Una policy di uso accettabile (spesso chiamata regolamento informatico aziendale) indica a chiunque utilizzi i vostri sistemi che cosa può fare, che cosa non può fare e che cosa l'azienda può verificare. Acceptable Use Express è un percorso self-service che aiuta una PMI europea a redigerla in linguaggio chiaro, in coerenza con il GDPR e con la ISO/IEC 27001, coprendo lavoro a distanza, dispositivi personali e intelligenza artificiale generativa. Ottenete una bozza operativa a nome della vostra azienda, da validare con il vostro consulente.
Un documento breve e leggibile che trasforma le vostre intenzioni di sicurezza in regole quotidiane per le persone
La maggior parte delle piccole e medie imprese dispone di computer, una casella di posta per persona, file condivisi nel cloud, alcune applicazioni aziendali e, sempre più spesso, telefoni e portatili che escono dall'ufficio. Spesso manca un unico documento che spieghi, con parole comprensibili a ogni dipendente, come usare questi strumenti. Questo documento è la policy di uso accettabile. In Francia si chiama di solito charte informatique; in Italia si parla spesso di «regolamento informatico aziendale» o di «policy per l'uso delle risorse ICT»; nei paesi anglofoni di «IT usage policy», «computer use policy» o «IT charter». Il nome conta meno delle sue tre funzioni.
Gli utenti non possono rispettare regole che nessuno ha mai messo per iscritto. Una policy di uso accettabile definisce i comportamenti attesi per le password, la posta elettronica, la navigazione in Internet, la condivisione dei file, i supporti rimovibili, l'installazione di software, l'uso personale delle attrezzature aziendali, le trasferte e il lavoro a distanza. È la parte della vostra sicurezza rivolta agli utenti, quella che arriva a ogni postazione di lavoro.
Registrazione dei log, filtraggio, accesso alla casella di posta durante un'assenza, gestione dei dispositivi, backup delle postazioni: tutte queste attività comportano dati personali dei dipendenti. Ai sensi del Regolamento generale sulla protezione dei dati, le persone interessate devono essere informate delle finalità e delle condizioni del trattamento (articolo 13). La policy di uso accettabile è il luogo naturale per fornire queste informazioni in un unico testo coerente, anziché in e-mail sparse.
Quando una regola viene violata, un'organizzazione deve poter dimostrare che la regola esisteva, che la persona ne era a conoscenza e che l'eventuale controllo che ha rivelato la violazione era lui stesso lecito e proporzionato. Una policy mai comunicata, o che nasconde un controllo di cui il personale non ha mai saputo nulla, offre ben poche basi su cui fondarsi. Il modo in cui una policy diventa applicabile dipende dal diritto del lavoro nazionale: per questo questa pagina resta di carattere generale e vi rinvia al vostro consulente per l'ultimo passaggio.
Lo standard internazionale di sicurezza riconosce esplicitamente questo ruolo. La ISO/IEC 27001:2022, nel suo Allegato A, comprende il controllo 5.10 «Uso accettabile delle informazioni e degli altri beni associati», che prevede che le regole per l'uso accettabile e le procedure per la gestione delle informazioni e dei beni siano individuate, documentate e attuate. Una policy di uso accettabile è il modo più diffuso con cui le PMI soddisfano questa aspettativa, che abbiano o meno intenzione di ottenere la certificazione.
Fonti: Regolamento (UE) 2016/679 (GDPR), EUR-Lex · ISO/IEC 27001, pagina pubblica su iso.org
Gli stessi errori tornano sempre. Nessuno richiede un budget importante per correggerli.
Una policy scaricata da Internet descrive gli strumenti di qualcun altro, il paese di qualcun altro e i rischi di qualcun altro. Cita sistemi che non usate e tace su quelli che usate. Il personale se ne accorge e smette di leggerla.
Un documento depositato in una cartella condivisa non è stato comunicato. Se non potete dimostrare chi lo ha ricevuto, quando e in quale versione, sarà difficile farvi affidamento in seguito. In diversi paesi, le procedure di informazione o di consultazione dei dipendenti sono ciò che rende applicabili le regole.
Il filtraggio web, i log del gateway di posta, la gestione degli endpoint e gli strumenti di prevenzione della perdita di dati osservano tutti le persone. Il GDPR impone trasparenza (articolo 5, paragrafo 1, lettera a) e informazione delle persone interessate (articolo 13). Un controllo tenuto nascosto è di per sé un rischio di conformità.
