Vi sono alcuni periodi dell’anno nei quali gli attacchi informatici che mirano a ingannare gli utenti più inesperti – soprattutto i cosiddetti “attacchi di phishing” – aumentano sensibilmente. Si pensi a giorni (o settimane) di offerte speciali, a scadenze fiscali in arrivo, a festività durante le quali si moltiplicano, ovviamente, le transazioni online e gli acquisti.

In tutti questi casi, sale la tensione nell’utente e nelle sue azioni. Tensione per i pagamenti da effettuare, per gli acquisti da completare o, ad esempio, preoccupazione per lo stato del proprio conto corrente bancario, per la “capienza” delle carte prepagate. O, si aggiunga, poca confidenza con alcuni sistemi di pagamento telematici.

Diventa, allora, indispensabile elaborare una strategia. Ecco i Dieci Comandamenti contro il phishing, tutti egualmente importanti, e tutti da tenere sempre presente ed adottare.

1. Alzare il livello della propria cultura informatica –  Il phishing è, come tanti altri attacchi nel mondo informatico, un’azione che punta molto su un fattore culturale: l’ignoranza della vittima su determinati aspetti. La conseguenza logica è che più si aumenta la conoscenza informatica, più ci si può proteggere.

Che cosa significa, tutto ciò, nella pratica? Significa informarsi, anche sulle nuove tecniche criminali, o ascoltare suggerimenti da persone più esperte, o acquistare riviste in edicola, leggere le informazioni su siti web specifici, consultare regolarmente i siti web della propria banca, delle grandi società informatiche e dei produttori di antivirus.

Le e-mail di phishing sono inviate a una moltitudine di persone, spesso decine di migliaia, per colpirne però solo una piccola parte: quella che ha un livello culturale basso, o che ha un’attenzione, in quel momento, distratta da altro.

Il mittente del messaggio dovrebbe essere il primo elemento a costringerci a una analisi “culturale”: si possono recuperare, in tal caso, le basi della corrispondenza tra individui, le regole del dialogo tra esseri umani e, semplicemente, riflettere sul fatto che le e-mail e la società digitale non devono cambiare le nostre regole di sicurezza.

Se il mittente è un soggetto che conosciamo, ad esempio, già il rischio si abbassa (ma, vedremo, non è escluso completamente).

Ma se il mittente è un soggetto per noi nuovo, che in tutti questi anni non ci ha mai scritto, ecco, per quale motivo proprio ora ci dovrebbe scrivere? Uno sconosciuto per strada, nel “mondo fisico”, si fermerebbe per domandarci simili informazioni? E quale sarebbe la nostra reazione in tal caso? Gliele forniremmo?

Se il mittente, ad esempio, è istituzionale (ossia una banca, una Procura, una società emittente di carte di credito), è normale che si rivolga a noi in quel modo, con quel lessico e su quel canale?

Si pensi che, nella maggior parte dei casi, la vittima di phishing “cade” sulla prima e-mail ricevuta da QUEL mittente, senza fermarsi a riflettere che proprio quel mittente non è un nostro corrispondente abituale, non ci ha mai scritto ed è, in sostanza, un perfetto sconosciuto.

Cultura vuole dire, allora, anche cautela e non mutamento delle proprie abitudini in un contesto nel quale siamo normalmente meno a nostro agio e che ci può portare ad abbassare naturalmente le difese. Ed è proprio questo il fattore su cui confida l’attaccante.

2. Operare un’analisi preliminare del testo (semantica) – Semplicemente leggendo con attenzione, anche ad alta voce, il testo del messaggio, si possono percepire dei segnali di allarme.

Il comprendere cosa non va nel testo deve essere il primo elemento di allerta per l’utente. Il testo diventa, così, non solo inatteso (come abbiamo detto nel Primo Comandamento) ma anche strano, sospetto, pieno d’errori. Sembra, a volte, una cattiva traduzione, oppure è estremamente generico, che va bene per tutti e che, quindi, chiaramente non è pensato per noi.

Al contempo, si potrebbe fare una verifica veloce – oggi si può effettuare via WhatsApp, o sui social network – se lo stesso identico testo sia stato ricevuto da alcuni nostri amici.

Un testo su cui sempre diffidare è quello proveniente da grandi interlocutori, da mittenti istituzionali. Siamo onesti: più il mittente è “clamoroso”, più è difficile che quel messaggio sia realmente indirizzato a noi.

Potrei fare decine di esempi: un ex Presidente africano fuggito dal suo Paese di origine che ha, guarda caso, bisogno proprio di noi per recuperare la sua fortuna e ce ne promette una parte. Una banca, un politico, le poste, una società di carta di credito, Google, PayPal. Se il testo proviene da simili mittenti, la paranoia deve essere ancora più elevata.

