Amministratore di sistema: chi è, obblighi e log secondo il Garante Privacy

Chi è l’amministratore di sistema?

L’amministratore di sistema (spesso abbreviato in AdS) è, nelle parole del Garante per la protezione dei dati personali, una delle «figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti».

Ai fini del Provvedimento sono considerate amministratori di sistema anche altre figure equiparabili per i rischi che comportano sulla protezione dei dati:

• gli amministratori di basi di dati;
• gli amministratori di reti e di apparati di sicurezza;
• gli amministratori di sistemi software complessi, come i sistemi ERP.

Il motivo è pratico: chi amministra un sistema, anche senza occuparsi del significato dei dati, ha la possibilità tecnica di accedervi. Per questo il Garante chiede che queste persone siano scelte con cura, identificate per nome e che i loro accessi lascino una traccia.

Che cosa prevede il Provvedimento del Garante del 27 novembre 2008?

Il Provvedimento «Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema» è stato adottato il 27 novembre 2008, pubblicato nella Gazzetta Ufficiale n. 300 del 24 dicembre 2008 e modificato con provvedimento del 25 giugno 2009.

Prescrive cinque misure:

Punto	Misura	Che cosa richiede
4.1	Valutazione delle caratteristiche soggettive	L’incarico va attribuito dopo aver valutato esperienza, capacità e affidabilità della persona.
4.2	Designazioni individuali	La designazione è individuale e riporta l’elenco analitico degli ambiti di operatività consentiti.
4.3	Elenco degli amministratori di sistema	Nomi e funzioni attribuite vanno riportati in un documento interno aggiornato, disponibile in caso di accertamenti.
4.4	Verifica delle attività	L’operato degli amministratori va verificato con cadenza almeno annuale.
4.5	Registrazione degli accessi	Gli accessi logici ai sistemi e agli archivi elettronici vanno registrati e i log conservati per almeno sei mesi.

Il dettaglio di nomina, elenco e verifica è nella pagina Nomina dell’amministratore di sistema; quello sui log in Log degli amministratori di sistema.

A chi si applica e chi è escluso?

Il Provvedimento si rivolge a tutti i titolari dei trattamenti di dati personali effettuati con strumenti elettronici, pubblici e privati.

Sono esclusi i trattamenti effettuati a fini amministrativo-contabili, che secondo il Garante pongono minori rischi per gli interessati e sono stati oggetto di misure di semplificazione.

Quando l’attività degli amministratori riguarda, anche indirettamente, sistemi che trattano dati personali dei lavoratori, il datore di lavoro deve inoltre rendere nota o conoscibile la loro identità all’interno dell’organizzazione.

Quali log degli amministratori di sistema vanno registrati?

Vanno registrati gli accessi logici, cioè gli eventi di autenticazione informatica: accesso (log-in), tentativo di accesso e disconnessione (log-out) degli amministratori ai sistemi di elaborazione e agli archivi elettronici.

Le registrazioni devono avere tre caratteristiche:

1. completezza: comprendere tutti gli accessi interattivi degli amministratori su tutti i sistemi con cui vengono trattati, anche indirettamente, dati personali;
2. inalterabilità: non poter essere modificate dopo la loro generazione;
3. possibilità di verifica dell’integrità: poter dimostrare che non sono state alterate.

Devono inoltre riportare i riferimenti temporali e la descrizione dell’evento, ed essere conservate per un periodo non inferiore a sei mesi.

Il Provvedimento vale ancora dopo il GDPR?

Sì. L’articolo 22, comma 4, del decreto legislativo 10 agosto 2018, n. 101, stabilisce che i provvedimenti del Garante continuano ad applicarsi in quanto compatibili con il Regolamento (UE) 2016/679 (GDPR).

Le misure sugli amministratori di sistema sono coerenti con l’impianto del GDPR: l’articolo 32 chiede misure tecniche e organizzative adeguate a garantire la sicurezza del trattamento, e il principio di responsabilizzazione (articolo 5, paragrafo 2) chiede al titolare di poter dimostrare ciò che ha fatto. Designazioni scritte, elenco aggiornato, verifica annuale e log degli accessi sono esattamente questo tipo di evidenza.

Come si collega a NIS2 e ISO/IEC 27001?

Il Provvedimento del Garante riguarda la protezione dei dati personali. La direttiva NIS2, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, e lo standard ISO/IEC 27001 guardano invece alla sicurezza dei sistemi e delle informazioni nel loro complesso.

I tre riferimenti hanno però un punto in comune: senza log affidabili non è possibile controllare gli accessi privilegiati, ricostruire un incidente o dimostrare che le misure funzionano. La pagina Log management per NIS2 e ISO/IEC 27001 mette a confronto i requisiti.

Come adeguarsi in pratica?

1. Censire chi svolge funzioni di amministrazione su sistemi, reti, basi di dati e software complessi, compresi i fornitori esterni.
2. Valutare e designare ogni persona con un atto individuale che elenchi gli ambiti di operatività.
3. Tenere l’elenco degli amministratori aggiornato e pronto per un eventuale accertamento.
4. Registrare gli accessi in modo completo e inalterabile, conservandoli per almeno sei mesi.
5. Verificare l’operato almeno una volta l’anno e conservare l’esito della verifica.

BusinessLOG Server e BusinessLOG RT Cloud sono le soluzioni di Enterprise Srl per raccogliere e conservare in modo centralizzato i log di accesso degli amministratori di sistema. Per capire quale si adatta alla tua infrastruttura puoi consultare il confronto con le altre piattaforme o richiedere una presentazione dedicata.

Fonti

• Garante per la protezione dei dati personali, Provvedimento del 27 novembre 2008 sugli amministratori di sistema, con le modifiche del 25 giugno 2009 e le relative FAQ.
• Regolamento (UE) 2016/679 (GDPR), articoli 5 e 32.
• Decreto legislativo 10 agosto 2018, n. 101, articolo 22, comma 4.

Questa pagina ha scopo informativo e non sostituisce una consulenza legale.