Molti regolamenti sono stati scritti quando tutti lavoravano alla scrivania in ufficio. Non dicono nulla sul Wi-Fi domestico, sui telefoni personali che ricevono la posta aziendale o sui dipendenti che incollano dati dei clienti in un chatbot pubblico. La lacuna è proprio dove si verificano gli incidenti.
I capitoli seguenti sono la struttura portante della bozza prodotta dal percorso. Ciascuno è adattato alle vostre risposte e può essere accorciato o eliminato.
Dipendenti, stagisti, lavoratori somministrati, collaboratori esterni e chiunque disponga di un account. Quali sistemi sono coperti: postazioni di lavoro, dispositivi mobili, posta elettronica, suite di collaborazione, applicazioni aziendali, reti, stampanti, archiviazione cloud. Un ambito chiaro evita il classico argomento «questo non mi riguardava».
Account personali e non trasferibili; qualità e conservazione delle password; autenticazione a più fattori dove l'azienda l'ha attivata; blocco della sessione quando ci si allontana dalla postazione; cosa fare se una password potrebbe essere stata esposta.
Riferimento: NIS2, art. 21, par. 2, lett. j) include l'autenticazione a più fattori tra le misure per i soggetti interessati.
Uso professionale come regola, uso personale ragionevole se l'azienda lo consente, e modalità di identificazione dei messaggi personali. Buone abitudini contro il phishing, allegati e link, regole di inoltro, inoltro automatico verso indirizzi personali, siti e contenuti vietati.
Quali informazioni sono riservate, come possono essere condivise internamente ed esternamente, strumenti di condivisione dei file approvati, stampa, scrivania pulita e dovere di trattare i dati personali solo su istruzione dell'azienda.
GDPR art. 29 e art. 32, par. 4: le persone che agiscono sotto l'autorità del titolare trattano i dati personali solo su sue istruzioni.
Chi può installare software, uso di chiavette USB e dischi esterni personali, cura di portatili e telefoni, segnalazione di smarrimento o furto, e restituzione delle attrezzature e degli accessi quando una persona lascia l'azienda (anche la ISO/IEC 27001:2022, Allegato A, prevede un controllo sulla restituzione dei beni, 5.11).
Lavoro da casa, dal sito di un cliente o in mobilità: reti affidabili, VPN quando richiesta, riservatezza dello schermo, protezione fisica delle attrezzature, videochiamate in luoghi pubblici. La ISO/IEC 27001:2022, Allegato A, prevede un controllo dedicato, 6.7 «Lavoro a distanza».
Se telefoni, tablet o computer personali possano accedere ai dati aziendali, a quali condizioni (blocco del dispositivo, aggiornamenti, profilo di lavoro separato, cancellazione remota dei soli dati aziendali) e che cosa l'azienda può e non può vedere su un dispositivo personale.
Quali strumenti di IA sono approvati, quali dati non devono mai esservi inseriti (dati personali, segreti commerciali dei clienti, codice sorgente, credenziali), revisione umana dei risultati e come richiedere un nuovo strumento. Una policy che vieta semplicemente tutto tende a spingere l'uso nell'ombra.
AI Act, Regolamento (UE) 2024/1689, art. 4 sull'alfabetizzazione in materia di IA del personale.
Che cosa viene registrato, filtrato o verificato, per quale finalità, da chi, per quanto tempo vengono conservati i log, e i diritti delle persone interessate. Questo capitolo è il punto in cui si adempiono gli obblighi di trasparenza e di informazione del GDPR.
GDPR art. 5 e art. 13.
Come e a chi segnalare una e-mail sospetta, un dispositivo smarrito o un errore, senza timore di biasimo per una segnalazione tempestiva. Riferimento al quadro disciplinare applicabile nella vostra organizzazione (ISO/IEC 27001:2022, Allegato A, controllo 6.4 «Processo disciplinare»), e data e versione della policy.
La disciplina giuridica varia da uno Stato membro all'altro. Ciò che non varia è la logica: lecita, proporzionata, nota in anticipo.
Una policy di uso accettabile descrive quasi sempre il trattamento di dati personali dei dipendenti: log degli account, registri di connessione, filtraggio, inventari dei dispositivi, talvolta accesso alle caselle di posta. Tre articoli del GDPR regolano questo trattamento in tutta l'Unione europea.
