Data breach nella PA — casistica pratica

Cos'è il data breach

Definizione (art. 4 n. 12 GDPR)

"Violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati."

Tre tipologie

1. Confidenzialità (divulgazione non autorizzata o accesso);
2. Integrità (modifica non autorizzata);
3. Disponibilità (perdita di accesso o distruzione).

Casistica pratica nella PA

Caso 1 — PEC al destinatario sbagliato

• Errore di battitura indirizzo PEC;
• PEC consegnata a soggetto terzo che non doveva ricevere;
• Es.: verbale CdS inviato a omonimo;
• Tipologia: confidenzialità.

Caso 2 — Smarrimento fascicolo cartaceo

• Fascicolo dimenticato in macchina, mensa, autobus;
• Furto di borsa con documenti;
• Tipologia: confidenzialità + disponibilità.

Caso 3 — Furto/smarrimento dispositivo

• Laptop rubato dall'auto;
• Smartphone smarrito;
• USB persa;
• Disco esterno rubato;
• Tipologia: confidenzialità (se senza cifratura) + disponibilità.

Caso 4 — Accesso abusivo banca dati

• Hacker esterno;
• Insider (operatore che accede oltre l'autorizzato);
• Furto credenziali + uso da terzi;
• Tipologia: confidenzialità.

Caso 5 — Errore di sistema

• Bug che espone dati pubblicamente;
• Configurazione errata server (es. cartella esposta);
• Aggiornamento che modifica permessi;
• Tipologia: confidenzialità.

Caso 6 — Email con allegato sbagliato

• Email a destinatari corretti ma allegato di altro fascicolo;
• Tipologia: confidenzialità.

Caso 7 — Distruzione accidentale

• Server danneggiato senza backup;
• Allagamento archivio;
• Incendio ufficio;
• Tipologia: disponibilità + integrità.

Procedura obbligatoria (artt. 33-34 GDPR)

Fase 1 — Rilevazione

• Chiunque rileva il breach (operatore, utente, audit, IT);
• Segnalazione immediata al DPO + Comandante PL + IT;
• NO ritardi (decorre il termine 72h);
• Registrazione dell'evento.

Fase 2 — Valutazione del rischio

• Documentata;
• Da DPO + IT + dirigente;
• Criteri:
  • Tipologia del breach;
  • Categorie e numero di dati coinvolti;
  • Categorie e numero di interessati;
  • Conseguenze potenziali (identità, finanziarie, reputazionali, fisiche);
  • Misure adottate per contenere.
• Esiti possibili:
  • Rischio basso: solo registrazione interna;
  • Rischio non basso: notifica al Garante;
  • Rischio elevato: anche comunicazione agli interessati.

Fase 3 — Notifica al Garante (art. 33)

Quando

• Rischio non basso per diritti e libertà degli interessati;
• Entro 72 ore dalla scoperta.

Come

• Modulo sul sito Garante (autoportale);
• Contenuto:
  • Natura della violazione;
  • Categorie e numero degli interessati;
  • Categorie e numero dei dati;
  • Conseguenze probabili;
  • Misure adottate o proposte.

Se oltre 72h

• Spiegare il ritardo;
• Possibili sanzioni se ritardo ingiustificato.

Fase 4 — Comunicazione agli interessati (art. 34)

Quando

• Rischio elevato per diritti e libertà;
• Es.: dati sanitari, finanziari, identificativi rilevanti.

Come

• Comunicazione individuale;
• Linguaggio chiaro e semplice;
• Contenuto:
  • Descrizione della violazione;
  • Contatti DPO;
  • Conseguenze probabili;
  • Misure adottate;
  • Suggerimenti per l'interessato (es. cambiare password).

Eccezioni (art. 34 par. 3)

• Misure adeguate già in atto (es. cifratura dei dati);
• Successive misure che eliminano il rischio elevato;
• Sforzo sproporzionato → comunicazione pubblica equivalente.

Fase 5 — Misure di contenimento

Tecniche

• Cambio credenziali se compromesse;
• Blocco accessi sospetti;
• Recupero/cancellazione dati esposti;
• Patch vulnerabilità;
• Backup ripristino se distruzione.

