il blog di Riccardo Abeti

Finchè gli avvertimenti e i suggerimenti del ICO e delle Associazioni a tutela del diritto alla riservatezza rimarranno inascoltati, continueranno verificarsi un numero crescente di g ravi violazioni della legge sulla protezione dei dati . Il 23 agosto, è emerso ad un Comune del Regno Unito è stata comminata una sanzione di 70.000 sterline per aver pubblicato online i dati personali di più di 2.000 residenti. Tale divulgazione non intenzionale e potenzialmente dannosa è stata, apparentemente, causata da una mancanza di consapevolezza dei pericoli connessi con la ‘ disclosure ’ di alcuni ‘data set’ senza una previa verifica se questi contenessero dati nascosti. Da un po’ di tempo, circolano diverse relazioni che documentano fatti analoghi in relazione alla divulgazione involontaria di dati personali da parte di autorità pubbliche intenzionate a pubblicare i dati reputandoli anonimi o aggregati.  Questi incidenti sono legati alle richieste di ostensione di informazion...

La Commissione europea presenta nuove regole sulla data breach notification di Telco e Internet Service Provider. Il 26 giugno 2013, è stato pubblicato, nella Gazzetta ufficiale dell'Unione europea, un nuovo regolamento della Commissione che si rivolge, appunto, ad operatori di telecomunicazioni (telecom) e ad Internet Service Provider (ISP), indicando che cosa debba essere fatto in caso di “perdita, furto o altra compromissione” di dati personali dei clienti. Lo scopo delle nuove norme è quello di consentire alle imprese, che operano in più di un paese dell'Unione europea, un approccio “paneuropeo” da tenersi in caso di data breach. E’ noto che sin dal 2011, le Teleco e gli ISP hanno avuto l’obbligo, ai sensi del Regolamento “e-privacy” 2011, di comunicare alle Autorità nazionali per la protezione dei dati e a tutti gli interessati “colpiti” dalla violazione di sicurezza, le violazioni di dati personali verificatesi. Tuttavia il Regolamento 2011 era carent...

Oggi mi sono imbattuto in questa notizia . I Call center potranno, se passa questo emendamento, contare su un'ulteriore proroga (si veda il comma 6) del famigerato decreto (poi convertito in legge) che a febbraio 2009 concesse l'uso dei dati personali per attività di teleselling fino al dicembre 2009 introducendo questo articolo: "1-bis. I dati personali presenti nelle banche dati costituite sulla base di elenchi telefonici pubblici formati prima del 1º agosto 2005, sono lecitamente utilizzabili per fini promozionali sino al 31 dicembre 2009, anche in deroga agli articoli 13 e 23 del decreto legislativo 30 giugno 2003, n. 196, dai soli titolari del trattamento che hanno provveduto a costituire dette banche dati prima del 1º agosto 2005". Eppure nel marzo del 2009 il Garante, proprio per far fronte a quella cha aveva definito come una “selvaggia aggressione”, aveva promulgato un ulteriore provvedimento sfruttando i poteri riconosciuti alle autorità amministrative...

Torno, come promesso, a parlare di autorità amministrative indipendenti e, per consecutio logica, delle problematiche relative al valore che può attribuirsi ai pronunciamenti nel contesto della gerarchia delle fonti considerato che le due questioni sono, a mio avviso, facce della stessa medaglia. In particolare ad essere oggetto di esame è il difficile equilibrio tra Legge e Provvedimenti del Garante Privacy che, da tempo, è oggetto di controversie interpretative. Basti pensare al Provvedimento di natura prescrittiva sugli Amministratori di sistema: perché alcune indicazioni di natura generale diventano obbligatorie, vincolanti e foriere di sanzioni (penali e civili) per il Titolare che ne ometta l’applicazione quando né il vigente Codice Privacy né altre leggi accennano a questa figura (da non confondersi con l’operatore di sistema di cui alla novellata legge sui crimini informatici)? Per poter dare una risposta vale la pena partire da quanto affermato nel precedente post: l’Autorità...