Anche prendendo precauzioni, a volte qualcosa va storto. L'importante allora è agire in fretta e avvisare chi di dovere.
Che cos'è una violazione dei dati personali
È qualsiasi violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita o la modifica di dati personali, oppure la divulgazione o l'accesso non autorizzati ad essi (articolo 4, punto 12, del GDPR). Può essere accidentale o intenzionale. Esempi:
- un'e-mail con dati di clienti inviata alla persona sbagliata
- la perdita o il furto di un portatile, di un telefono o di una chiavetta USB
- un attacco informatico o un virus che cifra i file (ransomware)
- una cartella di carta dimenticata su un treno
- un account usato da chi non doveva, per esempio dopo un phishing
- la cancellazione accidentale di un database senza copia di sicurezza
Non bisogna aspettare di essere sicuri del danno. Il dubbio basta per avvisare.
Che cosa deve fare Lei
- Avvisi subito la persona o il reparto indicato dalla Sua azienda (informatica, direzione, responsabile della protezione dei dati).
- Racconti ciò che sa: che cosa è successo, quando, quali dati sono coinvolti e quante persone possono essere colpite.
- Faccia ciò che può per limitare il danno, se può farlo senza rischi: cambiare una password, scollegare un apparecchio dalla rete, chiedere al destinatario sbagliato di cancellare il messaggio.
- Non cancelli prove e non cerchi di sistemare da solo in modo discreto.
- Non lo nasconda. Un problema comunicato in tempo di solito si può controllare. Un problema nascosto cresce.
I termini del GDPR
- All'autorità di controllo (AEPD). Il titolare deve notificare la violazione senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza (articolo 33, paragrafo 1). Non occorre notificare se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se il termine non è rispettato, bisogna spiegare i motivi del ritardo.
- Alle persone interessate. Quando la violazione presenta un rischio elevato per i loro diritti e le loro libertà, il titolare la comunica loro senza ingiustificato ritardo, con un linguaggio chiaro (articolo 34). Un esempio è la fuga di dati bancari o sanitari.
- Dal responsabile del trattamento al titolare. Se a subire la violazione è un responsabile del trattamento, deve notificarla al titolare senza ingiustificato ritardo (articolo 33, paragrafo 2).
Le 72 ore si contano da quando l'azienda ne viene a conoscenza, e questo include il momento in cui lo viene a sapere Lei. Se Lei impiega tre giorni ad avvisare, il termine è praticamente esaurito. Un avviso tardivo può costare una sanzione all'azienda.
Il registro interno
Oltre a notificare, il titolare deve documentare tutte le violazioni, anche quelle che non si notificano: i fatti, i loro effetti e le misure adottate (articolo 33, paragrafo 5). Così può dimostrare all'AEPD come ha agito. La LOPDGDD considera violazione grave non notificare all'autorità una violazione dei dati personali (articolo 73, lettera r).
Che cosa si notifica all'AEPD
La notifica descrive la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, i dati di contatto del responsabile della protezione dei dati o di un'altra persona, le probabili conseguenze e le misure adottate. Si presenta tramite la sede elettronica dell'AEPD (aepd.es).
Ricordi: chi rileva il problema non deve né risolverlo né giudicarlo. Il Suo compito è avvisare lo stesso giorno.