Data breach dell’Unione di Comuni Valdarno e Valdisieve: dov’è la comunicazione verso gli interessati?

Autore: Stefano Gazzella

Sono trascorse due settimane dall’attacco informatico che ha coinvolto l’Unione di Comuni di Valdisieve e Valdarno, e finalmente è arrivata la comunicazione istituzionale a riguardo per informare i cittadini dell’accaduto.

Orbene, leggendola si apprende del fatto che

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

“Molti servizi non sono ancora a disposizione. Si lavora per un graduale ripristino”

che si può ritenere già facilmente conoscibile da parte di chi ha subito gli effetti dell’interruzione dei servizi.

Non viene detto nulla circa una tempistica indicativa di risoluzione e ripristino di operatività, ma nella descrizione della portata delle conseguenze dell’accaduto ci si limita ad informare che “molti servizi al cittadino non possono essere erogati nella loro completezza” e che “per quanto riguarda l’Unione di Comuni, si potrebbero verificare ritardi nei pagamenti verso i fornitori”.

Tutto quel che viene inoltre comunicato circa la natura della violazione è limitato ad un “grave attacco hacker che ha coinvolto, e ancora coinvolge, la rete dati”.

Purtroppo, non è possibile apprendere altro su circostanze dell’accaduto né sulla portata dei dati personali che sono stati oggetto di violazione.

Per quanto riguarda le probabili conseguenze della violazione e dei rischi, secondo il comunicato tutto sembra essere limitato ai soli fornitori alla possibilità di incorrere in ritardi nei pagamenti. Eppure, dai dati pubblicati online i rischi sembrano ben più estesi sia per gli interessati coinvolti che per le conseguenze prospettabili, se non altro per furti di identità, possibilità di subire frodi od essere bersagli di ulteriori attacchi.

E dunque ci si può interrogare circa la natura di questa comunicazione che assume contorni particolarmente surreali soprattutto avendo contezza dei dati che sono stati già oggetto di diffusione.

E rimanendo in tema, potrebbe parafrasarsi l’opera di Magritte e dire Ici n’est pas une communication à la personne concernée d’une violation de données à caractère personnel. Insomma: nei contenuti non è una comunicazione di data breach destinata agli interessati. Non riporta infatti le informazioni indicate dall’art. 34.2 GDPR ad eccezione di un punto di contatto presso cui ottenere maggiori informazioni, sebbene lo stesso sia indicato per ottenere “maggiori chiarimenti sui servizi”.

La norma richiede però che sia fornita una descrizione della natura della violazione, ma soprattutto delle probabili conseguenze e dei rischi per gli interessati nonché sia data contezza delle misure di mitigazione adottate o di cui è prevista l’adozione al fine di ridurre l’impatto della violazione.

Ma questi elementi non sono al momento riscontrabili né tantomeno desumibili.

Dunque, si può immaginare, occorrerà attendere per avere contezza dell’accaduto con quelle che si spera saranno delle comunicazioni integrative frutto dell’analisi di incidente e dell’adempimento agli obblighi del GDPR.

La questione non è di secondaria importanza, dal momento che provvedere in modo tempestivo e completo con le comunicazioni agli interessati persegue l’obiettivo di consentire agli stessi di adottare in proprio le misure necessarie per proteggersi ed evitare l’aggravarsi dei rischi e dei pericoli generati in seguito al data breach.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Stefano Gazzella

Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore