Notifica delle violazioni e DPIA

Una violazione dei dati personali è un incidente di sicurezza che comporta la distruzione, perdita, alterazione, divulgazione o accesso non autorizzato ai dati personali, in modo accidentale o illecito.

È un concetto più ampio di un attacco informatico. Un laptop smarrito, un'email inviata all'indirizzo sbagliato, un ransomware che cifra (rendendo indisponibili) i dati personali o un bucket S3 esposto rientrano tutti nella definizione.

Le violazioni corrispondono ai tre pilastri della sicurezza:

• Violazione della riservatezza: divulgazione o accesso non autorizzati
• Violazione dell'integrità: alterazione non autorizzata
• Violazione della disponibilità: perdita o distruzione (ad esempio, a causa di un ransomware)

Riconoscere che anche la perdita della disponibilità costituisce una violazione soggetta a notifica è un punto spesso trascurato.

Ai sensi del GDPR, il titolare del trattamento deve notificare all'autorità di controllo una violazione notificabile senza ingiustificato ritardo ed entro 72 ore dal momento in cui ne viene a conoscenza, ove possibile.

KVKK richiede di notificare la violazione al KVKK Board il prima possibile (il Board ha stabilito termini brevi). Il termine decorre dal momento in cui si viene a conoscenza della violazione, quindi la rapidità di rilevamento e triage è fondamentale.

Non tutte le violazioni devono essere segnalate all'autorità di controllo. Il GDPR collega l'obbligo al rischio per le persone:

• Notificare l'autorità di controllo, a meno che sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone
• Notificare gli interessati quando è probabile che la violazione comporti un rischio elevato

Una crittografia efficace dei dati esposti può ridurre il rischio e potrebbe eliminare l'obbligo di informare le persone.

Una notifica di violazione all'autorità di controllo dovrebbe descrivere:

• La natura della violazione e le categorie o il numero approssimativo delle persone e dei record coinvolti
• Le probabili conseguenze
• Le misure adottate o proposte per affrontare la violazione e limitarne i danni
• Un punto di contatto (DPO o equivalente)

Se non sono ancora disponibili tutti i dettagli, li fornisca in più fasi invece di non rispettare la scadenza.

Una procedura efficace per le violazioni viene provata in anticipo:

• Rilevare e contenere
• Valutare la portata e il rischio per le persone
• Notificare l'autorità di controllo e, in caso di rischio elevato, gli interessati
• Rimediare alla causa principale
• Documentare tutto in un registro delle violazioni

Anche le violazioni non soggette a notifica devono essere registrate internamente in base al principio di responsabilizzazione del GDPR.

Quando è necessario informare le persone, la comunicazione deve essere redatta in un linguaggio chiaro e semplice: che cosa è accaduto, quali dati sono coinvolti, quali sono le probabili conseguenze, che cosa si sta facendo e che cosa dovrebbero fare le persone (ad esempio, reimpostare le password e prestare attenzione al phishing).

Eviti di minimizzare l'incidente. Una notifica trasparente e tempestiva preserva la fiducia; gli insabbiamenti moltiplicano i danni normativi e reputazionali.

Una Valutazione d'impatto sulla protezione dei dati (DPIA) è un processo strutturato per individuare e ridurre i rischi per la privacy prima di avviare trattamenti ad alto rischio.

Porta la privacy nelle fasi iniziali: invece di reagire alle violazioni, consente di valutare e ridurre i rischi già in fase di progettazione. Anche KVKK prevede un'aspettativa analoga di valutazione dei rischi.

Il GDPR impone una DPIA quando è probabile che il trattamento comporti un rischio elevato, in particolare in caso di:

• Profilazione sistematica ed estesa con effetti significativi
• Trattamento su larga scala di dati appartenenti a categorie particolari
• Monitoraggio sistematico di un'area accessibile al pubblico
• Nuove tecnologie con impatto incerto (ad esempio, IA e dati biometrici)

Una DPIA normalmente:

• Descrive il trattamento e la relativa finalità
• Valuta la necessità e la proporzionalità
• Individua i rischi per le persone
• Definisce le misure di mitigazione (minimizzazione, crittografia, controllo degli accessi)

Se dopo l'applicazione delle misure rimane un rischio residuo elevato, il titolare del trattamento deve consultare l'autorità di controllo prima di procedere.

Quando un responsabile del trattamento subisce una violazione, deve informare il titolare del trattamento senza ingiustificato ritardo, perché solo il titolare segnala l'incidente all'autorità di controllo ed è responsabile del termine di 72 ore.

I contratti (il DPA) devono specificare tempi rapidi per la segnalazione delle violazioni da parte dei responsabili del trattamento. Un fornitore lento può consumare l'intera finestra di notifica del titolare, quindi il monitoraggio e gli SLA contrattuali sono importanti.

Ha completato la risposta alle violazioni e la valutazione del rischio:

• Una violazione riguarda la perdita di riservatezza, integrità o disponibilità
• Il termine di notifica di 72 ore previsto dal GDPR decorre dal momento in cui si viene a conoscenza della violazione
• Informi gli interessati quando il rischio è elevato; la cifratura può ridurre gli obblighi
• Segua un flusso di lavoro collaudato rileva-contieni-valuta-notifica-rimedia-documenta
• Le DPIA valutano e riducono i rischi elevati del trattamento prima che questo inizi

Ora è in grado di rispondere agli incidenti e gestire proattivamente i rischi per la privacy.