Trattamento di dati sensibili Università degli Studi di Milano Polo didattico e di ricerca di Crema Dipartimento di Tecnologie dell’Informazione Corso.

Presentazione sul tema: "Trattamento di dati sensibili Università degli Studi di Milano Polo didattico e di ricerca di Crema Dipartimento di Tecnologie dell’Informazione Corso."— Transcript della presentazione:

1 Trattamento di dati sensibili Università degli Studi di Milano Polo didattico e di ricerca di Crema Dipartimento di Tecnologie dell’Informazione Corso in trattamento dei dati sensibili Simone Bonavita Seminari specialistici tematici e case history: Avv. Prof. Pierluigi Perri – Avv. Edoardo Artese – Dott. Stefano De Cristofaro – Marta Ghiglioni – Dott. Carlo Bernardi

2 Diritto & sicurezza informatica ottobre 2015

3 Riassunto  Riassunto della lezione 1?

4 Nomine a responsabile ed incaricato  Vediamo le nomine sul Codice.

5 Sicurezza informatica per giovani Giuristi  Non esiste un sistema sicuro al 100%; Il mito del sistema inattaccabile è analogo al mito della nave inaffondabile. (V. Titanic)  Gnu/Linux e MacOS sono veramente immuni ai virus?  Il livello sicurezza di un sistema è dato dal tempo necessario per violare il sistema, dall'investimento necessario e dalla probabilità di successo.

6 Diritto & Sicurezza  Perché i giuristi parlano di sicurezza informatica?  Il diritto, volente o nolente, ha dovuto “mutuare” per certi versi la disciplina informatica della sicurezza, integrandola nei testi di legge.

7 La sicurezza informatica  Non esiste una vera e propria definizione di "Sicurezza Informatica". Possiamo comunque delinearla come la scienza che studia come proteggere le informazioni elaborate o trasferite elettronicamente da atti indesiderabili che possono avvenire accidentalmente, o essere frutto di azioni colpose o dolose. (Perri 2003)

8 Teorie sulla sicurezza  Alla sicurezza (in particolare dei dati e dei sistemi informatici) sono state attribuite diverse funzioni: - funzione concorrenziale (fattore di competitività per l'azienda); - funzione garantista (preservando i dati personali da usi impropri si tutela anche la dignità della persona); - funzione forense (può prevenire la formazione di fattispecie criminose o, quantomeno, agevolare l'operato delle forze dell'ordine); - funzione efficientista (è stato statisticamente provato che l’adozione di accorgimenti in materia di sicurezza ha portato ad una maggiore efficienza dell’intera struttura, sia essa pubblica o privata).

9 La sicurezza informatica “La sicurezza è studio, sviluppo ed attuazione delle strategie, delle politiche e dei piani operativi volti a prevenire, fronteggiare e superare eventi in prevalenza di natura dolosa e/o colposa, che possono danneggiare le risorse materiali, immateriali ed umane di cui l'azienda dispone e necessita per garantirsi un'adeguata capacità concorrenziale nel breve, medio e lungo periodo”. [uni / en iso 104559]

10 Disclosure?  La conoscenza degli strumenti di sicurezza, dei problemi e delle vulnerabilità che sorgono progressivamente devono essere patrimonio culturale di tutti gli utenti.  A tal proposito si parla di full disclosure contrapposta alla closed disclosure.

11 Il diritto della Sicurezza Informatica  La Comuntà Europea [...] è impegnata nel promuovere un vero e proprio diritto della sicurezza informatica (Cfr. Buttarelli, Verso un diritto della sicurezza informatica in Sicurezza Informatica.1995)  “Nella tematica della sicurezza, l'approccio giuridico non è quello prevalente, ma, nel tempo, la disciplina tecnica si è dovuta coniugare con un insieme di regole simbolicamente contrassegnate come diritto della sicurezza informatica” (Buttarelli 1997 )

12 Il diritto della Sicurezza Informatica  Il diritto della sicurezza informatica ha ad oggetto lo studio delle norme tramite le quali è possibile assicurare l'integrità, la riservatezza e la disponibilità del dato trattato. (Bonavita 2009)

13 “Antiche Fonti del Diritto”  D.P.C.M.15 FEBBRAIO 1989 Coordinamento delle iniziative e pianificazioni degli investimenti in materia di automazione nelle amministrazioni pubbliche, Art. 4. “Le amministrazioni pubbliche garantiscono l'applicazione delle misure per la sicurezza dei centri elaborazione dati, la segretezza e la riservatezza dei dati contenuti negli archivi automatizzati, il numero delle copie dei programmi dei dati memorizzati da conservare, le modalità per la loro conservazione e custodia”.

