Scatta l’obbligo per società telefoniche e Internet provider di avvisare il Garante privacy e gli utenti quando i dati trattati per fornire i servizi subiscono gravi violazioni a seguito di attacchi informatici o di eventi avversi, come incendi o altre calamità, che possano comportare perdita, distruzione o diffusione indebita di dati.

Il Garante per la privacy ha infatti adottato, all’esito di una consultazione pubblica, un provvedimento generale che fissa, in attuazione della direttiva europea sulla privacy nel settore delle comunicazioni elettroniche, gli adempimenti per i casi in cui si dovessero verificare i cosiddetti “data breach”.

Il provvedimento, pubblicato in Gazzetta Ufficiale il 26 aprile scorso, stabilisce che l’obbligo di comunicare le violazioni di dati personali, contenuti in particolare in data base elettronici o cartacei, spetta esclusivamente ai fornitori di servizi telefonici e di accesso a Internet, mentre rimangono esclusi dal provvedimento i siti internet che diffondono contenuti, i motori di ricerca, gli internet point e le reti aziendali.

Entro 24 ore dalla scoperta dell’evento, società di tlc e Isp devono fornire al Garante le informazioni necessarie a consentire una prima valutazione dell’entità della violazione (ad esempio, tipologia dei dati coinvolti, descrizione dei sistemi di elaborazione, indicazione del luogo dove è avvenuta la violazione) e per dettta comunicazione potrà essere usato il modello predisposto dal Garante.

Nei casi più gravi di violazione, però, oltre che l’Authority, le società telefoniche e gli Isp dovranno informare entro tre giorni anche ciascun utente coinvolto, facendo riferimento a alcuni parametri fondamentali: il grado di pregiudizio che la perdita o la distruzione dei dati può comportare (furto di identità, danno fisico, danno alla reputazione); l’ “attualità” dei dati (dati più recenti possono rivelarsi più interessanti per i malintenzionati); la qualità (finanziari, sanitari, giudiziari etc.) e la quantità dei dati coinvolti.

La comunicazione agli utenti non è dovuta se si dimostra di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendono inintelligibili i dati, ma il Garante può comunque imporla nei casi più gravi. Per consentire l’attività di accertamento del Garante, le società telefoniche e i provider dovranno tenere un inventario costantemente aggiornato delle violazioni subite che dia conto delle circostanze in cui queste si sono verificate, le conseguenze che hanno avuto e i provvedimenti adottati a seguito del loro verificarsi.

La mancata o ritardata comunicazione al Garante espone le società telefoniche e gli Internet provider a una sanzione amministrativa che va da 25mila a 150mila euro. Sanzioni previste anche per la omessa o mancata comunicazione agli utenti che vanno da 150 euro a 1000 euro per ogni società, ente o persona interessata. La mancata tenuta dell’inventario aggiornato è punita con la sanzione da 20mila a 120mila euro.

E’ ormai ufficiale: entro pochi mesi chi navigherà su internet potrà decidere in maniera libera e consapevole se far usare o no le informazioni sui siti visitati per ricevere pubblicità mirata.

Come era stato recentemente annunciato, il Garante per la Privacy ha avviato una consultazione pubblica che si chiuderà il 19 marzo 2013 indirizzata ai gestori dei siti web e alle associazioni maggiormente rappresentative dei consumatori allo scopo di acquisire contributi e suggerimenti sulla base di quanto previsto dalla direttiva 2009/136/CE in materia di cookies.

La Consultazione risponde all’esigenza introdotta dal comma 1 dell’art. 122 del Codice per la protezione dei dati personali ed è volta ad individuare le modalità semplificate di cui all’art. 13 comma 3 attraverso la valutazione delle proposte.

I cookie – spiega l’Autorità – sono piccoli file di testo che i siti visitati inviano al terminale (computer, tablet, smartphone, notebook ecc.) dell’utente, dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla visita successiva. Sono usati per eseguire autenticazioni informatiche, monitoraggio di sessioni e memorizzazione di informazioni riguardanti la navigazione on line (senza l’uso dei cookie “tecnici” alcune operazioni risulterebbero molto complesse o impossibili da eseguire), ma sono molto spesso utilizzati dai siti per raccogliere importanti e delicate informazioni all’insaputa degli utenti sui loro gusti, sulle loro abitudini, sulle loro scelte.

Se però i cookie “tecnici” possono essere utilizzati anche senza consenso (rimane fermo per i gestori dei siti l’obbligo di informare gli utenti della loro presenza in maniera il più possibile semplice, chiara e comprensibile),è obbligatorio, invece, il consenso preventivo e informato dell’utente per tutti i cookie “non tecnici”, quelli cioè che, – spiega l’Autorità – monitorando i siti visitati, raccolgono dati personali che consentono la costruzione di un dettagliato profilo del consumatore, e che proprio per questo motivo presentano maggiori criticità per la privacy degli utenti.

I gestori dei siti non possono, dunque, installare cookie per finalità di profilazione e marketing sui terminali degli utenti senza averli prima adeguatamente informati e aver acquisito un valido consenso.

Come anticipato, la consultazione avviata dal Garante si concluderà entro 90 giorni dalla pubblicazione del provvedimento sulla Gazzetta Ufficiale e le proposte relative all’informativa semplificata potranno essere inviate all’Autorità per posta o in via telematica alla e-mail consultazionecookie@gpdp.it.