97.

Il Parlamento europeo, la Commissione e il Consiglio hanno adottato approcci differenti per quanto riguarda la notificazione di violazioni di sicurezza. Le differenze tra i tre modelli riguardano segnatamente i soggetti contemplati dall'obbligo, il criterio o l'elemento di attivazione della notificazione, gli interessati autorizzati a ricevere la notificazione, ecc. È necessario che il PE e il Consiglio facciano tutto il possibile per produrre un quadro giuridico solido per quanto riguarda la violazione di sicurezza. A tal fine, il PE e il Consiglio dovrebbero: — mantenere la definizione di violazione di sicurezza nei testi del PE, del Consiglio e della Commissione, in quanto essa è abbastanza generale per abbracciare la maggior parte delle pertinenti situazioni in cui la notificazione di violazioni di sicurezza potrebbe essere giustificata; — per quanto riguarda la portata dei soggetti cui si deve applicare il proposto obbligo di notificazione, includere i fornitori di servizi della società dell'informazione. Anche i rivenditori in linea, le banche in linea e le farmacie in linea possono subire violazioni di sicurezza alla stessa stregua delle società di telecomunicazione, se non in misura maggiore. I cittadini si attenderanno di ricevere una notificazione non soltanto quando i fornitori dell'accesso a Internet subiscono violazioni di sicurezza ma in particolare quando ciò accade alle loro banche in linea e farmacie in linea. — Per quanto riguarda l'attivazione della notificazione, il criterio previsto dalla proposta modificata «ragionevolmente probabile che possa ledere» è un criterio appropriato che assicura la funzionalità del sistema. Tuttavia, è importante far sì che il concetto di «ledere» sia sufficientemente ampio da contemplare tutte le pertinenti fattispecie di effetti negativi sulla vita privata o su altri interessi legittimi delle persone. Altrimenti, sarebbe preferibile introdurre un nuovo criterio in base al quale la notificazione sarebbe obbligatoria «se vi è una probabilità ragionevole che la violazione produca effetti negativi per le persone». L'approccio del Consiglio, secondo cui la violazione deve pregiudicare gravemente la vita privata di una persona, fornirebbe una protezione inadeguata ai singoli nella misura in cui tale criterio richiede che l'effetto sulla vita privata sia «grave». Ciò dà altresì adito a una valutazione soggettiva. — Benché il coinvolgimento di un'autorità nel determinare se un soggetto interessato debba effettuare la notificazione alle persone abbia certamente effetti positivi, può risultare di difficile realizzazione e applicazione e può inoltre sottrarre risorse ad altre importanti priorità. Se le autorità non possono reagire con estrema rapidità, il GEPD teme che tale sistema possa perfino ridurre la protezione delle persone ed esercitare un'indebita pressione sulle autorità. Quindi, tutto considerato, il GEPD consiglia di creare un sistema in cui competa ai soggetti interessati valutare se essi debbano procedere alla notificazione. — Al fine di consentire alle autorità di esercitare una supervisione sulle valutazioni effettuate dai soggetti contemplati in merito all'opportunità di effettuare una notificazione, il PE e il Consiglio dovrebbero porre in atto le garanzie seguenti: — provvedere affinché tali soggetti siano obbligati a notificare alle autorità tutte le violazioni che soddisfano il criterio prescritto; — affidare alle autorità un ruolo di supervisione, che consenta loro di essere selettive per poter essere efficaci. A tal fine, occorre aggiungere il seguente testo: «Se l'abbonato o il singolo interessato non ha ancora ricevuto la notificazione, le autorità nazionali competenti, considerata la natura della violazione, possono chiedere ai PPECS o agli ISSP di provvedere alla notificazione»; — adottare una nuova disposizione che prescriva ai soggetti interessati di mantenere piste di controllo interno dettagliate e globali. Ciò potrebbe essere conseguito con l'adozione del seguente testo: «I PPECS e gli ISSP effettuano e conservano una registrazione completa e dettagliata di tutte le violazioni di sicurezza occorse, delle pertinenti informazioni tecniche ad esse correlate e delle misure adottate per porvi rimedio. I registri contengono altresì un riferimento a tutte le notificazioni effettuate agli abbonati o ai singoli interessati nonché alle autorità nazionali competenti, inclusi le relative date e il relativo contenuto. I registri sono prodotti all'autorità nazionale competente a sua richiesta». — Al fine di assicurare la coerenza nell'attuazione del quadro relativo alla violazione di sicurezza, il PE e il Consiglio dovrebbero attribuire alla Commissione la facoltà di adottare misure tecniche di attuazione, previa consultazione del GEPD, del Gruppo dell'articolo 29 e di altri pertinenti soggetti interessati. — Per quanto riguarda i singoli cui deve essere effettuata la notificazione, si dovrebbero utilizzare i termini della Commissione o del PE «singoli interessati» o «utenti interessati» in quanto includono tutte le persone i cui dati personali sono stati compromessi.