Estratto SIG – Email inviata per errore è un data breach
La violazione di dati personali, comunemente detta “data breach”, non è esattamente un “data breach” tecnico.
La definizione operata dal legislatore [art. 4, 11), GDPR] ci dice che la violazione di dati personali è una “violazione di sicurezza” con effetti avversi sui dati personali. Pertanto, il “personal data breach” è in ogni caso un “incidente” ma non sempre di natura informatica. Ad esempio, la circolare n. 285 della Banca d’Italia, con riferimento alla gestione dei rischi considera il rischio ICT della banca, secondo gli “Orientamenti dell’EBA sulla gestione dei rischi relativi alle tecnologie dell’informazione e della comunicazione e di sicurezza del 28 novembre 2019. Di converso, la violazione di dati personali può essere sia un incidente che coinvolge le risorse informatiche che non. Esempio di questo secondo tipo sono le violazioni che derivano dall’invio di corrispondenza (cartacea o elettronica) a destinatari errati.
La perdita o il furto di dispositivi mobili e documenti rappresenta la quinta tipologia di casi di data breach affrontati nelle linee guida EDPB 01/2021. Come nelle puntate precedenti del 28/1/2021, dell’11/2/2021, dell’11/3/2021 e dell’1/4/2021, riportiamo in sintesi:
- gli elementi salienti di ciascun incidente
- le ripercussioni in termini di rischi prodotti
- gli adempimenti che si rendono necessari
- le misure di mitigazione e di correzione ipotizzabili.