Violazioni di Dati Personali

Nell’ultimo periodo, abbiamo registrato un numero record di violazioni di dati personali a danno di infrastrutture informatiche; purtroppo l’Italia è tra le nazioni più colpite, con un rilevante numero di attacchi sferrati e – purtroppo – di violazioni di dati personali riuscite. Abbiamo sperimentato come la complessità e l’estensione delle infrastrutture informative, inadeguate – o mancanti – misure di sicurezza, la presenza di vulnerabilità e misconfigurazioni, il mutato panorama cyber – costellato di motivati gruppi malevoli – anche nation sponsored – ad elevata competenza tecnologica e capacità offensiva, la cronica mancanza di controlli e vulnerability assessment, la inadeguata formazione dei dipendenti e la loro scarsa consapevolezza, possono realizzare le condizioni che determinano una violazione di dati personali (Data Breach in inglese).

cosa è una violazione di dati personali?

Il Regolamento UE 679/2016 definisce Violazione dei Dati Personali come “una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”.
Quindi si determina un Data Breach quando vengono meno le condizioni di riservatezza, integrità e disponibilità del dato personale.

è possibile prevenire una violazione di dati?

Sappiamo bene che la sicurezza assoluta di un sistema informativo è irrealizzabile; da questo assunto, la normativa di protezione pone con forza l’accento sulla responsabilizzazione di Titolari e Responsabili del trattamento, al fine di adottare consolidati processi di valutazione e gestione del rischio.
Da questo ne consegue l’adozione di attività proattive di minimizzazione del rischio inerente ai trattamenti svolti, e delle misure tecniche e organizzative (anche di sicurezza) che il titolare ritiene di dover adottare per ridurre gli impatti potenziali a carico dei diritti e delle libertà degli interessati (coloro ai quali si riferiscono i dati personali oggetto di trattamento). Tra le più importanti misure (rilevato che gran parte dei breach ha origine da un errore umano) la formazione di una reale consapevolezza di tutte le funzioni organizzative a contribuire alla protezione dei dati.

qualora si determini una violazione di dati?

Il legislatore europeo, dalla consapevolezza che una violazione dei dati può occorrere, ha previsto – nel RGPD – obblighi in capo a tutti i titolari e responsabili del trattamento (GDPR artt. 33-34) qualora si determini un evento avverso denominato “Data Breach” oppure “Violazione di Dati Personali”, che – precedentemente al 2018 – erano solo a carico di alcune specifiche organizzazioni.

LE Attività immediate post violazione

Qualora si determini – o anche solo si sospetti – che sia occorsa una violazione di dati, il Regolamento UE 679/2016 richiede al titolare (o al responsabile) del trattamento di effettuare attività immediate, in primis una seria valutazione dell’accaduto, onde stabilire con certezza se l’evento avverso abbia interessato dati personali ed – in subordine – se questo determini un rischio – anche minimo – per i diritti e le libertà delle persone, alle quali tali dati si riferiscono. La determinazione dell’effettivo livello di rischio, gravante sulle persone a causa della avvenuta violazione dei loro dati personali, si ottiene effettuando una seria procedura di valutazione del rischio derivante dalle modalità della violazione e dal numero degli interessati coinvolti.
Sulla base del livello del rischio risultante, occorrerà azionare immediate misure di mitigazione, segnalare l’accaduto alla autorità di controllo e – qualora ne ricorrano gli estremi – agli interessati, affinchè essi possano prendere provvedimenti urgenti per tutelarsi ed evitare ulteriori danni ed effetti deleteri a cascata. Il caso classico sono la diffusione delle loro credenziali di accesso, che debbono essere bloccate o sostituite prontamente. Anche qualora emergesse che il livello del rischio sia trascurabile, occorre affrontare in modo serio l’accaduto, sopratutto evitando di nascondere l’evento avverso.

Affrontare una violazione di dati

Il nostro TEAM propone una gestione professionale relativa ad ogni aspetto di una violazione di dati personali.