Quali sono le tre tipologie di Data Breach 

Un Data Breach, o violazione dei dati, rappresenta una minaccia concreta per la sicurezza delle informazioni aziendali e personali. Il Garante per la Protezione dei Dati Personali riprendendo le parole del GDPR, la definisce come: “una violazione di sicurezza che comporta – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. 

Esistono inoltre tre principali tipologie di Data Breach: Confidentiality Breach, Availability Breach e Integrity Breach, in continuità con la c.d. triade CIA, l’insieme dei tre principi chiave della sicurezza informatica che riguardano la riservatezza, l’integrità e la disponibilità dei dati. Ognuna di queste ha caratteristiche specifiche e può avere conseguenze differenti. 

Il GDPR, all’Art. 4(12) , definisce una “violazione dei dati personali” o “data breach” come: 

una violazione della sicurezza che comporta accidentalmente o illegalmente la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso 1 a dati personali trasmessi, conservati o comunque trattati.” 

• Con “distruzione” dei dati personali si intendono situazioni in cui i dati non esistono più, o non esistono più in una forma utile al titolare del trattamento; 

• Con “danno” si intendono invece situazioni in cui i dati personali sono stati alterati, corrotti o non sono più completi; 

• In termini di “perdita” dei dati personali, ci si riferisce alla situazione in cui i dati possono ancora esistere, ma il titolare del trattamento ha perso il controllo o l’accesso ad essi, o non li ha più in suo possesso. 

Infine, il trattamento non autorizzato o illegale include la divulgazione di dati personali a (o l’accesso da parte di) destinatari che non sono autorizzati a ricevere (o accedere) ai dati, o qualsiasi altra forma di trattamento che violi il GDPR, configurandosi quindi come data breach. 

Le Linee Guida dell’European Data Protection Board 9/2022 sulla notifica delle violazioni dei dati personali ai sensi del GDPR (l’EDPB, ricordiamolo, è il Comitato europeo per la Protezione dei Dati) forniscono vari esempi di cosa può essere considerato come un data breach. 

Un esempio potrebbe essere quello di un dispositivo contenente una copia del database clienti di un titolare del trattamento che è stato smarrito o rubato. Un ulteriore esempio di perdita può essere il caso in cui l’unica copia di un insieme di dati personali è stata crittografata da un ransomware, o è stata crittografata dal titolare del trattamento utilizzando una chiave che non è più in suo possesso. 

L’EDPB sottolinea che una violazione dei dati è da considerarsi un tipo di incidente di sicurezza. Tuttavia, come specificato dall’articolo 4(12) del GDPR, il GDPR si applica solo quando la violazione riguarda dati personali.  Questo sottolinea la differenza cruciale tra un incidente di sicurezza e una violazione dei dati personali: non tutti gli incidenti di sicurezza comportano necessariamente una violazione dei dati personali. Si pensi ad esempio alla divulgazione di segreti commerciali: in questo caso l’eventuale assenza di dati personali all’interno dei documenti condivisi escluderebbe l’applicabilità del GDPR. Per le aziende, però, che fanno parte del perimetro NIS2, potrebbero entrare in gioco le nuove norme di incident response. 

In tal senso, quando i dati personali vengono violati, le conseguenze per le persone coinvolte possono essere molto serie, anche più di quanto ci si immagini, sia a livello pratico ma anche a livello emotivo. 

Il GDPR stesso elenca una serie di potenziali danni: si può perdere il controllo su informazioni sensibili, vedere limitati i propri diritti, subire discriminazioni o furti d’identità, ritrovarsi con perdite finanziarie, veder annullata la protezione offerta dalla pseudonimizzazione, o subire danni alla propria reputazione. 

Inoltre, la violazione può compromettere la riservatezza di dati protetti da segreto professionale e causare altri svantaggi economici o sociali significativi, danneggiando non solo gli individui, ma anche organizzazioni ed aziende. 

Esploreremo di seguito le varie forme di violazione dei dati e le loro specificità, con l’obiettivo di offrire una guida informativa a imprese e individui. 

Un confidentiality breach si verifica in caso di una divulgazione o un accesso non autorizzato o accidentale a dati personali. Questi tipi di violazioni sono generalmente le più comuni. Questi tipi di data breach possono essere risultato di vari fattori, inclusi: 

• Errori Umani: Per esempio, dei dipendenti che accidentalmente condividono informazioni confidenziali via e-mail o inviando documenti sensibili al destinatario sbagliato. Oppure l’abbandono di device contenenti delle informazioni personali accessibile a individui non autorizzati. 

