Marcus Belke
CEO di 2B Advice GmbH, che guida l'innovazione nella privacy conformità e di gestione del rischio e di guidare lo sviluppo di Ailance, la nuova generazione di prodotti per la salute. conformità piattaforma.
Le fughe di dati sono ormai tra le più frequenti Conformità-Incidenti all'interno delle organizzazioni. Eventi di sicurezza tecnica, configurazioni errate dei sistemi informatici o errori umani possono portare a Dati personali vengono divulgati, alterati o persi senza autorizzazione. Tuttavia, un tale incidente diventa rilevante ai sensi della legge sulla protezione dei dati solo se viene considerato una violazione della protezione dei dati personali ai sensi dell'art. 4 n. 12 del GDPR. GDPR è da qualificare. In pratica, non è tanto la situazione giuridica astratta quanto la sua attuazione organizzativa a rappresentare la sfida maggiore. Gli incidenti devono essere valutati, gli obblighi di segnalazione verificati, le misure documentate e le decisioni di comunicazione prese in tempi brevi. Di seguito troverete una panoramica dei punti rilevanti.
Scadenze per la segnalazione e decorrenza dei termini in caso di violazione dei dati
Il sistema di reporting del GDPR distingue tra la segnalazione al Autorità di vigilanza ai sensi dell'art. 33 GDPR e l'informativa agli interessati ai sensi dell'art. 34 GDPR.
Art. 33 comma 1 GDPR richiede al responsabile del trattamento di segnalare una violazione dei dati personali senza indebito ritardo e, ove possibile, entro 72 ore dal momento in cui ne viene a conoscenza, all'autorità competente per la protezione dei dati. Autorità di vigilanza da segnalare. La segnalazione può essere omessa se la violazione non comporta, secondo ogni probabilità, alcun rischio per i diritti e le libertà delle persone fisiche. In caso di superamento del termine, il ritardo deve essere motivato.
L'inizio della scadenza non è legato a un chiarimento completo dell'incidente. Secondo il Linee guida del Comitato europeo per la protezione dei dati, una violazione dei dati si considera „nota“ nel momento in cui il Persone responsabili abbia ragionevole certezza che si sia verificato un incidente di sicurezza che comprometta la protezione dei dati personali. È ammessa una breve valutazione iniziale, che deve tuttavia avere inizio senza indugio.
I responsabili del trattamento sono soggetti all'art. 33, comma 2. GDPR un obbligo a monte: devono segnalare senza indugio al responsabile del trattamento una violazione dei dati di cui vengono a conoscenza. Nelle strutture organizzative complesse, ciò si traduce spesso in un processo di escalation interna che precede il termine effettivo di 72 ore.
Notifica agli interessati ai sensi dell'art. 34 GDPR è necessario solo se esiste un rischio elevato per i loro diritti e le loro libertà. Deve essere effettuata immediatamente, a condizione che non si applichino eccezioni legali, ad esempio se si adottano misure tecniche di protezione adeguate - come ad esempio Crittografia – rendere i dati inaccessibili a persone non autorizzate.
Oltre al GDPR possono esistere ulteriori obblighi di notifica. Ad esempio, il Regolamento (UE) n. 611/2013 contiene un sistema di notifica separato con scadenze particolarmente brevi per i fornitori di servizi di comunicazione elettronica accessibili al pubblico. Inoltre, la legge sulla cybersecurity prevede un sistema di notifica a livelli per gli incidenti di sicurezza significativi per alcune organizzazioni nell'ambito del BSIG.
Valutazione e decisione sul rischio
La sfida legale principale in caso di violazione dei dati risiede nella valutazione del rischio.
Occorre innanzitutto verificare se vi sia stata una violazione della protezione dei dati personali ai sensi dell'art. 4, n. 12, del Codice Civile. GDPR è presente. Non tutti gli incidenti di sicurezza informatica soddisfano questo requisito.
Qualora si verifichi una violazione di questo tipo, occorre valutare se ne derivi un rischio per i diritti e le libertà delle persone fisiche. Solo in questo caso sorge l’obbligo di segnalazione nei confronti della Autorità di vigilanza.
Solo quando la valutazione risulta in un alto rischio comporta inoltre l’obbligo di informare le persone interessate.
Nella valutazione dei rischi rivestono particolare importanza le possibili conseguenze negative. Tra queste figurano, ad esempio, il furto d’identità, le perdite finanziarie, la discriminazione, il danno alla reputazione o altri svantaggi materiali o immateriali.
Ai fini dell'attuazione organizzativa, si raccomanda l'adozione di un modello di valutazione strutturato che combini la probabilità di verificarsi dell'evento e la gravità del danno, tenendo conto al contempo delle misure di protezione già implementate.
