Cosa stai cercando?
CONSULENZE

Author Archives: Legadvance

L’abolitio criminis dell’Abuso di Ufficio e la riscrittura del Traffico di influenze Illecite

Author Di LegadvancePosted on

Il contesto

Con l’approvazione del DDL Nordio, dal nome del Ministro della Giustizia, il Parlamento ha definitivamente messo una pietra tombale sul reato previsto e punito, almeno fino a ieri, all’art. 323 del cod. pen.

L’abolizione di tale reato, che negli anni ha subito plurime modifiche ad opera del legislatore, è stata tanto caldeggiata da tutti quei “professionisti pubblici”, sindaci e amministratori, i quali sostengono che la presenza del reato testé citato spinga spesso a evitare di assumersi responsabilità decisionali anche su provvedimenti banali, per paura di incorrere in procedimenti penali: il timore di commettere abuso d’ufficio provocherebbe in loro la paura di assumersi responsabilità, spesso definita “paura della firma”.

A seguito dell’abolizione dell’abuso di ufficio, questa paura non è più un problema e tutti coloro che hanno subito una condanna passata in giudicato, secondo il principio dell’abolitio criminis, vedranno la revoca della loro condanna.

Preme segnalare, tuttavia, che nel D. L. sulle carceri, il governo ha introdotto un nuovo articolo al cod. pen. – “indebita destinazione di denaro o cose mobili” –, art. 314 bis, in cui pare che possano farsi rientrare parte delle condotte precedentemente sussumibili proprio all’abuso d’ufficio: “Fuori dei casi previsti dall’articolo 314, il pubblico ufficiale o l’incaricato di un pubblico servizio, che, avendo per ragione del suo ufficio o servizio il possesso o comunque la disponibilità di denaro o di altra cosa mobile altrui, li destina ad un uso diverso da quello previsto da specifiche disposizioni di legge o da atti aventi forza di legge dai quali non residuano margini di discrezionalità e intenzionalmente procura a sé o ad altri un ingiusto vantaggio patrimoniale o ad altri un danno ingiusto, è punito con la reclusione da sei mesi a tre anni. La pena è della reclusione da sei mesi a quattro anni quando il fatto offende gli interessi finanziari dell’Unione europea e l’ingiusto vantaggio patrimoniale o il danno ingiusto sono superiori ad euro 100.000”.

Legadvance sta studiando il nuovo reato e le possibili applicazioni della fattispecie ai fini della responsabilità amministrativa degli enti.

Ricordiamo che l’abuso d’ufficio era previsto all’art. 25 del D. Lgs. 231/2001 e che pertanto andrà espunto dall’elenco, così come si dovrà procedere all’inserimento del 314 bis dopo la Legge 112/2024 di conversione del D. L. 92/2024.

Infine, preme segnalare la “riscrittura” dell’art. 346-bis c.p. (traffico di influenze illecite) in cui il legislatore rende rilevante solamente l’utilizzo di relazioni esistenti con un pubblico ufficiale o un incaricato di un pubblico servizio o uno dei soggetti di cui all’art. 322-bis c.p., eliminandosi il richiamo alla condotta di «vantare relazioni asserite» con i suddetti soggetti.

La condotta dell’agente deve essere realizzata “intenzionalmente”, essendo quindi necessario l’elemento soggettivo del dolo intenzionale. Viene introdotta, tra le finalità della condotta, la realizzazione di “altra mediazione illecita”, normativamente definita come la mediazione volta ad indurre il pubblico ufficiale/incaricato di pubblico servizio/altri soggetti indicati dalla norma a compiere atti contrari ai propri doveri d’ufficio che:

a) costituiscano reato e da cui possa derivare un indebito vantaggio.

Viene introdotta la natura “economica” del vantaggio dato o promesso al mediatore, da intendersi, oltre che con il denaro, anche con una “utilità economica”.

Cosa fare adesso

La novella modifica l’elenco dei reati presupposto inseriti nella parte speciale del modello di organizzazione, gestione e controllo; tuttavia, tale modifica, non incidendo direttamente sul risk assessment, non impatta direttamente ed in via immediata sul Modello 231.

