Una figura tecnica che il Garante Privacy ha inquadrato con precisione, attribuendole obblighi specifici. Vediamo chi rientra in questa definizione, quali compiti la caratterizzano e quando un'azienda deve procedere alla designazione.
L'Amministratore di Sistema (spesso abbreviato in AdS) è una figura professionale dedicata alla gestione e alla manutenzione di sistemi mediante i quali vengono trattati dati personali. Non è una qualifica contrattuale né un titolo formale: è un ruolo che si definisce in base a ciò che una persona può concretamente fare sui sistemi.
Il Garante, nel Provvedimento del 27 novembre 2008, non si limita ai classici sistemisti. Include espressamente anche figure equivalenti: amministratori di database, di reti, di apparati di sicurezza e di sistemi software complessi, quando le loro funzioni rendono tecnicamente possibile l'accesso — anche solo fortuito — a dati personali.
Il criterio decisivo è il privilegio tecnico, non il nome del ruolo. Una persona il cui contratto dice "impiegato amministrativo" ma che possiede le credenziali di dominio è un Amministratore di Sistema. Un consulente esterno con accesso root ai server lo è. Chi si limita a usare gli applicativi con un profilo utente normale, no.
Sono attività che richiedono privilegi elevati e che, per loro natura, permettono di accedere o intervenire sui dati contenuti nei sistemi.
Installazione, configurazione e manutenzione di server Windows e Linux, aggiornamenti, gestione dei servizi e delle risorse di sistema.
Creazione e cancellazione di account, assegnazione di permessi, gestione delle credenziali, amministrazione di Active Directory o dei sistemi di autenticazione.
Gestione dei DBMS, backup e ripristino delle basi dati, ottimizzazione, accesso amministrativo alle tabelle che contengono dati personali.
Configurazione di firewall, VPN, apparati di rete, regole di accesso e segmentazione, gestione degli accessi remoti.
Gestione dei sistemi di backup, verifica dei ripristini, custodia delle copie: chi amministra i backup ha accesso a una copia integrale dei dati.
Amministrazione di hypervisor (VMware, Hyper-V, Proxmox), gestione di macchine virtuali, console di piattaforme cloud e tenant aziendali.
La domanda giusta non è "abbiamo dei computer?", ma "c'è qualcuno che amministra stabilmente i nostri sistemi con privilegi elevati?". Il Garante esclude infatti le realtà con sistemi di modesta e limitata entità che possono fare a meno di una figura dedicata. Vediamo alcuni casi tipici.
Tre professionisti e una segretaria, quattro PC, nessun server. I dati stanno su un gestionale in cloud fornito da terzi. Nessuno svolge attività sistemistica: quando serve, si chiama un tecnico per un intervento occasionale.
Probabilmente no. Siamo nel caso della "modesta e limitata entità": non esiste una figura stabilmente dedicata all'amministrazione. Attenzione però al fornitore del gestionale cloud, il cui personale potrebbe avere privilegi sui dati.
Un server con Active Directory, un gestionale con l'anagrafica clienti, un NAS per i documenti condivisi. L'assistenza è affidata a una società informatica esterna che ha accesso remoto per manutenzione e backup.
Sì. I tecnici della società esterna operano come Amministratori di Sistema: vanno individuati per nome, con i loro ambiti di operatività. Approfondimento: AdS in outsourcing.
Nessun server fisico, tutto su cloud pubblico. Un collaboratore interno gestisce la console cloud, i database dei clienti e le utenze. Gli ordini contengono nomi, indirizzi e dati di pagamento.
Sì. L'assenza di hardware in sede non elimina il ruolo: chi amministra la console cloud e i database ha pieni privilegi sui dati personali dei clienti.
Un piccolo server con le cartelle cliniche, alcune postazioni, un software gestionale sanitario. Un tecnico esterno si occupa di backup, aggiornamenti e assistenza con accesso amministrativo.
Sì, e con particolare attenzione. Qui si trattano dati sanitari, categoria particolare ex art. 9 GDPR: la delicatezza dei dati rende il controllo degli accessi privilegiati ancora più rilevante.
Sei postazioni, un NAS condiviso per i documenti, nessun server. Il figlio del titolare, appassionato di informatica, configura il NAS e gestisce gli account quando serve.
