Un avvocato, un commercialista o un consulente che lavora da casa tratta gli stessi dati che tratterebbe in studio, con una differenza: in studio c'è una porta che si chiude e un armadio che qualcuno ha scelto, a casa spesso non c'è né l'una né l'altro. La domanda che conta non è se sei stato prudente, è se puoi dimostrarlo.
Perché la cifratura non basta quando l’ufficio è casa
Chi si occupa di sicurezza informatica investe in rete privata virtuale, antivirus, gestore di password, secondo fattore. Sono misure giuste e non sono in discussione. Ma proteggono i dati mentre attraversano un sistema, non il supporto su cui stanno.
Il disco cifrato risolve un problema solo: se ti rubano il portatile, i dati sono difficili da leggere. Non risolve l'altro, che è il più probabile: quel portatile non ce l'hai più, e con lui il lavoro di settimane se il backup era nel cassetto accanto.
Le tre proprietà che la normativa chiede di tutelare, riservatezza, integrità, disponibilità, hanno misure diverse. La cifratura copre la prima. La terza dipende quasi interamente da dove tieni le copie.
Che cosa chiede la legge a chi lavora da casa
Il quadro non cambia perché la scrivania è in soggiorno. Cambia solo che nessuno ha progettato quell'ambiente pensando ai dati.
La responsabilizzazione, e cosa significa in pratica
Il GDPR si regge sul principio di responsabilizzazione: non basta adottare misure adeguate, bisogna essere in grado di dimostrare di averlo fatto. L'articolo 32 chiede misure tecniche e organizzative proporzionate al rischio, contro distruzione, perdita, alterazione e accesso non autorizzato.
Per chi lavora da casa questo si traduce in quattro obblighi molto concreti:
- Riservatezza: familiari, ospiti, personale domestico non devono poter accedere a fascicoli e dispositivi
- Integrità: i documenti non devono essere manomessi o consultati da chi non deve
- Disponibilità: dopo un guasto, un furto o un incendio devi poter ripartire
- Dimostrabilità: di ognuna delle tre devi poter mostrare come l'hai ottenuta
L'ultimo punto è quello che cambia il modo di scegliere: una misura di cui non resta traccia, in sede di verifica, equivale a una misura assente.
«Smart working» ha un nome italiano, e una legge
Vale la pena saperlo perché compare nei contratti e nelle policy aziendali: quello che tutti chiamano smart working nella normativa italiana si chiama lavoro agile, ed è disciplinato dagli articoli 18-23 della legge 81/2017.
La legge riguarda il rapporto di lavoro subordinato, non il libero professionista, ma fissa un principio che vale per entrambi: le tutele e gli obblighi non cambiano perché cambia il luogo.
Mappare quello che hai in casa
Prima di comprare qualsiasi cosa conviene sapere che cosa stai proteggendo. Sono tre categorie, e vanno tenute distinte perché hanno esigenze diverse.
I supporti digitali
Portatile o postazione fissa, telefono di lavoro, dischi esterni, chiavette, eventuale archivio di rete, e i dispositivi di firma digitale. Sono la categoria che si sposta di più ed è quella che si perde con più facilità.
Il cartaceo
Fascicoli dei clienti in lavorazione, procure e deleghe, copie di documenti d'identità, bilanci, contratti, corrispondenza riservata. E le stampe: sono l'elemento che sfugge di più, perché nascono e restano dove capita.
Quello che sta in mezzo
Codici di recupero, copie di certificati digitali, password di emergenza scritte su carta, supporti con archivi storici. Sono pochi fogli e pochi oggetti, ma sono quelli che aprono tutto il resto: vanno trattati come la categoria più sensibile, non come un residuo.
La postazione protetta: come si organizza
Non serve una stanza dedicata e non serve un impianto. Servono tre cose: un posto dove riporre, una regola per farlo, e la disciplina di rispettarla anche quando si ha fretta.