Ad oggi, è sufficiente prendere atto delle modifiche introdotte, rimandando al prossimo aggiornamento/revisione il “ritocco” della parte speciale del Modello.

Dati personali nei contratti pubblici – monito del Presidente dell’ANAC

Author Di LegadvancePosted on

Il Presidente dell’Autorità nazionale anticorruzione (ANAC), l’avv. Giuseppe Busia, è intervenuto con un comunicato del 3 luglio 2024, al fine garantire la tutela dei dati personali in occasione delle informazioni trasmesse alla Banca dati nazionale dei contratti pubblici (BDNCP).

 

L’Autorità – avendo riscontrato frequenti violazioni in materia – desidera porre l’attenzione di tutte le Amministrazioni e dei soggetti coinvolti sull’importanza “di evitare l’inserimento di dati personali tra le informazioni relative alle procedure di affidamento pubblicate mediante le Piattaforme di Approvvigionamento Digitali (PAD), oltre che sui siti istituzionali”.

In sintesi, l’Autorità ha posto l’attenzione sulla necessità di essere attenti nella selezione dei dati personali che devono essere effettivamente impiegati, alla luce anche del coinvolgimento di dati particolari (ex sensibili) nelle procedure aventi ad oggetto affidamenti relativi a servizi sociosanitari. Sul punto l’ANAC ha inteso palesare un completo allineamento alle posizioni espresse in materia dall’Autorità Garante per la protezione dei dati personali, richiamando il “Parere del Garante su uno schema di decreto legislativo concernente il riordino della disciplina riguardante gli obblighi di pubblicità, trasparenza e diffusione di informazioni da parte delle Pa” pubblicato il 7 febbraio 2013 (indicizzato sul sito www.garanteprivacy.it come doc-web n. 2243168)

Inoltre, il Presidente sottolinea la necessità di distinguere tra i dati personali, sì necessari ma che dovranno essere messi a disposizione dei soli uffici incaricati, da quelle informazioni che potranno essere pubblicate online in forma anonima, avendo cura di non scendere nel dettaglio di particolari e personali situazioni di disagio. È interessante notare che il Presidente Busia, nell’ambito di un comunicato a portata generale, abbia voluto puntualizzare l’assoluta inidoneità della sostituzione del nome e cognome degli interessati con le sole iniziali. Come noto agli studiosi e consulenti della materia, la pseudonimizzazione richiede soluzioni differenti e da valutarsi caso per caso (vale la pena ricordare il provvedimento WP216 del Gruppo di Lavoro art. 29 per la protezione dei dati o il documento “Tecniche di pseudonimizzazione e buone pratiche” dell’Agenzia dell’Unione Europea per la cybersecurity”).

 

Fin da subito, tutti i soggetti coinvolti dovranno verificare i contenuti dei documenti già pubblicati in relazione alle procedure di affidamento, assicurandosi di non aver pubblicato dati personali; in caso contrario dovranno essere coinvolti i propri DPO per intervenire prontamente, anche comunicando all’ANAC la necessità di rimuovere tempestivamente i dati personali. A tal fine è stato pubblicato dall’Autorità un modello ad hoc che dovrà essere impiegato per la richiesta di rimozione dei dati, specificando il CIG identificativo della procedura di riferimento.

Gestione della posta elettronica sul lavoro e trattamento di metadati

Author Di LegadvancePosted on

Il Garante per la protezione dei dati personali – con provvedimento n. 364 del 6 giugno 2024, doc web 10026277 – è tornato sulla gestione della posta elettronica in ambito lavorativo e sulla gestione dei relativi log, c.d. metadati.

Rammentiamo che tali aspetti erano oggetto di un provvedimento del 21 dicembre 2023, la cui applicazione fu repentinamente sospesa e differita da parte della medesima Autorità, anche a seguito di numerose perplessità applicative manifestate a vari livelli.

L’attuale provvedimento considera i contributi richiesti dall’Autorità nel processo di revisione del provvedimento.

L’Autorità non impone nuovi adempimenti in capo ai datori di lavoro ma si propone di offrire ad enti ed aziende una sintesi della disciplina applicabile, che considera anche i numerosi provvedimenti di soft law stratificatisi nel tempo.