Articolo 5, principi. I dati personali devono essere trattati in modo lecito, corretto e trasparente; raccolti per finalità determinate, esplicite e legittime; adeguati, pertinenti e limitati a quanto necessario; conservati per un periodo non superiore a quanto necessario; e trattati con adeguate misure di sicurezza. Ai sensi dell'articolo 5, paragrafo 2, il titolare deve essere in grado di dimostrare il rispetto di questi principi (responsabilizzazione). Per una policy di uso accettabile, ciò significa che ogni controllo descritto dovrebbe avere una finalità dichiarata e un periodo di conservazione ragionevole, e dovreste essere in grado di spiegare perché è proporzionato.
Articolo 13, informazioni da fornire. Quando i dati sono raccolti presso la persona interessata, il titolare deve fornire, tra l'altro, la propria identità e i propri recapiti, i recapiti del responsabile della protezione dei dati ove presente, le finalità e la base giuridica del trattamento, i legittimi interessi perseguiti quando questa è la base, i destinatari, il periodo di conservazione e i diritti della persona. La policy di uso accettabile, o un'informativa allegata, è uno strumento pratico per fornire queste informazioni.
Articolo 88, trattamento nell'ambito del rapporto di lavoro. Il GDPR consente agli Stati membri, con legge o con contratti collettivi, di prevedere norme più specifiche per il trattamento dei dati personali dei dipendenti nel contesto lavorativo. L'articolo 88, paragrafo 2, richiede che tali norme includano misure appropriate e specifiche a tutela della dignità, dei legittimi interessi e dei diritti fondamentali delle persone interessate, con particolare riguardo alla trasparenza del trattamento, ai trasferimenti all'interno di un gruppo di imprese e ai sistemi di monitoraggio sul luogo di lavoro. In pratica, la risposta alla domanda «che cosa possiamo controllare, e come?» dipende in parte dal paese in cui operate.
In tutta l'UE, la direttiva 2002/14/CE stabilisce un quadro generale per l'informazione e la consultazione dei lavoratori nelle imprese al di sopra di soglie che ogni Stato membro sceglie entro i limiti fissati dalla direttiva. Il diritto nazionale e i contratti collettivi definiscono poi se un comitato aziendale, un organismo di rappresentanza del personale o un sindacato debba essere informato o consultato prima dell'introduzione di regole sull'uso degli strumenti informatici o sul controllo sul luogo di lavoro, e in quale forma. In alcuni paesi, una policy di uso accettabile è allegata al regolamento interno e segue la stessa procedura; in altri fa parte del contratto di lavoro, di un contratto collettivo o di una policy autonoma che ciascun utente riconosce.
Prendiamo la Francia come esempio tra molti: il Codice del lavoro (Code du travail) prevede che il comitato sociale ed economico (CSE) sia informato e consultato in via preventiva sui mezzi o sulle tecniche che consentono il controllo dell'attività dei dipendenti, e che nessuna informazione riguardante personalmente un dipendente possa essere raccolta tramite un dispositivo che non sia stato prima portato a sua conoscenza. Il Garante francese per la protezione dei dati, la CNIL, raccomanda nella sua guida alla sicurezza dei dati personali che un'azienda redighi un regolamento informatico (la «charte informatique») e gli conferisca forza vincolante, ad esempio allegandola al regolamento interno. Gli altri paesi hanno equivalenti propri, per questo il percorso vi chiede dove sono impiegati i vostri collaboratori e segnala i punti da verificare con il vostro consulente.
Qualunque sia il percorso nazionale, conservate le prove: la versione e la data della policy, la data della comunicazione, il mezzo (e-mail, intranet, pacchetto di benvenuto, firma) e chi l'ha confermata. Ricomunicatela a ogni modifica. La ISO/IEC 27001:2022, Allegato A, tratta questo aspetto come parte dei controlli sulle persone, insieme alle condizioni di impiego (6.2) e alla consapevolezza, istruzione e formazione in materia di sicurezza delle informazioni (6.3).
Importante. Questa sezione è un'informazione generale sui testi europei e nazionali. Non costituisce consulenza legale e non sostituisce l'analisi di un avvocato giuslavorista, di un responsabile della protezione dei dati o del vostro consulente HR per la vostra situazione specifica, il vostro paese e i vostri contratti collettivi.
Fonti: GDPR, artt. 5, 13 e 88 (EUR-Lex) · Direttiva 2002/14/CE (EUR-Lex) · Codice del lavoro francese (Légifrance) · CNIL, guida alla sicurezza dei dati personali · ISO/IEC 27001 (iso.org)
La policy di uso accettabile non è di per sé una policy di sicurezza. È la parte che si rivolge agli utenti.