14 Fonti  La legge 23 dicembre 1993 n. 547 “Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica”;  · la legge 3 agosto 1998, n. 269 “Norme contro lo sfruttamento della prostituzione, della pornografia, del turismo sessuale in danno di minori, quali nuove forme di riduzione in schiavitù”;  la legge 18 agosto 2000, n. 248 “Nuove norme di tutela del diritto d'autore” volta a reprimere i comportamenti illeciti di pirateria informatica;

15 Fonti  Il Decreto Legislativo 8 giugno 2001, n. 231 “Disciplina della responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, a norma dell'articolo 11 della legge 29 settembre 2000, n. 300”  In particolare il d.lgsl. 231/01 viene periodicamente aggiornato con l’inclusione di nuovi reati; nel 2008 è stato aggiornato per tener conto della legge n.48/2008, nel luglio 2009 per tener conto di nuovi delitti in relazione alla violazione del diritto d’autore  E’ tuttavia nella legge in materia di trattamento dei dati personali che la sicurezza informatica ha trovato il suo luogo di elezione.

16 Codice della proprietà industriale (D. Lgs. 30/05)  Art. 98 “ 1. Costituiscono oggetto di tutela le informazioni aziendali e le esperienze tecnico-industriali, comprese quelle commerciali, soggette al legittimo controllo del detentore, ove tali informazioni: a) siano segrete, nel senso che non siano nel loro insieme o nella precisa configurazione e combinazione dei loro elementi generalmente note o facilmente accessibili agli esperti ed agli operatori del settore; b) abbiano valore economico in quanto segrete; c) siano sottoposte, da parte delle persone al cui legittimo controllo sono soggette, a misure da ritenersi ragionevolmente adeguate a mantenerle segrete. 2. Costituiscono altresi' oggetto di protezione i dati relativi a prove o altri dati segreti, la cui elaborazione comporti un considerevole impegno ed alla cui presentazione sia subordinata l'autorizzazione dell'immissione in commercio di prodotti chimici, farmaceutici o agricoli implicanti l'uso di nuove sostanze chimiche. ”

17 Codice dell ’ amministrazione digitale (D.Lgs. 7 marzo 2005 n. 82) Art. 51 (Sicurezza dei dati) 1. Con le regole tecniche adottate ai sensi dell' articolo 71 sono individuate le modalità che garantiscono l'esattezza, la disponibilità, l'accessibilità, l'integrità e la riservatezza dei dati, dei sistemi e delle infrastrutture. 1-bis. DigitPA, ai fini dell'attuazione del comma 1 : a) raccorda le iniziative di prevenzione e gestione degli incidenti di sicurezza informatici; b) promuove intese con le analoghe strutture internazionali; c) segnala al Ministro per la pubblica amministrazione e l'innovazione il mancato rispetto delle regole tecniche di cui al comma 1 da parte delle pubbliche amministrazioni. 2. I documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta. 2-bis. Le amministrazioni hanno l'obbligo di aggiornare tempestivamente i dati nei propri archivi, non appena vengano a conoscenza dell'inesattezza degli stessi.

18 Cass. Sez. VI Pen. Sent. 46509/04 “ […] 3. Per quanto concerne il reato di cui all'art. 615 ter, comma 2, n. 1, c.p. (capo B) non e' ravvisabile la condotta contestata in quanto il sistema informatico nel quale l'imputato si inseriva abusivamente non risulta obiettivamente (ne' la sentenza fornisce la relativa prova) protetto da misure di sicurezza, essendo anzi tale sistema a disposizione dell'imputato in virtù delle mansioni affidategli per ragioni di ufficio. Il fatto che il D.C. ne facesse un uso distorto a fini illeciti e personali, non sposta i termini della questione, mancando il presupposto della "protezione" speciale del sistema stesso. Da tale reato pertanto l'imputato deve essere assolto perché il fatto non sussiste ”.

