[Sicurezza Informatica] [File di Log] [Audit Trail] [Data Breach]
Un sistema informatico che non registra gli accessi non solo è insicuro: è giuridicamente esposto. La tracciabilità non è un lusso tecnologico ma è un obbligo normativo la cui inosservanza, come la giurisprudenza dimostra, può costare milioni.
1. L’obbligo di registrazione degli accessi
L’art. 21 del D. Lgs. 51/2018 dispone che tutte le operazioni di raccolta, modifica, consultazione, comunicazione, trasferimento, interconnessione e cancellazione di dati, eseguite in sistemi di trattamento automatizzati, siano registrate in appositi file di log. Tali registrazioni devono consentire di conoscere:
- i motivi dell’operazione;
- la data e l’ora;
- l’identità della persona che ha eseguito l’operazione;
- i destinatari dei dati.
I file di log devono essere non modificabili e protetti con idonee misure contro ogni uso improprio. L’accesso è consentito esclusivamente ai fini della verifica della liceità del trattamento, del controllo interno, per garantire l’integrità e la sicurezza dei dati, e nell’ambito di procedimenti penali.
2. I tempi di conservazione: un quadro differenziato
La durata minima di conservazione varia in base al settore e alla tipologia di dati:
| Contesto | Durata conservazione log | Fonte normativa |
| Sistemi generali (videosorveglianza) | 5 anni | Art. 24 DPR 15/2018 |
| Sistemi tracciabilità armi | 20 anni | Art. 20 D.M. 12 luglio 2023, n. 114 |
| Banca dati DNA | 20 anni | Art. 3 DPR 87/2016 |
| Consultazioni automatizzate (Prüm) | 2 anni | Art. 17 DPR 87/2016 |
| Dati sensibili/giudiziari — standard | Limitazione rafforzata al necessario | Art. 15 D. Lgs. 51/2018 |
| Conservazione prorogata per indagini penali | +2/3 del termine ordinario | Art. 1 D.M. 114/2023 |
3. I sistemi di alert: da buona prassi a obbligo normativo
L’implementazione di sistemi di alert automatici per rilevare comportamenti anomali sta transitando da best practice a obbligo normativo de facto, sotto la pressione combinata della giurisprudenza e dei provvedimenti del Garante.
Il Tribunale di Milano (n. 9157/2023 e n. 1164/2024) ha esaminato un caso di data breach di ampia portata, con accesso non autorizzato a centinaia di migliaia di dati personali, in cui il consulente tecnico d’ufficio aveva evidenziato che ‘semplici funzionalità di analisi statistica avrebbero potuto segnalare l’abnorme comportamento delle utenze coinvolte nel data breach’. Il Tribunale ha ritenuto la mancata adozione di alert basilari una grave carenza organizzativa, che ha aggravato la posizione del titolare e giustificato sanzioni di importo rilevante.
Il Garante (provvedimento n. 137/2014) ha prescritto l’adozione di soluzioni informatiche idonee ad assicurare il controllo delle attività svolte da ciascun incaricato sui dati, anche mediante la registrazione delle operazioni e l’implementazione di sistemi di alert per comportamenti anomali.
4. L’audit periodico: obbligo autonomo e non delegabile
La verifica periodica dei profili di autorizzazione e l’audit dei log di accesso costituiscono un obbligo autonomo, distinto dall’adozione iniziale delle misure di sicurezza. Il Tribunale di Pordenone (n. 329/2023) ha affermato che l’omessa implementazione di audit e controlli periodici costituisce una violazione autonoma e imputabile al titolare, anche in presenza di responsabilità concorrenti del responsabile del trattamento esterno.
La mancata dimostrazione di audit e controlli periodici comporta, in caso di contestazione, una presunzione di inadempimento con inversione dell’onere della prova a carico del titolare.
5. La sanzione per la mancata conservazione dei log
La mancata conservazione dei log per il periodo previsto costituisce una violazione autonoma e sanzionabile, anche in assenza di un danno concreto dimostrato. Questo principio, ribadito dal Tribunale di Milano (n. 9157/2023 e n. 1164/2024), ha conseguenze importanti: il titolare non può difendersi affermando che ‘tanto non è successo niente’. L’obbligo di conservazione è strumentale alla possibilità futura di verificare e ricostruire gli accessi, e la sua violazione pregiudica in radice questa possibilità.
6. Il bilanciamento con la privacy dei lavoratori
I file di log contengono, per loro natura, dati personali dei lavoratori (chi ha fatto cosa, quando, su quali dati). La loro conservazione e consultazione deve rispettare i principi di minimizzazione, limitazione della finalità e proporzionalità. La Corte di Giustizia dell’Unione Europea (C-77/21, Digi Kft, 2022) ha chiarito che il principio di limitazione della finalità non osta alla registrazione in una banca dati di test di dati precedentemente raccolti in un’altra banca dati, purché il trattamento ulteriore sia compatibile con le finalità iniziali.
| ✦ NOTA PRATICA Indicatori di adeguatezza del sistema di logging: (1) tutti gli accessi ai dati sono registrati in log non modificabili; (2) i log includono data, ora, identità dell’accedente, operazione compiuta; (3) i log sono conservati per il periodo previsto dalla normativa applicabile; (4) esistono alert automatici per comportamenti anomali (accessi in orari insoliti, volume anomalo di consultazioni, accessi da IP non noti); (5) gli audit vengono effettuati almeno semestralmente e documentati; (6) l’accesso ai log è riservato a personale specificatamente autorizzato; (7) i log sono protetti da modifiche non autorizzate. Ogni lacuna in questo sistema è un rischio giuridico misurabile. |
