Una violazione dei dati personali (data breach) è una violazione di sicurezza che comporta la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali, in modo accidentale o illecito (articolo 4). È più ampia dell'hacking.
Esempi
- Un'e-mail inviata alla persona sbagliata, o con l'allegato sbagliato.
- Un portatile, un telefono, una chiavetta USB o un fascicolo cartaceo persi o rubati.
- Qualcuno che guarda schede senza motivo di vederle.
- Un attacco di phishing che consegna a un criminale la Sua password.
- Un ransomware che blocca i documenti, così il personale non può accedervi.
- Documenti gettati in un cestino comune, o lettere spedite all'indirizzo sbagliato.
- Dati comunicati per telefono a qualcuno che non ne aveva diritto.
- Un dipendente che cancella o modifica schede per errore.
Conta anche la perdita di disponibilità. Se i dati vengono persi o bloccati e nessuno può usarli, può trattarsi comunque di una violazione.
Il Suo primo dovere: segnalare subito
Lo dica subito al Suo responsabile o alla persona indicata nella Sua procedura. Non aspetti di vedere se è importante. Non cerchi di rimediare di nascosto. Non si dia la colpa e non nasconda nulla. Gli errori capitano. Il danno vero lo fa il silenzio.
Quando segnala, indichi:
- che cosa è successo e quando;
- quali dati sono coinvolti e di chi;
- chi può averli visti;
- che cosa ha già fatto (per esempio, aver chiesto a un destinatario sbagliato di cancellare un'e-mail).
Non cancelli le prove. Conservi e-mail, messaggi e documenti.
Perché la velocità conta
Il titolare deve notificare alcune violazioni all'ICO. Il termine è entro 72 ore da quando ne è venuto a conoscenza, ove possibile (articolo 33). Il termine decorre da quando l'organizzazione ne è a conoscenza, e un lungo ritardo del personale consuma tempo che all'organizzazione serve. Se le 72 ore vengono superate, il titolare deve indicare i motivi del ritardo.
Chi decide se notificare
Decide il datore di lavoro o il suo responsabile della protezione dei dati, non Lei. Essi valutano il rischio per le persone.
- Rischio improbabile. La violazione non viene notificata all'ICO, ma deve comunque essere registrata. Le organizzazioni devono tenere un registro di tutte le violazioni, con fatti, effetti e provvedimenti presi.
- Rischio probabile. Il titolare deve notificare all'ICO, anche per fasi se non sono ancora noti tutti i dettagli.
- Rischio elevato. Il titolare deve informare anche le persone coinvolte, direttamente e senza ingiustificato ritardo, perché possano proteggersi, per esempio cambiando le password o controllando i propri conti.
Il rischio dipende da fattori come la sensibilità dei dati, il numero di persone coinvolte e se i dati sono cifrati. Dati sanitari inviati alla persona sbagliata sono più gravi di un invito a una riunione.
Responsabili del trattamento
Un responsabile del trattamento, come un fornitore cloud, deve informare il titolare senza ingiustificato ritardo quando viene a conoscenza di una violazione. I contratti dovrebbero prevederlo.
Conseguenze
Non notificare quando è richiesto può comportare una sanzione fino a 8,7 milioni di sterline o al 2 % del fatturato annuo mondiale, se superiore. L'ICO valuta se l'organizzazione aveva misure adeguate, aveva formato il personale e ha reagito in fretta. Il personale che segnala subito aiuta a dimostrare che l'organizzazione ha fatto la cosa giusta.
Imparare dopo
Una buona organizzazione vede una violazione come un'occasione per migliorare procedure e formazione. Segnalare un quasi incidente, in cui qualcosa è stato sul punto di andare storto, aiuta a prevenire una vera violazione in futuro.