Un messaggio dal tono formale ti informa che "a seguito di un incidente di sicurezza" alcuni tuoi dati potrebbero essere stati esposti. Può arrivare dal tuo operatore telefonico, da una piattaforma di prenotazioni, da un'azienda sanitaria. La prima reazione è spesso di disorientamento. Sapere che cosa la legge impone all'azienda e che cosa puoi fare tu trasforma quell'avviso in una situazione gestibile.
Che cos'è una violazione dei dati personali
Il GDPR, all'articolo 4, definisce la violazione dei dati personali come una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali. Non si tratta solo di attacchi informatici. Sono violazioni anche:
- un'email con un allegato contenente dati di clienti inviata al destinatario sbagliato;
- un computer portatile non protetto smarrito su un treno;
- un archivio reso inaccessibile da un guasto senza copie di riserva;
- documenti cartacei gettati nei rifiuti senza essere distrutti.
Gli obblighi dell'azienda
Notifica al Garante
Secondo l'articolo 33 del Regolamento (UE) 2016/679, il titolare deve notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. In Italia l'autorità competente è il Garante per la protezione dei dati personali.
Comunicazione a te
L'articolo 34 aggiunge un obbligo diretto verso gli interessati. Quando la violazione è suscettibile di presentare un rischio elevato per i tuoi diritti e libertà, il titolare deve comunicartela senza ingiustificato ritardo, con un linguaggio semplice e chiaro. La comunicazione deve contenere almeno:
- la natura della violazione;
- il nome e i contatti del responsabile della protezione dei dati o di un altro punto di contatto;
- le probabili conseguenze;
- le misure adottate o proposte per porre rimedio e attenuare gli effetti negativi.
Il titolare è esonerato dalla comunicazione individuale in alcuni casi: se i dati erano protetti con misure, come la cifratura, che li rendono incomprensibili a chi non è autorizzato; se ha adottato misure successive che scongiurano il rischio elevato; oppure se la comunicazione individuale richiederebbe sforzi sproporzionati, nel qual caso deve ricorrere a una comunicazione pubblica.
Valuta quali dati sono coinvolti
Non tutte le violazioni hanno lo stesso peso. Le azioni da intraprendere dipendono dal tipo di dati esposti.
| Dati esposti | Rischio principale | Cosa fare |
|---|---|---|
| Email e password | Accesso ai tuoi account | Cambiare la password ovunque l'hai riutilizzata e attivare la verifica in due passaggi |
| Nome, telefono, indirizzo | Truffe mirate via SMS, telefonate, email | Diffidare di contatti che citano dati reali per chiederne altri |
| Dati di pagamento | Addebiti non autorizzati | Avvisare la banca, controllare i movimenti, valutare il blocco della carta |
| Documento d'identità | Furto d'identità | Conservare l'avviso, monitorare richieste di credito a tuo nome |
| Dati sanitari | Esposizione di informazioni delicate | Chiedere al titolare dettagli precisi sull'estensione della violazione |
I passi da fare subito
- Verifica l'autenticità dell'avviso. I criminali sfruttano le notizie di violazioni per inviare falsi messaggi. Non cliccare sui link: accedi al servizio digitando tu l'indirizzo o usando l'app ufficiale.
- Cambia le credenziali coinvolte. Se la password era usata anche per altri servizi, cambiala anche lì.
- Aumenta l'attenzione nelle settimane successive. Una telefonata di un sedicente operatore che conosce il tuo nome e il tuo indirizzo non è per questo affidabile.
- Conserva tutta la documentazione. L'avviso, le email successive e ogni anomalia riscontrata possono servire in seguito.
Quali informazioni puoi pretendere
Se la comunicazione ricevuta è vaga, puoi esercitare il diritto di accesso dell'articolo 15 per sapere con precisione quali tuoi dati sono stati coinvolti, a chi potrebbero essere stati comunicati e quali misure sono state prese. Formula domande puntuali: "quali categorie di miei dati personali erano contenute nell'archivio violato?" è più efficace di un generico "datemi spiegazioni".
Reclamo e risarcimento
Se ritieni che l'azienda non abbia protetto adeguatamente i dati o non ti abbia informato quando avrebbe dovuto, puoi proporre reclamo al Garante ai sensi dell'articolo 77 del GDPR. Indipendentemente dal reclamo, l'articolo 82 riconosce a chiunque subisca un danno materiale o immateriale causato da una violazione del Regolamento il diritto al risarcimento da parte del titolare. Per ottenerlo dovrai dimostrare il danno concreto subito: addebiti, spese, tempo perso, disagi documentabili.
In sintesi
- Una violazione dei dati non è solo un attacco informatico: anche un'email sbagliata o un documento smarrito lo sono.
- L'azienda deve notificare il Garante entro 72 ore, ove possibile, e avvisarti direttamente se il rischio è elevato.
- Le azioni da fare dipendono dai dati esposti: credenziali, recapiti, pagamenti o documenti.
- Diffida dei messaggi che sfruttano la notizia della violazione e non cliccare sui link.
- Puoi chiedere dettagli con il diritto di accesso, proporre reclamo e chiedere il risarcimento del danno.