Malattia e certificati medici, non indicare la diagnosi

In assenza di specifiche disposizioni, il lavoratore assente per malattia presentare un certificato medico con indicata esclusivamente la prognosi, con indicazione dell’inizio e della durata della malattia. Non si deve indicare la diagnosi.

La normativa prevede difatti che la raccolta da parte del datore di lavoro di certificazioni mediche dei dipendenti comprensive di diagnosi è consentita solo se espressamente prevista da specifiche disposizioni.

Comments(0)

Devi fare il Documento Programmatico? Hai meno di 10 dipendenti? Fino al 31/08/08 è attiva la promozione Easy Privacy (sconto 50% da 450€ a 225€<). Facciamo noi il tuo documento programmatico sulla sicurezza.Ti metti in regola e risparmi tempo (e quindi risorse) e ottieni un documento professionale redatto da consulenti che hanno alle spalle 10 anni di esperienza nel settore privacy. Invio del Documento programmatico su CD consultabile, stampabile e modificabile.

Il servizio è rivolto solo alle piccole strutture e non prevede l’assistenza successiva di un consulente personale.
I tempi di realizzazione sono di 7 giorni dalla prenotazione del servizio e sono così contenuti grazie alla nostra esperienza e alla vostra conoscenza della realtà aziendale. Prenota il servizio: www.consulentiprivacy.it/easyprivacy.htm

Comments(0)

Il requisito di legge è che il documento sia aggiornato almeno annualmente. Coloro che si sono adeguati alle diverse e differenti scadenze (giugno, dicembre, marzo) non devono aggiornare obbligatoriamente a marzo. E’ sufficiente che non detengano un documento di oltre 12 mesi.

Comments(0)

L’Azienda Sanitaria della Valle d’Aosta ha inviato ai cittadini i cui medici non hanno comunicato il loro consenso all’Asl stessa, un’informativa sul trattamento dei dati personali e la relativa richiesta di consenso. In medici avrebbero dovuto informare e chiedere il consenso ai cittadini, dopo di che, avrebbero dovuto comunicare con la Asl, in modo da evitare una doppia richiesta.

I cittadini dovranno esprimere il loro consenso entro il 15 marzo, salvo i trattamenti urgenti e di quelli disposti dall’autorità pubblica, per i quali il consenso non è necessario. In caso di mancato consenso si parla di “impossibilità di erogare le prestazioni sanitarie e socio-sanitarie”.
La notizia ha dell’incredibile. Già è abbastanza difficile pensare alla necessità di un consenso scritto per le prestazioni ordinarie erogate in ospedale. Cosa diversa le prestazioni sperimentali per le quali è comprensibile la necessità di un consenso scritto. Ve lo immaginate il cittadino che si reca alla Asl per una prestazione e non gli viene erogata perché non ha dato il consenso? Ma non lo poteva dare direttamente alla Asl al primo contatto? Ma non è possibile gestire un consenso informatico che eviti l’accumulo di scartoffie e il moltiplicarsi delle firme?

Comments(0)

Linee guida, il Garante detta regole per i dipendenti delle pubbliche amministrazioni

Si chiamano “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico” e sono state dettate dal Garante Privacy per disciplinare l’utilizzo dei dati dei dipendenti della Pubblica Amministrazione. Tra gli argomenti trattati: la regolamentazione dei dati sanitari riguardanti i lavoratori protetti, l’impiego delle impronte digitali come lasciapassare per l’accesso al luogo di lavoro, la pubblicazione di dati personali su Internet nel rispetto dell’indispensabilità del trattamento ecc. Il provvedimento contempera e bilancia la tutela della privacy con altri diritti senza venire meno al principio di trasparenza nell’operato della pubblica amministrazione.

Comments(0)

Foto e filmati nelle scuole, i genitori possono farlo liberamente se non diffondono le immagini

Riprese e foto di recite a scuola o di altri eventi possono essere fatte tranquillamente dai genitori. Le immagini registrate o scattate difatti non sono destinate alla diffusione o comunicazione ma solamente ad un uso personale (amici e parenti inclusi). 
Questo non vale ovviamente qualora queste immagini o foto siano diffuse, ad esempio pubblicate su un sito internet personale, su un blog o su un giornalino.

