Violazioni di dati in aumento: il Data Breach Investigations Report 2025 di Verizon lancia un allarme globale, con l’area EMEA tra le aree più colpite. Le intrusioni di sistema sono quasi raddoppiate nell’ultimo anno (+53%) e cresce anche il ruolo delle vulnerabilità sfruttate dai cybercriminali, in uno scenario sempre più complesso e imprevedibile.
Il considerando 88 del GDPR richiede almeno una procedura per la notifica della violazione dei dati personali. Tale richiesta, in una logica sistemica, deve considerare da un lato tutto il processo di gestione di un evento di Data Breach e non solo la gestione del singolo evento, e dall’altro non solo le situazioni di Data Breach ma anche quelle di potenziale evento che mina la sicurezza delle informazioni.
La Coca-Cola Company ha reso noto di aver subìto una violazione dei dati che potrebbe interessare circa 8.000 lavoratori a causa di un ex dipendente in possesso di un hard disk esterno contenente dati personali dei lavoratori.
Nel caso di violazioni dei dati personali il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista) senza indebiti ritardi e, se possibile, entro 72 ore dalla scoperta, deve notificare la violazione al Garante per la protezione dei dati personali, a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
Una delle citazioni più note e rimbalzate di Mike Tyson, “Everybody has a plan until they get punched in the mouth”, sembra essere perfetta per chiarire quel gap fra l’aver predisposto un ottimo piano ed essere in grado di attuarlo. Così, nel contesto di un data breach, l’adozione di una procedura per la gestione di una situazione naturalmente connotata da crisi ed emergenza qual è una violazione di dati personali rappresenta una condizione necessaria ma non sufficiente per costituire una misura preventiva efficace.
Le comunicazioni agli utenti dei data breach non devono essere generiche e devono fornire precise indicazioni su come proteggersi da usi illeciti dei propri dati, primo fra tutti il furto di identità. È quanto affermato dal Garante per la privacy nel provvedimento adottato nei confronti di uno tra i principali fornitori nazionali di servizi di posta elettronica. La società dovrà effettuare una nuova comunicazione sul data breach subito nei mesi scorsi, che aveva provocato l’accesso fraudolento alle caselle di posta elettronica di circa un milione e mezzo di propri utenti.
Quando si verifica un data breach, il titolare del trattamento deve notificare la violazione al Garante della privacy senza ingiustificato ritardo entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
Il Garante privacy ha sanzionato per 30mila euro l’Ordine degli Psicologi della Regione Lombardia per non aver adottato misure tecniche e organizzative adeguate a garantire la sicurezza dei dati.
Si è svolta l’8 e 9 giugno, a Bruxelles, la 121a riunione plenaria del Comitato per la protezione dei dati personali (EDPB, nell’acronimo inglese), a cui hanno preso parte per il Garante privacy la Vice Presidente Ginevra Cerrina Feroni e il direttore del Servizio relazioni internazionali e con l’UE, Riccardo Acciai.
Deve essere dettagliata e particolareggiata l'autosegnalazione al Garante della privacy dell'attacco informatico subito. L'adempimento obbligatorio in caso di data breach, previsto dall'articolo 33 del Gdpr, non va preso sottogamba, riempiendo con frasi generiche i campi del prescritto modulo on line. La superficialità nella notificazione è un illecito punito con sanzioni amministrative.
Per leggere l'articolo integrale devi effettuare il login!