Dove metterla
Tre criteri, in ordine di importanza:
- Non in vista da chi entra in casa senza essere di famiglia, comprese le persone che ci lavorano
- Lontano da finestre e ingressi, che è dove si concentra il rischio di intrusione
- Lontano da rischi ambientali: tubazioni, lavatrice, cucina, locali che d'inverno vanno in condensa
Le tre regole che valgono più degli strumenti
Sono banali e sono quelle che nessuno segue:
- Scrivania sgombra a fine giornata: nessun documento in vista, nemmeno quelli su cui riprenderai domani
- Quando ti alzi, chiudi: portatile e fascicoli riposti anche per una pausa, perché l'accesso accidentale è il rischio più frequente e il meno considerato
- Un posto solo: se i documenti di lavoro stanno in tre punti diversi della casa, nessuna delle tre regole precedenti è verificabile
Il backup: la copia che non deve stare accanto al computer
È il punto in cui si perde più spesso quello che si è fatto bene altrove, perché il backup c'è ma è a venti centimetri dal computer che dovrebbe sostituire.
La regola 3-2-1 applicata a una casa
La regola è nota: tre copie dei dati, su due supporti diversi, di cui una separata. Quello che si perde per strada è il significato di «separata».
Due dischi nella stessa stanza non sono due copie: sono due copie dello stesso rischio. Lo stesso furto le prende entrambe, lo stesso incendio le distrugge entrambe, lo stesso allagamento le rovina entrambe. La separazione che conta non è logica, è fisica.
Per chi lavora da casa questo significa due cose insieme: una copia remota, e la copia locale in un contenitore che regga agli eventi domestici. Non è ridondanza inutile: il ripristino da remoto ha tempi che il ripristino locale non ha, e nelle prime ore dopo un guasto la copia fisica integra è ciò che tiene aperto lo studio.
La rotazione, in concreto
Il metodo che funziona è banale e si fa in cinque minuti alla settimana:
- Due dischi identici, marcati A e B
- Il venerdì si aggiorna quello in uso e si scambiano
- Quello non in uso resta chiuso nel contenitore
- In parallelo una copia remota cifrata, come seconda tecnologia
Il risultato è che in ogni momento esiste una copia che non ha condiviso né il luogo né il momento con l'originale.
Distruggere: il punto in cui quasi tutti sbagliano
Buttare nella raccolta della carta un documento con dati di un cliente è un trattamento, e non è un trattamento sicuro. È l'errore più comune e anche il più facile da correggere.
DIN 66399: la norma serve, ma serve il livello
La norma tecnica di riferimento è la DIN 66399, che definisce sette livelli di sicurezza per la carta, da P-1 a P-7, in base a quanto sono piccoli i frammenti prodotti.
Citare la norma senza il livello non dice niente. I livelli utili sono due:
| Livello | Frammento | Quando serve |
|---|---|---|
| P-4 | taglio incrociato fine | il minimo per i dati personali comuni: anagrafiche, contratti, contabilità, buste paga |
| P-5 | micro-frammento | categorie particolari e dati giudiziari: referti, dati sanitari, atti penali |
Un distruggidocumenti a strisce, tipicamente P-2, non è adatto a nessuna delle due: produce strisce che si ricompongono, e per un documento su cui c'è un nome e un codice fiscale non è una distruzione.
Che cosa fare quando non puoi distruggere subito
Serve un contenitore di attesa, chiuso, dedicato solo a quello. È il passaggio che manca in quasi tutte le postazioni domestiche: il documento da distruggere finisce in una pila sul tavolo e ci resta per settimane, che è esattamente lo stato in cui è meno protetto di quando era in uso.
Se i volumi sono consistenti conviene un servizio di distruzione documentale certificata, che rilascia un attestato: è anche la traccia che dimostra il trattamento corretto.
Quale contenitore, e con quale certificazione
Qui l'errore ricorrente è comprare in base alla capienza. Le due norme che contano misurano due cose diverse, e servono entrambe.
