la mia casella di posta aziendale è stata violata devo segnalarlo

Una casella di posta elettronica compromessa è solitamente una violazione dei dati, la notifica dipende dalle conseguenze

Una casella di posta elettronica aziendale compromessa è nella maggior parte dei casi una violazione nel senso del GDPR: si tratta di accesso non autorizzato ai dati personali, e tale accesso si verifica quasi sempre non appena qualcuno da fuori effettua l'accesso a un account che contiene dati di clienti o contatti. Con ciò è stabilito che è accaduto qualcosa che rientra nella definizione di cos'è esattamente una violazione dei dati? cade. Tuttavia, ciò non è automaticamente equivalente a un obbligo di notifica all'autorità di controllo.

Se la notifica all'autorità di controllo è necessaria dipende dal rischio che la violazione comporta per le persone i cui dati si trovavano in quella casella di posta — si pensi a fatture con dati di indirizzo, preventivi con numeri di identificazione personale, o corrispondenza con contenuti sensibili. Una casella di posta contenente solo dati di contatto commerciali di aziende collegate comporta un rischio diverso rispetto a una casella di posta piena di fascicoli di clienti o corrispondenza medica. Tale valutazione e i passi associati sono illustrati nella pagina su quando devo notificare una violazione dei dati all'Autorità garante?. Al di là della notifica all'autorità di controllo, si pone anche la questione se gli interessati debbano essere informati direttamente, questione che ha un quadro di valutazione separato.

Base nel GDPR: la definizione di violazione e l'obbligo di notifica

La base si trova nell'articolo 4 del GDPR, che definisce una violazione della sicurezza dei dati personali come accesso a, o perdita, alterazione o distruzione di dati che non dovrebbe verificarsi — una descrizione sotto la quale una casella di posta elettronica compromessa di solito rientra. L'articolo 33 del GDPR collega a ciò la condizione per la notifica all'autorità di controllo: tale obbligo di notifica si applica quando la violazione comporta un rischio per i diritti e le libertà degli interessati, con un'eccezione se tale rischio è ragionevolmente assente. Le linee guida dell'EDPB sviluppano ulteriormente questo concetto di rischio, e l'Autorità garante offre sulla sua pagina sulle violazioni dei dati una guida pratica per tale valutazione. Ciò che è uguale in tutta l'UE: la definizione e il test del rischio della normativa. Ciò che varia da un paese all'altro è l'autorità di controllo a cui deve pervenire la notifica — nei Paesi Bassi l'Autorità garante, negli altri Stati membri l'autorità di controllo di quel paese.