19 Giurisprudenza sui computer crimes (Cass. V Sez. Pen. Sent. 12732/00) “...Certo è necessario che l'accesso al sistema informatico non sia aperto a tutti, come talora avviene soprattutto quando si tratti di sistemi telematici. Ma deve ritenersi che, ai fini della configurabilità del delitto, assuma rilevanza qualsiasi meccanismo di selezione dei soggetti abilitati all'accesso al sistema informatico, anche quando si tratti di strumenti esterni al sistema e meramente organizzativi, in quanto destinati a regolare l'ingresso stesso nei locali in cui gli impianti sono custoditi. Ed è certamente corretta, in questa prospettiva, la distinzione operata dalla corte d'appello tra le banche dati offerte al pubblico a determinate condizioni e le banche dati destinate a un'utilizzazione privata esclusiva, come i dati contabili di un'azienda”.

20 Assicurare…  l'integrità, la riservatezza e la disponibilità

21 Scopi delle misure  Lo scopo finale delle misure di sicurezza è quello di garantire al dato: ✓ Integrità ✓ Confidenzialità ✓ Disponibilità

22 Misure minime di sicurezza  il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31 del Codice;

23 Misure Minime ed Idonee  Idonee: Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile.  Minime: Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 del Codice è punito con l'arresto sino a due anni.

24 Misure Minime “Il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti dall’art. 31”

25 I parametri 1) Progresso tecnico; 2) Natura dei dati; 3) Specifiche caratteristiche del trattamento.

26 Progresso tecnico  Per progresso tecnico la dottrina dominante ha individuato che esso vada identificato come “l’insieme delle soluzioni concretamente disponibili sul mercato” G. Buttarelli, Privacy e banche dati, Giuffrè, 1997

27 Natura dei dati  La natura dei dati influisce molto sul livello di sicurezza che dovrà essere adottato.  Se una struttura tratterà solo dati personali, potrà permettersi un’attenzione minore nei confronti della sicurezza. Diversamente, in caso di trattamento di dati sensibili o giudiziari, l’attenzione nei confronti della sicurezza deve essere massima.

28 Specifiche caratteristiche del trattamento  Come tratto i dati?  Con l’ausilio di strumenti elettronici?  Senza l’ausilio di strumenti elettronici?  In maniera “ibrida”?

29 Le sanzioni Art. 15 Danni cagionati per effetto del trattamento  1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell'articolo 2050 del codice civile.  2. (omissis)

30 Art. 2050 c.c.  “Chiunque cagiona danno ad altri nello svolgimento di un’attività pericolosa, per sua natura o per natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno”.  Quindi…trattare i dati è un’attività pericolosa!

31 Sicurezza & Diritto  Mai come nell'era della “cyberlaw” il diritto si è interessato, per diversi aspetti, della sicurezza. Alcuni esempi illustri: - Normativa sul diritto d'autore (art. 102-quater L 633/41) “1. I titolari di diritti d'autore e di diritti connessi nonché del diritto di cui all'art. 102-bis, comma 3, possono apporre sulle opere o sui materiali protetti misure tecnologiche di protezione efficaci che comprendono tutte le tecnologie, i dispositivi o i componenti che, nel normale corso del loro funzionamento, sono destinati a impedire o limitare atti non autorizzati dai titolari dei diritti. 2. Le misure tecnologiche di protezione sono considerate efficaci nel caso in cui l'uso dell'opera o del materiale protetto sia controllato dai titolari tramite l'applicazione di un dispositivo di accesso o dì un procedimento di protezione, quale la cifratura, la distorsione o qualsiasi altra trasformazione dell'opera o del materiale protetto, ovvero sia limitato mediante un meccanismo di controllo delle copie che realizzi l'obiettivo di protezione”.