Contro l'effrazione: la UNI EN 14450 classifica i contenitori per uso domestico e piccolo ufficio nelle classi S1 e S2, ed è il riferimento adeguato per la maggior parte delle postazioni professionali in casa. La UNI EN 1143-1 classifica le casseforti professionali in gradi crescenti, da 0 a XIII, con prove molto più severe: ha senso quando i valori in gioco lo giustificano. Il confronto completo, con i criteri per scegliere, sta nella guida alla scelta fra cassaforte e armadio blindato.
Contro il fuoco: qui c'è la distinzione che riguarda direttamente il backup, e viene sbagliata quasi sempre. Un contenitore certificato per la carta può legittimamente arrivare all'interno a temperature che i supporti digitali non sopportano: se il piano di ripristino dipende da un disco, serve la classe per i dati. La differenza, con i numeri di norma, è nella guida alle classi degli armadi ignifughi.
Sui documenti cartacei vale anche l'altro lato della questione: quanto tenerli, che è il tema della guida su cosa conservare e per quanto tempo.
Da dove cominciare
Non serve fare tutto insieme. Serve cominciare dal punto che oggi è scoperto, e nella maggior parte dei casi è il backup, perché è quello che costa meno sistemare e vale di più quando serve.
La verifica della postazione, in un quarto d’ora
Hai l’elenco di quello che tratti
Dispositivi, supporti, fascicoli, dispositivi di firma. Senza elenco non esiste una valutazione del rischio, e senza valutazione non c'è niente da dimostrare.
Il disco di backup è lontano dal computer
Se stanno nello stesso mobile, hai una copia sola. È la correzione che costa meno e cambia di più.
I fascicoli si chiudono a chiave quando non lavori
Non «di solito»: sempre, e in un posto solo.
Il contenitore ha una certificazione dichiarata
S1 o S2 secondo EN 14450, oppure un grado EN 1143-1. Se sulla targhetta non c'è una norma, non è una misura di sicurezza.
Le stampe da buttare hanno un percorso
Un contenitore chiuso dedicato, e una distruzione almeno P-4. Non il cestino della carta.
C’è una pagina che descrive come è organizzato
Mezza pagina basta: dove stanno le cose, chi vi accede, con quale frequenza si fa il backup. È il documento che trasforma le abitudini in misure dimostrabili.
Casseforti
Casseforti e armadi blindati certificati per studi professionali e postazioni di lavoro domestiche.
Vedi la categoriaFaq – Domande frequenti
Se il disco è cifrato, serve comunque una custodia fisica?
Sì, perché risolvono due problemi diversi. La cifratura protegge la riservatezza: chi ruba il portatile fa fatica a leggere i dati. Non protegge la disponibilità: il portatile non ce l'hai più, e se il backup era nello stesso mobile non ce l'hai nemmeno quello.
Che livello di distruzione serve per i documenti dei clienti?
Il minimo raccomandato per i dati personali comuni è il livello P-4 della DIN 66399, cioè taglio incrociato fine. Per le categorie particolari, dati sanitari, giudiziari, si sale a P-5. Un apparecchio a strisce, di solito P-2, non è adeguato per nessuna delle due.
Basta una cassaforte qualunque per essere in regola?
Il GDPR non impone un prodotto, impone una misura adeguata e dimostrabile. In pratica la differenza la fa la targhetta: un contenitore con una classe dichiarata secondo EN 14450 o un grado EN 1143-1 è una misura documentabile, un mobile metallico senza certificazione in sede di verifica vale come un mobile.
Dove va tenuta la copia di backup se lavoro in un appartamento?
Separata dal computer, e «separata» significa che non condivide lo stesso rischio: non nello stesso mobile e possibilmente non nella stessa stanza. La soluzione praticabile in casa è la rotazione fra due dischi, con quello non in uso chiuso in un contenitore, più una copia remota cifrata.
Il lavoro agile cambia gli obblighi sul trattamento dei dati?
No. La legge 81/2017 disciplina il lavoro agile per il rapporto subordinato, ma il principio è che le tutele non cambiano perché cambia il luogo. Per un libero professionista gli obblighi dell'articolo 32 sono gli stessi che avrebbe in studio, con l'aggravante pratica che l'ambiente domestico non è stato progettato per quello.
