26.6.2013   

IT

Gazzetta ufficiale dell'Unione europea

L 173/2

(1)

La direttiva 2002/58/CE prevede l’armonizzazione delle disposizioni nazionali necessarie per garantire un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata e alla riservatezza, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno dell’Unione.

(2)

A norma dell’articolo 4 della direttiva 2002/58/CE, i fornitori di servizi di comunicazione elettronica accessibili al pubblico sono tenuti a notificare le violazioni di dati personali alle autorità nazionali competenti e, in alcuni casi, anche agli abbonati e alle altre persone interessate. Ai sensi dell’articolo 2, lettera i), della direttiva 2002/58/CE, si intende per «violazione dei dati personali» una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico nell’Unione.

(3)

Per garantire l’attuazione uniforme delle misure di cui all’articolo 4, paragrafi 2, 3 e 4 della direttiva 2002/58/CE, l’articolo 4, paragrafo 5, della stessa direttiva conferisce alla Commissione la facoltà di adottare misure tecniche di attuazione riguardanti le circostanze, il formato e le procedure applicabili alle prescrizioni in materia di informazioni e comunicazioni di cui allo stesso articolo.

(4)

L’esistenza di requisiti nazionali divergenti in proposito può dar luogo a incertezza giuridica, a procedure più complesse e gravose e a costi amministrativi considerevoli per i fornitori che operano a livello transfrontaliero. La Commissione ritiene pertanto necessario adottare le suddette misure tecniche di attuazione.

(5)

Il presente regolamento riguarda esclusivamente la notifica delle violazioni di dati personali e non fissa pertanto misure tecniche di attuazione con riguardo all’articolo 4, paragrafo 2, della direttiva 2002/58/CE sull’informazione degli abbonati nel caso in cui esista un particolare rischio di violazione della sicurezza della rete.

(6)

Dall’articolo 4, paragrafo 3, primo comma, della direttiva 2002/58/CE consegue che i fornitori sono tenuti a notificare tutte le violazioni di dati personali all’autorità nazionale competente. Al fornitore non dev’essere pertanto lasciata la possibilità di decidere se informare o meno tale autorità. Ciò non deve tuttavia impedire all’autorità nazionale competente interessata di indagare in via prioritaria su determinate violazioni nel modo che ritiene adeguato conformemente alla legislazione applicabile e di adottare le misure necessarie per evitare che vi siano troppe o troppo poche violazioni di dati personali segnalate.

(7)

È opportuno prevedere un sistema di notifica delle violazioni di dati personali all’autorità nazionale competente che comporti, ove sussistano determinate condizioni, fasi distinte a cui si applicano scadenze ben definite. Questo sistema è volto a garantire che l’autorità nazionale competente venga informata con la massima tempestività e precisione, senza tuttavia ostacolare indebitamente gli sforzi compiuti dal fornitore per indagare sulla violazione e prendere le misure necessarie per arginarla e porre rimedio alle sue conseguenze.

(8)

Ai fini del presente regolamento, il semplice sospetto che si sia verificata una violazione di dati personali o la semplice individuazione di un incidente non accompagnati da informazioni sufficienti, malgrado tutti gli sforzi messi in atto da un fornitore per disporne, non possono essere considerati sufficienti per ritenere che è stata individuata una violazione di dati personali. A questo proposito, una particolare attenzione deve essere riservata al possesso delle informazioni di cui all'allegato I.

(9)

Nel quadro dell’applicazione del presente regolamento, è opportuno che le autorità nazionali competenti interessate prestino la loro collaborazione nei casi di violazione di dati personali che presentano una dimensione transnazionale.

(10)

Il presente regolamento non fornisce specifiche supplementari con riguardo all’inventario delle violazioni di dati personali che i fornitori devono compilare, dato che l’articolo 4 della direttiva 2002/58/CE ne definisce il contenuto in maniera esaustiva. I fornitori possono tuttavia far riferimento al presente regolamento per determinare il formato dell’inventario.

