il mio laptop con dati dei clienti è stato rubato cosa devo fare ora

Un portatile rubato con dati dei clienti è solitamente una violazione dei dati

Un portatile aziendale rubato con dati dei clienti rientra nella maggior parte dei casi in una violazione della sicurezza dei dati personali, come definito dall'articolo 4 del GDPR. I dati escono dal controllo dell'organizzazione, ed è esattamente questo che la definizione riguarda — non importa se il portatile è stato rubato da un'auto, da una borsa o da un ufficio. Ciò che esattamente si trovava su quel portatile, e se le informazioni erano crittografate o altrimenti protette, influisce su quanto grave sia considerato, ma il furto stesso è il punto di partenza della valutazione. Una spiegazione più dettagliata di ciò che rientra e non rientra in quella definizione si trova in la pagina della knowledge base su cos'è esattamente una violazione dei dati.

Dal momento della scoperta, due cose procedono contemporaneamente: l'accertamento dei fatti (quali dati, di chi, quante persone, e se era presente crittografia) e la questione se questo deve essere segnalato — all'autorità di controllo e possibilmente agli interessati stessi. Entrambe le domande dipendono dal rischio che i dati rubati comportano per le persone, ed è proprio questo rischio il motivo per cui un portatile vuoto o adeguatamente crittografato viene valutato diversamente da un portatile pieno di file clienti non crittografati. Come funziona questa valutazione per la segnalazione all'autorità di controllo è illustrato nella pagina su quando una violazione dei dati deve essere segnalata all'Autorità per la protezione dei dati, e la questione se gli interessati stessi devono ricevere anche una notifica nella pagina su informare gli interessati in caso di violazione dei dati.

Su cosa si basa: articolo 4, articolo 32 e articolo 33 GDPR

La definizione di violazione si trova nell'articolo 4 del GDPR, l'obbligo di proteggere adeguatamente i dati — incluso il rischio di perdita di apparecchiature — nell'articolo 32, e l'obbligo di segnalazione all'autorità di controllo nell'articolo 33. Questi tre articoli si applicano direttamente in tutta l'UE, quindi la valutazione se un portatile rubato è una violazione dei dati da segnalare procede secondo le stesse regole ovunque. Quello che varia da paese a paese è l'autorità di controllo dove viene inviata una segnalazione: nei Paesi Bassi è l'Autorità per la protezione dei dati, negli altri Stati membri è l'autorità nazionale di controllo di quel paese. Le linee guida dell'EDPB forniscono spiegazioni supplementari su come questi articoli vengono applicati nella pratica, e l'Autorità per la protezione dei dati offre sul suo sito una spiegazione olandese delle stesse regole.