Da valutare. È il caso di confine: se l'attività è davvero occasionale e i sistemi minimali, può rientrare nell'esclusione. Se invece quella persona amministra stabilmente accessi e permessi sui dati, il ruolo esiste di fatto.
Due sistemisti dipendenti, server virtualizzati, database aziendali, firewall gestito internamente, backup su più sedi.
Sì, senza dubbio. Caso da manuale: designazione individuale per ciascun sistemista, con ambiti definiti, elenco aggiornato e registrazione degli accessi. Vedi chi è obbligato.
Un errore frequente: pensare che affidare l'IT all'esterno faccia venire meno l'obbligo. È il contrario — occorre sapere quali persone fisiche del fornitore possono amministrare i sistemi, non basta il nome della società.
La ragione per cui il Garante si è occupato di questa figura è semplice: l'AdS può accedere tecnicamente a dati personali che esulano dalle sue mansioni. Non perché debba farlo, ma perché i privilegi necessari al suo lavoro glielo consentono. È una posizione di potere tecnico che richiede contrappesi.
Il Provvedimento del 27 novembre 2008, modificato nel 2009, introduce alcune misure precise: designazione individuale di ciascun amministratore con indicazione analitica degli ambiti di operatività; valutazione di esperienza, capacità e affidabilità; elenco aggiornato degli AdS con i loro estremi identificativi; registrazione degli accessi logici conservata per almeno sei mesi; verifica almeno annuale dell'operato. Il quadro completo è in Log degli Amministratori di Sistema: cosa impone il Garante.
Il GDPR non nomina espressamente l'Amministratore di Sistema, ma ne conferma la rilevanza attraverso due principi. L'art. 32 (sicurezza del trattamento) richiede misure tecniche e organizzative adeguate: il controllo degli accessi privilegiati è tra le più rilevanti. L'art. 29 stabilisce che chi agisce sotto l'autorità del titolare tratti i dati solo su istruzione: da qui l'esigenza di designazioni chiare e ambiti definiti. Approfondimento: Log management e GDPR.
Un punto delicato: il controllo sull'AdS non deve trasformarsi in sorveglianza generalizzata. Il Provvedimento chiede di registrare gli accessi, non l'attività svolta durante la sessione — non i comandi impartiti, non le transazioni. Questa limitazione non è un dettaglio tecnico: è la garanzia che tutela il lavoratore-amministratore dal controllo a distanza vietato dall'art. 4 dello Statuto dei Lavoratori.
Se l'amministrazione è affidata a un fornitore, questi è generalmente responsabile del trattamento ex art. 28 GDPR e il rapporto va regolato da un contratto. Ma resta necessario individuare le persone fisiche che operano come AdS: la società è il fornitore, gli amministratori sono i suoi tecnici.
Abbiamo predisposto un fac-simile di atto di designazione costruito sulle indicazioni del Provvedimento: designazione individuale, elencazione analitica degli ambiti di operatività, richiamo agli obblighi di riservatezza e alle misure di sicurezza applicabili.
È un modello esemplificativo, da adattare alla propria organizzazione, ai sistemi effettivamente amministrati e agli assetti contrattuali: non sostituisce una valutazione legale o del proprio DPO.
Documento Word editabile, 3 pagine — pronto da adattare alla tua organizzazione.
Abbiamo dedicato una guida a ciascun aspetto pratico del tema.
Il quadro completo del Provvedimento del 27 novembre 2008: misure, obblighi e requisiti di registrazione degli accessi.
Quali organizzazioni rientrano nell'ambito di applicazione e quali possono considerarsi escluse.
La guida operativa completa: dalla individuazione degli AdS alla verifica annuale, punto per punto.
Cosa cambia quando l'IT è affidato a un fornitore esterno: individuazione dei tecnici, contratti, subfornitori.
Come si svolge e si documenta il controllo periodico sull'operato degli amministratori, con modello di verbale.
I requisiti del Garante in forma di lista verificabile, per capire a che punto è la propria organizzazione.
Cosa richiede davvero il Garante in tema di integrità delle registrazioni, senza interpretazioni eccessive.
Buone pratiche per gestire in sicurezza le utenze amministrative all'interno dell'organizzazione.
PrivacyLog raccoglie e conserva gli access log in modo conforme al Provvedimento, con export certificato per la verifica annuale.
Scopri PrivacyLog Parla con un esperto