Violazioni di dati personali e l'obbligo di notifica

Modulo 8: Quando qualcosa va storto · Tempo di lettura: 11 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di stabilire se si tratta di una violazione di dati personali, se deve notificarla entro 72 ore al Garante per la protezione dei dati personali e se deve informare gli interessati, e saprà registrarla in un registro delle violazioni di dati personali.

Concetti chiave: dati personali, violazione di dati personali (data breach), titolare del trattamento, responsabile del trattamento, GDPR articoli 33 e 34, procedura di notifica delle violazioni, 72 ore, rischio e rischio elevato, registro delle violazioni di dati personali

Che cos'è una violazione di dati personali?

Quando si parla di "violazione di dati personali" si pensa spesso a hacker che rubano un database. Questa è una delle possibili forme. Il GDPR usa una definizione più ampia: una violazione di dati personali è una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali (articolo 4, punto 12).

I dati personali sono tutte le informazioni relative a una persona identificabile: un nome, un indirizzo e-mail come jan.jansen@..., un numero di telefono, un indirizzo, un numero cliente con la cronologia degli ordini, una foto, un indirizzo IP combinato con altri dati. I dati relativi a un'azienda in quanto tale (numero di iscrizione al Registro delle imprese, indirizzo generico) non lo sono, ma i dati relativi alla persona di contatto sì.

Di conseguenza, sono tutte violazioni di dati personali:

• un'e-mail con un elenco clienti inviata al destinatario sbagliato;
• una newsletter in cui tutti i destinatari sono visibili nel campo A o CC;
• una chiavetta USB o un laptop smarriti contenenti dati del personale, se non erano crittografati;
• un ransomware che crittografa l'amministrazione clienti (i dati non sono disponibili, anche se nulla è stato copiato);
• una casella e-mail compromessa che contiene fatture con nomi e indirizzi;
• un link condiviso verso una cartella con lettere di candidatura accessibile a chiunque.

L'espressione "violazione di sicurezza" mostra che non si tratta solo di riservatezza. Contano anche la perdita (i dati non ci sono più) e la modifica (qualcuno ha alterato numeri di conto).

Chi è responsabile: Lei o il Suo fornitore?

Il GDPR prevede due ruoli.

• Il titolare del trattamento stabilisce perché e come vengono trattati i dati personali. Per i dati dei Suoi clienti e dipendenti, il titolare è Lei, in quanto imprenditore.
• Un responsabile del trattamento tratta i dati per Suo conto: la Sua società di hosting, il Suo software di contabilità nel cloud, il Suo servizio di newsletter, il Suo fornitore informatico.

Se la violazione avviene presso un responsabile del trattamento, questi deve informarLa senza ingiustificato ritardo (articolo 33, paragrafo 2). Lei valuta poi se notificare al Garante e informare gli interessati, e in linea di principio è Lei stesso a effettuare la notifica (a meno che non abbiate concordato che sia il responsabile a farlo per Suo conto). L'obbligo resta quindi in capo a Lei, anche se l'errore era di qualcun altro. Per questo in un accordo sul trattamento dei dati (data processing agreement) si definiscono accordi su quanto rapidamente e in che modo un responsabile del trattamento La informa (lezione 7.2).

Le 72 ore

L'articolo 33 del GDPR stabilisce che una violazione di dati personali va notificata senza ingiustificato ritardo e, ove possibile, entro 72 ore al Garante per la protezione dei dati personali, dal momento in cui ne è venuto a conoscenza. L'eccezione: non è probabile che la violazione presenti un rischio per i diritti e le libertà delle persone.

Quattro aspetti sono spesso fraintesi:

1. Il conto alla rovescia parte da quando ne viene a conoscenza, non da quando è avvenuta la violazione. "Venirne a conoscenza" significa: essere ragionevolmente certi che vi sia una violazione che coinvolge dati personali. Una breve valutazione iniziale è ammessa, ma chi deliberatamente non verifica non sposta il termine.
2. 72 ore sono 72 ore, anche nel weekend e nei giorni festivi. Se scopre una violazione venerdì alle 16:40, il termine ultimo è lunedì alle 16:40.
3. È ammessa una notifica incompleta. Se dopo 72 ore non sa ancora tutto, notifichi ciò che sa e integri in seguito. Se notifica oltre le 72 ore, deve motivare il ritardo (articolo 33 del GDPR).
4. Ciò che conta è il rischio per le persone, non il danno per la Sua azienda.

Ontdekt:  vrijdag   16:40   -> klok start
          zaterdag            (telt mee)
          zondag              (telt mee)
Uiterlijk maandag   16:40   -> melding bij de AP (eventueel onvolledig)

La notifica avviene di norma tramite la procedura online del Garante per la protezione dei dati personali. Può preparare la notifica in anticipo. Deve indicare, tra l'altro, cosa è successo, quando, quali e quanti dati e persone sono coinvolti, quali conseguenze possono esserci e quali misure ha adottato. Qui il registro di cui alla lezione 8.1 si rivela utile.

Quando notificare e quando no: la valutazione del rischio

Deve valutare quanto sia probabile e quanto grave sia la conseguenza per gli interessati. Pensi a: furto d'identità, danno finanziario, discriminazione, danno reputazionale, o perdita di controllo sui propri dati. Domande utili:

Due esempi ricorrenti:

• Laptop crittografato rubato, con password robusta, chiave non compromessa, backup recente: probabilmente nessun rischio. Non notificare al Garante, ma registrarlo comunque nel Suo registro.
• Negozio online violato, l'aggressore ha ottenuto indirizzi e-mail e password salvate in modo debole: c'è rischio, quindi va notificato. E poiché le persone spesso riutilizzano la stessa password (lezione 1.4), il rischio è elevato: occorre informare gli interessati.

