DIRITTISSIMO

HAI DEI DIPENDENTI?...OCCHIO AL TUO DATABASE

Un rischio che la maggior parte delle imprese tende a trascurare sono le problematiche legate ai dati informatici i quali potrebbero venire, più o meno fraudolentemente, sottratti dai dipendenti che operano all'interno dell’azienda e quindi si trovano in una posizione privilegiata di accesso alle informazioni.

Basta un click ed è possibile effettuare un backup di un intero DBMS distribuito su un supporto esterno, in un tempo esiguo un’intera banca dati può essere formattata, centinaia di informazioni andare perdute. A ciò si aggiungono le opportunità offerte dal cloud computing, spazio virtuale illimitato sul quale un dipendente malintenzionato potrebbe far confluire dati di cui intende illegittimamente appropriarsi: in poco tempo è possibile far convergere gigabyte di dati su un account Apple iCloud o Google Drive, con la conseguenza di rendere sempre più difficile la loro tracciatura una volta che abbiano raggiunto il data center e siano stati cifrati, risultando occulti perfino al gestore del servizio.

I rischi per le aziende sono da ricercarsi più nei propri dipendenti che non all’esterno.

attività illecite del collaboratore:

1.    la consultazione di siti pornografici

2.    lo scaricamento di file protetti da diritto d’autore,

3.    Sottrazione di dati;

4.    Cancellazione di dati;

5.    Cancellazioni irreversibili dei dati, tramite programmi specifici;

6.    Accesso del dipendente ai file di backup.

7.    Utilizzo dei dati per avviare un’attività in concorrenza ed utilizzo dei dati per rivenderli ad eventuali imprese concorrenti. = si ha un collegamento diretto con l’articolo 2105 c.c. secondo cui “Obbligo di fedeltà del lavoratore dipendente e divieto di concorrenza sleale”

il divieto di concorrenza: astenersi dal trattare affari in concorrenza con l’imprenditore, sia per conto proprio che di terzi

l’obbligo di riservatezza/segretezza: vieta al lavoratore di divulgare o di utilizzare, a vantaggio proprio o altrui, informazioni attinenti l’impresa, in modo da poterle arrecare danno

La societa’ danneggiata può rivolgersi a un legale per far valere i propri diritti, ma sarà comunque necessario fare ricorso a un esperto informatico per cercare di recuperare i dati cancellati e raccogliere, così, le prove del reato tramite l’hard disk .

·        il dipendente deve essersi autenticato in un dato momento per il tramite di una password segreta.

·        un’indebita violazione della privacy per i soggetti coinvolti nella sottrazione dei dati. La privacy può essere identificata con il brocardo“The right to be let alone” (lett. “il diritto di essere lasciati in pace”). Il diritto alla riservatezza della propria vita privata rischia pertanto di essere vanificato quando il cliente di un’azienda vede informazioni riservate, che tra l’altro potrebbero essere vendute alla concorrenza, divenire di dominio di persone non autorizzate.

Quali sono le RESPONSABILITA’ DEL DIPENDENTE?

responsabilità penale = gli artt. 167 e 169 del Codice della Privacy sanzionano il trattamento illecito dei dati e l’omessa adozione di misure necessarie alla sicurezza dei dati. Le pene possono andare da sei a diciotto mesi di reclusione, se dal fatto ne deriva nocumento, o da sei a ventiquattro mesi, se il fatto consiste nella comunicazione o diffusione; il dipendente è indubbiamente sottoposto alle sanzioni poc’anzi indicate, nel caso in cui risulti accertata la sua responsabilità

responsabilità civile =  “chiunque, essendovi tenuto, omette di adottare le misure minime previste dall’articolo 33 è punito con l’arresto sino a due anni”.

