Violazioni di dati personali e l'obbligo di notifica

Modulo 8: Quando qualcosa va storto · Tempo di lettura: 11 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di stabilire se si tratta di una violazione di dati personali, se deve notificarla entro 72 ore al Garante per la protezione dei dati personali e se deve informare gli interessati, e saprà registrarla in un registro delle violazioni.

Concetti chiave: dati personali, violazione di dati personali (data breach), titolare del trattamento, responsabile del trattamento, GDPR articoli 33 e 34, procedura di notifica delle violazioni, 72 ore, rischio e rischio elevato, registro delle violazioni

Che cos'è una violazione di dati personali?

Quando si parla di "violazione di dati personali", si pensa subito a hacker che rubano un database. È una delle forme possibili. Il GDPR usa una definizione più ampia: una violazione di dati personali è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali (articolo 4, punto 12).

I dati personali sono tutte le informazioni relative a una persona identificabile: un nome, un indirizzo e-mail come jan.jansen@..., un numero di telefono, un indirizzo, un numero cliente con lo storico degli ordini, una foto, un indirizzo IP in combinazione con altri dati. I dati su un'azienda in quanto tale (numero di iscrizione al Registro delle imprese, indirizzo generale) non lo sono, ma i dati sulla persona di contatto sì.

Per questo motivo, sono tutte violazioni di dati personali:

• un'e-mail con un elenco clienti inviata al destinatario sbagliato;
• una newsletter in cui tutti i destinatari sono visibili nel campo A o CC;
• una chiavetta USB o un laptop smarriti con dati del personale, se non erano cifrati;
• un ransomware che cifra la contabilità clienti (in questo caso i dati non sono disponibili, anche se non è stata copiata alcuna informazione);
• una casella di posta compromessa in cui si trovano fatture con nomi e indirizzi;
• un link condiviso verso una cartella con lettere di candidatura, accessibile a chiunque.

L'espressione "violazione di sicurezza" mostra che non si tratta solo di riservatezza. Contano anche la perdita (i dati sono andati persi) e la modifica (qualcuno ha alterato numeri di conto).

Chi è responsabile: Lei o il Suo fornitore?

Il GDPR prevede due ruoli.

• Il titolare del trattamento stabilisce perché e come vengono trattati i dati personali. Per i dati dei Suoi clienti e dipendenti, il titolare è Lei, in quanto imprenditore.
• Un responsabile del trattamento tratta i dati per Suo conto: il Suo fornitore di hosting, il Suo software di contabilità in cloud, il Suo servizio di newsletter, il Suo fornitore IT.

Se si verifica una violazione presso un responsabile del trattamento, questi deve informarLa senza ingiustificato ritardo (articolo 33, paragrafo 2). A quel punto Lei valuta se notificare al Garante e agli interessati, e in linea di principio è Lei stesso a notificare (a meno che non abbiate concordato che sia il responsabile a farlo per Suo conto). L'obbligo resta quindi in capo a Lei, anche se l'errore era di qualcun altro. Per questo motivo, in un accordo sul trattamento dei dati (data processing agreement) si definisce come e con quale rapidità un responsabile del trattamento La deve informare (lezione 7.2).

Le 72 ore

L'articolo 33 del GDPR stabilisce che una violazione di dati personali va notificata al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza. L'eccezione: non è probabile che la violazione presenti un rischio per i diritti e le libertà delle persone.

Quattro punti vengono spesso fraintesi:

1. Il conteggio inizia quando ne viene a conoscenza, non quando la violazione è avvenuta. "Venirne a conoscenza" significa: ha una ragionevole certezza che si tratti di una violazione che coinvolge dati personali. Una prima breve valutazione è ammessa, ma chi deliberatamente non verifica non sposta in avanti il conteggio.
2. 72 ore sono 72 ore, anche nel fine settimana e nei giorni festivi. Se scopre una violazione venerdì alle 16:40, il termine ultimo è lunedì alle 16:40.
3. È ammessa una notifica incompleta. Se dopo 72 ore non sa ancora tutto, notifichi con quanto sa e integri successivamente. Se notifica oltre le 72 ore, deve spiegarne il motivo; il Garante lo accetta solo in casi eccezionali.
4. Conta il rischio per le persone, non il danno per la Sua azienda.

Ontdekt:  vrijdag   16:40   -> klok start
          zaterdag            (telt mee)
          zondag              (telt mee)
Uiterlijk maandag   16:40   -> melding bij de AP (eventueel onvolledig)

La notifica si effettua solo tramite il modulo online del Garante per la protezione dei dati personali sul suo sito web; non è possibile telefonare, inviare un'e-mail o una lettera. Il Garante mette a disposizione un questionario con cui può preparare la notifica in anticipo. Deve indicare tra l'altro che cosa è successo, quando, quali e quanti dati e persone sono coinvolti, quali possono essere le conseguenze e quali misure ha adottato. Qui il registro di cui alla lezione 8.1 si rivela prezioso.

Quando notificare e quando no: la valutazione del rischio

Deve valutare quanto sia probabile e quanto sia grave la conseguenza per gli interessati. Pensi a: furto d'identità, danno finanziario, discriminazione, danno reputazionale, o perdita di controllo sui propri dati. Domande che aiutano:

Due esempi che ricorrono spesso:

• Laptop cifrato rubato, password forte, chiave non compromessa, backup recente: probabilmente nessun rischio. Non notificare al Garante, ma registrarlo comunque nel Suo registro.
• Negozio online violato, l'aggressore ha ottenuto indirizzi e-mail e password memorizzate in modo debole: rischio presente, quindi va notificato. E poiché le persone spesso riutilizzano le proprie password (lezione 1.4), il rischio è elevato: occorre informare gli interessati.

