Una violazione dei dati personali (data breach) è una violazione di sicurezza che porta, in modo accidentale o illecito, alla distruzione, perdita, modifica, divulgazione non autorizzata o all'accesso ai dati personali (art. 4, punto 12, GDPR). Non serve un attacco informatico: basta un errore.
Tre tipi di violazione
- Di riservatezza: i dati arrivano a chi non doveva averli. Esempio: e-mail con dati di salute inviata al destinatario sbagliato.
- Di integrità: i dati sono modificati senza autorizzazione o per errore.
- Di disponibilità: i dati si perdono o non sono più accessibili. Esempio: un attacco ransomware che cifra i file, o un archivio cartaceo distrutto da un allagamento.
Esempi
- Un computer portatile o una chiavetta non protetti vengono persi o rubati.
- Un file con i dati dei clienti viene allegato per errore a una e-mail esterna.
- Una lettera con dati sanitari viene imbucata nella cassetta sbagliata.
- Un collega usa le credenziali di un altro e consulta pratiche che non sono sue.
- Qualcuno clicca su un link di phishing e il suo account viene preso.
Le 72 ore
Il titolare deve notificare la violazione al Garante entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile un rischio per i diritti e le libertà delle persone (art. 33 GDPR). Dopo le 72 ore la notifica si può fare, ma deve spiegare il ritardo. Il Garante ha una procedura online sul proprio sito.
Il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo dopo aver saputo della violazione.
Se il rischio per le persone è elevato, il titolare deve avvisare anche gli interessati, con parole semplici, indicando che cosa è successo e che cosa possono fare (art. 34). Se i dati erano cifrati in modo efficace, per esempio, l'avviso può non essere necessario.
Il titolare registra ogni violazione, anche quelle non notificate, in un registro delle violazioni (art. 33, par. 5).
Perché la Sua segnalazione conta
Il termine di 72 ore riguarda il titolare, ma per rispettarlo l'azienda deve sapere subito che cosa è successo. Se Lei aspetta tre giorni per dire di aver mandato il file a un indirizzo sbagliato, il tempo per reagire è già finito. Alcune violazioni si possono ancora rimediare se si agisce presto: chiedere al destinatario di cancellare, bloccare un account, cambiare una password, disattivare un dispositivo.
Che cosa fare se succede
- Si fermi e non provi a "sistemare" da solo cancellando messaggi o file: potrebbero servire per capire che cosa è accaduto.
- Avvisi subito il referente indicato dall'azienda (reparto informatico, referente privacy, RPD o il Suo responsabile). Se non sa chi è, avvisi il Suo responsabile: non aspetti.
- Racconti i fatti: che cosa è successo, quando, quali dati, quante persone, chi può averli visti.
- Segua le istruzioni dell'azienda. Non informi per conto Suo clienti, giornalisti o social, e non contatti l'autorità: la valutazione e l'eventuale notifica spettano al titolare.
- Se ha già cliccato un link o inserito una password, cambi la password dal canale sicuro e lo dica.
Un clima senza paura
Chi segnala presto un errore deve essere ascoltato, non punito per aver parlato. Le aziende che nascondono gli incidenti corrono rischi molto maggiori. Una violazione non notificata quando serve può essere sanzionata dal Garante (art. 83, par. 4, GDPR: sanzioni fino a 10 milioni di euro o al 2 % del fatturato).