Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Stefano Gazzella : 22 Gennaio 2024 06:51
Quando all’interno di una comunicazione di data breach gli interessati sono informati dei rischi in modo generico, i canoni di comprensibilità richiesti dall’art. 12 par. 1 GDPR non possono certamente dirsi rispettati.
Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.
Quando viene richiesta una forma intelligibile e facilmente accessibile, e un linguaggio semplice e chiaro, ciò che il titolare deve fare – e il DPO conseguentemente verificare rendendo un parere a riguardo e indicando correttivi anziché cercare di giustificare l’indifendibile – è tenere conto di questi elementi e delle categorie di destinatari nel momento in cui la comunicazione di data breach è predisposta. Insomma, l’indicazione normativa è chiara: non è sufficiente fare il compitino scrivendo i contenuti richiamati dall’art. 34 GDPR, andando a riempire qualche campo con frasi che il più delle volte sono preimpostate o copia-incollate dalla pagina informativa del Garante Privacy senza alcun riferimento al contesto della violazione occorsa.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Non c’è nulla che svilisca l’assunzione di responsabilità, infatti, quanto il rappresentare nel novero dei potenziali rischi in capo agli interessati null’altro che la generica indicazione in astratto di una “perdita di controllo”, del “furto di identità” o altrimenti di “phishing” ad esempio. Senza andare a spiegare in cosa consistano tali rischi né come in concreto possano comportare un impatto negativo, lasciando di conseguenza l’interessato nel ruolo di mero destinatario di una comunicazione formale. In pratica è privo di qualsivoglia indizio significativo circa le azioni da poter adottare in autonomia per tutelarsi.
E se le informazioni reperibili presso il punto di contatto peccano della medesima genericità, il problema è evidentemente di sistema e di un approccio delle organizzazioni tutt’ora a vedere il data breach come qualcosa di cui parlare ma non troppo. Possibilmente, sminuendolo. Con buona pace per ogni proposito di lesson learning.
Se si bada alla portata dell’obbligo di cui all’art. 12 GDPR, in caso di data breach si applica solo alla comunicazione richiesta dall’art. 34 GDPR e non ad ulteriori comunicazioni facoltative che l’organizzazione intende porre in essere. Ciò significa dunque che sarà il mercato ad autoregolarsi, senza possibilità alcuna di intervento per le autorità di controllo a fronte di comunicazioni decettive e prodotte più per la tutela dell’organizzazione che dei diritti degli interessati?
Al momento, la domanda giace senza risposta certa. Vero è che però c’è il potere previsto dall’art. 58 par. 2 lett. e) GDPR:
e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;
ma questo può essere esercitato solo qualora ricorra la suscettibilità del rischio elevato per i diritti e libertà delle persone fisiche in conseguenza all’evento di violazione. Sanzionare per via amministrativa tale comunicazione se non ricorre un obbligo, pertanto, non è possibile in quanto non c’è possibilità di alcuna estensione analogica in difetto di una precisa previsione legislativa.
Al massimo, l’organizzazione potrà essere destinataria di un avvertimento come da previsione dell’art. 58 par. 2 lett. a) GDPR:
a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
non contestando alcuna attuale violazione, ma andando a prevenire di fatto la possibilità di violazioni future qualora i medesimi schemi di comunicazioni vengano applicati a scenari di rischio elevato.
Ma solo il tempo, nonché un eventuale riesame del GDPR, potranno fornire una risposta chiara a riguardo. Nel mentre, però, è bene notare che questa attesa grava in modo prevalente sugli interessati.
Stefano GazzellaGli esperti hanno lanciato l’allarme: i gruppi ransomware stanno utilizzando sempre più spesso il nuovo malware Skitnet (noto anche come Bossnet) per lo sfruttamento successivo delle ...
Nel panorama delle minacce odierne, Defendnot rappresenta un sofisticato malware in grado di disattivare Microsoft Defender sfruttando esclusivamente meccanismi legittimi di Windows. A differenza di a...
Molti credono che l’utilizzo di una VPN garantisca una protezione totale durante la navigazione, anche su reti WiFi totalmente aperte e non sicure. Sebbene le VPN siano strumenti efficaci per c...
Durante una conferenza nazionale dedicata alla sicurezza informatica, sono stati ufficialmente premiati enti, aziende e professionisti che nel 2024 hanno dato un contributo significativo al National I...
Nel mondo della cybersecurity esiste una verità scomoda quanto inevitabile: per difendere davvero qualcosa, bisogna sapere come violarlo. L’autenticazione multi-fattore è una delle co...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