Il provvedimento ribadisce i principi fondamentali prescritti dalle norme europee, nazionali e regolamentari, in materia di protezione dei dati personali e di tutela dei lavoratori, per le parti più attigue alla data protection.

A guidare il datore di lavoro dovranno essere sempre i seguenti principi: i) liceità del trattamento; ii) correttezza e trasparenza; iii) conservazione limitata nel tempo; iv) accountability; v) by design e by default.

Oltre a ripercorrere in modo sistematico gli aspetti salienti delle norme che devono essere rispettate per non incorrere in sanzioni amministrative ed eventuali responsabilità penali, il Garante offre alcune delucidazioni.

L’Autorità definisce cosa debba intendersi per metadati, identificandoli come “informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client”.

Inoltre, il Garante quantifica il periodo di conservazione dei suddetti metadati in massimo 21 giorni, salvo eccezioni.

Le delucidazioni offerte ci permettono di comprendere che i suddetti limiti di conservazione non riguardano il testo dei messaggi di posta elettronica e neppure le informazioni tecniche che ne fanno parte integrante ed inscindibile.

Dal testo sembra trasparire l’intenzione del Garante di disinnescare le preoccupazioni registrate con la diffusione del precedente provvedimento, poi sospeso.

Rimangono alcuni dubbi, in particolare per quanto concerne le modalità nel concreto perseguibili per conformare i sistemi server di gestione della posta elettronica, con particolare riferimento alle soluzioni “off the shelf” in uso non soltanto alle micro imprese. Analogamente, occorre domandarsi come coordinare le prescrizioni sulla disciplina dei tempi di conservazione di parametri tecnici con il disposto dell’art. 32, GDPR, che condiziona la scelta delle misure di sicurezza – e delle relative impostazioni a criteri scelti considerando “… i costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche…”.

Le soluzioni operativamente percorribili sono proposte, tra le righe, dalla stessa Autorità, in parte in questo provvedimento, in parte nei provvedimenti stratificatisi negli anni.

Un altro caso di Amministrazione Giudiziaria nell’Alta Moda, dopo i casi Armani e Alviero Martini

Author Di LegadvancePosted on

Con Decreto del 5 giugno 2024 il Tribunale di Milano – sezione misure di prevenzione – ha disposto l’amministrazione giudiziaria per un anno di un noto marchio di moda di lusso, perché nell’esecuzione della propria attività produttiva si è avvalsa, mediate contratti di sub-appalto, “[…] di soggetti che sono dediti ad un pesante sfruttamento di manodopera […] essendo emersa, nel corso delle indagini, una prassi illecita così radicata e collaudata, da poter essere considerata inserita in una più ampia politica d’impresa esclusivamente diretta all’aumento del profitto, non apparendo le condotte investigate frutto di iniziative estemporanee ed isolate di singoli, ma di un’illecita politica di impresa”. In altri termini, l’azienda, senza preoccuparsi di sottoporre a audit la filiera produttiva, in un più generale piano di verifica delle condizioni di liceità dell’attività d’impresa, si è resa colpevole, nei limiti di una condotta censurabile su un piano di rimproverabilità colposa, di aver agevolato le illecite condizioni di sfruttamento dei lavoratori; il reato è previsto e punito dall’art. 603 bis c.p. e inserito, come noto a tutti gli addetti al settore della compliance aziendale, nel catalogo dei reati di cui al D. Lgs. 231 del 2001.

Senza soffermarci sui profili di diritto della misura di prevenzione ex D. Lgs. 159/2011 applicata alla società di moda, dal nostro punto di vista è importante rilevare che il controllo giudiziario dell’attività sarebbe stato disposto perché la società è stata «ritenuta incapace di prevenire e arginare fenomeni di sfruttamento lavorativo nell’ambito del ciclo produttivo»; la società abbia «omesso di assumere tempestive ed adeguate iniziative di reale verifica della filiera dei sub-appalti sino alla rescissione dei legami commerciali con le aziende dedite alle forme meglio note come “caporalato”»; la società abbia «colposamente alimentato tale meccanismo, non verificando la reale capacità imprenditoriale delle società appaltatrici alle quali affidare la produzione, non effettuando nel corso degli anni efficaci ispezioni o audit per appurare in concreto le effettive condizioni lavorative e gli ambienti di lavoro». Ma vi è di più, i giudici si sono spinti, pur garantendo la continuità aziendale sotto il profilo della cura del core business in capo agli organi di amministrazione societaria, a stabilire l’azzeramento dei componenti della governace e degli organi di controllo al fine di adeguare i presidi di controllo interno alla struttura societaria.

