GDPR. Si lavora in team, diffidare dei tuttologi

Con l’avvicinarsi della scadenza del 25 maggio 2018 proliferano in Rete le comunicazioni commerciali ed autocelebrative di aziende e consulenti, di chiara derivazione informatica, che pretendono di gestire integralmente l’adeguamento al GDPR (come già accaduto con il D.Lgs. 196/2003), ritenendo di poter leggere ed applicare un testo normativo senza farsi carico di anni di studio ed esperienza giuridica. Un approccio purtroppo inadeguato, che espone al rischio di pesanti sanzioni. Il GDPR, infatti, richiede un approccio multidisciplinare, che necessariamente deve coinvolgere giuristi, informatici, esperti di processi di gestione, analisi dei rischi, certificazione, comunicazione, organizzazione aziendale. Leggi tutto

Videosorveglianza IP

Le telecamere IP, di cui si parla sempre più spesso, sono dispositivi digitali per la videosorveglianza di interni ed esterni, che hanno la capacità di trasmettere le riprese tramite indirizzo IP, quindi tramite reti locali pubbliche e private, e consentono di monitorare gli ambienti in cui sono installate da qualsiasi dispositivo collegato a tali reti.
I sistemi di videosorveglianza IP collegati alle reti locali e alle reti pubbliche sono ormai d’uso comune, soprattutto in ambito aziendale. L’abbattimento dei costi conseguente la progressiva diffusione e la crescente disponibilità di prodotti digitali di qualità a costi accettabili stanno determinando anche i comuni cittadini e i lavoratori autonomi ad adottare tali tecnologie, essenzialmente per aumentare la protezione del patrimonio e dotarsi di un forte deterrente contro furti, rapine o anche semplici atti vandalici.
Se nel settore business sono ormai diffusi anche sistemi intelligenti in grado di svolgere funzioni di sorveglianza automatica, di inseguire il soggetto che ha violato una determinata area di sicurezza per facilitarne l’identificazione, di effettuare rilievi termografici per valutare la presenza di animali in movimento, focolai d’incendio, differenze di temperatura degli strati di neve per la prevenzione delle valanghe, ecc., nel settore consumer cresce il ricorso ad impianti di allarme collegati ad apparati di videosorveglianza in grado di inviare le immagini al titolare in tempo reale con gli eventi registrati dai sensori e di consentire un controllo immediato di quanto sta accadendo tramite collegamento remoto alle telecamere installate.
Un trattamento sempre più ampio e vario, quindi, che implica i consequenziali problemi di gestione dei dati di terzi e la necessità di adottare le misure di sicurezza previste dal D.Lgs. 196/2003 e dai provvedimenti del Garante per la protezione dei dati personali.
Sono sostanzialmente tre le tipologie di impianti utilizzabili per tali finalità: 1) registratori digitali collegati ad una rete interna di telecamere IP, distinta dalla rete locale del sistema informativo; 2) registratori digitali collegati alla stessa rete del sistema informativo ma senza possibilità di accesso ad Internet; 3) registratori digitali collegati ad una rete pubblica (direttamente o tramite il sistema informativo).
Diverse anche le telecamere utilizzabili per tali finalità, che possono essere collegate via cavo ed alimentate dalla rete elettrica (IP semplici) o dotate di connettore PoE (Power over Ethernet), che non hanno quindi bisogno di un alimentatore esterno in quanto traggono l’energia necessaria al funzionamento, grazie ad una porta dedicata, direttamente dalla rete dei computer.
Sempre più diffuse, inoltre, sono le telecamere wireless che, pur scontando la necessità di alimentazione esterna, non hanno bisogno del cavo dati ma si collegano direttamente al router wifi.
Le telecamere IP di tipo wireless hanno un fondamentale problema di sicurezza nella trasmissione dei dati, che deve essere necessariamente crittografata poiché, diversamente, chiunque potrebbe sintonizzarsi sulla frequenza utilizzata dalla telecamera e visionarne le immagini.
Fatta questa necessaria premessa per individuare le tipologie di apparati, si può procedere all’analisi delle misure di sicurezza che devono essere adottate per garantire un corretto trattamento dei dati gestiti tramite tali dispositivi.
Devono ovviamente essere rispettate le indicazioni del Garante contenute nel provvedimento generale del 2010, che possono essere sintetizzate nel modo che segue.
Il trattamento deve rispettare i principi di liceità, correttezza e non eccedenza previsti dal Codice della privacy e il titolare ha sempre l’obbligo di informare adeguatamente l’interessato della presenza di un impianto di videosorveglianza attivo.
L’installazione deve inoltre rispettare il principio di necessità del trattamento (nel senso che non devono essere trattati dati relativi a persone identificabili quando è possibile operare con dati anonimi, come avviene con l’uso di telecamere che sorvegliano gli incroci e controllano i flussi di traffico) e di proporzionalità (nel senso che non possono essere installate telecamere con zoom e brandeggio quando è sufficiente, per le finalità della ripresa, una postazione non motorizzata e con ottica fissa).
Quando i dati vengono memorizzati su un videoregistrazione che permette l’accesso da remoto, collegato ad una rete pubblica o privata, è necessaria l’installazione delle misure di sicurezza previste per qualsiasi rete telematica ed il DVR dev’essere considerato alla stregua di un qualsiasi sistema informatico.
Sarà quindi necessario utilizzare programmi antivirus e di verifica delle instrusioni per proteggere la rete alla quale è collegato il DVR e dotare quest’ultimo di credenziali e di profili di autorizzazione, affinchè ciascuno, in base alle mansioni affidate, possa accedere solo ai dati che effettivamente deve trattare.
Per le operazioni di manutenzione, ad esempio, non è necessario che il tecnico possa intervenire sull’intero database delle riprese, essendo sufficiente visionare l’ultimo dei filmati realizzati per accertare il corretto funzionamento degli apparati. Allo stesso modo, il livello di accesso del semplice operatore addetto al videocontrollo sarà tale da poter utilizzare solo il filmato in corso di registrazione, senza accedere ai precedenti, mentre l’amministratore del sistema di videosorveglianza, ovviamente, potrà visionare tutti i file presenti nel DVR.
E’ sempre opportuna la cifratura dei dati sull’hard disk del DVR, nella trasmissione dei flussi tra la telecamera e il DVR o tra il DVR e i dispositivi mobili che accedono da remoto, soprattutto se parte di tali operazioni avviene con modalità wireless.
Diversamente, infatti, qualsiasi malintenzionato potrebbe sintonizzarsi sulla frequenza di operatività della telecamere wireless o introdursi nella rete locale tramite un dispositivo compromesso, ed accedere ai flussi di dati che vanno e vengono dal DVR.
I sistemi integrati, che associano le videoriprese al riconoscimento facciale o ad altre tipologie di dati, devono ottenere l’autorizzazione del Garante Privacy – che potrebbe ovviamente prescrivere specifici adempimenti, in base alla tipologia di trattamento – prima di essere messi in funzione, ritenendosi particolarmente invasivi dell’altrui sfera di riservatezza.
Così come avviene per i dati memorizzati nei tradizionali personal computer e server di rete, i dati raccolti dai sistemi di videosorveglianza devono essere protetti con idonee e preventive misure di sicurezza che riducano al minimo non solo le possibilità di accesso non autorizzato ma anche quelle di distruzione o perdita dei dati, anche accidentale, come potrebbe avvenire, ad esempio, a causa di un corto circuito o in seguito ad un danneggiamento posto in essere da chi non vuole essere riconosciuto dopo aver commesso un illecito (con conseguente danno per la vittima, che non potrà utilizzare il filmato). E’ quindi opportuno che tra le misure di sicurezza siano previste la continuità e la stabilità dell’alimentazione elettrica e che il DVR sia conservato in armadi metallici in grado di resistere a tentativi di furto o danneggiamento.
Anche le misure di sicurezza organizzative devono essere tali da non consentire, ad esempio, la rimozione degli hard disk o il trasferimento dei dati a individui non autorizzati, rilevando, in ogni caso, sia tramite il controllo degli accessi all’area che attraverso un sistema di credenziali e profili di autorizzazioni, il soggetto che materialmente compie una determinata operazione grazie ai file di log interni.
Devono quindi essere adottate specifiche misure tecniche ed organizzative che consentano al titolare di verificare l’attività espletata da parte di chi accede alle immagini o controlla i sistemi di ripresa
Dato che ogni apparato di videosorveglianza consente un’ampia varietà di utilizzazioni e configurazioni, in relazione ai soggetti e alle finalità perseguite, oltre che alle varie tecnologie utilizzate, è opportuno rivalutare il concetto di analisi ed assestamento del rischio alla luce dei principi e delle disposizioni del nuovo Regolamento Europeo sul trattamento dei dati personali, passando da un approccio (privacy by default), che considera la norma strutturalmente rigida e cerca di adeguare ad essa le modalità di trattamento, ad una più corretta strategia di valutazione dei rischi e di adeguamento delle misure di sicurezza che muova dalla tipologia e quantità di dati trattati per applicare ad esse le norme di riferimento.
Per questi motivi anche il Garante Privacy ha posto l’attenzione sull’analisi dei trattamenti e dei rischi, rilevando, ad esempio, che in presenza di differenti competenze specificatamente attribuite ai singoli operatori devono essere configurati diversi livelli di visibilità e trattamento delle immagini e, qualora sia possibile, in base alle caratteristiche dei sistemi utilizzati, che ciascuno dei soggetti abilitati all’accesso ai dati, sulla base delle mansioni attribuite, sia in possesso di credenziali di autenticazione che permettano di effettuare unicamente le operazioni di propria competenza;
In presenza di database di conservazione delle immagini – che deve comunque rispettare il limite delle ventiquattro ore (salvo diversa considerazione del titolare ed eventuale valutazione del Garante) al superamento del quale le riprese devono essere cancellate o sovrascritte – deve essere limitata la possibilità, per i soggetti abilitati, di visionare, non solo in sincronia con la ripresa ma anche in tempo differito, le immagini registrate e di effettuare sulle medesime operazioni di cancellazione o duplicazione.
Come già accennato, anche per gli operatori della manutenzione devono essere adottate specifiche cautele che impediscano, ad esempio, l’asportazione dell’hard disk in caso di guasto (giaccchè i dati ivi memorizzati potrebbero sempre essere successivamente recuperati in laboratorio) o operazioni sulle riprese che eccedano quanto necessario per verificare il corretto funzionamento dell’apparato dopo l’intervento, tenendo anche conto dei formati utilizzati e della tecniche di cifratura più adatte a perseguire tale obiettivo.
Resta la trasmissione dei dati, in ogni caso, la fase più delicata del trattamento, che comporta anche problemi di pesantezza del segnale e delle elaborazioni, giacchè ad un maggior livello di sicurezza crittografica corrisponde una maggior potenza di calcolo e, quindi, un maggior carico di lavoro da smaltire per sistemi e processori. La banda disponibile, inoltre, potrebbe in alcuni casi non consentire la trasmissione dei dati crittografati, compromettendo la funzionalità dell’impianto. Deve quindi essere scelta una modalità di cifratura che non appesantisca i sistemi durante le operazioni di crittazione – decrittazione, che non occupi una quantità di banda eccessiva durante la trasmissione e che, al tempo stesso, garantisca un adeguato livello di protezione e riservatezza rispetto all’eventuale tentativo di accesso non autorizzato alle immagini.
Tutte le suddette operazioni, alla luce dei principi tracciati dal nuovo regolamento, dovranno essere effettuate muovendo dalla quantità e tipologia di dati trattati e adeguando ai trattamenti le nuove regole, realizzando una valutazione delle condizioni di sicurezza e implementando un disciplinare per la sicurezza dei dati che possa essere aggiornato periodicamente, dando atto delle misure e delle scelte adottate, anche in prospettiva futura.

