Data Breach: Dati Personali Violati

Una violazione dei dati personali, comunemente nota come “data breach”, è definita dal Regolamento (UE) 2016/679 (GDPR) come “una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. Questa definizione, recepita dall’ordinamento italiano, copre un’ampia gamma di incidenti che possono compromettere la sicurezza delle informazioni personali.

Le violazioni possono essere classificate in base ai tre principi fondamentali della sicurezza delle informazioni:

• Violazione della riservatezza: Divulgazione o accesso non autorizzato o accidentale a dati personali.
• Violazione dell’integrità: Modifica non autorizzata o accidentale di dati personali.
• Violazione della disponibilità: Perdita, distruzione o impossibilità di accesso, accidentale o non autorizzata, ai dati personali.

Le cause di un data breach sono molteplici e possono includere attacchi informatici esterni (come attacchi hacker, ransomware, malware), errori umani, vulnerabilità tecniche non risolte, furto o smarrimento di dispositivi (es. laptop, chiavette USB), o eventi accidentali come incendi o altre calamità.

2. Obblighi Normativi del Titolare del Trattamento

Il GDPR impone al titolare del trattamento una serie di obblighi precisi da adempiere in caso di violazione dei dati personali, fondati sul principio di accountability (responsabilizzazione).

2.1 Notifica all’Autorità di Controllo

In caso di data breach, il titolare del trattamento ha l’obbligo di notificare la violazione all’autorità di controllo competente, che in Italia è il Garante per la protezione dei dati personali. Tale notifica deve avvenire “senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza”.

L’obbligo di notifica non è assoluto. Esso viene meno qualora “sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”. Se la notifica viene effettuata oltre il termine di 72 ore, deve essere corredata da una giustificazione del ritardo. Il responsabile del trattamento, a sua volta, ha l’obbligo di informare il titolare senza ingiustificato ritardo non appena viene a conoscenza di una violazione.

La notifica deve contenere informazioni specifiche, come descritto dall’art. 33, paragrafo 3, del GDPR:

1. a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati (DPO) o di altro punto di contatto; c) descrivere le probabili conseguenze della violazione dei dati personali; d) descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione e per attenuarne i possibili effetti negativi .

Qualora non sia possibile fornire tutte le informazioni contestualmente, esse possono essere trasmesse in fasi successive.

2.2 Comunicazione agli Interessati

Quando la violazione dei dati personali “è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche”, il titolare del trattamento ha anche l’obbligo di comunicare la violazione agli interessati, senza ingiustificato ritardo. La comunicazione deve descrivere con un linguaggio semplice e chiaro la natura della violazione e contenere almeno le informazioni e le misure di cui all’articolo 33, paragrafo 3, lettere b), c) e d). Lo scopo è permettere agli interessati di adottare le necessarie precauzioni per proteggersi.

2.3 Documentazione Interna della Violazione

Indipendentemente dalla notifica al Garante o dalla comunicazione agli interessati, il titolare del trattamento deve documentare tutte le violazioni di dati personali. Tale documentazione, spesso tenuta in un apposito “registro delle violazioni”, deve includere le circostanze della violazione, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Questo registro consente all’autorità di controllo di verificare il rispetto della normativa.

3. Fasi di Gestione del Data Breach e Conseguenze

La gestione di un data breach si articola in diverse fasi cruciali, ognuna con potenziali conseguenze legali e operative.

