Articolo Pubblicazioni
Codice Privacy (D.Lgs. 196/2003) e Allegato B: le misure minime di sicurezza per i trattamenti informatici
di Vincenzo Calabrò · Pubblicato il 15 settembre 2003
Abstract
Il decreto legislativo 30 giugno 2003, n. 196, il Codice in materia di protezione dei dati personali, entrerà in vigore il 1° gennaio 2004 e sostituirà la legge 675 del 1996 e il DPR 318 del 1999. L’Allegato B contiene il disciplinare tecnico sulle misure minime di sicurezza. L’articolo spiega che cosa sono le misure minime, descrive le regole per i trattamenti con strumenti elettronici, il documento programmatico sulla sicurezza e le sanzioni, e propone un percorso di adeguamento.
Dal DPR 318 al Codice
Le misure minime di sicurezza non sono una novità. Il DPR 318 del 1999 le aveva già fissate per i trattamenti previsti dalla legge 675 del 1996. Il nuovo Codice, pubblicato nella Gazzetta Ufficiale del 29 luglio 2003, riunisce in un unico testo la disciplina della protezione dei dati e riscrive le misure minime nell’Allegato B, il disciplinare tecnico. Il Codice entrerà in vigore il 1° gennaio 2004. Per le misure minime che non erano già previste dal DPR 318 è concesso un periodo di adeguamento, secondo la disciplina transitoria dell’articolo 180.
Due livelli di sicurezza
Il Codice distingue due obblighi. L’articolo 31 chiede di ridurre al minimo, con misure idonee e preventive, i rischi di distruzione o perdita dei dati, di accesso non autorizzato e di trattamento non consentito. È un obbligo generale, da valutare in base al progresso tecnico, alla natura dei dati e alle caratteristiche del trattamento. Gli articoli da 33 a 36 impongono poi un livello minimo di protezione, uguale per tutti, descritto nell’Allegato B. Chi adotta solo le misure minime evita la sanzione penale, ma può comunque rispondere dei danni se le misure idonee erano più ampie.
Le regole per i trattamenti con strumenti elettronici
Per i trattamenti con strumenti elettronici l’Allegato B prevede regole precise, tra cui queste:
- ogni incaricato accede ai dati con credenziali di autenticazione, per esempio un codice identificativo e una parola chiave riservata;
- la parola chiave deve avere almeno otto caratteri, non contenere riferimenti facilmente riconducibili all’incaricato ed essere cambiata almeno ogni sei mesi, ogni tre mesi per i dati sensibili e giudiziari;
- il codice identificativo non può essere assegnato ad altri, nemmeno in tempi diversi, e le credenziali non usate da sei mesi vanno disattivate;
- i profili di autorizzazione devono limitare l’accesso ai soli dati necessari, con una verifica almeno annuale;
- i programmi contro le intrusioni e i virus vanno aggiornati almeno ogni sei mesi;
- gli aggiornamenti dei programmi per correggere vulnerabilità vanno installati almeno annualmente, ogni sei mesi per i dati sensibili e giudiziari;
- le copie di sicurezza dei dati vanno eseguite almeno ogni settimana.
Per i dati sensibili e giudiziari si aggiungono altre misure, come la protezione contro l’accesso abusivo con strumenti elettronici, regole per la custodia dei supporti rimovibili e il ripristino dei dati entro sette giorni in caso di danneggiamento. Per i dati sanitari trattati da organismi sanitari è previsto anche l’uso di tecniche di cifratura o di codici identificativi che separano i dati dall’identità dell’interessato.
Il documento programmatico sulla sicurezza
Chi tratta dati sensibili o giudiziari con strumenti elettronici deve redigere entro il 31 marzo di ogni anno un documento programmatico sulla sicurezza, il DPS. Il documento descrive i trattamenti, la distribuzione dei compiti, l’analisi dei rischi, le misure adottate, i criteri per il ripristino dei dati, la formazione degli incaricati e i criteri per la sicurezza dei trattamenti affidati all’esterno. Il titolare deve riferire dell’avvenuta redazione nella relazione accompagnatoria del bilancio, se è tenuto a redigerla.
Il DPS rischia di diventare un modulo compilato una volta e dimenticato. Usato bene, è la prima vera analisi dei rischi che molte piccole organizzazioni abbiano mai fatto.
Le sanzioni
L’omessa adozione delle misure minime è un reato previsto dall’articolo 169, punito con l’arresto fino a due anni o con l’ammenda. Il Codice prevede un meccanismo di regolarizzazione. All’autore viene impartita una prescrizione con un termine per adeguarsi, e se l’adempimento avviene nei tempi e viene pagata una somma il reato si estingue. Il danno cagionato per effetto del trattamento resta soggetto alla responsabilità civile prevista dall’articolo 15, che rinvia alla disciplina delle attività pericolose.
I trattamenti senza strumenti elettronici
L’Allegato B non riguarda solo i computer. Per i trattamenti su carta prevede istruzioni scritte agli incaricati, la custodia degli atti in modo che non vi accedano persone prive di autorizzazione e, per i dati sensibili e giudiziari, archivi ad accesso controllato con identificazione di chi vi entra dopo l’orario di chiusura. È un aspetto spesso trascurato, perché molti incidenti nascono ancora da fascicoli lasciati sulle scrivanie o da documenti gettati senza distruggerli.
Un percorso di adeguamento
Per un’organizzazione di medie dimensioni il lavoro si può organizzare in alcune fasi:
- censire i trattamenti, le banche dati e gli strumenti usati, distinguendo i dati comuni da quelli sensibili e giudiziari;
- nominare per iscritto incaricati e responsabili, con istruzioni chiare;
- configurare i sistemi per imporre autenticazione individuale, scadenza delle password e profili di autorizzazione;
- pianificare gli aggiornamenti di antivirus e programmi e le copie di sicurezza settimanali, con prove di ripristino;
- redigere il DPS partendo dai risultati del censimento e aggiornarlo ogni anno.
Un punto di partenza
Le misure minime fissano una soglia sotto cui non si può scendere. La sicurezza vera dipende dalla valutazione dei rischi specifici, che l’articolo 31 chiede comunque. Il merito dell’Allegato B è rendere obbligatorie per tutti alcune pratiche di base, come le credenziali individuali e le copie di sicurezza, che in molte realtà ancora mancano.
Vedi anche: l’articolo del 2000 Sicurezza dei sistemi operativi, l’articolo del 2017 Misure minime di sicurezza ICT per la PA e l’articolo del 2018 GDPR e data breach.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn