Glossario
Che cos’è Data breach (violazione di dati personali)?
Un data breach è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso a dati personali (art. 4.12 GDPR). Non è solo un attacco informatico: lo sono anche un’email inviata al destinatario sbagliato o un archivio cartaceo smarrito.
La definizione del GDPR copre tre dimensioni: la riservatezza (qualcuno ha visto dati che non doveva vedere), l’integrità (i dati sono stati alterati) e la disponibilità (i dati non sono più accessibili, per esempio dopo un ransomware o la perdita dell’unico backup). Molte organizzazioni trattano come data breach solo il primo caso e si accorgono troppo tardi che anche un’indisponibilità prolungata va valutata e, se del caso, notificata.
Il titolare deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza (art. 33). La notifica non è dovuta se è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone: quella valutazione va però fatta, motivata e conservata, perché ogni violazione va comunque registrata nel registro interno delle violazioni, notificata o no.
Quando il rischio per gli interessati è elevato scatta un secondo obbligo: la comunicazione alle persone coinvolte, in linguaggio semplice e chiaro (art. 34). Le 72 ore si contano dal momento in cui il titolare acquisisce un ragionevole grado di certezza che una violazione è avvenuta, non da quando l’analisi forense è conclusa: una notifica può essere presentata per fasi.
Domande frequenti
Entro quanto tempo va notificato un data breach al Garante?
Senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare viene a conoscenza della violazione (art. 33.1 GDPR). Se la notifica arriva oltre le 72 ore deve essere corredata dei motivi del ritardo.
Quando la notifica non è dovuta?
Quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. La valutazione va comunque svolta e documentata, e la violazione va annotata nel registro interno delle violazioni previsto dall’art. 33.5.
Quando bisogna avvisare anche gli interessati?
Quando la violazione comporta un rischio elevato per i diritti e le libertà delle persone coinvolte (art. 34 GDPR). La comunicazione deve descrivere in linguaggio semplice la natura della violazione, le probabili conseguenze e le misure adottate.
Un’email inviata alla persona sbagliata è un data breach?
Sì. È una divulgazione non autorizzata di dati personali e rientra pienamente nella definizione dell’art. 4.12. Va valutata come qualunque altra violazione: spesso il rischio è basso e la notifica non è dovuta, ma la registrazione interna sì.
Un ransomware con backup integri va notificato?
Va valutato. Anche se i dati vengono ripristinati, di solito c’è stata un’indisponibilità e quasi sempre un accesso non autorizzato ai sistemi; se gli attaccanti hanno esfiltrato dati prima di cifrarli, il rischio per gli interessati è alto e scattano sia la notifica sia la comunicazione.
Fonti: Artt. 33-34 GDPR (Regolamento UE 2016/679) · Garante privacy — Data breach: cosa fare
Su questo ti affianchiamo: Data Breach
Verificalo da solo: Preparazione al data breach
Termini collegati: DPO (Data Protection Officer) · SGSI (Sistema di Gestione della Sicurezza delle Informazioni)