Cosa fare dopo una violazione di dati personali (data breach)

Hai saputo che un servizio che usi ha subito una violazione di dati personali e ti chiedi cosa fare. Una premessa onesta: le fonti ufficiali che abbiamo letto sono poco ricche proprio su questo punto. La pagina del Garante per la protezione dei dati personali sul data breach è scritta per i titolari del trattamento, cioè per chi gestisce i dati, e non contiene una guida passo per passo per la persona coinvolta. I passaggi pratici che trovi qui sotto arrivano invece dalla Polizia Postale e riguardano la protezione e il recupero degli account.

Non possiamo stabilire se una specifica violazione riguardi i tuoi dati: nessuna delle fonti lo permette.

Che cos'è un data breach secondo il Garante

Il Garante definisce la violazione dei dati personali come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Può compromettere la riservatezza, l'integrità o la disponibilità dei dati.

Gli esempi citati dalla pagina sono:

• l'accesso o l'acquisizione dei dati da parte di terzi non autorizzati;
• il furto o la perdita di dispositivi informatici contenenti dati personali;
• la deliberata alterazione di dati personali;
• l'impossibilità di accedere ai dati per cause accidentali o per attacchi esterni, virus, malware;
• la perdita o la distruzione di dati a causa di incidenti, eventi avversi, incendi o altre calamità;
• la divulgazione non autorizzata dei dati personali.

Cosa deve fare chi gestisce i dati

La pagina spiega gli obblighi del titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista). Conoscerli ti aiuta a capire cosa puoi aspettarti da chi ha subìto la violazione.

• Deve notificare la violazione al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche.
• Se la notifica arriva oltre le 72 ore, deve essere accompagnata dai motivi del ritardo.
• Il responsabile del trattamento che viene a conoscenza di una violazione deve informare tempestivamente il titolare.
• Se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, con i canali più idonei, a meno che abbia già preso misure tali da ridurne l'impatto.
• A prescindere dalla notifica, deve documentare tutte le violazioni, per esempio con un registro. Questa documentazione consente al Garante di effettuare verifiche.

Quali violazioni vanno notificate

Secondo la pagina vanno notificate unicamente le violazioni che possono avere effetti avversi significativi sulle persone, causando danni fisici, materiali o immateriali. Tra gli esempi ci sono la perdita del controllo sui propri dati, la limitazione di alcuni diritti, la discriminazione, il furto d'identità o il rischio di frode, la perdita di riservatezza di dati protetti dal segreto professionale, una perdita finanziaria e un danno alla reputazione.

La pagina precisa anche che la notifica al Garante si invia con una procedura telematica dedicata, a partire dal 1° luglio 2021.

Le azioni del Garante

Il Garante può prescrivere misure correttive se rileva una violazione del Regolamento, anche per quanto riguarda l'adeguatezza delle misure di sicurezza tecniche e organizzative applicate ai dati. Sono previste sanzioni pecuniarie fino a 10 milioni di euro o, nel caso di imprese, fino al 2% del fatturato totale annuo mondiale.

Cosa puoi fare tu: i consigli della Polizia Postale

La Polizia Postale non parla di data breach in generale, ma di furto degli account social e di messaggistica. Sono indicazioni che hanno senso anche quando un tuo account potrebbe essere esposto.

Per proteggere gli account:

• usa una password forte, efficace e complessa, da modificare almeno ogni tre mesi;
• attiva l'autenticazione a due fattori o la verifica in due passaggi nelle impostazioni di sicurezza;
• mantieni aggiornati l'email e il numero di telefono associati al profilo, per poter ripristinare le credenziali in qualunque momento;
• non cliccare sui link ricevuti per messaggio e non inviare link e codici ricevuti tramite SMS: anche se l'account sembra appartenere a un tuo contatto, potrebbe essere stato rubato a sua volta;
• usa profili chiusi, che impediscono a persone che non conosci di acquisire le tue immagini e informazioni personali.

Se l'account è stato violato:

1. avvia la procedura di recupero della password dimenticata;
2. se riesci ad accedere, attiva subito l'autenticazione a due fattori per non perderne di nuovo il possesso;
3. se non riesci a reimpostare la password perché hanno già cambiato email e numero associati, avvia il recupero dell'account rubato tramite il centro assistenza della piattaforma e recati presso un qualunque ufficio di polizia per formalizzare la denuncia.

Denunciare: il servizio online della Polizia

La pagina sulla denuncia per furto o smarrimento descrive il portale Denunce online, a cui si accede con SPID o CIE. Offre una pre-denuncia online per alcune tipologie di reato, da formalizzare entro 48 ore presso un ufficio della Polizia di Stato previo appuntamento, e una segnalazione di smarrimento.

I fatti per cui è possibile la pre-denuncia includono furto, frode informatica, truffa, accesso abusivo a sistema informatico o telematico, indebito utilizzo di carte di credito e di pagamento, diffamazione online.

Un'avvertenza: la pagina indica che il sistema di pre-denuncia è attivo, in fase di sperimentazione, solo presso alcuni uffici (in particolare nel Lazio). Il servizio di segnalazione smarrimento, invece, è attivo in tutta Italia. Verifica sul portale la disponibilità nella tua zona.

Che cosa le fonti non dicono

Le pagine consultate non spiegano come verificare se i tuoi dati compaiono in un file diffuso, né attribuiscono al Garante un ruolo di conferma in questo senso. Non danno una procedura per chiedere informazioni al titolare dopo una violazione.

Vedere cosa è visibile su di te

L'analisi gratuita di Remove Me, senza bisogno di un account, cerca nei risultati web visibili pubblicamente, nei data breach pubblici noti (tramite Have I Been Pwned) e in un registro di data broker. Il report si sblocca con un codice a 6 cifre inviato per e-mail.

Un report vuoto non prova che nulla esista: mostra solo ciò che siamo riusciti a vedere. Remove Me non invia ancora richieste di cancellazione per conto tuo.

In sintesi

• La pagina del Garante spiega gli obblighi di chi gestisce i dati, non cosa fare da persona coinvolta.
• Per gli account, i consigli della Polizia Postale sono: password forte, verifica in due passaggi, recapiti aggiornati, nessun link o codice condiviso.
• Se un account è stato rubato, si avvia il recupero tramite la piattaforma e si formalizza la denuncia presso un ufficio di polizia.

Il team Remove Me