Entra in vigore la norma che impone a operatori telefonici e ISP di comunicare entro 24 ore dalla scoperta ogni caso di violazione o ogni evento calamitoso che metta a repentaglio l’integrità o la riservatezza dei dati.
Con una nota emessa nella giornata di venerdì, il Garante per la Privacy ha comunicato l’entrata in vigore dell’obbligatorietà per le società telefoniche e gli Internet provider di informare tanto gli utenti tanto il Garante stesso ogni qualvolta eventi naturali o dolosi mettano a rischio l’integrità o la riservatezza dei dati da loro conservati.
In altre parole, ogni volta che un attacco informatico o una calamità naturale o un evento disastroso provocano la perdita, la distruzione o la diffusione indebita di dati, è fatto obbligo sia alle società telefoniche sia ai fornitori di accesso Internet di informare entro 24 ore dalla scoperta dell’evento in primo luogo il Garante, fornendo le “informazioni necessarie a consentire una prima valutazione dell’entità della violazione (ad esempio, tipologia dei dati coinvolti, descrizione dei sistemi di elaborazione, indicazione del luogo dove è avvenuta la violazione)”, utilizzando un apposito modulo pubblicato sul sito stesso dell’Authority a questo indirizzo.
Nei casi più gravi, e in ogni caso entro tre giorni dalla scoperta dell’evento, insorge anche l’obbligo di informare gli utenti, obbligo che decade solo se il provider può dimostrare “di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendono inintelligibili i dati”, ferma restando la possibilità ce il Garante imponga in ogni caso la comunicazione, in casi di particolare gravità.
In caso di non ottemperanza ai nuovi obblighi, le sanzioni amministrative previste vanno dai 25.000 ai 150.000 euro, mentre si parla di ammende da 150 a 1.000 euro in caso di mancata comunicazione a ciascun ente, società o persona fisica interessata dalla violazione.