Il caso appena esposto deve far riflettere chiunque, perché i vertici delle imprese che si avvalgono di appaltatori nella propria filiera produttiva sono oggi chiamati a rafforzare sensibilmente il sistema dei controlli.

Cosa possono fare le società?

  • adottare il Modello 231 e, per chi ne è già dotato, verificare che preveda il rischio di sfruttamento del lavoro da parte degli appaltatori della filiera produttiva. Tale rischio dovrà essere prevenuto mediante la previsione di specifici audit, anche in loco.

Per tutti coloro che sono Presidenti o componenti di Organismi di Vigilanza, o sono in attesa di nomina:

  • prevedere l’inserimento di verifiche ad hoc all’interno del “Piano delle Attività dell’Organismo”, oltre che rivedere i Modelli nelle sue parti.

Perché tutto questo?

Assicurare all’Organo Gestorio la presenza in azienda di un ulteriore controllo di terzo livello composto da professionisti che creino o rafforzino un “sistema integrato di Controlli” societari che riduca il rischio e prevenga ogni forma distorta di esercizio dell’attività di impresa.

Apprendistato e dimissioni anticipate

Author Di LegadvancePosted on

È legittima una clausola nel contratto di apprendistato che preveda, in caso di dimissioni anticipate, a carico del lavoratore la restituzione di quanto percepito dal datore di lavoro per le giornate di formazione.

L’apprendistato professionalizzante è un contratto di lavoro a tempo indeterminato finalizzato alla formazione e all’occupazione di lavoratori di regola under 29 anni, salvo alcune, pur rilevanti, eccezioni.

Elemento caratterizzante di questa tipologia contrattuale è l’esistenza di un piano formativo individuale. Terminato il periodo di formazione-lavoro, l’apprendista dovrebbe proseguire il suo rapporto di lavoro con un contratto a tempo indeterminato presso lo stesso datore di lavoro.

Talvolta però è possibile che nel corso dell’apprendistato – dalla durata variabile tra i 6 mesi e i 3 anni circa – una delle parti voglia recedere anticipatamente.

Nel caso in cui sia l’apprendista a voler rassegnare le proprie dimissioni, lo potrà fare nel rispetto dei termini di preavviso, salvo non si tratti di dimissioni per giusta causa.

Il datore di lavoro può legittimamente prevedere opportune clausole volte a disciplinare la durata minima del rapporto di lavoro e prevedere il rimborso di quanto investito nella formazione del lavoratore.

Recentemente il Tribunale di Roma con sentenza 1646 del 9 febbraio 2024, è intervenuto confermando la validità di una clausola del tipo menzionato. Con questa clausola, il datore di lavoro e l’apprendista avevano pattuito che in caso di dimissioni anticipate, l’apprendista sarebbe stato obbligato alla restituzione di una somma pari a quanto percepito in occasione di ogni giornata di formazione erogata. È opportuno sottolineare che rientrano nella definizione anche le giornate di “training on the job”, attività lavorativa formativa.

Tale clausola non è stata ritenuta vessatoria dal tribunale, che ha invece riconosciuto la validità del patto di stabilità, in quanto giustificato dal dispendio economico che il datore di lavoro ha impiegato nell’attività formativa dell’apprendista; le dimissioni anticipate vanificano, dal punto di vista del datore di lavoro, l’investimento in formazione del dipendente, con buona probabilità che i frutti di tale investimento verranno fatti valere dal lavoratore nelle successive opportunità di lavoro altrove.

Riteniamo che la sentenza sia un utile spunto di riflessione e revisione dei format contrattuali in primo luogo per le numerose aziende che, per scelta o per necessità da mancanza sul mercato di lavoratori adeguatamente formati, avviano rapporti di lavoro in apprendistato, investendo considerevoli quantità di ore dei propri dipendenti più esperti nella formazione dei nuovi collaboratori. La tutela, quantomeno parziale, di tali investimenti è stata ritenuta lecita.

