Log management e GDPR: obblighi e conformità

Il log management è il processo con cui un'organizzazione raccoglie, protegge, conserva e analizza gli eventi prodotti dai propri sistemi informatici: chi ha effettuato un accesso, quando, verso quale sistema, con quale esito, quali account o privilegi sono stati modificati e cosa ha preceduto un incidente.

Il GDPR non impone a ogni organizzazione di dotarsi di un prodotto di log management o di un SIEM. Adotta un approccio basato sul rischio: chiede al titolare e al responsabile di adottare misure tecniche e organizzative adeguate e di essere in grado di dimostrare la conformità dei trattamenti. In questo quadro, una gestione corretta dei log può diventare una misura importante per la sicurezza, per la responsabilizzazione del titolare e per la gestione delle violazioni. Vediamo come — e con quali limiti.

Questo articolo si concentra sul rapporto tra log e GDPR. Per la definizione dettagliata di cosa comprende un progetto di log management e per il perimetro completo delle sorgenti da considerare, rimandiamo all'approfondimento Log management e NIS2.

Il log management è obbligatorio secondo il GDPR?

Il GDPR non contiene una disposizione generale che imponga di registrare qualsiasi attività compiuta sui sistemi. Sulla base della valutazione del rischio — natura dei dati, finalità, numero di interessati, criticità dei sistemi, probabilità e gravità di un incidente, stato dell'arte e costi — il titolare deve adottare misure adeguate. Due articoli sono centrali:

• l'articolo 24 richiede al titolare di garantire e poter dimostrare la conformità del trattamento;
• l'articolo 32 richiede un livello di sicurezza adeguato al rischio, includendo la capacità di assicurare riservatezza, integrità, disponibilità e resilienza dei sistemi.

Il log management diventa quindi una misura necessaria quando, senza registrazioni attendibili, non sarebbe possibile controllare gli accessi ai dati, rilevare utilizzi non autorizzati, ricostruire un incidente, verificare l'efficacia delle misure o documentare le attività degli utenti privilegiati. La necessità e l'estensione del logging vanno determinate sul contesto concreto, non applicando una raccolta indiscriminata.

In che modo i log supportano il GDPR

Accountability (art. 24)

I log possono costituire evidenze utili per dimostrare l'applicazione delle politiche di accesso, l'utilizzo di account autorizzati, la revoca delle credenziali, la supervisione degli accessi privilegiati e la gestione degli incidenti. Attenzione però: la sola presenza dei log non dimostra la conformità. Le registrazioni devono essere pertinenti, attendibili e inserite in un processo documentato di controllo.

Sicurezza del trattamento (art. 32)

Il log management aiuta a proteggere la riservatezza (individuando accessi non autorizzati), l'integrità (rilevando modifiche anomale a dati e configurazioni), la disponibilità (registrando malfunzionamenti) e la resilienza (fornendo informazioni per contenere gli incidenti). Supporta inoltre la verifica periodica dell'efficacia delle misure, anch'essa prevista dall'articolo 32.

Gestione dei data breach (art. 33)

In caso di violazione, il titolare deve valutarne natura, sistemi coinvolti, categorie e numero di interessati e possibili conseguenze e, quando c'è rischio per i diritti e le libertà delle persone, notificarla all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore. Log completi e temporalmente coerenti aiutano a stabilire quando è iniziato l'incidente, quale account è stato usato, da quale dispositivo, quali sistemi sono stati raggiunti, per quanto tempo e quali dati possono essere stati coinvolti. Senza registrazioni adeguate, questa valutazione è più lenta e meno attendibile.

I log sono dati personali?

Sì, quando permettono di identificare, direttamente o indirettamente, una persona fisica. Elementi frequentemente presenti nei log — nome utente, indirizzo IP, identificativo del dispositivo, indirizzo e-mail, data e ora, attività attribuite a un account, identificativi di sessione — rendono le registrazioni un trattamento di dati personali quando sono riconducibili a dipendenti, collaboratori, clienti, utenti o tecnici esterni. Di conseguenza, anche il sistema di log management deve rispettare i principi del GDPR. È il punto centrale: i log non sono "solo dati tecnici" sottratti alle regole.

I principi GDPR applicati alla gestione dei log

Finalità determinate

L'organizzazione deve stabilire perché raccoglie i log — sicurezza dei sistemi, rilevamento degli incidenti, controllo degli accessi, continuità operativa, verifica dell'operato degli amministratori, obblighi normativi. Non è sufficiente raccogliere qualsiasi informazione "perché potrebbe servire".

Minimizzazione

Vanno registrati solo gli eventi e i dati necessari rispetto alle finalità. Minimizzazione non significa raccogliere il minor numero possibile di log in assoluto, ma evitare dati irrilevanti, eccessivi o non giustificati. Registrare login, tentativi falliti e logout può essere necessario per controllare gli accessi; registrare in modo continuo ogni file consultato o ogni attività dell'utente richiede invece una valutazione ben più attenta, perché sconfina nel monitoraggio.

Limitazione della conservazione

I log non vanno conservati indefinitamente. La durata si determina in base a finalità, rischi, tempi di rilevamento degli incidenti, obblighi di legge, esigenze di audit e impatto sui diritti degli interessati. Il Garante ha ribadito che, quando i log sono conservati per finalità di sicurezza informatica, il periodo deve essere congruo rispetto all'obiettivo di rilevare e mitigare gli incidenti, e una durata estesa va motivata.

