Le violazioni dei dati personali (Data Breach)

La violazione dei dati personali si manifesta quando avviene un evento critico di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali conservati, trasmessi o comunque trattati dal Responsabile per conto del Titolare.
Il GDPR stabilisce che il Titolare effettua le comunicazioni all'Autorità di controllo sulla violazione di dati personali (art.33) ed informa l'interessato se si presenta il rischio per i diritti e le libertà di quest'ultimo (art.34).
Il modello da utilizzarsi è quello messo a disposizione dal Garante.
Il modello va compilato dal Titolare, assistito dal Responsabile del trattamento e con l'ausilio del Referente Privacy, sulla base delle informazioni fornite dal sub-Responsabile e dal sub-Responsabile tecnico che cura la eventuale gestione informatizzata dei dati e quindi notificato all'Autorità di controllo da parte del Titolare.
L'interessato, cioè il soggetto a cui si riferiscono i dati oggetto di violazione, va informato senza ingiustificato ritardo.
Il Gruppo Articolo 29, istituito dall'Unione Europea, ha individuato tre categorie di eventi rilevanti ai sensi degli artt. 33 e 34 del Regolamento:

• - quando vi è un accesso incidentale o abusivo a dati personali;
• - quando vi è una perdita o distruzione accidentale o non autorizzata del dato personale;
• - quando vi è un'alterazione accidentale o non autorizzata del dato personale.

Si riportano nel seguito alcuni esempi di violazioni di dati:

• - un attacco informatico ad uno o più sistemi informativi, anche se gestiti da società esterne all'amministrazione;
• - la distruzione o perdita di dati anche su supporto cartaceo per cause differenti da un attacco informatico o da problemi tecnici;
• - un'interruzione del servizio di un sistema di gestione dati dell'Amministrazione causato ad esempio da una interruzione di energia elettrica, che rende i dati personali non più disponibili;
• - la impossibilità di accedere a dati crittografati qualora sia andata persa la chiave di decrittografia;
• - il furto o smarrimento di un computer portatile, di un cellulare di servizio non opportunamente cifrato;
• - lo smarrimento di una chiavetta USB, un CD ecc che contiene dati personali di dipendenti o cittadini.
• - attacco malware che comporta la crittografia dei dati personali (e non anche furto di dati), in assenza di copie di backup dalle quali effettuare il ripristino.

Principali documenti sulle violazioni di dati

Procedura di risposta ad una violazione dei dati personali - DGR 483-2018

Nuovo modello Unificato di comunicazione di Data Breach al Garante

Scheda del Garante sulle violazioni di dati personali - Data Breach

Linee guida in materia di notifica delle violazioni di dati personali