In questa breve analisi cercherò di porre in evidenza le connessioni tra le violazioni di una normativa di origine contrattuale (lo standard PCI DSS, appunto) e le possibili e conseguenti violazioni delle norme di legge indicate nel titolo dell’articolo.

Come è possibile rilevare dall’analisi del sito dedicato al PCI – DSS si tratta di uno standard messo a punto dai principali attori dei pagamenti on line, al fine di ridurre quanto più possibile quelle che comunemente vengono indicate come “frodi”, anche se giuridicamente non sempre rientrano nel concetto di “truffa” ex art.640 c.p. oppure di “frode informatica” ex art.640-ter c.p.

A questo punto probabilmente giova ricordare le strette interrelazioni tra l’applicazione del D.Lgs n.231/2001 (responsabilità amministrativa della persone giuridiche) e del D.Lgs. n.196/2003 (trattamento dei dati personali), troppo spesso dimenticata nella applicazione pratica delle citate normative.

Infatti, prima di tutto, occorre comprendere come il D.Lgs n.231/2001 ed i conseguenti “modelli organizzativi” siano espressamente creati per rispettare SOLAMENTE quanto disposto dal D.Lgs n.231/2001; pertanto, ovviamente, non appare adeguato per essere adottato senza modifiche per quanto concerne il rispetto di quanto disposto dal D.Lgs.196/2003.

Giova in questo senso rammentare che i controlli imposti dal D.Lgs n.231/2001 sono – sostanzialmente – controlli di “processo”, mentre, purtroppo, i controlli previsti dal D.Lgs n.196/2003, avendo come unità di base il “dato personale”, non possono limitarsi al rispetto del solo processo, ma devono, per così dire, scendere molto più in profondità.

Occorre rilevare come la normativa in materia di trattamento dei dati personali (la c.d. “privacy” è infatti solamente un aspetto riflesso della più ampia accezione di trattamento dei dati personali) sia estremamente invasiva e trasversale ad ogni attività compiuta da qualunque soggetto, il che porta come conseguenza sia sul piano logico sia su quello strettamente giuridico che tutto ciò che concerne il trattamento dei dati personali debba costituire lo “strato” omogeneizzante tutti i processi aziendali, che poi troveranno nel rispetto e nel coordinamento con le altre normative specifiche la soluzione ideale affinché il soggetto possa raggiungere, sostanzialmente, i seguenti obiettivi:

Ora, spesso si lamenta da parte delle aziende la mancanza di un canovaccio, di un brogliaccio sul quale lavorare (spesso per pigrizia mentale) e ci si limita a cercare di seguire pedissequamente alcuni modelli e/o fac-simili proposti anche dalle Autorità competenti.

In questo senso gli standard relativi alla sicurezza informatica, nelle varie sfaccettature esistenti, possono essere di valido aiuto per il rispetto della normativa esistente; in pratica, a mio sommesso parere, per esempio, l’applicazione della normativa ISO:27001-2005 sulla sicurezza informatica (ex BS-7799) non solo non è un “plus” rispetto alla esatta applicazione del D.Lgs. n.196/2003, ma dovrebbe costituire lo “schema portante” per la progettazione ed il controllo delle normative in materia (previo adattamento di alcune peculiarità della normativa, nata in ambiente di “common law”, alla struttura giuridica dei paesi di “civil law” come il nostro).

Seguendo il medesimo criterio, lo standard PCI DSS potrebbe essere un valido aiuto per la corretta applicazione del D.Lgs n.231/2001 – che, per inciso, attualmente vede la propria applicazione più di ottanta ipotesi di reato, suddivise nelle seguenti categorie:

Infatti, applicando i questionari di autovalutazione proposti dallo Standard in questione, da una parte ci si può accorgere dell’eventuale “GAP” tra quella che sarebbe la situazione ottimale (dovuta per legge) e quella che può essere riscontrata (e conseguentemente operare per eliminare tale “gap”), ed applicando i medesimi concetti ai flussi di informazioni propri del D.Lgs n.231/2001, si potrebbe:

Troppo spesso, infatti, ci si dimentica che la c.d. “sicurezza informatica” prima di tutto è forte tanto quanto è forte l’anello più debole della catena, per cui:

E’ appena il caso di notare come la circostanza che siano stati inseriti praticamente tutti i reati informatici previsti dal Codice Penale nell’ambito della responsabilità amministrativa, in unione con quanto previsto dall’art.8 del D.Lgs n.231/2001 (ove non venga individuato il materiale esecutore del reato rimane responsabile l’impresa), a quanto previsto dal D.Lgs. n.196/2003, e non ultimo a quanto comunque prevede la Legge n.300/1970 (il c.d. Statuto dei Lavoratori), non possa portare che ad una soluzione: la materia deve essere esaminata e compresa nel complesso, non può essere affidata a più soggetti, perché solamente con una applicazione coordinata e corretta delle normative appena menzionate si potranno raggiungere gli obiettivi in precedenza indicati, ovvero contemporanea “compliance” con gli standard ai quali si è aderito e, soprattutto direi, prevenzione delle pesanti conseguenze connesse alla non corretta applicazione delle normative appena menzionate.