Un punto importante, che genera spesso confusione: non esiste una durata unica. Sei, dodici o ventiquattro mesi non si applicano automaticamente a qualsiasi registrazione solo perché "tecnica". Il periodo va documentato e collegato alla finalità. Fa eccezione l'obbligo specifico per gli Amministratori di Sistema — conservazione non inferiore a sei mesi — che però non deve essere esteso automaticamente a tutti gli altri log. Su questo obbligo specifico rimandiamo a Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

Integrità e riservatezza

I log contengono informazioni sensibili su architettura, account e attività, e vanno protetti da consultazioni non autorizzate, modifiche, cancellazioni ed esportazioni incontrollate. Le misure tipiche: cifratura in transito e a riposo, controllo degli accessi basato sui ruoli, autenticazione a più fattori, separazione tra chi amministra i sistemi e chi gestisce i log, registrazione degli accessi alla piattaforma, backup, repository append-only, hash, firme e marche temporali.

Trasparenza

Quando i log contengono dati personali, il trattamento va riportato nelle informative applicabili, indicando in modo proporzionato categorie di dati, finalità, base giuridica, periodo di conservazione, soggetti autorizzati, eventuali destinatari e diritti degli interessati.

Log management e controllo dei lavoratori

È l'area più delicata. Quando i log sono associati a dipendenti e collaboratori, la raccolta può consentire di ricostruire comportamenti, orari e attività lavorative. Occorre distinguere nettamente tra registrazioni tecniche necessarie alla sicurezza e controllo degli accessi privilegiati, da un lato, e monitoraggio sistematico dell'attività individuale, raccolta delle operazioni su file e applicazioni o registrazione di navigazione e posta, dall'altro.

Il Garante ha più volte evidenziato che i log relativi a navigazione, posta elettronica e attività dei lavoratori devono rispettare finalità, minimizzazione e limitazione della conservazione: la generica esigenza di sicurezza non giustifica una raccolta ampia o una conservazione prolungata. Va inoltre valutata la normativa lavoristica applicabile e, quando necessario, le garanzie previste per gli strumenti dai quali possa derivare un controllo a distanza (art. 4 dello Statuto dei Lavoratori). È proprio la ragione per cui PrivacyLog, nella configurazione standard, registra i soli accessi degli Amministratori di Sistema e non l'attività dei dipendenti.

Come predisporre una policy di log management conforme al GDPR

Una policy efficace dovrebbe definire almeno: le finalità della raccolta; il perimetro di sistemi e servizi coinvolti; gli eventi registrati per ciascuna sorgente; i ruoli di chi configura, consulta, esporta e cancella; le misure di protezione; la conservazione per ciascuna categoria; le regole di analisi e di gestione delle anomalie; l'integrazione con la procedura di data breach; e le verifiche periodiche che le sorgenti continuino a inviare eventi e che le misure siano efficaci.

Come PrivacyLog contribuisce alla conformità

PrivacyLog gestisce uno specifico ambito: la raccolta e la conservazione degli accessi degli Amministratori di Sistema. Nella configurazione standard raccoglie gli eventi di autenticazione (login, tentativi, logout, account, sistema, data e ora, esito, sorgente) e contribuisce al controllo degli accessi privilegiati, alla centralizzazione e protezione delle registrazioni, all'applicazione di periodi di conservazione definiti e alla disponibilità di evidenze in caso di audit o incidente — misure coerenti con l'articolo 32 del GDPR.

Come per ogni strumento, però, il software non rende automaticamente conforme un'organizzazione: la conformità richiede anche valutazione dei rischi, definizione dei ruoli, gestione delle credenziali, informative, procedure di data breach, contratti con i responsabili, formazione e verifiche periodiche.

Approfondimenti collegati: per capire chi è tenuto a registrare i log AdS leggi Chi è obbligato a registrare i log degli Amministratori di Sistema; per la verifica periodica dell'operato degli amministratori vedi Verifica annuale degli Amministratori di Sistema; per il rapporto con la sicurezza delle reti consulta Log management e NIS2.

Domande frequenti

Il GDPR obbliga tutte le aziende a usare un sistema di log management?

No. Richiede misure adeguate ai rischi. La necessità di un sistema centralizzato dipende dai trattamenti, dalla complessità dell'infrastruttura e dalla capacità di dimostrare l'efficacia delle misure.

Un SIEM è obbligatorio per la conformità GDPR?

No. Il GDPR non prescrive l'acquisto di un SIEM. La soluzione deve essere adeguata e proporzionata ai rischi.

I log possono contenere dati personali?

Sì. Username, indirizzi IP, identificativi dei dispositivi e informazioni sulle attività possono identificare direttamente o indirettamente una persona.

Quanto tempo bisogna conservare i log?

Non esiste una durata generale valida per ogni tipo di log. La retention va definita in base a finalità, rischio ed eventuali obblighi specifici (come i sei mesi previsti per gli accessi degli Amministratori di Sistema).

È necessario registrare ogni attività degli utenti?

No. La raccolta deve essere pertinente e proporzionata. Un monitoraggio indiscriminato può violare i principi di minimizzazione, limitazione delle finalità e limitazione della conservazione.

La presenza dei log dimostra automaticamente la conformità?

No. I log devono essere completi, attendibili, protetti, analizzati e inseriti in un processo documentato.

Riferimenti normativi

• Regolamento UE 2016/679 (GDPR), articoli 5, 24, 25, 32 e 33.
• Provvedimento del Garante del 27 novembre 2008 sugli Amministratori di Sistema.
• Provvedimenti del Garante sulla conservazione dei log per finalità di sicurezza informatica e nel contesto lavorativo.

Il presente contenuto ha finalità informativa e non sostituisce una valutazione legale, privacy o giuslavoristica riferita alla specifica organizzazione.