Documentazione e tracciabilità di una violazione dei dati
Il Documentazione La segnalazione delle violazioni della protezione dei dati costituisce un obbligo giuridico a sé stante.
Art. 33 comma 5 GDPR obbligato Persone responsabili, documentare tutte le violazioni della protezione dei dati, comprese le cause, le conseguenze e le misure correttive. La Documentazione deve essere il Autorità di vigilanza consentono di verificare il rispetto degli obblighi di legge.
Nel diritto delle telecomunicazioni, l’articolo 169 della TKG integra tale obbligo con un registro delle violazioni della protezione dei dati. Tale registro, tuttavia, non è tenuto a riportare gli incidenti risalenti a più di cinque anni fa.
La conservazione delle prove tecniche riveste particolare importanza. Contromisure non controllate possono distruggere le tracce digitali e complicare le successive indagini. Per questo motivo, già nella fase di gestione degli incidenti dovrebbe essere stabilito in quali circostanze avviare le indagini forensi.
Un ulteriore meccanismo di protezione deriva dall'articolo 42 (4) del BDSG. In base ad esso, le notifiche ai sensi dell'art. 33 GDPR non possono essere utilizzati contro la persona soggetta all'obbligo di segnalazione in un procedimento penale senza il suo consenso. Questo regolamento intende promuovere una comunicazione aperta con le autorità di vigilanza.
Suggerimento di lettura: Misure tecnico-organizzative: cosa devono tenere presente le aziende
Comunicazione con le autorità e le persone interessate
Gli obblighi di comunicazione sono stabiliti dagli artt. 33 e 34. GDPR regolati in dettaglio.
Un rapporto al Autorità di vigilanza deve contenere in particolare le seguenti informazioni:
- una descrizione della natura della violazione dei dati,
- Informazioni sulle categorie di dati e sui gruppi di persone interessate,
- Dati di contatto di un punto di contatto,
- una descrizione delle possibili conseguenze, nonché
- Informazioni sulle contromisure già adottate o previste.
Se non tutte le informazioni sono immediatamente disponibili, possono essere fornite gradualmente.
Le informazioni fornite alle persone interessate devono essere redatte in un linguaggio chiaro e semplice e devono illustrare, in particolare, la natura della violazione, le possibili conseguenze e le misure di protezione raccomandate.
In caso di onere sproporzionato, un avviso pubblico può sostituire la notifica individuale.
Lezioni apprese: revisione post incidente
Le violazioni dei dati non devono essere solo segnalate, ma anche analizzate sistematicamente.
Una revisione post-incidente dovrebbe in particolare verificare:,
- se le scadenze sono state rispettate correttamente,
- se il momento della divulgazione è stato determinato correttamente,
- se la decisione sul rischio è documentata in maniera comprensibile e
- se la comunicazione con le autorità e le persone interessate sia avvenuta nel rispetto della normativa vigente.
Per il controllo organizzativo è possibile avvalersi di indicatori quali il tempo necessario per la prima valutazione del rischio, il tempo necessario per la segnalazione alle autorità o la coerenza tra il quadro della situazione interno e la comunicazione esterna.
Manuale di gestione degli incidenti come misura preventiva contro le violazioni dei dati
La gestione strutturata delle violazioni dei dati richiede una protezione dei dati vincolante. Libro di gioco sugli incidenti. Ciò dovrebbe tradurre il processo decisionale giuridico in procedure operative e definire chiaramente le competenze.
Tale manuale dovrebbe contenere in particolare
una definizione di violazione dei dati ai sensi dell'art. 4 n. 12 GDPR
una tabella dei termini relativi agli obblighi di segnalazione
un processo di valutazione documentato per le decisioni relative ai rischi e a quelli ad alto rischio
Moduli di comunicazione per autorità e Parti interessate
Procedura di conservazione delle prove e successiva notifica
Un processo di reporting strutturato non è quindi solo un obbligo di legge, ma una componente centrale della moderna governance della protezione dei dati e della sicurezza.
2B Advice supporta le organizzazioni nello sviluppo e nell’implementazione di tali playbook per gli incidenti, dalla struttura giuridica all’attuazione pratica all’interno dell’azienda. Se avete domande o siete interessati a una soluzione strutturata per la gestione delle violazioni dei dati, non esitate a contattarci.
Marcus Belke è amministratore delegato di 2B Advice, nonché avvocato ed esperto di informatica per Protezione dei dati e digitale Conformità. Scrive regolarmente di governance dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
German 
English 
Italian 
French