32 La sicurezza dei dati nel Codice privacy

33 Il “fu Dps”  Dps e tracciamento dei dati  Proviamo a compilarne insieme uno noi

34 I principi  La normativa vigente in materia di sicurezza ha risentito, in particolare, dell'influsso di tre elementi: lo Standard BS7799, la Direttiva 2002/58/CE e le linee guida OCSE/OECD per la sicurezza dei sistemi informativi e delle reti di telecomunicazioni, per cui ha fissato quattro principi basilari: ✓ Pertinenza ✓ Custodia ✓ Controllo ✓ Separazione

35 Obblighi di sicurezza  I principi che stanno alla base delle misure di sicurezza sono racchiusi nell'art. 31 del Codice, che recita:  “I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”.

36 Autenticazione  Il trattamento dei dati è subordinato dalla legge al superamento di una “procedura di autenticazione”, con ciò significando che è necessaria una interazione tra l’incaricato (persona fisica) e lo strumento elettronico;  La credenziale di autorizzazione può consistere in qualcosa che l’utente conosce (ad es. la coppia di identificativi userid/password), possiede (ad es. un token USB) o è (ad es. una qualsiasi caratteristica biometrica del soggetto incaricato);

37 Assegnazione  Ogni singola postazione dovrà adottare un sistema operativo in grado di delineare diversi profili utente non agevolmente soverchiabili (Windows NT, 2000, XP, 2003, Linux, *nix, ecc.);  Le credenziali di autenticazione devono essere assegnate (nel caso di accoppiata userid/password) o associate (nel caso di dispositivo hardware o di chiave biometrica) singolarmente ad ogni incaricato;  Devono essere impartite istruzioni in modo che l’incaricato sia consapevole dell’importanza della segretezza o della diligente custodia cui devono essere sottoposte le credenziali di autenticazione.

38 Password La password deve essere conforme alle prescrizioni previste dall’allegato B (punto 5), ovvero:  dovrà essere di almeno otto caratteri o, nel caso in cui il sistema non lo consenta, del massimo numero di caratteri consentito;  non dovrà contenere riferimenti agevolmente riconducibili all’incaricato;  dovrà essere modificata dall’incaricato al primo utilizzo;  bisognerà predisporre un sistema di scadenza automatica della password che costringa l’incaricato a cambiarla almeno una volta ogni sei mesi se si trattano dati personali “comuni”, ogni tre mesi se si trattano dati personali “sensibili”.

39 Altre disposizioni  Le credenziali di autenticazione una volta utilizzate non potranno più essere adoperate per altri incaricati neppure decorso un margine di tempo;  Il mancato utilizzo di una credenziale per un arco superiore ai sei mesi, così come la perdita della qualità di incaricato al trattamento dei dati, deve comportarne la disattivazione;  La predetta scadenza non si applica alle credenziali di autorizzazione adoperate per la gestione tecnica.

40 Inaccessibilità  A norma del punto 9 dell’allegato B bisognerà impartire all’incaricato istruzioni al fine di non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento, qualora l’incaricato debba allontanarsi dalla postazione per qualsiasi esigenza;

41 Autorizzazione  Congiuntamente all’autenticazione, il Codice prevede che per gli incaricati vengano individuati profili diversi di autorizzazione e che la sussistenza delle condizioni per la conservazione dei profili di autorizzazione in capo ad ogni incaricato sia verificata con cadenza annuale.

42 Antivirus  Antivirus (punto 16)  deve essere aggiornato con cadenza almeno semestrale e non deve più consistere esclusivamente in un programma per elaboratore, ma in qualsiasi strumento elettronico “idoneo”;

43 Aggiornamenti  Aggiornamenti software (punto 17):  Particolare attenzione dovrà essere posta nei confronti degli aggiornamenti dei programmi per elaboratore, che dovranno essere aggiornati almeno annualmente.

44 Backup  La procedura di backup dell’intero sistema (per effettuare la quale sarebbe opportuno dotarsi di fileserver centrale ed evitare che ogni singola postazione conservi in locale copia dei documenti) deve effettuarsi con cadenza almeno settimanale (punto 18);  In caso di trattamento di dati sensibili o giudiziari, il backup dovrà avvenire con filesystem cifrati, al fine di impedire i danni conseguenti allo smarrimento del supporto contenente il backup stesso (punto 21).

