Quando ci si riferisce al data breach si è soliti associare tale concetto agli attacchi informatici ovverosia a violazioni di dati personali conseguenti ad azioni dolose e illecite realizzate da soggetti singoli, oppure da parte di organizzazioni di natura criminale, su dispositivi elettronici, PC, infrastrutture e sistemi IT, reti di computer (malware, phishing, ransomware) finalizzate alla distruzione, sottrazione, compromissione, disabilitazione o modifica dei dati personali in essi contenuti.
In realtà, nonostante l’attacco informatico rappresenti senza dubbio una delle cause più frequenti, la violazione dei dati personali può trovare origine in numerosi e altri eventi riconducibili all’errore umano oppure a eventi accidentali o calamità naturali – come incendi ed alluvioni – la cui imprevedibilità – con riguardo a questi ultimi – rende peraltro difficile, se non impossibile, l’adozione di adeguate misure volte ad evitarli o comunque mitigarli.
Lo stesso Garante per la protezione dei dati personali, nell’offrire possibili esempi di data breach, indica espressamente “la perdita o la distruzione di dati personali a causa di incidenti, eventi avversi, incendi o altre calamità”.
Indice degli argomenti
Data breach da incendi e calamità naturali
I disastri ambientali e gli eventi naturali catastrofici sono, purtroppo, sempre più diffusi (come confermano anche i recenti fatti verificatisi in Emilia-Romagna) e oltre a causare importanti danni di natura sociale ed economica – possono determinare una violazione in materia di privacy allorquando provochino la perdita o la distruzione di dati personali.
Anche in questo ultimo caso, nonostante la natura accidentale dell’evento, occorrerà sempre che il titolare del trattamento effettui adeguate e puntuali valutazioni circa l’esistenza di rischi per le libertà ed i diritti dell’interessato anche verificando, ritiene la scrivente, che oltre ai documenti persi o distrutti gli stessi dati personali siano contenuti in corrispondenti documenti di natura informatica in grado garantire piena fedeltà e corrispondenza al documento cartaceo e comunque formati nel rispetto delle procedure di dematerializzazione previste dalla normativa di riferimento[1].
Valutazioni e adempimenti privacy
Chiarire l’esatto significato di data breach è di fondamentale importanza per il titolare del trattamento dei dati personali conseguendo, a tale evento, una serie di valutazioni e di adempimenti, così come previsti dal Regolamento (UE) 2016/679, la cui inosservanza può condurre all’ applicazione di sanzioni amministrative di natura pecuniaria dell’importo sino a diecimila euro, o per le imprese, sino al due per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
Al verificarsi di una violazione dei dati personali, e sempre che sia improbabile il rischio per i diritti e le libertà delle persone fisiche, l’articolo 33 del GDPR[2] prevede che il titolare del trattamento provveda alla notifica all’Autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza (salvo motivato ritardo) indicando:
- la natura della violazione dei dati personali, ivi incluse le categorie ed il numero approssimativo di interessati nonché le categorie ed il numero approssimativo di registrazioni dei dati personali;
- il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
- la descrizione delle probabili conseguenze della violazione dei dati personali;
- la descrizione delle misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
Inoltre, il successivo articolo 34[3] richiede che, se la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento debba senza ingiustificato ritardo comunicare la violazione all’interessato.
Una attenta lettura delle succitate norme conduce a ritenere come non tutte le violazioni di dati personali comportano l’obbligo da parte del titolare del trattamento di procedere alla notifica all’Autorità Garante ed alla comunicazione ai soggetti interessati, dovendosi procedere in tal senso solo a seguito di preventive ed approfondite valutazioni – il cui svolgimento dovrà essere opportunamente “guidato” e regolamentato da una procedura aziendale interna e comunque documentato nel rispetto del principio di accountability – circa l’effettiva gravità dell’evento e l’esistenza di un rischio per i diritti e le libertà dei soggetti interessati.
In ogni caso, a prescindere dall’esistenza degli obblighi predetti, il titolare del trattamento dovrà sempre e comunque dare evidenza documentale di tutte le violazioni dei dati personali verificatesi e ciò, preferibilmente, attraverso la redazione e l’aggiornamento di un registro delle violazioni in grado di essere esibito e prodotto, se richiesto, all’Autorità Garante consentendo a quest’ultima di poter verificare ex post il rispetto delle prescrizioni normative.
NOTE
In particolare, si richiama la Deliberazione CNIPA n. 11/2004 del 19 febbraio 2004 “Regole tecniche per la riproduzione e conservazione di documenti su supporto ottico idoneo a garantire la conformita’ dei documenti agli originali” la quale, al suo articolo 4 “Conservazione sostitutiva di documenti analogici”, afferma: 1. Il processo di conservazione sostitutiva di documenti analogici avviene mediante memorizzazione della relativa immagine direttamente sui supporti ottici, eventualmente, anche della relativa impronta, e termina con l’apposizione, sull’insieme dei documenti o su una evidenza informatica contenente una o piu’ impronte dei documenti o di insiemi di essi, del riferimento temporale e della firma digitale da parte del responsabile della conservazione che attesta cosi’ il corretto svolgimento del processo. 2. Il processo di conservazione sostitutiva di documenti analogici originali unici si conclude con l’ulteriore apposizione del riferimento temporale e della firma digitale da parte di un pubblico ufficiale per attestare la conformita’ di quanto memorizzato al documento d’origine. 3. La distruzione di documenti analogici, di cui e’ obbligatoria la conservazione, e’ consentita soltanto dopo il completamento della procedura di conservazione sostitutiva, fatto salvo quanto previsto al comma 4 dell’art. 6 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445. 4. Il processo di riversamento sostitutivo di documenti analogici conservati avviene mediante memorizzazione su altro supporto ottico. Il responsabile della conservazione, al termine del riversamento, ne attesta il corretto svolgimento con l’apposizione del riferimento temporale e della firma digitale sull’insieme dei documenti o su una evidenza informatica contenente una o piu’ impronte dei documenti o di insiemi di essi. Qualora il processo riguardi documenti originali unici di cui al comma 2, e’ richiesta l’ulteriore apposizione del riferimento temporale e della firma digitale da parte di un pubblico ufficiale per attestare la conformita’ di quanto riversato al documento d’origine”. ↑
Articolo 33 GDPR – Notifica di una violazione dei dati personali all’autorità di controllo:
1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.
2. Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.
3. La notifica di cui al paragrafo 1 deve almeno:
a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
c) descrivere le probabili conseguenze della violazione dei dati personali;
d) descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
4. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.
5. Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all’autorità di controllo di verificare il rispetto del presente articolo. ↑
Articolo 34 GDPR – Comunicazione di una violazione dei dati personali all’interessato:
1. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.
2. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all’articolo 33, paragrafo 3, lettere b), c) e d).
3. Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:
a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;
b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1;
c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.
4. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, l’autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta. ↑
