In caso di data breach la banca o società del gruppo deve

L'art. 4 del regolamento europeo definisce la violazione dei dati personali (data breach) come "la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati". 

Quindi, un data breach non è solo un evento doloso come un attacco informatico, ma può essere anche un evento accidentale come un accesso abusivo, un incidente (es. un incendio o una calamità naturale), la semplice perdita di una chiavetta USB o la sottrazione di documenti con dati personali (furto di un notebook di un dipendente). Ovviamente i titolari del trattamento devono predisporre le misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio cui sono esposti i dati trattati. Il nuovo regolamento generale europeo prescrive specifici adempimenti nel caso di una violazione di dati personali. 

Le violazioni possono essere classificate in base ai seguenti tre principi della sicurezza delle informazioni (vedi parere Working Party art. 29 n. 3/2014):
- violazione della riservatezza, in caso di divulgazione dei dati personali o accesso agli stessi non autorizzati o accidentali;
- violazione dell’integrità, in caso di modifica non autorizzata o accidentale dei dati personali;
- violazione della disponibilità, in caso di perdita, accesso o distruzione accidentali o non autorizzati di dati personali. 
A seconda dei casi, una violazione può riguardare contemporaneamente la riservatezza, l’integrità e la disponibilità dei dati personali, nonché qualsiasi combinazione delle stesse.

Valutazione del rischio

Per stabilire cosa fare in caso di violazione dei dati personali occorre una valutazione del rischio, cioè dei possibili effetti dannosi in grado di produrre sui diritti e le libertà delle persone coinvolte. Il rischio viene valutato tenendo in considerazione la gravità, cioè la rilevanza degli effetti dannosi, e la probabilità, il grado di possibilità che si verifichino gli effetti. Ai fini della identificazione dei valori da attribuire ai due parametri si considerano i seguenti fattori:
- tipo di violazione (violazione della riservatezza, violazione dell’integrità, violazione della disponibilità);
- natura, sensibilità e volume dei dati personali;
- facilità nella identificazione degli interessati;
- gravità delle conseguenze per gli interessati;
- particolarità degli interessati (es. minori);
- particolarità dei responsabili del trattamento (es. personale sanitario);
- numero degli interessati. 

Per la valutazione vi sono varie metodologie, come quella proposta dall'ENISA (Recommendations for a methodology of the assessment of severity of personal data breaches), oppure quella proposta dal Garante spagnolo (Guide on personal data breach management and notification). Entrambe sono valide. Ovviamente nella comunicazione al Garante va indicata la metodologia seguita. 

Prendendo in considerazione la metodologia proposta dall'ENISA, i parametri da utilizzare sono:
1) Contesto del trattamento e tipologia di dati: si attribuisce un punteggio di base utilizzando come criterio il tipo di dati violati, considerando alcuni fattori di correzione;
2) Facilità di identificazione dell’individuo sulla base dei dati violati: si valuta in relazione a quattro livelli di identificabilità crescente, il cui valore sarà utilizzato come moltiplicatore sul punteggio di base del contesto del trattamento;
3) Circostanze della violazione: sono rappresentati dalle perdite di riservatezza (la cui entità varia a seconda della portata della divulgazione), di integrità (di cui si valuterà quanto le alterazione possano essere pregiudizievoli per l'individuo), di disponibilità (in cui diventa rilevante il fatto che sia una perdita temporanea o permanente), oppure da circostanze di violazione provocata da intenzioni malevole (fattore che aumenta sempre la probabilità che i dati vengano utilizzati in modo dannoso). 

In base a tali parametri si calcola la gravità di una violazione di dati personali attraverso la formula: Gravità = (Contesto x Facilità di identificazione) + Circostanze
Valutando infine il risultato ottenuto secondo quanto riportato nella seguente tabella. 

Cosa deve fare la banca in caso di data breach?

Che obbligo fa scattare il data breach?

Chi deve segnalare il data breach?

Quale figura è responsabile della notifica del data breach?