L’adozione di un modello BYOD impone al datore di lavoro obblighi stringenti in materia di sicurezza informatica e protezione dei dati personali. Il GDPR, recepito nell’ordinamento italiano dal D.Lgs. n. 101/2018, impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. In presenza di trattamenti che presentano rischi elevati per i diritti e le libertà delle persone fisiche, è obbligatoria la valutazione d’impatto (DPIA) prima di procedere al trattamento.

Le misure tecniche richieste

Separazione logica e fisica dei dati

La separazione logica e fisica tra dati aziendali e dati personali del dipendente rappresenta un requisito fondamentale per la gestione sicura dei dispositivi BYOD. Le soluzioni tecniche considerate più efficaci dalla prassi e dalla giurisprudenza sono la virtualizzazione degli ambienti di lavoro (che isola l’ambiente aziendale da quello personale sullo stesso dispositivo), l’uso di container crittografati per i dati aziendali accessibili solo tramite autenticazione forte, la gestione centralizzata delle policy di sicurezza che permette la cancellazione selettiva dei dati aziendali senza incidere su quelli personali, e la segmentazione delle reti con sistemi Mobile Device Management (MDM).

Autenticazione forte

Devono essere implementati sistemi di autenticazione forte, preferibilmente a più fattori, con meccanismi di autorizzazione che limitino l’accesso alle informazioni in base al ruolo e alle necessità operative. L’adeguatezza dell’autenticazione forte in BYOD deve essere valutata in funzione del rischio e della diversità dei dispositivi.

Tracciamento e audit

È necessario implementare sistemi di tracciamento delle operazioni (log) e di audit periodico per verificare la legittimità degli accessi ai dati effettuati dagli incaricati, l’integrità dei dati e delle procedure informatiche, nonché la corretta conservazione dei file di log (Trib. Milano n. 9157/2023).

Il principio di accountability

Il principio di accountability impone al titolare del trattamento non solo di adottare misure adeguate, ma anche di essere in grado di dimostrare in ogni momento la conformità delle proprie scelte e processi alle prescrizioni normative. Nel contesto BYOD ciò si traduce in: redazione e aggiornamento di policy interne che disciplinino l’uso dei dispositivi personali; informativa e consenso trasparenti ai lavoratori; tenuta di un registro dei trattamenti effettuati tramite dispositivi personali; esecuzione di audit periodici; procedure chiare per la gestione degli incidenti, inclusa la notifica al Garante e agli interessati in caso di data breach (TAR Bologna n. 618/2022).

La DPIA in ambito BYOD

Come chiarito dal TAR Bologna (n. 618/2022), ogniqualvolta il trattamento dei dati comporti rischi elevati per i diritti e le libertà degli interessati — come nel caso del BYOD — il titolare è tenuto a effettuare una valutazione d’impatto sulla protezione dei dati. La DPIA deve contenere una descrizione del trattamento, una valutazione della necessità e proporzionalità, una stima dei rischi e le misure adottate per mitigarli. La mancata effettuazione della DPIA espone il datore di lavoro a sanzioni amministrative da parte del Garante e, nei casi più gravi, a responsabilità per danno erariale.