Stefano Gazzella : 22 Gennaio 2024 06:51
Quando all’interno di una comunicazione di data breach gli interessati sono informati dei rischi in modo generico, i canoni di comprensibilità richiesti dall’art. 12 par. 1 GDPR non possono certamente dirsi rispettati.
Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.
Quando viene richiesta una forma intelligibile e facilmente accessibile, e un linguaggio semplice e chiaro, ciò che il titolare deve fare – e il DPO conseguentemente verificare rendendo un parere a riguardo e indicando correttivi anziché cercare di giustificare l’indifendibile – è tenere conto di questi elementi e delle categorie di destinatari nel momento in cui la comunicazione di data breach è predisposta. Insomma, l’indicazione normativa è chiara: non è sufficiente fare il compitino scrivendo i contenuti richiamati dall’art. 34 GDPR, andando a riempire qualche campo con frasi che il più delle volte sono preimpostate o copia-incollate dalla pagina informativa del Garante Privacy senza alcun riferimento al contesto della violazione occorsa.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Non c’è nulla che svilisca l’assunzione di responsabilità, infatti, quanto il rappresentare nel novero dei potenziali rischi in capo agli interessati null’altro che la generica indicazione in astratto di una “perdita di controllo”, del “furto di identità” o altrimenti di “phishing” ad esempio. Senza andare a spiegare in cosa consistano tali rischi né come in concreto possano comportare un impatto negativo, lasciando di conseguenza l’interessato nel ruolo di mero destinatario di una comunicazione formale. In pratica è privo di qualsivoglia indizio significativo circa le azioni da poter adottare in autonomia per tutelarsi.
E se le informazioni reperibili presso il punto di contatto peccano della medesima genericità, il problema è evidentemente di sistema e di un approccio delle organizzazioni tutt’ora a vedere il data breach come qualcosa di cui parlare ma non troppo. Possibilmente, sminuendolo. Con buona pace per ogni proposito di lesson learning.
Se si bada alla portata dell’obbligo di cui all’art. 12 GDPR, in caso di data breach si applica solo alla comunicazione richiesta dall’art. 34 GDPR e non ad ulteriori comunicazioni facoltative che l’organizzazione intende porre in essere. Ciò significa dunque che sarà il mercato ad autoregolarsi, senza possibilità alcuna di intervento per le autorità di controllo a fronte di comunicazioni decettive e prodotte più per la tutela dell’organizzazione che dei diritti degli interessati?
Al momento, la domanda giace senza risposta certa. Vero è che però c’è il potere previsto dall’art. 58 par. 2 lett. e) GDPR:
e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;
ma questo può essere esercitato solo qualora ricorra la suscettibilità del rischio elevato per i diritti e libertà delle persone fisiche in conseguenza all’evento di violazione. Sanzionare per via amministrativa tale comunicazione se non ricorre un obbligo, pertanto, non è possibile in quanto non c’è possibilità di alcuna estensione analogica in difetto di una precisa previsione legislativa.
Al massimo, l’organizzazione potrà essere destinataria di un avvertimento come da previsione dell’art. 58 par. 2 lett. a) GDPR:
a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
non contestando alcuna attuale violazione, ma andando a prevenire di fatto la possibilità di violazioni future qualora i medesimi schemi di comunicazioni vengano applicati a scenari di rischio elevato.
Ma solo il tempo, nonché un eventuale riesame del GDPR, potranno fornire una risposta chiara a riguardo. Nel mentre, però, è bene notare che questa attesa grava in modo prevalente sugli interessati.
Stefano GazzellaIl CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane. Ora l...
Shellter Project, produttore di un downloader commerciale per bypassare i sistemi antivirus ed EDR, ha segnalato che gli hacker stanno utilizzando il suo prodotto Shellter Elite per gli attacchi. Ques...
Il progetto Cyberpandino non è solo un’idea folle, ma una grande avventura su quattro ruote progettata e realizzata da due menti brillanti romane – Matteo Errera e Roberto Zaccardi ...
Un nuovo infostealer emerge dalle underground criminali e il suo nome è “123 | Stealer”. L’autore di questo software è un hacker che si nasconde sotto lo pseudonimo di k...
A soli 13 anni, Dylan è diventato il più giovane ricercatore di sicurezza a collaborare con il Microsoft Security Response Center (MSRC), dimostrando come la curiosità e la perseveranza...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