In alcuni casi e’ altresì necessario valutare il titolo di RESPONSABILITÀ DELL’AZIENDA ossia responsabilità penale degli enti, la materia è disciplinata, inoltre, dalla legge 547/1993 rubricata “Crimini informatici commessi da dipendenti e addebitabili all’azienda”: il datore di lavoro rischia di essere ritenuto responsabile in concorso con il dipendente a lui subordinato, che ha commesso il crimine informatico, per non aver attuato tutte le misure di prevenzione e controllo idonee a garantire la sicurezza del trattamento dei dati. Il Documento programmatico sulla sicurezza (DPS) descrive le modalità di tutela dei dati personali di dipendenti, collaboratori, clienti, utenti, fornitori ecc. da rispettare al fine di non incorrere in pesanti sanzioni penali e civili

Non aver adottato tutte le misure idonee a ridurre al minimo i rischi è considerata difatti un’agevolazione alla commissione del crimine.

Se esso non viene redatto ed in caso di controllo da parte delle autorità o in caso di fuga di dati il rischio è totalmente a carico del titolare dei dati. Con un disciplinare correttamente redatto, invece, è molto più facile difendersi dalle accuse.

Il Codice della Privacy qualifica il trattamento dei dati come attività pericolosa ed e’ prevista pertanto un’inversione dell’onere della prova nell’azione risarcitoria ex articolo 2043 c.c.: l’operatore è tenuto a fornire la prova di avere applicato le misure tecniche più idonee a garantire la sicurezza dei dati detenuti: l’azienda per evitare ogni responsabilità, deve provare di aver adottato tutte le misure idonee ad evitare il danno, e quindi di aver posto in essere tutte le misure di sicurezza ossia la miglior tecnologia disponibile.

In generale poi a carico dell’azienda risulta comunque la responsabilità ex art 2049 c.c., ovvero la responsabilità prevista in capo a padroni e committenti = la possibilità per l’azienda di rivalersi sul proprio dipendente, mediante un’azione risarcitoria, nel caso in cui la condotta posta in essere dallo stesso integri gli estremi dell’illecito penale o civile.

DATA LEAKAGE: fuga di dati, intesa come trasferimento non autorizzato di informazioni, di solito verso l’esterno di un’organizzazione: a) perdita di dati – b) furto di dati. (la prevalenza numerica delle perdite dolose di informazioni non avviene tramite posta elettronica, ma attraverso fotocopiatrici, porte USB, laptop, supporti ottici e furto di proprietà.

DATA LEAKAGE PROTECTION: informazioni perse, poi, i danni possono andare dalla compromissione della reputazione dell’azienda a una riduzione delle entrate o al pagamento di sanzioni amministrative elevate, dovute a multe o azioni legali, perizie costosissime.

Esistono sistemi di sicurezza informatica per identificare, monitorare e proteggere i dati in uso, i dati in movimento e i dati a riposo all’interno o all’esterno dell’azienda, con il fine di individuare e prevenire l’uso non autorizzato e la trasmissione di informazioni riservate.

a)   il filtraggio e la cifratura dei contenuti della posta elettronica, al fine di evitare la fuga di informazioni confidenziali tramite e-mail;

b)   la cifratura dei computer e degli altri dispositivi che contengono dati, in modo da assicurare che solo chi possiede le adeguate credenziali o password possa accedere alle informazioni;

c)   il controllo dei dispositivi per bloccare l’utilizzo delle unità di archiviazione rimovibili, dei supporti ottici e dei protocolli di rete wireless;

d)   il controllo delle applicazioni che potrebbero essere utilizzate per la fuga di dati, come il software per la condivisione di file peer-to-peer o i servizi di cloud storage (come Dropbox) e di posta elettronica in-the-cloud;

e)   il controllo periodico di aggiornamenti e patch, in modo da assicurare protezione con configurazioni corrette e costantemente aggiornate;

f)     l’utilizzo di tecnologie DRM (Digital rights management), che impediscono la riproduzione dei dati su un numero illimitato di dispositivi.