Log Amministratori di Sistema: cosa impone il Garante

La registrazione dei log di accesso degli Amministratori di Sistema non è una buona pratica facoltativa: è un obbligo di legge che riguarda la quasi totalità delle organizzazioni italiane, dalle grandi aziende ai piccoli studi professionali. L'obbligo nasce da un provvedimento del Garante per la protezione dei dati personali che, pur risalendo al 2008, resta pienamente in vigore e si integra oggi con il GDPR. In questa guida vediamo chi è coinvolto, che cosa impone esattamente la norma e come ci si mette in regola.

Il provvedimento del Garante: cosa dice

Il riferimento normativo è il Provvedimento del Garante Privacy del 27 novembre 2008, intitolato "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema". Il provvedimento è stato successivamente modificato con un ulteriore provvedimento del 25 giugno 2009, che ne ha ritoccato alcune prescrizioni e prorogato i termini di adempimento al 15 dicembre 2009.

La ragione di fondo è semplice: chi amministra i sistemi informatici ha un accesso privilegiato ai dati personali in essi contenuti. Senza una tracciabilità di questi accessi, un eventuale abuso, errore o accesso non autorizzato risulterebbe impossibile da ricostruire. Il provvedimento interviene proprio su questo punto, imponendo che l'operato degli amministratori sia verificabile a posteriori.

Chi è l'Amministratore di Sistema

Un equivoco frequente è pensare che la figura riguardi solo il "responsabile IT". In realtà la definizione del Garante è ampia e funzionale: è Amministratore di Sistema chiunque abbia accesso privilegiato a sistemi che trattano dati personali. Rientrano quindi in questa categoria:

• sistemisti e amministratori di rete;
• amministratori di database (DBA);
• addetti alla manutenzione hardware e software;
• responsabili dei backup e del ripristino;
• fornitori esterni e società di assistenza che accedono ai sistemi aziendali.

Quest'ultimo punto è particolarmente rilevante: anche un consulente esterno o un fornitore di servizi gestiti, se dispone di credenziali con privilegi elevati, va considerato Amministratore di Sistema e i suoi accessi vanno tracciati.

Gli obblighi concreti

Il provvedimento traduce il principio della verificabilità in una serie di adempimenti pratici che il titolare del trattamento deve mettere in atto.

1. Designazione formale

Gli Amministratori di Sistema devono essere individuati e designati con un atto formale, che ne indichi puntualmente l'ambito di operatività. L'azienda deve mantenere un elenco aggiornato di queste figure, disponibile in caso di controllo.

2. Registrazione degli accessi (access log)

È il cuore dell'obbligo. Devono essere registrati gli accessi logici ai sistemi e agli archivi elettronici da parte degli amministratori: login, logout ed eventi correlati. Le registrazioni devono avere caratteristiche di completezza, inalterabilità e verificabilità dell'integrità, in modo che non possano essere modificate una volta prodotte.

3. Conservazione per almeno sei mesi

I log degli accessi devono essere conservati per un periodo non inferiore a sei mesi. La conservazione deve avvenire in forma tale da garantire che i dati non vengano alterati nel tempo.

4. Verifica annuale dell'operato

Almeno una volta all'anno, il titolare deve verificare l'operato degli Amministratori di Sistema, per accertare che l'attività svolta sia coerente con le mansioni assegnate. Questa verifica è spesso l'adempimento più trascurato, ma è esplicitamente richiesto dalla norma.

Il rapporto con il GDPR

Il GDPR (Regolamento UE 2016/679) non contiene una disciplina specifica sugli Amministratori di Sistema: la figura resta definita dal provvedimento italiano del 2008. Tuttavia i due impianti si integrano. Gli obblighi di sicurezza del trattamento e di responsabilizzazione previsti dal GDPR rafforzano l'esigenza di tracciare gli accessi privilegiati, e le sanzioni del Regolamento europeo — che possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo — costituiscono oggi il principale deterrente rispetto alla mancata adozione delle misure.

Come mettersi in regola

Adempiere agli obblighi non richiede infrastrutture complesse. In pratica servono tre elementi: un sistema che raccolga automaticamente i log di accesso degli amministratori da tutti i dispositivi coinvolti; una conservazione sicura e inalterabile per almeno sei mesi; e la possibilità di produrre report per la verifica annuale e per eventuali ispezioni.

È esattamente il tipo di adempimento che PrivacyLog automatizza: raccolta centralizzata degli accessi da server e workstation Windows e Linux, conservazione conforme con retention configurabile e protezione dell'integrità tramite marca temporale, ed esportazione di report pronti per l'audit. In questo modo l'obbligo normativo si traduce in un servizio attivo, senza interventi manuali e senza hardware dedicato.

Il documento ufficiale del Garante è allegato in fondo a questa guida. Consigliamo di conservarne una copia insieme alla designazione degli Amministratori di Sistema della vostra organizzazione.

Questa guida ha finalità informative e divulgative e non costituisce consulenza legale. Per la valutazione della propria situazione specifica è opportuno rivolgersi a un professionista o al proprio Data Protection Officer.