Quanto può durare un momento?

Quanto tempo occorre per compromettere la riservatezza di un dato? Basta un momento.

"Quanto può durare un momento?"
(cit. Il Piccolo Diavolo)

L'eternità è un momento...  ma per Nenè Cherry anche 7 secondi sono troppi.

Se sei al semaforo, un momento è esattamente il tempo che passa tra l'accensione del verde e il suono del clacson suonato dal troglodita che vedi nello specchietto.

E per un DPO? Quanto può durare un momento?

30 minuti saranno troppi?
10 minuti vanno bene?
Facciamo 2?
Vogliamo essere splendidi e impostiamo il blocco del PC dopo 10 secondi di inutilizzo?Ma per favore! Sembra la tratta dei cammelli.

Stiamo parlando proprio di questo, del tempo che intercorre tra l'interruzione dell'uso del pc, che a volte coincide con l'abbandono della postazione, e l'attivazione del blocco automatico del sistema.

Lo spunto lo offre un recente provvedimento delGarante Privacy che culmina con la sanzione all'Azienda Sanitaria Universitaria del Friuli Centrale (ASUFC) per alcune violazioni in materia di trattamento dati personali, tra le quali un tempo giudicato esagerato di attivazione del blocco dei PC del pronto soccorso: 30 minuti.

Erano tempi bui, il covid ha reso tutto più complicato e le istituzioni hanno resto il lavoro nella sanità estremamente caotico. I pronto soccorso erano in grande affanno, per non dire disperati. In quel caos generale, era difficile trovare il giusto modo per fare le cose, contemperando diritti e esigenze che, in tutta franchezza, sono parse secondarie rispetto alla paura per la vita propria ed altrui. Nessuno aveva tempo per convocare un tavolo di lavoro, realizzare uno studio analitico sull'operatività al terminale e determinare il tempo perfetto di attivazione del blocco automatico, un tempo abbastanza lungo da non ostacolare gli operatori e abbastanza breve da evitare usi impropri di postazioni temporaneamente non presidiate.

Chiunque non viva nel mondo dei sogni, può immaginare quali fossero le priorità nei pronto soccorso all'epoca della grande pandemia del 2020. 

Si, il blocco automatico è una misura di prevenzione necessaria, non si può lasciare un terminale liberamente accessibile a chiunque, ma non si può nemmeno chiedere ad ogni operatore di sbloccare il terminale con password ogni volta che si sollevano le mani dalla tastiera per un momento. Eppure lo si è fatto: le regole d'uso prevedevano il blocco manuale, Control-Alt-Canc e via, terminale bloccato. E se il lavoratore se ne fosse dimenticato, sarebbe subentrato il blocco automatico dopo 30 minuti. Ai miei occhi, una misura residuale.

Queste misure di sicurezza, al pronto soccorso, sui computer ad uso esclusivo degli operatori, in ambiente presidiato, in epoca covid, sono pura fantasia. Il lavoro è frenetico, il terminale bloccato è un problema perché rallenta operazioni che devono essere rapide, istantanee, perché la mole di lavoro è impressionante, la gravità delle conseguenze di un ritardo irreparabili.

Senza contare il fatto che blocchi troppo frequenti, oltre a fracassare i cabbasisi della gente che lavora, possono compromettere la robustezza delle password che, se digitate 300 volte al giorno, finiranno per essere semplici e rapide: pippo - qwerty - 123123 - 123456 -  asdasd - ecc.

"Ma chi cazzo ha messo questo sistema di merda che mi blocca il computer in continuazione? Ma lo sa cosa facciamo qui? Che demente..."

Ancora si sente l'eco delle imprecazioni lanciate verso chi ha ostacolato il lavoro degli operatori in prima linea.

Ma è nel torbido che si pesca meglio e basta un momento per carpire segreti incustoditi.

Il fattore umano, come sempre, diventa determinante. Un terminale sbloccato e incustodito consente la libera consultazione, anche illecita, e compromette la protezione dei dati personali. L'elefante nella stanza è li barrisce la sua sempiterna domanda: "si può fare qualcosa per evitarlo?"