Fonte: Sicurezza magazine

Il responsabile della protezione dei dati

Con l’art. 35, il Nuovo Regolamento europeo sulla riservatezza e sul trattamento dei dati personali dei cittadini introduce la figura – obbligatoria per alcune tipologie di aziende pubbliche e private – del responsabile della protezione dei dati, che deve avere una professionalità adeguata a garantire il rispetto della normativa relativa al trattamento e delle best practice in materia di sicurezza informatica.
Tale figura risulta di natura chiaramente dirigenziale, poiché diversamente avrebbe difficoltà a imporre il rispetto di regole e procedure che, per loro natura, incidono sul funzionamento di ogni ufficio che procede al trattamento.
La designazione del responsabile della protezione dei dati è necessaria quando il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, da un’impresa che abbia più di duecentocinquanta dipendenti o nell’ipotesi in cui i trattamenti per loro natura richiedono il controllo sistematico e regolare degli interessati.
Quando si tratta di più imprese che fanno parte di un gruppo e condividono gli stessi database è consentita la nomina di un unico responsabile della protezione dei dati, circostanza che semplifica anche la stesura e gestione delle corporate rules già da tempo auspicate dai Garanti europei e oggi tradotte in prassi, per consentire alle aziende di dimensioni sovranazionali di utilizzare gli archivi informatici di cui sono dotate senza limiti territoriali.

