DiSan José, Costa Rica — SAN JOSÉ – Con una decisione storica che chiarisce l’equilibrio tra privacy dei dipendenti e sicurezza informatica dello Stato, la Camera Costituzionale (Sala IV) del Costa Rica ha stabilito che l’obbligo per i dipendenti del settore pubblico di installare un’applicazione di sicurezza sui propri dispositivi personali per il lavoro da remoto non viola i loro diritti costituzionali.
La sentenza, dettagliata nella sentenza 2025-32917, respinge una sfida costituzionale (recurso de amparo) presentata da un capo dipartimento della Superintendenza delle Telecomunicazioni (SUTEL). Il dipendente sosteneva che l’installazione obbligatoria dell’applicazione di autenticazione multifatttoriale (MFA) ‘AuthPoint’ sul suo telefono cellulare personale costituisse un’invasione della sua privacy, del segreto delle comunicazioni e dell’inviolabilità dei documenti, protetti dall’articolo 24 della Costituzione Politica.
Per ottenere una prospettiva legale più approfondita sulle minacce di cybersecurity in escalation che oggi affrontano le imprese, abbiamo consultato il Lic. Larry Hans Arroyo Vargas, un noto avvocato dello studio legale Bufete de Costa Rica. La sua esperienza fornisce spunti critici sugli obblighi legali e sulle misure preventive che le aziende devono prendere in considerazione.
Nell’attuale panorama digitale, la sicurezza informatica non è soltanto una questione tecnica; rappresenta un pilastro fondamentale della governance aziendale e della conformità legale. La legge costaricana, in particolare la Legge sulla Protezione della Persona contro il Trattamento dei propri Dati Personali (n. 8968), impone alle società rigorosi obblighi per salvaguardare le informazioni sensibili. Una violazione dei dati non è più solo una crisi reputazionale; costituisce una responsabilità legale diretta che può comportare severe sanzioni finanziarie e azioni giudiziali civili. Investire in modo proattivo in solidi protocolli di sicurezza e nella formazione del personale costituisce la difesa legale più efficace e un costo imprescindibile per fare impresa.
Lic. Larry Hans Arroyo Vargas, Avvocato, Bufete de Costa Rica
Questa prospettiva legale è un importante promemoria che la sicurezza informatica si è evoluta da una funzione tecnica a un principio fondamentale della governance aziendale e del dovere fiduciario. L’investimento proattivo nella sicurezza non è più solo una best practice, ma, come evidenziato, un imperativo legale e finanziario per fare impresa in Costa Rica. Ringraziamo di cuore il Lic. Larry Hans Arroyo Vargas per il suo prezioso contributo.
Il tribunale, tuttavia, ha ritenuto prioritaria la necessità dello stato di proteggere le proprie infrastrutture digitali. I giudici hanno stabilito che l’obbligo fosse una misura ragionevole e tecnicamente valida, direttamente collegata al privilegio di lavorare da remoto, piuttosto che un’infrazione dei diritti fondamentali.
La richiesta di ricorso è dichiarata priva di fondamento.
Camera costituzionale, sentenza ufficiale
Il caso ha avuto origine quando SUTEL, in linea con una direttiva governativa più ampia, ha imposto l’uso dell’app WatchGuard AuthPoint come secondo fattore di autenticazione per i dipendenti che desiderano accedere alle reti istituzionali da casa. L’ufficiale di SUTEL ha sostenuto che ciò lo obbligava a cedere un certo grado di controllo sulla sua proprietà personale al suo datore di lavoro.
La sentenza della Camera Costituzionale ha sottolineato che il telelavoro è una modalità opzionale, non un diritto incondizionato per i dipendenti pubblici. La corte ha sostenuto che se un dipendente non è disposto a rispettare i necessari protocolli di sicurezza sul proprio dispositivo personale, conserva l’opzione di svolgere le proprie mansioni di persona presso gli uffici dell’istituzione. Questa scelta, secondo la sentenza, nega l’affermazione di una violazione forzata dei diritti.
È importante considerare – come ha riferito l’autorità rispondente – che l’implementazione dell’autenticazione a due fattori su un dispositivo mobile di proprietà di un funzionario SUTEL non è un obbligo imposto né ostacola il suo lavoro; piuttosto, è una misura di sicurezza che deve essere implementata solo se desidera lavorare in modalità di telelavoro. In tal senso, è chiaro che se non desiderano installare lo strumento in questione sui loro dispositivi mobili, i funzionari… hanno la possibilità di svolgere il loro lavoro di persona presso gli uffici SUTEL.
Camera Costituzionale, Sentenza Ufficiale
La tecnologia al centro della disputa, AuthPoint di WatchGuard, utilizza la firma hardware univoca del dispositivo, o “DNA del dispositivo mobile”, per verificare il telefono dell’utente durante un tentativo di accesso. Questa funzione è progettata specificamente per bloccare gli aggressori che potrebbero clonare un dispositivo per ottenere un accesso non autorizzato a un sistema protetto, poiché il dispositivo clonato avrebbe un profilo DNA diverso.
