Garante privacy: ISP avvisino vittime di furti di dati

Il Garante per la privacy ha reso note le linee guida da seguire nel caso in cui società telefoniche e Internet provider perdano (per incidente, o per sottrazione) i dati personali degli utenti.

Si tratta di una normativa che attua la normativa europea in materia di sicurezza e privacy nel settore delle comunicazioni elettroniche, e che è stata di recente recepita nel nostro Paese tramite il decreto legislativo 69/2012.

Il Garante ha stabilito gli obblighi cui devono sottostare provider e operatori - e soltanto loro - in caso di perdita o sottrazione dei dati.

Innanzitutto devono comunicare entro 24 ore al Garante stesso tutte le informazioni necessarie per arrivare a una prima valutazione dell'entità della violazione; quindi, entro tre giorni, dovranno fornire una descrizione più dettagliata.

Dopo le indagini dell'Autorità dovranno anche far sapere quali misure hanno adottato per evitare che si ripeta la situazione che ha portato alla perdita dei dati.

Qualora i casi di violazione siano particolarmente gravi, inoltre, società telefoniche e ISP dovranno avvisare di quanto avvenuto anche i singoli utenti.

Per definire la gravità di una situazione, il Garante indica come criteri il «grado di pregiudizio» che la perdita o distruzione dei dati può comportare (come il furto d'identità), l'attualità dei dati (dati più recenti sono più interessanti per i malintenzionati), la loro qualità (quelli finanziari o sanitari sono più interessanti, sempre per i malintenzionati) e la quantità.

I provider dovranno inoltre tenere un «inventario» delle violazioni subite, completo di tutti i dati (dalle circostanze in cui si sono verificate alle conseguenze, passando per i provvedimenti adottati).

Chi non ottempererà a quanto imposto andrà incontro a sanzioni: una comunicazione non tempestiva al Garante farà rischiare una multa da 25.000 a 150.000 euro, mentre la ritardata o mancata comunicazione ai diretti interessati comporterà una sanzione da 150 a 1.000 euro per soggetto. Infine, trascurare di mantenere l'inventario delle violazioni potrà costare da 20.000 a 120.000 euro.