L’obbligo del gestore di Data Center in caso di “data breach”

La parola all’Avvocato

Risponde l’Avv.  Diego Maria Poggi, Torino

Un recente provvedimento del Garante della Privacy (n. 343 del 26 luglio 2017, leggibile al seguente link http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/6821202) merita attenzione.

L’art. 32 bis del d.lvo. 30 giugno 2003, n. 196 reca la disciplina relativa alle violazioni di dati personali nell’ambito dei “servizi di comunicazione elettronica”.

Il sesto comma di tale articolo assegna espressamente al Garante il potere di emanare “orientamenti e istruzioni in relazione alle circostanze in cui il fornitore ha l’obbligo di comunicare le violazioni di dati personali”.

Tale potere è funzionale a consentire un rapido aggiornamento normativo di secondo livello, da parte dell’Organo Amministrativo Indipendente, per ovviare ai ritardi del Legislatore Ordinario rispetto alle necessità di adeguamento delle regole all’incalzante progresso tecnologico, particolarmente evidente nel settore telematico.

Peraltro non ogni accesso abusivo ai dati comporta l’obbligo di notifica, se si tratta di dati non utilizzabili in quanto criptati e non decifrabili.

Nel caso del provvedimento citato il Garante ha confermato il principio per cui già la semplice acquisizione di credenziali di accesso è fonte di “potenziale pregiudizio per gli interessati” indipendentemente dal fatto che ne consegua un effettivo utilizzo per accedere a specifiche aree riservate.

Nel caso in questione infatti -trattandosi di gestore telefonico-  le user-id consistevano nel numero telefonico dell’utente e risultavano quindi immediatamente utilizzabili anche da sole; perciò il Garante ha imposto al fornitore di servizi di ampliare notevolmente la platea dei soggetti da informare per iscritto, da circa 400 a oltre 28.000.

Nella Foto L’Avv. Diego Maria Poggi, Torino