Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1915485
Timestamp: 2019-01-17 12:55:39+00:00
Document Index: 172797700

Matched Legal Cases: ['art. 32', 'art. 32', 'art. 32', 'art. 132', 'art. 4', 'art. 2', 'art. 45', 'art. 162', 'art. 32', 'art. 168']

VISTO il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196, di seguito "Codice") e, in particolare, l´art. 32-bis;
VISTA la direttiva 2009/140/Ce del 25 novembre 2009, del Parlamento europeo e del Consiglio, recante modifica delle direttive 2002/21/Ce che istituisce un quadro normativo comune per le reti ed i servizi di comunicazione elettronica, 2002/19/Ce relativa all´accesso alle reti di comunicazione elettronica e alle risorse correlate, e all´interconnessione delle medesime e 2002/20/Ce relativa alle autorizzazioni per le reti e i servizi di comunicazione elettronica;
RITENUTO NECESSARIO fornire primi orientamenti e istruzioni in merito ai nuovi obblighi di comunicazione incombenti sui fornitori di servizi di comunicazione elettronica accessibili al pubblico per i casi di violazione di dati personali, come espressamente previsto dall´art. 32-bis, comma 6, del Codice;
RILEVATA l´opportunità che la prescrizione di alcune misure, allo stato individuate nell´unito documento, sia preceduta da una consultazione pubblica, diretta in particolare ai predetti fornitori, al fine di acquisire ulteriori riscontri sull´adeguatezza delle medesime prescrizioni, nonché sulle relative modalità attuative, anche in ragione della eventuale casistica che si formerà medio tempore;
a. di adottare l´unito documento, recante le "Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali", che forma parte integrante della presente deliberazione (Allegato 1).
b. di avviare una consultazione pubblica in merito alle modalità applicative specificate nei punti 42, 71, 72 e 73 del documento di cui alla lettera a), riservandosi di intervenire sulle stesse anche alla luce delle risultanze delle osservazioni pervenute.
Tali osservazioni e commenti potranno pervenire, entro il termine di 90 giorni dalla pubblicazione della presente deliberazione, all´indirizzo dell´Autorità di Piazza di Monte Citorio n. 121, 00186 Roma, ovvero al seguente indirizzo di posta elettronica:
42. Adozione di adeguate misure di sicurezza;
71. Inintelligibilità dei dati;
72. Canale per la comunicazione al contraente o ad altre persone;
73. Valutazione del rischio che richiede la comunicazione al contraente o ad altre persone.
Le presenti linee guida sono volte a fornire –in linea con quanto previsto dalla stessa direttiva 2009/136/Ce indicazioni in merito alla nuova disciplina sopra richiamata, con particolare riguardo alle circostanze in cui i fornitori hanno l´obbligo di comunicare le violazioni di dati personali, al formato applicabile alla comunicazione e alle relative modalità di effettuazione (cfr. art. 32-bis, comma 6, del Codice).
Al riguardo, si segnala che il Garante, con il provvedimento del 12 maggio 2011 (pubblicato in G.U. n. 127 del 3 giugno 2011 e disponibile sul sito dell´Autorità, doc. web n. 1813953), ha prescritto alle banche, quale misura opportuna, di comunicare tempestivamente all´Autorità ?fornendo idonei dettagli? i casi in cui risultino accertate violazioni, accidentali o illecite, nella protezione dei dati personali, purché di particolare rilevanza per la qualità o la quantità di dati coinvolti e/o il numero di clienti interessati, dalle quali derivino la distruzione, la perdita, la modifica, la rivelazione non autorizzata dei dati della clientela.
Al riguardo, anche al fine di individuare i soggetti interessati dalla nuova disciplina, si rinvia alle indicazioni fornite dal Garante con il provvedimento relativo alla "Sicurezza dei dati di traffico telefonico e telematico" (provv. del 17 gennaio 2008, pubblicato in G.U. n. 30 del 5 febbraio 2008, come modificato e integrato dal provvedimento del 24 luglio 2008, pubblicato in G.U. n 189 del 13 agosto 2008), nel quale vi è una sostanziale identità di titolari tenuti alla conservazione ex art. 132 del Codice, nonché all´adozione delle misure ivi prescritte.
In tale provvedimento, infatti, è stato evidenziato che "fornitori di servizi di comunicazione elettronica accessibili al pubblico", sono quei soggetti che realizzano esclusivamente, o prevalentemente, una trasmissione di segnali su reti di comunicazioni elettroniche, a prescindere dall´assetto proprietario della rete, e che offrono servizi a utenti finali secondo il principio di non discriminazione (cfr. anche direttiva 2002/21/Ce del Parlamento europeo e del Consiglio, che istituisce un quadro normativo comune per le reti e i servizi di comunicazione elettronica (c.d. direttiva quadro) e d.lg. n. 259/2003 recante il Codice delle comunicazioni elettroniche).
- i gestori dei siti Internet che diffondono contenuti sulla rete (c.d. "content provider"). Essi non sono, infatti, fornitori di un "servizio di comunicazione elettronica" come definito dall´art. 4, comma 2, lett. e) del Codice. Tale norma, infatti, nel rinviare, per i casi di esclusione, all´art. 2, lett. c) della direttiva 2002/21/Ce cit., esclude essa stessa i "servizi che forniscono contenuti trasmessi utilizzando reti e servizi di comunicazione elettronica […]";
Da ciò emerge, pertanto, come gli obblighi di comunicazione derivanti da eventuali violazioni di dati personali dei clienti (o di altre persone interessate) incombano sul MVNO, l´unico a conoscere, nella maggior parte dei casi, l´identità dei clienti stessi. E tuttavia, in ragione del fatto che, come detto, il servizio viene materialmente erogato dal MNO, è necessario che tale soggetto renda noti tutti gli eventi e le informazioni concernenti l´avvenuta violazione all´operatore virtuale, in modo tale che questo possa adempiere ai propri obblighi nei confronti del Garante e, eventualmente, dei clienti.