Comments(0)

Carte di credito e emails controllate per chi vola negli USA

di Enrico Brivio

http://ilsole24ore.com

Da Londra si è levato ieri un grido di allarme per la scarsa tutela della privacy dei viaggiatori europei verso gli Stati Uniti: secondo il quotidiano «Daily Telegraph», l’accordo antiterrorismo tra Usa e Ue raggiunto in ottobre sul trasferimento dei dati permette alle autorità americane di avere un ampio accesso alle transazioni effettuate con carte di credito e ai messaggi email dei passeggeri aerei.
Facendo riferimento a documenti ottenuti dal dipartimento dei Trasporti britannico, il quotidiano euroscettico inglese sostiene che le agenzie governative americane, disponendo dei dati della carta di credito del viaggiatore, possono ispezionare anche transazioni finanziarie che vanno al di là dell’acquisto del biglietto; inoltre, l’accesso alla casella di posta elettronica permetterebbe agli ispettori di Washington di avere accesso anche a messaggi non legati agli scambi con la compagnia aerea. Una situazione che ha portato Shami Chakrabarti, direttore dell’organizzazione per i diritti umani Liberty, a dirsi «inorridito»: «È la rinuncia ai diritti delle persone che viaggiano negli Stati Uniti».
Da Bruxelles,fonti comunitarie hanno però gettato acqua sul fuoco, sostenendo che sia i dati sui movimenti delle carte di credito sia quelli relativi a messaggi email «esulano dal quadro dell’accordo UsaUe». Il numero dicartadicredito e di indirizzo email sarebbero trasmessi solo per verificare l’identità del viaggiatore. Funzionari europei hanno poi precisato che le autorità americane hanno garantito che eventuali accertamenti saranno circoscritti a casi sospetti. Inoltre, l’Fbi e altre agenzie Usa si sono impegnate a garantire lo stesso livello di protezione della privacy offerto dall’Ufficio americano delle dogane, che già otteneva i dati dei passeggeri europei dopo l’11 settembre. L’intesa sul trasferimento dati costituisce un accordo ponte valido fino al luglio 2007, in attesa di negoziare con Washington un sistema definitivo. Negoziato che, secondo quanto affermato dal vicepresidente della Commissione Ue, Franco Frattini, potrebbe quest’anno essere affiancato da un’altra trattativa con le autorità americane per garantire la privacy dei dati bancari trasmessi dal consorzio Swift.
L’accordo UsaUe in vigore sui dati dei passeggeri è stato siglato in ottobre dopo un tormentato negoziato. L’intesa ha sostituito un precedente protocollo d’intesa del 2004, annullato in maggio dalla Corte di Giustizia Ue, per l’errata base legale. Sono ora 34 i diversi tipi di informazioni ( come nominativo,indirizzo, numero di telefono e carta di credito,ect.) trasmessi alle autorità americane. L’ultimo accordo ha previsto che il dipartimento Usa di Sicurezza interna possa «diffonderle più facilmente» verso altre agenzie, garantendo però lo stesso livello di privacy.

Comments(0)

Sicurezza sul web, una questione legale

di Gianni Rusconi

http://ilsole24ore.com

Le minacce per la sicurezza dei dati aziendali sono una priorità assoluta per i responsabili dei sistemi informativi. A maggior ragione perché le stesse non arrivano solo dal Web, ma anche da comportamenti incauti, abusivi e talvolta anche volutamente scorretti dei dipendenti. Esiste quindi un modello perfetto per tutelarsi da appropriazioni indebite di bit salvaguardando nel contempo i diritti dei lavoratori? Ribadito il concetto, e lo affermano tutti report delle principali società del settore, che gli attacchi informatici perpetuati attraverso la Rete sono oggi finalizzati a catturare informazioni a scopo di lucro o di estorsione, non va dimenticato che la problematica della security si allarga anche alla sfera normativa, alle implicazioni legali che l’adozione o meno di particolari policy aziendali possono generare.

Vi sono, per essere concreti, limiti o divieti circa il controllo dell’utilizzo di Internet e della posta elettronica da parte dei lavoratori?

L’ordinamento italiano regolarizza l’adozione di soluzioni o apparati dediti alla protezione dei sistemi informativi aziendali da attacchi informatici o da altre violazioni?

Domande a cui può rispondere solo un esperto di diritto informatico e per questo il Sole24ore.com ha chiesto lumi in materia a Gabriele Fagioli, avvocato di Milano, nonché docente al Mip – Politecnico di Milano e presidente dell’Angap (Associazione Nazionale Garanzia della Privacy), che con lo specialista Websense ha prodotto un dettagliato “white paper” inerente le implicazioni legali della Web security.

In Italia abbiamo una legislazione ad hoc dedicata alla sicurezza informatica?
Dal 1993, quando furono introdotte le prime normative in materia di crimini informatici (L. 547/93, ndr), a oggi è avvenuta una vera e propria rivoluzione nel settore del diritto delle nuove tecnologie. Nel corso degli anni l’evoluzione tecnologica ha determinato l’introduzione di nuovi concetti giuridici e relativi nuovi articoli del codice penale dedicati a frode informatica, virus, posta elettronica, nuove forme di licenza del software.