 

Controlli a distanza: il telepass

Author Di LegadvancePosted on

La Cassazione con ordinanza n. 15391 del 3 giugno 2024 è tornata a pronunciarsi sul tema dei controlli a distanza dei lavoratori, disciplinati dall’art. 4 della legge n. 300/1970 (lo “Statuto dei lavoratori”), norma giuslavoristica a confine con le norme che regolano il trattamento dei dati personali.

Ancora una volta il datore di lavoro soccombe a causa del mancato rispetto della normativa privacy espressamente richiamata dall’articolo citato.

I fatti di causa hanno visto coinvolto un dipendente trasfertista le cui mancanze sarebbero emerse esclusivamente grazie al controllo effettuato dal datore di lavoro degli spostamenti avvenuti con l’auto munita di telepass aziendale.

La Cassazione ha confermato quanto affermato nei due gradi di giudizio precedenti, poiché le ragioni alla base del licenziamento sono state dimostrate mediante uno strumento – il telepass – idoneo a porre in essere un controllo a distanza all’insaputa del prestatore di lavoro. A nulla è valsa la difesa della società, fondata sulla consapevolezza del dipendente della presenza dello strumento nell’automobile e la facoltà di questo di rimuoverlo, usufruendo del tradizionale casello autostradale.

L’esito di questo giudizio, ancora una volta, porta all’attenzione generale l’importanza di non sottovalutare gli stretti legami tra l’articolo 4, come riformato nel 2015 e la normativa in materia di trattamento dei dati personali.

L’esito della causa avrebbe potuto essere probabilmente completamente diverso se il datore di lavoro avesse dato proba di aver fornito “al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto [dalla normativa che disciplina il trattamento dei dati personali, N.d.R.]” (art. 4, c. 3 della L. 300/1970). In concreto, l’azienda avrebbe dovuto mappare tutti gli strumenti che permettono un indiretto controllo a distanza dei lavoratori, ricondurre gli stessi alle differenti tipologie descritte dai commi 1 e 2 dell’articolo citato ed eseguire gli adempimenti – anche per quanto richiesto dalla normativa privacy e dall’autorità Garante – nei confronti dei lavoratori. Non per tutti gli strumenti occorre l’accordo con le rappresentanze dei lavoratori o l’autorizzazione dell’Ispettorato del Lavoro.

In conclusione, contrariamente a quanto può superficialmente apparire, dalla riforma del 2015 dispone di poteri e prerogative ben più ampi e potenzialmente efficaci rispetto al passato; per il loro impiego occorre tuttavia rispettare le disposizioni normative. In difetto, il datore di lavoro rischierà di incorrere nel reato di condotta antisindacale, in sanzioni amministrative pecuniarie fino al 4% del fatturato globale dell’esercizio precedente, nell’inutilizzabilità dei dati raccolti ai fini disciplinari e giudiziari.

Il lavoro in nero preoccupa anche il Garante privacy

Author Di LegadvancePosted on

Il datore di lavoro che si avvale di lavoratori irregolari per trattare dati personali viola (anche) la normativa privacy. Questo è quanto è possibile desumere da un recente provvedimento dell’Autorità Garante per la protezione dei dati personali.

Il caso prende avvio da un’ispezione effettuata dall’Ispettorato territoriale del lavoro (ITL) presso un patronato I.N.P.A.S. per accertare l’attività svolta e la posizione previdenziale ed assicurativa dei dipendenti.

Nel corso degli accertamenti è emersa l’inesistenza di un regolare rapporto di lavoro tra il patronato ed un lavoratore, ex dipendente, presente negli uffici. Ad avviso dell’ITL, il trattamento dei dati personali degli utenti svolto da quel lavoratore “in nero” era illecito, in quanto mancante del requisito fondamentale del rapporto lavorativo. In assenza di un regolare rapporto di lavoro, costui era da ritenersi soggetto terzo, esterno all’organizzazione aziendale del patronato I.N.P.A.S..

