solution.it

Scritto da Paolo Giardini il mar 20, 2009

Il discorso della nomina dell’Amministratore di sistema implica prima la verifica della attività da assegnare al candidato in merito al livello di rischio che tale attività comporta e successivamente la scelta del candidato che meglio risponda alle esigenze riscontrate.
Provo a spiegarmi meglio con un esempio.
Un dipendente, non tecnico informatico, è stato incaricato di cambiare le cassette del backup e verificare la riuscita dell’operazione.
La mancanza di esperienza e di conoscenze tecniche, ha fatto si che per mesi il backup non fosse effettivamente effettuato in quanto la persona non si era accorta che il dispositivo di backup esterno non funzionava ed il relativo messaggio di warning era stato ignorato anche perché non era particolarmente esplicativo.
In questo caso è evidente che la nomina sarebbe stata incauta per il danno che l’imperizia mostrata avrebbe potuto cagionare.

Scritto da Paolo Giardini il apr 2, 2009

Salve.
La lettera di incarico per il trattamento dati è “solo” una formalizzazione di quanto di fatto sta già facendo, ovvero gestire (trattare) i dati personali necessari allo svolgimento della sua funzione aziendale.
Per quanto riguarda la nomina ad “amministratori di sistema” cerco di semplificare una risposta che altrimenti sarebbe assai complessa.
Al titolare spetta il compito di valutare “esperienza, capacità, e affidabilità” della persona.
In difetto, ricade nel caso di “culpa in eligendo”, ovvero l’affidare un incarico che comporta rischi e responsabilità ad una persona non in grado di svolgerlo in modo consono, specialmente in presenza di norme che specificano bene come e cosa debba essere fatto, è senza dubbio una violazione della legge che ricade sul titolare.
Questo ovviamente non solleva l’amministratore di rete dalle proprie responsabilità in caso di dolo o comunque di proprie colpe.
La lettera di nomina ad amministratore di sistema deve contenere l’elenco dei compiti e delle mansioni affidate alla persona nominata, le consiglio di verificare attentamente se quanto riportato corrisponda effettivamente alle sue mansioni e competenze, e se del caso, fare notare la cosa al titolare affinché apporti le opportune correzioni.
Ricordo infine che la nomina ad amministratore di sistema non è una semplice pratica burocratica da sbrigare “perché deve essere fatto” ma comporta una reale verifica di chi possa “mettere le mani sui dati” e comprende, forse in misura anche maggiore di quanto non sia per lei, il tecnico, magari esterno, che fa assistenza ai computer, alla rete, installa e manutiene il programma di contabilità o di gestione del personale, ecc.

Scritto da Paolo Giardini il lug 22, 2009

Salve.
Se cè’ dolo, ovviamente ricorrono i recenti inasprimenti del codice penale per chi abusa del ruolo di “operatore di sistema”. Per quanto riguarda la parte prettamente relativa al trattamento di dati personali, la lettera di incarico come “amministratore di sistema” deve contenere o comunque le devono essere comunicati i compiti e le responsabilità assegnate. Per dirla con le parole del provvedimento del Garante:

La designazione quale amministratore di sistema deve essere in ogni caso individuale e recare l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato

il che significa in pratica che i suoi compiti devono essere definiti a priori.
In ultimo, il ruolo di amministratore di sistema, ancorché non formalizzato secondo quanto dettato dal provvedimento in questione, comporta delle responsabilità e questo è ovvio ma non appesantisce la situazione. Il provvedimento, piuttosto che essere un colpo basso al cosiddetto “sistemista” è una tiratina d’orecchie ai titolari di trattamento per ricordare loro che devono prendere sul serio le loro responsabilità in merito ai dati personali trattati.
Suggerisco inoltre di valutare bene se si rientri o meno nel campo di applicazione, dato che esistono numerose esenzioni nelle quali in pratica possono ricadere un gran numero di aziende.

.

Scritto da Paolo Giardini il ott 22, 2009

Temo di non essere la persona indicata per rispondere al suo quesito.
In linea di massima, ma è un mio pensiero, Lei ha il diritto di richiedere un adeguamento del compenso a fronte delle maggiori responsabilità cui dovrà attendere. Potrebbe forse richiedere un passaggio di qualifica?