Simile diffidenza deve sempre esserci nei confronti di un testo proveniente da un’autorità in senso lato: si pensi a una Procura, o la Polizia Postale, o la Guardia di Finanza, o Equitalia: e-mail che annunciano una sanzione, una multa che abbiamo preso per aver scaricato illegalmente un film, o per aver consultato siti pornografici e magari ci informano che ci hanno spiato dalla webcam del nostro computer.

Una buona idea potrebbe anche essere il guardare se il testo è firmato, se c’è indicato un referente specifico da poter chiamare. Si noterà che gran parte di questi messaggi sono, invece, “troncati” alla fine. Mancano frasi di chiusura, e anche questo è un buon indizio.

Il testo del messaggio, poi, cerca di inculcare ansia nel lettore per spingerlo ad agire senza ragionare, o con un processo di valutazione molto superficiale. Come è noto, abbiamo sempre meno tempo per riflettere, ma l’arma migliore contro il phishing, oltre alla paranoia, è proprio la riflessione.

Infine, il testo dei messaggi può mirare a entusiasmare: promette premi, rimborsi, detrazioni fiscali, bonus, e vi è sempre un termine di scadenza imminente, occorre decidersi in fretta, per non perdere l’occasione della vita. Anche il termine imminente è pensato, ovviamente, per far prendere una decisione poco ponderata.

3. Prestare attenzione al phishing mirato alla nostra persona – Possono capitare dei casi, molto delicati, nei quali il messaggio ingannevole è stato appositamente forgiato e ritagliato per la nostra persona. Al momento della lettura sembra proprio che riguardi noi direttamente: le nostre abitudini, i nostri luoghi, le tecnologie che utilizziamo. Il motivo è che l’attaccante può aver raccolto, prima dell’invio e della costruzione del messaggio, informazioni su di noi o sulla nostra azienda, inserendo riferimenti correlati alla nostra persona o alla nostra professione per rendere il messaggio meno asettico e formale e più credibile.

In questo caso, le modalità di attacco possono essere molteplici: il criminale ha osservato, ad esempio, alcuni documenti che siamo soliti redigere (ad esempio: fatture), o i corrieri/spedizionieri che usiamo, o i nostri tipici fornitori (che ci mandano documenti reali). Anche una e-mail proveniente dal “servizio sicurezza” o da un “dipartimento informatico” è facile che sia percepita come reale, perché tali servizi e strutture esistono nella maggior parte delle realtà produttive. Simile può essere l’analisi dei servizi di cloud che usiamo.

Come è possibile che terzi siano a conoscenza di queste informazioni? In molti casi siamo noi stessi a fornirle. Spesso, anche senza accorgersene, regaliamo sui social network (anche professionali) informazioni al pubblico sui servizi che usiamo. È sufficiente uno screenshot su Instagram che ritrae il desktop del nostro sistema operativo per rivelare informazioni utili in tal senso.

Ciò deve comportare, ça va sans dire, molta attenzione nel diffondere informazioni tecniche precise circa le nostre scelte informatiche.

4. Diffidare delle richieste di credenziali – Un’azione tipica delle campagne di phishing è quella di cercare di convincere il soggetto preso di mira a rivelare le sue credenziali. Per “credenziali” intendiamo, in questo caso, qualsiasi codice di accesso che permetta di entrare in un servizio o account: nome utente, password, PIN, codice di sicurezza, etc.

La domanda di credenziali di qualsiasi tipo dovrebbe immediatamente bloccare qualsiasi azione di un utente saggio. Mi domandi le credenziali? Cancello la e-mail con la richiesta. Questo perché, nella società informatica odierna, è rarissimo che un soggetto domandi una verifica o una comunicazione delle credenziali per e-mail.

Le tecniche per convincere l’utente non esperto a fornirle sono ormai consolidate. Un annuncio di problemi alle credenziali di accesso a un servizio, e si noti che questi annunci non si accompagnano, poi, a un problema reale. In altre parole, se l’utente si prendesse la briga di controllare realmente il problema, si accorgerebbe che non è vero che l’account è stato disattivato o che vi sono problemi.

La regola è che le credenziali non vanno mai comunicate, non vanno inserite in moduli o form, neanche se viene detto che la connessione è sicura.

Piuttosto, se rimane un dubbio, contattare il servizio di assistenza con le modalità solite, e non quelle indicate nella e-mail di phishing!

5. Diffidare della richiesta di dati bancari o di codici di carta di credito – Molto richiesti sono anche dati bancari, di home banking o codici di carta di credito. Anche in questo caso si annuncia un malfunzionamento del sistema, o un problema, e si cercano di carpire informazioni da usare o da rivendere.

La tecnica, in questo caso, è quella di annunciare un problema del servizio o una interruzione dovuta a un abbonamento scaduto, a una multa, a un blocco dell’utenza per un nostro comportamento sbagliato.

