Data Breach e Gdpr: con l’avvento del Gdpr siamo stati abituati a termini nuovi per indicare violazione privacy e dati, tra questo anche Data Breach. Nello specifico quando parliamo di Data Breach intendiamo la violazione della sicurezza di un data base informatico contenente dati personali ,violazione che può  portare alla perdita, modifica o furto degli stessi dati.

Il processo di violazione dei dati aziendali non è sempre relativo ad un attacco hacker esterno, ma spesso legato ad una incapacità nel gestire le misure di sicurezza interna per proteggere i database aziendali.

Ad esempio, uno dei Data Breach più rilevati è dato dalla perdita o dal furto del dispositivo nel quale sono archiviati dati personali in possesso dell’azienda o del professionista.

Oppure, il database può essere violato da soggetti autorizzati ad accedere, che però con atteggiamento malevolo, diffondono dati personali pubblicamente oppure provano a vendere gli stessi dati o li utilizzano per scopi criminosi.

Ultimo caso è elativo ai malware, attacchi informatici esterni ai data base che riescono ad impedire ai proprietari dei database l’accesso ai propri dati , se ne impossessano e chiedono pagamento di riscatto.

• Come comportarsi in caso di Data Breach?
• Quali tipi di violazioni comunicare?
• Come redigere la notifica?

Come comportarsi in caso di Data Breach?

Nel caso di Data Breach, come spiegato sul sito ufficiale del Garante della Privacy è necessario che il titolare del trattamento dei dati, notifichi l’avvenuta violazione della repository dati entro 72 ore dalla scoperta del problema.

Quali tipi di violazioni comunicare?

E’ fondamentale comunicare tutti quei tipi di violazione che possono creare problemi ai soggetti di cui si posseggo i dati, esponendoli a rischi quali discriminazione, furto di identità truffe o frodi e perdite finanziarie, danni della reputazione e alla riservatezza.

Come redigere la notifica?

La notifica deve contenere le informazioni indicate nell’articolo 33 parte 3 del Regolamento UE 2016/679 come indicato nell’allegato Provvedimento del Garante del 30 luglio 2019 sulla notifica delle violazioni dei dati personali (doc. web n. 9126951), e compilare il relativo modello  allegato da scaricare e compilare.

Il modulo poi deve essere firmato con firma digitale e inviato al Garante tramite PEC , all’indirizzo mail: protocollo@pec.gpdp.it, oppure ad email classica protocollo@gpdp.it, firmata e accompagnata da documento di identità.

Importante non dimenticare l’oggetto della mail: “NOTIFICA VIOLAZIONE DATI PERSONALI”.

Se la violazione dei dati può comportare gravi conseguenze ai titolari dei dati, questi ultimi devono essere informati, soprattutto se è risultato impossibile limitare le conseguenze relative.

Per ultimo è necessario tenere traccia di tutte le violazioni in un apposito registro.

 

 

Violazione privacy: pubblica amministrazione e privato colpevoli del mancato rispetto della normativa GDPR.

Nel 2019 il 48% delle ingiunzioni sul mancato rispetto della privacy è stato disposto a carico di p.a. , soprattutto scuole e enti locali. Il 52% invece è stato disposto nei riguardi di aziende e/o privati.

L’applicazione del GDPR non procede ancora nel senso sperato, soprattutto nella pubblica amministrazione.

Questi gli argomenti discussi a Roma durante l’evento di presentazione del libro “Privacy, protezione e trattamento dei dati, edito grazie a Federprivacy e Cnr di Pisa.

All’incontro c’era l’uscente presidente del collegio del Garante per la protezione dei dati personali, Antonello Soro.

Soro stesso ha scritto la prefazione del libro in cui ha tenuto a ribadire che «la protezione dati è il terreno elettivo per saggiare la tenuta del diritto rispetto alla tecnica e riportare l’uomo al centro di uno sviluppo tecnologico che rischia, altrimenti, di prescindere da ogni orizzonte di senso».

Durante l’incontro i è parlato quindi delle sanzioni applicate in assenza di rispetto GDPR, e i dati riportati sono davvero sbalorditivi.

Il 48% delle ingiunzioni hanno interessato la pubblica amministrazione, dato davvero sconcertante considerando che il 52% delle medesime è stato a carico dei privati.

Le ingiunzioni di pagamento adottate dal Garante dal 1/1/2019al 14/12/2019 sono state ben 27 e il motivo anzionatorio è stato per lo più legato alla violazione del vecchio codice della privacy, dlgs 196/2003. Nel privato i più sanzionati gli enti locali, 38%, seguiti a ruota dalle scuole, 31%.

Invece nel settore privato, il 72% delle sanzioni ha riguardato Imprese.

In merito ai compensi previsti per il DPO o RPD (se vogliamo usare la formula anglosassone o italiana) anche in questo caso gli enti pubblici si trovano in enorme difficoltà, senza seguire una unica linea guida. La gara che viene fatta infatti o è rivolta al solo servizio di responsabile protezione dati oppure all’adeguamento dell’organizzazione e delle procedure al GDPR.

Anche le gare vengono gestite in maniera diversa e senza una unica direttiva: si bandiscono gare che hanno punte minime di 1000 euro fino a 80 mila euro/anno.

Ma come mai tutta questa attenzione per la protezione dati, soprattutto per il web?

I numeri parlano chiaro.

Ad ottobre 2019 si è registrato che circa 4,48 miliardi di persone sono stati attivi sul web, con Cina, India e Stati uniti ai primi posti in classifica di più attivi in rete.

La penetrazione mondiale di Internet è del 57% e di circa il 95% per il Nord America e Nord Europa.

---

RESTA AGGIORNATO CON BETA IMPRESE!

Guarda la nostra offerta formativa

Dopo l’entrata in vigore del GDPR, le attività ispettive da parte del garante della privacy sono iniziate, e di conseguenza anche le relative sanzioni sono state comminate.