• Negligenza: La mancata revoca delle autorizzazioni di accesso per gli ex dipendenti (come dimostra il caso Tesla, una violazione dei dati può avere conseguenze gravi: un ex dipendente ha diffuso 100 GB di dati riservati, rivelando informazioni personali di clienti e dipendenti, un evento definito ‘massiccio’ dall’ufficio di protezione dei dati del Brandeburgo). 

• Errori di sicurezza informatica: Incidenti di hacking, attacchi di phishing o ransomware che prendono di mira le organizzazioni. Nel 2018, la catena di hotel Marriott ha subito un massiccio attacco hacker che ha compromesso i dati personali di circa 500 milioni di clienti, inclusi dettagli sensibili come numeri di passaporto e informazioni delle carte di credito, attraverso una violazione del database delle prenotazioni Starwood. Configurazioni di sicurezza inadeguate, come database esposti o API prive di adeguati controlli di accesso, rappresentano una superficie d’attacco critica. Emblematico il caso della violazione del sistema di identificazione biometrica Aadhaar, avvenuta nel gennaio 2018, quando una vulnerabilità nell’API di un fornitore statale ha consentito l’accesso non autorizzato e l’esfiltrazione dei dati personali e biometrici di oltre 1,1 miliardi di cittadini indiani. 

• Violazioni delle norme: Dipendenti che accedono a dati riservati senza una adeguata segregazione. È noto il recente caso di un infermiere che, presso il Plymouth Hospital NHS Trust, è riuscita ad accedere abusivamente alla cartella clinica del partner causando un danno documentato alla salute mentale della vittima. Un caso che dimostra i rischi possibili legati all’insider threat e alla mancata segregazione degli accessi nei sistemi sanitari. 

A tal riguardo, un recente studio statunitense ha messo in luce la preoccupante frequenza e gravità delle violazioni di dati in ambienti clinici, rivelando che si verifica un incidente ogni 62,5 ore. Dopo un’osservazione prolungata di 7138 giorni e 33157 ore, i risultati dello studio evidenziano come la maggior parte delle violazioni (54,6%) sia legata alla divulgazione non autorizzata di dati clinici e personali. Questo fenomeno, che coinvolge personale medico non autorizzato e soggetti esterni all’ospedale, solleva gravi preoccupazioni sulla tutela della privacy dei pazienti. 

Un aspetto particolarmente allarmante è la gravità delle violazioni: il 46,7% degli incidenti è stato classificato come grave, indicando un impatto significativo sulla riservatezza e sulla sicurezza dei dati. 

Per mitigare i rischi di Confidentiality Breach, le organizzazioni possono implementare strategie multistrato che includono tecnologie avanzate come la cifratura end-to-end dei dati, sistemi di autenticazione a due fattori che limitano gli accessi non autorizzati che accrescono la consapevolezza del personale sui protocolli di sicurezza informa 

Con Availability Breach (o violazione della disponibilità) si intende una specifica tipologia di data breach che si verifica quando i dati personali diventano inaccessibili, vengono persi o distrutti accidentalmente o in modo non autorizzato. Questi tipi di violazione compromettendo la capacità di accedere ai dati secondo i principi del GDPR, influendo sulla loro disponibilità continua e permanente (da qui la parola availability). 

Esempi di Availability Data Breach, sono: 

• La perdita o distruzione accidentale dei dati personali su dispositivi non cifrati, come smartphone. 

• Interruzioni temporanee di servizi che rendono i dati personali inaccessibili. Questo può succedere a causa di un guasto elettrico o di un attacco informatico come un denial of service (DoS). 

• Oppure in caso di infezioni da ransomware che bloccano temporaneamente l’accesso ai dati. 

In Italia, un attacco ransomware (un programma informatico dannoso “malevolo” che può “infettare” un dispositivo digitale) ha colpito l’istituzione sanitaria Intercommunal Vivalia, bloccando circa 200 server e 1500 computer. Questo ha comportato l’inaccessibilità di 400 GB di dati dei pazienti e il blocco di servizi critici come appuntamenti medici, interventi chirurgici e test diagnostici. 

Fuori dall’Italia, nel 2019 la Bulgarian National Revenue Agency ha subito un attacco informatico che ha compromesso i dati ci circa 5 milioni di abitanti, rendendo inaccessibili informazioni sensibili come numeri di identificazione nazionale e record fiscali. 