Evitare i conflitti di interesse
Il regolamento precisa l’opportunità di evitare conflitti di interessi tra la funzione di responsabile della protezione dei dati e altre eventuali mansioni svolte dal nominato all’interno dell’azienda o del gruppo di aziende, evidenziando che la nomina ha durata almeno biennale, sebbene il soggetto che la ricopre possa essere sostituito in qualsiasi momento, qualora non sia più in grado di svolgere i suoi compiti, non soddisfi più le condizioni richieste per l’esercizio delle sue funzioni (perché, ad esempio, l’azienda ha cambiato sistema IT e sono necessarie altre professionalità) o siano sorte situazioni di incompatibilità che ne suggeriscono la rimozione/sostituzione.
La figura riveste una tale importanza nella struttura aziendale ipotizzata dagli estensori del Regolamento che la comunicazione dei suoi dati all’autorità di controllo e al pubblico viene resa obbligatoria e preciso onere del responsabile del trattamento.
La motivazione è comunque facilmente comprensibile, dato che si tratta del soggetto al quale vanno rivolte tutte le istanze relative all’adozione delle misure di sicurezza e alle rivendicazioni degli interessati dal trattamento operato dall’azienda.
Dal punto di vista procedurale, l’assetto organizzativo dell’azienda o del gruppo di aziende deve essere ricalibrato sull’esigenza di far partecipare il responsabile della protezione dei dati a tutte le attività che riguardino anche indirettamente la protezione dei dati personali.
Il Regolamento stabilisce anche, probabilmente per evitare che il compito del responsabile della protezione dei dati sia poi vanificato dalle esigenze di bilancio e che la figura diventi semplicemente un capro espiatorio sul quale far convergere l’attenzione dell’autorità di controllo o dei soggetti danneggiati, che il responsabile del trattamento provveda a garantire al responsabile della protezione ogni risorsa necessaria per adempiere alle sue funzioni, con ciò creando un rapporto di sostanziale parità contrattuale tra il superiore gerarchico e il sottoposto.

Funzioni tipiche
Dal punto di vista pratico, il Regolamento individua alcune funzioni tipiche del responsabile della protezione dei dati, che si riverberano, ovviamente, sugli oneri a carico dell’azienda e del responsabile del trattamento di cui al punto precedente, nel senso che, per garantire l’espletamento dei compiti affidatigli, il responsabile della protezione richiederà le risorse necessarie ad assicurare tali funzioni.
L’elenco dei compiti è dichiaratamente non esaustivo, indicando semplicemente le mansioni che il responsabile del trattamento ha l’obbligo di affidare, ma ciò non toglie che l’elenco possa essere esteso in base alle reali necessità dell’azienda, andando a integrare il mansionario del dipendente.
Il responsabile della protezione dei dati dovrà, quindi, espletare almeno i seguenti compiti:
– informare e consigliare il responsabile del trattamento o l’incaricato del trattamento in merito agli obblighi derivanti dal presente Regolamento e conservare la documentazione relativa a tale attività e alle risposte ricevute
– sollecitare l’applicazione delle politiche di gestione dei dati stabilite di concerto con il responsabile del trattamento o con l’incaricato del trattamento e verificare che siano effettivamente implementate e rese operative
– attribuire e richiedere l’attribuzione responsabilità agli incaricati del trattamento, assicurandone direttamente o indirettamente la formazione e le verifiche periodiche
– garantire l’attuazione del Regolamento, con particolare riguardo ai requisiti concernenti la protezione dei dati fin dalla progettazione del sistema, nonché i successivi sviluppi, sia in chiave manutentiva che evolutiva, assicurando non solo la protezione di default e la sicurezza dei dati dal punto di vista tecnico, ma sollecitando e realizzando l’adozione di misure organizzative per gestire l’informazione dell’interessato e le richieste degli interessati, affinché i diritti riconosciuti dal regolamento siano effettivamente esercitabili
– garantire la conservazione della documentazione di cui all’articolo 28
– controllare che le violazioni dei dati personali siano documentate, notificate agli interessati e comunicate alle autorità di controllo
– controllare che il responsabile del trattamento effettui la valutazione d’impatto sulla protezione dei dati e richieda l’autorizzazione preventiva o la consultazione preventiva nei casi espressamente previsti
– controllare che sia dato seguito alle richieste dell’autorità di controllo e, nell’ambito delle sue competenze, cooperare con l’autorità di controllo per ogni necessità, di propria iniziativa o su richiesta di quest’ultima
– fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento

In sostanza, il Regolamento sottolinea la figura centrale del responsabile della protezione dei dati rispetto all’effettivo rispetto dei principi di correttezza, liceità e adeguatezza del trattamento, poiché solo con una politica di efficace ed effettiva garanzia dell’interessato dal trattamento si potrà realizzare quel processo di armonizzazione al quale mira il regolamento, anche per garantire che il trasferimento dei dati agli Stati extra UE segua le medesime regole.
E, infatti, dopo la sollecitazione agli Stati Membri ad adottare codici di condotta e certificazioni (artt. 38 e 39) per garantire la corretta applicazione del Regolamento, in relazione a un trattamento equo e trasparente, alla raccolta dei dati e al rilascio di informazioni secondo criteri etici, al puntuale riscontro delle richieste dell’interessato e dell’autorità, alla tutela dei minori e all’adozione di procedure di auditing e di risoluzione stragiudiziale delle controversie, la Commissione ha incentrato l’attenzione sulle varie modalità e possibilità di trasferimento dei dati verso Paesi esterni allo spazio europeo e alle sue regole.

Trasferimento dei dati verso un Paese terzo
In linea generale, il trasferimento di dati personali oggetto di un trattamento verso un Paese terzo o un’organizzazione internazionale è ammesso soltanto se il responsabile del trattamento e l’incaricato del trattamento accertano l’adeguatezza delle norme e procedure del Paese/ organizzazione ricevente a garantire lo stesso livello di protezione dello spazio economico europeo, se il destinatario dei dati assume l’onere di garantire il rispetto di misure di sicurezza analoghe a quelle minime previste nello spazio europeo o se le corporate rules delle aziende che effettueranno il trattamento sono state realizzate e adottate nel rispetto delle condizioni indicate nel regolamento.
In assenza della verifica di adeguatezza, è ammesso il trasferimento soltanto a condizione che:
– il trasferimento sia necessario all’esecuzione di un contratto o di operazioni precontrattuali relative ad un rapporto tra l’interessato e il responsabile del trattamento ovvero tra il responsabile del trattamento e un terzo, ma con benefici per l’interessato
– il trasferimento sia necessario per motivi di interesse pubblico rilevante o per l’esercizio di diritti in sede giudiziaria o per la salvaguardia di un interesse vitale
– l’interessato abbia espressamente acconsentito al trasferimento dopo essere stato
dell’interessato
– il trasferimento sia relativo a un pubblico registro, purché sussista il controllo di legittimità dell’interesse all’accesso e dei requisiti per la consultazione previsti dal diritto dell’Unione o dello Stato membro
– il trasferimento sia necessario per il perseguimento dei legittimi interessi del responsabile del trattamento o dell’incaricato del trattamento e il responsabile abbia offerto garanzie adeguate per la protezione dei dati personali

Alcuni limiti non sono applicabili se il trattamento è svolto da un’autorità pubblica nell’esercizio di pubblici poteri, purché l’interesse pubblico sia riconosciuto tale dall’Unione Europea o da uno Stato Membro dell’Unione.
La Commissione e le autorità di controllo, ai sensi dell’art. 45, provvederanno all’adozione di misure di cooperazione internazionale per facilitare l’applicazione del regolamento per la tutela dei dati personali e per favorire l’armonizzazione delle norme transnazionali e lo scambio dei dati con i paesi che non aderiscono all’Unione Europea ma sono disponibili ad adottare misure di sicurezza adeguate.

