Il Garante Privacy ha applicato una sanzione di 900mila euro a Postel Spa che per quasi un anno non è intervenuta su una già nota e segnalata vulnerabilità dei propri sistemi, attraverso la quale ha poi subito una violazione dei dati personali.
Al via il modello del Garante per la segnalazione degli incidenti, informatici e no, da cui sia derivata una violazione della privacy: dai virus più o meno sofisticati alle perdite di dispositivi, dalle sottrazioni di banche dati alle alterazioni di file, dai furti di password ai ricatti online e così via.
Lo scorso anno il data breach che aveva colpito la Capital One aveva causato la divulgazione dei dati personali di oltre 106 milioni di clienti e richiedenti carte di credito, e già all’epoca la stessa società bancaria americana aveva previsto che la violazione avrebbe pesato complessivamente con costi a breve termine trai 100 ed i 150 milioni di dollari, ma ora arriva pure la stangata dal Governo e dalla Federal Reserve con una maxi sanzione da 80 milioni di dollari.
A quattro mesi dalla piena operatività del Regolamento Generale per la Protezione dei Dati (Gdpr), in Europa è già iniziata la corsa alle segnalazioni che riguardano casi di violazioni dei dati personali. Così anche in Italia, dove dal 25 maggio - giorno zero per l’applicazione del Gdpr - a oggi, sono almeno un milione i cittadini i cui dati sono stati persi, modificati o divulgati senza autorizzazione. Ma la cifra, che fa riferimento solo alla metà delle 305 notificazioni ricevute dall’ufficio del Garante per la protezione dei dati, Antonello Soro, è ampiamente sottostimata. Infatti non c’è obbligo da parte dei titolari di un trattamento di dati di informare l’Autorità sulla quantità di profili coinvolti. Informazione che in alcuni casi loro stessi non sono in grado di conoscere.
L’impressione, a giudicare da come reagiamo noi in qualità di utenti e fruitori e da come stanno iniziando a reagire le imprese coinvolte, è che ci stiamo abituando fin troppo ai Data Breach, trattandoli come “piccoli incidenti di percorso” o “rischi del mestiere”. Spesso un comunicato stampa e qualche parola di scusa sembrano bastare a placare gli animi, magari viene offerto un servizio di monitoraggio del credito agli interessati, giusto per tranquillizzarli.
Maxi-sanzione a Uber, sotto accusa per avere nascosto un attacco hacker. Uber Technologies ha raggiunto un patteggiamento nei 50 Stati americani e nel District of Columbia in base al quale pagherà 148 milioni di dollari per avere intenzionalmente nascosto un’intrusione di hacker nel 2016. Per legge, il gruppo che offre un servizio alternativo al taxi tradizionale avrebbe dovuto comunicarlo.
Hacker in azione contro il sito del Comune di Bologna. Da ieri l'attacco informatico è in corso sulla rete civica Iperbole, con la modifica o la rimozione di alcuni contenuti, tra cui l'home page e alcuni messaggi riconducibili al gruppo 'AnonPlus'.
Il considerando 88 del GDPR richiede almeno una procedura per la notifica della violazione dei dati personali. Tale richiesta, in una logica sistemica, deve considerare da un lato tutto il processo di gestione di un evento di Data Breach e non solo la gestione del singolo evento, e dall’altro non solo le situazioni di Data Breach ma anche quelle di potenziale evento che mina la sicurezza delle informazioni.
La Coca-Cola Company ha reso noto di aver subìto una violazione dei dati che potrebbe interessare circa 8.000 lavoratori a causa di un ex dipendente in possesso di un hard disk esterno contenente dati personali dei lavoratori.
Nel caso di violazioni dei dati personali il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista) senza indebiti ritardi e, se possibile, entro 72 ore dalla scoperta, deve notificare la violazione al Garante per la protezione dei dati personali, a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
