Il Garante per la Protezione dei dati ha pubblicato le “Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali” – Consultazione pubblica – 26 luglio 2012 (Pubblicato sulla Gazzetta Ufficiale n. 183 del 7 agosto 2012).
La direttiva 2002/58/Ce (c.d. direttiva e-Privacy) afferma che i fornitori di servizi di comunicazione elettronica devono adottare “appropriate misure tecniche e organizzative” per assicurare “un livello di sicurezza adeguato al rischio esistente” (art. 4, comma 1). Nella direttiva 2009/136/Ce (che ha modificato la direttiva 2002/58/Ce) si è tenuto conto, in particolare, del fatto che un evento che coinvolga i dati personali, se non trattato in modo adeguato e tempestivo, può provocare un grave danno economico e sociale al contraente (o alle altre persone interessate), tra cui l’usurpazione d’identità (cfr. considerando 61).

Con il recepimento delle suindicate previsioni tramite il decreto legislativo 28 maggio 2012, n. 69, con il quale il Governo ha dato attuazione alla delega prevista nell’art. 9 della legge comunitaria del 2010 (legge 15 dicembre 2011, n. 217, pubblicata in G.U. 2 gennaio 2012, n. 1), i fornitori di servizi di comunicazione elettronica sono oggi tenuti a comunicare senza indebiti ritardi al Garante e, in alcuni casi, al contraente o ad altre persone interessate, l’occorrenza dei predetti eventi, qualificati come “violazioni di dati personali”.
In attuazione della direttiva europea in materia di sicurezza e privacy nel settore delle comunicazioni elettroniche, di recente recepita dall’Italia, il Garante per la privacy ha fissato un primo quadro di regole in base alle quali le società di tlc e i fornitori di servizi di accesso a Internet saranno tenuti a comunicare, oltre che alla stessa Autorità, anche agli utenti le “violazioni di dati personali” (“data breaches”) che i loro data base dovessero subire a seguito di attacchi informatici, o di eventi avversi, quali incendi o altre calamità.
La comunicazione agli utenti deve avvenire al massimo entro 3 giorni dalla violazione e non è dovuta se si dimostra di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendono inintelligibili i dati.
Chi deve comunicare le violazioni?
L’obbligo di comunicare le violazione di dati personali spetta esclusivamente ai fornitori di servizi telefonici e di accesso a Internet. L’adempimento non riguarda quindi le reti aziendali, gli Internet point (che si limitano a mettere a disposizione dei clienti i terminali per la navigazione), i motori di ricerca, i siti Internet che diffondono contenuti.

Il “registro delle violazioni”

Per consentire l’attività di accertamento del Garante, i provider dovranno tenere un inventario costantemente aggiornato delle violazioni subite che dia conto delle circostanze in cui queste si sono verificate, le conseguenze che hanno avuto e i provvedimenti adottati a seguito del loro verificarsi.

Le sanzioni

Non comunicare al Garante la violazione dei dati personali o provvedere in ritardo espone a una sanzione amministrativa che va da 25mila a 150mila euro. Stesso discorso per la omessa o mancata comunicazione agli interessati, siano essi soggetti pubblici, privati o persone fisiche: qui la sanzione prevista va da 150 euro a 1000 euro per ogni società o persona interessata. La mancata tenuta dell’inventario aggiornato è punita con la sanzione da 20mila a 120mila euro.

Qualora si verificasse una violazione, come la comunichiamo al Garante per la Privacy?

Tramite l’apposito modulo “Modello di comunicazione al Garante“.

Per ulteriori approfondimenti potete consultare le linee guida complete previste dal provvedimento

Il presente accordo è stato pubblicato sulla Gazzetta Ufficiale N. 8 del 11 Gennaio 2012:

CONFERENZA PERMANENTE PER I RAPPORTI TRA LO STATO LE REGIONI E LE PROVINCE AUTONOME DI TRENTO E BOLZANO

ed è entrato in vigore il dopo il decimoquinto (15°) giorno come previsto dalla legge, quindi è in essere dal 26 Gennaio 2012. Sono previsti 18 mesi per eventuali adeguamenti dalla data di pubblicazione.

L’Accordo prevede percorsi formativi differenziati e specifici per i lavoratori, i dirigenti ed i preposti la cui durata minima è stabilita in base alla classificazione dei settori ATECO (2002-2007).

La Formazione potrà essere erogata solo da:

a) le Regioni e le Province autonome di Trento e di Bolzano, anche mediante le proprie strutture tecniche operanti nel settore della prevenzione (Aziende Sanitarie Locali, etc.) e della formazione professionale; le Regioni e le Province autonome di Trento e di Bolzano possono, altresì, autorizzare, o ricorrere a ulteriori soggetti operanti nel settore della formazione professionale accreditati in conformità al modello di accreditamento definito in ogni Regione e Provincia Autonoma ai sensi dell’ intesa sancita in data 20 marzo 2008 e pubblicata su GURI del 23 gennaio 2009.In tal caso detti soggetti devono, comunque, dimostrare di possedere esperienza biennale professionale maturata in ambito prevenzione e sicurezza nei luoghi di lavoro o maturata nella formazione alla salute e sicurezza nei luoghi di lavoro;

b) l’Università e le scuole di dottorato aventi ad oggetto le tematiche del lavoro e della formazione;

c) l’INAIL;

d) il Corpo nazionale dei vigili del fuoco o i corpi provinciali dei vigili del fuoco per le Province Autonome di Trento e Bolzano;

e) la Scuola superiore della pubblica amministrazione;

f) altre Scuole superiori delle singole amministrazioni;

g) le associazioni sindacali dei datori di lavoro o dei lavoratori;

h) gli enti bilaterali, quali definiti all’articolo 2, comma 1, lettera h), del D.Lgs. 10 settembre 2003, n. 276, e successive modifiche e integrazioni, e gli organismi paritetici quali definiti all’articolo 2 comma 1 lettera ee) del D.Lgs. n. 81/08 e per lo svolgimento delle funzioni di cui all’articolo 51 del D.Lgs. n. 81/08;

i) i fondi interprofessionali di settore;

j) gli ordini e i collegi professionali del settore di specifico riferimento.

Qualora i soggetti sopra indicati ai punti dalla lettera b) alla lettera j) intendano avvalersi di soggetti formatori esterni alla propria struttura,  questi ultimi devono essere in possesso dei requisiti previsti nei modelli di accreditamento definiti in ogni Regione e Provincia Autonoma ai sensi dell’ intesa sancita in data 20 marzo 2008 e pubblicata su GURI del 23 gennaio 2009.

Le associazioni sindacali dei datori di lavoro e dei lavoratori, gli enti bilaterali e gli organismi paritetici possono effettuare le attività formative e di aggiornamento o direttamente o avvalendosi unicamente di strutture formative di loro diretta emanazione.

I docenti devono avere una esperienza almeno triennale in materia di  tutela della salute e sicurezza sul lavoro maturata nei settori pubblici o privati.

FormaSer si avvale di professionisti qualificati che posseggono tutti i requisiti e specializzazioni per l’erogazione dei corsi e collabora già da tempo nel campo della formazione della sicurezza sul lavoro ex D.lgs.81/08 con Enti Bilaterali riconosciuti sul territorio nazionale.

Di seguito sono schematizzati i requisiti minimi richiesti per la formazione dei Datori di Lavoro che svolgono la funzione di RSPP, dei lavoratori, dei dirigenti, dei preposti. Presentiamo anche schema della classificazione del rischio delle aziende in base al modulo Ateco di appartenenza individuato.