Fonte: Sicurezza magazine

Perdere la privacy

Se, da un lato, assistiamo quotidianamente alla rivendicazione di diritti connessi al Codice in Materia di Riservatezza dei Dati Personali (D.Lgs. 196/2003, art. 7), spesso – anche a sproposito o in situazioni in cui la riservatezza dei dati non è opponibile – con altrettanta frequenza possiamo notare comportamenti che vanificano qualsiasi misura di sicurezza adottata per proteggere le informazioni di carattere personale e gli ambienti nei quali queste sono abitualmente conservate.
In occasione della rilevazione di occupazioni di suolo pubblico da parte di un’azienda affidataria dei lavori, ad esempio, gli operatori si sono sentiti contestare il mancato rispetto della Legge sulla Privacy per aver fotografato e misurato un cancello e il manufatto realizzato per l’accesso alla pubblica via.
Anche sul luogo di lavoro, il dipendente è solito lamentarsi del controllo operato dal dirigente o dal titolare dell’azienda, anche solo passeggiando spesso nei corridoi tra gli uffici – e meno che mai è disposto ad accettare telecamere di videosorveglianza.
Queste stesse persone, tuttavia, possiedono probabilmente un profilo Foursquare e/o Places e condividono molti commenti e informazioni, geo-localizzazione inclusa, con la loro cerchia di amici o addirittura con un profilo pubblico sui diversi social network, Facebook piuttosto che Twitter.

Anche i ladri frequentano Facebook e Twitter…
Formuliamo un possibile scenario: il periodo estivo, le vacanze con la famiglia, la voglia di abbandonarsi per qualche giorno al divertimento e al riposo, lontano dalle preoccupazioni quotidiane e dai problemi di lavoro e con il progetto di condividere le sensazioni positive con gli amici e, possibilmente, scambiarsi qualche consiglio sulle località da visitare e i ristoranti da frequentare.
A ogni attività preparatoria (l’acquisto di pinne e occhiali o del nuovo fucile subacqueo) corrisponde un post sul social network, spesso corredato da fotografie in abbondanza.
Il momento della partenza viene enfatizzato e segnalato come atto liberatorio dalle quotidiane avversità.
La vacanza, con i relativi spostamenti, viene ampiamente documentata; le bellezze naturali e artistiche sono generosamente descritte e fotografate, avendo cura di annotare diligentemente la propria posizione con uno dei tanti programmi di geo-localizzazione.
Al ritorno si ha l’amara sorpresa di trovare la propria abitazione svaligiata.
Anche i malviventi, infatti, sono iscritti ai tanti social network e ai programmi di condivisione delle informazioni di localizzazione satellitare, non per divertimento ma per acquisire informazioni su come e quando mettere a segno un colpo.
Dal comportamento tenuto sui social network, i ladri hanno potuto conoscere il periodo in cui la famiglia avrebbe goduto della vacanza e avere certezza della partenza.
Grazie alle informazioni rilevate sul profilo dei vari componenti della famiglia hanno potuto ricostruire sommariamente il tenore di vita (e, quindi, stimare il possibile rendimento dell’operazione) e qualche fotografia scattata all’interno della casa, senza curare troppo l’esposizione, ha consentito loro di constatare la presenza di quadri d’autore od oggetti di valore.
Mediante la geo-localizzazione condivisa, hanno, poi, avuto certezza della posizione dei vari componenti del nucleo familiare (ricostruito sempre grazie alle informazioni contenute nei profili) e hanno, quindi, potuto escludere che uno di essi potesse rientrare all’improvviso.
Insomma, i malintenzionati hanno potuto realizzare un’analisi dello stato dei luoghi impensabile fino a qualche anno fa.

I rischi di smartphone e tablet
Un altro scenario: in molte aziende è ormai normale tenere aperto il profilo del social network in background durante le sessioni di lavoro e condividere con i colleghi e gli amici le informazioni della giornata.
Per molti dipendenti il circuito dei social network è addirittura uno strumento di lavoro, che consente di tenere i contatti in tempo reale con altri colleghi o con le persone di cui hanno bisogno per raggiungere gli obiettivi aziendali.
Ovviamente, le applicazioni che consentono ai vari smartphone e tablet di restare costantemente connessi ai profili dei social network contribuiscono ad alimentare tale flusso di informazioni.
Altrettanto ovviamente è possibile, per il datore di lavoro o per il dirigente, ricostruire i comportamenti e gli spostamenti del dipendente durante la giornata, osservarne la condotta e le abitudini, verificare il rispetto dell’orario di lavoro o l’effettiva esecuzione della prestazione lavorativa.
Senza contare il rischio, corso dal dipendente, di lasciarsi andare a commenti sull’attività di colleghi, superiori e datori di lavoro, dimenticando di operare con un profilo pubblico o di avere anche loro tra gli “amici” autorizzati a frequentare il profilo e ad accedere alle informazioni ivi memorizzate.
Occorre, poi, non dimenticare che molti social network permettono di estendere l’accesso al proprio profilo agli “amici degli amici”, generando un aumento esponenziale della visibilità delle informazioni, che spesso non è effettivamente valutato e soppesato dall’interessato.
Solo per fare un calcolo matematico, si può stimare che l’apertura a 100 amici, che hanno a loro volta 100 amici ciascuno, permette la visione del profilo e delle informazioni a circa 10.000 persone.
Per inciso: tra i giovani, gli utenti che hanno solo 100 amici su un social network sono considerati “sfigati”.

