Amministratori di sistema: risposte alle domande più frequenti (FAQ)

 Il Garante ha pubblicato le FAQ, ancora prima della chiusura della consultazione pubblica. Ci sono alcuni aspetti di grande chiarimento (per esempio, non si devono tenere i dati su quanto fa l'amministratore). Altri temi, invece, non sono risolti (ad esempio cosa sono le finalità amministrative contabili). Ci sono poi indicazioni sulla non necessità di comprare soluzioni hardware e software nonché sui dati da tenere e come.

Comments

[Scritto da: Mario]

L'inclusione nel perimetro del provvedimento dei log relativi ad apparati di rete quali router, hub e switch, sebbene veicolanti dati personali in chiaro, non potrebbe secondo voi risultare eccessiva relativamente allo spirito del provvedimento?

L'accesso ai dati personali presuppone comunque l'utilizzo di strumenti per la cattura di informazioni (es. sniffer).

Non potrebbe trattarsi di un "problema" di sicurezza, che va al di là delle intenzioni del Garante?

Aspetto una Vostra risposta,
grazie!

M.

[Scritto da: Luca Bechelli]

Ciao Stefano,
come ho risposto a Riccardo nel precedente post, l'interrogativo non può avere una risposta del tutto netta: il provvedimento, infatti, non esclude "a priori" gli amministratori di rete dal proprio ambito.
Quello che è possibile dire è che, se si è nella condizione di escludere il "possibile l'accesso, anche fortuito, a dati personali", allora è improbabile che gli amministratori di rete rientrino nel Provvedimento. Viceversa, qualora non si sia certi di poter escludere tale possibilità secondo me conviene fare delle verifiche approfondite, che possono comportare anche la verifica delle risultanze ad opera di un legale.

[Scritto da: Stefano]

E' interessante la domanda di Riccardo, qua sopra, non sappiamo se bisogna tenere traccia anche degli accessi fatti dagli amministratori a router, switch e firewall poichè veicoli di dati personali ma non detentori. Qualcuno può rispondere?

[Scritto da: Luca Bechelli]

Buongiorno,
innanzitutto una precisazione: l'ambito del Provvedimento è il trattamento di dati personali, sia che siano comuni, sia che siano sensibili o giudiziari.
Ora, premesso che non sono un legale (il cui parere è certamente di maggiore utilità sopratutto avendo conoscenza del contesto dove si deve applicare il Provvedimento), relativamente alla prima domanda, se gli amministratori c.d. di rete possano essere ritenuti fuori ambito del provvvedimento, in linea di principio direi di no.
Questo perchè il Provvediemento al Punto 1, "nel segnalare a tutti i titolari di trattamenti di dati personali" ... "la particolare criticità del ruolo degli amministratori di sistema, richiama l'attenzione dei medesimi titolari sull'esigenza di valutare con particolare attenzione l'attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di amministratore di sistema (system administrator), amministratore di base di dati (database administrator) o amministratore di rete (network administrator)..." facendo quindi esplicito riferimento a questa figura.
In ogni caso, tali amministratori ricadono nella definizione del Provvedimento "...laddove tali funzioni siano esercitate in un contesto che renda ad essi tecnicamente possibile l'accesso, anche fortuito, a dati personali". Quindi non si parla di tenuta dei dati, ma di accesso, che è un caso più generale. Ad esempio, mi viene da dire che tali dati possono essere oggetto di log per apparati configurati per produrre un eccessivo numero di informazioni inerenti il traffico trattato, oppure nei casi in cui sia possibile monitorare il traffico attraversato dall'apparato. Sono casi certo non sempre applicabili, ma la normativa deve in questi casi essere la più generica possibile.
Quindi laddove router, switch, firewall, ras, vpn concentrator, siano veicoli di dati personali, e non ne consentano l'accesso, i loro amministratori non rientrano nel Provvedimento.

Attenzione, però. Il Provvedimento nel Punto 1 della Premessa, comma 2 e 3, dice anche che "Gli amministratori di sistema così ampiamente individuati, pur non essendo preposti ordinariamente a operazioni che implicano una comprensione del dominio applicativo (significato dei dati, formato delle rappresentazioni e semantica delle funzioni), nelle loro consuete attività sono, in molti casi, concretamente "responsabili" di specifiche fasi lavorative che possono comportare elevate criticità rispetto alla protezione dei dati.
Attività tecniche quali il salvataggio dei dati (backup/recovery), l'organizzazione dei flussi di rete, la gestione dei supporti di memorizzazione e la manutenzione hardware comportano infatti, in molti casi, un'effettiva capacità di azione su informazioni che va considerata a tutti gli effetti alla stregua di un trattamento di dati personali; ciò, anche quando l'amministratore non consulti "in chiaro" le informazioni medesime."

Quindi, ma qui ripeto che il parare di un legale è d'obbligo, l'effettiva possibilità di conoscere tali dati, che comporta solo un sotto-insieme delle attività che rientrano nella definizione di "Trattamento", non è per il Garante un discriminante per ritenere un soggetto un "AdS".

A tale scopo, provo a rispondere alla seconda domanda: i grossi provider che installano remotamente migliaia di router/switch/firewall, etc come farebbero ad essere compliant?
In questo caso è bene ricordare che se il provider "...mette a disposizione del pubblico servizi di comunicazione elettronica su reti pubbliche di comunicazione..." dove "..per «servizi di comunicazione elettronica» devono intendersi quelli consistenti, esclusivamente o prevalentemente, «nella trasmissione di segnali su reti di comunicazioni elettroniche» (art. 4, comma 2, lettera d) e e), del Codice)..." (Provvedimento 17 Gennaio 2008 sul Trattamento dei dati di traffico) il Garante ha emesso specifici provvedimenti, le cui prescrizioni sono ben più restrittive rispetto a quelle dell'attuale sugli AdS.

In questi casi, tuttavia, secondo me è opportuno rifarsi allo "spirito" della norma: il Garante ha toccato un tema sicuramente molto importante, ovvero la necessità di prendere coscienza della rilevanza e della delicatezza delle mansioni assegnate agli AdS, e di conseguenza di adottare una condotta, la c.d. due diligence, che rifletta tale presa di coscienza, che si rientri o no nell'ambito dell'uno o dell'altro provvedimento di legge.

[Scritto da: Riccardo]

Ciao Paolo,
ma è corretto ritenere gli "amministratori di rete" di apparati quali router, switch, firewall, ras, vpn concentrator, cioè apparati veicoli di dati sensibili e non detentori di dati sensibili, al di fuori di quanto emanato nel provvedimento del garante ?

Mi viene da pensare ai grossi provider che installano remotamente migliaia di router/switch/firewall, etc come farebbero ad essere compliant ?

grazie
Riccardo
dim0sal@hotmail.com