PayPal è molto usato per cercare di ingannare, così come Visa, PostePay, Mastercard e altre società emittenti di carta di credito.

Non bisogna farsi ingannare, in questi casi, dall’eleganza della e-mail o dalla bellezza e professionalità del sito web cui rimandano eventuali link. I criminali sono in grado di ricreare esattamente la grafica di un sito, anche con URL simili, usando gli stessi colori e la stessa architettura, sempre contando su un controllo superficiale dell’utente.

6. Diffidare dei link – I link sono usati anch’essi per ingannare, cercando di convincere l’utente a cliccare su un collegamento che porta a un sito che può essere ingannevole o, addirittura, contenere del malware.

Anche in questo caso, la regola è di evitare di cliccare dei link a meno che il collegamento non sia conosciuto, non sia atteso o vi sia un motivo per cui è stato inviato.

7. Diffidare degli allegati – Particolare attenzione va anche prestata agli allegati, che possono contenere software nocivo, script per sfruttare delle vulnerabilità e malware di vario genere.

Niente di nuovo: anche per gli allegati vanno previste le stesse tutele (e cautele) dei link.

“Perché il messaggio ha un allegato?”, ci si dovrebbe sempre domandare? Alzare il livello di paranoia, quindi, e pensare: lo stavamo attendendo?

Al contempo, dovremmo riflettere sul fatto che se non apriamo un allegato, non muore nessuno. Calma: niente frenesia o urgenza, anche se il testo del messaggio ci spinge ad agire in fretta. Nel caso la nostra valutazione fosse sbagliata, il mittente dell’allegato ci solleciterà una risposta. Tutto qui.

8. Diffidare di conoscenti e istituzioni – Purtroppo, occorre fare attenzione anche nella nostra comfort zone, ossia nell’ambito del messaggi provenienti da persone conosciute e in “luoghi”, quali la PEC (Posta Elettronica Certificata), considerati di default sicuri ma che, in realtà, non lo sono.

Il mittente, innanzitutto, può essere travisato, quindi una e-mail proveniente da un nostro amico può non essere reale e contenere allegati truffaldini. È facile impersonare un’altra persona. Inoltre, i nostri amici e contatti ci potrebbero inoltrare e-mail di phishing (per scherzo, o perché indecisi e ci domandano un parere) e, in quel caso, le difese tendono ad abbassarsi.

Poi, anche la Posta Elettronica Certificata può essere destinataria di phishing, quindi il fatto che sia, sulla carta, più protetta (sia in partenza, sia in arrivo) ai nostri fini di protezione non ha importanza.

9. Ci si può proteggere con antivirus e sistemi anti-phishing – Esistono strumenti informatici che, accanto all’attenzione per i comportamenti, possono dare una grandissima mano. Sono pensati per tutti i sistemi operativi e i browser: un antivirus aggiornato, e sistemi di filtro anti phishing, che possono essere o integrati nei browser per proteggere dai siti, o come software a sé, sono in molti casi una manna dal cielo.

Non bisogna, però, abbassare la guardia: il fatto di avere un software che ci protegge aiuta, ma non fornisce sicurezza in automatico. La sicurezza è data dall’uomo e dai suoi comportamenti.

Usare, quindi, filtri anche gratuiti, sistemi incorporati nel sistema operativo o nei client e-mail, e fidarsi di loro. Se il sistema ci avverte e ci chiede cosa fare (ad esempio: “l’allegato lo apriamo lo stesso?”) essere sempre cauti e seguire le indicazioni più sicure.

10. Non vergognarsi e non tenere il segreto – Vi hanno truffato? Bene. Ormai è successo. Ma non vergognatevi. Comunicatelo subito. Un attacco di phishing può generare un vero e proprio data breach, una fuoriuscita di credenziali e di dati importanti o, al contrario, può aprire porte di accesso ai sistemi.

Si deve, allora, comunicare subito l’incidente, soprattutto se è avvenuto in un contesto aziendale o in un’amministrazione pubblica, parlando con il DPO o con l’amministratore di sistema.

La fuoriuscita di credenziali è critica, e non basta cambiarle (azione che serve a proteggere l’utente) ma occorre comunicare ciò che è avvenuto. Ciò è essenziale per pensare a un piano serio di sicurezza.

Il responsabile, un ex dipendente, è stato denunciato nei giorni scorsi per il reato di “accesso abusivo a un sistema informatico” con l’aggravante di “abuso di qualità di operatore di sistema”. Adesso dovrà rispondere in tribunale per i gravi danni economici e di immagine provocati all’azienda.“

Nel corso dell’evento ha destato particolare interesse il tema del processo decisionale automatizzato, basato sulla profilazione dei dati personali. Il regolamento, all’articolo 4, punto 4, la individua in qualsiasi forma di trattamento automatizzato di dati personali consistente nel loro utilizzo per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l’affidabilità, il comportamento, l’ubicazione o gli spostamenti di detta persona fisica.