Concorsi a premi, offerte e promozioni commerciali
A tali comportamenti si aggiungono quelli tenuti quotidianamente nei rapporti commerciali, che certamente non contribuiscono a innalzare la soglia di riservatezza dei dati personali.
La partecipazione a concorsi e operazioni a premi di varia natura è solitamente subordinata alla registrazione, da effettuare tramite moduli da compilare su Internet o presso il negozio che aderisce all’iniziativa.
Raramente viene rilasciata una copia del modulo all’interessato, il quale, se sta operando tramite Internet, non ha neppure l’accortezza di eseguirne una stampa prima dell’invio.
Sempre ammesso che chi compila il modulo abbia avuto il tempo di leggerlo – dato che il comportamento abituale è quello di concentrarsi sui vantaggi e premi dell’iniziativa, anziché valutare le conseguenze della firma apposta sul foglio del consenso al trattamento.
Con il risultato che, solitamente, per entrare in possesso di una fidelity card per la raccolta dei punti della spesa, di un pendrive o della fotocamera in omaggio, l’utente autorizza il trattamento dei propri dati personali, cioè la profilazione dei suoi gusti, delle sue abitudini di acquisto, la cessione di tali informazioni a terzi – anche a titolo oneroso – e ogni altra forma di gestione ed elaborazione degli stessi.
Tali informazioni, grazie alle ampie liberatorie rilasciate senza alcun controllo, possono essere incrociate con quelle provenienti da altri database, così da realizzare un profilo personale, lavorativo e familiare dell’interessato, con finalità, nella migliore delle ipotesi, di ottimizzazione delle scorte e delle offerte.
Peraltro, per realizzare un effettivo controllo dei propri dati personali sarebbe necessario organizzare un archivio delle informative ricevute dalle aziende e collegare a esse ciascun consenso rilasciato, con l’indicazione specifica dei trattamenti autorizzati.
Sarebbe cioè necessario, per ogni cittadino, realizzare un proprio, autonomo database dei trattamenti operati da terzi nei suoi confronti (quello che, in prima battuta, cercò di attivare l’Autorità Garante per la Privacy, denominato registro pubblico dei trattamenti, immediatamente naufragato per la mole di dati che avrebbe dovuto contenere).
Solo in questo modo si potrebbe effettivamente tenere sotto controllo ogni informazione di carattere personale resa disponibile a terzi con l’adesione alle offerte e campagne promozionali o attraverso la fruizione di strutture e servizi.
E, conseguentemente, procedere alla revoca del consenso quando non si ravvisa più l’utilità o la necessità del trattamento o quando l’invio di comunicazioni commerciali diventa eccessivo o semplicemente non gradito. Operazione a dir poco “titanica”.

Valenza giuridica dei profili online
Un altro aspetto di difficile comprensione, da parte del comune cittadino, è quello dell’utilizzabilità dei dati nei suoi confronti, in un procedimento civile o penale.
Il profilo pubblico di un social network è chiaramente accessibile a chiunque – e può, quindi, essere prodotto o acquisito anche in giudizio, con ogni prevedibile conseguenza nel caso contenga informazioni che danneggiano il titolare.
Di recente, tra gli elementi probatori a carico di un indagato, che percepiva la pensione di invalidità in qualità di “non vedente”, sono state utilizzate le informazioni rinvenute sul suo profilo in un noto social network, ove riferiva di avere letto libri e di avere guidato l’autovettura.
Mentre l’iscrizione e la fruizione del social network potrebbero essere giustificabili con l’uso di dispositivi di ausilio alla lettura, è evidente che un discreto effetto hanno avuto le dichiarazioni dell’interessato di aver letto dei libri – sebbene ugualmente fruibili tramite sistemi di ausilio alla lettura, di cui, peraltro, nel profilo non faceva mai menzione – ma, soprattutto, di aver guidato l’auto.
Ulteriori approfondimenti investigativi hanno permesso di accertare che effettivamente guidava l’auto, leggeva il giornale e non aveva reali limitazioni delle capacità visive.
Per tornare alle realtà processuali, occorre distinguere tra le regole per l’acquisizione probatoria in ambito penale, che permettono all’Autorità Giudiziaria di accedere anche ai profili c.d. “privati” dei social network e delle utenze presenti sui siti web, da quelle relative all’utilizzabilità in sede civile, che subordinano, invece, la produzione e la valutazione da parte del Giudice alla legittima acquisizione da parte dell’interessato.
La prova illegittimamente acquisita non può essere valutata – ed è quindi preclusa la sua utilizzabilità ai fini della decisione.
Ma occorre anche rilevare che le conversazioni tenute in un ambito pubblico possono essere liberamente prodotte, così come quelle avvenute tra due soggetti, se a produrle è uno di loro.
Ed è altrettanto vero che, per quanto riguarda i profili dei social network, una ridottissima percentuale di utenti è davvero in grado di impostare condizioni di sicurezza accettabili e, soprattutto, tenere una condotta che sia davvero rispettosa delle proprie esigenze di riservatezza.
Manca, in sostanza, la forma mentis per l’uso consapevole e responsabile delle tecnologie informatiche, che hanno travolto – più che coinvolto – la maggioranza degli attuali utenti, paragonabili ad autisti che guidano una vettura con le potenzialità di una Ferrari, senza avere neppure mai conseguito la patente.

Fonte: Sicurezza magazine

Videosorveglianza nei condomini

La crescente sensazione di insicurezza percepita dai cittadini, unita alla continua riduzione dei prezzi dei prodotti elettronici, ha portato una quantità sempre maggiore di soggetti privati a fare ricorso a sistemi di videosorveglianza per tutelare il proprio ambito personale e patrimoniale.
Se, inizialmente, il frequente ricorso alle telecamere era appannaggio dei proprietari di villette e case isolate, da diversi anni, ormai, anche sui pianerottoli dei palazzi hanno fatto la loro comparsa gli “occhi elettronici”, ampliando il già nutrito numero di controversie di natura condominiale.
Che il condominio non sia il posto migliore per rilassarsi è ormai noto.
Ma che potesse, proprio in tale ambito, verificarsi un consistente contenzioso causato da un sostanziale vuoto normativo ancora da colmare, sicuramente nessuno poteva aspettarselo.
Occorre, quindi, quantomeno, esaminare gli aspetti essenziali della materia per cercare di trovare una soluzione temporanea, in attesa del sospirato intervento legislativo. Che, si spera, non proceda a confondere maggiormente gli interessati…

Rispettare le regole del Garante
Chi intende installare una telecamera di videosorveglianza per proteggere dalle aggressioni il proprio patrimonio o i propri cari, dovrebbe teoricamente rispettare alcune regole, dettate dal Garante con le proprie linee guida, ed essere formalmente a posto con la legge.
Tra le principali, occorre ricordare che:
a) l’angolo di ripresa non deve eccedere il trattamento necessario a tutelare un legittimo interesse
b) il trattamento deve essere finalizzato alla sicurezza patrimoniale e personale
c) deve essere data idonea informativa agli interessati prima che entrino nel raggio di azione delle telecamere
d) la conservazione deve essere limitata nel tempo a un massimo di 24 ore
e) l’adozione di idonee misure di sicurezza.
E i contrasti non sorgono solo tra i condomini, ma, evidentemente, anche tra gli operatori del diritto.
Lo specifico tema della sorveglianza delle aree comuni negli edifici è già stato oggetto di una duplice segnalazione, da parte del Garante Privacy, al Parlamento e al Governo, da ultimo con le linee guida sulla videosorveglianza datate 8 aprile 2010, affinché, stante l’assoluta carenza di regolamentazione in materia, provvedessero a sanare la situazione con un intervento normativo.
Infatti, in tale materia sorge, innanzitutto, la difficoltà nell’individuare il titolare del trattamento, potendosi verificare la duplice situazione dell’impianto installato dal singolo condomino e di quello installato dal condominio su deliberazione dell’assemblea.

