Con la pubblicazione in Gazzetta Ufficiale, il provvedimento del Garante per la Protezione dei Dati Personali che impone la segnalazione di ogni violazione della privacy è entrato in vigore.

Da ora, operatori telefonici e Internet Provider sono obbligati, in caso si verifichino «gravi violazioni a seguito di attacchi informatici o di eventi avversi, come incendi o altre calamità che possano comportare perdita, distruzione o diffusione indebita dei dati», ad avvisare il Garante stesso.

Si tratta di un provvedimento che recepisce la direttiva europea sulla privacy nel settore delle comunicazioni elettroniche; entro 24 ore dalla scoperta della violazione le società devono avvisare il Garante tramite il modello messo a disposizione sul sito.

Proposte di lettura:

Fatti smart! Il Garante privacy spiega come usare lo smartphone

SEC: le aziende devono informare sugli hacker

Violata la rete di Sega

PlayStation Network violato, pronte le class action

Qualora la violazione sia particolarmente grave, poi, ISP e società telefoniche devono avvisare non solo il Garante ma «anche ciascun utente coinvolto, facendo riferimento a alcuni parametri fondamentali: il grado di pregiudizio che la perdita o la distruzione dei dati può comportare (furto di identità, danno fisico, danno alla reputazione); l’ "attualità" dei dati (dati più recenti possono rivelarsi più interessanti per i malintenzionati); la qualità (finanziari, sanitari, giudiziari etc.) e la quantità dei dati coinvolti».

«La comunicazione agli utenti» - prosegue l'Autorità - «non è dovuta se si dimostra di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendono inintelligibili i dati».

Infine, le società dovranno tenere un inventario aggiornato di tutte le violazioni subito, comprensivo di circostanze in cui queste sono avvenute, delle conseguenze avute e dei provvedimenti adottati.

Il provvedimento comprende anche delle sanzioni che possono essere comminate dal Garante in caso gli obblighi non vengano adempiuti. La mancanza di comunicazione o una comunicazione effettuata in ritardo all'Autorità espone a una sanzione da 25.000 a 150.000 euro; la stessa mancanza (o ritardo) ma nei confronti degli utenti espone a una sanzione da 150 a 1.000 euro «per ogni società, ente o persona interessata».

Chi poi non tiene aggiornato l'inventario rischia una multa da 20.000 a 120.000 euro.