Ovviamente si può, mettiamo le password (che diventano pippo19, pippo20 ecc), le tessere di autenticazione (che restano fisse nel lettore), il blocco automatico (che non scatta mai perché il lavoro è continuo), il blocco manuale (che nessuno usa perché è infattibile), le regole e le procedure (che tutti hanno firmato senza nemmeno leggerle), la formazione (fatta con un vacuo videocorso di Troy McClure), la supervisione di un supervisore (che intanto fa altre 7 cose tutte urgenti ed importanti)... facciamo miracoli, ma tutto questo nulla può per impedire che un malintenzionato faccia ciò che vuole, in barba a qualsiasi misura tecnica ed organizzativa di prevenzione. 

L'azienda sanitaria lo ha detto e scritto:

"Considerato l’elevato numero di personale in turno, la condivisione degli spazi di lavoro, soprattutto nelle aree di pronto soccorso, ed in assenza di riscontri probatori certi si potrebbe plausibilmente ipotizzare che chi ha effettivamente visualizzato l’elenco di documenti della sig.ra XX si sia “impossessato” della postazione pc loggata con le note credenziali dopo soli 2 minuti, o 5, o 10 da quando il collega titolare dell’account aveva lasciato la postazione e, quindi, anche in presenza di un tempo di blocco inferiore l’accesso si sarebbe comunque verificato.

l’Azienda ha una “vulnerabilità sistemica” nei confronti del comportamento doloso dei dipendenti."

Ma per il Garante questa evidenza non basta. Per lAutorità, "la vulnerabilità sistemica dell’Azienda nei confronti del comportamento doloso dei dipendenti avrebbe dovuto suggerire al titolare di adottare ogni misura tecnica e organizzativa volta a ridurre il rischio di accessi non autorizzati anche attraverso misure con finalità deterrenti."

Oops, mi accorgo ora che nella stanza c'è un secondo elefante che sta barrendo la sua domanda: "Cosa fanno a Piazza Venezia 11* per impedire comportamenti dolosi e quali deterrenti utilizzano? ...e funzionano?"

* Nota:  sede del Garante Privacy

Alla prima domanda non so rispondere, ma, a giudicare dai recenti avvenimenti, direi che qualsiasi cosa facciano non funziona granché. 

Va bene tutto, ma...

...se una norma, il GDPR, lascia libero il titolare di stabilire il tempo di blocco sulla base delle specifiche esigenze operative,

...se nessuna linea guida si prende la briga di azzardare un numero, nemmeno indicativo,

...se non esiste alcuna indicazione concreta ufficiale o ufficiosa,

...se manca qualsiasi esempio o casistica di riferimento...

come si fa a sanzionare un'azienda che, suo malgrado, ha dovuto scegliere un tempo ragionevole e che, solo a posteriori, si è dimostrato non adeguato a prevenire un azione umana dolosa?

Questo processo mentale, giudicare a posteriori una scelta sulla base di un evento che si è realizzato, ha un nome, si chiama "bias del senno di poi". Ne ho già parlato e non è affatto una bella cosa che il Garante, nell'ambito delle istruttorie, presenti questa distorsione dei processi mentali di giudizio .

IMHO il Garante non si può limitare a dire che 30 minuti sono un tempo eccessivo, non senza dare una indicazione concerta che permetta di intravedere un impatto sugli eventi determinante e risolutivo rispetto a ciò che è accaduto e che viene ricondotto alla contestata scelta del titolare.

Si, lo so, non è compito del Garante prendere decisioni operative e ogni decisione deve essere ponderata dal titolare e parametrata al suo contesto, ma è compito del Garante dare indicazioni utili per l'applicazione della norma. In mancanza, qualsiasi numero, qualsiasi decisione operativa presa da chi la norma deve applicarla, dovrà essere considerata pienamente legittima... oppure sarà sempre sbagliata.

Non è fantasia ma ciò che prevede la legge: "controllare che i trattamenti di dati personali siano conformi al Regolamento nonché a leggi e regolamenti nazionali e prescrivere, ove necessario, ai titolari o ai responsabili dei trattamenti le misure da adottare per svolgere correttamente il trattamento nel rispetto dei diritti e delle libertà fondamentali degli individui". 

