Stefano Gazzella : 3 Ottobre 2025 15:35
Ah, l’amministratore di sistema. Old but gold. Figura che nell’organigramma privacy risale ad un provvedimento del Garante Privacy del 27 novembre 2008, modificato il 25 giugno 2009 e rimasto pressoché intatto fino ad oggi. Il tutto, nonostante il nuovo quadro normativo introdotto dal GDPR e, soprattutto, le rilevanti modifiche del contesto tecnologico e del ruolo del sysadmin.
Certo, la definizione di amministratore di sistema pecca di un certo grado di vaghezza:
figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le reti locali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali.
 Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Il comune denominatore di questa categoria di operatori è però individuato nella capacità di accedere in modo privilegiato a risorse del sistema informativo e dati personali. Quindi si può dire che ci troviamo di fronte ad una definizione volutamente ampia. Molto ampia. Forse troppo.
Ma volendo guardare alla sostanza, il concetto che si segue è che da grandi poteri derivano grandi responsabilità. Le quali, però, in ragione del quadro normativo in materia di protezione dei dati personali, comportano precisi obblighi di gestione in capo al titolare del trattamento. Che si traducono in misure da adottare.
Tutti questi obblighi permangono con l’applicazione del GDPR per espressa previsione dell’art. 22 co. 4 d.lgs. 101/2018, il quale prevede che i provvedimenti del Garante continuino ad applicarsi in quanto compatibili con il Regolamento.
Anzi, possiamo dire che in questo caso, ne escono rafforzati nelle proprie coordinate essenziali.
All’interno delle misure e accorgimenti prescritti all’interno del provvedimento, al punto 4.2 è previsto l’obbligo di designazione individuale di ciascuno dei soggetti che svolgono le funzioni di amministratore di sistema, con l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato.
Questa misura non è altro che una specificazione delle disposizioni degli artt. 29 e 32 par. 4 GDPR, che, rispettivamente, prevedono l’obbligo per il titolare di istruire i soggetti autorizzati all’accesso e di controllare che i soli soggetti istruiti abbiano accesso ai dati personali e svolgano operazioni di trattamento. Più in generale rientrano nelle misure organizzative di cui deve dotarsi il titolare per garantire un livello di sicurezza adeguato dei trattamenti.
In particolare, la designazione dell’amministratore di sistema è riconducibile nell’attribuzione di funzioni e compiti prevista dall’art. 2-quaterdecies Codice Privacy. Che nei contenuti minimi deve avere quanto previsto all’interno del citato punto del provvedimento, andando così a chiarire l´ambito di operatività in termini generali, per settori o per aree applicative. A ciò devono poi essere aggiunte tutte le istruzioni necessarie allo svolgimento delle operazioni, andando a specificare quali sono consentite nonché le eventuali condizioni per svolgere determinate attività.
Nel caso in cui un responsabile del trattamento svolga attività come amministratore di sistema, l’accordo di cui all’art. 28 GDPR andrà così integrato con la precisazione degli obblighi del provvedimento ivi inclusa la designazione individuale di tali soggetti. Che per buona prassi è bene che il titolare fornisca come modello allegato.
Andando un passo oltre, gli obblighi specifici riguardanti gli amministratori di sistema rientrano in una gestione degli accessi e dei privilegi. Attenzione, però, a ricordare che le misure indicate determinano delle soglie minime, ma non è detto che siano sufficienti. Come ricorda il Garante Privacy, infatti, adottare le misure “a catalogo” non significa avere un livello di sicurezza adeguato. Questo è infatti possibile raggiungerlo e comprovarlo solo attraverso un’analisi dei rischi.
Il provvedimento indica alcuni punti fondamentali di gestione, quali:
Ciascuno di questi aspetti è bene che venga approfondito e declinato correttamente, tenendo conto del contesto organizzativo e secondo quell’approccio risk-based su cui si fonda il sistema del GDPR.
Insomma: gli amministratori di sistema continuano ad esistere anche con il GDPR e la gestione del loro operato è e rimane una responsabilità ineliminabile in capo al titolare del trattamento.
Responsabilità che permane nonostante qualsivoglia clausola di esenzione o limitazione di responsabilità si voglia imporre o far sottoscrivere, perché deriva direttamente dal Regolamento il quale non ammette alcuna deroga a riguardo.
Stefano GazzellaLunedì 20 ottobre, Channel 4 ha trasmesso un documentario completo condotto da un presentatore televisivo creativo integralmente dall’intelligenza artificiale. “Non sono reale. Per la prima volta...
L’ecosistema del cybercrimine russo è entrato in una fase di profonda mutazione, innescata da una combinazione di fattori: una pressione internazionale senza precedenti da parte delle forze dell’...
I ricercatori della sicurezza hanno scoperto delle vulnerabilità in un sito web della FIA che conteneva informazioni personali sensibili e documenti relativi ai piloti, tra cui il campione del mondo ...
Il 21 ottobre 2025, un gruppo internazionale di ricercatori provenienti da 29 istituzioni di prestigio – tra cui Stanford University, MIT e Università della California, Berkeley – ha completato u...
Nella giornata di oggi, migliaia di utenti Fastweb in tutta Italia hanno segnalato problemi di connessione alla rete fissa, con interruzioni improvvise del servizio Internet e difficoltà a navigare o...
