Si tratta di una violazione dei dati e devo segnalarla?

In qualità di imprenditore, Lei è responsabile dei dati personali dei Suoi clienti e dipendenti. Nel GDPR Lei è quindi il titolare del trattamento. Qui può leggere quando si tratta di una violazione dei dati, quando deve notificarla e che cosa fare subito. Si tratta di una spiegazione generale e non di una consulenza legale; in caso di dubbio consulti il sito web dell'Autoriteit Persoonsgegevens (AP), l'autorità olandese per la protezione dei dati, o si rivolga a un giurista.

Che cos'è una violazione dei dati?

Secondo il GDPR, la normativa europea sulla privacy, è una violazione di sicurezza a causa della quale dati personali vengono persi, distrutti o modificati, oppure finiscono presso qualcuno che non dovrebbe accedervi (articolo 4, punto 12). I dati personali sono dati relativi a una persona identificabile, come un nome, un indirizzo e-mail, un indirizzo o lo storico degli ordini. Non si tratta quindi solo di hacker. Alcuni esempi:

• un'e-mail o un allegato con dati personali inviato al destinatario sbagliato;
• un laptop, un telefono o una chiavetta USB smarrito o rubato contenente dati personali non crittografati;
• una casella di posta violata contenente fatture, preventivi o lettere di candidatura;
• un sito web o un negozio online da cui sono stati sottratti dati dei clienti;
• un ransomware che Le impedisce di accedere alla Sua anagrafica clienti, anche se nulla è stato copiato.

I primi passi

1. Fermare la violazione. Chieda al destinatario sbagliato di eliminare l'e-mail e di confermarlo. Modifichi la password di una casella di posta compromessa da un dispositivo di cui si fida (veda Password sicure e cosa fare in caso di password trapelata).
2. Ricostruire l'accaduto. Qual è la causa, quando è iniziata, di quali dati si tratta, di quante persone, chi può accedervi e i dati erano crittografati? Annoti tutto, con data e ora.
3. Valutare il rischio per le persone a cui appartengono i dati (veda sotto).
4. Notificare all'AP se necessario, entro 72 ore.
5. Informare gli interessati se il rischio per loro è elevato.
6. Annotarla nel Suo registro delle violazioni. Questo va fatto sempre.

Devo notificare all'Autoriteit Persoonsgegevens?

Una violazione dei dati va notificata senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Non è necessario se è improbabile che comporti un rischio per le persone a cui appartengono i dati (articolo 33 GDPR).

• Il termine decorre da quando ne viene a conoscenza, non da quando è avvenuta la violazione. Il fine settimana è incluso: se la scopre venerdì alle 16:40, deve notificarla al più tardi lunedì alle 16:40.
• È consentita una notifica incompleta. Se dopo 72 ore non sa ancora tutto, notifichi con ciò che sa e integri la notifica in seguito.
• Solo online. La notifica si effettua tramite il modulo di notifica dell'AP, non per telefono, e-mail o posta. Con il questionario dell'AP può preparare la notifica.
• Ha dei dubbi? In tal caso l'AP consiglia di effettuare comunque la notifica.

Queste domande aiutano nella valutazione:

Un esempio: se viene rubato un laptop ben crittografato, probabilmente non vi è alcun rischio. In tal caso non è necessario notificare, ma la violazione va comunque annotata nel registro. Su un laptop non crittografato chi lo trova può leggere tutto; in quel caso di solito il rischio c'è.

Quando informare gli interessati?

Se è probabile che la violazione comporti un rischio elevato per le persone a cui appartengono i dati, deve informarle senza ingiustificato ritardo (articolo 34 GDPR). Spieghi con un linguaggio semplice che cosa è successo, quali possono essere le conseguenze, che cosa sta facendo Lei e che cosa possono fare loro stessi, come modificare una password o prestare particolare attenzione a messaggi di phishing a Suo nome.

Non è necessario se i dati erano illeggibili grazie a una buona crittografia, oppure se in seguito ha adottato misure per cui il rischio elevato non è più probabile. Se raggiungere tutti richiede uno sforzo sproporzionato, effettui una comunicazione pubblica.

Il registro delle violazioni: da tenere sempre aggiornato

Ogni violazione dei dati va documentata, anche se non la notifica (articolo 33, paragrafo 5). Annoti i fatti, le conseguenze, le misure adottate e la Sua valutazione: perché ha notificato o meno e perché ha informato o meno gli interessati. L'AP mette a disposizione un modello di registro delle violazioni.

E se la violazione avviene presso un fornitore?

La Sua società di hosting, il Suo software di contabilità nel cloud o il Suo servizio di newsletter è, secondo il GDPR, un responsabile del trattamento: un soggetto che tratta dati personali per Suo conto. Un responsabile del trattamento deve informarLa senza ingiustificato ritardo se scopre una violazione dei dati (articolo 33, paragrafo 2). Successivamente spetta a Lei valutare se deve notificare e, in linea di principio, è Lei stesso a effettuare la notifica.

Ciò vale anche se WebOké è il Suo responsabile del trattamento. Gli accordi in merito sono riportati nel nostro accordo sul trattamento dei dati, veda Accordo sul trattamento dei dati: dove lo trovo? Ritiene che la violazione sia avvenuta presso di noi, ad esempio sui nostri server? Ci contatti subito tramite un ticket nel Centro di supporto, indicando che cosa ha notato e quando.

Per approfondire

• WebOké Backups: visualizzare, ripristinare o scaricare un backup
• Autoriteit Persoonsgegevens: notificare o no
• Autoriteit Persoonsgegevens: come notificare una violazione dei dati
• Autoriteit Persoonsgegevens: questionario del modulo di notifica
• Autoriteit Persoonsgegevens: modello di registro delle violazioni
• Il GDPR, articoli 4, 33 e 34 (EUR-Lex)

Desidera saperne di più? Segua il corso gratuito Sicurezza online per imprenditori, lezione 8.2 Violazioni dei dati e obbligo di notifica.