Informativa
Tutte le aziende ed organizzazioni pubbliche e private hanno l’obbligo di informare i propri utenti prima di raccogliere e di compiere qualsiasi operazione sui loro dati personali.
Contenuti da includere obbligatoriamente nell’informativa (art 13 e 14):
Chi è il titolare del trattamento
Chi effettua il trattamento
Se nominato, i recapiti del DPO
Quali sono i trattamenti effettuati e perché
Qual è la base giuridica del trattamento
Quali sono i dati raccolti
Se il trattamento comporta operazioni automatizzate, come la profilazione
Se i dati verranno comunicati a soggetti esterne (responsabili esterni)
Per quanto tempo saranno conservati e in che modo
Se i dati saranno trasferiti in altri Paesi e come
Quali sono i diritti dell’interessato.
Data Breach
Con il termine data breach si intende un incidente di sicurezza avvenuto in maniera involontaria o volontaria, in cui dati sensibili, protetti o riservati vengono consultati, copiati, trasmessi, rubati o utilizzati da un soggetto non autorizzato. Solitamente si realizza con una divulgazione di dati riservati o confidenziali all’interno di un ambiente privo di misure di sicurezze (da esempio, su web). Tale divulgazione può avvenire in seguito a:
perdita accidentale: ad esempio, smarrimento di una chiavetta USB contenente dati riservati
furto: ad esempio, furto di un notebook contenente dati confidenziali
infedeltà aziendale: ad esempio, una persona interna che avendo autorizzazione ad accedere ai dati ne produce una copia da distribuire a vari scopi
accesso abusivo: ad esempio, un accesso non autorizzato ai sistemi informatici con successiva divulgazione delle informazioni acquisite
Esempi di violazioni di data breach
I dati violati con un data breach possono riguardare gli ambiti:
finanziario (dati di carte di credito, di conti correnti…)
sanitario (informazioni sulla salute personale, malattie…)
proprietà industriale (segreti commerciali, brevetti, documentazione riservata, lista clienti, progetti finalizzati ad esempio a pratiche di concorrenza sleale…)
personali (dati di documenti di identità, codici personali…)
E' fatto obbligo di avvisare l’autorità (entro 72 ore) e gli utenti in caso di gravi violazioni a seguito di attacchi informatici o di eventi avversi che possano comportare la perdita, la distruzione o la diffusione indebita di dati.
In capo ai titolari dei trattamenti vige l’obbligo di condurre una preliminare ricognizione dei dati trattati e dei rischi ai quali sono soggetti cui dovrà seguire l’adozione di idonee misure di sicurezza.
La comunicazione agli utenti non è dovuta se si dimostra di aver utilizzato misure di sicurezza e sistemi di cifratura e di anonimizzazione che rendano inintelligibili i dati.
Per consentire l’attività di accertamento del Garante, occorre tenere un elenco aggiornato delle violazioni subite, con il dettaglio delle circostanze e delle conseguenze. L’inventario deve adottare misure che ne garantiscano integrità ed immodificabilità.
Come prevenire data breach
La prevenzione di data breach passa dunque dalla valutazione dei rischi e dalla definizione di misure di tipo tecnologico e organizzativo.