La magistratura ginevrina: il sistema giudiziario alla prova della protezione dei dati digitali

Foto: Emeric Caron

Bruno Juillet: La Direzione della giustizia ginevrina ha riconosciuto molto presto le difficoltà poste dalla protezione dei dati e dalla sicurezza delle informazioni nel quadro della gestione digitale degli atti, e ne ha tenuto conto nel suo piano strategico 2021–2025. L’obiettivo del piano è di realizzare con successo la transizione verso la digitalizzazione delle autorità giudiziarie.

Per raggiungere tale obiettivo, il programma di digitalizzazione della giustizia ginevrina è stato strutturato in modo tale da integrare gli aspetti di protezione dei dati e di sicurezza delle informazioni in tutte le sue fasi. Infatti, l’analisi del livello necessario di protezione fa parte integrante della fase di progettazione di ogni sottoprogetto. Per ogni tappa, inoltre, viene elaborato un concetto di sicurezza delle informazioni comprendente un’analisi dei rischi dettagliata da tenere in considerazione nella fase di concezione. Con questo approccio sistematico si vuole assicurare, a fine progetto, solo un minimo di rischi accettabili per i responsabili delle istituzioni. A sostegno di questi sforzi, nel quadro del progetto cantonale «Dossier giudiziario elettronico» sono stati reclutati esperti in materia di sicurezza delle informazioni.

Allo stesso tempo, diversi progetti preparatori ritenuti necessari in vista dell’introduzione del dossier giudiziario elettronico sono stati inseriti con priorità nel portafoglio di progetti delle autorità giudiziarie. Alcuni di questi progetti preparatori riguardano esplicitamente la sicurezza delle informazioni, p. es.:

• la revisione delle autorizzazioni di accesso alle applicazioni specialistiche legate ai procedimenti e delle regole di controllo di tali accessi,
• l’aumento della sicurezza delle applicazioni utilizzate per lavorare con gli atti elettronici in telelavoro, e
• la revisione dei processi legati alla distruzione sicura dei file digitali.

Bruno Juillet: Una delle principali difficoltà è il controllo delle autorizzazioni di accesso ai singoli elementi degli atti elettronici. Il loro accesso, infatti, non è più sotto il controllo «fisico» della camera o del reparto incaricati dell’atto. Si tratta quindi di limitare l’accesso unicamente alle persone abilitate, secondo il principio del minimo privilegio. Allo stesso tempo, però, bisogna tener conto delle costrizioni dei procedimenti giudiziari, che richiedono una grande flessibilità nell’organizzazione dei lavori quotidiani. In ogni caso bisogna garantire la tracciabilità di tutti gli accessi, per permettere controlli anche in un secondo tempo.

Di regola i file elettronici devono essere conservati per dieci anni (alcuni addirittura a tempo illimitato), ciò che rappresenta una grande sfida a livello tecnico e comprende tutti i documenti conservati e il loro contenuto integrale.

Bruno Juillet: Nel 2014 la Direzione della giustizia si è assunta la responsabilità del suo sistema d’informazione e anche della governance e del suo finanziamento. È organizzata con una propria Direzione dei sistemi d’informazione, che sviluppa applicazioni IT o gestisce le eventuali soluzioni di mercato acquistate, in particolare quelle d’importanza diretta per l'attività giudiziaria. 

Inoltre conferisce all’Ufficio cantonale dei sistemi d’informazione e della digitalizzazione (OCSIN), come subappaltatore, l’incarico di fornire servizi di base, se possibile (p. es. server, reti, telefonia, postazioni di lavoro e programmi di elaborazione dati). Per poter assicurare una gestione ottimale del denaro pubblico, le condizioni sono stabilite in un contratto quadro, che fissa in modo particolare i requisiti di sicurezza della Direzione della giustizia e le responsabilità delle singole istituzioni.

L’OCSIN è responsabile in particolare della sicurezza dell’equipaggiamento informatico che mette a disposizione, accessi inclusi. La Direzione della giustizia, invece, definisce le regole, i principi e le responsabilità per quanto riguarda la gestione degli accessi. Ha anche la responsabilità di sensibilizzare gli utenti affinché rispettino le vigenti misure di sicurezza e rimangano vigili onde evitare qualsiasi rischio di compromissione dei dati.

La Direzione della giustizia ginevrina continua a mantenere la responsabilità della sicurezza dei dati giudiziari e degli altri dati dei sistemi d’informazione in suo possesso. In base alle vulnerabilità tecniche identificate e comunicate dall’OCSIN, si assicura inoltre che i rischi associati al subappalto siano ridotti a un livello a suo avviso accettabile. Da diversi anni si avvale di propri responsabili della sicurezza dei sistemi d’informazione.

La Direzione della giustizia ginevrina dispone inoltre di un responsabile centrale per la trasparenza e la protezione dei dati, che lavora in stretta collaborazione con le direzioni delle autorità giudiziarie per armonizzare la pratica di accesso ai documenti e ai dati.

