Skip to main content

Nuove regole sulla data breach notification per Telco & ISP

Image
By


La Commissione europea presenta nuove regole sulla data breach notification di Telco e Internet Service Provider.

Il 26 giugno 2013, è stato pubblicato, nella Gazzetta ufficiale dell'Unione europea, un nuovo regolamento della Commissione che si rivolge, appunto, ad operatori di telecomunicazioni (telecom) e ad Internet Service Provider (ISP), indicando che cosa debba essere fatto in caso di “perdita, furto o altra compromissione” di dati personali dei clienti.
Lo scopo delle nuove norme è quello di consentire alle imprese, che operano in più di un paese dell'Unione europea, un approccio “paneuropeo” da tenersi in caso di data breach.

E’ noto che sin dal 2011, le Teleco e gli ISP hanno avuto l’obbligo, ai sensi del Regolamento “e-privacy” 2011, di comunicare alle Autorità nazionali per la protezione dei dati e a tutti gli interessati “colpiti” dalla violazione di sicurezza, le violazioni di dati personali verificatesi.

Tuttavia il Regolamento 2011 era carente con riguardo alla tempistica per procedere alla notifica delle violazioni. 

Secondo il nuovo regolamento, le aziende saranno tenute a comunicare la violazione dei dati personali all'Autorità nazionale competente entro 24 ore dal rilevamento della violazione, al fine di circoscriverne al massimo gli effetti. Nell’impossibilità di fornire un’informativa completa entro tale termine, si dovrà procedere ad una notifica "iniziale" (ovvero allo stato delle informazioni di cui si dispone) entro 24 ore mentre il resto delle informazioni (carenti in prima istanza) potranno essere comunicate entro 3 giorni.

L'allegato 1 del regolamento individua le informazioni che devono essere contenute nella notifica della violazione all'Autorità nazionale competente.

Nel valutare se procedere alla notificazione agli interessati delle violazioni avvenute, le società devono tenere in considerazione:
  1. la natura e il contenuto dei dati compromessi, in particolare quando i dati riguardino le informazioni finanziarie, i dati di localizzazione, i file di log di internet, la cronologia della navigazione, i dati delle e-mail e le liste delle chiamate dettagliate;
  2. le probabili conseguenze della violazione per l’interessato, e se
  3. i dati siano stati rubati o siano in possesso di un terzo non autorizzato.

L'allegato 2 del regolamento individua le informazioni che devono essere contenute nella notifica della violazione all’interessato.


Il Regolamento entrerà in vigore il 25 agosto 2013 e non necessita di una norma attuativa, avendo effetto diretto in ciascuno Stato membro.
Labels:

Comments

Post a Comment

Popular posts from this blog

Il Garante si pronuncia su telecomunicazioni e profilazione

By
Dall’attività ispettiva dell’Autorità sono emerse attività di profilazione prive dei presupposti di legge. Nulla di nuovo sotto il cielo, noi consumatori abbiamo sempre saputo che determinate telefonate, magari accompagnate da improvvise interruzioni della comunicazione nel momento in cui chiedevamo l’origine dei dati trattati dall’operatore, sottendevano che i nostri dati subissero trattamenti – non consentiti – anche molto tempo dopo aver cambiato operatore tlc. In parte noi consumatori dobbiamo assumerci le nostre responsabilità, diciamo la verità è piuttosto raro che un utente eserciti i diritti previsti dall’art. 7, comma 3, lettere b) e c) del codice privacy, ossia: - la richiesta di “cancellazione o trasformazione in forma anonima dei dati trattati in violazione di legge”; - l'attestazione che l’operazione di “cancellazione o trasformazione in forma anonima” sia stata portata a conoscenza, anche per quanto riguarda il contenuto, “di coloro ai quali i dati sono stati comunica...
Post a Comment
continua a leggere

La privacy è un costo! Occulto?

By
Sulla risposta che molti addetti ai lavori conoscono bene quando devono convincere riluttanti Responsabili aziendali a mettersi in regola si è interrogato, sul numero di luglio della newsletter Crypto-Gram (la versione italiana curata dall'azienda Communication Valley è disponibile qui ), uno dei guru mondiali dell'IT Security: Bruce Sheiner. Sheiner parte da una constatazione che chi fa questo mestiere per professione non può che condividere: le aziende spendono i propri soldi mal volentieri per adeguarsi alla privacy (sia essa obbligo di legge o esigenza aziendale connessa con altre esigenze) semplicemente perché è costoso e una buona fetta di tale spesa viene assorbita dai meccanismi di conformità e non serve al miglioramento effettivo della privacy di nessuno . Sheiner spiega in modo convincente le ragioni che sottendono a questo modo di vedere la privacy: le entità a cui affidiamo i nostri dati spesso non hanno grandi incentivi per rispettarla. Un esempio su tutti...
Post a Comment
continua a leggere

Il Provvedimento del Garante per la tutela dei dati personali sugli Amministratori di Sistema

By
Il 27 novembre 2008, il Garante ha adottato un provvedimento volto a colmare un vuoto lasciato nel 2003 dal legislatore quando, in sede di stesura del decreto legislativo sulla tutela dei dati personali, non ritenne necessario introdurre un’apposita regolamentazione per la figura dell’amministratore di sistema. Il provvedimento invita i titolari dei trattamenti a porsi nelle condizioni per controllare gli amministratori di sistema che, troppo spesso, interpretano, all’interno delle realtà aziendali, il ruolo di “deus ex machina”. Attraverso il provvedimento vengono prescritte alcune misure di sicurezza da adottare entro il 30 giugno 2009 . Due eventi, in particolare, rendono il provvedimento attualissimo: -           l’apertura di una consultazione pubblica (che si è chiuso il 31 maggio 2009) - con questa disposizione l’Autorità intende raccogliere impressioni, suggerimenti, critiche, attinenti il provvedimento, in modo da valutare l’opportunità di integrarlo o modificarlo; -  ...
Post a Comment
continua a leggere