Scritto da Paolo Giardini il nov 28, 2009

Salve.
Non vedo motivi che possano creare conflitti. Certo un contratto ben scritto ed una lettera di incarico che specifichi bene compiti e responsabilità sono una cosa indispensabile.
Per la questione dei tempi di ripristino, questi sono specificati dalla normativa, in particolare dal punto 23 dell’allegato B nel caso di trattamento dati sensibili o giudiziari (7 giorni). E’ anche da tenere presente il limite di 15 giorni fissato dall’art. 146 del D.lgs 196/2003 per il riscontro all’interessato che ci obbliga ad effettuare il ripristino dei dati in tempi congrui per la soddisfazione delle richieste effettuate ai sensi dell’art. 8 (esercizio dei diritti dell’interessato).

Scritto da Paolo Giardini il dic 5, 2009

Se ho inteso bene la situazione, Lei è dipendente di una azienda che offre servizi informatici a terzi. In questo caso non sembra richiesta alcuna nomina “ad personam” dell’Ads. La ditta esterna deve essere nominata “responsabile del trattamento in outsourcing” e deve provvedere a consegnare al Titolare del trattamento l’elenco aggiornato dei propri incaricati delle assistenze tecniche, tenendo presente che “non rientrano invece nella definizione quei soggetti che solo occasionalmente intervengono (p.es., per scopi di manutenzione a seguito di guasti o malfunzioni) sui sistemi di elaborazione e sui sistemi software.” (FAQ Garante).
Per quanto riguarda la responsabilità, a prescindere dalla nomina ad AdS, questa è sempre stata regolata dall’art. 2104 c.c. (diligenza del prestatore d’opera). Sull’opportunità di una copertura assicurativa mi trova d’accordo, ma questa è comunque una valutazione soggettiva e non dipendente da nomina o meno ad AdS, dato che questo provvedimento non introduce alcuna novità nell’ambito dei contratti di prestazione d’opera. Aggiungo che a doversi maggiormente preoccupare di eventuali problematiche potrebbe essere il Titolare, chiamato ad effettuare nomine solo previa attenta valutazione delle caratteristiche di competenza, capacita. affidabilità del candidato, nomina che se incautamente effettuata, potrebbe portare, in caso di problemi, ad una condanna per culpa in eligendo e culpa in vigilando.

Scritto da Paolo Giardini il gen 15, 2010

Ciao Daniela.
“Aver scoperto” significa che non ti è stato comunicato nulla ed hai solo trovato (come?) un elenco con il tuo nome e l’incarico?
La nomina è, appunto “nominativa” come indicato nel Provvedimento.

4.2 Designazioni individuali
La designazione quale amministratore di sistema deve essere in ogni caso individuale e recare l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato

Anche se si può dire che non esista un obbligo di singole lettere, la prassi comune è comunque di redigere un atto formale con la nomina, i riferimenti nomativi, i compiti assegnati (p.e. backup, gestione firewall, manutenzione databasa,…), insomma ci si potrebbe aspettare qualcosa di più da un ente pubblico.
Per quanto riguarda le responsabilità, come ho scritto in risposta ai precedenti commenti, non cambia nulla rispetto agli obblighi del dipendente o del prestatore d’opera nei confronti del datore di lavoro (fedeltà, diligenza, ecc.) come previsto dal codice civile, dal Codice in materia di protezione dati personali, e, ovviamente, dal codice penale in materia di reati informatici.
Facci sapere

Scritto da Paolo Giardini il feb 28, 2010

in risposta a Carlo Volati
In generale posso essere d’accordo, ma vorrei fare alcune puntualizzazioni.
La prima, la più importante, è che non si deve dimenticare la definizione di AdS data nel provvedimento dal Garante. L’AdS non è soltanto chi effettua manutenzione dei sistemi ma anche chi ha responsabilità, prendetelo tra virgolette, minori dal punto di vista tecnico come ad esempio gestire i backup; cosa che non richiede particolari competenze tecniche ma che comporta responsabilità in relazione al trattamento di dati personali. Quindi un AdS potrebbe essere nominato in ragione dell’attività svolta anche senza essere un tecnico.
La seconda annotazione è questa: non capisco cosa intendi quando parli di nomina ad Ads per l’art. 30 o manutentore art. 28 e 29. O forse si, ma non è corretto quanto dici.
AdS può essere anche un esterno, nel qual caso non viene nominato dal titolare ma è compito dell’azienda esterna effettuare la nomina e comunicare i nominativi degli Ads al titolare. E di certo un Ads non viene nominato in base all’art.30, articolo riferito agli incaricati del trattamento.
Sono comunuqe assolutamente d’accordo quando dici che è essenziale un contratto fatto bene che comprenda doveri e modalità di espletamento in maniera chiara e completa.