Cambia la notifica di data breach: il Garante privacy ha infatti introdotto un nuovo modello ufficiale contenente le informazioni minime necessarie per notificare una violazione di dati personali. Ecco tutte le novità e i consigli per effettuarla al meglio

Cambia la notifica di data breach: con il provvedimento n. 157 del 30 luglio 2019 il Garante privacy ha infatti introdotto un nuovo modello ufficiale contenente le informazioni minime necessarie per effettuare una notifica di violazione dei dati personali ai sensi dell’art. 33 del Regolamento europeo in materia di protezione dei dati personali (GDPR).

In precedenza, il Garante aveva già introdotto modalità e requisiti specifici di notifica dei data breach in diversi settori e con il provvedimento in questione il Garante ha provveduto a razionalizzare ed uniformare i termini, i contenuti e le modalità della notifica.

Come cambia la notifica di data breach

Il GDPR prevede che in caso di violazione dei dati personali, il titolare del trattamento è tenuto a notificare tale evento al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.

Allo stesso modo il responsabile del trattamento che viene a conoscenza di una eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi (artt. 33 e 55 del GDPR, art. 2-bis del Codice Privacy).

A seguito del citato provvedimento 157 l’onerosità di tale notifica è decisamente aumentata, probabilmente anche al fine di permettere al titolare di assumere reale contezza della violazione e, conseguentemente, di valutare in maniera ponderata l’effettiva necessità di comunicare, o meno, la violazione stessa anche alle persone fisiche interessate, nel rispetto di quanto previsto dall’art. 34 del GDPR.

Vediamo quindi come cambia la notifica di data breach.

Per effettuare la notifica il titolare dovrà scaricare il modello disponibile sul sito del Garante e compilare le seguenti sezioni:

1. Dati del soggetto che effettua la notifica, inserendo i dati anagrafici e di contatto del soggetto che materialmente effettua la notifica (ove nominato, si tratta del DPO del titolare);
2. Dati relativi al titolare del trattamento, in cui andranno inseriti i dati identificativi del titolare (denominazione, C.F./P.IVA, indirizzo ecc.), i dati di contatto del soggetto da contattare per informazioni (ove nominato il DPO andrà indicato il relativo numero di protocollo assegnato dal Garante alla comunicazione dei dati di contatto tramite la procedura online disponibile sul sito) e i riferimenti di ulteriori soggetti coinvolti con indicazione del ruolo svolto (contitolare o responsabile del trattamento , rappresentante del titolare non stabilito nell’UE);
3. Informazioni di sintesi sulla violazione, questa è una delle sezioni più critiche in quanto andranno indicate una serie di informazioni di dettaglio relative alla violazione, ivi incluse: la data esatta in cui si è verificata, il momento e le modalità in cui il titolare ne è venuto a conoscenza, i motivi del ritardo in caso di notifica oltre le 72 ore, la natura e la causa del data breach e le categorie di dati personali e soggetti interessati coinvolti, con indicazione dei relativi volumi;
4. Informazioni di dettaglio sulla violazione, a completamento della sezione precedente, in questa andranno indicati i dettagli relativi alla violazione descrivendo nello specifico l’incidente alla base del breach, le categorie di dati violate, i sistemi e le infrastrutture informatiche coinvolte nell’incidente, con indicazione della loro ubicazione e le misure di sicurezza tecniche e organizzative adottate;
5. Possibili conseguenze e gravità della violazione, si tratta di una sezione che richiede uno sforzo prognostico da parte del titolare il quale sarà tenuto a identificare i possibili impatti della violazione in base alla sua natura ed i potenziali effetti negativi per gli interessati; occorrerà inoltre effettuare una stima motivata della probabile gravità del data breach;
6. Misure adottate a seguito della violazione, in cui andranno segnalate tutte le contromisure sia tecniche che organizzative adottate per limitare gli impatti del breach e di futura attuazione onde prevenire incidenti futuri;
7. Comunicazione agli interessati, in questa sezione occorrerà specificare se la violazione è stata comunicata o meno agli interessati ai sensi dell’art. 34 del GDPR, ed in caso di mancata comunicazione sarà necessario motivare la ragione che ha spinto il titolare prendere una tale decisione;
8. Altre informazioni, si tratta di una sezione di chiusura in cui inserire i dettagli circa l’impatto transfrontaliero del data breach e le eventuali segnalazioni già effettuate ad altre autorità.

Laddove il titolare del trattamento non sia in possesso di tutte le informazioni richieste dal modulo, potrà avviare il processo di notifica pur in assenza di un quadro completo della violazione con riserva di effettuare una successiva notifica integrativa.