(11)

È necessario che tutte le autorità nazionali competenti mettano a disposizione dei fornitori uno strumento elettronico sicuro per la notifica delle violazioni di dati personali in un formato comune, basato su una norma come l’XML e contenente le informazioni di cui all’allegato I nelle lingue pertinenti, in modo da consentire a tutti i fornitori all’interno dell’Unione di seguire una procedura di notifica analoga, a prescindere dal luogo di stabilimento e dal luogo della violazione. A questo proposito, è opportuno che la Commissione faciliti l’introduzione dello strumento elettronico sicuro organizzando, ove necessario, riunioni con le autorità nazionali competenti.

(12)

Nel valutare se una violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona occorre tener conto, in particolare, della natura e del contenuto dei dati personali interessati, soprattutto nel caso di dati relativi a informazioni finanziarie quali numeri di carte di credito e coordinate bancarie, di categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE nonché di alcuni dati specificamente legati alla fornitura di servizi di telefonia o Internet, ossia dati relativi alla posta elettronica, dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete ed elenchi dettagliati delle chiamate.

(13)

In circostanze eccezionali è opportuno che il fornitore sia autorizzato a ritardare la notifica all’abbonato o ad altra persona, qualora tale notifica possa mettere a rischio il corretto svolgimento dell’indagine sulla violazione di dati personali. In questo contesto, le circostanze eccezionali possono includere indagini penali e altre violazioni di dati personali non equiparabili a un reato grave, ma per le quali può essere opportuno posticipare la notifica. È comunque opportuno che spetti alle autorità nazionali competenti valutare, caso per caso e alla luce delle circostanze, se accogliere il rinvio o esigere la notifica.

(14)

I fornitori devono disporre delle coordinate dei propri abbonati, dato il loro rapporto contrattuale diretto, ma è possibile che tali informazioni non esistano per altre persone lese dalla violazione di dati personali. In tal caso, è opportuno che al fornitore venga consentito di informare in un primo tempo tali persone mediante annunci pubblicitari sui principali mezzi di comunicazione nazionali o regionali, come i giornali, per poi trasmettere, non appena possibile, una notifica individuale secondo quanto previsto dal presente regolamento. Il fornitore non è dunque espressamente obbligato a ricorrere a tali mezzi di comunicazione, ma ha piuttosto la facoltà di farlo se lo desidera, quando è ancora nella fase di identificazione di tutte le persone lese.

(15)

È opportuno che le informazioni relative alla violazione si limitino esclusivamente alla violazione stessa e non siano associate ad informazioni di altro tipo. Ad esempio, l’inclusione di informazioni riguardanti una violazione di dati personali in una regolare fattura non può essere considerata un mezzo adeguato di notifica di tale violazione.

(16)

Il presente regolamento non definisce misure tecnologiche di protezione specifiche che giustifichino una deroga all’obbligo di notifica delle violazioni di dati personali agli abbonati o ad altre persone interessate, poiché tali misure possono mutare nel tempo in funzione del progresso tecnologico. È tuttavia opportuno che la Commissione abbia la possibilità di pubblicare un elenco indicativo di tali misure tecnologiche di protezione specifiche in base alle prassi attuali.

(17)

Il ricorso a tecniche di crittografia o di hashing non deve essere ritenuto di per sé sufficiente dai fornitori per poter asserire in termini più generali di aver ottemperato all’obbligo generale di sicurezza di cui all’articolo 17 della direttiva 95/46/CE. A tal riguardo, i fornitori devono altresì applicare adeguate misure organizzative e tecniche volte a prevenire, individuare e bloccare le violazioni di dati personali. Essi devono inoltre esaminare ogni rischio residuo ancora presente una volta applicati i controlli al fine di comprendere se sussiste la possibilità che si verifichino violazioni di dati personali.

(18)

Se il fornitore ricorre a un altro fornitore per svolgere una parte del servizio, ad esempio per quanto riguarda la fatturazione o per funzioni di gestione, è opportuno che quest'altro fornitore, che non ha un rapporto contrattuale diretto con l’utilizzatore finale, non sia obbligato a notificare le violazioni di dati personali. Esso deve invece allertare e informare il fornitore con cui ha un rapporto contrattuale diretto. Questo principio deve valere anche nel contesto della fornitura all’ingrosso di servizi di comunicazione elettronica, in cui in genere il fornitore all’ingrosso non ha un rapporto contrattuale diretto con l’utilizzatore finale.

(19)

La direttiva 95/46/CE definisce un quadro generale per la protezione dei dati personali nell’Unione europea. La Commissione ha presentato una proposta di regolamento del Parlamento europeo e del Consiglio (il «regolamento sulla protezione dei dati») volto a sostituire la direttiva 95/46/CE. Il proposto regolamento sulla protezione dei dati intende introdurre l’obbligo per tutti i responsabili del trattamento di dati di notificare le violazioni di dati personali, sulla base dell’articolo 4, paragrafo 3, della direttiva 2002/58/CE. Il presente regolamento della Commissione è pienamente compatibile con la misura proposta.

(20)

Il proposto regolamento sulla protezione dei dati introduce inoltre un numero limitato di adeguamenti tecnici alla direttiva 2002/58/CE per tener conto della conversione in regolamento della direttiva 95/46/CE. Le conseguenze in materia di diritto sostanziale per la direttiva 2002/58/CE prodotte dal nuovo regolamento saranno oggetto di una revisione della Commissione.

(21)

È opportuno che l’applicazione del presente regolamento venga riesaminata a distanza di tre anni dall’entrata in vigore e che il suo contenuto sia riveduto alla luce del contesto giuridico in vigore in quel momento, incluso il proposto regolamento sulla protezione dei dati. Ove possibile, il riesame del presente regolamento deve essere associato a ogni futura revisione della direttiva 2002/58/CE.

(22)

L’applicazione del presente regolamento può essere valutata fra l’altro in base alle statistiche tenute dalle autorità nazionali competenti con riguardo alle violazioni di dati personali che vengono loro notificate. Tali statistiche possono ad esempio includere informazioni sul numero di violazioni di dati personali notificate all’autorità nazionale competente, sul numero di violazioni di dati personali notificate all’abbonato o ad altra persona, sul tempo impiegato per rimediare alla violazione e sull’eventuale adozione di misure tecnologiche di protezione. È opportuno che tali statistiche forniscano alla Commissione e agli Stati membri dati statistici coerenti e comparabili senza rivelare né l’identità del fornitore da cui è partita la notifica né quella degli abbonati o delle altre persone coinvolte. A tal fine la Commissione può anche organizzare riunioni regolari con le autorità nazionali competenti e altre parti interessate.

(23)

Le misure di cui al presente regolamento sono conformi al parere del comitato per le comunicazioni,

a)

la natura e il contenuto dei dati personali interessati, in particolare qualora essi riguardino informazioni finanziarie, categorie particolari di dati di cui all’articolo 8, paragrafo 1, della direttiva 95/46/CE, nonché dati relativi all’ubicazione, file di connessione a Internet, cronologie di navigazione in rete, dati relativi alla posta elettronica ed elenchi dettagliati delle chiamate;

b)

le probabili conseguenze della violazione di dati personali per l’abbonato o l’altra persona interessata, in particolare nel caso in cui la violazione possa comportare furto o usurpazione di identità, danni fisici, disagio psicologico, umiliazione o danni alla reputazione; nonché

c)

le circostanze della violazione di dati personali, in particolare nel caso in cui i dati siano stati rubati o se il fornitore è a conoscenza del fatto che i dati sono in possesso di un terzo non autorizzato.

a)

sono stati crittografati in modo sicuro mediante un algoritmo standardizzato, la chiave utilizzata per decifrarli non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi; o

b)

sono stati sostituiti dal loro valore hash calcolato mediante una funzione di hash con chiave crittografica normalizzata, la chiave utilizzata per l’hashing dei dati non è stata compromessa nell’ambito di una violazione della sicurezza ed è stata generata in modo tale da non poter essere individuata con i mezzi tecnologici disponibili da qualcuno che non sia autorizzato ad accedervi.