DATA BREACH E SICUREZZA

L’Autorita', al fine di innalzare i livelli di tutela dei dati contenuti nelle banche dati delle amministrazioni pubbliche, ha previsto che:

• tutte le amministrazioni pubbliche debbano comunicare al Garante le violazioni o gli incidenti informatici (accessi abusivi, azione di malware) che possano mettere a rischio i dati personali ivi contenuti. I cd. data breach, quindi, dovranno essere comunicati al Garante, utilizzando un apposito schema, entro 48 ore dalla conoscenza del fatto (provv. 2 luglio 2015, n. 393, doc. web n. 4129029).

Il Garante, in attesa della definizione degli “standard di comunicazione e le regole tecniche” da parte di AgID previsti dalla nuova formulazione dell’art. 58, comma 2, del Cad, ha dettato le misure di sicurezza in ogni caso necessarie. Cio' in considerazione dalla delicatezza delle informazioni contenute nelle banche dati, dell’ingente mole dei dati ivi trattati e dalla molteplicita' dei soggetti autorizzati ad accedervi. L’Autorita' ha altresi' ribadito le misure tecniche e organizzative da predisporre al fine di prevenire il verificarsi di violazioni o di incidenti informatici, gia' individuate nel 2013 (provv. 4 luglio 2013, n. 332, doc. web n. 2574977), specificando che la mancata comunicazione al Garante dei cd. data breach, nonche' la mancata adozione delle misure necessarie individuate nel provvedimento, configurano un illecito amministrativo sanzionato ai sensi dell’art. 162, comma 2-ter del Codice (cfr. par. 11.7).

Tra le dettagliate misure individuate dall’Autorita' vanno segnalate:

• la redazione da parte della p.a. erogatrice di un documento, costantemente aggiornato, con l’elenco delle banche dati accessibili e dei fruitori esterni autorizzati;
• la necessita' di stipulare comunque una convenzione (ovvero qualsivoglia atto bilaterale) quale strumento con cui le amministrazioni possono stabilire le garanzie a tutela del trattamento dei dati personali e dell’utilizzo dei sistemi informativi;
• l’identificazione degli utenti (persone fisiche incaricate) che hanno accesso alla banca dati, anche in caso di accessi attraverso web service, i quali devono essere esclusivamente integrati con il sistema informativo del fruitore e non possono essere resi disponibili a terzi per via informatica;
• gli accessi alle banche dati avvengano soltanto tramite l’uso di postazioni di lavoro connesse alla rete Ip dell’ente autorizzato o dotate di certificazione digitale che identifichi univocamente la postazione di lavoro nei confronti dell’erogatore, anche attraverso procedure di accreditamento che consentano di definire reti di accesso sicure (circuiti privati virtuali);
• l’adeguato tracciamento delle operazioni compiute e la predisposizione di idonee procedure di audit sugli accessi alle banche dati; il divieto per il soggetto pubblico fruitore di estrarre dati in via automatica e massiva e di creare nuove banche dati.

Con provvedimento 17 dicembre 2015 (n. 655, doc. web n. 4575714), il Garante ha espresso il parere sullo schema di decreto direttoriale predisposto congiuntamente dal Ministero dell’interno e dall’Istituto nazionale di statistica, che individua gli standard e gli indicatori finalizzati a monitorare la qualita' dei dati registrati nell’Anpr nella fase di subentro delle anagrafi comunali, in attuazione dell’art. 1, comma 3, d.P.C.M. 10 novembre 2014, n. 194 “Regolamento recante modalita' di attuazione e di funzionamento dell’Anagrafe nazionale della popolazione residente e ridefinizione del piano per il graduale subentro dell’Anpr alle anagrafi della popolazione residente”. Lo schema di decreto ha recepito gli approfondimenti e le indicazioni suggeriti dall’Ufficio in relazione all’esigenza di eliminare l’ulteriore indicatore basato sul raffronto dei dati individuali contenuti nell’anagrafe a fini amministrativi con i dati identificativi comunicati all’Istat dai comuni per finalita' statistiche a seguito della revisione post-censuaria, in contrasto con il divieto di utilizzare per finalita' amministrative dati raccolti per finalita' statistiche (cfr. art. 105 del Codice e provv.ti 15 e 29 ottobre 2015, n. 536, doc. web n. 4481301 e n. 566, doc. web n. 4476104).

Fonte: Garante - Relazione 2015