cui siano implicate, al tempo stesso, la pretesa all’accesso ai documenti amministrativi e la contrapposta situazione giuridica relativa alla tutela della riservatezza. Il dato normativo non esprime con assoluta chiarezza l’opzione legislativa. Secondo l’articolo 29, comma 8, della legge n. 675/1996, “tutte le controversie, ivi comprese quelle inerenti al rilascio dell’autorizzazione di cui all’articolo 22, comma 1, o che riguardano, comunque, l’applicazione della presente legge, sono di competenza dell’autorità giudiziaria ordinaria”. Secondo l’articolo 25, comma 5, della legge n. 241/1990, invece, “contro le determinazioni amministrative concernenti il diritto di accesso e nei casi previsti dal comma 4 è dato ricorso, nel termine di trenta giorni, al tribunale amministrativo regionale”. Nonostante alcune perplessità emerse nella dottrina, la soluzione della giurisprudenza è costantemente nel senso della giurisdizione amministrativa, tanto nel contesto precedente l’entrata in vigore della legge n. 675/1996, quanto nell’assetto conseguente alla nuova disciplina in tema di privacy. L’indirizzo si collega strettamente all’idea secondo cui l’articolo 25, della legge n. 241/1990 prevede un’ipotesi di giurisdizione esclusiva amministrativa, relativa alla valutazione della legittimità della determinazione amministrativa sulla richiesta di accesso, a nulla rilevando la consistenza delle posizioni giuridiche coinvolte, o comunque poste alla base degli interessi fatti valere in giudizio. In questo senso, si afferma che sussiste la competenza del giudice amministrativo sulle controversie in tema di accesso agli atti amministrativi ex art. 25, l. 7 agosto 1990 n. 241, anche nel caso in cui il relativo giudizio sia promosso nei riguardi di un ente che, per perseguire le proprie finalita’ istituzionali, svolge in tutto o in parte un’attivita’ “iure privatorum”. L’istituto dell’accesso, che e’ escluso nei soli casi espressamente stabiliti dalla legge e puo’ esser escluso solo nei confronti di chi, senza alcun interesse, intende ingerirsi nella sfera delle libere valutazioni della p.a. - in ordine alla convenienza delle scelte da adottare -, serve a una piu’ diffusa conoscenza dei processi decisionali, intende favorire la partecipazione e il controllo sui comportamenti dei soggetti che agiscono per conto della p.a. e, infine, svolge un compito deflattivo del contenzioso. Nella specie, un’azienda speciale, costituita da un comune ai sensi dell’art. 23, l. 8 giugno 1990 n. 142, aveva indetto una procedura pubblica di selezione per l’assunzione di alcuni addetti tra i soggetti piu’ capaci e meritevoli, con cio’ ponendo in essere un procedimento di natura comparativa con criteri precostituiti, i cui atti sono quindi accessibili come quelli di un concorso a pubblici impieghi, attesa la compresenza dell’aspetto soggettivo e di quello oggettivo della gestione di un servizio pubblico (Consiglio Stato sez. V, 1 ottobre 1999, n. 1248, Foro amm. 1999, 2066). In senso analogo, si è precisato che il diritto d’accesso relativo alla documentazione pertinente alla procedura giurisdizionale esecutiva di rilascio dell’immobile, riguarda atti e documenti che si riferiscono a un procedimento soggettivamente ed oggettivamente amministrativo, perche’ espletato da organi dell’amministrazione dell’interno in funzione di un interesse pubblico, ancorche’ strumentale all’esercizio della funzione giurisdizionale devoluta al giudice dell’esecuzione in materia di sfratti: la richiesta d’accesso rientra, pertanto, nella competenza esclusiva del giudice amministrativo (Consiglio Stato sez. IV, 3 agosto 1995, n. 589, Giur. it. 1996, III, 1, 147). Si tratta di un indirizzo che, in termini generali, è condiviso anche dalla Cassazione, secondo la quale, il diritto di accesso ai documenti amministrativi spetta a chiunque vi abbia un interesse personale e concreto per la tutela di situazioni giuridicamente rilevanti, che ricorrono, per espressa previsione di legge, nell’ipotesi in cui la conoscenza di documenti sia necessaria ai singoli per “curare o difendere i loro interessi”. La distinzione fra “conoscenza del documento” e “difesa degli interessi del privato” e il nesso di strumentalita’ tra l’una e l’altra rende palese che la pendenza di un procedimento giurisdizionale (nel quale siano rilevanti i documenti in questione) non e’ di per se’ preclusivo della sperimentabilita’ del procedimento speciale previsto dall’art. 25 della l. n. 241 del 1990 e riservato alla giurisdizione speciale del giudice amministrativo. In questo contesto, e’ inammissibile la doglianza di difetto di giurisdizione compendiantesi nel rilievo dell’inesistenza della legittimazione al procedimento speciale previsto dalla disposizione indicata, potendo i documenti di cui trattasi essere acquisiti secondo le regole proprie del procedimento giurisdizionale in corso. In tal caso, infatti, non si pone una questione di giurisdizione in senso tecnico, ma una questione di merito relativa all’esistenza o meno del diritto di accesso (Cassazione civile sez. un., 28 maggio 1998, n. 5292). Il carattere esclusivo della giurisdizione, poi, conduce ad affermare che le doglianze in tema di accesso ai documenti amministrativi non possono essere fatte valere in sede di ricorso straordinario al presidente della Repubblica, in quanto la legge prevede all’uopo un apposito procedimento attivabile dinanzi al giudice amministrativo. (Fattispecie relativa al diniego di accesso opposto ad un appuntato in congedo della Guardia di finanza circa il carteggio inerente alla proposta applicazione nei suoi confronti di una sanzione disciplinare di stato ( Consiglio Stato sez. III, 9 giugno 1998, n. 32, Cons. Stato 1999, I, 1049). Detto indirizzo ha l’indubbio pregio di semplificare notevolmente una questione non risolta, in modo adeguato, dal legislatore. Alla base di questa linea interpretativa si pone anche l’argomento testuale secondo cui l’articolo 43 della legge n. 675/1996 ha espressamente fatto salva la precedente normativa in materia di accesso ai documenti, comprendendo, implicitamente, anche la disciplina relativa alla tutela processuale.

Comments(0)