Il senato approva la ratifica della convenzione di Budapest

Apprendo la notizia che il Senato ha approvato in data 27 febbraio 2008 il disegno di legge di ratifica della convenzione di Budapest del 2001 sulla criminalità informatica.



Quanto avevo già espresso nel mio precedente post rimane perciò valido: in particolare nel testo del Senato è prevista l'introduzione nel decreto legislativo 231/01 del nuovo articolo 24-bis che prevede, non soltanto l'applicazione di sanzioni pecuniarie, ma, in caso di condanna, anche delle sanzioni interdittive.



Ora bisognerà attendere la pubblicazione del testo definitivo sulla Gazzetta Ufficiale.

In futuro, forse, nessuna scusante per la (in)sicurezza informatica

In data 20 febbraio 2008 la camera dei deputati ha approvato il disegno di legge nr. 2807 sulla ratifica ed esecuzione della convenzione di Budapest del 2001 relativa alla criminalità informatica.

Ora bisognerà attendere l'approvazione anche da parte dell'altro ramo del Parlamento.

Al di là delle modifiche alle norme del codice penale e di procedura penale, vorrei fare una breve considerazione sul potenziale allargamento della responsabilità amministrativa delle persone giuridiche alle ipotesi di commissioni dei reati informatici che verrebbe ad essere prevista dal nuovo articolo 25-septies del decreto legislativo 8 giugno 2001 nr. 231.

Con le dovute eccezioni l'Italia, come si sa, è un paese nel quale la sicurezza informatica viene ancora percepita dalla maggior parte delle aziende come un fattore di puro costo che frena il business anzichè renderlo più competitivo.

Per combattere questa pericolosa tendenza c'è sicuramente bisogno di un opera di educazione lunga e continua che non può però prescindere dall'esistenza di un adeguato supporto normativo.

In passato una certa inversione di tendenza è già stata parzialmente attivata con il decreto legislativo 196/03 che, nella prospettiva di garantire una adeguata protezione dei dati personali, ha finito per codificare nel nostro ordinamento giuridico alcune tra le più note best practices in materia di sicurezza (la maggior parte delle quali è contenuta nell'allegato B).

Forse la probabile ratifica della convenzione potrebbe dare una ulteriore scossone in questa direzione tanto più che, per effetto della modifica citata, la sicurezza IT dovrebbe essere inglobata, molto più di quanto non lo sia attualmente, nelle strategie di corporate governance e di controllo interno delle persone giuridiche.

Sulla proposta di revisione della direttiva 2002/58/CE

Il 13 novembre del 2007 la commissione delle comunità europee ha presentato una proposta di modifica della direttiva 2002/58/CE relativa al trattamento dei dati personali ed alla tutela della vita privata nel settore delle comunicazioni elettroniche .

La proposta reca in sè alcune novità abbastanza rilevanti dirette a rafforzare la tutela della vita privata e della riservatezza dei dati attraverso un complesso di disposizioni più rigoroso in materia di sicurezza e meccanismi di controllo:

1. obbligo di notifica delle violazioni di sicurezza che comportano la perdita dei dati personali degli utenti o compromettono i dati stessi;
2. rafforzamento delle disposizioni di attuazione relative alla sicurezza delle reti e delle informazioni, da adottare previa consultazione dell'Autorità;
3. rafforzamento delle disposizioni di attuazione e controllo per far sì che, a livello dei singoli Stati membri, siano disponibili misure sufficienti di lotta nei confronti dei messaggi di posta elettronica indesiderata (spam);
4. precisazione che la direttiva si applica anche alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta dati e di identificazione (compresi i dispositivi funzionanti senza contatto, quali gli RFID (Radio Frequency Identification Devices, dispositivi di identificazione a radiofrequenza);

In particolare l'obbligo di notifica, di cui al primo punto, verrebbe introdotto attraverso una modifica dell'articolo 4 della direttiva citata, intitolato "Sicurezza del trattamento", tramite l'aggiunta di un paragrafo (3) dal seguente tenore: "Se si produce una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di servizi di comunicazione accessibili al pubblico nella Comunità, il fornitore dei servizi di comunicazione elettronica accessibili al pubblico comunica senza indugio l'avvenuta violazione all'abbonato e all'autorità nazionale di regolamentazione. La comunicazione all'abbonato contiene almeno una descrizione della natura della violazione ed elenca le misure raccomandate per attenuarne i possibili effetti negativi. La comunicazione all'autorità nazionale di regolamentazione descrive, inoltre, le conseguenze della violazione e le misure adottate dal fornitore per porvi rimedio".