Inadeguatezza del corpus normativo sul condominio
L’attuale corpus normativo sul condominio non consente di individuare con certezza neppure i soggetti titolari del diritto di voto in assemblea, potendo, teoricamente, essere interessati all’installazione di un impianto condominiale tanto i proprietari quanto gli inquilini – e per motivi diversi tra loro.
Così come ciascuno di essi può essere controinteressato, in qualità di soggetto passivo del trattamento, e, quindi, avere diritto di opporsi all’installazione.
Analogamente, potrebbe vantare il diritto di opporsi al trattamento chiunque frequenti abitualmente l’edificio per vincoli familiari o per ragioni di lavoro.
Occorrerebbe, infine, stabilire, da parte dell’assemblea, che tipo di deliberazione risulterebbe necessario adottare, nelle distinte ipotesi di installazione di un impianto condominiale o di autorizzazione/nulla osta rilasciata a un impianto privato: se a maggioranza, eventualmente qualificata, ovvero all’unanimità.
Le modalità di installazione potrebbero, perfino, integrare il delitto di interferenza illecita nella vita privata ex art. 615 bis cod. pen., qualora la zona sottoposta a controllo risultasse, anche solo in parte, uno spazio di pertinenza di un altro soggetto (ad esempio, un giardino o cortile interno).
Nell’esaminare le singole situazioni che possono manifestarsi, è, poi, necessario procedere alla valutazione degli interessi contrapposti: da un lato, l’esigenza di preservare la sicurezza di persone e la tutela di beni privati o comuni; dall’altro, il timore di poter essere controllati e analizzati proprio all’interno del condominio, ove si svolge con maggiore frequenza la vita privata di un soggetto.
Una consapevolezza che potrebbe incidere su abitudini e stili di vita individuali e familiari, venendo a mancare, per gli interessati, la libertà di movimento e di iniziativa, sia in relazione al loro domicilio che agli spazi condominiali.
Sarebbe, infatti, agevole, per chi avesse la possibilità di accedere ai dati registrati dal sistema, conoscere gli orari di entrata e uscita dei singoli condomini, gli sport e gli hobby che praticano, le persone cui si accompagnano, i vestiti che indossano più frequentemente, gli acquisti che fanno e così via.
Una situazione, quindi, oltremodo delicata da affrontare, che potrebbe vertere sull’opportunità di sottoporre a sorveglianza anche il pianerottolo su cui affaccia il singolo appartamento, piuttosto che l’androne nel quale abitualmente vengono riposte le biciclette dei condomini.

Le sentenze recenti
Il Tribunale di Salerno ha affrontato la problematica nel dicembre del 2010 incentrando l’attenzione soprattutto sul profilo attivo del trattamento, ossia sull’esatta individuazione del soggetto che potesse correttamente qualificarsi “titolare del medesimo” La questione posta all’attenzione del collegio verteva sulla possibilità di individuare come titolare l’assemblea condominiale, trattandosi dell’organo teoricamente deputato a decidere sull’eventuale installazione di un sistema di videoregistrazione.
Secondo il giudice campano, la decisione non rientra tra i compiti dell’assemblea, poiché “lo scopo della tutela dell’incolumità delle persone e delle cose dei condomini, cui tende l’impianto di videosorveglianza, esula dalle attribuzioni dell’organo assembleare”.
Analogamente, la Cassazione aveva ritenuto, il 20 aprile 1993, con Sentenza n. 4631, che la delibera istitutiva di un servizio di vigilanza armata, per la tutela dell’incolumità dei partecipanti, perseguisse finalità estranee alla conservazione e gestione delle cose comuni e dovesse, pertanto, essere annullata.
Il Tribunale di Salerno ha, quindi, evidenziato come l’assemblea di condominio non possa in alcun modo essere individuata come legittimo titolare del trattamento dei dati personali, non essendo altro che un organo di amministrazione del condominio, attraverso il quale i proprietari delle singole unità immobiliari disciplinano l’utilizzo e la conservazione delle parti comuni.
Non potrebbe, quindi, essere, in nessun caso, titolare del trattamento dei dati personali degli interessati che dovessero entrare nel raggio di azione delle telecamere, poiché le sue competenze sono limitate dai poteri conferiti dal codice civile e non possono invadere la sfera dei diritti individuali dei singoli condomini o di qualsiasi altro soggetto controinteressato. Interpretazione discutibile.
Una possibile soluzione potrebbe trovarsi nell’adozione di una delibera all’unanimità, che, tuttavia, risolverebbe solo l’eventuale conflitto in seno all’assemblea, mentre resterebbe precluso ai conduttori degli immobili, ad esempio, il potere di incidere sulla decisione. Secondo altra pronuncia giurisprudenziale relativamente recente (Trib. Varese, 16 giugno 2011, n. 1273), neppure il privato avrebbe la facoltà di installare un sistema di videoregistrazione in ambito condominiale, al fine di riprendere gli spazi comuni. Contrariamente a quanto evidenziato dal Tribunale di Salerno, secondo il Tribunale di Varese potrebbe, tuttavia, procedere il condominio, nell’ipotesi di consenso all’unanimità dell’assemblea, potendosi rilevare, in tal caso, il perfezionamento di “un consenso comune atto a fondare effetti tipici di un negozio dispositivo dei diritti coinvolti”.
Anche tale soluzione, tuttavia, non convince appieno, pur potendosi considerare la più valida per evitare conseguenze di natura civile e penale.
Sono, infatti, esclusi dalla decisione tutti quei soggetti che sono ugualmente – e forse anche maggiormente – interessati all’utilizzo degli spazi comuni e dovrebbero essere coinvolti nell’adozione di una simile decisione.
Almeno in sede penale, la questione sembra risolta positivamente, dato che la Corte di Cassazione, con Sentenza n. 44156 del 26.11.2008, ha affermato che “non commette il reato di cui all’articolo 615-bis del codice penale (interferenze illecite nella vita privata) il condomino che installi per motivi di sicurezza, allo scopo di tutelarsi dall’intrusione di soggetti estranei, alcune telecamere per visionare le aree comuni dell’edificio (come un vialetto e l’ingresso comune dell’edificio), anche se tali riprese sono effettuate contro la volontà dei condomini, specie se i condomini stessi siano a conoscenza dell’esistenza delle telecamere e possano visionarne in ogni momento le riprese”.
Da ultimo, il Tribunale di Monza, con la Sentenza n. 1087/2012, sembra confermare l’impostazione data alla materia dalle precedenti pronunce di merito, nel senso di escludere la titolarità del trattamento in capo all’assemblea condominiale, affermando, anzi, che la stessa non avrebbe neppure quello di vietare a un singolo condominio l’installazione di telecamere di videosorveglianza.

