Stefano Gazzella : 22 Gennaio 2024 06:51
Quando all’interno di una comunicazione di data breach gli interessati sono informati dei rischi in modo generico, i canoni di comprensibilità richiesti dall’art. 12 par. 1 GDPR non possono certamente dirsi rispettati.
Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.
Quando viene richiesta una forma intelligibile e facilmente accessibile, e un linguaggio semplice e chiaro, ciò che il titolare deve fare – e il DPO conseguentemente verificare rendendo un parere a riguardo e indicando correttivi anziché cercare di giustificare l’indifendibile – è tenere conto di questi elementi e delle categorie di destinatari nel momento in cui la comunicazione di data breach è predisposta. Insomma, l’indicazione normativa è chiara: non è sufficiente fare il compitino scrivendo i contenuti richiamati dall’art. 34 GDPR, andando a riempire qualche campo con frasi che il più delle volte sono preimpostate o copia-incollate dalla pagina informativa del Garante Privacy senza alcun riferimento al contesto della violazione occorsa.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Non c’è nulla che svilisca l’assunzione di responsabilità, infatti, quanto il rappresentare nel novero dei potenziali rischi in capo agli interessati null’altro che la generica indicazione in astratto di una “perdita di controllo”, del “furto di identità” o altrimenti di “phishing” ad esempio. Senza andare a spiegare in cosa consistano tali rischi né come in concreto possano comportare un impatto negativo, lasciando di conseguenza l’interessato nel ruolo di mero destinatario di una comunicazione formale. In pratica è privo di qualsivoglia indizio significativo circa le azioni da poter adottare in autonomia per tutelarsi.
E se le informazioni reperibili presso il punto di contatto peccano della medesima genericità, il problema è evidentemente di sistema e di un approccio delle organizzazioni tutt’ora a vedere il data breach come qualcosa di cui parlare ma non troppo. Possibilmente, sminuendolo. Con buona pace per ogni proposito di lesson learning.
Se si bada alla portata dell’obbligo di cui all’art. 12 GDPR, in caso di data breach si applica solo alla comunicazione richiesta dall’art. 34 GDPR e non ad ulteriori comunicazioni facoltative che l’organizzazione intende porre in essere. Ciò significa dunque che sarà il mercato ad autoregolarsi, senza possibilità alcuna di intervento per le autorità di controllo a fronte di comunicazioni decettive e prodotte più per la tutela dell’organizzazione che dei diritti degli interessati?
Al momento, la domanda giace senza risposta certa. Vero è che però c’è il potere previsto dall’art. 58 par. 2 lett. e) GDPR:
e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;
ma questo può essere esercitato solo qualora ricorra la suscettibilità del rischio elevato per i diritti e libertà delle persone fisiche in conseguenza all’evento di violazione. Sanzionare per via amministrativa tale comunicazione se non ricorre un obbligo, pertanto, non è possibile in quanto non c’è possibilità di alcuna estensione analogica in difetto di una precisa previsione legislativa.
Al massimo, l’organizzazione potrà essere destinataria di un avvertimento come da previsione dell’art. 58 par. 2 lett. a) GDPR:
a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
non contestando alcuna attuale violazione, ma andando a prevenire di fatto la possibilità di violazioni future qualora i medesimi schemi di comunicazioni vengano applicati a scenari di rischio elevato.
Ma solo il tempo, nonché un eventuale riesame del GDPR, potranno fornire una risposta chiara a riguardo. Nel mentre, però, è bene notare che questa attesa grava in modo prevalente sugli interessati.
Stefano GazzellaNegli ultimi giorni, diversi Centri di Assistenza Fiscale (CAF) italiani — tra cui CAF CIA, CAF UIL e CAF CISL — stanno segnalando un’ondata di messaggi SMS sospetti inviati diret...
Nelle ultime settimane, diversi sviluppatori open source sono stati colpiti da attacchi di phishing, che hanno infettato con malware i pacchetti, alcuni dei quali vengono scaricati 30 milioni di volte...
Un attacco informatico ai danni di ACEA SpA, colosso italiano attivo nella produzione e distribuzione di elettricità, gas e servizi idrici, è stato rivendicato dai criminali informatici di W...
Negli ultimi anni, la cybersecurity ha visto emergere minacce sempre più sofisticate, capaci di compromettere dispositivi e dati personali senza che l’utente compia alcuna azione. Tra ques...
Sygnia segnala che il vettore di attacco iniziale di Fire Ant CVE-2023-34048, sfrutta la vulnerabilità di scrittura fuori dai limiti nell’implementazione del protocollo DCERPC di vCenter S...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