Dunque, la profilazione deve prevedere una forma di trattamento automatizzato, anche se non unicamente automatizzato, deve essere effettuata su dati personali e deve avere la finalità di valutare determinati aspetti personali relativi a una persona fisica. Il tutto avviene mediante una raccolta di dati personali che, successivamente, vengono poi analizzati in modo automatizzato affinché si individuino delle correlazioni da applicare a una persona fisica per individuare caratteristiche di comportamento presenti o future. Praticamente, partendo dai dati raccolti e forniti più o meno direttamente dagli interessati, vengono creati dei dati nuovi.

Chiaramente, vista l’invasività di tale procedura, è fondamentale che vi sia trasparenza del trattamento, così come disciplinato anche dall’articolo 12, paragrafo 1 del Gdpr, il quale prevede che il titolare del trattamento debba fornire agli interessati informazioni concise, trasparenti, intelligibili e facilmente accessibili sul trattamento dei dati. Il titolare del trattamento, quindi, deve spiegare in maniera chiara e semplice alle persone interessate che il trattamento avviene per finalità di profilazione e di conseguente adozione di decisioni basate sul profilo generato e, soprattutto, deve spiegare come funzionano la profilazione e il processo automatizzato.

Per arginare l’acquisizione indiscriminata di dati, inoltre, il regolamento prevede che il titolare del trattamento debba assicurarsi di rispettare il principio di minimizzazione dei dati e le prescrizioni dei principi di limitazione della finalità e limitazione della conservazione. Particolare attenzione va data al fenomeno del dynamic pricing, ovvero l’individuazione del prezzo massimo che i consumatori sono disposti a pagare attraverso la profilazione degli utenti. Ovviamente, si tratta di un campo minato, ma con una precisa regolamentazione potranno avvantaggiarsene sia l’impresa che il consumatore.

L’articolo 4, n. 1, del Gdpr definisce il dato personale come «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)». L’identificazione/identificabilità dell’interessato è un requisito essenziale: non basta l’astratto collegamento del dato con una persona, ma occorre che quest’ultima sia singolarmente identificata o almeno possa esserlo; altrimenti, l’informazione rimane anonima e, quindi, estranea alle tutele del Regolamento. Malgrado l’apparente chiarezza della norma, nella pratica quotidiana ci si interroga su cosa vada realmente considerato «dato personale» in un determinato contesto.

Per consolidata impostazione, non occorre arrivare a conoscere il nome della persona, ma è sufficiente che questa venga distinta dagli altri membri di un gruppo. Ne deriva l’equipollenza, quanto alla nozione di dato personale, tra nome anagrafico e qualsiasi altro elemento informativo o complesso di elementi informativi – anche se detenuti da titolari diversi – ugualmente dotati di attitudine distintiva (immagini, suoni, codice identificativo, descrizione, «l’uomo vestito di nero al semaforo»). Nemmeno rileva che la persona sia individuabile da chiunque: ciò che determina l’applicazione delle tutele privacy e data protection è, invece, che essa possa essere distinta o riconosciuta con ragionevole probabilità almeno da qualcuno. Inoltre, dalla premessa che solo alcuni soggetti siano in grado di individuare l’interessato non deriva la conseguenza che una certa informazione sia «dato personale» solo rispetto a costoro, e non agli altri: questo implica che il titolare del trattamento potrebbe anche non conoscere l’identità dell’interessato, né avere modo di determinarla.

Nelle più complesse ipotesi, il collegamento tra identificativo e persona fisica non si configura in termini di certezza bensì di mera possibilità (ad esempio, l’immagine del volto di un soggetto non ancora identificato, ma che possa esserlo). Secondo l’articolo 4, n. 1, Gdpr «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente», ossia, secondo l’interpretazione del Gruppo ex art. 29, attraverso un collegamento dell’identificativo rispetto alla persona fisica di tipo immediato (nome) o mediato (codice fiscale), il quale ultimo consente l’identificazione soltanto attraverso un’operazione ulteriore (confronto con specimen, registri o elenchi).

Ai fini della nozione di identificabilità è essenziale il criterio della «ragionevole probabilità», nel senso che non ha pregio qualsiasi identificazione possibile, bensì, secondo il Considerando n. 26 Gdpr, solo quella a cui si possa pervenire tenendo conto dei mezzi che è probabile verranno utilizzati dal titolare o da un terzo.

La «ragionevole probabilità» va intesa come probabilità «qualificata», ossia con un margine di verificazione apprezzabile. Il legislatore Ue fornisce parametri di riferimento alla stregua dei quali determinare se l’utilizzo dei mezzi di identificazione appaia o no ragionevolmente probabile: per il Considerando n. 26 occorre guardare all’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili, sia degli sviluppi tecnologici. Nella valutazione del rischio, il Gruppo ex art. 29 suggerisce un approccio ex ante, integrato da verifiche periodiche, che tengano conto dello stato dell’arte e del mutamento dei contesti rilevanti: in particolare, per stabilire se le informazioni in suo possesso soggiacciono alla disciplina del Gdpr e della normativa interna, il titolare del trattamento deve valutare in ottica prognostica ogni fattore (tipologia dei dati trattati, finalità del trattamento, interessi di terzi a conoscerli ecc.) potenzialmente idoneo a incidere sulla ragionevole probabilità che altri pervengano all’identificazione dell’interessato. È il caso delle immagini della videosorveglianza, che vanno sempre considerate dati personali in quanto la finalità del trattamento è proprio quella di pervenire all’identificazione degli interessati laddove necessario; e ciò ancorché, nella pratica, non tutti i soggetti ripresi siano identificabili.

In alcuni ambiti pertanto nulla cambia, anche se il layout normativo prescelto per i singoli articoli del decreto può indurre a ritenere, da una lettura superficiale, si tratti di revisioni profonde.

Scontato il salvataggio, dunque, di una serie di norme del vecchio codice, anche per l’esplicito rinvio alla normativa degli Stati, da parte del legislatore europeo, come ad esempio tutta la materia dei trattamenti in materia di rapporti di lavoro  (nda parte II, titolo VIII del d.lgs 196/03 e art. 9 del decreto) in cui la norma principe rimane l’art. 4 dello Statuto dei lavoratori, a cui si affiancano le nuove disposizioni in materia di Whistleblowing di cui alla legge 179/2017 richiamate espressamente dal decreto.

Ma non mancano le novità.

Minori e consenso – Ci si riferisce ad esempio al limite di anni 14 (art. 2 del decreto e art. 2 quinquies del d.lgs 196/03),  al di sotto del quale si rende necessario il consenso genitoriale per usufruire di servizi della società dell’informazione. Va ricordato che sotto tale espressioni ricadono tutti quei servizi attinenti il mondo digital, quali posta elettronica, social, community etc…

Il limite era stato fissato dal GDPR ad anni 16, ma con facoltà per gli Stati di fissarne uno diverso purchè non inferiore ad anni 13 (art.8 co.1 GDPR). Ciò comporterà sicuramente complessità tecniche per le multinazionali che si ritroveranno a dover adottare soluzioni diverse a seconda della cittadinanza del minore.

DPO anche per le Autorità Giudiziarie – Sempre l’art. 2 introduce l’art. 2-sexiesdecies nel Codice privacy, che impone l’obbligo di nomina del Data Protection Officer o Responsabile della protezione dei dati,  per  i trattamenti effettuati  dalle  Autorita’   Giudiziarie  nell’esercizio delle loro funzioni, a norma della sezione 4, capo IV del  Regolamento. Come in pratica si tradurrà, in contesti caratterizzati da vincoli di segretezza, un’attività di vigilanza del DPO sulla correttezza dei trattamenti da parte dei Pubblici Ministeri,  sarà tutto da scoprire. Ma non si può che accogliere con soddisfazione una norma che sottoponga, attraverso il DPO, al vaglio del Garante, l’esercizio del controllo su una corretta applicazione delle norme relative alla protezione dei dati penali.

Micro, piccole e medie imprese – Con l’ampliamento dei poteri del Garante, viene introdotto (art.14 del decreto) l’art. 154 bis del Codice che, al co.4 prevede che sia l’Autorità Indipendente a disciplinare (promuove) forme di semplificazione degli adempimenti privacy per le micro, piccole e medie imprese.

Reintrodotte le misure di sicurezza – Il decreto mitiga gli effetti della filosofia di fondo del Regolamento (“datti un abito su misura”), reintroducendo le misure di sicurezza, ridenominandole “misure di garanzia” (art. 2 del decreto, art. 2 septies del codice), pur limitandole ai dati particolari (salute, genetici, biometrici, art. 9 del GDPR). Tali misure dovranno essere contenute in un provvedimento del Garante da emettersi con cadenza almeno biennale, per essere sempre al passo con le tecnologie.

Marketing diretto e registro delle opposizioni – Sul marketing diretto e con riguardo agli elenchi telefonici, il decreto non è intervenuto, recependo lo spirito del GDPR che ha espressamente indicato tale finalità (Considerando 47), come una delle ipotesi di legittimo interesse del titolare quale base giuridica del trattamento.

Tuttavia il Decreto precisa meglio, rispetto alla precedente formulazione dell’art.130 del Codice, “le finalità di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale”, pur mantenendo il limite dell’”impiego del telefono e della posta cartacea” e fatta  salva iscrizione al registro delle opposizioni (art.130 co.3 bis del Codice).

Ciò comporta che le mail di contatto, ad esempio, non potranno essere utilizzate per vendite dirette, ricerche di mercato o comunicazioni commerciali.

Si ritiene che, in ogni caso, rimanga salva, sul piano generale la possibilità di ricorrere al legittimo interesse del Titolare (ar.6 co.1. lett.f), ma previo un bilancing test, per le finalità di utilizzo dei dati a fini di marketing diretto, purchè sia data agli interessati idonea informativa nei termini e nelle modalità previste dal GDPR

Le sanzioni – Le modifiche più rilevanti sono quelle che intervengono sulla Parte III, Titolo III, del Codice, in materia di sanzioni.

Il decreto definisce meglio le casistiche per cui ricorrono le sanzioni amministrative di cui al co.4 o al co. 5 dell’art.83 del GDPR. A titolo d’esempio l’omessa  valutazione di impatto di cui  all’articolo 110, comma 1, primo periodo, ovvero non  sottoporre  un  programma  di  ricerca a consultazione preventiva del  Garante, farebbe scattare le sanzioni previste dal co.4 dell’art.83

Al Garante sono altresì affidate le misure correttive ex art.58 co.2 del Regolamento.

Ma sono le fattispecie penali e le modifiche di quelle già previste dal Codice la vera novità

Ricordiamo che il Regolamento consente agli Stati di definire quadri sanzionatori diversi dalle sanzioni amministrative previste dallo stesso GDPR, purchè siano effettive, proporzionate e dissuasive ed in grado di assicurare l’applicazione della normativa (art.84 co.1 GDPR)

La fattispecie del co. 1 dell’art.167 (trattamento illecito di dati), sostanzialmente invariata, nelle condotte illecite (dolo specifico di profitto o danno per l’interessato, e violazione degli art. 123, 126, 130 o del provvedimento ex art.129 del codice) vede una lieve riduzione della sanzione massima da ventiquattro a diciotto mesi.  

La violazione invece delle norme che disciplinano i trattamenti di dati particolari (art.9 GDPR) o di dati penali (art.10 GDPR), con particolare riguardo alle regole di cui all’ art. 2sexies (Trattamento  di  categorie  particolari  di   dati personali necessario per motivi di interesse pubblico  rilevante) ed ai principi di cui all’art.2 octies (Principi relativi al trattamento di dati relativi  a condanne penali e reati), o per violazioni riguardanti le misure e gli accorgimenti imposti da Garante per trattamenti che presentano rischi elevati per l’esecuzione di un compito di interesse pubblico (art.2-quinquiesdecies), sempre che ricorra il dolo specifico, prevedono la reclusione da uno  a  tre anni se viene arrecato un danno all’interessato.

La stessa pena si applica nel caso di illecito trasferimento di dati all’estero.

Sanzionata penalmente anche la comunicazione e diffusione illecita   di   dati personali oggetto di trattamento su larga scala. (art.167 bis) in violazione alle norme che disciplinano la base giuridica del trattamento (art. 2 ter) o delle richiamate norme relative ai dati particolari o ai dati penali. Questo per impedire il proliferare di pericolose banche dati parallele. La reclusione in questi casi è da uno a sei anni.

Si pone come una fattispecie autonoma  rispetto al reato di ricettazione (art.648 c.p.) invece il nuovo reato previsto dall’art. 167 ter  (Acquisizione fraudolenta di dati  personali  oggetto di trattamento su larga scala) punito con la reclusione da uno a quattro anni. E’ ipotizzabile che le modalità fraudolente non debbano essere necessariamente di natura tecnica ma anche mediante l’utilizzo di altre forme subdole di sottrazione di dati cartacei o su altri supporti.

Restano invece sostanzialmente invariate le fattispecie di Falsita’ nelle dichiarazioni al Garante (art.168) a cui si aggiunge al co. 2 l’ipotesi della  Interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante.

Mentre viene arricchita nelle condotte la fattispecie di cui all’art.170 (Inosservanza  di  provvedimenti  del  Garante) quando l’inosservanza riguardi un provvedimento di limitazione al trattamento (art.58 co. 2 lett.f del GDPR.)

Va ricordato inoltre che l’art. 3 del decreto introduce all’art.50 del Codice, un richiamo specifico alla fattispecie di cui all’art. 684 c.p. (pubblicazione arbitraria di notizie relative ad un procedimento penale) nel caso di pubblicazione di immagini e notizie in grado di consentire l’identificazione di un minore, anche per procedimenti diversi da quello penale.