45 Disaster recovery (solo per trattamenti di dati sensibili o giudiziari)  Una copia del backup dovrà sempre essere asportata dal titolare o da un responsabile appositamente incaricato, al fine di evitare che fenomeni accidentali possano distruggere anche le copie di backup;  E’ importante verificare periodicamente la reale ripristinabilità del backup, nonché le condizioni nelle quali si trovano i supporti (magnetici o ottici) demandati a questa attività.  In caso di trattamento di dati sensibili o giudiziari “il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici [deve avvenire] in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni.”

46 Firewall?  In caso di trattamento di dati sensibili o giudiziari, la natura stessa dei dati trattati impone l’utilizzo di sistemi di firewalling, o comunque di sistemi di sicurezza atti ad impedire l’accesso abusivo ai propri sistemi (punto 20).

47 Riutilizzo  I supporti (floppy disk, hard disk, CD, DVD, memorie USB, etc.) adoperati nel trattamento di dati sensibili o giudiziari devono essere distrutti o resi inutilizzabili.

48 Outsourcing  Il titolare di un trattamento effettuato con strumenti elettronici può demandare all’esterno la gestione della sicurezza della propria struttura (c.d. outsourcing);  In questo caso sarà compito dell’installatore esterno rilasciare un certificato di conformità della struttura alle norme previste nell’allegato B;  In ogni caso, il titolare resta responsabile in caso di trattamento illecito, non consentito o non conforme dei dati sottoposti alla sua custodia.

49 Trattamento “cartaceo”  Agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Nell'ambito dell'aggiornamento periodico con cadenza almeno annuale dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione.  Quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate.

50 Trattamento “cartaceo”/2  L'accesso agli archivi contenenti dati sensibili o giudiziari è controllato. Le persone ammesse, a qualunque titolo, dopo l'orario di chiusura, sono identificate e registrate. Quando gli archivi non sono dotati di strumenti elettronici per il controllo degli accessi o di incaricati della vigilanza, le persone che vi accedono sono preventivamente autorizzate.

51 Sanzioni  Testo dell’art. 169 previgente  “1. Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’articolo 33 è punito con l’arresto sino a due anni o con l’ammenda da diecimila euro a cinquantamila euro”.  Testo dell’art. 169 attuale  “1. Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con l'arresto sino a due anni”.

52 Sanzioni /2  Secondo comma (vecchia formulazione)  “All’autore del reato, all’atto dell’accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l’oggettiva difficoltà dell’adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l’adempimento alla prescrizione, l’autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell’ammenda stabilita per la contravvenzione”. […]  Secondo comma (nuova formulazione)  “All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo della sanzione stabilita per la violazione amministrativa”. […]

53 Ma alla fine quant’è la sanzione?  Art. 162 comma 2-bis  “In caso di trattamento di dati personali effettuato in violazione delle misure indicate nell'articolo 33 o delle disposizioni indicate nell'articolo 167 è altresì applicata in sede amministrativa, in ogni caso, la sanzione del pagamento di una somma da ventimila euro a centoventimila euro. Nei casi di cui all'articolo 33 è escluso il pagamento in misura ridotta.”

54 Ipotesi aggravate  “2. In caso di più violazioni di un'unica o di più disposizioni di cui al presente Capo, a eccezione di quelle previste dagli articoli 162, comma 2, 162-bis e 164, commesse anche in tempi diversi in relazione a banche di dati di particolare rilevanza o dimensioni, si applica la sanzione amministrativa del pagamento di una somma da cinquantamila euro a trecentomila euro. Non è ammesso il pagamento in misura ridotta.  3. In altri casi di maggiore gravità e, in particolare, di maggiore rilevanza del pregiudizio per uno o più interessati, ovvero quando la violazione coinvolge numerosi interessati, i limiti minimo e massimo delle sanzioni di cui al presente Capo sono applicati in misura pari al doppio.  4. Le sanzioni di cui al presente Capo possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore”.