La soluzione della Corte di Cassazione: pro e contro
La soluzione preferibile appare, quindi, quella delineata dalla Corte di Cassazione: il condomino ha pieno diritto di agire in assoluta autonomia, senza dover acquisire alcuna autorizzazione assembleare, attenendosi alle disposizioni del Codice della Privacy.
Dovrà, pertanto, dare ampia informazione dell’installazione agli altri condomini, eventualmente avvisando della stessa proprio l’assemblea e ottenendo una sorta di “nulla osta” da quest’ultima.
Dovrà apporre i cartelli necessari ad allertare gli interessati che stanno entrando nel raggio di azione della telecamera, avendo cura di renderli visibili anche nelle ore notturne e di impostare l’angolo di ripresa in modo tale che non vada a incidere su parti private, evitando l’installazione di telecamere motorizzate, dotate di brandeggio e zoom, ove non indispensabili, poiché potrebbero consentire un utilizzo illecito delle stesse.
Dovrà, infine, utilizzare, in caso di videoregistrazione, un impianto dotato di sovrascrittura automatica delle informazioni alla scadenza delle 24 ore dalla ripresa, ovvero motivare le ragioni per le quali ritiene di dover adottare un termine di conservazione dei dati maggiore.Il problema, dunque, sembrerebbe risolto nel senso di lasciar spazio all’iniziativa del singolo, negandola all’assemblea, ma, a ben vedere, la soluzione appare incompleta e irragionevole: se il singolo condomino può installare un sistema di videosorveglianza senza che l’assemblea possa opporsi a tale decisione, a maggior ragione il condominio, riunito in assemblea, dovrebbe poter dare mandato all’Amministratore al fine di provvedere all’installazione di un sistema di videosorveglianza volto a tutelare le parti comuni e i condomini stessi dall’azione di eventuali malintenzionati.
La circostanza che l’assemblea sia l’organo di gestione delle parti comuni, oltre a essere riduttiva (perché sarebbe più corretto parlare di tutela degli interessi comuni), non esclude che nell’ambito della gestione delle parti comuni rientri anche l’installazione di un sistema di videosorveglianza delle stesse, rispetto al quale titolare del trattamento sarebbe il condominio, nella persona del suo legale rappresentante.

Fonte: Sicurezza magazine

Diffusione di foto private su Internet

Recentemente ho seguito un caso di diffusione di foto private su Internet, che mi ha fatto riflettere non poco sull’esigenza di trovare una nuova dimensione alla disciplina della riservatezza dei dati personali; non perchè il D.Lgs. 196/2003 non sia sufficientemente articolato, ma in quanto praticamente sconosciuto alla Magistratura.

Con una querela, la Signora Maria (il nome è ovviamente di fantasia) chiedeva all’Autorità Giudiziaria di perseguire e punire il proprio ex fidanzato, ritenuto responsabile di aver immesso su Internet alcune foto che la ritraevano durante l’intimità, scattate, pur con il consenso della vittima, durante i loro rapporti.

Al termine della relazione, anzichè provvedere alla loro cancellazione, Mario (anche qui un nome di fantasia) li memorizzava su un cd, che successivamente smarriva, ma del quale non denunciava la scomparsa (queste, almeno, le sue dichiarazioni durante il dibattimento).

Le indagini non consentivano di accertare la fonte dell’immissione in rete del materiale fotografico, e la Procura decideva comunque di procedere nei confronti di Mario, ritenuto l’unico soggetto sospettabile.

Maria si sarebbe aspettata una condanna, che invece non c’è stata, per un’errata impostazione del capo di imputazione da parte del Pubblico Ministero.

L’aver contestato il solo reato di interferenze illecite nella vita privata non ha permesso di pervenire ad una condanna nei confronti di Mario, sostanzialmente per due motivi: il primo, a causa del metodo di diffusione delle foto, tramite un circuito di file sharing, che non consente di risalire ali autori della prima condivisione; il secondo, per il consenso di Maria alla realizzazione delle foto.

Se la Procura avesse correttamente impostato il processo sul trattamento illecito di dati personali, certamente il processo si sarebbe concluso con la dichiarazione della penale responsabilità di Mario, perchè la violazione della norma sarebbe stata parte integrante della condotta di aver conservato le foto senza custodirle adeguatamente.

La legge sulla privacy, infatti, pur non essendo applicabile all’uso esclusivamente personale dei dati, fa salva l’eccezione della comunicazione e diffusione, nel qual caso il titolare del trattamento (Mario, in questo caso) ha comunque l’obbligo di osservare le misure di sicurezza prescritte dal Codice.

Per sua stessa ammissione, Mario aveva smarrito il cd contenente le foto di Maria, e non l’aveva cifrato (la cifratura è obbligatoria per i dati sensibili, come quelli attinenti la sfera sessuale della persona).

Era quindi responsabile dell’omessa adozione delle misure di sicurezza previste dal Codice a prescindere da una sua responsabilità per la materiale diffusione delle foto. La sola circostanza che la diffusione fosse avvenuta comportava la sua responsabilità.

Per motivi che non è dato conoscere, nonostante le insistenze della difesa, il Pubblico Ministero (di fresca nomina e troppo presuntuoso per accettare consigli) ha tratto a giudizio Mario solo per le interferenze illecite nella vita privata, con il bel risultato di non soddisfare la legittima richiesta di Maria, rimasta sola con i suoi problemi e la sua vergogna.

Casi analoghi accadono quotidianamente su Facebook, su MySpace, su YouTube, su eMule e su altri sistemi di condivisione delle informazioni; ma ad essere impreparata, sempre più spesso, non è la legge, anzi, fin troppo articolata, bensì gli operatori del diritto che dovrebbero applicarla.

Viene spontaneo chiedersi se non sarebbe ora, tra le tante riforme preannunciate, di pensare ad una specializzazione dei Tribunali per sezioni, onde evitare che sul tavolo dello stesso Giudice, nella stessa giornata, arrivino fascicoli relativi al pascolo abusivo, alle frodi informatiche, alla rapina e alla violazione urbanistica.

Fonte: Leggi Oggi

Email e aziende

Con ordinanza del 15 maggio 2002, il Giudice per le Indagini Preliminari del Tribunale di Milano ha rigettato l’opposizione all’archiviazione promossa da una dipendente licenziata dal proprio datore di lavoro, a seguito di controlli operati sulla mailbox aziendale assegnatale per l’espletamento delle proprie mansioni, poiché da tali controlli era emerso che la stessa seguiva, per proprio conto, altri progetti, probabilmente in concorrenza con quelli dell’azienda da cui dipendeva.

L’interessata aveva proposto formale denuncia-querela ritenendo che la condotta dell’azienda fosse riconducibile alla violazione dell’art. 616 c.p., e sostenendo che la corrispondenza contenuta nella mailbox è sostanzialmente equiparabile a quella epistolare, telegrafica, telefonica ovvero effettuata con ogni altra forma di comunicazione, la cui segretezza è garantita dall’art. 15 della Costituzione.

Aveva eccepito, inoltre, l’insussistenza della scriminante dell’esercizio di un diritto o dell’adempimento di un dovere di cui all’art. 51 c.p., non essendovi alcuna ragione, a parere della stessa, per accedere alla predetta mailbox, durante il periodo feriale estivo.

L’azienda, al contrario, aveva basato la propria giustificazione sulla necessità di verificare che nella mailbox non fossero pervenute e-mail urgenti, la cui mancata consultazione avrebbe potuto in qualche modo pregiudicare gli interessi dei clienti affidati alla dipendente o quelli dell’azienda stessa.