Bruno Juillet: Le autorità giudiziarie hanno una propria politica di sicurezza delle informazioni e un rispettivo pacchetto di direttive di implementazione. Hanno inoltre adottato un regolamento proprio sull'accesso ai documenti e ai dati personali (RADPJ - RS/GE E 2 05.52), che fornisce un quadro vincolante per l'elaborazione dei dati da parte delle autorità giudiziarie e l'accesso ai documenti. Questo regolamento completa il diritto processuale e il diritto cantonale in materia di protezione dei dati e di archiviazione. Da segnalare in particolare sono le regole specifiche in termini di subappalto, che stabiliscono che devono essere eseguiti solo in Svizzera.

Allo scopo di poter monitorare rigorosamente l’accesso ai suoi dati, la direzione dell’istituzione ha optato per la conservazione esclusiva e permanente dei documenti giudiziari nei centri di dati dello Stato di Ginevra. L'esame degli atti attraverso la piattaforma justitia.swiss sarà realizzato in modo tale da permettere questa decentralizzazione dei dati.

Bruno Juillet: Un piano di sensibilizzazione degli utenti è attivo da diversi anni a cura della direzione delle autorità giudiziarie. Il piano definisce una strategia di sensibilizzazione per ogni gruppo target, che varia a seconda del grado di confidenzialità dei documenti a cui le persone hanno accesso. La strategia comprende anche riunioni in presenza sul tema della sensibilizzazione, in particolare per nuovi collaboratori e magistrati. Grazie ad una comunicazione finalizzata, alle esercitazioni svolte e all’introduzione di un programma di eLearning, tutti i gruppi target definiti sono sensibilizzati alla sicurezza delle informazioni e alle specificità dell’ambito giudiziario. È stata fra l’altro appositamente prevista una revisione del piano di sensibilizzazione per accompagnare la trasformazione digitale.

Bruno Juillet: Lo sviluppo della piattaforma justitia.swiss in quanto pilota è stato trattato come un progetto di messa a disposizione di una soluzione «sensibile», che comprendesse una valutazione del fabbisogno di protezione nonché l’elaborazione formale di un concetto SIPD con un’analisi dettagliata dei rischi, incluso il rischio di esposizione dei dati giudiziari.

Nella misura in cui questa soluzione si appoggia essenzialmente su una piattaforma comune, il concetto ginevrino si è basato sulle analisi svolte dal team di progetto di Justitia 4.0. Il concetto di sicurezza della piattaforma è stato analizzato in modo approfondito allo scopo di assicurarci di essere d’accordo su quali dati proteggere, su quali minacce tenere in considerazione e su quali rischi ridurre o accettare.

Si è riflettuto inoltre sulla sicurezza di integrazione della piattaforma nel sistema d’informazione della magistratura. Tenendo in considerazione le soluzioni del Canton Ginevra in materia di identità elettronica e in attesa della messa a disposizione dell’identità elettronica nazionale (Id-e), sono stati svolti diversi lavori per dare la possibilità di autenticazione sulla piattaforma ai magistrati, ai dipendenti delle autorità giudiziarie ma anche ai cittadini ginevrini che già dispongono di un conto elettronico («e-démarches»).

Bruno Juillet: Il convalidare l’elenco dei rischi di sicurezza da considerare e lo stimare la probabilità del verificarsi e l’impatto di ognuno di questi rischi hanno richiesto sforzi intensi. 

Altro lavoro importante è stato l’accordarsi sulle misure da prendere per l’apertura del servizio, in particolare perché bisognava tenere in considerazione le difficoltà del progetto e le difficoltà della sicurezza dei dati specifica alla direzione della giustizia.

Da non trascurare è stata anche la dettagliata definizione delle responsabilità per il trattamento dei rischi residui, per la piattaforma justitia.swiss e per le autorità giudiziarie, in considerazione del quadro legale specifico dei progetti pilota fino all’entrata in vigore della LCEG (legge concernente le piattaforme per la comunicazione elettronica nella giustizia).

Bruno Juillet: Si tratta innanzitutto di conoscere bene il livello di sicurezza dei sistemi cantonali esistenti e i loro limiti, che potrebbero rivelarsi essere punti deboli una volta collegata la piattaforma justitia.swiss (p. es. dati esistenti incompleti, ...). Sarà necessario procedere in modo analogo per l’integrazione di altri componenti a sostegno della trasformazione digitale, come l’applicazione dossier giudiziario (ADG). 

Durante la fase di progettazione, lo svolgimento di un’analisi dei rischi per tutti i dati da proteggere sembra essere essenziale per potersi assicurare di identificare le fonti di minaccia e gli scenari di rischio tipici di tali integrazioni cantonali. Se si tengono in considerazione gli studi e gli audit svolti da Justitia 4.0, è possibile strutturare le riflessioni e concentrare gli sforzi sulle specificità cantonali.

Il trattamento dei rischi richiede una direzione operativa che confermi le misure tecniche e organizzative di minimizzazione dei rischi al fine di assicurare che i rischi residui siano accettabili per le autorità giudiziarie. Tali misure comprendono la sensibilizzazione degli utenti sui nuovi rischi scaturiti dall’elaborazione elettronica degli atti, e l’adattamento dei processi di controllo delle autorizzazioni e degli accessi.