Fase	Azione / Evento	Possibili Conseguenze Giuridiche e Operative
Rilevamento dell’incidente	Scoperta della violazione tramite monitoraggio, segnalazioni o audit di sicurezza.	Un ritardo nel rilevamento può aggravare il danno e rendere più difficile la mitigazione. È fondamentale stabilire tempestivamente la natura e la gravità della violazione per adempiere agli obblighi di notifica.
Valutazione del rischio	Analisi della natura dei dati coinvolti (comuni, particolari, giudiziari), del numero di interessati e dei potenziali impatti sui loro diritti e libertà.	Una valutazione errata può portare a omettere la notifica al Garante o la comunicazione agli interessati, con conseguente violazione del GDPR. La valutazione determina gli obblighi successivi.
Notifica al Garante	Invio della notifica entro 72 ore tramite la procedura telematica predisposta dal Garante. La notifica deve essere completa degli elementi richiesti dall’art. 33 GDPR.	L’omessa, tardiva o incompleta notifica costituisce una violazione del GDPR e può comportare l’irrogazione di sanzioni amministrative pecuniarie.
Comunicazione agli interessati	Se il rischio è valutato come “elevato”, invio di una comunicazione chiara e trasparente agli interessati, fornendo indicazioni su come proteggersi.	La mancata comunicazione, quando dovuta, non solo espone a sanzioni, ma aggrava il danno reputazionale e la perdita di fiducia da parte degli utenti.
Mitigazione e rimedio	Adozione di misure tecniche e organizzative per contenere la violazione, ripristinare la sicurezza e l’integrità dei dati e prevenire incidenti futuri.	La tempestività e l’efficacia delle misure correttive sono elementi valutati dall’autorità di controllo per determinare la gravità della violazione e l’eventuale sanzione. Dimostrano la diligenza del titolare.
Documentazione e audit	Registrazione dettagliata dell’incidente nel registro delle violazioni, come richiesto dall’art. 33, par. 5, del GDPR.	La documentazione è essenziale per dimostrare la conformità al principio di accountability e per le analisi post-incidente volte a migliorare le misure di sicurezza.

 

4. Sanzioni e Responsabilità Legali

Le conseguenze di un data breach non gestito correttamente possono essere molto severe.

• Sanzioni Amministrative Pecuniarie: Il GDPR prevede sanzioni amministrative che possono arrivare, a seconda della gravità e della natura della violazione, fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente. Per violazioni degli obblighi di notifica (art. 33) o di sicurezza (art. 32), le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato. È importante notare che, in caso di sovrapposizione con altre normative come la Direttiva NIS2, i meccanismi sanzionatori sono coordinati per evitare il ne bis in idem   4.
• Diritto al Risarcimento del Danno: L’articolo 82 del GDPR stabilisce che “chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento”.

• • Onere della prova: Il titolare può essere esonerato dalla responsabilità solo se dimostra che “l’evento dannoso non gli è in alcun modo imputabile”.

• • Danno non in re ipsa: La giurisprudenza, sia nazionale che europea, ha chiarito che il danno non è automatico (non è in re ipsa). La mera violazione di una norma del GDPR non è sufficiente per ottenere un risarcimento. L’interessato deve dimostrare di aver subito un danno effettivo e il nesso causale tra la violazione e il danno.

• • Danno immateriale: La Corte di Giustizia dell’UE ha precisato che anche una “perdita del controllo di durata limitata” sui propri dati personali può costituire un “danno immateriale” risarcibile, a condizione che l’interessato dimostri di aver effettivamente subito tale danno, “per quanto minimo”   6. La lesione deve essere seria e non un mero disagio transitorio.

5. Misure di Prevenzione e Gestione

La migliore difesa contro i data breach è un approccio proattivo alla sicurezza, come richiesto dall’art. 32 del GDPR (“Sicurezza del trattamento”). Le buone pratiche includono:

• Misure tecniche adeguate: Utilizzo di cifratura, pseudonimizzazione, hashing delle password e autenticazione a più fattori, specialmente per dati sensibili o finanziari.
• Resilienza e ripristino: Implementazione di sistemi di backup regolari e testati per garantire la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati in caso di incidente.
• Monitoraggio e aggiornamento costanti: Adozione di procedure per testare, verificare e valutare regolarmente l’efficacia delle misure di sicurezza e per l’aggiornamento costante di software e firmware.
• Formazione del personale: Sensibilizzazione e formazione periodica dei dipendenti sui rischi (es. phishing, social engineering) e sulle procedure interne di gestione degli incidenti.
• Policy e procedure: Adozione di un “Manuale per la gestione delle violazioni dei dati” che definisca ruoli, responsabilità e procedure chiare per la risposta agli incidenti.

In conclusione, un data breach rappresenta un evento critico con profonde implicazioni legali, economiche e reputazionali. Il quadro normativo europeo e nazionale impone un approccio basato sulla prevenzione, la trasparenza e la responsabilità. La gestione efficace di un incidente, caratterizzata da rapidità, diligenza e comunicazione chiara, è fondamentale non solo per adempiere agli obblighi di legge, ma anche per mitigare i danni e preservare la fiducia degli interessati e del mercato.