Dunque con tale modifica diventerebbe operativo nell'ordinamento giuridico comunitario un meccanismo analogo a quello già in vigore negli Stati Uniti, previsto dalla "California Security Breach Notification Law (SB 1396)", anche se di ambito più ristretto, applicandosi soltanto ai fornitori di servizi di comunicazione accessibili al pubblico.

Altrettando importante, anche in una ottica di rafforzamento delle azioni di contrasto al fenomeno delle comunicazioni commerciali indesiderate, appare inoltre la previsione del nuovo paragrafo 6 dell'articolo 13 che prevede espressamente la possibilità per i fornitori di servizi di comunicazione elettronica di promuovere azioni giudiziarie per tutelare gli interessi propri o dei propri clienti.

Quando cancellare i dati non basta

Come è ormai ampiamente noto chiunque tratta dati personali, di cui quelli sensibili e giudiziari costituiscono una specie, è tenuto ad osservare le disposizioni del D.Lgs. 196/03, meglio noto come codice della privacy, che prevedono l'adozione di una serie di accorgimenti tecnici, procedurali ed organizzativi per garantire la protezione dei dati stessi contro i rischi di accesso abusivo, modifica o distruzione.

In particolare, dal principio della necessità, enunciato dall'articolo 3 del codice, e dai numerosi provvedimenti emanati nel corso degli anni dall'autorità garante si può trarre la conferma sulla necessità di provvedere ad una cancellazione dei dati quando non vi siano più ragioni oggettive che giustifichino un loro trattamento.

Una applicazione letterale di tali principi può indurre a ritenere che la semplice cancellazione dei dati sia, di per sè, sufficiente a garantire la piena conformità ai dettami della legge vigente e ad evitare le conseguenze di una eventuale responsabilità risarcitoria, così come ribadita dall'articolo 15 che richiama, a sua volta, l'articolo 2050 del codice civile.

Le cose non sono però così semplici poichè occorre tenere in considerazione anche alcuni aspetti tecnici inerenti l'utilizzo delle tecnologie informatiche.

Le componenti dei sistemi operativi deputate alla organizzazione e gestione dei dati (cd. filesystem) sono infatti progettate per soddisfare, innanzitutto, l'efficienza delle operazioni e questo può determinare, in alcuni casi, l'insorgenza di rischi che vanno prontamente ed efficacemente gestiti.

Nel caso della cancellazione di un file ciò che, in realtà, viene eliminato immediatamente è il riferimento allo stesso, presente in alcune metastrutture del filesystem, mentre il suo contenuto, cioè l'insieme dei dati, continua a persistere fino a quando lo spazio di memorizzazione ad esso relativo non sia successivamente riallocato dal sistema per permettere ulteriori operazioni di scrittura.

Questo determina una situazione di rischio: attraverso appositi software, facilmente reperibili, chiunque è in grado di recuperare, in tutto od in parte, i contenuti predetti e venire così a conoscenza di informazioni anche molto riservate e, del resto, questo stesso modus operandi è alla base delle cd. investigazioni digitali che rientrano nel più ampio filone della computer forensic.

Il codice della privacy ha, in parte, cercato di richiamare l'attenzione su questi aspetti con la prescrizione del punto 22 dell'allegato B, secondo la quale: "I supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili".

Interessante, ai fini della questione trattata, è la seconda parte della disposizione il cui ambito di applicazione sembra circoscritto ai soli supporti di memorizzazione rimovibili (cd, dvd, dischi fissi rimovibili, ecc...) nei quali siano stati memorizzati dati di natura sensibile o giudiziaria.

La condizione che legittimerebbe il riutilizzo di questi supporti sarebbe riconducibile all'impiego di meccanismi tali da rendere le informazioni precedentemente contenute non intelligibili e non ricostruibili tecnicamente in alcun modo.