La policy di sicurezza delle informazioni è scritta per la direzione e per l'IT: fissa obiettivi, ruoli, trattamento dei rischi e i controlli che l'azienda si impegna ad applicare. La policy di uso accettabile traduce le sue parti rivolte agli utenti in comportamenti concreti. La ISO/IEC 27001:2022, Allegato A, distingue i due documenti: controllo 5.1 «Politiche per la sicurezza delle informazioni» e controllo 5.10 «Uso accettabile delle informazioni e degli altri beni associati». I due documenti dovrebbero usare lo stesso vocabolario, la stessa classificazione delle informazioni e gli stessi referenti, in modo che un dipendente non riceva mai istruzioni contraddittorie.
Se state redigendo la policy di sicurezza stessa, consultate la nostra pagina gemella pssi-express.eu.
Il lavoro a distanza sposta i dati aziendali sulle reti domestiche, sui tavoli della cucina e sui sedili del treno. La policy di uso accettabile è il luogo dove si fissano le aspettative minime: usare le attrezzature aziendali dove fornite, mantenerle aggiornate, collegarsi tramite l'accesso sicuro aziendale quando richiesto, evitare la stampa in luoghi pubblici, proteggere schermi e conversazioni, e segnalare subito lo smarrimento. Se avete anche un accordo o una policy separata sul lavoro agile o sul telelavoro, la policy di uso accettabile dovrebbe rinviare a quelli anziché ripeterli. Il controllo 6.7 «Lavoro a distanza» dell'Allegato A della ISO/IEC 27001:2022 copre l'aspetto di sicurezza.
Consentire ai telefoni personali di ricevere la posta aziendale è comodo e diffuso. Solleva però due domande a cui la policy deve rispondere. Che cosa richiede l'azienda al dispositivo (blocco schermo, sistema operativo supportato, profilo o contenitore di lavoro separato)? E che cosa può vedere o cancellare l'azienda? Gli strumenti di gestione dei dispositivi possono essere configurati per gestire solo i dati aziendali; la policy dovrebbe dirlo, e dovrebbe spiegare che cosa succede ai dati aziendali quando la persona lascia l'azienda. Il controllo 8.1 «Dispositivi endpoint degli utenti» dell'Allegato A della ISO/IEC 27001:2022 inquadra l'aspetto tecnico.
Gli assistenti di IA pubblici possono essere utili, e il personale spesso li usa già. Il rischio sta nei dati inseriti e nei risultati usati senza verifica. Un breve capitolo sull'IA elenca di solito gli strumenti approvati, vieta di inserire dati personali, informazioni riservate o credenziali in servizi non approvati, richiede la revisione umana prima del riutilizzo e spiega come chiedere un nuovo strumento. Quando un servizio di IA esterno tratta dati personali per vostro conto, si applicano le norme del GDPR sui responsabili del trattamento (articolo 28) e sui trasferimenti al di fuori dell'UE (capo V). L'articolo 4 dell'AI Act, applicabile dal 2 febbraio 2025, chiede ai fornitori e ai deployer di sistemi di IA di adottare misure per garantire, nella misura più ampia possibile, un livello sufficiente di alfabetizzazione in materia di IA del proprio personale (verificate il testo consolidato attuale, poiché sono state proposte modifiche a questo articolo); un capitolo sull'IA nella policy di uso accettabile, insieme a una breve sessione di sensibilizzazione, è un elemento di base ragionevole.
Regolamento (UE) 2024/1689 (AI Act) · GDPR, art. 28 e capo V
Per i soggetti essenziali e importanti ai sensi della direttiva NIS2, le misure di gestione dei rischi di cybersicurezza dell'articolo 21 comprendono pratiche di igiene informatica di base e formazione in materia di cybersicurezza (art. 21, par. 2, lett. g) e sicurezza delle risorse umane, politiche di controllo degli accessi e gestione dei beni (art. 21, par. 2, lett. i). Una policy di uso accettabile non vi rende conformi alla NIS2, ma è uno dei documenti che sostengono tali misure.
Una policy firmata e dimenticata non cambia nulla. Policy e programma di sensibilizzazione devono lavorare insieme: la policy stabilisce la regola, brevi sessioni ne spiegano il motivo. Dove esiste un responsabile della protezione dei dati, il GDPR elenca tra i suoi compiti la sensibilizzazione e la formazione del personale (articolo 39, paragrafo 1, lettera b). Le agenzie nazionali pubblicano materiali gratuiti che potete riutilizzare, ad esempio ENISA a livello europeo e, in Francia, ANSSI e cybermalveillance.gouv.fr.