L’ordinamento giuridico italiano è, secondo lei, adeguato rispetto alla complessità del problema?
Premesso che tecnologie e mercati si evolvono molto più velocemente del diritto e che i possibili danni derivanti da problematiche legate all’It sono difficilmente quantificabili con criteri certi, ritengo che la legge del 1993, con tutti gli interventi di modifica apportati, sia attuale. Qualcosa da rivisitare c’è ma di fatto si è raggiunta la quadratura del cerchio e siamo anche in linea con il quadro normativo internazionale, a sua volta evolutosi con le direttive in materia di Information Technology emanate dal 2000 in poi.

Per un’azienda è un fattore prioritario conoscere i risvolti legali legati all’adozione di soluzioni di sicurezza?
Innanzitutto è vitale che comprendano i comportamenti informatici dei propri addetti e che individuino le eventuali falle del sistema. Al momento di implementare una policy di sicurezza è bene che conoscano anche le sfumature di legge.

Quali sono le maggiori difficoltà che incontrano le aziende italiane circa gli aspetti legali della security?
Sono varie e variegate. Dalla scarsa conoscenza delle norme applicabili all’esistenza di errate prassi consolidate, dalla limitata attenzione verso alcune previsioni contrattuali alla mera paura delle sanzioni penali, dalla scarsa percezione del rischio di infezioni alla carenza di gestione strutturata da parte dei fornitori di soluzioni It e di servizi di telecomunicazione.

Cosa dice la legge in fatto di misure minime di sicurezza da adottare?
La normativa in materia di dati personali impone ai titolari del trattamento degli stessi l’adozione di misure idonee a ridurre al minimo i rischi di distruzione o perdita anche parziale dei dati. È prescritto l’utilizzo di sistemi di autenticazione, di autorizzazione, di soluzioni antivirus e di protezione da intrusioni maligne e anche di soluzioni di sicurezza volte a evitare o prevenire la commissione di reati da parte dei dipendenti, come il download di file a contenuto pedopornografico o lo scambio di file audio e video protetti da diritto d’autore. In linea generale si può affermare che un’azienda può controllare il pc di un dipendente per prevenirne gli abusi ma non può fare di questa attività un utilizzo distorto e finalizzato al monitoraggio della prestazione lavorativa.

I comportamenti dei dipendenti chiamano in causa il fattore privacy: la normativa abbraccia tutti i possibili aspetti della questione?
Il decreto legislativo 196/2003, denominato anche Codice della privacy, disciplina in dettaglio le misure minime e idonee di sicurezza a protezione dei dati personali trattati con sistemi informatici, la responsabilità civile in capo all’azienda quale persona giuridica, le sanzioni penali e amministrative, le procedure di controllo dei lavoratori. Va detto in aggiunta che la casistica penale è ancora limitata e che la generalizzata scarsa competenza nell’utilizzo del computer è spesso fonte di violazioni involontarie. Entrano in gioco quindi valutazioni e interpretazioni differenti circa le lesività o meno di alcuni comportamenti, il fatto che siano dolosi, la soglia etica dell’accesso a Internet, le dinamiche di utilizzo di gruppo degli strumenti informatici.

Potrebbe sintetizzare l’atteggiamento ideale che le aziende dovrebbero avere verso il problema nel suo complesso?
Il legislatore e il garante fissano diritti e doveri per lavoratori e aziende. Ciò che è auspicabile e opportuno è una linea di condotta equilibrata fra corretta interpretazione delle norme e utilizzo delle risorse e funzionalità tecnologiche.

Come potrebbe cambiare il quadro normativo esistente fra tre/cinque anni?
In futuro è lecito pensare che vi saranno ancora più restrizioni a livello di misure di sicurezza da adottare ma difficilmente le nuove norme fisseranno nuove previsioni penali. Occorrerà garantire sempre e comunque massima corrispondenza fra i parametri regolatori e i dettami che regolano i diritti del lavoratore.

Comments(0)

Garante privacy : richiamo alla legge sulle adozioni e al codice dei giornalisti

di Mauro W. Giannini

http://www.osservatoriosullalegalita.org

L’Autorita’ garante per la privacy ha ribadito che non si può pubblicare senza il consenso dei genitori la notizia che un minore è stato adottato. Lo vietano - ricorda il Garante - la normativa sulla privacy, il codice deontologico dei giornalisti e la legge sulle adozioni.