Organizzative

• Indagine interna;
• Identificazione cause e responsabili;
• Formazione aggiuntiva;
• Revisione procedure.

Fase 6 — Registrazione nel registro data breach

Registro interno (obbligatorio art. 33 par. 5)

• Per ogni breach (anche minore):
  • Data;
  • Tipologia;
  • Cause;
  • Conseguenze;
  • Misure adottate;
  • Notifica al Garante (sì/no, perché);
  • Comunicazione interessati (sì/no, perché).
• Conservazione illimitata (per audit Garante).

Sanzioni

Per omessa notifica

• Garante: sanzioni amministrative (fino 10 mln € o 2% fatturato);
• Per PA: sanzioni adeguate al contesto.

Per breach evitabili

• Sanzione per misure di sicurezza inadeguate (art. 32 GDPR);
• Sanzione fino 20 mln € o 4% fatturato per casi gravi.

Procedure interne PL

Modello operativo

1. Formazione continua sul riconoscimento breach;
2. Procedura segnalazione chiara (es. email DPO + Comandante);
3. Catena decisionale definita;
4. Modulistica standard;
5. Esercitazioni periodiche.

Tempi cruciali

• 0h: Rilevazione → segnalazione immediata;
• 0-24h: Valutazione rischio + misure contenimento;
• 24-48h: Preparazione notifica;
• 48-72h: Notifica al Garante (se necessario);
• Successivamente: comunicazione interessati (se necessario).

Casi pratici dettagliati

Caso 1 — Verbale CdS via PEC sbagliata

Cosa fare:

1. Operatore si accorge dell'errore → segnala DPO + Comandante;
2. Valutazione rischio: probabilmente medio (verbale singolo a destinatario erroneo);
3. Comunicazione al destinatario errato (chiede cancellazione + obbligo riservatezza);
4. Notifica al Garante entro 72h (se rischio significativo);
5. Comunicazione all'interessato corretto (rinotifica + spiegazione);
6. Registrazione interna.

Caso 2 — Laptop PL rubato (con CED app installata)

Cosa fare:

1. Denuncia furto immediata + segnalazione DPO;
2. Disabilitazione account + cambio credenziali;
3. Wipe remoto del dispositivo (se possibile);
4. Valutazione: dati erano cifrati? Quante credenziali compromesse?
5. Notifica Garante (probabile);
6. Eventuale comunicazione interessati (se dati sensibili in cache).

Caso 3 — Hacker accede a database verbali

Cosa fare:

1. Isolamento server compromesso;
2. Indagine forense (con esperti IT esterni);
3. Identificazione cosa è stato esposto;
4. Notifica Garante (sicuramente);
5. Comunicazione agli interessati (probabile);
6. Misure correttive: patch, monitoraggio, audit;
7. Eventuale CNR all'AG per reato (art. 615-ter c.p.).

Caso 4 — Operatore PL accede CED per curiosità

Cosa fare:

1. Audit rileva → segnalazione DPO + Comandante;
2. Procedimento disciplinare;
3. Valutazione: c'è stata divulgazione? Solo accesso?
4. Se solo accesso senza divulgazione: rischio basso;
5. Se anche comunicazione a terzi: notifica Garante + interessati;
6. CNR all'AG: art. 615-ter aggravato (PU).

Per il concorso

Domanda tipica

"Cosa è il data breach e quali obblighi comporta?"

Risposta:

• Art. 4 n. 12 GDPR: violazione di sicurezza che comporta distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati;
• Tipologie: confidenzialità, integrità, disponibilità;
• Casi pratici PA: PEC sbagliata, fascicolo perso, furto laptop, accesso abusivo, errore sistema;
• Procedura:
  1. Rilevazione + segnalazione immediata DPO;
  2. Valutazione rischio;
  3. Notifica al Garante entro 72h (se rischio non basso, art. 33);
  4. Comunicazione agli interessati (se rischio elevato, art. 34);
  5. Misure di contenimento;
  6. Registrazione interna obbligatoria;
• Sanzioni elevate per omessa notifica.