Sul fronte lavoristico è di particolare interesse l’articolo 9 che modifica alcune parti del Titolo VIII del Codice della privacy (che assume la nuova rubrica di “Trattamenti nell’ambito del rapporto di lavoro”). In particolare, circa la promozione da parte del Garante delle regole deontologiche sottoscrivibili dai soggetti pubblici e privati interessati, sono espressamente richiamate le finalità esplicitate nell’articolo 88 del regolamento Ue, decisamente più ampie rispetto a quelle attualmente contemplate dal vigente articolo 111 del Codice (ad esempio parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, finalità di cessazione del rapporto di lavoro eccetera). Ricordiamo incidentalmente che le regole deontologiche, adottabili previa apposita consultazione pubblica, costituiscono precondizione per la liceità del trattamento dei dati.

Il nuovo articolo 111-bis conferma sostanzialmente la previsione dell’abrogato articolo 13 secondo cui la recezione dei curricula degli aspiranti lavoratori non necessita del consenso degli interessati (ma resta l’obbligo di fornire le informazioni prescritte in sede di successivo contatto). Viene inoltre interamente riformulata l’indicazione delle finalità di rilevante interesse pubblico (nuovo articolo 2-sexies).

Per i controlli a distanza, già regolati dagli articoli 4 e 8 dello statuto dei lavoratori, da evidenziare il richiamo (nuova previsione aggiunta nell’articolo 113 del Codice) all’articolo 10 del decreto legislativo 276/2003 che vieta ai datori di lavoro indagini sulle opinioni e trattamenti discriminatori dei lavoratori (divieto sanzionato penalmente). Infine da segnalare l’aggiunta, nell’articolo 115 del Codice, della previsione dei lavoratori agili quali destinatari dell’obbligo del datore di lavoro di garantire il rispetto della personalità e della libertà morale, accanto alle più tradizionali categorie dei lavoratori domestici e dei telelavoratori.

Il servizio “standard” dovrà essere rimodulato con particolare riguardo agli intervalli temporali di rilevazione della posizione geografica dei veicoli (allo stato fissati, rispettivamente, tra i 30 e i 120 secondi) ed ai tempi di conservazione dei dati (ora stabiliti in 365 giorni) nonché alla memorizzazione e messa a disposizione delle mappe di tutti i percorsi effettuati. La società dovrà, inoltre, informare chiaramente i propri clienti circa la possibilità di adattare le caratteristiche del servizio alle concrete finalità perseguite.

La funzione che consente la disattivazione del Gps dovrà essere resa disponibile per tutti i tipi di abbonamento al servizio senza eccessivi costi aggiuntivi. L’intervento del Garante ha preso l’avvio dalla segnalazione di un dipendente di una società che utilizza il servizio di localizzazione sulla propria flotta aziendale e si è reso necessario a causa della diffusione sul mercato del servizio le cui caratteristiche non sono risultate conformi alla normativa in materia di protezione dei dati e a quella sui controlli a distanza dei lavoratori.

Dagli accertamenti, svolti dall’Autorità anche con la collaborazione ispettiva della Guardia di Finanza, è emerso, infatti, che il sistema, delle cui caratteristiche peraltro i dipendenti non erano stati informati, consentiva il monitoraggio continuo dell’attività del dipendente, in violazione dei principi di necessità e proporzionalità.

Per di più, visto che le autovetture potevano essere utilizzate anche al di fuori dell’orario di lavoro e pure da congiunti dei dipendenti, tale sproporzionata attività di raccolta e conservazione dei dati tratti dalla geolocalizzazione del veicolo consentiva di fornire informazioni sul lavoratore non rilevanti rispetto allo svolgimento dell’attività lavorativa (in violazione di legge, in particolare dell’art. 8 dello Statuto dei lavoratori) nonché su terzi estranei.

Il Garante, quindi, ha vietato l’ulteriore trattamento dei dati alla società che ha installato il sistema ed ha altresì prescritto al fornitore di adeguare il sistema alla disciplina europea sulla protezione dei dati.

Ecco allora che la nuova disciplina incide sulla tutela civile e penale, attraverso la tecnica di innesti nell’impianto codicistico attuale. In particolare, l’art. 98 del codice della proprietà industriale, nel definire la nozione di segreto commerciale, vincola la successiva tutela alla contemporanea esistenza di tre fattori, consistenti nel carattere non noto o facilmente accessibile agli addetti ai lavori, nell’intrinseco valore economico, nella sottoposizione da parte del legittimo detentore «a misure da ritenersi ragionevolmente adeguate a mantenerle segrete». Soprattutto tale prescrizione appare profondamente innovatrice, in quanto configura un obbligo di predisporre protocolli interni di secretazione, condizione indispensabile per fondare l’illecito utilizzo del terzo e la conseguente responsabilità. Infatti il successivo articolo prevede il diritto del legittimo detentore di vietare l’acquisizione, la rivelazione o l’utilizzo dei segreti commerciali. La formulazione non è impeccabile dal punto di vista stilistico, anzi appare da un lato ridondante e dall’altro ambigua, contemplando un’eccezione nel «caso in cui essi siano stati conseguiti in modo indipendente dal terzo». L’inciso sembra alludere a situazioni in cui quest’ultimo abbia ottenuto autonomamente e per vie legittime (fortuite?) le informazioni rientranti nel segreto commerciale.