Come evidenziato in piu’ occasioni, il Garante ha ribadito infatti che le informazioni sullo stato di adozione sono oggetto di una speciale protezione. Per tutelare la personalità dell’adottato e la sua famiglia la legge, infatti, stabilisce che siano i genitori adottivi a decidere i modi e i tempi per informare il minore della sua condizione. E a garanzia degli interessati la normativa individua limiti rigorosi, anche penali, riguardo alla diffusione di questa informazione.

L’autorita’ presieduta da Francesco Pizzetti non dimentica il delicato problema del bilanciamento tra diritto di cronaca e diritti dei cittadini, ma sottolinea che nelle cronache riguardanti minori, i giornalisti devo rispettare con particolare rigore la regola dell’essenzialità dell’informazione. Il codice deontologico prescrive infatti una forte tutela della personalità dei minori, giungendo ad affermare che il loro diritto alla riservatezza deve essere sempre considerato come primario rispetto al diritto di cronaca.

L’esigenza di una particolare cautela da parte del giornalista trova conferma anche in altre disposizioni del Codice della privacy, laddove si prevede che in caso di pubblicazione di sentenze o altri provvedimenti su riviste giuridiche siano omesse le generalità o altre informazioni che rendano identificabili i minori.

Comments(0)

Sicurezza internet: un filo comune lega malware e spam
 
di Andrea Gelpi 

http://interlex.it
 
 
I disservizi che da parecchi giorni affliggono l’internet in Italia riguardano la posta elettronica, i server DNS e forse la larghezza di banda disponibile sul cosiddetto backbone, cioè la spina dorsale dell’internet italiana. Molti cercano di spiegare questi malfunzionamenti dando la colpa al numero di malware (programmi maligni che affliggono la rete), aumentati in questo periodo.
Proviamo ad analizzare i problemi in modo distinto.
E’ un dato di fatto che i server addetti allo scambio di posta elettronica di alcuni grossi provider italiani sono in crisi. Dai codici di errore che ritornano quando si cerca di inviare un messaggio, viene da pensare che questi server siano saturi. Infatti da un po’ di tempo i server di alcuni di questi provider rispondono con un messaggio di errore, chiedendo di re-inviare il messaggio in un secondo tempo, perché sono troppo occupati. Sembra chiaro che su questi server la quantità di messaggi in arrivo e/o in partenza è molto più alta che in passato. Ma questo è abbastanza normale nel periodo pre-natalizio. Ci deve essere anche qualche cosa d’altro. Sicuramente ci sono molti più messaggi del cosiddetto spam (posta-spazzatura) e generati da malware e worm che purtroppo ancora attecchiscono sulle postazioni di troppi utenti.

Tuttavia la mia impressione è che dal mese di settembre si siano intensificati i tentativi di trovare indirizzi di posta elettronica inviando messaggi e provando, con una ricerca che si potrebbe definire di forza bruta, tutte le possibili combinazioni di lettere che compongono il nome di una mailbox.
Una tecnica usata da alcuni spammer è inviare il messaggio ad un server di posta qualsiasi con un destinatario inesistente, ma un mittente valido, per costringere il server a inviare una e-mail di errore al finto mittente. Lo scopo di questa tecnica è quello di oltrepassare i filtri antispam basati sugli IP dei mittenti.

I maggiori provider soffrono di un ulteriore potenziale problema. Proprio a causa delle loro dimensioni hanno più server dedicati alla posta, in modo di distribuire il carico. In altre parole, quando si invia un messaggio, questo viene immesso sulla rete da un server scelto secondo certi criteri; il messaggio successivo utilizzerà quasi sicuramente un altro dei server disponibili.
Una tecnica di difesa dallo spam, chiamata greylisting, prevede di rifiutare temporaneamente i messaggi se l’indirizzo IP e il mittente non sono inseriti in un apposito elenco creato automaticamente dal filtro. In pratica, la prima volta che il server di posta di un certo mittente manda un messaggio, questo viene rifiutato dal server del destinatario e si chiede al server del mittente di rispedirlo dopo un po’ di tempo.

Quando il server di partenza trova server di ricezione che si difendono, molto efficacemente a dir la verità, con questa tecnica, è costretto a tentare di inviare lo stesso messaggio molte volte, in quanto ad ogni tentativo di invio viene usato un server e quindi un indirizzo IP differente; solo quando il messaggio verrà inviato una seconda volta dallo stesso server sarà accettato dal destinatario. In questi casi il messaggio impiega anche molte ore (durante le quali rimane parcheggiato sul server del mittente) per essere spedito, e più numerosi sono i server che inviano, più aumenta la probabilità che il messaggio sia ritardato sempre più. Questa potrebbe essere una delle cause dei tempi lunghi per l’invio di posta elettronica che gli utenti di alcuni grandi provider riscontrano.

