Data breach dell’Unione di Comuni Valdarno e Valdisieve: dov’è la comunicazione verso gli interessati?

Autore: Stefano Gazzella

Sono trascorse due settimane dall’attacco informatico che ha coinvolto l’Unione di Comuni di Valdisieve e Valdarno, e finalmente è arrivata la comunicazione istituzionale a riguardo per informare i cittadini dell’accaduto.

Orbene, leggendola si apprende del fatto che

“Molti servizi non sono ancora a disposizione. Si lavora per un graduale ripristino”

che si può ritenere già facilmente conoscibile da parte di chi ha subito gli effetti dell’interruzione dei servizi.

Non viene detto nulla circa una tempistica indicativa di risoluzione e ripristino di operatività, ma nella descrizione della portata delle conseguenze dell’accaduto ci si limita ad informare che “molti servizi al cittadino non possono essere erogati nella loro completezza” e che “per quanto riguarda l’Unione di Comuni, si potrebbero verificare ritardi nei pagamenti verso i fornitori”.

Tutto quel che viene inoltre comunicato circa la natura della violazione è limitato ad un “grave attacco hacker che ha coinvolto, e ancora coinvolge, la rete dati”.

Purtroppo, non è possibile apprendere altro su circostanze dell’accaduto né sulla portata dei dati personali che sono stati oggetto di violazione.

Per quanto riguarda le probabili conseguenze della violazione e dei rischi, secondo il comunicato tutto sembra essere limitato ai soli fornitori alla possibilità di incorrere in ritardi nei pagamenti. Eppure, dai dati pubblicati online i rischi sembrano ben più estesi sia per gli interessati coinvolti che per le conseguenze prospettabili, se non altro per furti di identità, possibilità di subire frodi od essere bersagli di ulteriori attacchi.

E dunque ci si può interrogare circa la natura di questa comunicazione che assume contorni particolarmente surreali soprattutto avendo contezza dei dati che sono stati già oggetto di diffusione.

E rimanendo in tema, potrebbe parafrasarsi l’opera di Magritte e dire Ici n’est pas une communication à la personne concernée d’une violation de données à caractère personnel. Insomma: nei contenuti non è una comunicazione di data breach destinata agli interessati. Non riporta infatti le informazioni indicate dall’art. 34.2 GDPR ad eccezione di un punto di contatto presso cui ottenere maggiori informazioni, sebbene lo stesso sia indicato per ottenere “maggiori chiarimenti sui servizi”.

La norma richiede però che sia fornita una descrizione della natura della violazione, ma soprattutto delle probabili conseguenze e dei rischi per gli interessati nonché sia data contezza delle misure di mitigazione adottate o di cui è prevista l’adozione al fine di ridurre l’impatto della violazione.

Ma questi elementi non sono al momento riscontrabili né tantomeno desumibili.

Dunque, si può immaginare, occorrerà attendere per avere contezza dell’accaduto con quelle che si spera saranno delle comunicazioni integrative frutto dell’analisi di incidente e dell’adempimento agli obblighi del GDPR.

La questione non è di secondaria importanza, dal momento che provvedere in modo tempestivo e completo con le comunicazioni agli interessati persegue l’obiettivo di consentire agli stessi di adottare in proprio le misure necessarie per proteggersi ed evitare l’aggravarsi dei rischi e dei pericoli generati in seguito al data breach.

Stefano Gazzella

Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Aree di competenza: Privacy, GDPR, Data Protection Officer, Legal tech, Diritti, Meme

Visita il sito web dell'autore