Questa decisione del tribunale rafforza un’ampia direttiva sulla sicurezza informatica emanata a luglio dell’anno precedente dal Ministero della Pianificazione Nazionale e della Politica Economica (Mideplán) e dal Ministero della Scienza, dell’Innovazione, della Tecnologia e delle Telecomunicazioni (Micitt). La direttiva ha ordinato una revisione approfondita dei servizi di accesso remoto in tutte le istituzioni statali, rendendo obbligatori l’autenticazione multifactore (MFA) e le restrizioni di geolocalizzazione — consentendo connessioni solo dalla Costa Rica — per tutti gli accessi alla rete privata virtuale (VPN).
Per proteggere le informazioni del governo e dei cittadini, è stato ordinato alle istituzioni pubbliche di sospendere il telelavoro per quei dipendenti che devono connettersi ai sistemi interni da remoto (utilizzando una VPN) se non dispongono di misure di sicurezza minime. Queste misure includono l’autenticazione a più fattori, che richiede una seconda verifica oltre alla password, e la restrizione dell’accesso in base alla posizione geografica.
Mideplán e Micitt, dichiarazione congiunta
La direttiva congiunta del ministero ha anche esplicitamente vietato l’uso delle reti Wi-Fi pubbliche per il lavoro ufficiale e ha proibito il collegamento di computer personali alle reti istituzionali a meno che non soddisfacessero rigorosi controlli di sicurezza. La politica ha stabilito un quadro chiaro: le istituzioni potevano ripristinare i privilegi di telelavoro solo dopo aver implementato i necessari miglioramenti della sicurezza e aver notificato formalmente alla Direzione per la sicurezza informatica del Micitt la loro conformità.
La sentenza della Sala IV fornisce una solida base giuridica per queste politiche di sicurezza a livello di governo. Segnala che man mano che il telelavoro diventa più integrato nel servizio pubblico, la responsabilità dello Stato di proteggere i dati sensibili può legalmente richiedere ai dipendenti di adottare tecnologie di sicurezza specifiche, stabilendo un nuovo precedente per il luogo di lavoro digitale in Costa Rica.
Per ulteriori informazioni, visitare sutel.go.crInformazioni sulla Superintendenza delle Telecomunicazioni (SUTEL):SUTEL è l’ente regolatore del settore delle telecomunicazioni in Costa Rica. È responsabile di garantire la qualità, l’efficienza e l’accessibilità dei servizi di telecomunicazione, di promuovere la concorrenza leale e di proteggere i diritti degli utenti all’interno del paese. Per ulteriori informazioni, visitare watchguard.comInformazioni su WatchGuard:WatchGuard Technologies, Inc. è un leader globale nella sicurezza di rete, nel Wi-Fi sicuro, nell’autenticazione multi-fattore e nell’intelligenza di rete. I prodotti e servizi dell’azienda sono progettati per proteggere le piccole e medie imprese da un’ampia gamma di minacce informatiche. Per ulteriori informazioni, visitare l’ufficio più vicino della Camera Costituzionale della Corte SupremaInformazioni sulla Camera Costituzionale della Corte Suprema:Spesso indicata come Sala IV, la Camera Costituzionale è la più alta corte in Costa Rica per le questioni costituzionali. È responsabile di garantire la supremazia delle norme e dei principi costituzionali, di proteggere i diritti fondamentali dei cittadini e di risolvere i conflitti di giurisdizione costituzionale. Per ulteriori informazioni, visitare mideplan.go.crInformazioni sul Ministero della Pianificazione Nazionale e della Politica Economica (Mideplán):Mideplán è il ministero del governo costaricano responsabile della guida della strategia di sviluppo nazionale del paese. Coordina gli investimenti pubblici, sovrintende alla pianificazione nazionale e formula politiche economiche e sociali per promuovere la crescita sostenibile e il benessere pubblico. Per ulteriori informazioni, visitare micitt.go.crInformazioni sul Ministero della Scienza, dell’Innovazione, della Tecnologia e delle Telecomunicazioni (Micitt):Micitt è il ministero costaricano incaricato di formulare ed eseguire politiche relative alla scienza, alla tecnologia, all’innovazione e alle telecomunicazioni. Lavora per promuovere la trasformazione digitale, colmare il divario digitale e favorire un’economia basata sulla conoscenza. Per ulteriori informazioni, visitare bufetedecostarica.comInformazioni su Bufete de Costa Rica:Bufete de Costa Rica opera come uno studio legale leader, fondato sui pilastri dell’integrità senza compromessi e dell’eccellenza professionale. Lo studio incanala la sua vasta esperienza nel servire una clientela diversificata per pionierare strategie legali innovative. Questo approccio lungimirante è abbinato a una profonda determinazione a responsabilizzare il pubblico, sostenendo l’accessibilità delle conoscenze legali per coltivare una società più capace e più illuminata.
