Data breach, obblighi di notifica, frequenza dei breach: il caso Rousseau
È di poco meno di un settimana fa la notizia di un attacco hacker alla piattaforma “Rousseau”, avvenuto il 2 settembre scorso, in occasione del quale sarebbe avvenuta la violazione di dati personali di esponenti politici del Movimento 5 Stelle, nonché di simpatizzanti che hanno effettuato donazioni al Movimento stesso, presenti sulla piattaforma.
La notifica al Garante del data breach sarebbe avvenuta, secondo quanto riportato dagli organi di informazione, il 7 settembre.
La questione è di non poco momento, perché la gravità dell’episodio rileva sotto più aspetti della normativa vigente in materia di protezione dei dati.
Innanzitutto, è evidente che la notifica al Garante Privacy della violazione dei dati (art. 33 GDPR) sia avvenuta oltre le 72 ore prescritte (anche se è possibile motivare le ragioni del ritardo, secondo quanto previsto all’ultimo periodo del primo comma dell’art. 33).
In secondo luogo, va considerato che l’episodio è il secondo in due anni, e che secondo alcuni programmatori informatici, intervistati da testate giornalistiche negli ultimi giorni, è possibile che l’hacker abbia utilizzato falle non corrette dopo la precedente intrusione nei sistemi da lui stesso effettuata nel 2017.
Infine, è da tener presente che il Garante Privacy aveva già sanzionato l’Associazione Rousseau per la precedente violazione, segnalando le gravi carenze riscontrate, e che il verificarsi di un nuovo breach a distanza di soltanto un anno espone il soggetto proprietario della piattaforma al rischio di una sanzione molto elevata, che potrebbe tener conto anche di eventuali rimedi non adottati a seguito del precedente data breach.
Il tema della violazione dei dati sarà uno tra i principali ambiti di approfondimento del percorso formativo sulla normativa privacy organizzato da Paradigma e che avrà inizio l’11 ottobre p.v.
In occasione del quarto incontro (22 novembre) saranno esaminate in modo specifico le Linee Guida del WP29 in materia di data breach.
Potrebbe interessare anche
Data breach: il Garante Privacy sanziona un primario istituto bancario e un suo fornitore IT
12 Marzo 2024
Videosorveglianza “intelligente”, arriva la sanzione del Garante
30 Gennaio 2024