Come inviare la notifica di data breach

Il modulo di notifica, una volta completato con le informazioni richieste, deve essere inviato al Garante tramite posta elettronica all’indirizzo protocollo@pec.gpdp.it e deve essere sottoscritto digitalmente (con firma elettronica qualificata/firma digitale) ovvero con firma autografa. In quest’ultimo caso la notifica deve essere presentata unitamente alla copia del documento d’identità del firmatario.

È opportuno ricordare che la notifica non deve includere i dati personali oggetto di violazione (ad esempio, non fornire i nomi dei soggetti interessati dalla violazione).

In ogni caso l’oggetto del messaggio deve contenere obbligatoriamente la dicitura “NOTIFICA VIOLAZIONE DATI PERSONALI” e opzionalmente la denominazione del titolare del trattamento.

I prossimi passi

Il nuovo modulo di notifica richiede al titolare di raccogliere una folta serie di informazioni relative alla violazione. Per essere in grado di effettuare la notifica il titolare dovrà pertanto assicurarsi di aver implementato le adeguate procedure organizzative – sia interne che esterne nei confronti dei responsabili – che gli consentano di ottenere in maniere tempestiva tutte le notizie necessarie per compilare effettuare la notifica.

Il procedimento di notifica deve essere supportato dalla tenuta, da parte dei titolari del trattamento, del cosiddetto “registro delle violazioni”: un documento che ha la duplice funzione di consentire, al titolare, un agevole monitoraggio e controllo di tutte le violazioni di dati personali avvenute nel corso delle proprie attività di trattamento e, al Garante Privacy, di verificare il rispetto dell’obbligo di notifica tempestiva.

Questo registro andrà predisposto in linea con i requisiti del modulo di notifica per raccogliere tutte le informazioni necessarie al fine di documentare adeguatamente qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio.

Lo scenario dei data breach in Europa e in Italia

Il provvedimento con cui il Garante privacy ha introdotto il nuovo modello di notifica di data breach è l’occasione giusta anche per ricordare quanto il fenomeno dei data breach sia in costante aumento in Europa.

Il Comitato Europeo per la protezione dei dati ha pubblicato un report sullo stato di implementazione del GDPR a 9 mesi dalla sua piena applicabilità, in cui si rileva che le autorità Garanti in Europa hanno registrato circa 64.684 notifiche di data breach, ed è ragionevole ritenere che dalla pubblicazione del report ad oggi tale cifra sia cresciuta ulteriormente.

In tal senso è significativo quanto espresso dal World Economic Forum, secondo cui gli attacchi informatici sono la maggiore minaccia per le imprese che operano in Europa.

Durante gli ultimi anni il nostro continente è stato difatti teatro di una lunga serie di grandi attacchi cyber, il cui numero è aumentato di circa un terzo nel primo trimestre 2018, rispetto allo stesso periodo dell’anno scorso.

Tali stime trovano conferma nel rapporto presentato dalla Agenzia dell’Unione europea per la sicurezza delle reti e dell’informazione (ENISA) secondo cui, a fronte di un aumento moderatamente significativo del numero di attacchi, si è registrato un incremento esponenziale della efficacia e pericolosità degli stessi.

Nella prima metà del 2018 sono stati compromessi, infatti, circa 4.500 milioni di record a causa delle violazioni di dati, in forte crescita rispetto al 2017 in cui, nello stesso periodo, erano stati registrati «solo» 2,7 milioni di record violati.

Qui, la procedura descrita, per la comunicazione del RPD, infatti, in base all’articolo 37, paragrafo 7 del Regolamento UE/2016/679 occorre che i soggetti pubblici e privati comunichino al Garante per la protezione dei dati personali il nominativo del Responsabile della Protezione dei dati, se designato.

Questa disposizione mira a garantire che le autorità di controllo possano contattare il Responsabile della Protezione dei Dati (RPD), in modo facile e diretto, come chiarito nelle Linee guida sui Responsabili della Protezione dei Dati (RPD) adottate dal Gruppo Articolo 29 (WP 243 rev. 01 – punto 2.6).

Si ricorda, infatti, che in base all’articolo 39, paragrafo 1, lettera e) del Regolamento, il Responsabile della Protezione dei Dati funge da punto di contatto fra il singolo ente o azienda e il Garante.

Sul sito dell’Autorità è disponibile una procedura online per la comunicazione del nominativo.

Per facilitare i soggetti tenuti all’adempimento, nella sezione dedicata alla procedura, è presente anche un facsimile in formato .pdf – da non utilizzare per la comunicazione al Garante – che consente di familiarizzare con l’adempimento e verificare, prima di iniziare la compilazione online, quali saranno le informazioni richieste.