In data 21.1.02 il P.M., accogliendo le difese della Società, aveva quindi richiesto l’archiviazione del procedimento ritenendo le caselle di posta elettronica “…strumenti di lavoro della società, soltanto in uso ai singoli dipendenti per lo svolgimento dell’attività aziendale ad essi demandata…” e considerando, pertanto, che la titolarità di detti spazi potesse inequivocabilmente essere riconducibile alla predetta società. Contro detta richiesta di archiviazione la dipendente aveva proposto opposizione.

Nel corso dell’esame della fattispecie, il GIP di Milano ha posto l’accento su diverse argomentazioni degne di nota, che risultano pienamente condivisibili.

A parere del magistrato, benché non possa dubitarsi del fatto che l’indirizzo di posta elettronica affidato in uso al lavoratore, di solito accompagnato da un qualche identificativo più o meno esplicito, abbia carattere personale – nel senso cioè che lo stesso viene attribuito al singolo lavoratore per lo svolgimento delle proprie mansioni – appare altrettanto evidente che “personalità” dell’indirizzo non significa necessariamente “privatezza” del medesimo, dal momento che, ad eccezione di ipotesi particolari, la e-mail concessa al dipendente per lo svolgimento delle proprie mansioni (nomedipendente@azienda.it) resta comunque un bene aziendale, come tale accessibile ai soggetti autorizzati e al datore di lavoro.

Del resto, si giungerebbe a conclusioni irragionevoli qualora si accogliesse la tesi della riservatezza della mailbox assegnata alla dipendente, poiché, in caso di assenza di quest’ultima (per malattia, gravidanza, puerperio, formazione, dimissioni, ecc.), l’azienda dovrebbe rassegnarsi a perdere la corrispondenza ivi pervenuta, con conseguenze certamente negative per l’attività svolta.

Secondo il magistrato, dovendosi assicurare continuità all’attività aziendale, così come non è configurabile un diritto del lavoratore ad accedere in via esclusiva al computer aziendale, allo stesso modo non è ipotizzabile un diritto all’utilizzo esclusivo di una casella di posta elettronica aziendale.

Pertanto, il lavoratore che utilizza per fini propri la casella di posta elettronica aziendale accetta implicitamente il rischio che anche altri lavoratori della medesima azienda possano visionare la sua posta elettronica.

Il concetto non appare irragionevole. L’utilizzo di un computer aziendale è assimilabile all’uso di qualsiasi altro mezzo, come il telefono cellulare o l’autovettura di servizio.

Così come tali beni non possono essere utilizzati dal dipendente per fini propri (ad es.: per chiamare la fidanzata o per accompagnare i figli a scuola), allo stesso modo la mailbox aziendale non dovrebbe essere utilizzata per la corrispondenza personale.

Diverso è il discorso qualora, attraverso l’utilizzo di log di sistema, il datore di lavoro ricostruisca UserId e Password di una mailbox privata del dipendente (nome.cognome@hotmail.com) ed acceda a quest’ultima. In tal caso sarebbe certamente censurabile il comportamento adottato dal datore di lavoro, in sede civile e penale, trattandosi di casella di posta elettronica non aziendale e quindi assolutamente assimilabile alla buca delle lettere in cui si trova la corrispondenza privata.

Nel caso di specie, l’indirizzo della dipendente risultava essere “nomedipendente@azienda.it”, come tale chiaramente individuabile nella sua natura di bene aziendale, per il quale, come giustamente osservato dal GIP di Milano, l’uso di UserId e Password per proteggere la mailbox non sono finalizzati a tutelarne al riservatezza, bensì ad impedire l’accesso a persone non autorizzate, in applicazione dei principi della 675/96 e del DPR 318/99, che impongono tali accorgimenti tecnici a tutela della riservatezza dei clienti e di ogni altro soggetto di cui l’azienda tratti i dati (non certo della corrispondenza dei dipendenti che usano, anzi abusano, della mailbox).

Che non sia necessario informare il dipendente del divieto di utilizzare la mailbox aziendale per la propria corrispondenza elettronica è abbastanza evidente, giacché si potrebbe semmai contestare al dipendente un uso illecito del bene aziendale e procedere nei suoi confronti in sede disciplinare, al pari dell’uso della connessione Internet per visitare siti porno o consultare le quotazioni dei propri titoli di borsa, o dell’uso dell’auto aziendale per portare i figli a scuola.

Ciò che stupisce, del clamore suscitato dalla suddetta ordinanza, anche tra gli operatori del diritto, è che improvvisamente, regole di normale e pacifica applicazione nel mondo materiale, divengono di difficile interpretazione se riferite alle nuove tecnologie (occorre peraltro stabilire quando una tecnologia possa dirsi “nuova”, visto che il primo messaggio di posta elettronica ha viaggiato in rete nel 1959).

L’uso (o, meglio, l’abuso) di risorse tecnologiche aziendali, al pari di altri mezzi più “obsoleti” come vetture e telefoni, è da sempre tollerato dal datore di lavoro, anche per quieto vivere, ma ciò non consente al lavoratore di accampare diritti su un comportamento comunque illecito. Gli stessi comportamenti, peraltro, nella pubblica amministrazione costituiscono una specifica condotta delittuosa (art. 314 c.p. – Peculato), qualificata come reato proprio, in quanto sussistente se attuata da un pubblico ufficiale o da un incaricato di pubblico servizio.

L’e-mail, in sostanza, costituisce un semplice strumento aziendale messo a disposizione dell’utente-lavoratore al solo fine di consentirgli lo svolgimento delle proprie mansioni. Pertanto, come ogni altro strumento di lavoro fornito dal titolare, rimane nella completa e totale disponibilità del medesimo, senza alcuna limitazione, e solo ragioni di discrezione ed educazione imporrebbero al datore di lavoro o a suoi delegati di astenersi da ogni forma di controllo.

Impropri i riferimenti alla Legge 675/96, poiché è evidente che non può esservi trattamento di dati personali del dipendente se in precedenza non v’è stato un utilizzo illecito della mailbox aziendale da parte del dipendente, circostanza che esclude la tutela del relativo diritto da parte di quest’ultimo.

Più delicato, invece, il problema connesso all’art. 4 dello Statuto dei Lavoratori, che impedisce qualsiasi forma di controllo a distanza dell’operato del dipendente, poiché, a ben vedere, dal controllo dei messaggi della mailbox si potrebbe effettivamente procedere al controllo, seppure indiretto, dell’operato del dipendente sul luogo di lavoro. Ma, in tal caso, sarebbero ben diverse le finalità e le modalità di attuazione del controllo, per cui il riferimento non è comunque pertinente al caso in esame, in cui il controllo dei messaggi era avvenuto, in assenza della dipendente, al preciso scopo di assicurare continuità all’attività dell’azienda.

Fonte: Italia Oggi