di dott.ssa Debora Montagna – Digital & Law Department 

Scatta l’obbligo per società telefoniche e Internet provider di avvisare il Garante Privacy e gli utenti quando i dati trattati per fornire i servizi subiscono gravi violazioni, a seguito di attacchi informatici o di eventi avversi – come incendi o altre calamità – che possono comportare perdita, distruzione o diffusione indebita di dati.
Questo è quanto si legge sul sito dell’Autorità Garante per la Privacy con riferimento agli obblighi di comunicazione dei data breaches. Ripercorriamo brevemente l’iter che ha portato a tale risoluzione.

Con il decreto legislativo n. 69 del 28 maggio 2012 – in recepimento della direttiva comunitaria 2009/136/CE riguardante il trattamento dei dati personali e la tutela della vita privata nel settore delle comunicazioni elettroniche – sono state apportate delle rilevanti modifiche al Codice in materia di protezione dei dati personali. In particolare sono stati introdotti obblighi di comunicazione agli utenti e all’Autorità Garante Privacy nei casi di violazione dei dati personali. Il 26 luglio 2012 il Garante Privacy aveva avviato la procedura di consultazione pubblica sulle Linee Guida relative alla disciplina per la comunicazione delle violazioni di dati personali, le quali costituivano un primo quadro di istruzioni da seguire in caso di violazione di dati personali e quindi nel caso di perdita, distruzione o indebita diffusione dei dati stessi. In seguito all’acquisizione dei contributi e delle osservazioni pervenuti all’Autorità Garante dai principali fornitori di servizi di comunicazione elettronica è stato approvato un provvedimento generale che ha, oltretutto, sostituito le Linee Guida in consultazione.
Con il provvedimento adottato sono stati quindi fissati gli adempimenti per i casi in cui si dovessero verificare i cosiddetti "data breaches”, in particolare sono stati analizzati:
– il quadro normativo;
– i soggetti obbligati;
– la gestione della sicurezza e delle violazioni (che implica un’attenta analisi dei rischi e l’adozione di adeguate misure di sicurezza);
– i tempi e il contenuto della comunicazione al Garante;
– l’inventario delle violazioni di dati personali;
– le comunicazioni al contraente o ad altre persone;
– le conseguenze per le ipotesi di mancato rispetto dei nuovi obblighi di sicurezza.

E così, entro 24 ore dalla scoperta dell’evento, società di telecomunicazioni e Internet service provider dovranno fornire al Garante le informazioni necessarie a consentire una prima valutazione dell’entità della violazione (ad esempio, tipologia dei dati coinvolti, descrizione dei sistemi di elaborazione, indicazione del luogo dove è avvenuta la violazione).
Quest’obbligo di comunicazione spetta solo ai fornitori di servizi telefonici e di accesso a Internet (e non, ad esempio, ai siti internet che diffondono contenuti, ai motori di ricerca, agli internet point, alle reti aziendali).
Il Garante ha inoltre predisposto un modello di comunicazione che è disponibile sul suo sito www.garanteprivacy.it.

Non bisogna però dimenticarsi dei soggetti coinvolti in eventuali violazioni di dati personali, anche questi, infatti, dovranno essere informati entro tre giorni dall’evento che ha comportato la violazione e nella comunicazione si dovrà fare riferimento:
– al grado di pregiudizio che la perdita o la distruzione dei dati può comportare (furto di identità, danno fisico, danno alla reputazione);
– all’ "attualità" dei dati (dati più recenti possono rivelarsi più interessanti per i malintenzionati);
– alla qualità dei dati coinvolti (finanziari, sanitari, giudiziari etc.);
– alla quantità dei dati coinvolti.

La comunicazione ai soggetti interessati non è obbligatoria nel caso in cui il soggetto obbligato possa dimostrare di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendono inintelligibili i dati, salva comunque l’eventuale imposizione da parte dell’Autorità Garante nei casi più gravi.
A tal riguardo il Garante ha specificato sia cosa si intende per inintelligibilità, sia quali siano le modalità di comunicazione al contraente o alle altre persone interessate dalla violazione. Ha, inoltre, suggerito quali potrebbero essere i parametri utilizzabili dai fornitori al fine di decidere che misure adottare per ridurre il rischio e attenuare il danno nel caso si verifichi la violazione, nonché al fine di decidere se comunicare l’accaduto al contraente e/o alle altre persone interessate dalla violazione.