FAQ riportate dal sito del Garante Privacy

1. Chi è tenuto ad apporre la firma digitale?

La firma digitale deve essere apposta dal soggetto che materialmente effettua la comunicazione ed i cui dati (cognome, nome e indirizzo email) sono stati indicati nella sezione A del modulo.

2. Qualora la comunicazione venga effettuata su delega del rappresentante legale, è necessario allegare la delega?

No. È necessario indicare che la comunicazione viene effettuata su delega selezionando la corrispondente voce e indicando il cognome e nome del soggetto delegante.

3. Nel caso di più aziende appartenenti a un gruppo imprenditoriale, va effettuata una comunicazione per ogni azienda del gruppo?

Sì, in quanto l’obbligo di comunicazione è in capo al singolo titolare/responsabile del trattamento, sempre in presenza delle condizioni di cui all’art. 37, par. 1, lett. b) e c) del Regolamento.

4. Nel caso di comunicazione effettuata da parte di un gruppo imprenditoriale, è necessario compilare la sezione B1 del modulo?

La sezione B1 del modulo deve essere compilata solo nei casi previsti dall’art. 37, par. 2, del Regolamento, ossia solo nel caso in cui il gruppo abbia deciso di nominare un unico RPD.

5. In caso di nomina a RPD di una persona giuridica, come possono essere inseriti i relativi dati?

È necessario selezionare nella sezione C, al punto 1 “esterno” e al punto 2 “persona giuridica”.

6. Come mai, pur avendo compilato correttamente il modulo online, non si è ricevuta la mail con le istruzioni?

La mail con le istruzioni viene inviata alla casella di posta indicata nella sezione A del modulo. Occorre quindi verificare che la casella indicata sia abilitata alla ricezione di messaggi di posta elettronica ordinaria (molto spesso le caselle di posta elettronica certificata sono configurate in modo da non ricevere messaggi di posta elettronica ordinaria). Si consiglia, inoltre, di verificare che il messaggio non sia stato spostato automaticamente o per errore nella cartella “spam” o “posta indesiderata”.

7. Dopo aver effettuato il download del file da firmare, cosa si deve fare?

Occorre seguire le istruzioni ricevute con l’email. Si ricorda che in ogni caso il suddetto file non va inviato via email, ma solo caricato sulla piattaforma seguendo le istruzioni.

8. È possibile aprire il file scaricato al termine della compilazione del modulo?

Il file scaricato è in formato .xml e può essere aperto soltanto tramite appositi programmi. In ogni caso, come chiarito nelle istruzioni, “la minima modifica al file ricevuto comporterà il rigetto della comunicazione; pertanto, si raccomanda di non aprire il file ricevuto ma esclusivamente di procedere alla sua sottoscrizione digitale, previo salvataggio in locale”.

9. Perchè, pur avendo seguito le istruzioni di compilazione del modulo, si riceve un messaggio di comunicazione rigettata per un file non corrispondente a quello trasmesso?

Alcuni sistemi di posta elettronica possono alterare i file allegati, inserendo caratteri speciali: può così succedere che il file su cui è apposta la firma risulti difforme da quello che il sistema è impostato per riconoscere, con il conseguente rigetto della comunicazione. Per evitare questo tipo di problematiche, si consiglia di evitare di trasmettere il file da firmare mediante posta elettronica al soggetto che apporrà la firma digitale. E’ invece consigliabile completare la procedura di comunicazione e successiva applicazione della firma digitale dalla stessa postazione di lavoro del soggetto firmatario, che come indicato nelle istruzioni, deve coincidere con il soggetto che effettua la comunicazione (vedi sez. A del modulo).

10. In che modo è possibile correggere eventuali inesattezze o errori inseriti nella comunicazione una volta che la procedura è terminata?

In questo caso è necessario ripetere la procedura. La nuova comunicazione sostituirà la precedente, come chiarito nelle istruzioni: “Eventuali ulteriori comunicazioni effettuate per conto dello stesso Titolare/Responsabile, qualora accettate, saranno intese come integrale sostituzione di quanto già comunicato in precedenza”.

11. Cosa occorre fare se, una volta compilato il modulo e fatto l’upload del file firmato, si riceve una e-mail con l’avviso che la comunicazione è stata rigettata e, successivamente, se si tenta un nuovo upload, viene segnalato il testo di errore: “upload già effettuato”?

In questi casi, è necessario ripetere la procedura partendo dall’inizio, cioè effettuando una nuova compilazione dei dati (a cui seguirà l’attribuzione di un nuovo ID provvisorio di comunicazione, con l’invio di un nuovo file da firmare).

12. Cosa occorre fare se è stato effettuato l’upload del file ma non si riceve l’e-mail con il riscontro di avvenuta comunicazione?