L’architettura complessiva della riforma si innerva nell’art. 623 c.p., secondo un climax ascendente che riserva alla sfera penale i comportamenti dotati di un disvalore maggiore e come tali non trattabili con lo strumentario civilistico. Così, viene punita con la reclusione fino a due anni la condotta di chi, in ragione del suo stato o ufficio, professione o arte, venuto a conoscenza di segreti commerciali o di notizie destinate a rimanere segrete sopra scoperte o invenzioni scientifiche, provvede a rivelarli o a utilizzarli a proprio o altrui profitto. Il secondo comma estende l’incriminazione a chiunque proceda ad analoga rivelazione o impiego sul presupposto di un’acquisizione abusiva del segreto commerciale.

In sostanza, semplificando, le condotte preparatorie sono fonte di responsabilità civile, mentre il quasi naturale sviluppo, lo sfruttamento economico del segreto, assume rilevanza penale. Sul piano teorico la distinzione è chiara, non altrettanto su quello concreto, dal momento che il profitto atteso è intrinsecamente collegato all’illecita rivelazione o impiego. Specie in considerazione che l’animus lucrandi è inteso dalla giurisprudenza in modo estensivo, comprensivo di ogni sorta di utilità, anche non patrimoniale, come nel caso della soddisfazione di un rancore nutrito nei confronti del legittimo titolare del segreto.

L’art. 623 c.p. prevede inoltre un’aggravante se il reato è commesso mediante strumenti informatici; la punibilità è a querela di parte. Infine, il Dlgs interviene sull’art. 388 c.p., estendendo il reato di mancata esecuzione dolosa di un provvedimento del giudice anche all’inosservanza di quelli emessi in funzione inibitoria o correttiva dei diritti di proprietà industriale o di omessa riservatezza. Nel complesso, una riforma equilibrata, che adatta le linee comunitarie alle peculiarità del nostro sistema imprenditoriale, nel tentativo di fornire maggiore incisività di tutela e rafforzare la competitività del made in Italy.

La Cassazione ricorda al ministero che è ormai dato acclarato per la giurisprudenza che la salute di un minore costituisca quel dato «personale» e «sensibile» protetto dalla disciplina privacy. E la tutela apprestata è spendibile tanto a favore del minore stesso quanto dei suoi congiunti legati da «vincoli di comunanza» di vita familiare e domestica. Questo perchè – come ampiamente argomenta la Corte – il disagio dovuto allo stato di salute del familiare è dato sensibile anche per chi con lui convive.

Quindi una selezione che tenga conto della malattia come privilegio concorsuale al fine di conseguire l’ammissione a corsi scolastici fa sì che la condizione del minore sia resa conoscibile ad altri, ben oltre le figure necessariamente tenute a esserne edotte. Da qui la piena azionabilità da parte dei genitori, e anche per l’altra figlia minore, della tutela approntata dalla disciplina privacy in caso di diffusione di dati sensibili, in questo caso di quelli attinenti allo stato di salute. Un dato sensibile non solo per l’alunno ma anche per la sua famiglia perché storicamente la presenza di un congiunto “invalido” in una famiglia è socialmente considerato un disagio.

Conclude la Corte che anche se a fronte di situazioni disagiate, legate allo stato di salute di un congiunto, la legge appronta strumenti di sostegno economico e sociale lo stesso tale condizione è un dato sensibile da trattare con la stessa riservatezza imposta dalla legge privacy di quando un ammalato espone a un terzo o a una pubblica amministrazione la propria malattia. E testualmente afferma la Cassazione che la sensibilità del dato non dipende dall’essere attinente alla fisicità della persona, ma dalla consapevolezza sociale dell’esistenza di un disagio familiare.

La Corte di cassazione respinge anche la pretesa dei genitori della minore di veder cassata la parte della sentenza di merito in cui il giudice riconoscendo un concorso di colpa aveva ridotto proporzionalmente il risarcimento dei danni. Giudizio non rivedibile in sede di legittimità in quanto valutazione di merito sulla causalità del mancato comportamento riduttivo del danno da parte dei familiari, che nel caso concreto non avevano provveduto a chiedere immediatamente la sospensione della pubblica diffusione della graduatoria affissa nella piazzetta antistante l’ingresso della scuola.