Obbligo di immediata denuncia dei casi di “data breach” e nuove regole per lo scambio di dati personali tra le P.A.: a dettare queste ed altre regole, con il Provvedimento 2 luglio 2015, pubblicato sulla G.U. n. 179 del 4 agosto 2015, è il Garante per la Protezione dei dati personali.
L’elemento di maggiore novità è proprio quello introdotto dal punto 1 del Provvedimento che introduce, per le P.A. di cui all’art. 1, comma 2, del Dlgs. n. 165/01 (quindi anche per gli Enti Locali), l’obbligo di comunicare al Garante per la privacy eventuali violazioni dei dati o incidenti informatici che possano mettere a rischio la sicurezza dei dati personali contenuti nelle proprie banche dati.
Tali comunicazioni dovranno essere inviate, entro 48 ore dalla conoscenza del fatto, tramite posta elettronica o Pec all’indirizzo databreach.pa@pec.gpdp.it. Il Garante ha dedicato un apposito Allegato (il n. 1 del Provvedimento in commento) all’illustrazione delle modalità di redazione di tali comunicazioni.
Posto che ad oggi l’Agenzia per l’Italia digitale non ha ancora diffuso gli standard di comunicazione e le regole tecniche cui le Amministrazioni pubbliche dovranno attenersi per consentire l’accesso ai propri dati ad altre P.A., il Garante ha poi stabilito le misure (Allegato n. 2) da adottare per garantire tale diritto nelle more dell’emanazione degli standard citati.
Sono fatti salvi i casi in cui le modalità di accesso alle banche-dati siano già state oggetto di esame da parte del Garante nell’ambito di specifici provvedimenti. Il Provvedimento specifica poi che laddove siano già state previste modalità di accesso ai sensi della nuova formulazione dell’art. 58, comma 2, del “Codice dell’Amministrazione digitale”, non conformi alle misure individuate dal Garante nel Provvedimento 4 luglio 2013, le P.A. debbano adottare le misure di cui all’Allegato n. 2 entro e non oltre il 31 dicembre 2015.
