Data breach — notifica (artt. 33-34 GDPR)

Data breach — definizione

Art. 4 n. 12

• Violazione sicurezza

Perdita, modifica, divulgazione, accesso non autorizzato

• Ai dati personali

Categorie breach

Riservatezza

• Divulgazione

Integrità

• Alterazione

Disponibilità

• Perdita accesso

Art. 33 — Notifica Garante

72 ore

• Da conoscenza

Salvo

• Improbabile rischio

Giustifica ritardo

• Motivi

Calcolo 72 ore

Da venuto a conoscenza

• Titolare noto

Non solo sospetto

• Conferma

Contenuto notifica (art. 33.3)

Natura violazione

• Categorie dati, n. interessati

DPO

• Contatti

Conseguenze probabili

• Impatti

Misure adottate

• Mitigazione

Modalità

Tramite portale Garante

• Online

O PEC

• Alternativa

Modulo Garante

Compilato

• Online

Allegati

• Docs

Notifica in più fasi

Se non tutte info

• Subito

Integrate dopo

• Art. 33.4

Art. 34 — Comunicazione interessati

Se alto rischio

• Obbligatoria

Senza ritardo

Contenuto (art. 34.2)

Linguaggio semplice

• Chiaro

Natura violazione

DPO

Conseguenze

Misure

Eccezioni comunicazione

Misure applicate

• Dati illeggibili (crittografia)
• Azioni successive che escludono rischio
• Sforzo sproporzionato (comunicazione pubblica)

Alto rischio — valutazione

Criteri EDPB

• Natura dati
• Numero interessati
• Vulnerabilità
• Conseguenze

Dati sensibili breach

Alto rischio generalmente

• Salute, finanziari, minori

Gestione incidenti

Procedura scritta

• Obbligatoria

Team dedicato

• IR

Prima ora

Contenimento

• Priorità

Valutazione impatto

6-24 ore

Analisi forense

• Cause

Decisione notifica

• DPO

24-72 ore

Preparazione notifica

• Completamento

Comunicazione interessati

• Se rischio

Documentazione

Tutti breach

• Anche non notificati

Registro breach

• Obbligatorio

Registro breach

Interno

• Obbligatorio

Contenuto

• Tutti dettagli

Cause tipiche

Umane

• Errori

Tecniche

• Hacking

Furti dispositivi

Invii errati email

Perdita chiavi accessi

Esempi breach

Email a destinatari errati

• Lista

Dati esposti online

• Configurazione

Ransomware

• Cifratura

Furto laptop

• Dipendente

Phishing di successo

Sanzioni

Art. 83.4 a

• Omessa notifica
• Fino 10 milioni o 2% fatturato

Aggravata

• Danni a interessati

Responsabile del trattamento

Informa titolare

• Senza ritardo
• Art. 33.2

Poi titolare notifica

Catena

Responsabile → Titolare → Garante → Interessati

Sentenze recenti

Sanzioni Garante italiano

• Milioni €

Casi

• Frequenti

Casi famosi

Equifax USA

• 147M utenti

Marriott

• 500M clienti

Facebook Cambridge Analytica

Polizia Locale

Breach possibili

• Banche dati
• Verbali

Obblighi

• Stessi PA

Body-cam perdita

Dati personali perduti

• Breach

Procedura

Smarrimento tablet

Con dati servizio

• Breach

Protezione crittografia

• Mitiga

Email errata

Con dati

• Breach

Notifica

• Valutazione

Accesso non autorizzato

Ex dipendente

• Spegne credenziali

Breach

Ransomware

Sempre

• Breach

Notifica

• Obbligatoria

Formazione

Personale

• Riconosce breach

Segnala

• Immediatamente

Canali segnalazione

Interno

• Chiari

DPO

• Punto contatto

Cyber insurance

Copertura breach

• Crescente

Costi

• Rilevanti

ENISA linee guida

Best practices

• Gestione breach

Italia

• Segue

Garante italiano

Procedure

• Indicazioni

FAQ

• Aggiornate

Lingua

Italiana

• Ai interessati

UE

• Notifica

Multipli interessati

Comunicazione via media

• Ammessa

Se sforzo sproporzionato

Rapporti di polizia

Cyber reati

• Denuncia

CNAIPIC

• Competente

Art. 615-ter c.p.

Accesso abusivo

• Sistema informatico

Reato

Indagini

Forensi

• Esperti

Polizia postale

Polizia Postale

Specializzata

• Cyber reati

Collaborazione Garante

CSIRT Italia

Team risposta

• Nazionale

Collaborazione

Rapporto trimestrale Garante

Report breach

• Aggregati

Pubblici

Tendenze

Breach in aumento

• Cyber crime

Attacchi sofisticati

Italia

Migliaia breach/anno

• Notificati

Trend crescente

Rimedi civili

Danno

• Risarcimento

Azione

• Interessati

Classe action

Grandi breach

• Ammessa

Italia

• Dal 2020

Polizia Locale — best practice

Formazione regolare

• Staff

Piano incident

• Scritto

Test periodici

Conclusioni

Gestione breach cruciale

• GDPR

Per DPO

• Ruolo centrale

Per organizzazioni

• Preparazione

Per interessati

• Tutela