Si parla di violazione dei dati personali quando dati personali vengono distrutti, persi, modificati, divulgati o resi accessibili senza autorizzazione. Gli esempi sono molti: un sito con un plugin vulnerabile da cui vengono sottratti i dati dei clienti, una casella e-mail violata, un computer portatile rubato, un elenco di clienti inviato per errore a destinatari sbagliati.
Le prime ore
- Contenere: isolare il sistema colpito, cambiare le password, bloccare gli accessi sospetti.
- Capire: quali dati sono coinvolti, quante persone, da quando, come è successo.
- Documentare: annotare fatti, tempi e azioni intraprese.
- Valutare il rischio per le persone coinvolte: furto d’identità, frodi, danni alla reputazione.
- Decidere le notifiche in base alla normativa applicabile.
Gli obblighi in Italia
Il GDPR prevede che il titolare notifichi la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, vanno informate anche le persone interessate. Tutte le violazioni, anche quelle non notificate, vanno documentate internamente.
Gli obblighi in Svizzera
La legge federale sulla protezione dei dati prevede la notifica all’Incaricato federale della protezione dei dati e della trasparenza il prima possibile quando la violazione comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate. In alcuni casi vanno informate anche le persone stesse.
Una comunicazione ai clienti vaga o tardiva fa più danni della violazione stessa. Meglio informare con chiarezza su cosa è successo, quali dati sono coinvolti e cosa possono fare per proteggersi.
Il ruolo dei fornitori
Molte violazioni avvengono presso fornitori: hosting, piattaforme di newsletter, servizi in cloud. Gli accordi sul trattamento dei dati devono prevedere che il fornitore avvisi tempestivamente l’azienda. Conviene sapere in anticipo chi contattare e come.
Prevenire
- Aggiornamenti regolari di sito, plugin e sistemi.
- Password robuste e autenticazione a più fattori per gli accessi importanti.
- Backup verificati e conservati separatamente.
- Accessi limitati alle sole persone che ne hanno bisogno.
- Formazione del personale su phishing e invii errati.
Un esempio
Un piccolo e-commerce scopre che un plugin non aggiornato ha permesso l’accesso al database degli ordini. Isola il sito, aggiorna e ripristina da un backup pulito, cambia tutte le credenziali e analizza i registri per capire quali dati sono stati esposti. Con il supporto del proprio consulente valuta il rischio, notifica l’autorità entro i termini e informa i clienti coinvolti con istruzioni chiare. La trasparenza limita il danno di reputazione.
Domande frequenti
Un’e-mail inviata al destinatario sbagliato è una violazione?
Se contiene dati personali, può esserlo. Va valutato il rischio e documentato l’accaduto.
Devo sempre notificare l’autorità?
No, solo quando ricorrono le condizioni previste dalla normativa. La valutazione va fatta caso per caso e documentata.
Chi deve gestire la situazione?
Il titolare del trattamento, con il supporto di eventuali consulenti, del responsabile della protezione dei dati se nominato e dei fornitori coinvolti.
La sicurezza delle automazioni, con permessi minimi, registri e backup, è un principio di ogni progetto CMXD SmartFlow. Per una verifica tecnica del tuo sito, richiedi un’analisi gratuita.
