LA VIOLAZIONE DEI DATI PERSONALI, DI COSA SI TRATTA E COSA FARE

Oggi si parla tanto di sicurezza informatica o cyber security, che rappresenta, in generale, un onere nel caso di accessi abusivi e un obbligo di diligenza per la sicurezza personale. È di grande interesse per l’intera collettività, dal momento che il data breach, ovvero la violazione di dati, mette in crisi intere categorie di persone, società, enti pubblici e così via.

Chi si occupa del trattamento dati?

La legge individua le figure che si occupano del trattamento dati. Sono il Titolare del trattamento, che può essere una persona fisica o giuridica che tratta dati altrui. Poi l’interessato, che è la persona fisica a cui si riferiscono.

Di cosa si occupa?

L’oggetto è la protezione dei sistemi, delle reti informatiche e delle informazioni che queste custodiscono e la loro divulgazione, da furti o danneggiamenti, interruzione o indirizzamento errato dei servizi che forniscono, secondo gli standard di disponibilità, confidenzialità e integrità.

Cosa è il data breach?

Il data breach, per come anzidetto, è la violazione di dati personali. Può avere natura dolosa (volontaria) o accidentale.

Da cosa vanno difesi i sistemi e le reti?

Da attacchi, o meglio, da veri e propri attentati, che determinano un “buco” che si valuta in gradi che vanno da “nullo” a “catastrofico”, in cui si può avere perdita di dati, finanziaria e chissà che altro.

Cosa può essere aggredito?

I beni che possono essere aggrediti dagli attacchi informatici sono davvero molteplici: riservatezza informatica, integrità dei dati, patrimonio e onorabilità di una società e dei suoi membri e così via.

Quale normativa e cosa fare?

La gestione degli episodi di data breach è regolata ed esplicitata dal Regolamento Europeo cosidetto GDPR(1). Vengono indicati gli step da seguire nel caso in cui si verifichi una violazione di sicurezza dei dati personali, cioè:
1. al verificarsi di una violazione dei dati personali, il Titolare del trattamento deve valutare l’opportunità o meno di notificare il data breach all’autorità Garante. Il Responsabile deve verificare se “sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”;
2. il Titolare che evidenzia la sussistenza di “effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali”, dovrà provvedere , senza ingiustificato ritardo, e comunque entro 72 ore dalla scoperta della violazione, a notificare il data breach all’Autorità Garante;
3. la notifica del data breach dece contenere una descrizione dettagliata della violazione in oggetto, indicare il Responsabile per la protezione dei dati personali (qualora fosse presente), elencare le possibili conseguenze negative della violazione;
4. in ossequio al principio di accountability che permea tutto il GDPR, il Titolare deve dimostrare di avere utilizzato tutte le misure tecnico-organizzative adeguate per porre rimedio al data breach;
5. nel caso di data breach a rischio elevato per i diritti e le libertà delle persone fisiche: il titolare del trattamento dovrà comunicare la violazione agli interessati coinvolti.

Esempi di Violazione dei dati

Tanti sono i casi che possono portare a una violazione dei dati. Pensiamo al dipendente che dolosamente acceda ai dati aziendali per pubblicarli; alla persona che acceda ai dati di un’altra per darne divulgazione (2); il furto di un computer e l’accesso ai dati del proprietario; la perdita accidentale di una chiavetta usb;  la modifica dei dati di una persona o la cancellazione del file.

Quali sono le sanzioni?

Nel caso in cui sussistono le condizioni e i presupposti per la notifica e la comunicazione del data breach e il titolare non assolve tale obbligo, sono previste dal GDPR sanzioni pecuniarie che possono arrivare fino a 20.000.000 € o al 4% del fatturato globale annuo. Elemento imprescindibile è la tenuta del registro delle violazioni, che il titolare del trattamento è obbligato a redigere, a prescindere dalla necessità di notifica al Garante o di comunicazione agli interessati.

Perché è importante?

Tenere prova delle eventuali violazioni subite consente al titolare di dimostrare il suo grado di compliance alla normativa di settore e all’Autorità Garante di valutare questo aspetto. Per questo conviene prestare la massima attenzione. Meglio ancora giocare d’anticipo, perché una buona organizzazione favorirà ed eviterà danni finanziari e alla reputazione dell’attività.

Maria Concetta Falcone Mi impegno con costanza nell’acquisire nuove competenze perché voglio che, con me al suo fianco, il cliente si senta al sicuro. Penso che le esperienze maturate al lavoro possano essere d’aiuto anche agli altri, perciò ne parlo qui, in modo più semplice possibile.