L’ex dipendente, di conseguenza, non poteva più essere considerato soggetto autorizzato al trattamento dei dati personali utili ad erogare le prestazioni offerte dal patronato, presso il quale di fatto era impiegato.

L’ITL ha segnalato la situazione di fatto rilevata all’Autorità Garante per la protezione dei dati personali. Il Garante ha confermato l’interpretazione dell’ITL ritenendo che la trasmissione dei dati dal patronato al lavoratore configurasse una “comunicazione” ad un soggetto terzo, in assenza di un corretto presupposto di liceità.

In conclusione, il lavoro in nero espone il datore di lavoro, non solo ad onerose sanzioni amministrative e responsabilità penali ma anche a sanzioni da parte dell’Autorità Garante. In quest’occasione, infatti, il Garante privacy con ordinanza ingiunzione del 24 aprile 2024 ha sanzionato il patronato, seppur tenendo in debita considerazione la cooperazione con l’Autorità nel corso dell’istruttoria e l’assenza di precedenti violazioni (doc. web. N. 10019389).

Gestione della posta elettronica e trattamento dei metadati

Author Di LegadvancePosted on

L’Autorità Garante per la protezione dei dati personali, con newsletter del febbraio scorso ha reso noto di aver adottato un “Documento di indirizzo” volto a fornire nuove indicazioni alla generalità di datori di lavoro sia pubblici che privati, circa l’utilizzo dei metadati (es. giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail) generati dalla corrispondenza e-mail dei propri prestatori di lavoro (doc-web n. 9978728).

Con l’occasione, il Garante è tornato ad occuparsi del corretto utilizzo delle caselle di posta elettronica dei lavoratori, nell’ottica di una più efficace tutela della dignità e libertà degli stessi.

In particolare, il Garante ha ribadito l’obbligo di conformarsi alle garanzie previste dell’art. 4 della L. 300/1970 oltre che agli artt. 5, 6 e 88 del GDPR, al fine di garantire la sussistenza di un idoneo presupposto per la raccolta e conservazione dei metadati, nel rispetto dei principi di privacy by design e by default, sempre offrendo una adeguata informazione/informativa ai prestatori di lavoro, che devono essere consapevoli del tipo di trattamento che coinvolge i propri dati personali.

Alcune perplessità emergono in particolare relativamente a quanto affermato in merito ai tempi di conservazione dei suddetti metadati, che non potranno essere di norma superiori a sette giorni, estensibili di ulteriori 48 ore in presenza di comprovate e documentate esigenze. Nel caso in cui le tempistiche di conservazione dovessero essere maggiori, dovranno allora essere espletate le procedure di garanzia previste dall’art. 4, c. 1 della l. n. 300/1970 quali l’accordo sindacale o l’autorizzazione pubblica. Si evidenzia che detto limite non si applica però ai messaggi di posta elettronica stessi che potrebbero essere massivamente conservati per un periodo più lungo ma comunque non pluriennale, salvo eccezioni.

Inoltre, non è chiaro se il Garante voglia far riferimento a tutti i metadati come generati dagli applicativi utilizzati per la gestione della stessa, oppure alla parte di metadati raccolti e trattati da sistemi Security Information and Event Management (SIEM) o Security Operations Center (SOC), con il rischio di compromettere l’efficienza del lavoro quotidiano che comporta ricerche nei messaggi e-mail che normalmente si scambiano con clienti, fornitori e colleghi etc.

Infine, non viene offerta nessuna distinzione rispetto ai titolari del trattamento che si sono dotati di policy ad hoc finalizzate a limitare l’uso della posta elettronica professionale, che così facendo hanno ridotto ai minimi termini l’impatto sul trattamento dei dati personali dei propri dipendenti.

In ragione dei molteplici dubbi che il citato documento ha generato nei lettori, il Garante il 27 febbraio ha differito l’efficacia del “Documento di indirizzo” ed ha avviato una consultazione pubblica della durata di 30 giorni sulle forme e modalità di utilizzo che renderebbero necessaria una conservazione dei metadati superiore a quella suddetta.