Si tratta di valutazioni sostanzialmente analoghe a quelle che i fornitori, sino al 10 febbraio scorso, erano tenuti ad effettuare ai fini della redazione del Documento programmatico sulla sicurezza, misura minima prevista dalla regola 19 del richiamato Disciplinare tecnico, abrogata dall´art. 45, comma 1, lett. d), del decreto legge 9 febbraio 2012, n. 5 (convertito, con modificazioni, dalla legge 4 aprile 2012, n. 35).
42. Adozione di adeguate misure di sicurezza (in consultazione).
3. porre particolare attenzione ai dispositivi portatili, predisponendo specifiche misure di sicurezza in grado di mitigare il rischio connesso alla portabilità dell´apparato, e di assicurare agli stessi un livello di sicurezza analogo a quello applicato agli altri dispositivi informatici, in considerazione del fatto che molto spesso le violazioni della sicurezza riguardano i dispositivi mobili utilizzati da dipendenti e collaboratori dei fornitori al di fuori degli uffici delle aziende.
Tali sommarie informazioni devono in ogni caso consentire all´Autorità di effettuare una prima valutazione dell´entità della violazione e devono, quindi, comprendere:
• l´indicazione del luogo in cui è avvenuta la violazione dei dati, anche nel caso in cui essa sia avvenuta a seguito di smarrimento di dispositivi o di supporti portatili;
• l´indicazione della natura e del contenuto dei dati anche solo presumibilmente coinvolti;
Si ritengono congrui, quali termini entro i quali provvedere alla comunicazione, quello di 24 ore dall´avvenuta conoscenza della violazione per la prima sommaria comunicazione, e quello di 3 giorni dalla stessa per la comunicazione dettagliata. Per agevolare l´adempimento, è stato predisposto un modello di comunicazione(*) da inviare al Garante, disponibile on line sul sito dell´Autorità e idoneo alla raccolta delle informazioni sulla violazione nonché al loro successivo trattamento con strumenti informatici da parte del Garante.
L´inventario dovrà essere continuamente aggiornato dai fornitori e messo a disposizione del Garante, qualora l´Autorità chieda di accedervi. Dovranno, inoltre, essere adottate dal fornitore idonee misure atte a garantire l´integrità e l´immodificabilità delle registrazioni in esso contenute.
In questo caso, si ritiene che il fornitore debba procedere alla suindicata comunicazione non oltre il termine di 3 giorni dall´avvenuta conoscenza della violazione. Il fornitore potrà poi scegliere il canale di comunicazione che riterrà più idoneo, tenendo conto di quanto indicato nel successivo punto 72.
71. Inintelligibilità dei dati (in consultazione).
72. Canale per la comunicazione al contraente o ad altre persone (in consultazione).
Si ritiene, cioè, che in alcuni casi siano più utili forme di comunicazione di carattere pubblico, quali la diffusione di avvisi su quotidiani, anche online, oppure per mezzo di emittenti radiofoniche, anche locali. Tali forme alternative di comunicazione ai contraenti o alle altre persone coinvolte dalla violazione vanno ovviamente realizzate anch´esse entro il più breve lasso di tempo e, comunque, entro il termine di 3 giorni indicato ai punti 5 e 7.
73. Valutazione del rischio che richiede la comunicazione al contraente o ad altre persone (in consultazione).
L´art. 162-ter stabilisce che la omessa o ritardata comunicazione della violazione di dati personali al Garante ex art. 32-bis, comma 1, è punita con la sanzione amministrativa del pagamento di una somma da venticinquemila euro a centocinquantamila euro; la omessa o ritardata comunicazione della violazione di dati personali al contraente o ad altra persona ex 32-bis, comma 2, è punita con la sanzione amministrativa del pagamento di una somma da centocinquanta euro a mille euro per ciascun contraente o altra persona interessata.
L´art. 168 punisce, infine, salvo che il fatto costituisca più grave reato, con la reclusione da sei mesi a tre anni il fornitore che dichiari o attesti falsamente notizie o circostanze, o produca atti o documenti falsi in occasione della comunicazione al Garante conseguente alla violazione di dati personali, nonché i soggetti, cui sia affidata l´erogazione del servizio, che effettuino false comunicazioni al fornitore.
Si avvisa che l´ufficio del Garante sta studiando modalità alternative per l´invio delle comunicazioni. Il modello è stato predisposto utilizzando lo standard di fatto PDF ed è leggibile attraverso un software gratuito e facilmente scaricabile in rete, oltre che nella disponibilità della generalità degli operatori ai quali è destinato il provvedimento del Garante. Per qualunque necessità il modulo può essere richiesto via PEC, anche in via precauzionale (prima che si verifichino eventuali violazioni) in modo da avere il modulo immediatamente disponibile per le eventuali notifiche al Garante. L´ufficio è disponibile per ogni ulteriore chiarimento, oltre che aperto ai suggerimenti che perverranno attraverso la consultazione pubblica.