Cos’è una violazionedei dati personali (Data Breach) secondo il GDPR
Una violazione di sicurezza (data breach) che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati (art. 4 del GDPR).
Una violazione dei dati personali può compromettere la riservatezza (in caso di divulgazione non autorizzata o accidentale di o accesso a dati personali), l’integrità (in caso di alterazione non autorizzata o accidentale dei dati personali) o la disponibilità di dati (in caso di perdita accidentale o non autorizzata dell’accesso o distruzione dei dati personali). Di consenguenza possono derivare tutta una serie di conseguenze sulle persone.
Alcuni possibili esempi:
– accesso o acquisizione dei dati da parte di terzi non autorizzati;
– smarrimento di pc portatili, devices o attrezzature informatiche aziendali;
– attacco ransomware che blocca l’accesso ai sistemi informatici;
– perdita o distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità;
– invio di e-mail contenenti dati personali e/o particolari a erroneo destinatario;
– divulgazione non autorizzata o pubblicazione di documenti che contengono dati personali.
Cosa fare in caso di data breach
Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) deve notificare la violazione, al Garante per la protezione dei dati personali, entro 72 ore dalla scoperta, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche.
La notifica al Garante effettuate oltre il termine delle 72 ore deve essere accompagnata dai motivi del ritardo.
Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicare la violazione a tutti gli interessati senza ingiustificato ritardo, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto.
E’ importante essere in grado di identificare una violazione, di valutare il rischio per le persone fisiche e, di conseguenza, effettuare la notifica se necessario.
Fondamentale, a prescindere dalla notifica al Garante, condurre tempestivamente un’indagine interna volta a chiarire la natura e la portata della violazione, le sue cause, le categorie di dati coinvolti e le potenziali conseguenze per gli interessati.
Che tipo di violazioni vanno notificate
Vanno notificate unicamente le violazioni di dati personali che possono avere effetti avversi significativi sugli individui, causando danni fisici, materiali o immateriali.
Ciò può includere, ad esempio, la perdita del controllo sui propri dati personali, la limitazione di alcuni diritti, la discriminazione, il furto d’identità o il rischio di frode, la perdita di riservatezza dei dati personali protetti dal segreto professionale, una perdita finanziaria, un danno alla reputazione e qualsiasi altro significativo svantaggio economico o sociale.
Che informazioni deve contenere la notifica
La notifica deve contenere almeno le seguenti informazioni:
– una descrizione della natura della violazione dei dati personali, che comprenda, se possibile:
a) le categorie e il numero approssimativo di persone interessate;
b) le categorie e il volume approssimativo di dati personali interessati;
– il nome e i riferimenti di contatto del responsabile della protezione dei dati (se designato dal titolare) o comunque di un referente competente a fornire informazioni;
– una descrizione delle possibili conseguenze della violazione dei dati personali;
– le misure adottate o proposte per rimediare alla violazione e limitarne gli effetti.
Il registro delle violazioni
L’art. 33, par. 5 del GDPR impone al titolare del trattamento di documentare ogni violazione, anche quelle che non comportano rischi per gli interessati. La tenuta di un registro dei casi di data breach, sia dei casi di violazione effettivamente occorsi sia le minacce potenziali, costituisce uno strumento essenziale per dimostrare l’adempimento degli obblighi normativi. Il registro deve contenere:
- la natura della violazione;
- il numero e le categorie di interessati coinvolti;
- le possibili conseguenze dell’incidente;
- le misure adottate per porvi rimedio;
- le motivazioni delle decisioni assunte, inclusa l’eventuale scelta di non procedere alla notifica.
Tracciare i casi di data breach permette individuare e tenere sotto controllo i fattori di rischio in azienda e valutare se le procedure interne adottate sono efficaci.
Eventuale a comunicazione agli interessati
L’art. 34, par. 3 del GDPR prevede che la comunicazione di un data breach agli interessati è necessaria quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La comunicazione non è richiesta, invece, quando:
- il titolare aveva adottato misure tecniche e organizzative adeguate di protezione — come la cifratura — e tali misure erano già applicate ai dati oggetto della violazione;
- il titolare ha tempestivamente adottato misure idonee a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati;
- la comunicazione individuale risulterebbe impossibile o richiederebbe uno sforzo sproporzionato, ad esempio per indisponibilità dei dati di contatto.
Digital Omnibus e data breach
Il Comitato europeo per la protezione dei dati, EDPB, ha avviato una consultazione pubblica, fino al 5 agosto 2026, sul nuovo modello europeo di notifica dei data breach. La proposta non modifica gli obblighi previsti dall’articolo 33 del GDPR. Potrebbe essere adottato un modello comune potrebbe ridurre le differenze procedurali tra i diversi Paesi europei e facilitare la gestione delle violazioni che interessano più Stati membri.
Conclusione
Gestire in maniera corretta un data breach è fondamentale per ogni organizzazione. Disporre di procedure interne, formare il personale e verificare periodicamente l’efficacia delle misure di sicurezza consente di prevenire e risolvere in maniera efficace eventi che possono verificarsi, anche in modo involontario.
Contattami per valutare le esigenze della tua organizzazione e individuare le soluzioni più adatte.
Potrebbe interessarti anche:
Sanità: violazione dei dati (data breach)
Data Breach. Pubblicate le linee Guide 1/2021 sugli esempi di notifica
Data Breach. Il Garante lancia il nuovo servizio per la notifica