Il problema del gran numero di malware che girano per la rete in questo periodo è indice ancora una volta di scarsa attenzione ai problemi della sicurezza, soprattutto da parte di utenti collegati all’internet mediante ADSL con IP dinamico. Infatti la quantità di virus e worm proveniente da tali IP è ancora troppo alta nonostante di queste cose si parli ormai da molti anni. Tuttavia dare la colpa solo agli utenti non sarebbe giusto.

A mio avviso una grossa responsabilità la hanno anche tutte quelle case di software, le grandi ma anche molte di quelle piccole, che costringono gli utenti ad fare gli amministratori delle proprie postazioni per poter eseguire qualche applicativo, fornendo così un terreno molto fertile a malware che non hanno difficoltà ad installarsi e così tentare poi di propagarsi. Se gli utenti potessero utilizzare le loro postazioni con permessi limitati, molti malware non potrebbero installarsi e i danni alle postazioni degli utenti e i disagi di tutta la rete sarebbero sicuramente minori.
Agli amministratori delle reti invece, va imputata una ancora non sufficiente attenzione al traffico in uscita dalle reti da loro gestite. Impedire che malware vadano in giro per internet cercando di fare danni dovrebbe essere una preoccupazione di tutti gli addetti ai lavori.

I provider segnalano un’esplosione nelle chiamate fatte verso i servizi DNS, al punto da mettere in ginocchio la “risoluzione” dei nomi a dominio e quindi il funzionamento dell’internet stessa. Come ricorda molto bene Claudio Allocchio (Il DNS è l’internet stessa: non si tocca!) il DNS è l’anima dell’internet, nel senso che senza DNS l’internet si ferma, come purtroppo stanno sperimentando molti utenti.
Questo però potrebbe essere solo un effetto secondario, come ipotizza Stefano Chiccarelli (uno dei maggiori esperti di sicurezza dell’internet italiana). Secondo Chiccarelli potrebbe semplicemente trattarsi di un malware scritto male che, invece di scandagliare la rete usando i numeri IP come i suoi predecessori, sta usando i nomi, e quindi per arrivare a destinazione deve necessariamente inviare le proprie richieste ai servizi DNS, saturandoli.

Sulla mailing list di sikurezza.org Marco d’Itri scrive che il problema è generato dal messaggio della finta diffida da parte di un avvocato, che è circolato nei giorni scorsi. Il link incluso contiene un “cavallo di Troia” che una volta installato (se l’utente fa clic sul link incluso nel messaggio), scarica dalla rete un sistema per inviare spam, utilizzando i server di posta degli ISP. Il tutto è gestito, sempre secondo D’Itri, dalla criminalità organizzata russa con la probabile complicità di personaggi che in passato hanno sfruttato spam e dialer.

Può anche darsi che il problema sia legato al backbone italiano, che non è più in grado di sostenere tutto il traffico che su esso converge, ma il fatto che i piccoli provider, che si appoggiano sullo stesso backbone, riescano ad offrire servizi più che accettabili sembra dimostrare il contrario. Il problema dovrebbe essere legato più all’ultimo miglio, dove si sta spingendo per l’ampliamento della banda con ADSL2; manovra più commerciale che altro, visto che la qualità di questi collegamenti è almeno in certe ore della giornata piuttosto scadente, come lamentano molti utenti. Ma il backbone italiano è realmente in grado di supportare il notevole incremento di traffico che la banda larga sull’ultimo miglio permette? Per avere la banda larga, su cui poi veicolare servizi, è necessario innalzare la banda minima garantita, oltre alla banda massima, il che significa allargare di molto la capacità trasmissiva del backbone nazionale.

I problemi potrebbero quindi essere non direttamente collegati l’uno all’altro, anche se il filo comune porta ai malware e allo spam. Le statistiche ci dicono che questi fenomeni sono in aumento e questo potrebbe essere l’inizio di un periodo difficile per la rete in Italia.
Per dovere di cronaca va ricordato che i periodi critici non sono una novità. Basta ricordare le difficoltà di usare la rete agli inizi del 1996, quando decollò l’internet in Italia, o alcuni anni dopo, quando iniziarono a diffondersi le linee ad alta velocità. Ora tuttavia i problemi sembrano diversi, non sono più i fili ad essere incriminati, ma i servizi che sui fili corrono. 

Comments(0)