Terminato l’upload, la piattaforma procede alle verifiche indicate nelle istruzioni e quindi all’invio del riscontro o del rigetto, seguendo l’ordine di arrivo delle comunicazioni. Tenuto conto delle numerose comunicazioni che stanno pervenendo in questi giorni, la procedura potrebbe richiedere anche qualche ora e l’arrivo dell’e-mail di riscontro potrebbe tardare un pò. Eventuali informazioni possono essere richieste inviando una mail all’URP del Garante, indicando l’ID provvisorio di comunicazione.

Nomina del DPO, è ormai usuale la regola di riconoscimento che devono seguire tutte le pubbliche amministrazioni e le migliaia di aziende private che hanno l’obbligo di dotarsi di un “data protection officer” (DPO) è chiaramente espresso nell’art. 37 del Regolamento UE 2016/679, dove è prescritto che il responsabile della protezione dei dati deve essere “designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati”, concetto ribadito anche nelle raccomandazioni contenute nelle Linee Guida  243 approvate dal Gruppo dei Garanti europei, ora tradotte in italiano a cura dell’Authority italiana.

Eppure, in base ai risultati che stanno emergendo da uno studio attualmente in corso, sembra che le imprese stentino ancora a mettere a fuoco la tematica, rivelando una certa difficoltà nella identificazione e nomina non riuscendo a distinguere perfino la differenza sostanziale tra la conformità alla normativa sulla protezione dei dati personali e la security, ramo dell’informatica che si occupa invece delle analisi delle minacce, delle vulnerabilità e dei rischi associati agli asset informatici al fine di proteggere i dati dai potenziali attacchi. Non sono infatti poche le società italiane che affidano l’incarico di data protection officer ad una risorsa del proprio reparto IT, o addirittura in alcuni casi a soci e/o componenti del direttivo, oppure quelle che nel processo di selezione del DPO cercano prevalentemente le competenze informatiche, trascurando d’altra parte le conoscenze giuridiche, indispensabili per districarsi trai meandri della normativa per evitare sanzioni che con il nuovo Regolamento Europeo potranno arrivare fino a 20 milioni di euro o al 4% del fatturato annuo dei trasgressori.

Tuttavia, che la scelta della nomina di un informatico puro come data protection officer, o addirittura la designazione come tale di una risorsa che appartiene alla funzione IT, siano prassi che comportano elevati rischi di violazione della stessa normativa, è dimostrato dal caso emblematico di una società tedesca che è stata sanzionata dal Garante per la privacy bavarese perché aveva nominato DPO il proprio IT manager, configurando una situazione di palese incompatibilità. A spiegare come evitare simili violazioni, è il presidente di Federprivacy, Nicola Bernardi: “Un titolare del trattamento che designa il proprio IT manager come data protection officer, non solo deve dimostrare che tale persona possegga effettivamente le conoscenze specialistiche della normativa come richiesto all’art.37 del Regolamento, ma deve anche assicurare che altri compiti e funzioni da questo svolte non diano adito a un conflitto d’interessi, come prescritto nell’art.38, perché altrimenti il DPO dovrebbe in pratica controllare se stesso – sottolinea il presidente di federprivacy.

Il soggetto individuato e investito della nomina come DPO può ricoprire anche altri incarichi all’interno della struttura aziendale, a condizione che non sia in conflitto di interessi. Proprio per questo motivo, il Garante ha precisato che sarebbe preferibile evitare di assegnare il ruolo di DPO a soggetti con incarichi di alta direzione (amministratore delegato, membro del consiglio di amministrazione, direttore generale, etc.), ovvero nell’ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (direzione risorse umane, direzione marketing, direzione finanziaria, responsabile IT, etc.).

È chiaro come l’introduzione di tale figura serva non solo a spostare da un soggetto (titolare/responsabile del trattamento) ad un altro (il DPO appunto) tutta una serie di responsabilità in ambito di protezione dei dati, ma anche e soprattutto per permettere ad un soggetto specifico, specializzato, esperto in materia di occuparsi esclusivamente della protezione dei dati personali, rimanendo sempre aggiornato sui rischi, i problemi e le misure di sicurezza necessarie a garantire un livello di tutela adeguato. Il tutto in linea con l’importanza, la diffusione e la complessità che l’ambito della privacy e del trattamento dei dati (soprattutto in campo digitale e tramite web) sta sempre più acquisendo. Fonte: Osservatorio Privacy Avv. Cristiano Cominotto 

Continua a Leggere→

Periodo transitorio di otto mesi per l’applicazione delle sanzioni del GDPR: a prevederlo è il decreto di adeguamento approvato dal Consiglio dei Ministri dell’8 agosto 2018.