La TempesTa perfeTTa: è iL momenTo deLL'open source - Magirus

– Segue
Security
Parola di legale
sonali dovrà anche verificare all’interno
dell’azienda la corretta applicazione delle
misure di sicurezza implementate ed in
particolare l’osservanza delle direttive
impartite ai propri dipendenti (per esempio
attraverso regolamenti sull’utilizzo
delle strumentazioni informatiche ecc).
Occorre infatti considerare che l’azienda
potrebbe essere tenuta a risarcire i danni
arrecati a terzi dalla perdita o distruzione
dei dati conservati, anche nel caso di comportamento
di un dipendente che abbia
omesso (colposamente o dolosamente) di
adottare le misure di sicurezza o le regole
di comportamento a lui prescritte. Ai
sensi dell’art. 2049 c.c. (“Responsabilità
dei padroni e dei committenti”), infatti, “I
padroni e i committenti sono responsabili
per i danni arrecati dal fatto illecito dei
loro domestici e commessi nell’esercizio
delle incombenze a cui sono adibiti”. Si
tratta in sostanza di un caso di responsabilità
indiretta (o per fatto altrui) del datore
di lavoro per i danni arrecati a terzi dal
fatto illecito del dipendente in occasione
dell’esercizio delle proprie mansioni. La
giurisprudenza ha interpretato quest’ultimo
requisito in modo molto amplio
stabilendo, per esempio che “il rapporto di
‘occasionalità necessaria” tra l’illecito ed il
rapporto datore di lavoro-dipendente sussi-
ste anche qualora il dipendente abbia ecceduto
i limiti delle sue mansioni o incombenze,
finanche trasgredendo gli ordini
ricevuti, sempre che egli abbia perseguito
finalità coerenti con quelle in vista delle
quali le mansioni o incombenze gli furono
affidate” (da ultimo Cassazione Civile,
sentenza n. 6632 del 12 marzo 2008). Il
fondamento di questa forma di responsabilità
era originariamente individuato dalla
dottrina nella colpa presunta del datore di
lavoro per non aver correttamente scelto
il dipendente o vigilato sulla sua attività.
L’attuale orientamento dottrinale ritiene
invece che in realtà questa norma abbia
l’obiettivo principale di meglio tutelare gli
interessi dei terzi accollando la responsabilità
in capo al soggetto che si avvale delle
attività dei dipendenti.
Fermo restando quanto sopra, in alcuni
casi le condotte del dipendente volte a
cancellare o distruggere i dati conservati
dall’azienda possono comunque avere una
rilevanza in sede penalistica. Si consideri,
a titolo meramente esemplificativo quanto
disposto dall’art. 635 bis c.p., recentemente
sostituito dall’art. 5 l. 18 marzo
2008, n. 48 (“Ratifica ed esecuzione della
Convenzione del Consiglio d’Europa sulla
criminalità informatica, fatta a Budapest
il 23 novembre 2001, e norme di adeguamento
dell’ordinamento interno”). In base
all’articolo citato (“Danneggiamento di
informazioni, dati e programmi informatici”)
“Salvo che il fatto costituisca più grave
reato, chiunque distrugge, deteriora, cancella,
altera o sopprime informazioni, dati
o programmi informatici altrui è punito, a
querela della persona offesa, con la reclusione
da sei mesi a tre anni”. In questi casi,
fermo restando la responsabilità diretta del
dipendente in sede penale, sarà comunque
importante per l’azienda poter dimostrare
di aver comunque adottato tutte le misure
minime ed idonee a tutela dei dati personali
trattati, per evitare che alla stessa
possano essere attribuite diverse responsabilità
per la mancata osservanza delle
disposizioni di cui al d.lgs 196/2003.