È una violazione dei dati personali e devo segnalarla?

In qualità di imprenditore, Lei è responsabile dei dati personali dei Suoi clienti e dipendenti. Nel RGPD, Lei viene definito come il titolare del trattamento. Di seguito può leggere quando si tratta di una violazione dei dati, quando è necessario segnalarla e cosa fare immediatamente. Questa è una spiegazione generale e non una consulenza legale; in caso di dubbio, consulti il sito web dell'Autoriteit Persoonsgegevens (AP) o si rivolga a un legale.

Cosa si intende per violazione dei dati?

Secondo il RGPD, la normativa europea sulla privacy, si tratta di una violazione della sicurezza che comporta la perdita, la distruzione o la modifica di dati personali, oppure l'accesso non autorizzato a tali dati da parte di terzi (articolo 4, punto 12). I dati personali sono informazioni relative a una persona identificabile, come un nome, un indirizzo e-mail, un indirizzo o una cronologia degli ordini. Non si tratta quindi solo di attacchi informatici. Alcuni esempi:

• un'e-mail o un allegato contenente dati personali inviato al destinatario sbagliato;
• un computer portatile, un telefono o una chiavetta USB smarriti o rubati, contenenti dati personali non criptati;
• una casella di posta elettronica violata contenente fatture, preventivi o lettere di candidatura;
• un sito web o un negozio online da cui sono stati sottratti dati dei clienti;
• un ransomware che Le impedisce di accedere alla gestione dei clienti, anche se non è stato copiato nulla.

I primi passi

1. Blocchi la violazione. Chieda al destinatario sbagliato di eliminare l'e-mail e di confermarlo. Modifichi la password di una casella di posta compromessa da un dispositivo di cui si fida (veda Password sicure e cosa fare in caso di password compromessa).
2. Ricostruisca quanto accaduto. Qual è la causa, quando è iniziato, di quali dati si tratta, quante persone sono coinvolte, chi vi ha accesso e se i dati erano criptati? Annoti tutto, con data e ora.
3. Valuti il rischio per le persone a cui appartengono i dati (veda di seguito).
4. Lo segnali all'AP se necessario, entro 72 ore.
5. Informi gli interessati se il rischio per loro è elevato.
6. Lo inserisca nel Suo registro delle violazioni dei dati. Questo va fatto sempre.

Devo segnalarlo all'Autoriteit Persoonsgegevens?

Una violazione dei dati va segnalata senza ingiustificato ritardo e, se possibile, entro 72 ore da quando ne è venuto a conoscenza. Non è necessario se è improbabile che comporti un rischio per le persone a cui appartengono i dati (articolo 33 del RGPD).

• Il conteggio inizia nel momento in cui ne viene a conoscenza, non quando si è verificata la violazione. Il weekend viene conteggiato: se lo scopre venerdì alle 16:40, deve segnalarlo al più tardi lunedì alle 16:40.
• È possibile effettuare una segnalazione incompleta. Se dopo 72 ore non conosce ancora tutti i dettagli, segnali ciò che sa e integri la segnalazione in seguito.
• Solo online. La segnalazione va effettuata tramite il modulo di segnalazione dell'AP, non per telefono, e-mail o posta. Il questionario dell'AP La aiuta a preparare la segnalazione.
• In caso di dubbio? L'AP consiglia comunque di effettuare la segnalazione.

Queste domande aiutano nella valutazione:

Un esempio: se viene rubato un computer portatile ben criptato, probabilmente non vi è alcun rischio. In tal caso la segnalazione non è necessaria, ma va comunque inserita nel registro. Su un computer portatile non criptato, chi lo trova può leggere tutto; in questo caso di solito vi è un rischio.

Quando deve informare gli interessati?

Se la violazione comporta probabilmente un rischio elevato per le persone a cui appartengono i dati, deve informarle senza ritardo (articolo 34 del RGPD). Spieghi in linguaggio semplice cosa è accaduto, quali possono essere le conseguenze, cosa sta facendo Lei e cosa possono fare loro stessi, ad esempio modificare una password o prestare particolare attenzione a tentativi di phishing effettuati a Suo nome.

Non è necessario se i dati erano illeggibili grazie a una buona crittografia, oppure se in seguito ha adottato misure che rendono improbabile il rischio elevato. Se raggiungere tutti richiede uno sforzo sproporzionato, può effettuare una comunicazione pubblica.

Il registro delle violazioni dei dati: da tenere sempre aggiornato

Ogni violazione dei dati va registrata, anche se non viene segnalata (articolo 33, paragrafo 5). Annoti i fatti, le conseguenze, le misure adottate e la Sua valutazione: perché ha scelto di segnalare o meno e perché ha scelto di informare o meno gli interessati. L'AP mette a disposizione un modello di registro delle violazioni dei dati.

E se la violazione riguarda un fornitore?

Il Suo fornitore di hosting, il Suo software di contabilità in cloud o il Suo servizio di newsletter è, secondo il RGPD, un responsabile del trattamento: un soggetto che tratta dati personali per Suo conto. Un responsabile del trattamento deve informarLa senza ingiustificato ritardo qualora scopra una violazione dei dati (articolo 33, paragrafo 2). In seguito, spetta a Lei valutare se effettuare la segnalazione, e in linea di principio è Lei stesso a doverla effettuare.

Questo vale anche se WebOké è il Suo responsabile del trattamento. Ritiene che la violazione riguardi noi, ad esempio i nostri server? In tal caso, ci contatti immediatamente aprendo un ticket nel Centro assistenza, indicando cosa ha riscontrato e quando.

Per saperne di più

• WebOké Backup: visualizzare, ripristinare o scaricare un backup
• Autoriteit Persoonsgegevens: segnalare o meno
• Autoriteit Persoonsgegevens: come segnalare una violazione dei dati
• Autoriteit Persoonsgegevens: questionario del modulo di segnalazione
• Autoriteit Persoonsgegevens: modello di registro delle violazioni dei dati
• Il RGPD, articoli 4, 33 e 34 (EUR-Lex)