Quando parliamo di sicurezza ci vengono in mente definizioni anglosassoni e strumenti sofisticati, spesso patrimonio di tecnici specializzati, formati appositamente per occuparsene con un bagaglio culturale molto distante da quello del giurista, eppure ciascuno di noi sa che deve farsene carico ed occuparsene, il che qualche volta comporta tutta la fatica di entrare in un mondo che non ci è congeniale. Forse partire dal dettato normativo può aiutare a meglio comprendere questa materia e perché ognuno di noi è chiamato a conoscerla ed applicarla.
Gi obblighi riguardanti la sicurezza sono contenuti nel D.Lgs 196/2003 ovvero nel c.d. “codice privacy” e la dizione “volgare” con la quale è comunemente è indicata questa legge tradisce in parte il suo vero contenuto: oggetto di tutela, infatti, non è solo la riservatezza, intesa quale diritto di privativa, ma nella Società dell’Informazione, oggetto di tutela è soprattutto il corretto utilizzo dei dati - attraverso la regolamentazione dei flussi informativi, secondo regole conoscibili per l’interessato e finalità ben definite e lecite -, nonché la conservazione in sicurezza degli stessi; da questo punto di vista molto più completo e significativo è il vero titolo del Decreto Legislativo 196 che è rubricato “codice in materia di protezione dei dati personali”.
Le evoluzioni più recenti testimoniano come questa seconda accezione del concetto della “protezione dei dati personali” sia in realtà quello più attuale, in quanto il diritto alla riservatezza in senso stretto sempre più spesso cede il passo ad altri interessi ritenuti dal legislatore superiori rispetto a quello c.d. alla privacy – come quello pubblicistico della trasparenza amministrativa - rendendo oltremodo attuale l'aspetto della sicurezza e del corretto utilizzo del dato, più che della sua segretezza.
La tutela dell'identità personale che permane in ambito privatistico è quella correlata al diritto di ciascuno a non veder profilati i propri comportamenti solo a fini commerciali, quasi un moderno “late biosas”, ovvero al diritto a non veder invasa la propria proiezione digitale del sé - posta elettronica, profili personali sui social network - con comunicazioni commerciali né gradite né sollecitate. L'ambito di applicazione del D.Lgs.196, inoltre, è particolarmente vasto ed arriva a coinvolgere anche il privato cittadino in quanto esso prevede che, ai trattamenti di dati effettuati per fini esclusivamente personali dai privati, si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza previste dal “Codice” stesso, che quindi non soffrono alcuna eccezione. Ricordare qui le misure di sicurezza previste dalla legge in caso di trattamento dei dati con strumenti elettronici può essere un utile promemoria prima ancora che nella vita professionale nella propria quotidianità, ed il notaio conservatore di professione è chiamato prima e più degli altri a conoscerle ed implementarle.
La prima misura di sicurezza obbligatoria per tutti è la c.d. autenticazione informatica, essa può essere costituita alternativamente da:
- una caratteristica biometrica dell’interessato, quale un’impronta digitale o l’iride eventualmente in associazione con un codice identificativo o una parola chiave (something you are);
- un dispositivo di autenticazione come una smart card o un badge eventualmente in associazione con un codice identificativo o una parola chiave (something you have);
- l’insieme di parole chiave e codice identificativo: nome utente e password (something you know) la più semplice sicuramente tra le modalità di autenticazione ma soggetta a ripetuta “manutenzione”, in tal caso è richiesto che:
d) non sia facilmente riconducibile all’incaricato;
La seconda misura di sicurezza, non obbligatoria ma oramai molto diffusa anche nei nostri studi, è l'adozione di un sistema di autorizzazione, inteso come l’insieme delle informazioni, univocamente associate a una persona, che abilitano l’accesso ad una serie di dati e alle modalità del loro trattamento, per fare un esempio nel sistema IAM (acronimo che sta per Identity Access Management) adottato per l'accesso alla nostra R.U.N., il profilo del notaio consente l'uso e la consultazione dell'intero patrimonio informativo del Notariato (banche dati, applicativi, sistemi di comunicazione) mentre quello dei nostri collaboratori è limitato e può essere configurato in modo da prevedere che solo alcuni accedano a determinati dati e/o programmi. Anche in assenza di un vero e proprio sistema di autorizzazione il Codice prevede l’obbligo di individuazione dei trattamenti consentiti ai singoli incaricati per iscritto, con l'obbligo inoltre di verifica, almeno annuale, di tali incarichi.
Quinta ed ultima misura obbligatoria è la cifratura o separazione di dati sensibili, ovvero i dati relativi allo stato di salute ed alla vita sessuale devono essere cifrati o separati dagli altri dati dell’interessato. Data la complessità di utilizzare sistemi di cifratura, l’obbligo può essere assolto mediante l’utilizzo di sistemi od applicazioni specifici il cui utilizzo è consentito solo con sistemi di autenticazione appositamente dedicati. Tale prescrizione non è direttamente applicabile agli atti notarili che - per obbligo di legge - contengano riferimenti a dati sensibili; mentre, qualora tali dati siano in qualche modo schedati ed archiviati separatamente dal contesto dell’atto notarile, riemerge in toto l’obbligo di cifratura degli stessi.
Se queste sono le misure minime da adottare nell'utilizzo dei propri strumenti informatici bisogna però sempre ricordare che la sicurezza non è un prodotto acquistabile sul mercato, ma un processo, un insieme di misure organizzative da adottare e condividere con i propri collaboratori, e generare una cultura della sicurezza significa comprendere in prima persona i concetti e gli strumenti dedicati ad assicurarla, mettendo in pratica comportamenti corretti mediante un impegno diretto e personale.
La sicurezza in una organizzazione aziendale ancor prima di essere la messa in opera di una serie di componenti tecnici, è un metodo di lavoro sorretto da un processo che si avvale di strumenti tecnologici atti ad aumentare la capacità di resistenza di una organizzazione. Più precisamente è la capacità di programmare una struttura in maniera tale da evitare che la operatività della struttura stessa evolva verso “situazioni indesiderate”, possano essere queste intrusioni non autorizzate, accessi malevoli, alterazione di informazione e quanto altro si possa immaginare nell’ambito strettamente ICT.
È questo l’approccio di Notartel sia per quanto riguarda le strutture interne sia per ciò che interessa l’ambito dei servizi erogati ai notai. Logico complemento di tale modus operandi nell’impiego di processi organizzativi aziendali volti a migliorare costantemente e nel tempo le prestazioni di sicurezza della struttura è l’impegno volto al traguardo della certificazione ISO 27000. Tre sono i pilastri da cui si è partiti in Notartel per l’implementazione di base del sistema di sicurezza informatico.
Sicurezza fisica. La protezione materiale dei luoghi in cui sono conservate le apparecchiature e le componenti che a loro volta contengono ed elaborano i dati mediante:
Sicurezza logica. L’affidabilità, integrità, resilienza sia delle apparecchiature che dei dati. In pratica sono stati predisposti sistemi che potessero garantire:
