Data breach: definizione

In breve

La definizione è all'articolo 4, punto 12, del Regolamento (UE) 2016/679. Non serve un attacco informatico: anche un portatile perso, una email inviata al destinatario sbagliato o un archivio cancellato per errore senza copia sono violazioni. Le linee guida europee le distinguono in tre tipi, che possono combinarsi:

• di riservatezza: dati visti o sottratti da chi non doveva;
• di integrità: dati alterati senza autorizzazione;
• di disponibilità: dati persi o resi inaccessibili, anche temporaneamente, come con un ransomware.

Cosa chiede il GDPR

• Notifica al Garante (art. 33): il titolare la invia senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se arriva dopo, va motivato il ritardo.
• Comunicazione agli interessati (art. 34): necessaria quando il rischio è elevato, con un linguaggio semplice e le misure consigliate. Non serve, per esempio, se i dati erano cifrati in modo robusto.
• Documentazione (art. 33, paragrafo 5): tutte le violazioni, anche quelle non notificate, vanno registrate con i fatti, le conseguenze e i provvedimenti adottati. È il registro delle violazioni.
• Il responsabile del trattamento (per esempio un fornitore IT o cloud) deve informare il titolare senza ingiustificato ritardo.

Per chi rientra nella NIS2, un incidente può richiedere in parallelo anche la notifica al CSIRT Italia, con tempi e contenuti diversi. Le due valutazioni vanno fatte insieme. La guida data breach: cosa fare nelle 72 ore le mette in fila.

Perché è importante

Le 72 ore passano in fretta, e il tempo si perde quasi sempre nel capire chi deve decidere. Per questo conviene avere prima ruoli definiti (un CSIRT, il DPO se nominato), un modello di valutazione del rischio e un registro pronto.

Esempio

Un commerciale perde in treno il portatile aziendale con i dati di contatto di 2.000 clienti. Se il disco è cifrato e la chiave non è compromessa, il rischio per le persone è improbabile: la violazione va registrata ma non necessariamente notificata. Se il disco non è cifrato, l'azienda deve valutare il rischio e, con ogni probabilità, notificare al Garante entro 72 ore. Lo stesso evento, due esiti diversi: la differenza la fa una misura di sicurezza decisa prima.

Termini collegati

• DPO
• CSIRT
• Dark web: dove finiscono molti dati sottratti
• Ransomware