Quest'ultima congiunzione pone però dei dubbi rilevanti: infatti, se anche i dati fossero cancellati attraverso meccanismi tali da renderli non intelligibili e, quindi, non accessibili ad eventuali tentativi di recupero (ad esempio mediante la tecnica del wiping) non vi sarebbe alcuna garanzia circa l'impossibilità di ricostruirli tanto che, al contrario, mediante tecniche e strumenti sofisticati di laboratorio ciò sembrerebbe possibile, anche in caso di dati sovrascritti diverse volte.

Quindi, sostanzialmente, nel dubbio di non poter evitare tecnicamente la ricostruzione delle informazioni, per lo meno con il ricorso agli strumenti tradizionali, il riutilizzo di supporti in cui siano stati precedentemente memorizzati dati sensibili o giudiziari resterebbe una grande incognita alla luce della disposizione appena citata.

E che dire poi del rischio costituito dalla possibilità di recuperare da supporti, rimovibili e non, anche i dati personali di natura non sensibile ?

Anche se il codice non dice nulla di specifico al riguardo, questa possibilità dovrebbe essere presa in considerazione e, di conseguenza, essere adottate delle contromisure per scongiurarla.

Ciò per almeno due ragioni: la prima è che la cancellazione è una operazione che rientra, a pieno titolo, nel concetto di trattamento, in virtù della definizione di cui all'articolo 4, comma 1, lett. a) del codice.

La seconda è invece costituita dall'ampia apertura della disposizione dell'articolo 31 secondo cui chiunque tratta dati personali è tenuto a proteggerli, contro i rischi che su di essi incombono, mediante l'adozione di idonee e preventive misure di sicurezza.

Sicurezza dei dati del traffico telefonico e telematico: le regole

il garante della privacy ha dettato le regole di base per garantire la sicurezza dei dati del traffico telefonico e telematico, conservati per finalità di accertamento e repressione dei reati e per le altre finalità previste dalla vigente normativa.

Considerata la delicatezza dei dati in gioco ed i lunghi periodi di conservazione che, a seguito delle recenti modifiche del decreto Pisanu, possono raggiungere gli otto anni per il traffico telefonico ed i quattro per quello telematico, il provvedimento specifica le misure tecniche ed organizzative, comuni a tutto il settore delle comunicazioni elettroniche, idonee a garantire un elevato livello di protezione dei dati stessi.

Le misure che dovranno essere applicate da gestori telefonici e fornitori di servizi di comunicazione entro il 31 ottobre 2008 riguardano, in particolare, i seguenti aspetti:

• accesso ai dati: deve essere consentito al personale incaricato, compresi gli amministratori di sistema, attraverso sistemi avanzati di autenticazione che possono ricomprendere anche i sistemi biometrici;
• accesso ai locali: i locali nei quali sono ospitati i sistemi con cui si elaborano i dati del traffico oggetto di conservazione devono disporre di meccanismi biometrici di controllo degli accessi;
  
• sistemi di autorizzazione: oltre ad una opportuna differenziazione dei profili autorizzativi è prevista l'adozione di forme di separazione funzionale tra chi assegna le credenziali di autenticazione e chi accede ai dati;
  
• tracciamento delle attività: devono essere predisposti appositi sistemi di logging per tenere traccia degli accessi e delle altre operazioni effettuate sia dagli incaricati che dagli amministratori di sistema;
  
• conservazione separata: i dati conservati per finalità di repressione dei reati vanno separati da quelli relativi ad altre funzioni aziendali;
  
• cancellazione: decorso il periodo di conservazione i dati vanno immediatamente cancellati, anche dalle copie di backup, oppure resi anonimi;
  
• controlli interni: periodicamente devono essere compiuti degli audit relativamente alla legittimità degli accessi, al rispetto delle norme di legge e delle misure tecniche ed organizzative ed alla cancellazione dei dati;
  
• crittografia: i dati trattati per finalità di giustizia devono essere ulteriormente protetti, contro il rischio di accessi illegittimi, mediante il ricorso a tecniche crittografiche;
  

Sono invece esclusi dall'ambito di applicazione del provvedimento i gestori di esercizi pubblici e Internet café, i gestori di siti Internet che diffondono contenuti sulla rete ("content provider"), i gestori dei motori di ricerca, le aziende o le amministrazioni pubbliche che mettono a disposizione del personale reti telefoniche e informatiche (es. centralini aziendali) o che si avvalgono di server messi a disposizione da altri soggetti.

Fonte: Sicurezza dei dati del traffico telefonico e telematico.