Ha dei dubbi? In caso di incertezza, notificare è di solito la scelta più prudente. Anche il Garante consiglia di notificare in caso di dubbio. Le nuove informazioni vanno comunicate in seguito con una notifica integrativa.

Informare gli interessati: in caso di rischio elevato

L'articolo 34 riguarda le persone a cui appartengono i dati. Se la violazione comporta probabilmente un rischio elevato, deve informarle senza ritardo: il più rapidamente possibile in modo ragionevole. In questo caso non si applica il termine di 72 ore, ma attendere che tutto sia chiarito non è comunque l'intenzione della norma.

Nel messaggio deve indicare in linguaggio chiaro cosa è successo, quali sono le probabili conseguenze, cosa sta facendo Lei e cosa possono fare loro stessi (ad esempio cambiare la password usata altrove, prestare attenzione a tentativi di phishing a Suo nome, avvisare la propria banca), più un riferimento di contatto.

Non è necessario informare se aveva adottato misure di sicurezza adeguate che rendono i dati incomprensibili (come una buona crittografia), se successivamente ha adottato misure che rendono il rischio elevato non più probabile, oppure se ciò richiederebbe uno sforzo sproporzionato: in tal caso effettua una comunicazione pubblica (articolo 34, paragrafo 3).

Attenzione: il phishing spesso segue una violazione di dati personali. I criminali sanno allora chi sono i Suoi clienti e inviano un'e-mail che sembra provenire "da Lei". Avvisi anche i Suoi clienti di questo rischio.

Il registro delle violazioni: sempre obbligatorio

L'articolo 33, paragrafo 5, La obbliga a registrare ogni violazione di dati personali, anche se non la notifica. Registri: i fatti, le conseguenze, le misure adottate, e la Sua valutazione (perché ha notificato o no, perché ha informato gli interessati o no). La forma è libera; il Garante mette a disposizione un modello di registro delle violazioni. Una semplice tabella è sufficiente:

Nr | Ontdekt (datum/tijd) | Wat gebeurde | Welke gegevens, hoeveel mensen
   | Gevolgen | Maatregelen | AP gemeld? (ja/nee + waarom, datum)
   | Betrokkenen geïnformeerd? (ja/nee + waarom) | Afgehandeld (datum)

Il registro è utile anche a Lei stesso: se nota tre volte all'anno "e-mail inviata al destinatario sbagliato", sa dove intervenire per migliorare (ad esempio un ritardo nell'invio, oppure non allegare più elenchi clienti, lezione 7.3).

Violazione di dati personali e decreto NIS: due notifiche diverse

Se la Sua organizzazione rientra nel decreto legislativo 4 settembre 2024, n. 138 (decreto NIS, recepimento della NIS2, lezione 9.1), si applica inoltre un obbligo di notifica per gli incidenti significativi: una prima segnalazione entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese, tramite il portale ACN. Si tratta di una notifica diversa, con uno scopo diverso (la continuità dei servizi) e presso un'autorità diversa. Un attacco ransomware può quindi rientrare in entrambe le categorie. La maggior parte delle piccole imprese non rientra nel decreto NIS; l'obbligo di notifica previsto dal GDPR vale invece per tutti.

Questa lezione fornisce una spiegazione generale e non costituisce consulenza legale. In caso di dubbio, consulti il sito del Garante o un legale.

Riepilogo

• Una violazione di dati personali è ogni violazione che causa la perdita, la modifica, o l'accesso da parte di chi non ne ha diritto a dati personali; anche un'e-mail inviata al destinatario sbagliato o un laptop non crittografato smarrito.
• Notifica al Garante: senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta, anche nel weekend, a meno che non sia probabile un rischio. È ammessa una notifica incompleta.
• Informare gli interessati: senza ritardo, se è probabile un rischio elevato.
• Se la violazione avviene presso il Suo responsabile del trattamento, questi deve informarLa; la decisione sulla notifica spetta a Lei.
• Registri ogni violazione nel Suo registro delle violazioni, con la Sua valutazione.

Quiz

Esercizio

Esercizio A8.2: Calcoli il termine. Le vengono forniti quattro momenti di scoperta. Inserisca per ciascuno la data e l'ora limite per la notifica al Garante. Il programma verifica il risultato.

Esercizio A8.2b: Notificare o no? Le vengono forniti otto brevi casi. Scelga per ciascun caso se deve notificare al Garante, se deve informare gli interessati, e se deve registrarlo nel Suo registro delle violazioni. Il programma verifica le risposte e fornisce la spiegazione per ciascun caso.

Per approfondire

I passaggi descritti negli articoli di WebOké si riferiscono all'ambiente di WebOké; presso altri fornitori il funzionamento è analogo.

• Aiuto! Il mio sito è stato violato. Come posso risolvere il problema e come posso evitare che accada di nuovo?
• Garante per la protezione dei dati personali, modello di registro delle violazioni: https://www.garanteprivacy.it/
• Garante per la protezione dei dati personali, obbligo di notifica delle violazioni: https://www.garanteprivacy.it/
• Garante per la protezione dei dati personali, questionario per il modulo di notifica delle violazioni: https://www.garanteprivacy.it/
• GDPR (Regolamento (UE) 2016/679), articoli 4, 33 e 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• ACN (Agenzia per la Cybersicurezza Nazionale), informazioni sul decreto NIS: https://www.acn.gov.it/portale/nis
• Si tratta di una violazione dei dati e devo segnalarla?