Nel caso specifico, il Garante ha prescritto all'azienda sanitaria di "introdurre l’utilizzo di indicatori di anomalie (c.d. alert) automatici e sistemi di blocco automatico del pc per inattività che tengano conto delle specifiche esigenze connesse ai differenti ambiti operativi aziendali, nell’intento di ridurre al minimo il tempo di latenza senza compromettere il requisito di efficacia del percorso assistenziale."

Roma, 3 settembre 2026

IL PRESIDENTE
Grazia

IL RELATORE
Graziella

IL SEGRETARIO GENERALE
GrazieAl Cazzo

Ci provo io. Come fare?

Forse basta rivolgere lo sguardo a chi ha un concreto e motivato interesse per proteggere i dati e sente un profondo coinvolgimento emotivo. Ci sono titolari che bloccano i terminali non per obbligo ma per necessità, anche a costo di rallentare l'operatività dei lavoratori, illuminati imprenditori che sentono il vivono in prima persona la data protection e che si rendono conto che un terminale sbloccato rappresenta un problema... gente che ha dovuto affrontare e risolvere il problema sul campo, sporcandosi le mani: qualsiasi pizzeria, bar o pub del reame.

Effettivamente, forse i commercianti non sono mossi dalla nobile passione per la privacy, probabilmente non vogliono tutelare la riservatezza della comanda, ma sono molto sensibili al fatto che un cliente possa spippolare con un terminale incustodito e cancellare dal conto la cotoletta, un boccale di birra o la pajata. I luminari della cybersecurity gastronomica, da anni, utilizzano i bottoncini RFID che ogni operatore ha al polso, in tasca o alla cintura. A volte li vedo usare come lo skipass, altre volte sono lettori di prossimità che sbloccano il terminale se il cameriere è li davanti, bloccandolo appena si volta, senza perdere nemmeno un istante con password, combinazioni segrete di tasti funzione, insulti al clero.

Lo so, i tag RFID non sono affatto sicuri, basta un Flipper Zero per clonarli, ma sono sufficienti per fermare il malintenzionato occasionale, quello che approfitta volentieri del terminale sbloccato, ma non è in grado di violare un sistema protetto.

In compenso, il malintenzionato capace, motivato e determinato, non può essere fermato nemmeno con la crittografia quantistica e nemmeno con "misure deterrenti" per obbligare il personale al rispetto di procedure tanto pittoresche quanto vulnerabili al social engineering.

Temo che l'arbitrio interpretativo sulle legittime scelte operate dei titolari, peraltro privo di motivazioni che possano vagamente dirsi tali e di indicazioni concrete, stia sgretolando uno dei principi cardine del GDPR: l'accountability.

Questa strana parola descrive una bella cosa che, richiamando "il Piccolo Diavolo" è ciò che più si avvicina la libero arbitrio. Spetta al Titolare decidere come trattare i dati e come proteggerli, lo dice la legge. Se il titolare decide sulla base del proprio discernimento, del contesto, delle esigenze organizzative, se documenta la propria scelta sulla base di un criterio, allora nessuno, nemmeno il Garante, dovrebbe interferire, a meno che la decisione stessa sia insostenibile, illogica o tanto viziata da essere inaccettabile.

L'alternativa, ribadisco, è che il Garante (qualsiasi), l'EDPB, l'EDPS si rimbocchino le maniche e mettano nero su bianco una casistica di riferimento, indicativa, utile per orientare le scelte dei titolari.

Purtroppo, l'ultima volta che questo è capitato, abbiamo assistito ad un pateracchio incredibile: il tempo di retention dei log della posta elettronica, per il Garante, dovrebbero essere conservati per poche ore, ma in alcuni casi (quali, non si sa) si poteva arrivare ad alcuni giorni, ed in altri casi (non definiti) di più ma tassativamente non oltre sette giorni, ma eventualmente (?) estensibili di ulteriori quarantotto ore, così, a sentimento... in seguito alle corali proteste di mezza Italia, questo balletto di parametri inutilizzabili ha trovato concretezza con un numero, estratto dal cilindro del prestigiatore, pari a 21 giorni. Così, "de botto e senza senso", alla faccia dei criteri enunciati in precedenza. Che bei momenti, quanti ricordi...

Sulla tomba dell'accountability si leggerà questo epitaffio:

"30 minuti sono troppi.
Perchè?
Perchè si"

Su questo blog ci sono altri 208 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!