Con Integrity Breach (o violazione dell’integrità) si intende un tipo di data breach in cui i dati vengono alterati, modificati o manipolati in modo non autorizzato. Questo tipo di violazione ne compromette l’accuratezza e l’affidabilità. Generalmente, questo tipo di violazione può verificarsi sia attraverso attacchi informatici, come l’iniezione di codice dannoso, sia a causa di errori umani o malfunzionamenti dei sistemi. L’integrity breach si rifà a uno dei 7 principi del GDPR, quello di integrità, secondo il quale occorre garantire la sicurezza adeguata dei dati personali oggetto del trattamento (Art. 5 GDPR). 

Esempi di Integrity Breach 

• Manipolazione di dati finanziari: per esempio un hacker che modifica i saldi dei conti bancari per frodare i clienti o l’istituto stesso. 

• Alterazione di record medici: quando dati sanitari di un paziente vengono modificati, portando a diagnosi o trattamenti errati. 

• Modifica di dati aziendali: nel caso in cui un dipendente interno altera i dati di produzione o di inventario per coprire errori o frodi. 

Sebbene un Integrity Breach possa avere conseguenze potenzialmente gravi, l’impatto effettivo varia significativamente a seconda del contesto, del tipo di dati alterati e delle misure di mitigazione rapidamente implementate, non potendosi quindi generalizzare che ogni manipolazione di dati conduca necessariamente a danni irreversibili. 

L’EDPB sottolinea come l’indisponibilità, anche solo temporanea, di dati medici critici di pazienti di un ospedale potrebbe presentare un rischio per i diritti e le libertà delle persone interessate, poiché, ad esempio, potrebbe comportare l’annullamento di operazioni e mettere a rischio le vite dei pazienti. 

Anche in ambito finanziario, un’alterazione dei dati di credito in un sistema di valutazione del rischio finanziario può avere conseguenze gravi. Se i dati relativi alla solvibilità di un cliente venissero alterati in modo non autorizzato, ciò potrebbe portare a decisioni errate di concessione del credito, con conseguenti perdite economiche per la banca. 

Come gestire un Data Breach 

Quindi cosa fare in caso di data breach? 

Gli step da seguire in caso di data beach sono chiari e semplici, importante è mantenere la calma e seguire le procedure interne di risposta agli incidenti, coinvolgendo immediatamente i professionisti incaricati (primi, fra tutti, l’Amministratore di Sistema, il DPO – se presente – o un consulente privacy oltre ad esperti in tema di cyber security). 

Il tempo concesso dalla normativa per reagire ad un data breach non è molto infatti e l’esperienza ci racconta che in fasi emergenziali sembra addirittura restringersi. Il Titolare del Trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc. che determina le finalità e i mezzi del trattamento di dati personali) deve notificare la violazione al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche. 

Anche il Responsabile (ossia la persona fisica o giuridica che tratta dati personali per conto del titolare del trattamento) se viene a conoscenza di una eventuale violazione che coinvolge dati del Titolare è tenuto a informarlo tempestivamente in modo che possa attivarsi. In questo senso, sarà importante per il Responsabile uniformarsi agli obblighi concordati con il Titolare all’interno della propria nomina o Data Processing Agreement, sottoscritta ai sensi dell’art. 28 GDPR. 

Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo.  

Come effettuare la notifica? 

A partire dal 1° luglio 2021, la notifica di un data breach deve essere inviata al Garante tramite un’apposita procedura telematica, resa disponibile nel portale dei servizi online e sito dell’Autorità. La procedura è raggiungibile all’indirizzo https://servizi.gpdp.it/databreach/s/. 

In questa pagina sarà disponibile un modello facsimile, che non deve essere utilizzato per la notifica ufficiale ma che è utile per vedere in anteprima i contenuti che andranno comunicati al Garante. 

Per valutare e semplificare gli obblighi previsti dai Titoli in caso di incidente, esiste inoltre uno strumento di autovalutazione messo a disposizione che consente di individuare le azioni necessarie. 

Ovviamente, non tutti i data breach hanno la stessa importanza. Nel caso in cui la violazione comporti un rischio elevato per i diritti delle persone, il titolare deve procedere ad una doppia notifica; oltre a quella inviata al Garante dovrà comunicare l’evento anche ai diretti interessati (ad esempio, i propri clienti) utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto. 

In ogni caso, qualunque sia il livello di rischio del data breach, il titolare del trattamento deve comunque documentare tutte le violazioni dei dati personali attraverso un apposito registro per assolvere ai propri obblighi di accountability. La documentazione così permetterà al Garante o ad altre autorità di svolgere tutti i controlli ed accertamenti necessari.