{"id":12423,"date":"2021-04-19T20:06:57","date_gmt":"2021-04-19T18:06:57","guid":{"rendered":"https:\/\/www.unionepolizialocaleitaliana.it\/sito\/?p=12423"},"modified":"2021-09-20T20:02:31","modified_gmt":"2021-09-20T18:02:31","slug":"2021-16","status":"publish","type":"post","link":"https:\/\/www.unionepolizialocaleitaliana.it\/sito\/2021-16\/","title":{"rendered":"LA NOTIFICA DEL DATA BREACH di M.Mancini"},"content":{"rendered":"

<\/a>LA PROCEDURA OPERATIVA IN CASO DI DATA BREACH<\/b><\/h2>\n

\"\" \u00a0 \u00a0 \u00a0<\/a>di Massimiliano Mancini<\/strong>\u00a0(massimiliano.mancini-privacy@hotmail.com) [a]<\/a><\/p>\n

Abstract<\/strong>:<\/strong> Come agire in caso di violazione della sicurezza dei dati personali, ad esempio in caso di diffusione accidentale oppure di attacco di pirati informatici (hacking) o quando i sistemi sono bloccati con la richiesta di un riscatto (ransomware) o quando I sistemi o anche solo le immagini delle telecamere di videosorveglianza, delle body cam, delle fototrappole sono rubate, distrutte o acquisite da terzi, oppure sono smarriti o rubati i computer, i tablet, i cellulari, i registri cartacei che contengono dati personali? Chi deve fare cosa in questi casi? In questo articolo una breve guida schematica sulla procedura operativa da seguire.<\/i><\/p>\n

Keywords:\u00a0<\/strong>#databreach #violazionedatipersonali #privacy #GDPR #videosorveglianza #bodycam #fototrappole #malware #phishing #hacking #ransomware #hacking #accessoillecito #trattamentoillecitodatipersonali #accessoillecitoaisistemiinformatici #MassimilianoMancini #EspertiUPLI #UPLI #UnionePoliziaLocaleItaliana.<\/p>\n

[a]<\/a> Segretario Generale UPLI, criminologo, gi\u00e0 comandante dirigente di Polizia Locale e Provinciale, DPO\/RPD e consulente privacy in enti pubblici e aziende private esperto in DPIA.<\/em><\/p>\n

Indice<\/strong><\/p>\n

Premessa<\/a>; Chi deve agire in caso di data breach<\/a>; Come compilare la comunicazione<\/a>; Come trasmettere la notificazione<\/a>.<\/p>\n

\u00a0<\/strong><\/h3>\n

<\/a>Premessa<\/h3>\n

Il data breach \u00e8 il fallimento di protocolli e dei sistemi di tutela dei dati personali, e avviene quando, per ragioni accidentali o per comportamenti illeciti, si compromette la riservatezza, l\u2019integrit\u00e0 o la disponibilit\u00e0 [art.4 p.1 GDPR[1]<\/a>] di dati personali, ossia qualsiasi informazione riguardante persone fisiche identificate o identificabili, definite dalla normativa come \u201cinteressati\u201d [art.4 p.12 GDPR[2]<\/a>].<\/p>\n

Tipici casi di data breach sono[3]<\/a>: la distruzione anche per cause accidentali come incidenti, incendi o altre calamit\u00e0, la perdita dei dati contenuti negli archivi o nei dispositivi informatici che li contengono; la modifica accidentale o la deliberata alterazione di dati personali; \u00a0l\u2019accesso ai dati personali trasmessi, conservati o comunque trattati da parte di terzi non autorizzati e l\u2019eventuale divulgazione non autorizzata; il blocco o comunque l\u2019impossibilit\u00e0 ad accedere ai dati per cause accidentali o per attacchi esterni, virus, malware, ransomware.<\/p>\n

In questi casi ci si trova all\u2019improvviso con il dilemma: chi deve fare cosa e in quanto tempo?<\/p>\n

<\/a>Chi deve agire in caso di data breach<\/h3>\n

In caso di data breach il primo soggetto responsabile \u00e8 il titolare del trattamento, sia esso un privato, un professionista, un\u2019azienda, un ente pubblico, un\u2019associazione o un partito politico, ha l\u2019obbligo di accertare i fatti e le circostanze in cui esso \u00e8 avvenuto, valutarne le conseguenze, adottare tutte le misure necessarie per porvi rimedio e deve anche documentare tutto dettagliatamente, in modo che l\u2019autorit\u00e0 di controllo, ossia il Garante per la protezione dei dati personali, qualora ne abbia necessit\u00e0 possa verificare il rispetto della normativa [art.33 c.5 GDPR[4]<\/a>].<\/p>\n

Quindi il titolare del trattamento deve annotare l\u2019evento sul registro dei data breach e, se ritiene che la violazione dei dati personali comporti un rischio per i diritti e le libert\u00e0 delle persone fisiche allora, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne \u00e8 venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali e, qualora la comunicazione sia inviata oltre il termine, si deve giustificare il ritardo [art.33 c.1 GDPR[5]<\/a>].<\/p>\n

Anche il responsabile del trattamento ha specifiche responsabilit\u00e0 in caso venga a conoscenza di un data breach dovendo informare tempestivamente il titolare in modo che possa attivarsi con tutta la procedura [art.33 c.2 GDPR[6]<\/a>].<\/p>\n

<\/a>Come compilare la comunicazione<\/h3>\n

La notifica deve contenere una serie di informazioni minime espressamente previste dalla normativa [art.33 c.3 GDPR[7]<\/a>] e dal Provvedimento del Garante del 30 luglio 2019 sulla notifica delle violazioni dei dati personali [doc.web n 9126951]:<\/p>\n