Restate al comando dall'inizio alla fine. Un consulente umano è un'opzione, mai un requisito.
Un breve questionario sulla vostra organizzazione: dove sono impiegati i collaboratori, quali strumenti usano, se sono consentiti dispositivi personali e lavoro a distanza, se usate assistenti di IA, se avete rappresentanti del personale, se avete già una policy di sicurezza. Vi indica quali capitoli vi servono e quali punti richiederanno una validazione legale locale.
Rispondete a domande guidate con parole vostre, capitolo per capitolo: che cosa è consentito, che cosa no, che cosa controlla l'azienda e perché, per quanto tempo vengono conservati i log, a chi rivolgersi. Ogni domanda è accompagnata da una breve spiegazione e, dove pertinente, da un link alla fonte ufficiale. Potete salvare, tornare più tardi e coinvolgere un collega.
La policy è generata automaticamente dalle vostre risposte, a nome della vostra azienda, con un'informativa separata sui controlli e un modulo di presa visione. È una base di lavoro: fatela esaminare dal vostro consulente (avvocato giuslavorista, responsabile della protezione dei dati, HR) prima di comunicarla, consultate i rappresentanti dove previsto, e adottatela.
Se volete che qualcuno esamini con voi le risposte, adatti la bozza a un contesto specifico o prepari la presentazione al personale o ai suoi rappresentanti, potete chiedere il supporto di un consulente partner. È facoltativo e separato dallo strumento self-service.
Base di lavoro, non consulenza legale. Il documento generato è una bozza costruita sulle vostre risposte e su fonti pubbliche. Non costituisce consulenza legale. La sua validità nel vostro paese e la procedura per renderlo applicabile al personale devono essere verificate da un consulente qualificato.
Documenti che potete modificare, comunicare e conservare come prova
Il documento principale, in linguaggio chiaro, costruito sulle vostre risposte.
Un'informativa separata strutturata secondo l'articolo 13 del GDPR.
Ciò che serve per comunicare la policy e conservarne una traccia.
Dove ogni capitolo si collega ai testi pubblici.
Un breve allegato autonomo che potete aggiornare più spesso della policy.
Il documento resta vostro, in formati che potete cambiare.
Citiamo solo testi a cui possiamo rimandare. Quando qualcosa dipende dal diritto nazionale, la bozza lo dichiara invece di indovinare.
Articolo 5 (principi e responsabilizzazione), articolo 13 (informazione delle persone interessate), articolo 88 (trattamento nel contesto del lavoro) e, ove pertinenti, articolo 28 (responsabili del trattamento), articolo 32 (sicurezza del trattamento) e articolo 39 (compiti del responsabile della protezione dei dati).
Controllo 5.10 «Uso accettabile delle informazioni e degli altri beni associati», con i controlli correlati 5.1 (politiche per la sicurezza delle informazioni), 5.11 (restituzione dei beni), 6.2 (condizioni di impiego), 6.3 (consapevolezza, istruzione e formazione), 6.4 (processo disciplinare), 6.7 (lavoro a distanza) e 8.1 (dispositivi endpoint degli utenti). Lo standard è venduto da ISO; citiamo solo i titoli dei controlli.
Solo per i soggetti interessati: articolo 21, par. 2, lett. g) pratiche di igiene informatica di base e formazione in materia di cybersicurezza, lett. i) sicurezza delle risorse umane, politiche di controllo degli accessi e gestione dei beni, lett. j) autenticazione a più fattori. Si applicano le leggi nazionali di recepimento.
Articolo 4 sull'alfabetizzazione in materia di IA, applicabile dal 2 febbraio 2025 a fornitori e deployer di sistemi di IA (verificate il testo consolidato attuale prima di farvi affidamento). Pertinente non appena il personale usa sistemi di IA nel proprio lavoro.
Che cosa contiene ciascuna opzione. La disponibilità sarà annunciata su questa pagina.
Per capire di che cosa avete bisogno prima di iniziare
Per produrre la vostra bozza di policy
Per aggiungere una revisione umana alla bozza self-service
In ogni opzione, il documento è una base di lavoro da validare con il vostro consulente. Non costituisce consulenza legale.
Risposte brevi. Quando un testo è citato, il link rimanda alla fonte ufficiale.
Ogni affermazione normativa o regolamentare qui sopra rimanda a una di queste fonti.
Questa pagina fornisce informazioni di carattere generale. Non costituisce consulenza legale.
Il workshop self-service è in preparazione. Sarà aperto su questa pagina.
Domande nel frattempo: contact@syaga.eu