Articolo 4 ►M2Sicurezza del trattamento◄

Articolo 4

►M2  Sicurezza del trattamento ◄

1.  Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico deve prendere appropriate misure tecniche e organizzative per salvaguardare la sicurezza dei suoi servizi, se necessario congiuntamente con il fornitore della rete pubblica di comunicazione per quanto riguarda la sicurezza della rete. Tenuto conto delle attuali conoscenze in materia e dei loro costi di realizzazione, dette misure assicurano un livello di sicurezza adeguato al rischio esistente.

▼M2

1 bis.  Fatta salva la direttiva 95/46/CE, le misure di cui al paragrafo 1 quanto meno:

Le autorità nazionali competenti sono legittimate a verificare le misure adottate dai fornitori di servizi di comunicazione elettronica accessibili al pubblico e a emanare raccomandazioni sulle migliori prassi in materia di sicurezza che tali misure dovrebbero conseguire.

▼B

2.  Nel caso in cui esista un particolare rischio di violazione della sicurezza della rete, il fornitore di un servizio di comunicazione elettronica accessibile al pubblico ha l'obbligo di informarne gli abbonati indicando, qualora il rischio sia al di fuori del campo di applicazione delle misure che devono essere prese dal fornitore di servizio, tutti i possibili rimedi, compresi i relativi costi presumibili.

▼M2

3.  In caso di violazione di dati personali, il fornitore di servizi di comunicazione elettronica accessibili al pubblico comunica senza indebiti ritardi detta violazione all’autorità nazionale competente.

Quando la violazione di dati personali rischia di pregiudicare i dati personali o la vita privata di un abbonato o di altra persona, il fornitore comunica l’avvenuta violazione anche all’abbonato o ad altra persona interessata.

Non è richiesta la notifica di una violazione dei dati personali a un abbonato o a una persona interessata se il fornitore ha dimostrato in modo convincente all’autorità competente di aver utilizzato le opportune misure tecnologiche di protezione e che tali misure erano state applicate ai dati interessati dalla violazione della sicurezza. Tali misure tecnologiche di protezione rendono i dati incomprensibili a chiunque non sia autorizzato ad accedervi.

Fatto salvo l’obbligo per i fornitori di informare gli abbonati e altri interessati, se il fornitore di servizi non ha provveduto a notificare all’abbonato o all’interessato la violazione dei dati personali, l’autorità nazionale competente, considerate le presumibili ripercussioni negative della violazione, può obbligare il fornitore in questione a farlo.

La comunicazione all’abbonato o ad altra persona contiene almeno una descrizione della natura della violazione di dati personali e i punti di contatto presso cui si possono ottenere maggiori informazioni ed elenca le misure raccomandate per attenuare i possibili effetti pregiudizievoli della violazione di dati personali. La comunicazione all’autorità nazionale competente descrive, inoltre, le conseguenze della violazione di dati personali e le misure proposte o adottate dal fornitore per porvi rimedio.

4.  Fatte salve eventuali misure tecniche di attuazione adottate a norma del paragrafo 5, le autorità nazionali competenti possono emanare orientamenti e, ove necessario, stabilire istruzioni relative alle circostanze in cui il fornitore ha l’obbligo di comunicare le violazioni di dati personali, al formato applicabile a tale comunicazione, nonché alle relative modalità di effettuazione. Esse possono altresì verificare se i fornitori hanno adempiuto ai loro obblighi di comunicazione a norma del presente paragrafo e irrogano sanzioni appropriate in caso di omissione.

I fornitori tengono un inventario delle violazioni dei dati personali, ivi incluse le circostanze in cui si sono verificate, le loro conseguenze e i provvedimenti adottati per porvi rimedio, in misura sufficiente per consentire alle autorità nazionali competenti di verificare il rispetto delle disposizioni di cui al paragrafo 3. Nell’inventario figurano unicamente le informazioni necessarie a tal fine.

5.  Per assicurare l’attuazione uniforme delle misure di cui ai paragrafi 2, 3 e 4, dopo aver consultato l’Agenzia europea per la sicurezza delle reti e dell’informazione (ENISA), il gruppo di lavoro per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall’articolo 29 della direttiva 95/46/CE e il Garante europeo della protezione dei dati, la Commissione può adottare misure tecniche di attuazione riguardanti le circostanze, il formato e le procedure applicabili alle prescrizioni in materia di informazioni e comunicazioni di cui al presente articolo. Nell’adottare tali misure, la Commissione coinvolge tutti i soggetti interessati, in particolare al fine di ottenere informazioni sulle migliori soluzioni tecniche ed economiche disponibili ai fini dell’applicazione del presente articolo.

Tali misure, intese a modificare elementi non essenziali della presente direttiva completandola, sono adottate secondo la procedura di regolamentazione con controllo di cui all’articolo 14 bis, paragrafo 2.

▼B