Webscraping

Author Di LegadvancePosted on

Il fenomeno del cd. webscraping è una tecnica informatica attraverso la quale è possibile estrarre dati da un sito web per mezzo di programmi software. La sua sempre maggior diffusione è direttamente correlata alle esigenze dei sistemi di intelligenza artificiale di acquisire dati per i propri processi di apprendimento; ciò porta alla ricerca e raccolta massiva di dati anche di natura personale.

Con il provvedimento del 21 dicembre 2023 il Garante per la protezione dei dati personali ha aperto un’indagine conoscitiva sulla raccolta di dati personali online finalizzata ad addestrare gli algoritmi di intelligenza artificiale.

L’obbiettivo del Garante è verificare che siano state adottate adeguate misure di sicurezza da parte dei siti che mettono a disposizione i dati trattati a produttori di algoritmi di intelligenza artificiale, i c.d. “spider”, siano essi siti pubblici o privati, stabiliti in Italia o che offrano servizi in Italia.

A decorrere dunque dal 18 gennaio 2024 il Garante ha avviato un periodo di 60 giorni di tempo per la consultazione pubblica, affinché tutti i soggetti interessati, in particolare le associazioni di categoria, le associazioni di consumatori, gli esperti ed i rappresentanti del mondo accademico possano inviare i propri contributi all’Autorità (doc-web n. 9974546).

L’obiettivo dichiarato è raccogliere contributi e commenti sulle misure di sicurezza adottate e adottabili contro la raccolta massiva di dati personali a fini di addestramento degli algoritmi di intelligenza artificiale; alla conclusione del periodo di raccolta dei contributi, ci si attende un provvedimento che avrà, direttamente o indirettamente, efficacia vincolante nei confronti dei succitati spider; non è da escludersi l’adozione di prescrizioni destinate ai titolari e responsabili del trattamento affinché custodiscano con specifiche misure di sicurezza, che assumiamo il Garante stia oggi valutando, i dati personali potenzialmente esposti a rischio webscraping.

Linee guida per la conservazione delle password

Author Di LegadvancePosted on

Alla luce dei sempre più frequenti attacchi informatici – volti ad ottenere le credenziali di accesso a siti web – capaci di dar luogo a fatti particolarmente gravi, quali la fattispecie di furto e/o usurpazione di identità dei soggetti interessati, il Garante per la protezione dei dati personali nel dicembre 2023 è intervenuto sul punto in collaborazione con l’Agenzia per la cybersicurezza nazionale (ACN) definendo delle Linee guida specifiche in materia di conservazione delle password, fornendo così importanti misure tecniche da adottare.

Il Garante è intervenuto ai sensi dell’art. 5, paragrafo 1, lett. f) del GDPR, rivolgendosi a tutti i fornitori di servizi digitali ed agli sviluppatori di software: la finalità dichiarata è rafforzare la sicurezza dei dati personali trattati mediante misure tecniche ed organizzative adeguate, che ha individuato nell’elaborazione di particolari strumenti di crittografia e nel rispetto di una idonea modalità, oltre che in idonee tempistiche di conservazione delle password impostate dagli utenti.

Di conseguenza, è parso utile all’Autorità fornire opportune indicazioni in primis ai titolari e responsabili del trattamento che conservano password di autenticazione dei propri utenti, in modo che possano effettuare scelte tecnologiche consapevoli oppure progettare propri sistemi in linea con la normativa.

Si evidenzia che le misure indicate nelle citate linee guida sono certamente necessarie laddove il titolare gestisse numerose password e/o si trattasse di password che permettono l’accesso a banche dati di particolare importanza o dimensioni (es. dipendenti PA) e/o si trattasse di password di utenti che trattano sistematicamente dati particolari.

In conclusione, si ribadisce che nonostante le password siano trattate nel rispetto delle linee guida, questo non ne giustifica una conservazione superiore al tempo necessario per il raggiungimento della finalità.

Le password dovranno essere cancellate in caso di cessazione dei sistemi informatici o dei servizi online per cui erano state create e di disattivazione o revoca delle credenziali di autenticazione da parte dell’utente.

Nonostante ciò, nel caso in cui – nonostante il rispetto delle suddette linee guida – dovesse essere commessa una violazione, dovranno comunque effettuarsi le dovute valutazioni al fine di ponderare un’eventuale notifica al Garante e comunicazione agli interessati.

1 2