Nel rispetto di quanto disposto dall'articolo 32 del Regolamento, ai fornitori di servizi di comunicazione elettronica accessibili al pubblico si applicano le disposizioni del presente articolo. 2.Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta, ai sensi dell'articolo 32 del Regolamento, anche attraverso altri soggetti a cui sia affidata l'erogazione del servizio, misure tecniche e organizzative adeguate al rischio esistente.
I soggetti che operano sulle reti di comunicazione elettronica garantiscono che i dati personali siano accessibili soltanto al personale autorizzato per fini legalmente autorizzati.
Le misure di cui ai commi 2 e 3 garantiscono la protezione dei dati relativi al traffico ed all'ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti, nonché garantiscono l'attuazione di una politica di sicurezza.
Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia è definita dall'Autorità per le garanzie nelle comunicazioni secondo le modalità previste dalla normativa vigente.
Spiegazione
I fornitori di servizi di comunicazione elettronica accessibili al pubblico devono adottare misure tecniche e organizzative proporzionate ai rischi, anche ricorrendo a soggetti incaricati di erogare il servizio. L’accesso ai dati personali deve essere consentito soltanto al personale autorizzato e per finalità legittime. Le misure devono proteggere dati di traffico, dati di ubicazione e altri dati personali da perdita, distruzione, alterazione, accessi o divulgazioni illecite, anche accidentali, e devono inserirsi in una politica di sicurezza. Se sono necessarie misure riguardanti la rete, il fornitore del servizio deve coordinarle con il fornitore della rete; in caso di disaccordo, decide l’Autorità per le garanzie nelle comunicazioni.
Perché esiste questa norma
La norma tutela la riservatezza, l’integrità e la disponibilità dei dati trattati nell’ambito delle comunicazioni elettroniche. Impone una gestione preventiva dei rischi e un coordinamento tra operatori, così da evitare che vulnerabilità organizzative o tecniche compromettano utenti e servizi.
Domande frequenti
Chi può vedere i miei dati di traffico o di ubicazione?
Soltanto il personale autorizzato e per finalità legalmente consentite. Il fornitore deve limitare gli accessi e adottare misure contro consultazioni o divulgazioni non autorizzate.
Il fornitore deve proteggere i dati anche dagli incidenti accidentali?
Sì. La protezione riguarda anche distruzione, perdita o alterazione accidentale, oltre agli accessi, trattamenti e alle divulgazioni illecite.
Il fornitore può affidare ad altri soggetti la sicurezza o l’erogazione del servizio?
Sì, può coinvolgere altri soggetti nell’erogazione del servizio, ma devono essere adottate misure di sicurezza adeguate al rischio e coerenti con gli obblighi applicabili.
Cosa accade se la sicurezza richiede interventi sulla rete e gli operatori non concordano?
I fornitori devono adottare congiuntamente le misure necessarie. Se non raggiungono un accordo, ciascuno di essi può chiedere all’Autorità per le garanzie nelle comunicazioni di definire la controversia.
La norma riguarda solo i contenuti delle telefonate o dei messaggi?
No. Riguarda anche i dati relativi al traffico e all’ubicazione, nonché gli altri dati personali archiviati o trasmessi dal servizio.