Il "data breach" è un incidente di sicurezza in cui dati personali necessariamente protetti in quanto patrimonio aziendale e fonte di pericolo in caso di loro trattamento illecito, subiscono una compromissione che ne causa la distruzione accidentale o illecita, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso da parte di soggetti non autorizzati.
Con questo termine, dunque, si indicano quegli incidenti informatici, siano essi volontari o involontari, da cui ne consegue la perdita, la distruzione o la diffusione indebita di dati riservati o confidenziali –informazioni particolari come quelle sanitarie, finanziarie o personali, ma anche proprietà industriali e documentazioni aziendali.
Alcuni possibili esempi (riportati dal garante):
- l’accesso o l’acquisizione dei dati da parte di terzi non autorizzati;
- il furto o la perdita di dispositivi informatici contenenti dati personali;
- la deliberata alterazione di dati personali;
- l’impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ecc.;
- la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;
- la divulgazione non autorizzata dei dati personali.
COSA FARE IN CASO DI VIOLAZIONE DEI DATI PERSONALI?
L’articolo 33 del GDPR, al punto 1, prescrive che in caso di violazione dei dati personali, il titolare del trattamento deve notificare il Data Breach all’autorità di controllo competente entro 72 ore dal momento in cui ne viene a conoscenza, qualora la violazione presenti un rischio per i diritti e la libertà delle persone fisiche. Nessuna notifica invece laddove
sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo.
A ciò si aggiunge l'ulteriore incombenza secondo cui se la violazione comporta un rischio elevato
per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto.
In ogni caso, il GDPR ha sancito l'obbligo per tutti i titolari del trattamento, a prescindere dalla notifica al Garante, di documentare tutte le violazioni dei dati personali, predisponendo un apposito registro. In caso di verifiche, tale registro, corredato delle valutazioni che inquadrano e catalogano il Data Breach, dovrà essere necessariamente esibito e consentirà all’Autorità di effettuare eventuali verifiche sul rispetto della normativa.
Questo onere posto a carico del titolare non è altro che l'espressione della "accountability", termine anglosassone che richiama la responsabilità, la consapevolezza, la padronanza della materia e l'esistenza di procedure e formazione degli incaricati.
La prova di tale "responsabilità" non è quindi semplice e necessita di evidenze oggettive.
Punto fondamentale quindi è documentare come e da chi
sia stata svolta l'analisi interna del data breach, per catalogarlo tra quelli da notificare o meno al Garante e comunicare eventualmente agli interessati. Per questo avere una squadra esperta e dedicata al Data Breach è fondamentale.
Sul punto è proprio il Garante che ha chiarito che vanno notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali.
Ciò può includere, ad esempio, la perdita del controllo sui propri dati personali, la limitazione di alcuni diritti, la discriminazione, il furto d'identità o il rischio di frode, la perdita di riservatezza dei dati personali protetti dal segreto professionale, una perdita finanziaria, un danno alla reputazione e qualsiasi altro significativo svantaggio economico o sociale.
Occorre fare molta attenzione: sempre in base all'art. 33 del GDPR, se il Titolare decide di notificare, sarà necessario fornire al Garante determinate informazioni, quali ad esempio la natura della violazione, l’ammontare approssimativo del numero di persone interessate, dati di contatto del responsabile della protezione dei dati, possibili conseguenze della violazione, misure adottate. Ovvio che ove all'atto della notifica non sia possibile dare tutte le informazioni importanti, il Titolare potrà integrare tale comunicazione in un secondo momento, fornendo i dati mancanti.
La notifica deve essere inviata al Garante tramite posta elettronica certificata all'indirizzo protocollo@pec.gpdp.it , oppure tramite posta elettronica ordinaria all’indirizzo protocollo@gpdp.it e deve essere sottoscritta digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest'ultimo caso la notifica deve essere presentata unitamente alla copia del documento d'identità del firmatario.
L'oggetto del messaggio deve contenere obbligatoriamente la dicitura "NOTIFICA VIOLAZIONE DATI PERSONALI" e opzionalmente la denominazione del titolare del trattamento.
LA SEMPLIFICAZIONE DECISA DAL GARANTE
La notizia (positiva) è che il Garante italiano, per semplificare gli adempimenti previsti per i titolari del trattamento, ha ideato e messo disposizione un apposito strumento di autovalutazione (self assessment) che consente di individuare le azioni da intraprendere a seguito di una violazione dei dati personali derivante da un incidente di sicurezza.
Tramite il link sotto riportato, i titolari del trattamento potranno quindi procedere negli adempimenti previsti in caso di Data Breach (violazioni dei dati personali), accedere al modello di notifica al Garante e alla procedura di auto-valutazione (self assessment) per catalogare il Data Breach e ad assolvere agli oneri di notificazione ed eventuale comunicazione agli interessati.