Sicurezza dei dati e violazioni della protezione dei dati

Anche il miglior concetto di protezione dei dati serve a poco se i dati finiscono nelle mani sbagliate. La LPD obbliga perciò chiunque tratti dati personali a garantire un’adeguata sicurezza dei dati.

Che cosa esige la legge (art. 8)

Titolari e responsabili del trattamento devono garantire, mediante adeguati provvedimenti tecnici e organizzativi, una sicurezza dei dati commisurata al rischio. L’ordinanza sulla protezione dei dati (OPDa) indica come obiettivi la confidenzialità, la disponibilità, l’integrità e la tracciabilità dei dati (art. 1–3 OPDa). In determinati casi, ad esempio in caso di trattamento automatizzato su vasta scala di dati degni di particolare protezione, i trattamenti devono essere verbalizzati (art. 4 OPDa). Provvedimenti tipici sono:

diritti d’accesso secondo il principio «quanto necessario»,
cifratura dei dispositivi e delle trasmissioni di dati,
copie di sicurezza e aggiornamenti software regolari,
formazione dei collaboratori.

Chi intenzionalmente non rispetta i requisiti minimi dell’OPDa può essere punito con la multa su querela (art. 61 lett. c).

Che cos’è una violazione della sicurezza dei dati

Vi è violazione quando dati personali vengono persi, cancellati o modificati in modo involontario o illecito, oppure diventano accessibili a persone non autorizzate (art. 5 lett. h). Esempi sono un attacco informatico, un’e-mail inviata al destinatario sbagliato o un laptop non cifrato andato perso.

Notifica all’IFPDT (art. 24)

Il titolare del trattamento notifica all’IFPDT il più rapidamente possibile una violazione che comporta verosimilmente un rischio elevato per le persone interessate. Un termine fisso in ore come nell’UE non esiste.
La notifica indica almeno il tipo di violazione, le conseguenze e i provvedimenti adottati.
I responsabili del trattamento notificano senza indugio ogni violazione al titolare del trattamento.
Le persone interessate vanno informate se ciò è necessario per la loro protezione o se l’IFPDT lo richiede.

Cosa può fare Lei stesso

Se viene a sapere che i suoi dati sono coinvolti in una fuga di dati:

Cambi la password interessata e anche ovunque la utilizzi.
Attivi l’autenticazione a due fattori.
Si aspetti messaggi di phishing mirati che fanno riferimento all’incidente.
Controlli gli estratti conto bancari e della carta di credito.
Chieda informazioni su quali dati che La concernono erano registrati (art. 25).

Se un’impresa non informa nonostante sussista un rischio elevato, può denunciarlo all’IFPDT.

Al testo di legge: art. 24 LPD – per la denuncia: Segnalazione all’IFPDT.