In caso di dubbio? Allora notificare è di solito la scelta più prudente. Anche il Garante consiglia di notificare in caso di dubbio. Informazioni nuove potrà comunicarle in seguito con una notifica integrativa.

Informare gli interessati: in caso di rischio elevato

L'articolo 34 riguarda le persone i cui dati sono coinvolti. Se la violazione comporta probabilmente un rischio elevato, deve informarle senza ritardo: il più rapidamente possibile, ragionevolmente parlando. Non si applica un termine di 72 ore, ma attendere che tutto sia chiarito non è nemmeno l'intenzione.

Nel messaggio deve essere indicato in linguaggio chiaro che cosa è successo, quali sono le probabili conseguenze, che cosa sta facendo Lei e che cosa possono fare loro stessi (ad esempio cambiare la password usata altrove, prestare attenzione al phishing a Suo nome, avvisare la propria banca), più un referente di contatto.

Non è necessario informare se aveva adottato misure adeguate che rendono i dati incomprensibili (ad esempio una buona cifratura), se successivamente ha adottato misure che rendono il rischio elevato non più probabile, oppure se ciò richiederebbe uno sforzo sproporzionato: in tal caso si procede con una comunicazione pubblica (articolo 34, paragrafo 3).

Attenzione: il phishing segue spesso una violazione di dati. I criminali sanno a quel punto chi sono i Suoi clienti e inviano un'e-mail "da parte Sua". Avvisi anche i Suoi clienti di questo rischio.

Il registro delle violazioni: sempre

L'articolo 33, paragrafo 5, La obbliga a registrare ogni violazione di dati personali, anche quando non la notifica. Registri: i fatti, le conseguenze, le misure adottate e la Sua valutazione (perché ha notificato o no, perché ha informato o no). Può scegliere Lei stesso la forma; il Garante mette a disposizione un modello di registro delle violazioni. Una semplice tabella è sufficiente:

Nr | Ontdekt (datum/tijd) | Wat gebeurde | Welke gegevens, hoeveel mensen
   | Gevolgen | Maatregelen | AP gemeld? (ja/nee + waarom, datum)
   | Betrokkenen geïnformeerd? (ja/nee + waarom) | Afgehandeld (datum)

Il registro è utile anche a Lei: se vede tre volte all'anno "e-mail inviata al destinatario sbagliato", sa dove deve migliorare (ad esempio introducendo un ritardo sull'invio, o non allegando più elenchi clienti, lezione 7.3).

Violazione di dati e decreto NIS: due notifiche diverse

Se la Sua organizzazione rientra nel decreto legislativo 4 settembre 2024, n. 138 (decreto NIS, recepimento della NIS2, lezione 9.1), si applica inoltre un obbligo di notifica per gli incidenti significativi: una prima segnalazione entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese, tramite il portale ACN. Si tratta di una notifica diversa, con uno scopo diverso (la continuità dei servizi) e presso un'autorità diversa. Un attacco ransomware può quindi rientrare in entrambi i casi. La maggior parte delle piccole imprese non rientra nel decreto NIS; l'obbligo di notifica previsto dal GDPR vale invece per tutti.

Questa lezione fornisce una spiegazione generale e non costituisce consulenza legale. In caso di dubbio, consulti il sito web del Garante o un legale.

Riepilogo

• Una violazione di dati personali è qualsiasi violazione che comporti la perdita, la modifica o l'accesso da parte di chi non ne ha diritto a dati personali; anche un'e-mail inviata al destinatario sbagliato o un laptop non cifrato smarrito.
• Notifica al Garante: senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, anche nel fine settimana, a meno che non sia probabile l'assenza di rischio. È ammessa una notifica incompleta.
• Informare gli interessati: senza ritardo, se è probabile un rischio elevato.
• Se la violazione avviene presso il Suo responsabile del trattamento, questi deve informarLa; la decisione sulla notifica spetta a Lei.
• Registri ogni violazione nel Suo registro delle violazioni, con la Sua valutazione.

Quiz

Esercizio

Esercizio A8.2: Calcoli il termine. Le vengono forniti quattro momenti di scoperta. Per ciascun momento, inserisca la data e l'ora ultime per la notifica al Garante. Il programma verifica.

Esercizio A8.2b: Notificare o no? Le vengono fornite otto brevi casistiche. Per ciascuna, scelga se deve notificare al Garante, se deve informare gli interessati, e se la deve registrare nel Suo registro delle violazioni. Il programma verifica e fornisce la spiegazione per ciascuna casistica.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il funzionamento è simile.

• Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
• Garante per la protezione dei dati personali, modello di registro delle violazioni: https://www.garanteprivacy.it/
• Garante per la protezione dei dati personali, obbligo di notifica delle violazioni: https://www.garanteprivacy.it/
• ENISA: https://www.enisa.europa.eu/
• GDPR (Regolamento (UE) 2016/679), articoli 4, 33 e 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• ACN (Agenzia per la Cybersicurezza Nazionale): https://www.acn.gov.it/